瑞士聯邦委員會發布報告推進以數位自決權創建可信賴資料空間

  瑞士聯邦委員會於2022年3月30日,發布了一份關於推進可信的「資料空間」(Data Spaces)與「數位自決權」(Digital Self-Determination)報告。此份報告旨在強調資料是數位時代下創造價值的基礎,為了更好地運用資料的潛在價值,呼籲各界採用新的資料使用概念,加強資料所有者(Data Owner)或資料控管者(Data Controller)對於資料的控制,以「數位自決權」為核心,透過科學技術與法律制度,進一步為實踐「資料共享」(Data Sharing)提供一個安全、便捷、自主、開放、公平而值得信賴的「資料空間」。

  值得注意的是,透過該報告,聯邦委員會指示聯邦外交部(FDFA)與聯邦環境、運輸、能源和通訊部(DETEC)實施多項措施,以期能在2023年6月份之前,制定一部由所有利害關係人參與的可信賴資料空間操作之自願行為準則。

  此外,該報告列舉出當下對於充分發揮資料潛力所存在的障礙,包括:

  1. 資料愈趨集中於大企業手中,且多基於自身目的而使用。
  2. 私人和公共服務的提供者在資料的使用上存在多種障礙,例如:資源不足、缺乏專業知識以及擔心競爭劣勢。
  3. 社會對於資料的使用態度轉趨保守,無論是擔心資料被濫用而侵犯隱私,或是缺乏資料共享的動機。

  該報告更進一步指出資料流通的跨國性,因而有必要創建值得信賴且國際兼容的資料空間,為此亦須建立可信賴資料空間的國際準則,以在國際間形成法律確定性。

  觀諸我國個人資料保護法第1條便明確指出,本法制定的目的不僅是為了保護個人資料以及相應之人格權與隱私權,而是更進一步欲透過個人資料管理制度的建構與落實,健全社會及商業互信,以期達成資料的合理利用、創造價值並促進公共福祉的終極目標。

  關於我國的資料共享體制,現階段主要從金融機構間開始萌芽,未來如何以數位自決權為基礎,同時在充分保障資訊安全的前提下,擴及其他產業並接軌國際,有賴更多科技與法制的創造與積累、外國經驗的借鑑以及國際參與,而台灣近日以創始會員身分加入「全球跨境隱私規則論壇」(Global Cross-Border Privacy Rules Forum)即為著例。

相關連結
相關附件
你可能會想參加
※ 瑞士聯邦委員會發布報告推進以數位自決權創建可信賴資料空間, 資訊工業策進會科技法律研究所, https://stli.iii.org.tw/article-detail.aspx?d=8850&tp=1 (最後瀏覽日:2026/07/07)
引註此篇文章
你可能還會想看
歐盟GDPR保護適足性審核與因應作為

歐盟GDPR保護適足性審核與因應作為 資訊工業策進會科技法律研究所 法律研究員 吳柏凭 2018年04月10日 壹、事件摘要   歐盟於 1995 年頒布個人資料保護指令(95/46/EC)[1],對歐洲各國甚至全世界個人資料保護法制發展有極大影響力。然隨著資通訊技術發展變化迅速,網際網路與各項應用興起,既有歐盟個人資料保護指令面對這些變化已經難以為繼,歐盟執委會(European Commission) 出新的資料保護規則(General Data Protection Regulation, GDPR),於2016年4月27日通過,5月4日公布,正式成為歐盟第2016/679號規則(Regulation (EU) 2016/679)[2]。由於歐盟原則上禁止個人資料跨境傳輸,只有在被認可具有保護適足性(Adequate level of protection)的國家或地區才能例外許可傳輸,因此如何獲得歐盟保護適足性認可,就成為能否跨境傳輸歐盟個資的關鍵。 貳、重點說明 一、個人資料保護指令保護適足性審查規定   1995年的個人資料保護指令,就有禁止會員國將個人資料跨境傳輸至對資料保護不具有保護適足性之國家[3]。在第25條第2項中,對於保護適足性的審查,包括資料的性質、處理目的和期間、資料的發生地及最終目的地、該國家施行的普通法及特別法規範、以及安全措施等,透過個案綜合判斷是否具有保護適足性[4]。而關於具體的判斷標準,則依照第29條規定資料保護工作小組(Article 29 Data Protection Working Party)的指導文件[5],其中對於法律規範審查,除了內容外,更重視個資保護的執行面。 二、GDPR保護適足性審查規定   GDPR延續了個人資料保護指令的規定,原則上禁止資料跨境傳輸至對資料保護不具有適足性之國家[6]。根據第45條第2項規定,適足性的評估包括以下要素: 法治、對人權與基本自由之尊重、一般與部門之相關立法,包括有關公共安全、防衛、國家安全及刑法、公務機關對個人資料之接近使用權、及該等立法、資料保護規則、專業規則及安全措施之執行。 有一個或以上獨立監管機關之存在及有效運作,或對象為國際組織時,確保及執行資料保護規則之遵守,包括充足之執行權,以協助及建議資料主體行使其權利,並與會員國之監管機關合作; 個人資料向其他第三國或國際組織進一步移轉,該其他第三國或國際組織之規則、判例法、及有效且可執行之資料主體權利及個人資料受移轉之資料主體有效之行政與司法救濟;第三國或國際組織所加入之國際協定,或其他因具法律拘束力之合約或辦法、及從其參與多邊或區域體系而生之義務,尤其關於個人資料保護者。   以上規定與個人資料保護指令最大不同在於將保護適足性的判斷標準明文化,同時補充個人資料向第三地再傳輸應注意的規範、具有獨立性監管機關等規定,填補原本個人資料保護指令的漏洞。 三、保護適足性認可程序與現況   保護適足性認可的程序[7]為: 來自歐盟執委會的提案。 得到由歐盟各國資料保護機關組成之作業會議(European Data Protection Board)的意見。 得到歐盟各國代表的承認。 歐盟執委會合意認可。   縱然取得認可,之後也會每四年檢驗一次[8],如果被判定不具保護適足性,則仍會取消原本的認可[9]。   現階段已通過保護適足性審核的國家地區包括:安道爾、阿根廷、加拿大(民間機構)、法羅群島、根西島、以色列、馬恩島、澤西島、紐西蘭、瑞士及烏拉圭,另有美國限於「隱私盾」框架(Privacy Shield framework)方可傳輸。 參、事件評析 (一)保護適足性認可的效益   除了取得適足性認可外,個別企業可以透過1.標準契約條款(Standard Contractual Clauses, SCC);2.拘束企業準則(Binding Corporate Rules, BCR);或3.取得同意方式進行跨境傳輸[10]。但是取得適足性認可不但可以節省企業在個資跨境傳輸的成本,減輕企業負擔,同時也有助於整體產業突破歐盟貿易壁壘。 (二)通過保護適足性審核的困難   雖然現行通過適足性審核的國家地區有11個,惟需注意的是,根西島、馬恩島、以及澤西島都是英國屬地,法羅群島是丹麥屬地,而安道爾和瑞士都是在歐洲境內,這些國家地區的法規範本來就與歐盟差距不大,加上美國及加拿大國家本身不被認可具適足性,實際上不屬於歐盟法體系而通過適足性審核的國家地區非常有限。而且包括以色列、烏拉圭或紐西蘭在申請認可都花超過三年的時間,因此也不能作為短期的因應措施。   此外,在要件方面,規範上雖然我國個資保護規範與GDPR未有極大歧異,但只要存有差異,要取得認可就有極高困難度,這些都需要與歐盟執委會溝通。而在監管機關要求方面,雖然沒有要求單一機關,但對於機關的「獨立性」仍有要求。關於機關的獨立性目前歐盟並沒有明確的標準,但在歐盟法院判決中,有因為德國的州對州層級的資料監管機關進行調查的權力,而被認為不具獨立性[11]。 (三)通過適足性審核的具體作為   以日本為例,為了取得歐盟適足性認可,在2015年9月就其個人資料保護法(個人情報保護法)進行修正,其中設立個人資料保護委員會(個人情報保護委員会)即是為了符合適足性要求中「獨立監管機關」規定,而第24條跨境傳輸的規定更是重要。   日本個人資料保護委員會在2016年就與歐盟執委會溝通三次[12],同時在2017年發出共同聲明[13]。在不修正法律的狀況下,日本個人資料保護委員會頒布一指導方針來消除差異,並於於2018年2月9日先揭示調適方向[14],包括: 將歐盟視為敏感性個人資料而日本未明文規定者,解釋上一律視為敏感性個人資料。 歐盟不管個人資料保管期間,一律可以主張權利,而日本則限保管期間6個月以上方可主張權利。指導方針對於歐盟跨境傳輸的個資,不管保管期限一律許其主張權利。 對歐盟跨境傳輸的個資將要求揭露特定利用目的。 對於歐盟跨境傳輸的個資再移轉,必需要透過契約等規制,確保資料受保護水準。 關於歐盟跨境傳輸的個資,在去識別化一定要確認無法再識別,以與歐盟去識別化資料定義相符。 肆、結語   歐盟GDPR已施行在即,如何因應以突破其跨境傳輸的限制將不只是單純避免業者受罰,更是跨越歐盟貿易壁壘的重要關鍵,而在眾多例外許可跨境傳輸的方法中,又以取得保護適足性認可為最根本因應之道。雖然現在取得認可的難度極高,但仍有許多能努力的空間,目前我國也著手申請適足性認可的準備,未來能得到何種程度的回應,值得後續觀察。 [1] Directive 95/46/EC of the European Parliament and of the Council of 24 October 1995 on the Protection of Individuals with regard to the Processing of Personal Data and on the Free Movement of Such Data. [2] Reform of EU data protection rules, European Commission, http://ec.europa.eu/justice/data-protection/reform/index_en.htm (last visited Apr.10, 2018). [3] Data Protection Directive, art. 25(1). [4] Data Protection Directive, art. 25(2). [5] European Commission, Working Party on Protection of Individuals with regard to the Processing of Personal Data, Working Documents Transfers of personal data to third countries: Applying Articles 25 and 26 of EU data protection directive, July 24, 1998. [6] General Data Protection Regulation, art. 45. [7] Adequacy of the protection of personal data in non-EU countries, https://ec.europa.eu/info/law/law-topic/data-protection/data-transfers-outside-eu/adequacy-protection-personal-data-non-eu-countries_en (last visited Apr.10, 2018). [8] General Data Protection Regulation, art. 45(3). [9] General Data Protection Regulation, art. 45(5). [10] General Data Protection Regulation, art. 46. [11]European Commission v. Federal Republic of Germany(C-518/07). [12]個人情報保護委員会,個人情報保護委員会の国際的な取組について,https://www.kantei.go.jp/jp/singi/keizaisaisei/miraitoshikaigi/4th_sangyokakumei_dai2/siryou3.pdf (last visited Apr.10, 2018). [13]JETRO,個人データ保護の「十分性認可」取得の好機に-日EU首脳が共同声明-,https://www.jetro.go.jp/biznews/2017/07/845f14ec50674c94.html (last visited Apr.10, 2018). [14]個人情報保護委員会,EU 域内から十分性認可により移転を受けた個人データの取扱いに関するガイドラインの方向性について ,https://www.ppc.go.jp/files/pdf/300209_siryou1.pdf (last visited Apr.10, 2018).

德國聯邦專利法院認定人工智慧不具專利發明人資格 但特別點出人工智慧在發明之貢獻

  德國聯邦專利法院在2021年11月中旬對美國發明人Stephen Thaler(後稱Dr. Thaler)所開發之AI系統(DABUS)是否能成為專利發明人作出判決,儘管AI在研發過程中協助發現問題並解決問題,法院仍認為專利發明人必須為自然人,但特別補充說明這項發明確實有得到AI的幫助。   Dr. Thaler及其法律團隊將該發明在各國進行專利申請。盤點各國智財局或法院之考量:美國專利商標局(USPTO)強調發明人應以自然人為由排除這類案件;儘管英國智財局(UKIPO)認同DABUS富有創新,卻否認其為合法發明人,不過認為有必要檢視AI技術帶給現存專利制度的挑戰,並已啟動針對AI發明之法律改革計畫;至於歐洲專利局(EPO)以不符合自然人或實體等資格而核駁這類案件,然而上訴結果將於12月下旬作出判決。   惟澳洲聯邦法院在7月底逆轉做出法律並未禁止以AI為發明人而提出專利申請之判決,這也是繼南非允許AI作為發明人而取得專利權之後的第二個案例。   根據各國智財局、世界智慧財產權組織(WIPO)與法院多將智慧財產係來自於心智創作,卻未定義該心智創作是來自於人類或AI,可預見非人類主體將可被視為發明人並授予智慧財產權。此外,現行智財法律也有重新檢視與定義之必要性,包括釐清AI演算法與AI開發者之角色以重新定義發明人資格或所有權人等議題。

英國Ofcom公佈光纖網路備援電池之管制指引

  因預期超高速網路在英國將被廣泛佈建,Ofcom於2011年6月啟動諮詢程序,徵詢各界光纖網路備援電池的管制指引,以確保消費者的緊急電話服務;並於同年12月公佈諮詢結果與更新管制指引。   英國境內光纖到終端(FTTP)服務的覆蓋率已達到58%,雖得以提供消費者更高速的上網與影音內容,但卻有停電時無法運作的先天缺陷。由於傳統電話運作所需的電力係經由業者機房透過銅絞線供應,故即便消費者終端停電,仍能緊急電話。因此Ofcom曾於2009年要求公眾電話業者(PATS)確保消費者終端有維持供電4小時以上的備援電池,以保障民眾的身家安全。而此項管制則是納入ECN/ECS業者之第3項一般條件的管制中,業者有因而有遵守的義務。   此次徵詢結果,Ofcom確立了以下兩點管制指引: 1. PATS必須確保提供備援電池:PATS若由消費者選擇是否安裝備援電池,將被認為不符義務。若PATS選擇由消費者負擔更換電池之責任,應提供適切指引並確保易於取得電池;若責任由PATS承擔,則應建立適切處理程序。 2. 備援電池最低供電時數降為1小時:主要理由為英國大部分的斷電事件都不超過1小時;且行動電話相當普及,增加了安全保障。而備援電力降為1小時後,將使其電池更輕便和更易分離,因而更易於產製購買、取得與安裝。不過對於歷史上曾發生斷電超過1小時的家戶,PATS仍有義務確保較長時間的備援電力。

歐盟將擬訂關鍵促成技術(Key Enabling Technologies)促進總策略

  因為生物科技(Biotechnology)、奈米科技(Nanotechnology)、微(奈)米電子與半導體(Micro- and nanoelectronics, including semiconductor)、光電(Photonics)、及先進材料(Advanced materials)等五大科技,能夠被廣泛的應用在各種產業上,並可協助現有科技作出重大的改善,故在2009年9月歐盟委員會(European Commission)所公布的一份溝通文件(Communication)當中,被認定為是可以加強競爭力,並協助經濟永續發展的關鍵促成技術(Key Enabling Technologies, KETs)。   在該份名為「為我們的未來做準備:發展歐洲關鍵促成技術促進總策略」(Preparing for our future: developing a common strategy for key enabling technologies in the EU)的文件中,歐盟委員會指出,KETs的技術外溢效益和其所能產生的加成效果,可以同時提昇其他領域的表現,如通訊技術、鋼鐵、醫療器材、汽車、及航太等領域,故將對歐盟地區未來的經濟永續發展有著重大的影響,也可以協助面對社會與環境的重大挑戰。   該文件指出,雖然歐盟擁有許多KETs的相關研發成果,對促進研發成果產業化之措施卻有所不足。在此溝通文件中所規劃的發展策略,配合歐盟持續的在研發作出更多的投資,將會協助歐盟充分應用這些可提高歐盟未來競爭力的KETs。   因為KETs的推展須注意系統性的相關聯性,所以數個不同的政策必需被同時考慮。在溝通文件中提出了十項應被考慮的面向,包括(1)將研發政策專注於KETs;(2)促進境內產學研單位間以及產業供應鏈間的技術移轉;(3)促進歐盟與會員國間發展共同的策略方案和操作專案;(4)運用各會員國境內之補助政策;(5)結合KETs的應用與氣候變遷政策;(6)創造市場需求並配合公共採購;(7)與國際間高科技政策相比較並加強國際合作;(8)透過雙邊或多邊貿易談判創造KETs有利的貿易條件;(9)促進歐洲投資銀行(European Investment Bank, EIB)給予高科技產業優惠貸款;以及(10)透過高等教育與在職訓練提昇技術水準。   歐盟委員會將會建立一個獨立的高階專家團體,去繪製歐盟有關各KETs的長期策略藍圖,並將於2010年年底向部長會議(Council of Ministers)報告。

TOP