新加坡公布「於安全性應用程式負責任地利用生物特徵識別資料指引」協助組織合理利用生物特徵識別資料
新加坡個人資料保護委員會（Singapore Personal Data Protection Commission, PDPC）於2022年5月17日，公布「於安全性應用程式負責任地利用生物特徵識別資料指引」（Guide on the Responsible Use of Biometric Data in Security Applications），協助物業管理公司（Management Corporation Strata Title, MCST）、建築物及場所所有者或安全服務公司等管理機構，使各管理機構更負責任地利用安全攝影機和生物特徵識別系統，以保護蒐集、利用或揭露的個人生物特徵識別資料。
隨著安全攝影機等科技應用普及化，管理機構以錯誤方法處理個人生物特徵識別資料之情形逐漸增多，因此PDPC發布該指引供管理機構審查其措施。其中包括以下重點：
（1）定義生物特徵識別資料包含生理、生物或行為特徵，及以此資料所建立之生物特徵識別模版；
（2）說明維安攝影機及生物特徵識別系統運用所應關鍵考量因素，如避免惡意合成生物特徵之身分詐欺、設定過於廣泛而使系統識別錯誤等情形，並舉例資料保護產業最佳範例，如資料加密以避免系統風險、設計管理流程以控管資料等；
（3）說明生物特徵識別資料在個資法之義務及例外；
（4）列出實例說明如何安全監控之維安攝影機，並提供佈署建築物門禁或應用程式存取控制指引，例如以手機內建生物識別系統管理門禁，以取代直接識別生物特徵，並有提供相關建議步驟及評估表。
該指引雖無法律約束力，仍反映出PDPC對於安全環境中處理生物特徵識別資料之立場。而該指引目前僅針對使用個人資料的安全應用程式之管理機構應用情境，並未涵蓋其他商業用途，也未涵蓋基於私人目的使用安全或生物特徵識別系統之個人，如以個人或家庭身分使用居家高齡長者監控設備、住宅生物特徵識別鎖等應用情境。
- PDPC issues Guide on Responsible Use of Biometric Data in security applications, Allen & Gledhill
- PERSONAL DATA PROTECTION COMMISSION [PDPC], Guide on the Responsible Use of Biometric Data in Security Applications Now Available
- Singapore: PDPC publishes guide on responsible use of biometric data in security applications, Bakermckenzie
- 114年「企業營業秘密保護實務座談會」（中部場）
- 零售業個資法遵實務與資訊安全說明會
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 零售業個資法遵實務與資訊安全說明會（台中場）
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
- 【上午場】探索科技法律最前線：資策會科法所「114年成果」分享會暨簡報票選
- 【下午場】探索科技法律最前線：資策會科法所「114年成果」分享會暨簡報票選
- 商業服務業個資管理與資訊安全實務宣導說明會（高雄場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台南場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台中場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台北場）※如遇颱風假延期至7/16
- 【北部場1】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場2】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場3】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場4】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【南部場】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【中部場】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 製程工業AI應用與規範研討會
- 美國聯網車監管制度與合規實務說明會
柯元惠
副法律研究員 編譯整理
PDPC issues Guide on Responsible Use of Biometric Data in security applications, Allen & Gledhill, https://www.allenandgledhill.com/sg/publication/articles/21953/pdpc-issues-guide-on-responsible-use-of-biometric-data-in-security-applications (last visited July 1, 2022)
PERSONAL DATA PROTECTION COMMISSION [PDPC], Guide on the Responsible Use of Biometric Data in Security Applications Now Available , https://www.pdpc.gov.sg/news-and-events/announcements/2022/05/guide-on-the-responsible-use-of-biometric-data-in-security-applications-now-available (last visited July 1, 2022)
Singapore: PDPC publishes guide on responsible use of biometric data in security applications, Bakermckenzie, https://insightplus.bakermckenzie.com/bm/data-technology/singapore-pdpc-publishes-guide-on-responsible-use-of-biometric-data-in-security-applications/ (last visited July 1, 2022)
王自雄、周晨蕙，〈智慧建築安全監控資料應用法制課題與因應對策〉，《建築學報》，116期，頁105-122（2021），可參見https://www.airitilibrary.com/Publication/alDetailedMesh?docid=10163212-202106-202109290012-202109290012-105-122 （最後瀏覽日：2022/07/11）。
吳采薇，〈法國資料保護機關要求Clearview AI刪除非法蒐集的個人資料〉，資策會科技法律研究所，https://stli.iii.org.tw/article-detail.aspx?tp=1&d=8774&no=64 （最後瀏覽日：2022/07/01）。
蔡毓華，〈紐約市實施《生物辨識隱私法》強化生物特徵保護〉，資策會科技法律研究所，https://stli.iii.org.tw/article-detail.aspx?tp=1&d=8713&no=64（最後瀏覽日：2022/07/01）。
科法觀點
生技藥品是植基於活體生物的原理所開發出來的治療藥品，自第一批生技藥品上市以來，其專利在最近幾年已陸續到期，因此生技業者對於推出這些生物製品的學名藥版本（generic versions of biologics，以下簡稱生技學名藥），躍躍欲試。然而，美國當前的學名藥法規—藥品價格競爭及專利回復法（Drug Price Competition and Patent Restoration Act, 又名Hatch-Waxman Act, HWA），乃是針對化學藥品的學名藥版本所制定的法規，此類學名藥與生技學名藥並不相同，因此既有的學名藥法規並不能適用於生技學名藥，生技業者無不引頸企盼政府部門通過新的法規，以使生技學名藥儘速上市。 美國參議院最近提出一項生技學名藥法案—生技製品價格競爭與創新法（Biologics Price Competition and Innovation Act, BPCIA），一如HWA，BPCIA的內容也呈現出各種利益折衝的色彩，法案一方面賦予FDA對生技學名藥進行審核的新權限，並藉由減少臨床試驗之進行，加速生技學名藥的上市；另一方面，為避免低價的生技學名藥會對品牌藥的銷售產生衝擊，法案也有針對生技研發公司的研發誘因設計，以鼓勵其持續投入資金，開發更多的生技治療藥品。未來生技學名藥廠需要配合FDA所規劃的風險管理計劃（該計劃的相關立法目前尚待眾議院審議），故生技學名藥廠於其生技學名藥上市後，仍有進行臨床試驗之義務。 法案中最具爭議的條文在於，究竟應給予生技研發公司多長的銷售獨家銷售權（market exclusivity），始得允許生技學名藥廠加入市場競爭，生技研發公司與生技學名藥廠對此的歧見甚大，前者主張十四年，後者則認為五年的時間已足，目前法案訂為十二年。另一個不易處理的議題，則是藥師如何處理此類的生技學名藥，根據目前的法案內容，未來藥師亦可不經徵詢醫師而以生技學名藥代替之。
歐盟執委會關切奈米科技對於食品安全之影響近年來，奈米科技已多方使用於食品製造業中，舉凡食品的殺菌、保存或食材的包裝等，皆為適例。然而，隨著奈米科技的影響層面逐漸擴大，無論係其功用的研發或風險的防範，仍有進一步研究之必要。 歐盟執委會(European Commission)根據2007年3月其新興健康風險科學委員會(SCENIHR)所提出之報告，認為應加強認識奈米科技對於食品安全之影響，遂邀請歐洲食品安全局(EFSA)就該領域提出科學看法。至2008年10月14日，歐洲食品安全局科學委員會即公布「奈米科技對於食品和飼料所引起之潛在風險(Potential Risks Arising from Nanoscience and Nanotechnology on Food and Feed Safety)」草擬意見，其內容係說明奈米科技應用於食品製造業之多種樣態、人為奈米材料(engineered nano materials，ENM)於食品或飼料製造過程中所產生之作用，以及判斷現有之風險評估方式能否合於需要。 該草擬意見歸結數項結論如下： (1) 因人為奈米材料之體積微小且具有高表面積，於人體吸收時較一般物質更容易產生反應。 (2) 關於化學物質於奈米尺寸下將產生何種變化，迄今無法做出令人滿意之科學論斷，因此就安全性與相關數據的累積，仍需要個別檢視。 (3) 建議應針對風險評估一事設置國際基準，且該基準可同時適用於人為奈米材料及一般化學物質。 (4) 食品與飼料中含有人為奈米材料者，於風險評估時應包括該材料特性之敘述，並進行毒理研究分析，使資訊蒐集更為完備。 由於人為奈米材料不確定之事項甚多，因此需要更豐富的資料加以釐清；而該草擬意見除提供歐盟執委會評估現行法制、研究可行措施外，亦向公眾廣徵回應；民眾可於2008年12月1日前，提供歐洲食品安全局相關科學證據或意見，待該局進行彙整後，將與歐盟會員國商討後續事宜。
歐盟發佈Amazon違反反托拉斯法之初步調查結果，並將對其電商業務展開第二輪調查歐盟執委會於2020年11月10日對Amazon發佈反托拉斯調查之初步調查結果，針對其2019年7月之首次調查提出調查意見書（Statement of Objections, SO），認定Amazon使用大量非公開賣家資料，減少自身作為零售商之競爭風險，相關可能違反歐盟運作條約（TFEU）第102條禁止濫用市場主導地位。 歐盟於2019年7月17日對Amazon展開首次反托拉斯調查。Amazon作為平台，具有雙重身分，第一個身分是作為零售商，在網站上銷售商品；第二個身分是作為平台商，提供第三方賣家銷售商品的市場。因此歐盟認為Amazon在平台上收集價格或活動統計資料，將調查Amazon和第三方賣家的標準協議中，是否允許Amazon分析賣家的買賣統計資料？以及第三方賣家使用「黃金購物車」（Buy Box）的機制為何？ 歐盟執委會調查說明，Amazon作為平台，可以大量使用第三方賣家資料，例如訂購及發貨數量、賣家收入、報價次數、物流資料、賣家表現評價、消費者索賠資訊等。然而相關統計數字及資料進入Amazon業務自動化系統，使Amazon零售業務可以大量使用上述非公開資料，以調整自身產品零售報價和業務決策，降低自身作為零售商的市場競爭風險。 此外，歐盟執委會認為，Amazon的「黃金購物車」和「Prime label」機制，使平台上的第三方賣家必須選擇使用Amazon物流、倉儲和售後服務（Fulfillment by Amazon, FBA），才能取得平台的「黃金購物車」和「Prime label」標章，才可能增加產品搜尋曝光度、交易成功率，進而提高銷售量（據統計，Amazon平台超過八成之交易是透過黃金購物車完成）。因此導致消費者大多選擇購買曝光度高、也就是使用Amazon物流的賣家，形成賣家之間的不公平競爭。歐盟執委會後續將啟動第二輪調查，且未言明結束調查時間。
美國能源部發布「電力資料自願行為守則」保護消費者資料與隱私權利美國能源部（Department of Energy, DOE）所屬之電力傳輸與能源可靠度辦公室（Office of Electricity Delivery and Energy Reliability, OE）與聯邦智慧電網工作小組（Federal Smart Grid Task Force）對於由智慧電網技術所生之資料相關隱私保護問題，經過一系列包括相關業者在內的公眾意見徵集與專家學者討論後，於2015年1月12日所發布之「自願行為守則」（Voluntary Code of Conduct, VCC），係屬美國總統歐巴馬同日宣示政策，公布對於強化消費者安全、處理身分盜用（identity theft）、並促進線上隱私保護之總體策略方向中的重要部份。 「自願行為守則」的適用對象是供電業者與第三方，目的在於保護包括能源使用資訊（energy usage information）在內的電業消費者資料，並提高消費者的隱私意識與相關資料在提供與近用上所須行使的同意與控制。「自願行為守則」揭示其三大目標，包括：（一）於鼓勵創新的同時，適切地保護消費者資料的隱私與機密性，並提供可靠與不致於無法負擔之電業與能源相關服務；（二）提供消費者對其自身資料的適當近用（appropriate access）；以及（三）不生違反或取代任何聯邦、州、或地方主管機關之法令或管制措施之效果。 而為求取前揭目標之達成與實現，「自願行為守則」訂有五大步驟。此五大步驟包括：（一）「消費者之注意與意識」：透過相關規定向消費者解釋資料蒐集的相關政策與程序，並聚焦於消費者的選擇與責任，藉以讓消費者了解其所必須行使之同意；（二）「消費者之選擇與同意」：透過相關規定讓消費者能為非原始目的（Secondary Purposes）——例如向數個第三方為差別化之近用授權、限制近用之期間、留存資料釋出之記錄、取消授權、以及於授權終止或不再需要相關資料時之資料處置或去識別化等——對其資料之近用進行相關管控、確認有哪些類型的資料與揭露無須消費者同意、以及要求特定資料應直接由消費者處取得；（三）「消費者資料近用」：透過相關規定允許消費者近用其資料、確認可能的錯誤、以及要求更正的相關程序，其中包括在特定情況下就非常態性要求收取費用的可能性；（四）「資料的完整性與安全性」：透過相關規定規範網路安全管理計畫，以及聚合性資料（Aggregated Data）或匿名性資料的建立方式；（五）「自發性執行、管理、與矯正」：透過相關規定對自願採納本「自願行為守則」之服務提供者的行動作出規範，以確保其遵守行為守則。「自願行為守則」雖屬自律規範，但其制定過程有包括電力業者在內之利害關係人的充分參與，並經充分之專家與公民意見徵集，被預期在公布之後將有相當程度之約束力量，並能令因智慧電網與能源資通訊技術所生之相關隱私權保護問題得到更進一步的解決。