歐盟委員會就資料法草案提出修改報告
於2023年2月28日，歐盟議會( European Parliament )工業、研究和能源委員會( Committee on Industry, Research and Energy )就2022年公開之資料法草案( Data Act )提出修正報告，該報告支持資料法草案賦予使用者訪問、使用並共享其資料的權利，以發揮出工業資料的經濟潛力，並就資料法草案內容提出修改之報告(以下簡稱修改草案)。
以下就修改草案對於資料持有者權利之影響摘要說明如下：
1、對資料持有者之營業秘密的保護，資料持有者就其有營業秘密之資料，能要求使用者保護該資料的秘密性，並要求使用者要採取一定之保密措施，若使用者未能執行該保密措施，資料持有者可暫停資料共享；
2、資料持有者提供資料之對象為公司時，可對其請求之合理補償，該合理補償包含產生/處理資料與提供資料等讓資料可用的成本，惟該資料成本若可與其他資料請求分攤，則不應由單一使用者支付全部費用，且對於小/微型企業，不得請求超過提供資料的直接成本；
歐盟為使工業資料可充分發揮其效益，資料法草案旨在推動資料共享並建立相對的遊戲規則，此次修改草案從營業秘密與成本補償的角度切入，以保障資料持有者權利，該修改草案預計於3月中全體會議上進行表決，其規範對象包含有在歐盟提供物聯網/雲端產品或服務之企業，國內企業亦會因網路跨境性質而受影響，可參考資策會科法所所發布之重要數位資料治理暨管理制度規範(EDGS)預做準備。
「本文同步刊登於TIPS網站（https://www.tips.org.tw ）」
- European Parliament, REPORT on the proposal for a regulation of the European Parliament and of the Council on harmonised rules on fair access to and use of data (Data Act), Feb. 28, 2023
- Kristina Ehle, My Data = Your Data? How the EU Data Act May Influence IoT and Cloud Offerings in the European Union and Beyond, Feb. 27., 2023
- European Parliament, Data Act: MEPs back new rules for fair access and use of industrial data, Feb. 9, 2023
- Luca Bertuzzi, Data Act: EU Council closes in on trade secrets, compensation, Feb. 22, 2023
- Isabelle Roccia, A view from Brussels: The latest on the Data Act, Feb. 16, 2023
莊越程
資深法律研究員 編譯整理
European Parliament, REPORT on the proposal for a regulation of the European Parliament and of the Council on harmonised rules on fair access to and use of data (Data Act), Feb. 28, 2023, https://www.europarl.europa.eu/doceo/document/A-9-2023-0031_EN.html (last visited Mar. 08, 2023).
Kristina Ehle, My Data = Your Data? How the EU Data Act May Influence IoT and Cloud Offerings in the European Union and Beyond, Feb. 27., 2023, https://technative.io/how-eu-data-act-influence-iot-cloud/ (last visited Mar. 08, 2023).
European Parliament, Data Act: MEPs back new rules for fair access and use of industrial data, Feb. 9, 2023, https://www.europarl.europa.eu/news/en/press-room/20230206IPR72113/data-act-meps-back-new-rules-for-fair-access-and-use-of-industrial-data (last visited Mar. 08, 2023).
Luca Bertuzzi, Data Act: EU Council closes in on trade secrets, compensation, Feb. 22, 2023, https://www.euractiv.com/section/data-privacy/news/data-act-eu-council-closes-in-on-trade-secrets-compensation/ (last visited Mar. 08, 2023).
Isabelle Roccia, A view from Brussels: The latest on the Data Act, Feb. 16, 2023, https://iapp.org/news/a/a-view-from-brussels-the-latest-on-the-data-act/ (last visited Mar. 08, 2023).
紐西蘭人工智慧論壇（AI Forum）協會成立於2017年，為非營利組織，是紐西蘭政府的重要智庫單位。該協會的AI法律、社會和倫理工作組於2020年3月4日發表了紐西蘭第一份《紐西蘭可信賴的AI指導原則》， 此指導原則目的在提供簡潔有力的人工智慧參考點，以幫助大眾建立對紐西蘭人工智慧的開發和使用的信任。此份AI指導原則對政府具有重要的參考價值。 《紐西蘭可信賴的AI指導原則》，內容摘要如下： 一、公平和正義 (一)適用紐西蘭及其他相關管轄地包含科克群島、紐埃、托克勞、南極羅斯屬地法律； (二)須保護紐西蘭國內法及國際法所規範的人權； (三)須保障《懷唐伊條約》中毛利人的權利； (四)民主價值觀包含選舉的過程和在知情的情況下進行公眾辯論； (五)平等和公正的原則，要求人工智慧系統不會對個人或特定群體造成不公正地損害、排斥、削弱權力或歧視。 二、可靠性、安全性和私密性 AI利益相關者須確保人工智慧系統及資料的可靠、準確及安全性，並在人工智慧系統的整個生命週期中，保護個人隱私以及持續的識別和管控潛在風險。 三、透明度 人工智慧系統的運作應是透明的、可追溯的、並在一定的程度上具可解釋性，在面對責問時能夠被解釋且經得起質疑。 四、人類的監督和責任 AI利益相關者，應該對人工智慧系統及其產出進行適當的監督。 在利益相關者確定適當的問責制度和責任之前，不應使用會對個人或群體造成傷害的技術。 五、福利 AI利益相關者應在適當的情況下設計、開發和使用人工智慧系統，盡可能促進紐西蘭人民和環境的福祉，像是健康、教育、就業、可持續性、多樣性、包容性以及對《懷唐伊條約》獨特價值的認可。 此份AI指引較大的特色有兩點，第一，紐西蘭人工智慧論壇協會的成員組成，其中女性成員比例超過半數。第二，在其指導原則中第一點的「公平和正義」及第五點「福利」中，都特別提到須遵守《懷唐伊條約》以確保毛利人的權益。在這樣的基礎下，能更期待紐西蘭在發展AI技術的過程，能夠更切實的做到公平正義、無歧視。
德國2015年12月3日通過數位健康法(e-Health Gesetz)德國聯邦議會於2015年12月3日通過「健康制度安全數位通訊與應用法」 (下稱數位健康法，Gesetz für sichere digitale Kommunikation und Anwendungen im Gesundheitswesen, e-Health-Gesetz)，本法無須經過聯邦參議院同意，最快將於2016 年初生效。 該法係以患者的權益和隱私為中心而制定。其中安全的數位基礎設施將改善健康照護、加強病患的自我決定權。數位健康法要求於全德範圍內，從2016 年中期開始至 2018年中，依法定之資訊技術基礎設施的時間表引進相關技術與設施，在醫療診所和醫院之間全面進行電信基礎設施的連結。 本法案要點摘要如下: • 最新一代的主資料管理（Stammdatenmanagement） (被保險人主資料（Versichertenstammdaten）的測試及更新) 將提供醫生最新資料和防止醫療給付濫用。這個數位健康卡第一個線上應用，將在2018 年中全面引進。而 2018 年 7 月 1 日起未參加線上被保險人主資料驗證之醫生，其補貼亦將削減。 • 醫療用緊急資料（Notfalldaten）應從 2018 年開始依被保險人意願在數位健康卡上儲存，以避免危險藥物的交互作用。因此，從2016 年 10 月開始，使用三種以上藥物患者，將收到藥物治療計畫（Medikationsplan）。而藥劑師自始即有義務在被保險人變更處方時更新之。從 2018 年開始，用藥計畫可以以電子傳輸方式從數位健康卡卡中檢索。 • 數位健康法將促進電子病歷（Arztbriefe）的推動。病患可以對其主治者告知其最重要的健康資料，並以數位資料形式儲存使用。另外，病患的權益和自主決定是本法重點，患者不僅可自行決定何種醫療資料應以卡片儲存，並可決定誰有權查閱。病患亦得提取卡片中儲存之資料。如血糖測量值、從可穿戴裝置或隨身手圈所量測的資料。 • 為提倡遠距醫療（Telemedizin），從 2017 年4 月開始遠距 x 光診斷評估和從 2017年7 月起，線上視訊諮詢時段納入醫療合約給付中。使病患更易獲取醫療訊息，同時在預後諮詢和監控諮詢中亦能得到醫療服務。 • 為進入遠端醫療時代，必須確保各種 IT 系統可以進行溝通，故須在 2017 年 6 月 30 日前提出互通性指引（Interoperabilitätsverzeichnis），使衛生部門不同的 IT 系統所採用的標準簡明化。 • 智慧手機和其他行動裝置使用健康APP已漸普及，到 2016 年底前應確認，被保險人是否可以使用相關設備來行使他們的醫療資料存取權限以及資料是否能夠相互連結進行傳輸。
歐盟因應數位簡化革命通過Omnibus VII法案：放寬產業合規時程與強化兒少人權保障之《歐盟人工智慧法》修法歐盟因應數位簡化革命通過Omnibus VII法案：放寬產業合規時程與強化兒少人權保障之《歐盟人工智慧法》修法 資訊工業策進會科技法律研究所 2026年07月22日 今（2026）年6月16日，歐洲議會（European Parliament）以423票贊成、57 票反對、174 票棄權，通過「第七號數位綜合法案」（Omnibus VII）下對《歐盟人工智慧法》（EU AI Act，下稱AIA）的修正案[1]。隨後於6月29日，歐盟理事會（Council of the European Union）批准了歐洲議會的審議決議。最終於7月8日，經歐洲議會議長及歐盟理事會主席共同簽署，該修正案正式通過[2]。 壹、事件摘要 自2024年10月起，歐盟理事會為因應萊塔（Enrico Letta）與德拉吉（Mario Draghi）報告中指出的歐洲競爭力危機，於2024年11月8日發布《布達佩斯宣言》（Budapest declaration）要求「發起一場簡化革命」，希冀為企業提供一個清晰、簡單且具備彈性的法規治理框架，並減輕企業面臨的法遵成本與合規摩擦。為此，歐盟執委會自2025年2月起陸續提出十項「綜合法案」（Omnibus packages），旨在鬆綁永續發展、投資與農業的申報程序、擴大對中小企業的制度支持、推動數位化轉型與統一技術規範、調和國防、化學產品、環境、汽車產業、食品與飼料安全，以及包含人工智慧在內的數位新興議題。其中，「第七號數位綜合法案」核心目的即在於簡化歐盟的數位立法框架，並落實全歐盟統一的人工智慧調和規範[3]。 另一方面，鑑於當前兒少網路參與度大幅提升及科技的急速發展，除加劇刑事執法之訴追難度外，亦衍生新型態之數位侵害手段，包括犯罪者利用人工智慧等新興技術將兒少視為下手目標。雖然歐盟現行主要規範兒少性侵害與性剝削之刑事法制，為2011年通過之《打擊兒童性虐待與性剝削指令》（Directive 2011/93/EU on combating the sexual abuse and sexual exploitation of children and child pornography），但為填補此一科技漏洞，歐盟亦於「第七號數位綜合法案」修正案中，針對深偽影像（deepfake）氾濫問題提出對策，並於《打擊兒童性虐待與性剝削指令》中進行修法研議[4]。 貳、重點說明 此次修法有兩大重點，一為延後AIA設定的義務期限，並在修訂事項中調整與其他產業法規的競合關係；二為在《歐盟人工智慧法》第5條「不可忍受之風險」增訂一項新條文，禁止生成未經當事人同意的性私密影像內容，以及兒童性剝削素材（child sexual abuse material, CSAM），同時亦在其他相關法律有配套之修法研議共同打擊涉及之AI數位性暴力犯罪，保障兒少人權。 一、簡化歐盟的數位法制監管框架 （一）調整AIA之合規時程 本次修法在於動態調整AIA設定的合規時程，包括延後高風險AI系統的義務期限，將「獨立型高風險AI」延至2027年12月2日適用，以及將「產品嵌入型高風險AI」延至2028年8月2日適用[5]。同時，將會員國應建置「國家級AI監理沙盒」的法定期限延展至2027年8月2日[6]，以提供企業及政府機關更充裕的準備期間，完成技術、治理及法遵機制的調整，降低法規適用初期的合規負擔，並確保新制度得以順利銜接與落實[7]。 （二）釐清不同法律之適用關係 為促使企業能有效遵守AIA的監管相關規定，於修法上明確劃分與其他特定產業法規（如醫療器材、玩具、電梯及船舶等產業）的適用關係，並課予歐盟執委會制定指引之義務，協助涉及高風險AI系統的開發商或經營者，能依據指引遵循AIA的高風險AI治理規範並同時降低其法遵成本[8]。換言之，如特定產業法規已明定與AIA相仿之AI法律規範，但會與AIA產生競合問題，如要排除AIA之適用則須於歐洲議會就產業法規進行修正。為降低修法成本，AIA此次修法賦予歐盟執委會「授權法規」（delegated acts）之權限[9]，得制定法規命令協調產業法規與AIA之適用關係，並在特定範圍內限制或排除AIA之適用[10]。同時要求歐盟執委會應發布相關指引，指導企業遵守人工智慧風險治理相關規範[11]。藉由此類機制，確立特定產業法規的優先適用原則，並藉此排除AIA與其他法規的競合矛盾，以避免企業因身陷法規的多頭馬車而面臨沉重的法遵負擔[12]。 二、強化AI治理下的兒少人權與性別平等措施 （一）AI衍生之數位性暴力納入不可忍受風險 於「第七號數位綜合方案」修正案中，針對深偽影像部分，修法強化業者導入「人工生成內容」的透明度標示義務，將原本的合規寬限期從6個月縮短至3個月[13]，亦即提前至今年12月2日全面施行[14]。同時，將非自願的生成式性私密影像及兒少性剝削生成式素材列為AIA第5條之不可忍受風險，並將會生成真實人物裸照，或修改現有照片衣物以暴露私密部位的AI系統，定於今年12月起全面禁用[15]。 （二）配套法律之相關修正 無獨有偶，歐盟理事會與歐洲議會代表亦於6月22日，針對《打擊兒童性虐待與性剝削指令》之修正法案，達成暫時性政治共識（provisional agreement）[16]。擬將凡是設計或改造AI系統以產出兒童性剝削素材，以及散布此類系統之行為，或以「AI 提示詞（prompt）」製作兒童性剝削素材之教學指引行為，納為刑事犯罪。後續，該修正法案若獲得歐盟理事會與歐洲議會的通過，會員國必須在3年內修改其國內刑法的相關規範，以符合修訂後之歐盟指令，藉此提升歐盟境內對兒少人權之保護，避免遭受新型態數位性暴力而影響其身心健康發展[17]。 參、事件評析 整體而言，「第七號數位綜合法案」就AIA的修正法案主要是透過義務時程的調整來緩和硬法（hard law）監管之治理模式，亦及體恤企業並維持歐洲競爭力，因此放寬並延後了醫療、機械、金融等高度涉及高風險AI應用相關產業的適用時程，避免沉重的法遵成本與合規摩擦，藉由「時間換取空間」之方式，讓企業在數位轉型上有較大的經營空間。儘管如此，歐盟亦堅守其基本人權底線，對於兒少權益、性別平等採取堅硬態度，除將生成式AI透明度義務的合規時程提前，更將AI的數位性暴力納入不可忍受風險，同時封殺AI脫衣（nudification）系統，並配合相關修法，研議將運用AI涉及兒少數位性暴力之行為列為刑事犯罪，其鐵腕手段正印證歐洲對人工智慧「以人為本」之精神。 對臺灣而言，雖然《人工智慧基本法》於今年1月14日施行，大部分的作用法及配套措施仍待規劃當中，我國之法律框架也並非採取歐洲治理模式，但歐盟就境內企業發展所採取之法規調適，值得我國留意，比如中小企業會面臨導入人工智慧的法遵成本與合規摩擦，政府應研議其配套措施。此外，對於兒少人權之保障，《人工智慧基本法》亦反映相同之立法精神，比如第5條規定：「政府應以兒少最佳利益為原則，人工智慧產品或系統經中央目的事業主管機關會商數位發展部認定為高風險應用者，應明確標示注意事項或警語」，我國仍需留意針對兒少而衍生之新型態數位性暴力議題，不論是否要行政管制或以刑罰相繩，此類風險必須被認真對待，並思考出適當的應對機制。 本文為資策會科法所創智中心完成之著作，非經同意或授權，不得為轉載、公開播送、公開傳輸、改作或重製等利用行為。 本文同步刊登於TIPS網站（https://keid.nat.gov.tw/tips/） [1] 第七號數位綜合法案涉及兩個領域的法律修正案，其中一個針對人工智慧領域，即AIA的修正案，另一個則是涉及個人資料保護與網路資訊安全的法律修正案，包括《一般資料保護規則》（General Data Protection Regulation, GDPR）與歐盟NIS 2指令。前者已通過，後者因未取得共識尚在審議中。因此，本文討論的修法僅限於AIA的修正法案。詳細內容可以參考European Council, Simplification of EU rules, https://www.consilium.europa.eu/en/policies/simplification/(last visited July 13, 2026). [2] European Parliament, AI Act: EP approves simplification measures and “nudifier” app ban, https://www.europarl.europa.eu/news/en/press-room/20260611IPR45207/ai-act-ep-approves-simplification-measures-and-nudifier-app-ban(last visited July 13, 2026). [3] European Council, Artificial Intelligence: Council gives final green light to simplify and streamline rules, https://www.consilium.europa.eu/en/press/press-releases/2026/06/29/artificial-intelligence-council-gives-final-green-light-to-simplify-and-streamline-rules/(last visited July 13, 2026). [4] European Council, Combatting child sexual abuse: EU agrees stronger criminal law rules and enhanced support to victims, https://www.consilium.europa.eu/en/press/press-releases/2026/06/22/combatting-child-sexual-abuse-eu-agrees-stronger-criminal-law-rules-and-enhanced-support-to-victims/(last visited July 13, 2026). [5] 修正AIA第113條，原本實施日期是2026年8月2日。立法文件see European Parliament & European Council, Regulation of the European Parliament and of the Council amending Regulations (EU) 2024/1689, (EU) 2018/1139 and (EU) 2023/1230 as regards the simplification of the implementation of harmonised rules on artificial intelligence (Digital Omnibus on AI), PE 30/2026 INIT, 2026, p. 33. [6] 修正AIA第57條，原本實施日期是2026年8月2日。立法文件見同前註5，頁60。 [7] 同前註3。 [8] 簡單來說，若該產業法規已提供等同或更高程度的健康、安全或基本權利保護，歐盟執委會得限制或排除AIA中特定義務，包括對高風險AI系統的「系統性要求」，如風險管理系統、系統上市前的技術文件資料、資料保存義務等，詳細內容參考，同前註5，頁42。 [9] 歐盟之授權法規（delegated acts）在性質上類似於我國基於法律授權之法規命令。依據《歐洲聯盟運作條例》第290條之規定，歐洲議會及理事會得於立法中授權歐盟執委會，由其自行制定非立法性且具普遍適用性之法規，用以補充或修正該法律之特定非核心要素。see Consolidated Version of the Treaty on the Functioning of the European Union art. 290, 2016 O.J. (C 202) 1, 172). [10] 新增AIA第2條第13項，同前註5，頁42。另外，歐盟理事會以機械產品法規（machinery regulation）為例說明，歐盟執委會得制定授權法規增訂關於高風險AI機械產品的健康與安全規範要求以免除適用AIA，同前註3。 [11] 修正AIA第96條第1項，要求歐盟執委會必須在2027年8月1日前發布指引，同前註5，頁86。 [12] 同前註3。 [13] 僅限於AIA第50條第2項機器可讀的數位浮水印或技術標籤的標示義務，同前註3。 [14] 新增AIA第111條第4項，同前註5，頁90。 [15] 同前註5，頁47。 [16] 暫時性政治共識（provisional agreement），係指歐盟立法程序中，歐洲議會（European Parliament）、歐盟理事會（Council of the European Union）及歐盟執行委員會（European Commission）進行三方協商（trilogue）後，由歐洲議會與歐盟理事會就法案內容達成的初步政治協議。該協議尚須依各機構內部程序正式批准，始完成立法程序並具法律效力。 [17] 同前註4。
藥品監管機構負責人組織與歐洲藥品管理局聯合巨量資料指導小組發布2021-2023年工作計畫，提高巨量資料於監管中之效用藥品監管機構負責人組織（Heads of Medicines Agencies, HMA）與歐洲藥品管理局（European Medicines Agency, EMA）聯合巨量資料指導小組（HMA-EMA joint Big Data Steering Group, BDSG）於2021年8月27日發布「巨量資料指導小組2021-2023年工作計畫」（Big Data Steering Group Workplan 2021-2023），將採以患者為焦點（patient-focused）之方法，將巨量資料整合至公衛、藥物開發與監管方法中，以提高巨量資料於監管中之效用。指導小組將利用「資料分析和真實世界訊問網路」（Data Analysis and Real World Interrogation Network, DARWIN EU）作為將真實世界資料整合至監管工作之關鍵手段； DARWIN EU諮詢委員會（Advisory Board）已於2021年建立，DARWIN EU協調中心（Coordination Centre）亦將於2022年初開始運作。 為確保資料品質與代表性，未來工作計畫將與「邁向歐洲健康資料空間–TEHDAS」（Towards A European Health Data Space – TEHDAS）合作，關注資料品質之技術與科學層面，並將於2022年提出第一版「歐洲監管網路資料品質框架」（data quality framework for the EU Regulatory Network）、「真實世界資料來源選擇標準」（criteria for the selection of RWD sources）、「詮釋資料優良規範指引」（metadata good practice guide）、「歐盟真實世界資料公用目錄」（public catalogue of European RWD）等規範。 此外，工作計畫將於2021年底舉辦「學習計劃」（learnings initiative）研討會，討論包括EMA人用藥品委員會（Committee for Medicinal Products for Human Use, CHMP）對於真實世界證據於藥品上市許可申請（Marketing Authorization Application, MAA）、適應症擴張（extensions of indications）之審查，以及過去真實世界資料分析試點於委員會之決策等議題，以利後續指引之修正。 最後，工作計畫預計於2021年底完成「健康照護資料二次使用之資料保護問與答文件」（question and answer document on data protection in the context of secondary use of healthcare data），以指導利益相關者與促進公共衛生研究，並發布由歐盟監管網路（EU Regulatory Network）同意之對於藥品監管（包括巨量資料）之資料標準化戰略。