由Meta案看數位資料商業化面臨之跨國問題
於2023年5月22日愛爾蘭資料保護委員會（Ireland's Data Protection Commission, DPC）對於Facebook的母公司Meta將歐盟境內資料傳輸到美國的行為做出開罰12億歐元的決定，並暫停資料跨境傳輸行為，再次引起了各界對於資料跨境傳輸的關注。
針對跨國提供網路服務的企業，如何確保企業處理資料的方式可以符合多國的法規要求，向來是一困難的問題。自從2015年「安全港隱私準則」（Safe Harbour Privacy Principles）被歐盟法院宣告失效後，美國與歐盟試圖就資料跨境傳輸重新達成一個可符合雙方要求的框架，包含2020年被歐盟法院宣告無效的「隱私盾框架」（EU-US Privacy Shield Framework），而2022年3月雙方達成原則性同意的歐盟美國資料隱私框架（EU-U.S. Data Privacy Framework, DPF），惟就美國於同年10月發布用以實施之行政命令（EO 14086），亦於2023年5月被歐洲議會認為對於歐盟境內資料的保護不足。
2023年6月8日英國跟美國共同發布建立英美資料橋（UK-US data bridge）的聯合聲明，以建立起英美之間的資料流動機制，但該英美資料橋是基於歐盟美國資料隱私框架做進一步的擴展，能否符合歐盟對於資料保護的要求，目前尚無法預期。
目前的商業模式中資料跨境傳輸是難以避免的現實困境，各國亦就資料跨境傳輸建立框架，企業需持續關注自身營業所在地之法規變化，以即時因應調整自身管理機制。
本文同步刊登於TIPS網站（https://www.tips.org.tw/）
- Shiona McCallum, Meta: Facebook owner fined €1.2bn for mishandling data, BBC NEWS, May 28, 2023
- Ana Hadnes Bruder, Oliver Yaros, David A. Simon & Salome Peter, European Parliament Adopts Resolution About the Draft US Adequacy Decision , MAYER BROWN, Jun. 6, 2023
- Jan-Luca Jorzyk* & Amancaya Schmitt, The “Trans-Atlantic Data Privacy Framework” – Finally a Legally Secure Data Transfer to the United States? , Littler, May 17, 2023
- 【新北場】通訊傳播事業個資法遵教育訓練
- 【高雄場】通訊傳播事業個資法遵教育訓練
- 【台北場2】通訊傳播事業個資法遵教育訓練
- 114年「企業營業秘密保護實務座談會」（南部場）
- 114年「企業營業秘密保護實務座談會」（中部場）
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
- 【上午場】探索科技法律最前線：資策會科法所「114年成果」分享會暨簡報票選
- 【下午場】探索科技法律最前線：資策會科法所「114年成果」分享會暨簡報票選
- 商業服務業個資管理與資訊安全實務宣導說明會（高雄場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台南場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台中場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台北場）※如遇颱風假延期至7/16
莊越程
高級法律研究員 編譯整理
Shiona McCallum, Meta: Facebook owner fined €1.2bn for mishandling data, BBC NEWS, May 28, 2023, https://www.bbc.com/news/technology-65669839 (last visited Jun. 19, 2023).
Ana Hadnes Bruder, Oliver Yaros, David A. Simon & Salome Peter, European Parliament Adopts Resolution About the Draft US Adequacy Decision , MAYER BROWN, Jun. 6, 2023, https://www.mayerbrown.com/en/perspectives-events/publications/2023/06/european-parliament-adopts-resolution-about-the-draft-us-adequacy-decision (last visited Jun. 19, 2023).
Jan-Luca Jorzyk* & Amancaya Schmitt, The “Trans-Atlantic Data Privacy Framework” – Finally a Legally Secure Data Transfer to the United States? , Littler, May 17, 2023, https://www.littler.com/publication-press/publication/trans-atlantic-data-privacy-framework-finally-legally-secure-data (last visited Jun. 19, 2023).
科法觀點
以色列創新、科學及技術部（Ministry of Innovation, Science and Technology）於2023年12月17日公布以色列首個關於人工智慧的監管和道德政策，在各行各業將人工智慧作為未來發展方向的趨勢下，以多元、協作、原則、創新的理念為其導向，為了化解偏見、人類監督、可解釋性、透明度、安全、問責和隱私所帶來的衝擊，以色列整合政府部門、民間組織、學術界及私部門互相合作制定政策，以求解決人工智慧的七個挑戰，帶領以色列與國際接軌。 該人工智慧政策提出具體政策方向以制定措施，其中具有特色的三項為： 1. 軟性監管：人工智慧政策採取軟性監管制度，以OECD人工智慧原則（OECD AI Principles）為基礎，採行制定標準、監督與自律等方式促進人工智慧永續發展，注重以人為本的道德原則，強調創新、平等、可靠性、問責性。 2. 人工智慧政策協調中心（AI Policy Coordination Center）：邀集專家學者成立跨部門的人工智慧政策協調中心，進行人工智慧政策研議，向政府部門監管提出建言，為人工智慧的開發使用建立風險管理，並代表國家參與國際論壇。 3. 公眾參與及國際合作：政府機關與監管機構舉辦人工智慧論壇，提出人工智慧的議題與挑戰，邀請相關人士參與討論，並積極參與國際標準制定，進行國際合作。 我國科技部在2019年邀集各領域專家學者研議提出「人工智慧科研發展指引」，強調以人為本、永續發展、多元包容為核心，以八大指引為標竿，推動人工智慧發展。我國已有跨部會溝通會議對於人工智慧法制政策進行研討，可觀察各國軟性監管措施作為我國人工智慧風險管理及產業政策參考，與國際脈動建立連結。
美國聯邦最高法院於Michigan v. EPA案中認定減碳措施需先考量成本效益 英國將建立全國性的身份證資料庫英國財政部於表示新成立的身份與護照服務 (Identity and Passport Service, IPS) 將接管由國家統計局 (Office for National Statistics) 所負責的市民資訊計劃 (Citizen Information Project) ，此一計劃之目的係為建立一個包含個人姓名、住址、生日以及一個獨特的身份證字號的成人人口註冊系統 (Adult Population Register) 。 IPS 將負責發展全國身份登記系統 (National Identity Register ， NIR) 以作為成人人口資料庫 (Adult Population Database) 。之後，將以 NIR 中所儲存的資料為最終的個人聯絡資料來源。目前此一資料庫只針對年滿 16 歲的成人進行聯絡資料的蒐集，不含兒童的聯絡資料在內，至於是否要建立兒童人口資料庫則有待更進一步的商討。
歐盟電信網路新修規章通過網路中立條款2015年10月27日歐洲議會通過電信網路新修規章(Regulation 2015/2120)，內容包括網路中立(Net Neutrality)條款，該規章將拘束歐盟全體會員國之資訊通信法規，並確立歐盟境內之網路中立原則。在本次立法之前，歐盟境內未建立統一的網路中立法規，僅荷蘭、斯洛維尼亞及芬蘭制定國內網路中立法規。 網路中立係指各種網路應用、內容或服務，均應受到平等對待，網路服務業者 (Internet Service Provider，以下簡稱ISP)不得任意實施差別待遇，例如攔阻(blocking)、延後傳送順序或降速(throttling)等。依據歐盟新修規章第3(3)條規定，ISP應平等處理所有網路流量，但同條之例外條款允許ISP在特定條件下，採取合理的流量管制措施。ISP流量管制之標的必須係基於因技術上服務需求之差異，所客觀形成之不同類別，換句話說，ISP不得因商業考量而對個別網路使用者產生差別待遇，僅得針對客觀的類別進行流量差異管制，例如點對點(Peer-to-Peer，P2P)傳輸軟體下載與語音電話，因流量傳輸需求不同，屬於不同的類別，是故，對於這兩種類別可採取不同之傳輸速度。同時，ISP的管制措施必須符合透明、非歧視性及比例原則。ISP亦不得監看特定內容，而管制期間不得超過必要之期限。 除了上述因客觀類別所採取之差別待遇之外，該規章亦賦予ISP得因特定法定事項而採取流量管制，該法定事項包括： 1.基於法律規範或執法需要而進行管制：包括符合歐盟法或會員國國內法之規定、以及法院或行政機關之命令或授權。 2.為了維持網路服務之完整性及安全性所採取之管制，包括網路、透過網路提供之服務或終端使用者(個人及企業)之終端設備。 3.防止即將產生之網路塞車或減輕網路塞車情況，但其前提為相同之網路服務類別必須給予平等之待遇。 歐盟之新修規章試圖在網路中立原則下，建立合理的管制措施規範。但該規章仍存有一些爭議性，包括： 1.為了讓醫療用途等網路流量能被優先處理，該規章允許ISP針對類別差異給予不同傳輸速度。但類別之區分方式仍不夠明確，可能導致ISP得恣意實施差別待遇。 2.法條未限制網路公司與電信業者結盟，ISP可依據商業契約讓某些網路使用不計入資費的使用量(zero rating)，可能導致大公司占據競爭優勢，不利新興公司的發展。 3.有關加密資料之類別決定，ISP須進行解密查看才知道該加密資料符合何種傳輸類別，但此舉會引發資料保護之問題，因此加密資料之傳輸問題仍尚待解決。 4.為了促使網路暢通，該規章允許網路塞車時或有塞車之虞時，ISP可進行流量管制。但後續必須清楚界定網路塞車之虞的情況，以避免賦予ISP過多管制權限。 歐盟新修規章已完成立法，後續將交由歐盟電信管制機關(Body of European Regulators for Electronic Communications，BEREC)訂立細部辦法，以拘束歐盟各會員國的網路服務業者，同時各會員國也必須修改國內相關法規，以符合該規章之規範。