日本公布「特定數位平臺之透明性及公正性提升法」之透明性及公正性評鑑指標

日本經濟產業省(METI)於2022年12月22日於官網公布「特定數位平臺之透明性及公正性評鑑」報告(特定デジタルプラットフォームの透明性及び公正性についての評価),首次針對擁有數位平臺的大型IT(Information Technology)企業完成交易機制透明性及公正性評鑑,並要求被評鑑之企業進行改善。

該評鑑依據「特定數位平臺之透明性及公正性提升法」 (特定デジタルプラットフォームの透明性及び公正性の向上に関する法律,以下稱「透明化法」),透明化法於2020年5月通過並已在2021年2月施行。其目的是為了提高交易之透明性以及公正性,具體指定「特定數位平臺」之企業,並列為評鑑對象,課予其有揭露或公開特定訊息,與進行改善的義務。

本次的評鑑內容,是依該法第4條第1項、第8條以及第9條第2項所定,交易條件之資訊揭露義務為基礎,由日本經濟產業大臣指定數位平臺企業(提供者の指定),進行個案評鑑(評価)並要求其改善(勧告)。依據個案評鑑之內容,日本針對數位平臺之透明度及公正性之判斷,歸納出下列具有共通性之指標:

1.企業有揭露交易條件之義務
2.企業有完善交易機制之義務
3.企業有積極處理用戶申訴與糾紛之義務
4.針對應用程式商店(アプリストア),課徵手續費(手数料)與會員付款結帳(課金)方式之限制,企業有詳細說明之義務
5.企業本身或關係企業與平臺其他用戶之間須公平競爭,例如:企業與直營或非直營商店之間,具有利害關係或有優待行為時,企業須公開其管理方針,並列入內部稽核事項,使其能檢視差別對待之正當性。
6.停用帳戶或刪除之手續,企業在30天之前,就該處置之內容和理由,對消費者有通知之義務。
7.退款或退貨之流程,企業有積極和具體說明之義務,且須將處置成果公開。

關於評鑑對象之指定,是依同法第4條第1項所授權,由日本經濟產業省進一步於2021年2月1日頒布政令,以事業種類與規模進行區分。此外,被列為評鑑對象之企業必須在每年5月底前,各自將企業內部的因應措施,提交總結報告,並由經濟產業大臣進行審閱。值得注意的是,依評鑑結果所要求的改善措施,原則上以企業自主改善為要旨,但日本政府目前正商討今後是否需要以強制力介入;對於被列為評鑑企業之後續改善措施及透明化法之推動方向,值得作為我國數位平臺治理政策之借鏡與觀察。

相關連結
你可能會想參加
※ 日本公布「特定數位平臺之透明性及公正性提升法」之透明性及公正性評鑑指標, 資訊工業策進會科技法律研究所, https://stli.iii.org.tw//article-detail.aspx?d=9065&no=64&tp=1 (最後瀏覽日:2026/06/06)
引註此篇文章
你可能還會想看
全球首宗BitTorrent侵權案被判定有罪

  2005 年 10 月 24 日,香港屯門法院判定一名男子利用 BT ( BitTorrent )軟體非法散布三部電影的行為構成刑事犯罪。這是全球首宗有人因使用 BT 軟體而被法院裁定罪名成立。      判案書指出,該名男子將電腦內存放之影片製作成「種子」( seed ),並在網路新聞群組上宣傳自己的「種子」,以便他人下載,由於這些「種子」下載量很大,對版權所有人造成侵害,已違反了香港法例第 528 章《版權條例》第 118 條之散布( distributes )侵權重製物罪。雖然香港法例對於“散布”一詞並未詳細界定,但香港法院解釋認為,上傳 BT 種子的行為已屬於一種散布行為。   這項判決雖存有解釋上的疑義,但是本案將同時對國際間的種子提供者、下載者以及提供 BT 軟體的公司產生重大影響。蓋 BT 本身也屬於一種 P2P 軟體,下載者在下載檔案的過程中,本身也將承擔部分上傳資料的工作,故也可能在無意中觸犯相關刑罰。此外,提供 BT 軟體的公司也可能涉及侵權,因為據今年 6 月美國最高法院裁定, P2P 軟體公司必須為其客戶的侵權行為負責。

歐盟執委會以聯合行為處罰智慧卡晶片製造商1.38億歐元

  據調查,英飛凌(Infineon)、飛利浦(Philips)、三星電子(Samsung)及瑞薩電子(在當時為日立與三菱之合資公司) (Renesas,Hitachi 及Mitsubishi)在2003年9月至2005年9月間,藉由雙邊接觸以串謀有關智慧卡晶片相關事項;歐盟執委會認為該些公司在歐洲經濟區內(EEA)有對於智慧卡晶片之聯合行為,違反歐盟反托拉斯法(Cartels)。執委會因此對其處罰138,048,000歐元。瑞薩電子因符合2006年之寬恕告知(2006 Leniency Notice)而向執委會揭發智慧卡晶片之聯合行為,故免除罰鍰,三星因配合調查而減免30%之罰鍰。   該些進行聯合行為之公司係藉由雙方接觸來往決定個別回應顧客要求降價之方式。他們討論並交換機密之商業資訊,包含價錢、客戶、契約協商、產能或產能利用率及未來之市場行為。該行為違反了禁止聯合行為和限制商業活動之歐盟運作條約(TFEU)第101條及歐盟經濟區協定第53條。   負責競爭政策之執委會副主席Joaquín Almunia說: 在這個數位時代,不管是在手機、信用卡或護照裡,幾乎每個人都在使用智慧卡晶片。製造商應藉由創新及以最佳的價格提供最好產品之方式,致力於勝過競爭對手。若製造商不這麼作,反而選擇串謀,而造成消費者利益的損失,應受到制裁。   最初,執委會希冀藉由2008年調解通告(2008 Settlement Notice)而尋求與部分公司和解之可能性。然而,基於調解協商之進展緩慢,執委會遂於2012年決定停止調解而回歸至正常程序。

歐盟資料保護工作小組修正通過個人資料侵害通報指引

歐盟資料保護工作小組修正通過「個人資料侵害通報指引」 資訊工業策進會科技法律研究所 法律研究員 李哲明 2018年3月31日 壹、事件摘要   因應歐盟「通用資料保護規則」(The General Data Protection Regulation,或有譯為一般資料保護規則,下簡稱GDPR)執法即將上路,針對個人資料侵害之通報義務,歐盟資料保護工作小組(Article 29 Data Protection Working Party, WP29)特於本(2018)年2月6日修正通過「個人資料侵害通報指引」(Guidelines on Personal data breach notification under Regulation 2016/679),其中就GDPR所規範個資侵害之定義、對監管機關之通報、與個資當事人之溝通、風險及高風險評估、當責與紀錄保存及其他法律文件所規定之通報義務等,均設有詳盡說明與事例。 貳、重點說明 一、何謂個資侵害?個資侵害區分為哪些種類?   依據GDPR第4條(12)之定義,個資侵害係指:「個人資料因安全性之侵害所導致意外或非法之毀損、喪失、修改、未經授權之揭露、存取、個資傳輸、儲存或其他處理。」舉例來說,個人資料之喪失包括含有控制者(controller)顧客資料庫的備份設備之遺失或遭竊取。另一例子則為整份個資的唯一檔案遭勒索軟體加密,或經控制者加密,但其金鑰已滅失。依據資訊安全三原則,個資侵害之種類區分為: 機密性侵害(Confidentiality breach):未經授權、意外揭露或獲取個人資料。 完整性侵害(Integrity breach):未經授權或意外竄改個人資料。 可用性侵害(Availability breach):在意外或未經授權之情況下,遺失個人資料存取權限或資料遭銷燬。 二、何時應為通知?   按GDPR第33條(1)之規定,當個資侵害發生時,在如果可行之情況下,控制者應即時(不得無故拖延)於知悉侵害時起72小時內,依第55條之規定,將個資侵害情事通報監管機關。但個資侵害不會對自然人之權利和自由造成風險者,不在此限。倘未能於72小時內通報監管機關者,應敘明遲延之事由。 三、控制者「知悉」時點之判斷標準為何?   歐盟資料保護工作小組認為,當控制者對發生導致個人資料侵害的安全事件達「合理確信的程度」(reasonable degree of certainty)時,即應視為其已知悉。以具體事例而言,下列情況均屬所謂「知悉」: 在未加密個人資料的情況下遺失USB密鑰(USB Key),通常無法確定是否有未經授權者將獲致存取資料權限。即使控制者可能無法確定是否發生機密性侵害情事,惟仍應為通知,因發生可用性侵害之情事,且已達合理確信的程度。   故應以控制者意識到該密鑰遺失時起為其「知悉」時點。 第三人通知控制者其意外地收到控制者的客戶個人資料,並提供該揭露係未經授權之證據。當侵害保密性之明確證據提交控制者時,即為其「知悉」時點。如:誤寄之電子郵件,經非原定收件人通知寄件者之情形。 當控制者檢測到其網路恐遭入侵,並針對其系統進行檢測以確認個人資料是否遭洩漏,嗣後復經證實情況屬實,此際即屬「知悉」。 網路犯罪者在駭入系統後,聯繫控制者以索要贖金。在這種情況下,控制者經檢測系統並確認受攻擊後,亦屬「知悉」。   值得注意的是,在經個人、媒體組織、其他來源或控制者自我檢測後,控制者或將進行短暫調查,以確定是否發生侵害之事實。於此調查期間內所發現之最新侵害情況,控制者將不會被視為「知悉」。然而,控制者應儘速展開初步調查,以形成是否發生侵害事故之合理確信,隨後可另進行更詳盡之調查。 四、共同(聯合)控制者之義務及其責任分配原則   GDPR第26條針對共同控制者及其如何確定各自之法遵義務,設有相關規定,包括決定由哪一方負責遵循第33條(對主管機關通報)與第34條(對當事人通知)之義務。歐盟資料保護工作小組建議透過共同控制者間之契約協議,約明哪一方係居主要地位者,或須負責盡到個資侵害時,GDPR所定之通知義務,並載於契約條款中。 五、通報監管機關與提供資訊義務   當控制者通報監管機關個資侵害情事時,至少應包括下列事項 (GDPR第33條(3)參照): 敘述個人資料侵害之性質,包括但不限於所涉之相關個資當事人、個資紀錄及其類別、數量。 傳達資料保護長(DPO)或其他聯絡人之姓名與聯絡方式,俾利獲得進一步資訊。 說明個資侵害可能之後果。 描述控制者為解決個資侵害業已採取或擬採行之措施,在適當情況下,酌情採取措施以減輕可能產生之不利影響。   以上乃GDPR要求通報監管機關之最基本事項,在必要時,控制者仍應盡力提供其他細節。舉例而言,控制者如認為其處理者係個資侵害事件之根因(root cause),此時通報並指明對象即可警示委託同一處理者之其他控制者。 六、分階段通知   鑒於個資事故之性質不一,控制者通常需進一步調查始能確定全部相關事實,GDPR第33條(4)爰設有得分階段通知(notification in phases)之規定。凡於通報時,無法同時提供之資訊,得分階段提供之。但不得有不必要之遲延。同理,在首次通報後之後續調查中,如發現該事件業已受到控制且並未實際發生個資侵害情事,控制者可向監管機關為更新。 七、免通報事由   依據GDPR第33(1)條規定,個資侵害不會對自然人之權利和自由造成風險者,毋庸向監管機關通報。如:該遭洩露之個人資料業經公開使用,故並未對個人資料當事人構成可能的風險。   必須強調的是,在某些情形下,未為通報亦可能代表既有安全維護措施之缺乏或不足。此時監管機關將可能同時針對未為通報(監管機關)或通知(當事人),以及安全維護措施之缺乏或不足,以違反第33條或(及)34條與第32條等獨立義務規定為由,而依第83條4(a)之規定,併予裁罰。 參、事件評析 一、我國企業於歐盟設有分支機構或據點者,宜指派專人負責法遵事宜   揆諸GDPR前揭規定,當個資侵害發生時,控制者應即時且不得無故拖延於知悉時起72小時內,將個資侵害情事通報監管機關。未能履踐義務者,將面臨最高達該企業前一會計年度全球營業額之2%或1千萬歐元,取其較高者之裁罰。我國無論金融業、航運業、航空運輸業、電子製造業及進出口貿易業者等,均或有於歐盟成員國境內或歐洲經濟區(European Economic Area)當地設立子公司或營業據點。因此,在GDPR法遵衝擊的倒數時刻,指派具瞭解GDPR規定、當地個資隱私法遵規範、擅長與隱私執法機構溝通及充要語言能力者專責法遵業務實刻不容緩。蓋此舉可避免我國企業母公司鞭長莫及,未能及時處置而致罹法典之憾。 二、全面檢視個資業務流程,完備個資盤點與風險評鑑作業,掌握企業法遵現況   企業應全面檢視業務流程,先自重要核心業務中析出個資作業流,搭配全面個資盤點,並利用盤點結果進行風險評鑑,再針對其結果就不同等級之風險採行相對應之管控措施。此外,於全業務流程中,亦宜採行最小化蒐集原則,避免蒐集過多不必要之個人資料,尤其是GDPR所定義之敏感個資(如:種族、民族血統、政治觀點、宗教信仰、哲學信仰、工會會員資格等個人資料,及遺傳資料的處理,用於識別特定自然人之生物識別資料、健康資料、性生活、性取向等)或犯罪前科資料,俾降低個人資料蒐集、處理、利用、檔案保存及銷燬之全生命週期流程中的風險。此舉亦契合我國個人資料保護法第5條所揭櫫之原則。 三、立法要求一定規模以上之企業須通過個資隱私法遵第三方認(驗)證,並建置認證資訊公開平台   鑒於國際法遵衝擊以及隱私保護要求之標準線日漸提升,我國企業除自主導入、建置並維運相關個資保護與管理制度以資因應,更有賴政府透過法令(如:修正個人資料保護法)強制要求一定規模以上之企業通過第三方專業驗證,俾消弭風險於日常準備之中。蓋我國具一定規模以上企業,無論其係屬何種業別,一旦違反國際法遵要求,遭致鉅額裁罰,其影響結果將不僅止於單一企業,更將嚴重衝擊該產業乃至於國家整體經貿發展。職是,採法律強制要求企業定期接受獨立、公正及專業第三方認(驗)證,咸有其實益性與必要性。

澳洲競爭及消費者委員會(ACCC)就大型數位平臺對於消費者權益和市場競爭的問題提出建言

澳洲競爭及消費者委員會(Australian Competition and Consumer Commission, ACCC)於2022年11月發佈了數位平臺第五份調查報告。該報告係ACCC受澳洲政府委託,於2020年起對數位平臺相關的消費者權益和市場競爭問題的調查,本次報告將重點放在監管如何改革。主要提供的建議和警示可分為五個方向: 1.反競爭行為 大型數位平臺擁有巨大的市場力量和重要的財政資源,佔據主導地位的數位平臺公司有能力和動機透過排他性行為和收購潛在競爭對手,以維持其在市場中的優勢地位。 2.消費者和中小企業保護不足 ACCC於2022年所發佈的最新報告與其自2017年開始進行數位平臺研究起所發布的其他報告一致,皆指出數位平臺的服務有以下潛在危害: ● 利用消費者偏見或引導消費者的方式向消費者提供服務。 ● 數位平臺上的詐騙明顯且持續增加。 ● 來自應用程式商店提供的不當和欺詐性應用程式的危害。 ● 創建、購買和銷售虛假評論以及以其他方式操縱評論的做法。 ● 欠缺救濟和爭議解決的途徑。 3.保護消費者的新措施 澳洲現有的競爭和消費者法律已難以因應數位平臺市場所面臨的消費者權益侵害和競爭危害等問題。該報告建議進行立法改革,具體如下: ● 商業市場中的消費者保護措施,包括禁止不公平交易行為和不公平契約條款。 ● 針對數位平臺的消費者爭議措施,包括強制規定內部和外部的爭議解決流程,以及平臺對詐騙、有害程式和虛假評論的預防和刪除義務。 ● 建立新的競爭框架,使受指定的數位平臺提供服務時受到適用於此一領域的強制性法規拘束。 ● 受指定數位平臺將應遵循之新框架和守則,以遵守競爭義務,避免其在市場中的反競爭行為,如競爭行為中的自我偏好(self-preference)等。 4.管轄 該調查報告亦指出適當且明確的管轄權限劃分對於新的監管框架來說非常重要,應在考慮到其專業知識和權責範圍的前提下,將監管責任分配給正確的管理機構,並且這些監管在流程中的各個環節都應受到適當的監督。 對於新的競爭框架及監管措施,ACCC建議可以參考英國當前的制度設計;英國政府成立了數位市場部門(Digital Markets Unit, DMU),該部門隸屬於競爭與市場管理局(Competition and Markets Authority),DMU負責監督受指定數位平臺,並在符合公平貿易、選擇開放、透明及信任等前提之下,DMU得視各個公司不同的情況對其進行特定的要求,如建立面對非法內容、對成人或未成年人有害內容時的應對措施等。 5.與國際方針的一致性 過去,澳洲在數位平臺監管策略採取了領先國際的創新行動,透過實施《新聞媒體議價法》(News Media Bargaining Code),要求數位平臺為新聞內容付費。但未來澳洲政府最終採用的策略將可能仿效他國經驗或是依循國際間共通模式,如英國推行中的《網路安全法》(Online Safety Bill)或歐盟的《數位市場法》(Digital Market Act)和《數位服務法》(Digital Services Act),而非獨樹一幟。 澳洲數位平臺監管策略之後續變化與進展值得持續追蹤,以做為我國數位平臺治理政策之借鏡。

TOP