美國國防部(Department of Defense, DoD)於2024年6月25日發布「關鍵點:國防部資訊技術發展戰略」(Fulcrum:DoD Information Technology (IT) Advancement Strategy),將持續促進DoD之IT變革,並為未來奠定基礎。
本戰略描述作戰人員在推動IT方面應達成之目標與重要性,並列出提供聯合作戰IT能力、資訊網路與運算現代化、最佳化IT治理、栽培第一數位人力等四大目標(Line of Effort, LOE),簡述如下:
(1)提供聯合作戰IT能力(Provide Joint Warfighting IT Capabilities):在現今不斷變化且充滿競爭的全球環境中,該目標以使用者為中心,提供具功能性、可擴增、永續且安全之IT功能。並以改善作戰人員可用資訊為重點,以利在快節奏、多領域(multi-domain)作戰中獲得決策與競爭優勢。
(2)資訊網路與運算現代化(Modernize Information Networks and Compute):該目標著重於迅速滿足任務與商務需求,利用卓越技術與以資料為中心的零信任(Zero Trust)資通安全方法,提供安全且具更快資料傳輸速度、更低延遲與高度彈性的現代化網路。
(3)最佳化IT治理(Optimize IT Governance):該目標將提高傳送效率、節省成本,且透過從治理到資料獲取系統的簡化政策,以轉變治理制定更好的決策,包括使用強大資料功能。
(4)栽培頂尖的數位人才(Cultivate a Premier Digital Workforce):該目標將確保作戰人員為新興技術之布署做好準備,並持續致力於識別、招募、發展並留住最佳數位人才。其擴展DoD網路人力框架(DoD Cyber Workforce Framework, DCWF),著重於更廣義的數位人力,包括資料、人工智慧、軟體工程的工作角色。
本文為「經濟部產業技術司科技專案成果」
世界運動禁藥管制機構預計於 2027 實施新個人資料保護國際標準(ISDP) 資訊工業策進會科技法律研究所 2026年07月25日 世界運動禁藥管制機構(World Anti-Doping Agency,下稱 WADA)於 2025 年 12 月 1 日至 5 日在韓國釜山舉行第六屆世界運動禁藥管制大會,通過《2027 年世界運動禁藥管制規約》及配套的各項國際標準。大會將 2009 年施行的《隱私與個人資訊保護國際標準》(International Standard for the Protection of Privacy and Personal Information,下稱ISPPPI)更名並改版為《資料保護國際標準》(International Standard for Data Protection,下稱ISDP),預計於 2027 年 1 月 1 日生效[1]。 壹、事件摘要 ISDP 是 WADA 世界運動禁藥管制計畫下的強制性國際標準,其第 1.0 條「導論與範圍」載明,本標準由 WADA 專家參考小組納入經濟合作暨發展組織(OECD)1980 年《隱私保護及個人資料跨國流通指導綱領》、歐洲理事會《個人資料自動化處理之個人保護公約》(第 108+ 號公約)、亞太經濟合作(APEC)隱私保護綱領、《歐洲聯盟基本權利憲章》、歐盟《一般資料保護規則》(General Data Protection Regulation,下稱 GDPR),以及其他國際與區域資料保護規範及判例所擬定[2]。其目的在確保運動禁藥管制組織(Anti-Doping Organization,下稱 ADO;我國為財團法人中華運動禁藥防制基金會〔Chinese Taipei Anti-Doping Agency,CTADA〕)及其第三方代理人處理個人資料時,對運動員與運動員輔助人員採取適當、充分且有效的隱私保護。 貳、重點說明 ISDP 全文分為兩部分,第一部分為導論與範圍、規約相關條文及解釋,第二部分為個人資料處理標準,計第 4 條至第 12 條共九條,並附「附件 A:保存期間」。以下依規範定位、隱私始於設計、法律依據、資料分享與委外、安全維護,以及告知、保存與當事人權利六個層次,說明本次改版的重點與差異。 一、規範定位:以較嚴者為準 ISDP 就其與內國法的關係採「較嚴者為準」,要求高於 ADO 所在地資料保護法時,ADO 仍須遵循 ISDP(第 4.1 條);反之內國法要求更高時,ADO 應確保其處理符合所有適用法律(第 4.2 條)。問責面向則要求 ADO 能證明其個資處理確依本標準辦理,並以相應的內部政策與程序作為證明方法(第 4.3 條);另須指定專責人員負責遵循本標準及所有適用的隱私與資料保護法令,並將其聯絡資訊主動提供予當事人(第 4.4 條)。相較 2021 年 ISPPPI 僅要求當事人請求時提供該人員姓名與聯絡方式(2021 年版第 4.5 條),本次改版轉為主動揭露,並與第 8 條告知義務相互銜接。 二、隱私始於設計原則之操作化 本次改版新增第 5 條「落實隱私始於設計」(Implementing Privacy-by-Design),將散見的紀錄、風險評估與資料正確性義務整併: 1.在設計或改版階段及個人資料生命週期全程,評估處理活動是否符合 ISDP 第二部分各項標準,並就評估所發現的風險採行必要或適當的減輕措施,包括額外的安全控制與資料最少化等技術及組織措施(第 5.1 條); 2.維持並更新處理活動紀錄,載明處理目的、個人資料類型、當事人類別、可能受領人類別、ADO 與受領人的角色,以及所適用的技術與組織安全措施(第 5.2 條第 a 款); 3.評估並於必要時檢視處理所生的風險,並採行措施降低個人資料侵害及其他資料保護風險(第 5.2 條第 b 款); 4.處理特種個人資料時,應依適用隱私與資料保護法令及本標準所定特別保障或程序辦理(第 5.3 條); 5.採行措施確保所處理個人資料正確、完整並保持更新,對知悉不正確或不準確的個人資料應儘速更正或修正(第 5.4 條)。 三、處理的法律依據:同意非唯一,亦非絕對 ADO 處理個人資料的前提,是具備有效的法律依據,包括履行法定義務、執行公益任務、基於重大公共利益或公共衛生之必要、履行契約,或保護當事人重大利益(第 7.1 條第 a 款);於許可範圍內亦得以當事人同意為依據(第 7.1 條第 b 款)。而且除有依據之外,處理須限於相關且相稱的目的範圍;以同意為依據者,並有其要件與例外: 1.ADO 僅得於相關且相稱的範圍內,為《規約》或各項國際標準所許可的目的,或於法律、強制法律程序所要求,或為行使、防禦法律請求所必要時,處理個人資料(第 6.1 條);明文所列以外的處理並非一律禁止,但須進行資料保護風險評估,衡酌該處理對反禁藥工作的有效性,並採行所辨識的風險減輕措施後,始得為之(第 6.2 條);此為 2021 年 ISPPPI 所無的新增關卡。 2.以同意為依據者,該同意須屬知情、自願、特定且明確(第 7.1 條第 b 款);且應告知當事人拒絕同意可能招致的不利後果(第 7.2 條第 a 款)。 3.為展開或進行疑似違規的分析或調查、進行或參與相關程序、確立、行使或防禦法律請求,或遵循法律或強制法律程序所必要者,縱當事人拒絕或事後撤回同意,ADO 對其個資的處理仍可能屬必要,除適用法律另有禁止外不受影響(第 7.2 條第 b 款)。 4.以同意作為處理特種個人資料的依據時,須取得明示同意(第 7.3 條)。當事人因年齡、心智能力或法律承認的其他正當理由無法自行同意者,得由法定代理人、監護人或其他有權代理人代為同意,並代為行使第 12 條所定權利(第 7.4 條)。 四、資料分享與委外控制 ISDP 將 ADO 得與他人分享個人資料的情形限於三種:依《規約》或各項國際標準所許可的目的、依第 7 條取得當事人明示且有效的同意且不違反適用法律,或法律、強制法律程序所要求,或為確立、行使及防禦法律請求所必要(第 9.1 條)。除符合三種情形之一外,ADO 仍須遵守其他各項標準,特別是以受分享之人具知情必要、具備有效法律基礎且個人資料安全獲確保為前提,此並明文及於與執法機關、政府或其他機關的分享(第 9.2 條)。2021 年 ISPPPI 原僅就對其他 ADO 的揭露,要求受領方能證明其取得個資的權利、權限或需要(2021 年版第 8.2 條),本次改版將知情必要、法律基礎與安全確保三項要件一體適用於所有分享對象,並明文納入執法與政府機關,屬既有條文的增修與擴充。 於委由第三方代理人處理時,ISDP 要求 ADO 應選擇能就技術性與組織性安全措施提供充分保證的代理人(第 9.3 條第 a 款),並以適當的控制,包括契約與技術控制,保護所分享的個人資料,並確保代理人僅為 ADO 或在其受託、委任範圍內處理個資(第 9.3 條第 b 款)。 五、安全維護:知情必要與特種個資的更高門檻 ADO 應採行實體、組織、技術、環境等一切必要的安全保障措施,以防止個人資料侵害事件發生(第 10.1 條);就個人資料的內部管理,ISDP 並具體要求: 1.確保近用個人資料的人員符合知情必要、與其角色職責相稱,受完全可執行的契約或法定保密義務拘束,並已就保密必要與 ADO 的政策程序接受資訊提供及訓練(第 10.2 條); 2.安全措施應反映所處理個資的敏感程度,對特種個人資料採更高層級的安全措施,以對應其侵害對當事人所生的較高風險(第 10.3 條); 3.發生可能重大影響個人權利利益的侵害事件時,應於知悉侵害細節後不遲延告知受影響當事人,說明侵害性質、可能的負面後果與已採或將採的補救措施,並通知依第 4.4 條指定的專責人員,並保存侵害事件、其影響與補救作為的紀錄(第 10.4 條)。 六、告知、保存與當事人權利 ISDP 於告知、保存與當事人權利面向,課予 ADO 相當細膩的義務: 1.告知事項(第 8.1 條):涵蓋蒐集個資的 ADO 身分與依第 4.4 條指定人員的聯絡方式、可能處理的個資類型、利用目的、可能受領人類別(含 WADA 等 ADO 及可能位於運動員參賽、訓練或旅行所在他國的第三方代理人)、於適用法律許可下可能公開揭露的情形與情境(如違規處置的公開)、當事人依本標準或其他法律所享權利及行使方法、依第 12.5 條提出申訴的程序及向資料保護主管機關申訴的可能、儲存期間或其判斷標準,以及為確保處理公平所必要的其他資訊。 2.告知時點與方式(第 8.2 條、第 8.3 條):原則上應於蒐集前或蒐集時告知;自第三方而非直接自當事人取得個資者,除他方已告知外,應儘速且不遲延告知。告知可能危及反禁藥調查或損及反禁藥程序完整性者,得例外遲延或暫停,但須適當記載理由,並於合理可行時儘速提供。告知並須以當事人易於理解的方式與格式、清晰淺白的用語為之,並斟酌其年齡、相關障礙及當地慣行與具體情境。 3.保存期間(第 11 條及附件 A):附件 A 以「模組/資料類型」、「保存期間」、「說明」三欄呈現,並就基本與身分資料、行蹤申報、治療用途豁免(TUE)、檢測、實驗室與運動員生物護照管理單位(APMU)紀錄、結果管理、調查、教育八類紀錄模組訂定最長保存期間;落在附件 A 範圍外者,ADO 應自訂明確的保存期間或判斷標準(第 11.2 條)。個人資料一旦不再具正當理由即應刪除、銷毀或匿名化,特種個資的保存須具更強而有力的理由(第 11.3 條),並應訂定安全保存及最終銷毀或匿名化的計畫與程序(第 11.4 條)。保存期間僅於法律明文許可、法律或強制法律程序要求、有繫屬或可合理預期的違規、調查或其他法律程序、當事人明示有效同意,或附件 A 另有規定等情形,始得延長(第 11.5 條),且決定延長者須另行評估資料保護風險並採行減輕措施(第 11.6 條)。 4.賦予當事人查閱與申訴權利:當事人有於一個月內取得複本的權利(第 12.1 條),並得請求更正、封鎖或刪除(第 12.4 條);ADO 拒絕近用應儘速以書面告知理由(第 12.3 條);已將個資揭露予另一 ADO 者,應將更正等變更告知該組織;當事人得向 ADO 提出申訴,ADO 須訂有公平公正處理申訴的書面程序;未能妥適解決者,得通知 WADA,由 WADA 依《簽署方規約遵循國際標準》處理,且不排除當事人向有權的資料保護主管機關提出申訴,ADO 並應配合該機關調查(第 12.5 條)。 參、事件評析 運動產業的高度敏感運動員個人生物資料,正因數位科技的運用而快速累積,國際運動組織自訂資料治理規範已成常態。國際職業足球員協會(Fédération Internationale des Associations de Footballeurs Professionnels,FIFPRO)早於 2022 年 9 月即與國際足球總會(FIFA)合作發布《球員資料權利憲章》(Charter of Player Data Rights),以 GDPR 為基礎,列舉職業球員就其表現、健康及生物特徵資料所享的知情、近用、撤回同意、限制處理、可攜、更正、申訴與刪除八項權利[3]。ISDP 雖只拘束我國 CTADA 的禁藥檢測,卻是國際運動組織對標 GDPR 與最新國際個資保護規範的近期共識,適可作為運動部提供運動產業個資管理指引的藍本。 尤其,近期運動治理場域接連出現運動員個資爭議事件,歐盟法院於 2026 年 7 月 14 日就 C-474/24 案作成判決,認於網路公告違規運動員姓名、禁賽期間及理由,雖原則上不牴觸 GDPR,但公告機關須於公告前就相關利益個別權衡並符合比例原則,尤其公告期間的長度;運動員並須能於公告前向資料保護主管機關提起預防性申訴[4];加拿大隱私專員公署(Office of the Privacy Commissioner of Canada,OPC)就 WADA 所轄運動員個資被用於性別審查一案進行調查後,於 2026 年 3 月與 WADA 簽訂合規協議,WADA 雖未承認違法,仍承諾自 2027 年 1 月 1 日起將 ADAMS 系統的運動員個資限於反禁藥目的[5];國際奧會則於 2026 年 3 月通過女子組資格政策,自 2028 年洛杉磯奧運起,採以一次性 SRY 基因篩檢認定資格[6]。這三起爭議,分別指向告知未涵蓋公開揭露、目的外利用僅設限制而無事前風險評估、基因雖列特種個資卻缺乏依風險決定是否事前把關的機制。ISDP 所要求的隱私始於設計、處理風險評估、目的限制與分享控制,恰可作為避免同類問題的工具。 ISDP 雖是禁藥組織所訂標準,但內容面向完整、接軌國際,其隱私始於設計、處理活動紀錄、就處理風險所課予的評估義務(含《規約》與各項國際標準明文所列以外的處理及延長保存期間時的風險評估),以及附件 A 依八類紀錄模組分列保存期間與理由的保存排程,均有對應的規範。我國《人工智慧基本法》已於 2025 年 12 月 23 日經立法院三讀通過,全文 20 條,並自 2026 年 1 月 14 日總統公布日施行。該法第 4 條揭示政府推動 AI 研發與應用應遵循的七項原則,其中第 3 款要求應妥善保護個人資料隱私,尊重企業營業秘密,避免資料外洩風險,並促進非敏感資料的開放及再利用[7]。當運動與健康數據結合 AI 分析、敏感度益增,運動部作為運動產業目的事業主管機關,可循 ISDP 重點為運動員敏感生物資料建立風險導向、產業共通的個資保護制度準繩,既接軌國際標準,落實個資法監督非公務機關的要求,也呼應我國 AI 治理原則。 本文著作權屬財團法人資訊工業策進會科技法律研究所所有,如需引用或轉載,請註明出處。 本文同步刊登於TIPS網站(https://keid.nat.gov.tw/tips/) [1]World Anti-Doping Agency, 2027 International Standard for Data Protection (ISDP), at 2 (2025)(前置說明頁載明 ISPPPI 更名為 ISDP、自 2027 年 1 月 1 日生效),https://www.wada-ama.org/sites/default/files/2025-12/2027_international_standard_for_data_protection_isdp.pdf(最後瀏覽日:2026 年 7 月 25 日);ISDP 於 2025 年 12 月 1 日至 5 日韓國釜山第六屆世界運動禁藥管制大會通過,見 WADA, 2025 World Conference on Doping in Sport, https://www.wada-ama.org/en/2025-world-conference-doping-sport-busan(最後瀏覽日:2026 年 7 月 25 日)。 [2] 同前註 1,ISDP 第 1.0 條「導論與範圍」(Introduction and Scope);所列參考規範包含 OECD 1980 年《隱私保護及個人資料跨國流通指導綱領》、歐洲理事會第 108+ 號公約、APEC 隱私保護綱領、《歐洲聯盟基本權利憲章》、GDPR,以及歐洲人權法院 2018 年 1 月 18 日 FNASS and others v. France 判決等。 [3] FIFPRO, Charter of Player Data Rights Launched for Professional Footballers (Sept. 19, 2022), https://fifpro.org/en/supporting-players/competitions-innovation-and-growth/player-performance-data/charter-of-player-data-rights-launched-for-professional-footballers/(最後瀏覽日:2026 年 7 月 25 日)。 [4] Judgment of the Court of Justice of the European Union of 14 July 2026, Case C-474/24, NADA Austria and Others;並見 Court of Justice of the European Union, Press Release, The online publication of the names of professional athletes who have infringed anti-doping rules may be compatible with EU law (July 14, 2026), https://curia.europa.eu/site/upload/docs/application/pdf/2026-07/cp260103en.pdf(最後瀏覽日:2026 年 7 月 25 日)。 [5] Office of the Privacy Commissioner of Canada, Compliance Agreement Between the Privacy Commissioner of Canada and the World Anti-Doping Agency (Mar. 17, 2026), https://www.priv.gc.ca/en/opc-actions-and-decisions/investigations/investigations-into-businesses/2026/2026-wada-ca/(最後瀏覽日:2026 年 7 月 25 日)。 [6] International Olympic Committee, International Olympic Committee Announces New Policy on the Protection of the Female (Women's) Category in Olympic Sport (Mar. 26, 2026), https://www.olympics.com/ioc/news/international-olympic-committee-announces-new-policy-on-the-protection-of-the-female-women-s-category-in-olympic-sport(最後瀏覽日:2026 年 7 月 25 日)。 [7] 人工智慧基本法,2025 年 12 月 23 日經立法院三讀通過,總統中華民國 115 年 1 月 14 日華總一義字第 11500001671 號令制定公布,全文 20 條,自公布日施行;條文見全國法規資料庫,https://law.moj.gov.tw/LawClass/LawAll.aspx?pcode=H0160093(最後瀏覽日:2026 年 7 月 25 日)。
美國擬推聯邦私密隱私保護法案,防治情色報復將邁向聯邦法位階美國加州第14屆國會選區眾議院議員Jackie Speier於2016年7月中旬提出私密隱私保護法案(Intimate Privacy Protection Act, IPPA),本法案之草擬耗時兩年多,以聯邦法的法律位階之姿誕生,在美國各州政府紛紛將違反本人意願散布性隱私內容入罪化的高峰期,可望能統一各州州法分歧的法律落差。由於目前全美已有超過半數的州政府已分別頒布所謂的情色報復法案(Revenge Porn Act),造成各地方政府就此行為之定義和條文適用有所歧異,對無國界的網路生態來說,產生許多法律適用之衝突和迥異。 私密隱私保護法案規定,違反本人意願散布性隱私內容者,將處五年以下有期徒刑,得併科罰金,適用主體包含具有侵害故意和意圖藉此營利之人。然而,有反對聲浪認為,由於條文僅限欠缺本人同意,但未限於行為人具有侵害他人的故意,故認為此聯邦法位階的法案適用範圍過於廣泛,恐侵害憲法保障的言論自由。美國公民自由聯盟(American Civil Liberties Union, ACLU)長期關注此項法律議題,要求構成要件應限於行為人具有侵害他人之故意,否則將嚴重影響媒體產業。私密隱私保護法案條文內容特別明列排除適用之條款,如因法律或訴訟執行上的需要、基於公共利益或合法的商業利益之情事,以及網路服務提供者的豁免責任(意圖藉由散布性隱私內容而營利之網路服務提供者除外)。目前本法案同時獲得多數民主黨議員、共和黨議員,以及網路服務提供者巨擘Facebook和Twitter的支持。
日本公布第6期科學技術與創新基本計畫草案並募集公眾意見,著重疫情與科技基本法修正後之因應日本內閣府於2021年1月20日發布「第6期科學技術與創新基本計畫」(科学技術・イノベーション基本計画,以下稱第6期科技創新基本計畫)草案,並自即日起至同年2月10日,對外徵求公眾意見。依2020年6月修正通過之日本科學技術與創新基本法(科学技術・イノベーション基本法,預定2021年正式公告施行)第12條規定,要求政府應就振興科學技術與創新創造的政策,擬定基本計畫並適時檢討調整,同時對外公告。而本次草案的提出,便為因應現行的第5期科學技術基本計畫即將屆期,啟動擬定下一期基本計畫。 依草案內容,第6期科技創新基本計畫延續Society5.0的願景,並以數位化及數位科技作為發展核心。但檢視至今的科技創新政策成效,數位化進程不如政策目標所預期;受COVID-19疫情影響,也提升了科技普及化應用的重要性。另一方面,科學技術基本法的修正,則揭示了人文社會科學與自然科學跨域融合運用的方向,並期待藉由創新創造納為立法目的,實現進一步的價值創造。基此,第6期科技創新基本計畫提出,應從強化創新、研究能量及確保人才與資金的三方向為主軸,結合SDGs、數位化、資料驅動及日本共通在地價值,建構出「日本模型」(Japan Model)作為實現Society5.0的框架。 針對如何強化創新能力、研究能量及確保人才與資金,計畫草案提出以下方向: (1)強化創新能力:整體性強化創新生態系(innovation ecosystem),建構具韌性的社會體系,並有計畫地推動具社會應用可能的研發活動。具體作法包含藉由AI與資料促成虛擬空間與現實世界的互動優化、持續縮減碳排放量實現循環經濟、減低自然災害與傳染病流行對經濟社會造成的風險、自社會需求出發推動產業結構走向創新、拓展智慧城市(smart city)的應用地域等。 (2)強化研究能力:鼓勵開放科學與資料驅動型之研究,並強化研究設備、機器等基礎設施的遠端與智慧機能,推動研究體系的數位轉型;以資料驅動型為目標,多元拓展具高附加價值的研究,包含生命科學、環境、能源、海洋、防災等領域;擴張大學的機能,如增進大學的自主性,從經營的角度調整與鬆綁國立大學法人的管理與績效評鑑方式等,用以厚植創新基底。 (3)人才培育及資金循環:目標培養具備應變力與設定議題能力的人才;同時藉由資助前瞻性研發,結合大學的基礎科研成果,激發創新的產出及延伸收益,並回頭挹注於研發,建立研發資金的循環運用體系。
美最高法院擬受理各州要求聯邦政府採訂定更為嚴格的環保標準以抑制全球暖化二氧化碳和其他類似的排放氣體被認為會提高地球大氣層的溫度,是全球溫度上升的元凶。二00三年以來,美國境內陸續有十二個州、多個城市和十幾個環保團體循法律途徑,針對聯邦環保局( Environmental Protection Agency, EPA )一直不願意對新車制定更嚴格的廢氣排放標準以降低溫室排放量,採取法律行動。 美國最高法院最近決定將重新考量,聯邦政府是否應依照部分州和市政府及環保團體要求,制定新車廢氣物排放標準,以對抗全球暖化的問題。本案首開先例,成為美國高等法院針對政府的環保法令進行裁決。 包括美國加州、麻州和紐約州等州政府在告訴中指出,其認為根據聯邦的「空氣清淨法」, EPA 有責任針對排放二氧化碳和其他三種氣體的車輛和大型工廠進行管制;然而, EPA 則堅持「空氣清淨法案」中並沒有規範到全球氣候變化的情狀,也沒有將二氧化碳定義為污染源,故聯邦政府認為應由相關單位和業者自行制定控制標準。 在提交最高法院的文件中,美國聯邦政府稱這項官司只是一種「猜測」,目前根本不清楚全球暖化是否和新車廢氣排放有關,也沒有任何證據可以證實,使用可使燃料燃燒更完全的車輛,是否會對氣候變化有重要的影響。美國政府認為,解決全球暖化現象的議題,可能透過國際努力更有效果。