在數位時代,兒童及青少年長時間使用網際網路已成為生活常態,然而,兒少在高度使用社群媒體的同時,也透過演算法大量獲取諸如飲食失調、自殘等「有毒內容」(toxic content)。在享受網路便利性的同時,兒少也面臨遭受騷擾、霸凌,被迫轉學甚至輕生等困境,心理健康面臨危機。為解決前揭問題,美國參議院於2024年7月30日通過《兒童網路隱私保護法》(Children’s Online Privacy Protection Act, COPPA)修正法案及《兒童網路安全法》(Kids Online Safety Act, KOSA)之立法,加強兒少網路安全之保護。
COPPA早於1998年制定,並於2000年開始施行,該法案對於網路營運商蒐集未滿13歲兒童之個人資料相關隱私政策訂有規範,惟自訂定後迄今約25年,均未因應時代變遷做出調整,終於在本次會期提出修正草案。另KOSA之立法重點,則在於要求網路平台業者對兒童預設提供最高強度隱私設定,並建立控制措施,提供父母保護子女及認知到有害行為的機制,課予網路平台業者預防及減輕兒童陷於特定危險(如接收宣傳有毒內容之廣告)之義務等。此二法案經參議院投票通過後,合併為一案送交眾議院審核,重點說明如下:
1.將網路隱私保護主體擴張至未滿13歲之兒童及未滿17歲之青少年(下稱兒少),禁止網路平台業者在未經兒少使用者同意情況下,蒐集其個人資料。
2.禁止網路平台業者對兒少投放定向廣告(targeted advertising)。
3.為保護「合理可能會使用(reasonably likely to be)」網路平台的兒少,調整法案適用的「實際認知(actual knowledge)」標準,將適用範圍擴及至「合理可能被兒少使用(reasonably likely to be used)」的網路平台。
4.建立「清除鈕(eraser button)」機制,使兒少及其父母得以要求網路平台業者在技術可行情況下,刪除自兒少所蒐集之個人資料。
5.要求商務部(the Secretary of Commerce)於新法頒布後180日內,應成立並召集兒童網路安全會議(Kids Online Safety Council),進行包含識別網路平台對兒少造成危害之風險,提出相關評估、預防及減輕危害之建議措施及方法、進行與網路對兒少造成危害相關主題之研究等業務。
觀本次可謂美國對於兒少網路保護之重大進展,惟此法案後續是否能順利提請總統簽署成法,正式具約束效力,仍須持續關注眾議院未來動向。
英國數位、文化、媒體暨體育部於2018年10月14日公布「家用智慧裝置消費者指引」(Consumer guidance for smart devices in the home)。該指引之目的係因應家用之智慧及聯網設備(例如:智慧電視、音樂播放器、聯網玩具或智慧廚房等)日益普及,以及可能發生之侵害消費者個人資料之風險。 本指引提出以下方向,供消費者參考: 一. 智慧裝置之設定 (一) 應閱讀與遵循智慧設備之設定指示。 (二) 確認設備指示是否要求使用者須至製造商網站設定帳號。 (三) 若所設備預設之密碼過於簡單(例如,0000),則應更換成較複雜之密碼。 二. 帳號管理 (一) 確保密碼複雜性。 (二) 若設備提供雙重驗證功能,消費者應使用之。 (三) 特定產品可能提供遠端存取功能,消費者應於不再家時考慮將該功能關閉。 三. 持續更新應用軟體與Apps (一) 消費者應檢查其設備是否可設定自動更新。 (二) 應安裝最新版本的軟體與Apps。 四. 若接到資安事件之通知,應採取行動 (一) 於接到資安事件通知後,應訪問製造商網站以確認其是否提供後續因應措施等資訊。 (二) 定時確認國家安全網路中心以及資訊保護委員會辦公室網站是否公布相關網路安全指引。
歐盟提出人工智慧法律框架草案歐盟執委會於2020年2月公布《人工智慧白皮書》(AI White Paper)後,持續蒐集各方意見並提出新的人工智慧規範與行動。2021年4月針對人工智慧法律框架提出規範草案(Proposal for a Regulation on a European approach for Artificial Intelligence),透過規範確保人民與企業運用人工智慧時之安全及基本權利,藉以強化歐盟對人工智慧之應用、投資與創新。 新的人工智慧法律框架未來預計將統一適用於歐盟各成員國,而基於風險規範方法將人工智慧系統主要分為「不可接受之風險」、「高風險」、「有限風險」及「最小風險」四個等級。「不可接受之風險」因為對人類安全、生活及基本權利構成明顯威脅,故將被禁止使用,例如:政府進行大規模的公民評分系統;「高風險」則是透過正面例舉方式提出,包括:可能使公民生命或健康處於危險之中的關鍵基礎設施、教育或職業培訓、產品安全、勞工與就業、基本之私人或公共服務、可能會干擾基本權之司法應用、移民與庇護等面向,而高風險之人工智慧在進入市場之前須要先行遵守嚴格之義務,並進行適當風險評估及緩解措施等。「有限風險」則是指部分人工智慧應有透明度之義務,例如當用戶在與該人工智慧系統交流時,需要告知並使用戶意識到其正與人工智慧系統交流。最後則是「最小風險」,大部分人工智慧應屬此類型,因對公民造成很小或零風險,各草案並未規範此類人工智慧。 未來在人工智慧之治理方面,歐盟執委會建議各國現有管理市場之主管機關督導新規範之執行,且將成立歐洲人工智慧委員會(European Artificial Intelligence Board),推動人工智慧相關規範、標準及準則之發展,也將提出法規沙盒以促進可信賴及負責任之人工智慧。
美國商務部國家電信和資訊管理局呼籲透過第三方評測提高AI系統透明度2024年3月27日,美國商務部國家電信和資訊管理局(National Telecommunications and Information Administration, NTIA)發布「人工智慧問責政策報告」(AI Accountability Policy Report),該報告呼籲對人工智慧系統進行獨立評估(Independent Evaluations)或是第三方評測,期待藉此提高人工智慧系統的透明度。 人工智慧問責政策報告就如何對人工智慧系統進行第三方評測提出八項建議作法,分別如下: 1.人工智慧稽核指引:聯邦政府應為稽核人員制定適合的人工智慧稽核指引,該指引須包含評估標準與合適的稽核員證書。 2.改善資訊揭露:人工智慧系統雖然已經應用在許多領域,但其運作模式尚缺乏透明度。NTIA認為未來可以透過類似營養標籤(Nutrition Label)的方式,使人工智慧模型的架構、訓練資料、限制與偏差等重要資訊更加透明。 3.責任標準(Liability Standards):聯邦政府應盡快訂定相關責任歸屬標準,以解決現行制度下,人工智慧系統造成損害的法律責任問題。 4.增加第三方評測所需資源:聯邦政府應投入必要的資源,以滿足國家對人工智慧系統獨立評估的需求。相關必要資源如: (1)資助美國人工智慧安全研究所(U.S. Artificial Intelligence Safety Institute); (2)嚴格評估所需的運算資源與雲端基礎設施(Cloud Infrastructure); (3)提供獎金和研究資源,以鼓勵參與紅隊測試的個人或團隊; (4)培養第三方評測機構的專家人才。 5.開發及使用驗證工具:NTIA呼籲聯邦機關開發及使用可靠的評測工具,以評估人工智慧系統之使用情況,例如透明度工具(Transparency Tools)、認驗證工具(Verification and Validation Tools)等。 6.獨立評估:NTIA建議聯邦機關應針對高風險的人工智慧類別進行第三方評測與監管,特別是可能侵害權利或安全的模型,應在其發布或應用前進行評測。 7.提升聯邦機關風險管控能力:NTIA建議各機關應記錄人工智慧的不良事件、建立人工智慧系統稽核的登記冊,並根據需求提供評測、認證與文件紀錄。 8.契約:透過採購契約要求政府之供應商、承包商採用符合標準的人工智慧治理方式與實踐。 NTIA將持續與利害關係各方合作,以建立人工智慧風險的問責機制,並確保該問責報告之建議得以落實。
Facebook粉絲專頁管理者是否負有保護用戶個資隱私之控制者(Data Controller)責任2018年6月5日歐盟法院針對Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein v Wirtschaftsakademie Schleswig-Holstein GmbH訴訟進行先訴裁定,擴大解釋《資料保護指令》(Directive 95/46/EC)之「資料控制者」範圍,認為Facebook和粉絲專頁管理者皆負有保護訪客資料安全的責任。由於「資料控制者」定義在《資料保護指令》與《一般資料保護規則》(GDPR)相同,因此裁定將影響未來使用社群媒體服務和平台頁面的個資保護責任。 本案起因德國Schleswig-Holstein邦獨立資料保護中心要求 Wirtschaftsakademie教育服務公司在Facebook經營之粉絲專頁必須停用,其理由認為Facebook和Wirtschaftsakademie進行之Cookie資料蒐集、處理活動並未通知粉絲成員且因此從中獲利,然Wirtschaftsakademie認為並未委託Facebook處理粉絲成員個資,當局應直接對Facebook要求禁止蒐集處理。歐盟法院認為Wirtschaftsakademie使用Facebook所提供之平台從中受益,即使未實際擁有任何個資,仍被視為負共同責任(jointly responsible)的資料控制者,應依具體個案評估每個資料控制者責任程度。 在原《資料保護指令》並未有「資料控制者需負共同責任」之規定,本案擴大解釋資料控制者範圍,對照現行GDPR屬於第26條「共同控制者」之規範主體,然而本案將資料控制者擴張到未實際處理資料之粉絲專頁管理者,是否過於嚴格?且未來如何劃分責任與義務,皆有待觀察。