蘇格蘭期望透過刑事司法革新，強化數位證據資料之管理，以提升刑事司法之效率
蘇格蘭於2024年9月24日向刑事司法委員會提交刑事司法革新與家庭暴力審查法案（Criminal Justice Modernisation and Abusive Domestic Behaviour Reviews (Scotland) Bill），期望透過數位程序，提升司法部門的有效性與效率。
在刑事司法數位化部分，主要為將2020年及2022年因疫情而制定的臨時措施正式化，臨時措施包含：
1、在訴訟文件上使用電子簽名。
2、以電子方式寄送訴訟文件。
3、以虛擬方式參加刑事法庭。
4、提高定額罰款限額。
5、羈押的全國管轄權。
此外，在刑事司法數位化部分，亦新增兩項數位創新條款，例如透過數位證據共享功能（Digital Evidence Sharing Capability, 下稱DESC）平臺來進行：
1、在刑事程序中使用證據照片而非實體證據。
2、使證據之複製品效力等同於實體證據。
對於刑事司法革新與家庭暴力審查法案而言，DESC在其中扮演了十分重要的角色。DESC改變了數位證據的儲存、編輯、傳輸以及在法庭上展示的方式。且DESC可透過多種身分驗證，並透過系統自動生成之具唯一性的資料識別碼並記錄上傳者及上傳時間，資料上傳系統後亦會自動留存所有資料編輯、修改、刪除行為等審核措施，確保數位證據的正確性、完整性與可驗證性，防止數位證據在上傳DESC後遭到竄改或損毀，亦可透過資料識別碼的比對確保數位資料的正確性與完整性。
蘇格蘭提交的刑事司法數位化與家庭暴力審查法案顯示，數位技術的應用範圍已擴大到司法領域，並透過身分驗證、記錄上傳者、上傳時間及資料識別碼等資料存證技術，確保數位證據資料的正確性、完整性與可驗證性。我國由司法院、法務部、臺灣高等檢察署、內政部警政署及法務部調查局等機關合作，透過區塊鏈技術建置「司法聯盟鏈共同驗證平台」，提升辨識數位證據同一性之效率，並確保數位證據難以被竄改，以達到加速訴訟進行之效果。惟如要透過法院採納數位資料為證據之方式，來達到加速訴訟進行之效果，重點在於要強化針對數位證據資料之管理，有訴訟證明需求的組織須通過b-JADE證明標章，以確保上鏈前之資料管理與上鏈後之資料品質。我國企業如欲強化數位資料的正確性、完整性與可驗證性，可參考資訊工業策進會科技法律研究所創意智財中心所發布之重要數位資料治理暨管理制度規範（EDGS），建立資料存證制度，確保數位資料作為證據之效力，以提升法院採納數位資料作為證據之可能性，亦有利於加速訴訟程序之進行。
本文為資策會科法所創智中心完成之著作，非經同意或授權，不得為轉載、公開播送、公開傳輸、改作或重製等利用行為。
本文同步刊登於TIPS網站（https://www.tips.org.tw）
- Scottish Government, Criminal Justice Modernisation and Abusive Domestic Behaviour Reviews (Scotland) Bill: island communities impact assessment, Sep. 30, 2024
- Scottish Parliament, Criminal Justice Modernisation and Abusive Domestic Behaviour Reviews (Scotland) Bill, Sep. 24, 2024
- Scottish Government, Coronavirus Recovery and Reform (Scotland) Act 2022 - criminal justice measures: consultation, Nov. 6, 2023
王柏元
副法律研究員 編譯整理
Scottish Government, Criminal Justice Modernisation and Abusive Domestic Behaviour Reviews (Scotland) Bill: island communities impact assessment, Sep. 30, 2024, https://www.gov.scot/publications/criminal-justice-modernisation-abusive-domestic-behaviour-reviews-scotland-bill-island-communities-impact-assessment/pages/2/ (last visited Oct. 24, 2024).
Scottish Parliament, Criminal Justice Modernisation and Abusive Domestic Behaviour Reviews (Scotland) Bill, Sep. 24, 2024, https://www.parliament.scot/bills-and-laws/bills/s6/criminal-justice-modernisation-and-abusive-domestic-behaviour-reviews-scotland-bill (last visited Oct. 24, 2024).
Scottish Government, Coronavirus Recovery and Reform (Scotland) Act 2022 - criminal justice measures: consultation, Nov. 6, 2023, https://www.gov.scot/publications/permanency-certain-criminal-justice-measures-coronavirus-recovery-reform-scotland-act-2022-modernising-criminal-justice-procedures-through-digital-processes-consultation/pages/10/ (last visited Oct. 24, 2024).
歐盟對於體外診療器材（In Vitro Diagnostic Medical Devices，以下簡稱IVDs）之管制，最早起始於1998年的體外診療器材指令（Directive 98/79/EC on In Vitro Diagnostic Medical Devices，以下簡稱「1998年IVDD指令」)，該指令依IVDs是否具有侵入性、接觸病人的時間長短及是否需要能源加以驅動等條件，進一步區分為四種風險等級：第1級（Class I）－低風險性、第2a級（Class IIa）－低至中風險性、第2b級（Class IIb）－中至高風險性、第3級（Class III）－高風險性。Class I因風險性最低，故1998年IVDD指令僅要求廠商建立品管系統、保留產品技術檔案、並自為符合性聲明後，即得於市場上流通；Class IIa與Class IIb則由於風險略高，所建立之品管系統需經過「符合性評鑑」；而Class III的風險最高，故其品管系統除須符合前述要求外，更應由經歐盟認證的代檢機構（Notified Body）進行審查，通過前述評鑑及審查後，始可於歐洲市場流通使用。 然而，隨著科學及技術的進步，市場上不斷出現創新性的產品，使得1998年IVDD指令已逐漸無法滿足管理需求，輔以各會員國對於指令的解釋和實施各有不同，致使歐盟內部在病患及公共健康的保護上有程度不一的落差，為歐盟單一市場的運作埋下隱憂。因此，歐盟執委會（European Commission）於2012年9月26日提出新的管制架構（Proposal for a Regulation of the European Parliament and of the Council on in vitro diagnostic devices），其主要變革包括： 1. 擴大IVDs的定義：將IVDs的範圍擴及用以獲取醫療狀況或疾病罹患傾向資訊（如基因檢測）的器材及醫療軟體（medical software）等。 2. 新的分類標準及評估程序：將診療器材重新分為A、B、C、D四類，A類為風險最低，D類為風險最高。A類維持原先1998年IVDD指令中的廠商自我管控機制，但當A類器材欲進行臨床測試（near-patient testing）、具備評量功能或用於殺菌者，須先由代檢機構就其設計、評量功能及殺菌過程進行驗證。B類器材因風險略高，故須通過代檢機構之品管系統審查；C類產品除品管系統審查外，需再提交產品樣本的技術文件；而D類由於風險最高，除前述品管系統審查外，需經過核准使能進入市場。至於A、B、C、D類產品進入市場後，代檢機構會定期進行上市後（the post-market phase）監控。 3. 導入認證人員（qualified person，簡稱GP）：診療器材製造商應於組織內導入GP人員，負責確保製造商組織內部的一切法令遵循事宜。 4. 落實提升透明度（transparency）之相關措施：為確保醫療器材的安全性和效能，要求：(1) 歐盟市場內之經濟經營商（economic operator）應能夠辨認IVDs的供應者及被供應者；(2) 製造商應將單一裝置辨識碼（Unique Device Identification）導入產品中，以利日後之追蹤；(3) 歐盟單一市場中的所有製造商及進口商，應將其企業及產品資訊於歐洲資料庫（European database）中進行註冊；(4) 製造商有義務向大眾公開高風險性裝置的安全性與效能等相關說明資訊。 歐盟執委會已提交新管制架構予歐洲議會，若順利通過將可望於2015年起正式實施，未來將對歐洲IVDs產業有何影響，值得持續觀察之。
歐盟「開放網路規則」實施指引歐盟會員國電子通訊傳播監理機關組織(Body of European Regulators for Electronic Communications, BEREC)於2016年8月公布「歐盟會員國網路中立規則監理機關執行指引」(BEREC Guidelines on the Implementation by National Regulators of European Net Neutrality Rules)。本執行指引係依歐盟於2015年11月通過之「有關開放網路近用並修正全球服務與使用者有關電子通訊網絡與服務之第2002/22/EC號指令以及於歐盟境內於公用行動通訊網絡進行漫遊之第531/2012號規則」的第2015/2120號規則(下稱「開放網路」規則)第5條第(3)項所訂定，用以作為歐盟各會員國相關監理機關於實施「開放網路」規則時之參考依據。 以網路中立性所蘊涵之不歧視原則為例，「開放網路」規則第3條第3項第一段規定，「網際網路近用服務提供者於提供相關服務時，對所有流量應平等對待(treat all traffic equally)，而無歧視、限制、或干擾，且亦不論係對於發送方與接收方、所近用或散布之內容、所使用或提供之應用或服務、或所利用之終端設備」。對此，執行指引明確表示，不歧視原則是網際網路服務提供者在提供網路近用服務時之義務，且對於本項之違反，亦將同時構成對於終端使用者受「開放網路」規則第3條第1項所保障權利之侵害。不過執行指引也強調，各會員國相關監理機關應該注意到，所謂的「平等對待」不必然意味著所有終端使用者都將體驗相同的網路效能或服務品質。
我國去識別化實務發展－「個人資料去識別化過程驗證要求及控制措施」我國關於個人資料去識別化實務發展 財團法人資訊工業策進會科技法律研究所 2019年6月4日 壹、我國關於個人資料去識別化實務發展歷程 我國關於個資去識別化實務發展，依據我國個資法第1條立法目的在個資之隱私保護與加值利用之間尋求平衡，實務上爭議在於達到合理利用目的之個資處理，參酌法務部103年11月17日法律字第10303513040號函說明「個人資料，運用各種技術予以去識別化，而依其呈現方式已無從直接或間接識別該特定個人者，即非屬個人資料，自非個資法之適用範圍」，在保護個人隱私之前提下，資料於必要時應進行去識別化操作，確保特定個人無論直接或間接皆無從被識別；還得參酌關於衛生福利部健保署資料庫案，健保署將其所保有之個人就醫健保資料，加密後提供予國衛院建立健保研究資料庫，引發當事人重大利益爭議，終審判決（最高行政法院106年判字第54號判決）被告（即今衛福部）勝訴，法院認為去識別化係以「完全切斷資料內容與特定主體間之連結線索」程度為判準，該案之資料收受者（本案中即為衛福部）掌握還原資料與主體間連結之能力，與健保署去識別化標準不符。但法院同時強調去識別化之功能與作用，在於確保社會大眾無法從資料內容輕易推知該資料所屬主體，並有提到關於再識別之風險評估，然而應採行何種標準，並未於法院判決明確說明。 我國政府為因應巨量資料應用潮流，推動個資合理利用，行政院以推動開放資料為目標，104年7月重大政策推動會議決議，請經濟部標檢局研析相關規範（如CNS 29191），邀請相關政府機關及驗證機構開會討論，確定「個人資料去識別化」驗證標準規範，並由財政部財政資訊中心率先進行去識別化驗證；並以我國與國際標準(ISO)調和之國家標準CNS 29100及CNS 29191，同時採用作為個資去識別化驗證標準。財政部財政資訊中心於104年11月完成導航案例，第二波示範案例則由內政部及衛生福利部（105年12月通過）接續辦理。 經濟部標準檢驗局目前不僅將ISO/IEC 29100:2011「資訊技術－安全技術－隱私權框架」(Information technology – Security techniques – Privacy framework)、ISO/IEC 29191:2012「資訊技術－安全技術－部分匿名及部分去連結鑑別之要求事項」(Information technology – Security techniques – Requirements for partially anonymous, partially unlinkable authentication)，轉換為國家標準CNS 29100及CNS 29191，並據此制訂「個人資料去識別化過程驗證要求及控制措施」，提供個資去識別化之隱私框架，使組織、技術及程序等各層面得整體應用隱私權保護，並於標準公報(107年第24期)徵求新標準之意見至今年2月，草案編號為1071013「資訊技術－安全技術－個人可識別資訊去識別化過程管理系統－要求事項」(Management systems of personal identifiable information deidentification processes – Requirements)，主要規定個資去識別化過程管理系統(personal information deidentification process management system, PIDIPMS)之要求事項，提供維護並改進個人資訊去識別化過程及良好實務作法之框架，並適用於所有擬管理其所建立之個資去識別化過程的組織。 貳、個人資料去識別化過程驗證要求及控制措施重點說明 由於前述說明之草案編號1071013去識別化國家標準仍在審議階段，因此以下以現行「個人資料去識別化過程驗證要求及控制措施」（以下簡稱控制措施）[1]說明。 去識別化係以個資整體生命週期為保護基礎，評估資料利用之風險，包括隱私權政策、隱私風險管理、隱私保護原則、去識別化過程、重新識別評鑑等程序，分別對應控制措施之五個章節[2]。控制措施旨在使組織能建立個資去識別化過程管理系統，以管理對其所控制之個人可識別資訊(personal identifiable information, PII)進行去識別化之過程。再就控制措施對應個人資料保護法（下稱個資法）說明如下：首先，組織應先確定去識別化需求為何，究係對「個資之蒐集或處理」或「為特定目的外之利用」（對應個資法第19條第1項第4、5款）接著，對應重點在於「適當安全維護措施」，依據個資法施行細則第12條第1項規定，公務機關或非公務機關為防止個資被竊取、竄改、毀損、滅失或洩漏，採取技術上及組織上之措施；而依據個資法施行細則第12條第2項規定，適當安全維護措施得包括11款事項，並以與所欲達成之個資保護目的間，具有適當比例為原則。以下簡要說明控制措施五大章節對應個資法： 一、隱私權政策 涉及PII處理之組織的高階管理階層，應依營運要求及相關法律與法規，建立隱私權政策，提供隱私權保護之管理指導方針及支持。對應個資法施行細則第12條第2項第5款適當安全維護措施事項「個人資料蒐集、處理及利用之內部管理程序」，即為涉及個資生命週期為保護基礎之管理程序，從蒐集、處理到利用為原則性規範，以建構個資去識別化過程管理系統。 二、PII隱私風險管理過程 組織應定期執行廣泛之PII風險管理活動並發展與其隱私保護有關的風險剖繪。直接對應規範即為個資法施行細則第12條第2項第3款「個人資料之風險評估及管理機制」。 三、PII之隱私權原則 組織蒐集、處理、利用PII應符合之11項原則，包含「同意及選擇原則」、「目的適法性及規定原則」、「蒐集限制原則」、「資料極小化原則」、「利用、保留及揭露限制」、「準確性及品質原則」、「公開、透通性及告知原則」、「個人參與及存取原則」、「可歸責性原則」、「資訊安全原則」，以及「隱私遵循原則」。以上原則涵蓋個資法施行細則第12條第2項之11款事項。 四、PII去識別化過程 組織應建立有效且周延之PII去識別化過程的治理結構、標準作業程序、非預期揭露備妥災難復原計畫，且組織之高階管理階層應監督及審查PII去識別化過程之治理的安排。個資法施行細則第17條所謂「無從識別特定當事人」定義，係指個資以代碼、匿名、隱藏部分資料或其他方式，無從辨識該特定個人者，組織於進行去識別化處理時，應依需求、風險評估等確認注意去識別化程度。 五、重新識別PII之要求 此章節為選驗項目，需具體依據組織去識別化需求，是否需要重新識別而決定是否適用；若選擇適用，則保留重新識別可能性，應回歸個資法規定保護個資。 參、小結 國際上目前無個資去識別化驗證標準及驗證作法可資遵循，因此現階段控制措施，係以個資整體生命週期為保護基礎，評估資料利用之風險，使組織能建立個資去識別化過程管理系統，以管理對其所控制之個人可識別資訊進行去識別化之過程，透過與個資法對照個資法施行細則第12條規定之安全維護措施之11款事項，內化為我國業者因應資料保護與資料去識別化管理制度。 控制措施預計於今年下半年發展為國家標準，遵循個資法與施行細則，以及CNS 29100、CNS 29191之國家標準，參照國際上相關指引與實務作法，於技術上建立驗證標準規範供產業遵循。由於國家標準無強制性，業者視需要評估導入，仍建議進行巨量資料應用等資料經濟創新業務，應重視處理個資之適法性，建立當事人得以信賴機制，將有助於產業資料應用之創新，並透過檢視資料利用目的之合理性與必要性，作為資料合理利用之判斷，是為去識別化治理之關鍵環節。 [1] 參酌財團法人電子檢驗中心，個人資料去識別化過程驗證，https://www.etc.org.tw/%E9%A9%97%E8%AD%89%E6%9C%8D%E5%8B%99/%E5%80%8B%E4%BA%BA%E8%B3%87%E6%96%99%E5%8E%BB%E8%AD%98%E5%88%A5%E5%8C%96%E9%81%8E%E7%A8%8B%E9%A9%97%E8%AD%89.aspx（最後瀏覽日：2019/6/4） 財團法人電子檢驗中心網站所公告之「個人資料去識別化過程自評表_v1」包含控制措施原則、要求事項與控制措施具體內容，該網站並未公告「個人資料去識別化過程驗證要求及控制措施」，故以下整理係以自評表為準。 [2] 分別為「隱私權政策」、「PII隱私風險管理過程」、「PII之隱私權原則」、「PII去識別化過程」、「重新識別PII之要求」。
歐盟電子通訊市場之事前管制與界定