歐洲個人資料保護委員會發布數位服務法與一般資料保護規則相互影響指引

「歐洲資料保護委員會」(European Data Protection Board, EDPB)於2025年9月12日發布《數位服務法》(Digital Services Act, DSA)與《一般資料保護規則》(General Data Protection Regulation, GDPR)交互影響指引(Guidelines 3/2025 on the interplay between the DSA and the GDPR)。這份指引闡明中介服務提供者(intermediary service providers)於履行DSA義務時,應如何解釋與適用GDPR。

DSA與GDPR如何交互影響?

處理個人資料的中介服務提供者,依據處理個資的目的和方式或僅代表他人處理個資,會被歸屬於GDPR框架下的控制者或處理者。此時,DSA與GDPR產生法規適用的交互重疊,服務提供者需同時符合DSA與GDPR的要求。具體而言,DSA與GDPR產生交互影響的關鍵領域為以下:

1.非法內容檢測(Illegal content detection):DSA第7條鼓勵中介服務提供者主動進行自發性調查,或採取其他旨在偵測、識別及移除非法內容或使其無法存取的措施。指引提醒,中介服務提供者為此採取的自發性行動仍須遵守GDPR要求的處理合法性,而此時最可能援引的合法性依據為GDPR第6條第1項第f款「合法利益」(legitimate interests)。

2.通知與申訴等程序:DSA所規定設通報與處置機制及內部申訴系統,於運作過程中如涉及個資之蒐集與處理,應符GDPR之規範。服務提供者僅得蒐集履行該義務所必須之個人資料,並應確保通報機制不以通報人識別為強制要件。若為確認非法內容之性質或依法須揭露通報人身分者,應事前告知通報人。同時,DSA第20條與第23條所規範之申訴及帳號停權程序,均不得損及資料主體所享有之權利與救濟可能。

3.禁止誤導性設計模式(Deceptive design patterns):DSA第25條第1項規範,線上平台服務提供者不得以欺騙或操縱其服務接收者之方式,或以其他實質扭曲或損害其服務接收者作出自由且知情決定之能力之方式,設計、組織或營運其線上介面,但DSA第25條第2項則宣示,線上平台提供者之欺瞞性設計行為若已受GDPR規範時,不在第25條第1項之禁止範圍內。指引指出,於判斷該行為是否屬 GDPR 適用範圍時,應評估其是否涉及個人資料之處理,及該設計對資料主體行為之影響是否與資料處理相關。指引並以具體案例補充,區分屬於及不屬於 GDPR 適用之欺瞞性設計模式,以利實務適用。

4.廣告透明度要求:DSA第26條為線上平台提供者制定有關廣告透明度的規範,並禁止基於GDPR第9條之特別類別資料投放廣告,導引出平台必須揭露分析之參數要求,且平台服務提供者應提供處理個資的法律依據。

5.推薦系統:線上平台提供者得於其推薦系統(recommender systems)中使用使用者之個人資料,以個人化顯示內容之順序或顯著程度。然而,推薦系統涉及對個人資料之推論及組合,其準確性與透明度均引發指引的關切,同時亦伴隨大規模及/或敏感性個人資料處理所帶來之潛在風險。指引提醒,不能排除推薦系統透過向使用者呈現特定內容之行為,構成GDPR第22條第1項的「自動化決策」(automated decision-making),提供者於提供不同推薦選項時,應平等呈現各項選擇,不得以設計或行為誘導使用者選擇基於剖析之系統。使用者選擇非剖析選項期間,提供者不得繼續蒐集或處理個人資料以進行剖析。

6.未成年人保護:指引指出,為了符合DSA第28條第1項及第2項所要求於線上平台服務中實施適當且相稱的措施,確保未成年人享有高度的隱私、安全與保障,相關的資料處理得以GDPR第6條第1項第c款「履行法定義務」作為合法依據。

7.系統性風險管理:DSA第34與35條要求超大型在線平台和在線搜索引擎的提供商管理其服務的系統性風險,包括非法內容的傳播以及隱私和個人數據保護等基本權利的風險。而指引進一步提醒,GDPR第25條所設計及預設之資料保護,可能有助於解決這些服務中發現的系統性風險,並且如果確定系統性風險,根據GDPR,應執行資料保護影響評估。

EDPB與其他監管機關的後續?

EDPB的新聞稿進一步指出,EDPB正在持續與其監管關機關合作,以釐清跨法規監理體系並確保個資保護保障之一致性。後續進一步的跨法域的指引,包含《數位市場法》(Digital Markets Act, DMA)、《人工智慧法》(Artificial Intelligence Act, AIA)與GDPR的相互影響指引,正在持續制定中,值得後續持續留意。

相關連結
你可能會想參加
※ 歐洲個人資料保護委員會發布數位服務法與一般資料保護規則相互影響指引, 資訊工業策進會科技法律研究所, https://stli.iii.org.tw/article-detail.aspx?d=9409&no=86&tp=1 (最後瀏覽日:2026/10/02)
引註此篇文章
你可能還會想看
日本推進超級城市系統帶動區域創新

日本推進超級城市系統帶動區域創新 資訊工業策進會科技法律研究所 2021年06月15日 壹、事件摘要 一、超級城市推動背景   數位技術躍升,驅動了產業創新的勃發。然而,現行社經體制與結構卻凸顯出創新速度與監理政策步伐間的落差,繼而牽動二者衝突,影響技術的擴散與創新產業的發展。   面對翻轉傳統框架之創新產業,國際間漸識「區域」居於主導創新發展之重要性,轉而嘗試從地方政府在區域規劃權限出發,尋求以區域創新作法突圍。換言之,區域創新需求的引力將能觸發創新產品或服務之供給,從而誘發法規(暫時)豁免或是鬆綁,為產業創新提供彈性空間。期能藉由法規鬆綁、開放創新的支援手段,通過特定區域作為數位創新技術在社會實踐的實驗室,檢驗與探索創新技術與社會體制之最佳解方。   而日本在區域創新搭配規範特例措施(規制の特例措置)已行之有年,包含有構造改革特區(構造改革特区)、綜合特區(総合特区)及國家戰略特區(国家戦略特区)。渠等皆係以地方政府(或區域)為核心,依其區域發展特性與創新佈建規劃並搭配規範特例措施推行。從既有制度以觀,構造改革特區無涉補助或租稅優惠措施,其推行上以重建財政為重,意即以地方自發性依其地區特性規劃,搭配規範特例措施推行都市再生、經濟上自立,並改善地區發展不均現象。但在此模式下,僅從地方角度出發,審查不符合當地情況之個別法規,難具全面性,整體效益並不顯著;綜合特區同樣以區域為主,設計上除規範特例措施外,另提供綜合性資助,包含稅收、財政上的支援,期望利用區域特定資源打造出可振興地方經濟的模式,立意良善卻無法阻止以綜合性資助為目的的情形;至於國家戰略特區,則是汲取過往經驗,改從國家角度出發,由內閣總理大臣主導,以促進國內外投資與鼓勵創業為旨,審查地方政府所提國家戰略特區計畫,並通過規範特例措施排除適用法規,允許產業在其中進行創新運用。   只是,在推動的過程中,日本漸發現除創新技術應用的特例措施外,資料協作亦至關重要。為精準解決日本的區域問題,必須尋求能夠在居民日常中運用資料協作實施先進技術的方法。在2019年超級城市/智慧城市論壇中,時任總理安倍晉三就此特別提及,資料正是新世代成長的動能,將與人工智慧等先進技術共同實現社會5.0願景。而超級城市所構築的資料流通規則與框架將能支持日本未來新時代的建設[1]。亦即,超級城市將是日本未來發展資料協作的基礎。 二、超級城市型國家戰略特區介紹   如前所述,資料協作成為產業創新不可避免的挑戰。其首要課題當屬完備資料之流通環境。也就是,需要建立一個資料共享基礎設施,促進多元進階服務間的資料蒐集、清洗和提供[2]。而日本注意到串接不同服務所利用之API(Application Programing Interface),本質上應非單純的技術,而是系統。延續此一概念,也直接表彰了日本所構想的超級城市,並非指直接於法律中引入超級城市定義,或直接建立超級城市,而是指開發一種能夠實現超級城市概念的系統(亦有稱其為城市操作系統/OS)[3],藉由系統的實施形塑超級城市型國家戰略特區。為此,日本於2019年啟動《國家戰略特別區域法》修法,以促進資料協作基礎的建立,引動統一且全面的監管改革。   2020年5月27日,《國家戰略特別區域法》一部修正(別名為超級城市法案)正式通過參議院會議,同年6月3日正式公告修正版本法規,9月1日正式施行。緊接著,2020年10月30日更一部修正《國家戰略特區基本方針》,增加有關超級城市區域之指定標準。其後亦陸續進行完備超級城市型國家戰略特區框架之法令調修,包含於《國家戰略特別區域法施行令》(国家戦略特別区域法施行令)增訂資料協作基礎設施事業標準(データ連携基盤整備事業に関する基準);於《國家戰略特別區域法施行規則》(国家戦略特別区域法施行規則)納入確認區域內住民就超級城市構想意向方法(スーパーシティ基本構想についての住民等の関係者の意向の確認方法)要求;於《內閣府‧總務省‧經濟產業省關係國家戰略特別區域法施行規則》(内閣府・総務省・経済産業省関係国家戦略特別区域法施行規則)增加資料協作基礎設施安全管理基準(データ連携基盤の安全管理基準);於《國家戰略特別區域法第二十五條之二規定實證事業等的內閣府令》(国家戦略特別区域法第二十五条の二の内閣府令で定める実証事業等を定める内閣府令)增加地區限定型監理沙盒制度施行規定(地域限定型サンドボックス制度の施行のための規定等)。   而超級城市型國家戰略特區內涵主要是以發展《促進官民資料活用推進基本法》(官民データ活用推進基本法)第2條所稱人工智慧、物聯網相關技術事業、及其他能處理大量資料並增加服務價值或創造新價值,進而衍生新興業務之先進技術事業為基礎,在《國家戰略特別區域法》增訂「先進區域資料活用事業活動」(先端的区域データ活用事業活動)概念,扣合超級城市區域指定標準中所訂,超級城市區域必須提供至少五個領域以上的先進服務,並且應與當地居民、地方公共團體、私營企業取得監理改革的共識要求,串接先進區域資料活用事業與區域內居民需求,引動監理改革。   附帶一提的是,超級城市框架的特色,除在先進事業運用必須貼合區域內居民需求外,居於區域整體規劃角度,更特別要求超級城市區域必須設置構想整體規劃的「建築師」(アーキテクト),且應以公開招募方式選出有能力營運超級城市系統者,確保資料協作基礎的相容性與安全性符合《資料協作基礎設施安全管理基準》。企能實現先進區域資料活用事業活動之主體資訊系統與擁有區域資料的主體資訊系統間相互合作之基礎,並在此基石上,蒐集、整理並提供資料予有需求之先進區域資料活用事業者,以周全區域內居民及利害關係人之權益[4],進而支援超級城市的實施。 貳、重點說明   綜整前述說明,日本在構建超級城市型國家戰略特區框架所著重點,分別係建置資料協作基礎設施之共享與合作,及推動大膽且全面的監理改革,以使先進技術落地。 一、構築資料協作基礎設施,帶動資料共享與合作   超級城市型國家戰略特區框架之重點,乃以資料協作為核心,因此資料協作基礎設施之建置,將是先進區域資料活用事業成功與否的關鍵。   然而要能順利推行資料協作,不同軟體間交換資料和指令時的連接方法必須具備通用性,以備未來不同領域甚或不同城市彼此間進行資料之交換與運用。故超級城市/智慧城市資料協調研究協會提出資料流通系統三大關鍵,分別為API角色及相關規則與發布方法、資料仲介者的能力與機能、資料結構的標準化。循此,日本通過設立資料協作基礎設施事業標準,擬定API規格、所處理資料種類與內容和運用的相關規約,其中特別強調的是,就涉及個人資料的運用,應以當事人「事前同意」為原則,並且要求相關資訊之公開必須通過網路實施,於提供資料時不得附加不正當之不公平條款等。另外,因應資安問題,日本亦特別明定資料安全管理基準,並要求應有確立責任主體機制、資料運用規章、資料安全專責人員、PDCA作業內容以及事業繼續計畫制定等,強化資料協作基礎設施功能與安全性。 二、大膽全面之監理改革,促成先進技術落地   有關超級城市型國家戰略特區第二點特色,係在地域型監理沙盒模式基礎上,搭配資料協作基礎活化先進技術資料的運用,促進多元領域間的合作。主要推行手段係建立新規制特例措施(新たな規制の特例措置),事先於《國家戰略特別區域法第二十五條之二規定實證事業等的內閣府令》框定相關先進技術,如自駕車、無人機及無線電波應用等,使其能夠在超級城市型國家戰略特區內更快速地用於實證。而因應快速實證作法,日本建立監控和評估系統加強事後檢查,並盡可能減少事前監管干預,以此強化國家戰略特別區域中產業國際競爭力或是形成國際經濟活動據點的正當性。   其中,值得注意的是,即便日本希望簡化行政程序,盡可能減少事前監管的干預,但在超級城市型國家戰略特區運作上,仍然必須與區域內居民進行溝通協調。蓋因在先進技術運用領域上,超級城市的特色是以居民需求作為出發點,強調區域居民的參與與支持。   故在指定超級城市的標準中,也明確地表示區域內居民意向之重要性,同時,特別指示地方政府申請超級城市型國家戰略特區時,應闡明調查該區域居民及其他利害關係人之方式和結果等,以便確認區域內住民就超級城市構想意向。整體而言,其推進方式係透過所謂的「區域會議」(区域会議)進行。在區域會議(特區擔當大臣、首長、經營者、居民代表等)中,選取區域居民所面臨的社會問題。其後,透過區域會議共商有助於解決地區社會問題的先進技術產品或服務,並依此擬定先進技術產品或服務間協調和共用資料的基本計劃(基本概念),通過表決進而提出監理改革事項。在此過程中,提出超級城市構想之地方政府,即可依據區域會議所了解之先進技術區域資料利用內容,要求總理大臣根據內閣辦公室條例(附有證明居民協議之書面文件,必要時得檢附監管改革建議)制定新的特例措施。後續地方政府將依據特例措施進行先進技術的落地應用。 參、事件評析   超級城市實施的關鍵,在於資料協作基礎及新規制特例措施的推行。雖然超級城市的推行尚處於選案階段,但觀察日本在推動超級城市中所著眼之資料協作基礎設施及地域型監理沙盒的事後檢查做法,或可做為我國推行區域創新借鏡。   首先是資料協作基礎設施之建設,近年,我國國發會大力改革與推動下,透過《政府資訊公開法》、《行政機關電子資料流通實施要點》及《個人化資料自主運用平臺介接作業要點》等,促進我國公、私領域資料的流通與串接。而未來,考量先進技術產業與跨領域資料協作需求,或宜考量日本以系統思維推行資料流通串接之作法,除公部門資料及個人資料外,就產業資料及相關合作之可能性一併考慮,構建區域化的資料協作基礎設施。   次者是,回顧我國在應對先進技術的法規調適做法,已陸續有以產業需求為主的《金融科技發展與創新實驗條例》、《無人載具科技創新實驗條例》及其他不同目的推動之小型實證計畫等,但似尚無與地方政府共同合作,引動在地居民了解政策並參與之機制。故借鑒日本超級城市型國家戰略特區以區域居民需求結合中央權限制定特例措施之作法,或許亦能為我國推動區域創新指出另一條明路,有效促進更接地氣的創新實證落地,並帶動區域經濟向上發展。    [1]スーパーシティ/スマートシティフォーラム2019に寄せて報告書,2019年,頁7。 [2]国家戦略特別区域法及び構造改革特別区域法の一部を改正する法律案,https://www.chisou.go.jp/tiiki/kokusentoc/kettei/pdf/r10607_sankou.pdf (最後瀏覽日:2021/5/6) [3]萩原詩子,〈「スーパーシティ」実現を目指す、国家戦略特別区域法改正法案〉,2020/2/21,https://project.nikkeibp.co.jp/atclppp/PPP/news/021401450/ (最後瀏覽日:2020/6/12)。 [4]国家戦略特別区域法の一部を改正する法律第2條第3項,令和2年6月3日。

美國國家標準及技術研究院公布晶片法補助申請細節及限制

美國商務部(Department of Commerce, DOC)旗下國家標準及技術研究院(National Institute of Standards and Technology, NIST)於2023年2月28日發布《晶片與科學法》(CHIPS and Science Act)補助具體內容,重點如下: 一、申請時間:補助採滾動式錄取模式(rolling basis),先進製程製造補助將於2023年3月31日起開放預先申請(pre-application)與正式申請(full application);成熟製程與其他相關生產設施的製造補助,將分別於2023年5月1日及6月26日開放預先申請及正式申請。 二、補助方式與金額:補助分為直接補助(direct funding)、聯邦政府貸款(federal loans)或第三人提供貸款並由聯邦政府提供擔保(federal guarantees of third-party loans)。直接補助的金額上限預計為預估資本支出的15%。每個計畫可透過一種以上之方式獲得補助,然整體補助金額不得超出預估資本支出的35%。 三、申請流程 1.意向聲明(statement of interest):申請人須提供半導體製造工廠投資計畫的簡要說明,俾利NIST旗下晶片計畫辦公室(CHIPS Program Office)為未來審查進行準備。 2.預先申請:申請人提供更詳盡的計畫內容。晶片計畫辦公室將給予調整意見。 3.正式申請:依照晶片計畫辦公室給予的意見修改後,申請人應遞交完整的計畫申請書,內容必須包含投資計畫的技術與經濟可行性之分析。晶片辦公室審核完畢後,會與申請人簽訂不具約束力的初步備忘錄(non-binding Preliminary Memorandum of Terms),記載補助方式與金額。 4.盡職調查(due diligence):在經過上述程序後,晶片計畫辦公室如認為申請人合理且可能(reasonably likely)取得補助,將對申請人進行盡職調查。 5.補助發放:通過盡職調查後,DOC將開始準備發放補助。 四、補助規範與限制 1.禁止買回庫藏股(stock buybacks):受補助者不得將補助款用於買回庫藏股。 2.人力資源計畫:申請人要求的補助金額若超過1億5千萬美元,須額外說明將如何提供員工可負擔且高品質的子女托育服務。 3.建造期限:受補助者必須於DOC所決定的特定日期(target dates)前開始或完成廠房建造,否則DOC會視情況決定是否收回補助。 4.分潤:補助金額超過1億5千萬美元時,受補助者須與美國政府分享超過申請計畫中所預估之收益,但最高不超過直接補助金額的75%。 5.不得於特定國家擴產與進行研究:受補助者於10年內或與DOC合意的期間內,除特定情況下(15 U.S.C. § 4652(a)(6)(C)),不得於特定國家,如中國,進行大規模半導體製造的擴產(material expansion)、聯合研究(joint research)或技術授權(technology licensing),違反者將會被DOC收回全額補助。

世界智慧財產權組織發布「2019年全球創新指數報告」(GII)

  2019年7月24日,世界智慧財產權組織(World Intellectual Property Organization, WIPO)、美國康乃爾大學(Cornell University)、歐洲工商管理學院(INSEAD)共同發布「2019年全球創新指數報告」(Global Innovation Index 2019, GII)。GII報告每年度發行一份,希望幫助全球決策者更有效地制定政策及促進創新。本年度的報告主題是「創造健康生活─醫療創新之未來展望」,內容展望創新醫療,包括:導入人工智慧(artificial intelligence, AI)、基因體學(genomics)和健康醫療相關的手機應用程式,將會改變醫療照護。醫療創新無論是在診斷或預後,由於大數據、物聯網(Internet of Things, IoT)和人工智慧等新興科技的興起而改變。伴隨而來的是倫理、社會經濟等多方面、史無前例且迫切的挑戰。報告中提及幾項重要發現: 儘管經濟衰退,然而全球創新遍地成長,不可忽略保護主義對於全球創新的潛在風險。 創新版圖開始位移,中收入的經濟體開始嶄露頭角,值得一提的是以色列躋身第十名,而南韓也在前二十名的名單。 創新的投入和成果(innovation inputs and outputs)仍集中於特定少數經濟體和地區。 特定經濟體透過創新獲得的投資報酬率,大幅高過其他經濟體。 從「重量不重質」,蛻變為「重質不重量」,仍為改革的重要方針。 多數科學與科技的創新集中在美國、中國和德國。 需要更多的投資並將科技普及化,方能透過醫療創新打造健康生活。   GII依據80項指標評比129個經濟體,指出,全球創新指數最高的國家排名前五名為:瑞士、瑞典、美國、荷蘭、英國,均為高所得國家。中高所得國家創新指數前三名為:中國、馬來西亞、保加利亞;中低所得國家前三名為:越南、烏克蘭、喬治亞;低所得國家前三名則是:盧安達、塞內加爾、坦尚尼亞。至於區域性的創性領袖國是印度(中亞與南亞)、南非(撒哈拉以南非洲)、智利(拉丁美洲和加勒比海地區)、以色列(北非與西亞)、新加坡(東南亞、東亞與大洋洲)。最頂尖的自然與科技聚落所在國家為:美國、中國、德國;並特別指出巴西、印度、伊朗、俄羅斯、土耳其表現亮眼。最頂尖五大聚落是東京-橫濱(日本)、深圳-香港(中國大陸)、首爾(南韓)、北京(中國大陸)、聖荷西-洛杉磯(美國)。

歐洲議會全體會議投票通過《資安韌性法》草案,以提高數位產品安全性

歐洲議會於2024年3月12日全體會議投票通過《資安韌性法》(Cyber Resilience Act)草案,後續待歐盟理事會正式同意後,於官方公報發布之日起20天後生效。該草案旨於確保具有數位元件之產品(products with digital elements, PDEs)(下簡稱為「數位產品」)具備對抗資安威脅的韌性,並提高產品安全性之透明度。草案重點摘要如下: 一、數位產品進入歐盟市場之條件 課予數位產品之製造商及其授權代理商、進口商與經銷商法遵義務,規定產品設計、開發與生產須符合資安要求(cybersecurity requirements),且製造商須遵循漏洞處理要求,產品始得進入歐盟市場。 二、數位產品合規評估程序(conformity assessment procedures) 為證明數位產品已符合資安及漏洞處理要求,依數位產品類別,製造商須對產品執行(或委託他人執行)合規評估程序:重要(無論I類或II類)數位產品及關鍵數位產品應透過第三方進行驗證,一般數位產品得由製造商自行評估。通過合規評估程序後,製造商須提供「歐盟符合性聲明」(EU declaration of conformity),並附標CE標誌以示產品合規。 三、製造商數位產品漏洞處理義務 製造商應識別與記錄數位產品的漏洞,並提供「安全更新」(security updates)等方式修補漏洞。安全更新後,應公開已修復漏洞之資訊,惟當製造商認為發布相關資訊之資安風險大於安全利益時,則可推遲揭露。 四、新增開源軟體管理者(open-source software steward)之義務 開源軟體管理者應透過可驗證的方式制定書面資安政策,並依市場監管機關要求與其合作。當開源軟體管理者發現其所參與開發的數位產品有漏洞,或遭受嚴重事故時,應及時透過單一通報平臺(single reporting platform)進行通報,並通知受影響之使用者。

TOP