韓國提出生成式AI訓練合理使用判斷原則指引:指明不構成合理使用之情形與事例
資訊工業策進會科技法律研究所
2026年07月01日
韓國文化體育觀光部(Ministry of Culture, Sports and Tourism,下稱MCST)與韓國著作權委員會(Korea Copyright Commission,下稱KCC)於2026年2月26日共同發布《生成式AI模型訓練之合理使用適用原則指引》(Guide on Applicability of the Fair Use Doctrine to Training of Generative AI Models,下稱本指引),以韓國著作權法第35條之5合理使用一般條款為基礎,就受著作權保護著作於生成式AI訓練過程遭利用之情形,提出四項判斷要素之適用原則、有利與不利認定之對照及具體事例。
壹、事件摘要
韓國於指引前言指出世界各國將AI技術視為未來核心成長引擎,力求在全球AI領導地位上取得競爭優勢。部分國家呼籲採取政策支持措施,盡可能廣泛允許訓練資料之使用並鼓勵AI發展,惟受憲法保障之著作權與AI驅動之技術創新,係不應以犧牲一方成全另一方之價值。韓國當前最關鍵之政策課題,在於找出一種平衡途徑:既尊重著作權人之正當權利、獎勵創作,同時避免對AI創新造成不當限制,促進共同成長與發展。而且AI發展之創新與著作權之保護並非本質衝突之價值。當二者作為互補原則相互調和時,得共同推動整體社會更廣泛之文化與經濟進步[1]。
貳、重點說明
該指引認為生成式AI訓練各階段之資料蒐集、前處理、模型訓練與評估最佳化,均可能構成著作權法上之重製,在韓國著作權法未設文本與資料探勘專門例外之現況下,AI訓練之利用是否合法,主要回歸第35條之5合理使用之四要素綜合判斷。指引除說明各國案例與法令外,就四項判斷要素逐一整理其定義與要件,同時提出「有利」與「不利」於合理使用之情形,並列舉可能成立與不太可能成立合理使用之事例,藉此將原本高度個案化之合理使用判斷予以類型化。本文重點針對其已表態認為較不利或(不)認同主張合理使用之情況、事例,摘要說明如下:
一、合理使用四要素可能無法構成的情況
(一)利用之目的與性質[2]
1、無轉化利用致目的與性質近似:若利用之目的與性質與原著作相同;未創造新價值或新用途、未顯著貢獻公共利益,且損害既有市場或權利人經濟利益。
2、有直接或間接商業獲益:開發者向使用者直接收取服務對價,或藉廣告與宣傳取得間接經濟利益;非營利研究組織於營利企業贊助下、為該企業商業目的訓練模型。
3、未實施侵權防制技術:若未採取措施以拒絕生成特定受著作權保護著作之重製或模仿之提示,從根本上阻擋重製或模仿特定著作所含表達之請求之AI系統。
4、過度就特定著作進行訓練:將提高生成式AI輸出與原著作共享相似目的或性質之可能性,較可能與著作之「通常利用」相衝突並損害著作權人經濟利益。
5、訓練目的與商業利用有關係:生成式AI系統縱為商業目的開發或訓練,並不當然排除合理使用之認定,縱存在商業目的,若該技術創造新價值並服務公共利益,其利用仍可能獲有利評價。而且,非商業與商業目的可能交織,例如,由大學與企業共同進行之產學合作研究,於初始研究階段可能屬非商業,惟若生成式AI模型用於提供商業服務,則可能有不利認定。反之,縱為營利企業,若其訓練AI模型以生成與其商業活動無關之輸出,亦可能被認定為進行非商業訓練。
6、取得方式違反著作權人意願:著作權人曾採取措施限制網路爬取或擷取,未經許可蒐集受接取限制之著作(如須登入或付費牆後之著作)或規避技術保護措施; 縱著作於技術上可接取,未經著作權人許可將其用於生成式AI訓練,違反適用之條款與條件之方式自網站蒐集著作,或以不被允許之方式接取著作,可能被視為逾越授權範圍。縱著作看似經轉化性利用,若該利用涉及非法重製或不當接取,此等情狀仍可能不利於因素一之有利認定。
(二)著作之類型與目的[3]
就第二要素著作之類型與目的,該指引認下列情形不利於合理使用之認定:
1、資料屬於供享受之文學或藝術著作:使用主要為享受著作本身而創作之文學或藝術著作,或創作性高而個性表達強之著作。因其創作表達係其核心價值,訓練於此等表達之生成式AI模型很可能生成相同或近似之表達特徵。
2、屬未公開或僅於受限或付費接取下提供之著作(如訂閱服務或付費資料庫):因對權利人經濟利益之影響風險較高,其利用性質與周遭社會期待不同。惟著作可公開取得並不因此即支持可合理使用之認定,可能因robots.txt限制之存在、以及預期利用之範圍與規模等面向,受不同權衡。
(三)所使用部分之質量與重要性
就第三要素,指引認下列情形不利於合理使用之認定[4]:
1、非必要下使用整份著作之量:使用整份著作訓練模型,本身不利於本要素;惟整份利用若基於技術上不可避免且必要之理由,得綜合其他要素另為評價。
2、直接重製核心表達之質:於利用過程中直接重製著作核心表達要素、輸出與原著作實質相同或可替代,且逾越利用目的所合理必要之範圍。
(四)對現在或潛在市場或價值之影響
就第四要素,指引認為下列情形不利於合理使用之認定[5]:
1、造成銷售損失或其他經濟損害:生成式AI訓練所生輸出不可能、或僅極低可能替代原著作之經濟價值或市場需求、或損害其市場價值縱屬商業利用,只要該利用不直接影響原著作市場之需求,亦可能有利於因素四。
2、AI輸出直接或實質重製原著作之核心表達:替代原著作或侵蝕其潛在市場需求之輸出,很可能不利於使用者。
3、損害授權機會、替代或削弱市場:使用著作於生成式AI訓練之授權市場,於部分領域已存在,或視著作類型、訓練方法與模型特性而合理可期於未來出現或發展;AI開發者未經許可蒐集並使用著作進行訓練、再於商業服務中利用訓練後模型,可能妨礙或損害著作權人就類似利用於未來授權以獲利之合理可預見機會。
4、反覆且大規模之未經授權訓練:可能導致未經授權利用,若任其普遍化,可能擾亂通常授權實務與市場規範、削弱受著作權保護著作之市場價值,並實質消滅著作權人獲取收益之能力。
二、合理使用認定可能與不可能事例
本指引於案例部分,直接列舉數則經四要素綜合判斷後(不太)可能成立合理使用之情形[6],分述如下:
(一)可能有利於認定的事例
1、開發者使用可公開取得之線上貼文及合法購買之書籍訓練AI,且著作之利用非意在重製或替代特定貼文或書籍之表達,而係為實現通用型對話與生成能力。此外,開發者曾努力實施技術措施,以拒絕生成與訓練所用著作相同或實質近似輸出之提示。
2、模型係使用主要為傳達事實與資訊之短語或一般非專業表達(如社群媒體貼文或評論)訓練,且輸出呈現相對低度之創作性。
3、開發者別無選擇,須輸入數億筆資料,考量實現通用型語言理解與生成能力之目標,所使用受著作權保護著作之數量與範圍可認為合理。
4、訓練後模型之輸出或基於輸出之服務,未實質替代原著作之觀看、使用或銷售。此外,創作性相對較低之著作,如社群媒體或個人部落格上分享之貼文、留言、評論、照片或影片,或為非商業目的創作之平凡著作(尤其難以辨識或尋得著作權人者),亦用以訓練AI。
5、政府資助研究機構,依《公共資料之提供與利用促進法》所定公共資料,訓練其自然語言處理(natural language processing, NLP)模型,作為其社會不平等研究之一部分。
6、大學研究團隊蒐集以開放取用(open access)發表之論文,開發AI科技摘要模型,隨後並以開源(或開放權重)方式釋出該模型。
7、AI開發者使用可自由取得之科學與工程相關論文全文,建立可自動分析資料並支援研究之模型。
8、AI開發者使用其公司合法下載或以CD購買之戲劇影集或電影等視聽著作訓練模型,以開發分析犯罪者移動模式等犯罪預防應用。
(二)可能不利認定的事例
1、開發者訓練AI模型或提供服務,生成與特定貼文或書籍之句子、結構或表達相同或實質近似之輸出,或模型吸收原著作語言表達之精髓,即字詞於句子、段落或整份文件層次如何被選擇與排列。
2、訓練所用著作具高度文學或藝術創作性,且表達具強烈個性。
3、鑑於AI模型之架構,著作之利用範圍非結構上不可避免,亦非實現通用型語言理解與生成能力目標所合理必要。
4、AI訓練或相關服務之提供,導致受著作權保護著作銷售下降、對著作權人造成經濟損害、剝奪著作權人授權機會,足以構成市場替代或市場稀釋之顯著風險。此外,就AI訓練以合理條件授權之框架(如專為AI訓練目的之獨立授權制度)及集體管理制度已然存在,取得授權相對容易。
5、新聞文章全文訓練之摘要服務:未經新聞出版商許可,爬取並就新聞文章全文訓練模型,經營自動提供文章摘要之商業服務。本指引認其目的與原新聞文章近似而不具轉化性、著作係未經授權蒐集、使用全文,且摘要可能使讀者無須造訪原文即取得資訊,侵蝕出版商之訂閱與廣告收益。
6、合法購買教科書訓練並銷售教材:以合法購買之數位教科書訓練AI,生成教科書或習作簿並銷售。本指引認縱原書係合法購買,利用目的仍不具轉化性、所用著作具學術與教育價值、使用全文,且輸出可能替代或削弱出版商之教材市場。
7、未授權付費圖庫影像訓練並販售:未經許可爬取付費圖庫網站之高解析度付費影像訓練模型,並販售生成影像。本指引認其未經許可蒐集、目的不具轉化性、使用全份著作,且輸出可能替代圖庫或授權市場;又付費影像平台多設浮水印、API控管、robots.txt等技術措施以防未經授權蒐集,故此類利用不太可能成立合理使用。
8、歌手歌曲訓練經營付費AI翻唱:自音樂平台購入某歌手之數千首歌曲訓練模型,經營付費AI翻唱歌曲生成業務。
參、事件評析
如同韓國指引所揭示,其立場認為須找出平衡途徑,既尊重著作權人之正當權利、獎勵創作,同時避免對AI創新造成不當限制,促進共同成長與發展,以求二者作為互補原則相互調和,使整體社會文化與經濟進步,故雖其承認AI訓練確實涉及重製權,但亦認為如手段與來源合法,且其結果必須有轉化性、未影響既有經濟利益,則仍有主張合理使用的可能。此指引所呈現的態度,公益目的、公開取得及合法購買之書籍、為實現通用型對話與生成能力、實施技術措施、不產生替代效果,實亦呼應目前國際上就AI著作合理使用的多數看法。
就我國而言,我國著作權法第65條之合理使用四款判斷基準,與韓國第35條之5同屬四要素綜合判斷之立法例,且我國現行法同樣未設TDM專門例外,相關修法方向尚未聞擬進行研議。韓國其於TDM例外立法屢議未決之際,以其現行合理使用一般條款(第35條之5)為基礎、輔以行政指引因應AI訓練,以要素分析、不利類型化、具名事例的模式,引導、傳達主管機關立場的操作合理使用之作法,對我國主管機關研擬相關解釋或指引之參考價值較高。
韓國指引之價值,不在其結論具拘束力,因其明示固為主管機關之立場呈現,但其也特別揭示指引非權威解釋,所列案例與例示僅供說明與解釋之用。然而在其將原本高度個案化、難以事前預測之合理使用判斷,整理為可操作之不利類型與事例,為權利人與AI開發者提供風險預判之座標。以指引降低判斷不確定性之方式,亦呼應我國人工智慧基本法立法後,政府在相關作用法的整備上,以指引先行因應、再視實務累積決定是否立法之階段性的治理選擇,足供我國參酌。
本文著作權屬財團法人資訊工業策進會科技法律研究所所有,如需引用或轉載,請註明出處。
本文同步刊登於TIPS網站(https://keid.nat.gov.tw/tips/)
[1] 韓國文化體育觀光部、韓國著作權委員會,《生成式AI模型訓練之合理使用適用原則指引》(Guide on Applicability of the Fair Use Doctrine to Training of Generative AI Models),頁8(2026)。
[2] 同前註,頁32-37。
[3]同前註,頁37~39。
[4] 同前註,頁39~41。
[5] 同前註,頁41~45。
[6] 同前註,頁50~頁62。
英國Farm Data Principles組織(下稱FDP,前身為英國農場資料委員會(The British Farm Data Council)),在2024年2月26日英國農業科學技術跨黨派小組(All Party Parliamentary Group for Science & Technology in Agriculture)於西敏寺辦理的會議,正式宣告農場資料認證計畫,FDP強調因目前欠缺資料治理原則,導致缺乏信任等資料使用障礙,並指出若未事先約定資料如何使用等,將致無法明確保護資料。截至目前為止,已經有7個組織取得完全(Full)或臨時(Provisional)認證。 農場資料認證計畫包含四大核心要求,分別為: 1.「您的資料是您的資料(YOUR DATA IS YOUR DATA)」:如強調應由資料生成者擁有及管控資料,且未經其許可,不得接觸、儲存、共享或銷售資料,以及應明確說明參與資料處理的對象等。 2.「通過認證的組織清楚資料共享的價值和好處(CERTIFIED ORGANISATIONS ARE CLEAR ABOUT THE VALUE AND BENEFIT OF DATA SHARING)」:如應針對資料使用範圍及方式,提供明確說明,以及必須解釋如何整合資料及其衍生的價值等。 3.「通過認證的組織須確保資料安全(CERTIFIED ORGANISATIONS KEEP YOUR DATA SAFE)」:如為維護資料安全,應採取適當的資料安全標準及規劃資料外洩處理流程等。 4.「通過認證的組織須努力使資料變得簡單(CERTIFIED ORGANISATIONS STRIVE TO MAKE DATA EASY)」:如提供資料相關教育訓練,以及確保組織能夠回應請求或投訴等。 為因應農業資料於研發過程中的資料應用風險,資策會科法所創意智財中心協助農業部研擬「智慧農業科技研發資料源頭查檢說明手冊」,並於2024年3月14日正式發布,相關手冊所附之資料管理查檢表,可協助智農科技研發者針對資料取得、使用及管理,事先進行整體性規劃,並與不同的資料提供者及合作對象就資料權利義務約定清楚。其中針對資料管理,更依照資料生成、保護及維護的標準化作業流程,設計各階段相應的管控要項,確保農業資料持續處於有效管理的狀態,以降低資料潛在風險,促進資料流通應用。 本文同步刊登於TIPS網站(https://www.tips.org.tw)
英國醫學總會新指南 提醒醫師在保護病患隱私權和保護可能具有共同基因者健康之間做出衡平英國醫學總會(General Medical Council, GMC)在2009年9月公佈了一份有關醫師保密義務的指南(Guidance for doctors - Confidentiality),該指南針對基因檢測資訊的部份指出,病患的基因資訊和一些其他的資訊,有時也會是和病患擁有共同基因或其它連結的其他人的資訊,因為,在病患身上所診斷出來的因有缺陷基因所造成的疾病,可能也就指出了和病患有血緣關係的親屬的發病可能性,或甚至是幾乎可以確定他們未來也會發病。此時,醫師要提醒病患應該立即通知也有可能有此有缺陷基因的親屬,以期能夠協助那些親屬接受預防治療或作更進一步的檢查,對潛在的健康問題有所準備。 然而,若是病患表示了反對的意思,例如病患是來自一個破碎的家庭,和親屬的關係並不良好,或是基於其它個人的理由,所以不願意告知親屬相關有缺陷基因的風險時,則指南提醒醫師應該要自行衡量身為醫師對於保護病患所需遵守的義務,以及協助保護他人免於嚴重傷害兩者之間孰輕孰重。此外,若經過醫師的判斷之後,決定要向那些親屬告知他們所可能面對的健康風險時,醫師必須要採行不會透露病患身份的方式為之。 當然此種基因檢測資訊的通知,引起了正反兩極的評價,反對者主張此舉將嚴重侵害病患隱私權,也可能損害了醫師與病患間資訊保密的原理原則。唯贊成者則指出,許多的基因疾病,如亨丁頓舞蹈症、囊狀纖維化(Cystic fibrosis)、血友病(Haemophilia)、及乳癌(Breast cancer)等,都有著極高的遺傳性及致死率,透過此一機制所能達到的早期警告的效果,或可使得帶有相同有缺陷基因的病患親屬,能夠對潛在的健康問題及早有所準備。且若該等親屬正要或未來要透過試管嬰兒取得下一代時,亦可在執行試管嬰兒的程序中進行篩檢,防止下一代的人生繼續遭受此種有缺陷基因所帶來的疾病。
美國著作權局發布2022–2026策略計畫美國著作權局於2022年1月20日提出2022–2026五年策略計畫,以培養創造力及豐富文化為主軸,並闡明四個總體目標:著作權服務普及、提升效率、公正專業及增進資料使用。相關內容值得持續關注後續發展,說明如下: 一、著作權服務普及 隨著數位網路技術興起,著作權局已展開如製作溝通素材、回答公眾問題、提供各式主題教育計畫等活動。後續將更專注於讓所有人盡可能了解其服務,如著作權賠償委員會(Copyright Claims Board, CCB)等,創造一個屬於大眾的著作權系統,並豐富公眾可使用創意內容的數量與多樣性。 二、提升效率 著作權局進行包括建立企業著作權系統(Enterprise Copyright System, ECS)使其服務數位化、透過改進公共資訊聯絡中心、倉庫管理和財務系統以提升效率等工程。除持續更新ECS等系統外,未來將以用戶為中心來滿足著作權界的需求。 三、公正專業 著作權局長期以來擔任國會的著作權法律顧問,處理相關立法、政策與實踐問題,並與其他行政機關、法院合作處理各式著作權疑義。除了持續透過立法推動、規則制定及研究來衡平著作權法及政策之外,著作權局將繼續在國際舞台上參與政策討論及提供教育,發揮積極作用,成為全球著作權界的資源。 四、增進資料使用 在提供服務的過程中,著作權局蒐集了各類有價值的著作權相關資訊。此外,其亦網羅與內部運營績效、網路指標有關的其他資料。著作權局將加強資料的開發和使用,並以此作為決策的論證基礎、改進組織績效衡量標準,並使內、外部受眾更容易取得該等資料。 「本文同步刊登於TIPS網站(https://www.tips.org.tw)」
淺談個人資料跨境傳輸之管理淺談個人資料跨境傳輸之管理 科技法律研究所 2013年04月03日 由於資訊科技與全球商務型態之快速發展,企業將個人資料為跨境處理或利用的情況已相當的普遍,例如因人員的調動而傳輸個人資料至位於他國境內的關係企業、因作業委外對象位於他國境內而將個人資料傳輸至境外…等。然而,企業將個人資料為跨境處理或利用時,時常因為各地法令之不一,而面臨阻礙,進而影響其商務活動的進行。我國為一海島型國家,長年倚賴國際通商,是以,有關於個人資料跨境傳輸之課題,為有關當局所不能忽視者。本文擬就世界主要國家及機構之個人資料跨境傳輸國際合作機制精要說明,並提出我國公務機關可能採取之作法建議。 壹、事件摘要 對於個人資料跨境傳輸議題的管理,涉及了多個面向的課題,其中包括了對於各國國家主權的尊重、各國個人資料法令的不一致對於商務活動的影響、個人資料保護與國家利益的平衡…等。觀察各國與國際組織之動態,其基於政治以及經濟上利益,皆致力推動與調和國際間個人資料保護原則。 以歐盟為例,因對於人權的尊重與個人隱私的重視,歐盟所建立的跨國個人資料傳輸規範較為嚴格,而此舉對企業為個人資料之跨境處理或利用造成困擾,阻礙個人資料的自由流動。為此,歐盟採納了個人資料跨境傳輸時所需遵守之標準契約條款,以及具有拘束力之合作規則,以克服個人資料難以自由流動之困難。另一方面,觀察APEC之個人資料保護指令的內容,可以發現個人資料保護之課題受到重視係為了促進區域內電子商務活動之發展。 上述之說明更彰顯了國際組織或其他國家對於個人資料國際傳輸之重視不外乎為了經濟利益的追求、商務活動的進行,故其作法或可為重視國際通商的我國所參考。 貳、重點說明 一、歐盟對於個人資料跨境傳輸議題的管理 (一)標準契約範本之提出 歐盟執委會依歐盟個人資料保護指令第26條第4項提出標準契約範本(the Contractual Model and Standard Contractual Clauses),此標準契約範本之起草精神為,會員國簽訂標準契約後,即可不需徵求該國個人資料保護機關之准許,增進個人資料跨國傳輸之效率以及速度。雖然,此標準契約範本仍有發展空間,但國際上已有相當多國家利用該標準契約處理個人資料跨境傳輸。 目前歐盟已發展三套標準契約範本供會員國於跨境傳輸個人資料時參考,分別是2001/497/EC、2004/915/EC及2010/87/EU之標準契約附錄。依標準契約範本之內容,資料傳送者將個人資料傳輸至第三國時,縱使個人資料接收國已經採取合適的個人資料保護措施,個人資料的傳輸國仍必須採取額外的個人資料保護措施。其中,2001/497/EC與2004/915/EC主要針對會員國之資料管理者將個人資料傳輸至非會員國之資料管理者,而2010/87/EU除了針對會員國之資料管理者將個人資料傳輸至設立於非會員國之資料處理者之情形外,亦賦予當事人更廣泛之契約求償權利,亦即個人資料受侵害之當事人可採取法律行動先向個人資料傳送者請求損害賠償,若個人資料傳送者無賠償能力或發生逃避損害賠償責任之情形時,當事人可以向受個人資料進口者委託者(sub-processor)提出請求,要求就其責任範圍負擔損害賠償責任。 標準契約範本的起草與形成其實就是歐盟隱私保護原則的契約化,是以,該契約範本所定之要件過於嚴格又缺乏彈性,同時增加個人資料跨境傳輸之行政費用負擔,故傳輸以及接收個人資料之雙方不願意以標準契約條款作為其約定之內容。對於跨國傳輸個人資料之跨國企業而言,造成標準契約條款缺乏彈性的主要原因為實務上企業跨國傳輸個人資料時,不見得會設立完整傳輸系統,時常運用郵件交換、內部資料庫查詢以及內部網路等工具跨國傳輸個人資料,而標準契約條款並無法完全因應現況,故產生難以適用之情形。 (二)共同約束條款(Binding Corporate Rules)之提出 如前所述,歐盟執委會已體認到模範契約範本適用上之問題。考量到企業營運之利益,歐盟執委會增加了共同約束條款(Binding Corporate Rule, BCR)機制。BCR為歐盟工作小組依循歐盟個人資料保護指令之精神所提出,為跨國企業、團體以及國際組織於跨境傳輸個人資料至其位於其他未設有妥善個人資料保護法制制度之國家的分公司或子機構時,得以遵循之規則。 BCR建立乃是為了減少跨國組織簽署契約條款之行政負擔支出,並可以更有效率地於其集團內跨境傳輸個人資料。但,BCR僅適用在組織內部跨境移轉個人資料之情形,若是不同公司、企業或組織跨國傳輸個人資料情形時,則不適用BCR。 (三)安全港協議之簽署 為了犯罪偵查機關執行公務之目的,政府間時有合作跨傳輸個人資料之需求。以美國與歐盟為例,二者間成立高度密切聯絡小組(the High Level Contact Group)以統合處理歐盟會員國與美國政府機關就協議事項之協調事宜,同時,亦設定個人資料跨境傳輸保護之相關標準,以供歐盟及美國政府遵循之。 對於個人資料的保護,美國採取分散式之法律規範模式,此與歐盟各會員國之作法不同。此外,因為美國並未被歐盟執委會認定為具備充分(adequate)之個人資料保護措施地區,因此於個人資料跨境傳輸時,依歐盟個人資料保護指令,歐盟內之個人資料似不能傳輸至美國,除非符合其他例外情形。對此,為了弭平兩區域間因個資法規範不同所造成個資無法跨國傳輸之情形,美國商務部與歐盟執委會協議採取安全港架構,此安全港架構提供欲跨境傳輸個人資料之組織可自行評估並決定是否加入安全港架構的機制。 二、APEC亞太經濟合作組織對於個人資料跨境傳輸議題的管理 (一)資訊隱私開路者合作計畫之提出 APEC透過亞太經濟合作組織資訊隱私開路者合作計畫(APEC Data Privacy Pathfinder Projects)建立多邊隱私保護認證機制。開路者計劃之內容包含了自我評估、承諾審查、互相承認與接受、爭議解決與執行…等九項子計畫,期能夠在符合APEC隱私保護綱領之原則下,推動APEC跨境隱私保護規則(Cross-Border Privacy Rules, CBPRs)。總結來說,開路者計劃透過設計一連串的制度,提供企業經營者得以建立其內部之跨境資料傳輸規則,並且透過認證機制(Accountability Agents)之建立,使企業得以提供消費者可信之標章。 (二)APEC跨境隱私執行機制之提出 為使會員經濟體間個人資料之跨境傳輸更為流通,並且調合各國因個人資料保護法令要件不同而產生扞格之情形,APEC跨境隱私執行機制(APEC Cross-Border Privacy Enforcement Arrangement, CPEA)因應而生,而目前己加入本機制之會員經濟體,包括澳洲、加拿大、香港、紐西蘭以及美國。 (三)與其他區域之合作與整合 APEC已開始思考除了亞太地區之個人資料跨境機制之加強外,也思考如何與其他區域之跨境隱私機制進行合作或者整合,以歐盟為例,APEC思考如何將CBPRs機制與歐盟之共同約束條款作調和,以促進全球間之個人資料跨境傳輸。 2012年,APEC將依透明化、流通化、以及低成本化之目標建置更為完善之跨境傳輸個人資料制度。除了加強區域內各國對於跨境隱私系統之認識外,也希望區域內之會員經濟體可踴躍參與跨境隱私機制。 三、經濟合作與發展組織對於個人資料跨境傳輸議題的管理 經濟合作與發展組織(Organization for Economic Co-operation and Development, OECD)於1980年公佈「個人資料保護準則以及跨國資訊傳輸準則」(Recommendations of the Council Concerning Guidelines Government the Protection of Privacy and Trans-Border Flows of Personal Data),列出七項原則,包括: (一)通知(Notice):當個資被收集時,應通知當事人。 (二)目的(Purpose):資料僅得以說明之目的為使用,不得作為其他目的之使用。 (三)同意(Consent):未獲得當事人之同意時,不得揭露當事人之資訊。 (四)安全保障(Security):需保障被蒐集之資料被濫用。 (五)揭露(Disclosure):當事人應被告知誰在蒐集他們的資料。 (六)查閱(access):當事人應可查閱其個人資料並且可改正任何不精確之個人資料。 (七)責任原則(Accountability):當事人須被通知須負起個人資料蒐集使用以及管理責任者為何人。 個人資料保護準則以及跨國資訊傳輸準則表達各國整合個人資料保護原則之共識,亦可了解OECD各會員國對於消除各國間對於個人資料保護差異以及建立更有效率之跨國個人資料傳輸制度有一致性的想法。 參、事件評析 我國目前已加入APEC跨境隱私規則機制之實驗小組,希望能透過國際參與之方式,推動個人資料跨境傳輸活動,並符合國際組織之隱私保護要求。由於我國並未被歐盟執委會認定為具有合適個人資料保護措施之地區。因此,我國企業如欲從歐盟會員國之地區接收個人資料時,必須注意援用其他之機制,例如與資料傳輸者簽訂模範契約條款或者是使用共同約束條款。另外,我國可比照美國與歐盟間所建立之安全港模式,與歐盟會員國簽訂安全港協議,以符合歐盟隱私權保護指令之要求。 在國際間,我國政府除了持續參加APEC所建立之跨境傳輸機制外,對於非APEC會員經濟體之地區,建議公務機關可透過雙邊擬定安全港架構或者簽訂合作備忘錄之方式,建立與他國間之個人資料傳輸跨境合作。透過安全港架構以及合作備忘錄之簽訂,可確保雙邊之合作內容、擬定跨境傳輸之必要注意原則、建立聯絡窗口等相關機制之健全,亦可使國內須要進行個人資料跨境傳輸之企業、組織以及個人有明確之法規範可依循。