物聯網時代的資料保護防線-以歐盟GDPR為中心

刊登期別
第28卷,第10期,2016年10月
 

本文為「經濟部產業技術司科技專案成果」

※ 物聯網時代的資料保護防線-以歐盟GDPR為中心, 資訊工業策進會科技法律研究所, https://stli.iii.org.tw/article-detail.aspx?no=57&tp=1&d=7665 (最後瀏覽日:2024/05/13)
引註此篇文章
你可能還會想看
智慧財產權侵權風險分擔機制-歐盟專利訴訟保險制度

歐盟支付服務指令修正案(PSD2)於2016年1月12日生效

  2012年歐洲議會發表的綠皮書「邁向信用卡、網路以及手機支付的整合歐洲市場(Towards an integrated European market for card, internet and mobile payments)」,並進行廣泛的公眾意見徵詢,舉辦公聽會,最後決議進行現有歐洲支付法制架構的修正。歐盟支付服務指令修正案(revised Payment Service Directives, PSD2)於2013年7月由執委會提出,2015年10月歐洲議會通過,今年1月12日生效,預期英國、保加利亞、丹麥、德國、奧地利以及法國將會率先修正原有的支付服務法制完成轉換。產業界一致對於修正案表示歡迎,因為本次修正將會大幅提升支付創新應用的發展可能,尤其是行動支付。   PSD2之重大修正包含針對支付服務的內容作出修正,新增第三方支付服務提供人(third party payment service provider,簡稱TPP)為支付服務之內容(附件一第7項)。TPP的內涵為透過對於其它支付服務提供者的支付帳戶的存取,提供包含支付發動服務(payment initiation services)以及帳戶資訊服務(account information services)。依照第58條規定,TPP服務提供者具備下列義務: 1.確保支付服務使用者的個人化安全資訊不會被其它人取得。 2.以明確的方式向帳戶之支付服務提供者認證自己的身分。 3.不儲存支付服務使用者的敏感支付資訊或個人化安全憑證。   除此之外,PSD2明確將純粹的技術服務提供者排除於支付機構之範圍,無需適用支付服務指令。   PSD2亦授權EBA發布相關規定制定技術門檻,包含強力的客戶身分認證以及通訊資訊標準。

微軟向美國專利商標局(USPTO)提出可用以追蹤物體的擴增實境(AR)專利申請

  依據12月USPTO公開資訊,微軟(Microsoft)於2016年9月2號提出擴增實境(Augmented Reality,以下簡稱AR)系統之美國發明專利申請(申請號:20160373570)。目前AR系統不僅可投射虛擬訊息,還可偵測物理空間之物體位置,不過因為現實生活中,不管是有生命或無生命物體,都不太可能處於完全靜態不動的狀況;而微軟此技術之開發,除了不限於固定空間外,對移動中的物體更具有自動追蹤效果。   微軟專利指出該系統能辨識無生命物體,並可將該物體被選擇為追蹤對象的技術,這個AR系統可持續監測物體的狀態,不僅在同一空間中不同時間點,甚至是物體離開監控空間又被帶回的情況都可追蹤。從微軟專利可以看到這項技術運用在日常生活的價值,如:我們常常花很多時間在想汽車鑰匙和錢包放在哪裡,但透過這個系統的追蹤,可以節省我們找尋的時間;有時我們會忘記家裡的牛奶還剩多少,而花時間去逛超商,倘若我們運用此追蹤技術,能夠隨時知道牛奶剩餘的狀態,就可以避免這種情況的發生。   上開技術不僅包含AR技術,還有虛擬實境(Virtual Reality,簡稱VR)技術,這些技術能透過虛擬與真實世界合併,將真實世界、人類、空間和物體結合,並可進一步的智慧化追蹤,若這項專利被核准且可真實運用到現實生活,必能減少我們的生活中不必要的麻煩。 「本文同步刊登於TIPS網站(https://www.tips.org.tw )」

Facebook粉絲專頁管理者是否負有保護用戶個資隱私之控制者(Data Controller)責任

  2018年6月5日歐盟法院針對Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein v Wirtschaftsakademie Schleswig-Holstein GmbH訴訟進行先訴裁定,擴大解釋《資料保護指令》(Directive 95/46/EC)之「資料控制者」範圍,認為Facebook和粉絲專頁管理者皆負有保護訪客資料安全的責任。由於「資料控制者」定義在《資料保護指令》與《一般資料保護規則》(GDPR)相同,因此裁定將影響未來使用社群媒體服務和平台頁面的個資保護責任。   本案起因德國Schleswig-Holstein邦獨立資料保護中心要求 Wirtschaftsakademie教育服務公司在Facebook經營之粉絲專頁必須停用,其理由認為Facebook和Wirtschaftsakademie進行之Cookie資料蒐集、處理活動並未通知粉絲成員且因此從中獲利,然Wirtschaftsakademie認為並未委託Facebook處理粉絲成員個資,當局應直接對Facebook要求禁止蒐集處理。歐盟法院認為Wirtschaftsakademie使用Facebook所提供之平台從中受益,即使未實際擁有任何個資,仍被視為負共同責任(jointly responsible)的資料控制者,應依具體個案評估每個資料控制者責任程度。   在原《資料保護指令》並未有「資料控制者需負共同責任」之規定,本案擴大解釋資料控制者範圍,對照現行GDPR屬於第26條「共同控制者」之規範主體,然而本案將資料控制者擴張到未實際處理資料之粉絲專頁管理者,是否過於嚴格?且未來如何劃分責任與義務,皆有待觀察。

TOP