澳洲隱私專員主張應從嚴認定個人資料去識別化

  澳洲隱私保護辦公室(Office of the Australian Information Commissioner, OAIC)專員今年(2016)4月發表聲明認為,在符合特定條件之情形下,亦即,去識別化過程符合OAIC認定之最高標準時,去識別化後之資料不適用「1988隱私法案」(Privacy Act);澳洲企業組織目前所進行之個人資料去識別化,是否已符合「1988隱私法案」之規範要求,OAIC仍持續關注。OAIC近期準備提出去識別化認定標準之指引草案。

  澳洲「1988隱私法案」揭示了「澳洲隱私原則」(Australian Privacy Principles, APPs),就非公務機關蒐集、利用、揭露與保存設有規定,APPs第6條更明文限制非公務機關揭露個人資料,於特定情況下,APPs允許個人資料經去識別化後揭露。例如,APPs第11.2條規定,若非公務機關當初之蒐集、利用目的已消失,須以合理方式將個人資料進行銷毀或去識別化。

  如非公務機關係合法保有個人資料,即無銷毀或去識別化義務;此外,若所保有個人資料屬健康資料者,因係澳洲政府機關以契約方式委託非公務機關,非公務機關亦無銷毀或去識別化義務。應注意者,APPs原則上禁止非公務機關基於學術研究、公共衛生或安全之目的,主動蒐集個人健康資料 (APPs第16B(2)條),同時亦禁止基於學術研究、公共衛生或安全目的,就保有之個人資料進行去識別化 (APPs第16B(2)(b)條)。如非基於前述目的,且符合APPs第16B(2)條之要件者,非公務機關始得基於研究、公共衛生或安全目的蒐集個人健康資料 (APPs第95A條)。

  其他如「稅號指引」(Tax File Number Guidelines)、隱私專員所提「2014隱私(財務信用有關研究)規則」(Privacy Commissioner’s Privacy (Credit Related Research) Rule 2014) 等,均就個人資料去識別化訂有相關規範。

  未來以資料為導向之經濟發展,將需堅實的隱私保護作為發展基礎,澳洲去識別化個人資料認定標準之提出,以及標準之認定門檻,殊值持續關注。

相關連結
※ 澳洲隱私專員主張應從嚴認定個人資料去識別化, 資訊工業策進會科技法律研究所, https://stli.iii.org.tw/article-detail.aspx?no=64&tp=1&d=7256 (最後瀏覽日:2025/02/11)
引註此篇文章
你可能還會想看
加拿大決定將網路中立規範適用至行動無線網路

  加拿大廣播電視及電信委員會(Canadian Radio-Television and Telecommunications Commission,CRTC)於2009年10月之Telecom Regulatory Policy CRTC 2009-657中,公佈網路流量管理架構(Internet Traffic Management Pratices,ITMPs)之決定,作為管理ISP業者進行差別待遇之依據。該管理架構是加拿大維護網路中立性原則的實踐。   當時CRTC並未決定該架構是否一併適用於行動無線網路,直至2010年7月CRTC發布Telecom Decision CRTC 2010-445,決定將該規則一併適用於行動無線網路,以解決潛在的差別待遇行為發生於行動無線資料服務。   根據2009年之管理架構,CRTC宣示了四項管理原則: 1.透明度(Transparency) ISP必須透明揭露他們所使用的ITMPs,使消費者能根據這些資訊決定服務的購買與使用。例如經濟條件的透明,使消費者能夠有符合其支付意願之選擇,使市場機制能夠正常運作。 2.創新(Innovation) 解決網路壅塞最基本的方式是透過對網路之投資,也仍是最主要的解決方案。但依靠投資並不能解決所有的問題,CRTC認為,ISP業者之ITMPs在某些時候,仍需要適當的管理措施介入。業者之ITMPs應針對明確的需求而設計,不可過度。 3.明確(Clarity) ISP業者必須確保他們所使用的ITMPs不會有不合理的歧視,也不會有不合理的優惠。CRTC所建立之ITMP的管理架構,提供一個清晰和結構化的方法,來評估既有與未來的ITMPs是否符合加拿大電信法(Telecommunications Act)第27(2)條規範。 4.競爭中立(Competitive neutrality) 對於零售服務,CRTC將採取事後管制原則,即接受消費者投訴後處理之原則,進行管制評估。而在批發服務部份,則較為嚴格。亦即,當ISP在批發服務使用了比零售服務較多的限制性ITMPs時,必須得到CRTC之批准。當ISP將ITMPs用於批發服務時,必須遵守CRTC之管理架構,不得對次級ISP(Secondary ISP)的流量造成顯著和不相稱的影響。   值CRTC並將採取行動以確保因實施ITMPs而收集之個人資訊,不被洩漏與使用至其他目的。   在本項決定公佈之後,代表加拿大提供接取網際網路的ISP,無論使用何種技術,都將適用同樣的ITMPs管理原則。在Google-Verizon於美國遊說網路中立性應不適用於行動無線網路之時,CRTC之決定可做為不同方向之參考。

美國食品藥物管理局發布《品質管理系統法規最終規則》

美國食品藥物管理局(U.S. Food and drug administration, FDA)於2024年1月31日發布《品質管理系統法規最終規則》(Quality Management System Regulation(QMSR)Final Rule),主要內容為修改美國聯邦法規(Code of Federal Regulations, CFR)第21章第820條,品質系統規範(Quality System Regulation, QSR)中現行優良製造規範(Current Good Manufacturing Practice, cGMP, CGMP)內容,以降低美國國內法規與國際醫療器材品質管理系統標準ISO 13485的差異,達到減輕醫材製造商、進口商的監管負擔之效。 與美國QSR相比,ISO 13485對「風險」與「透明度」規範的要求更加嚴格,故此最終規則主要將QSR中風險管理與透明度的規範依照ISO 13485進行補足。並增修QSR中未出現於ISO 13485中或即將取代ISO 13485中同義的名詞或術語的定義,用以降低原先QSR與ISO 13485的差異。同時增設對記錄保存、標籤和資訊可追溯性要求等FDA認為ISO 13485未涵蓋完全的額外規定,用以完善整體規則完整性。 該最終規則預計於2026年2月2日正式實施。FDA預估此次修訂會有效降低醫材製造、進口商的潛在金錢與時間成本,FDA提供近3年的緩衝期,即希望相關工作人員與醫材製造商能熟悉並遵循新的QMSR。未來FDA會追蹤並評估是否應將ISO13485的變更納入QMSR中,以促進醫材監管的一致性,並為病人及時推出安全、有效且高品質的醫材。

談業界控管奈米風險之自主管理機制-以杜邦公司奈米風險架構為中心

加拿大政府提交予國會《人工智慧資料法案》

  加拿大政府由創新、科學和工業部長(Minister of Innovation, Science and Industry)代表,於2022年6月16日提交C-27號草案,內容包括聯邦的私部門隱私權制度更新,以及新訂的《人工智慧資料法案》(Artificial Intelligence and Data Act, 下稱AIDA)。如獲通過,AIDA將是加拿大第一部規範人工智慧系統使用的法規,其內容環繞「在加拿大制定符合國家及國際標準的人工智慧設計、開發與應用要求」及「禁止某些可能對個人或其利益造成嚴重損害的人工智慧操作行為」兩大目的。雖然AIDA的一般性規則相當簡單易懂,但唯有在正式發布這部包含絕大多數應用狀況的法規後,才能實際了解其所造成的影響。   AIDA為人工智慧監管所設立的框架包含以下六項: (1)方法 以類似於歐盟《人工智慧法案》採用的方式,建立適用於人工智慧系統具「高影響力」的應用方式的規範,關注具有較高損害與偏見風險的領域。 (2)適用範圍 AIDA將適用於在國際與省際貿易及商業行動中,設計、發展或提供人工智慧系統使用管道的私部門組織。「人工智慧系統」的定義則涵蓋任何「透過基因演算法、神經網路、機器學習或其他技術,自動或半自動處理與人類活動相關的資料,以產生結果、做出決策、建議或預測」的技術性系統。 (3)一般性義務 I 評估及緩和風險的措施 負責人工智慧系統的人員應評估它是否是一個「高影響系統」(將在後續法規中詳細定義),並制定措施以辨識、評估與減輕使用該系統可能造成的傷害風險或具有偏見的結果。 II 監控 對該「高影響系統」負責的人員應建立準則,以監控風險緩解措施的遵守情況。 III 透明度 提供使用管道或管理「高影響系統」運作的人員應在公開網站上,以清晰的英語揭露   i 系統如何或打算如何使用。   ii 系統所生成果的類型及它所做出的決策、建議與預測。   iii 為辨識、評估與減輕使用該系統可能造成的傷害風險或具有偏見的結果,而制定的緩解措施。   iv 法規明定應揭露的其他訊息。 IV 記錄保存 執行受規範活動的人員應遵守紀錄保存要求。 V 通知 若使用該系統將導致或可能導致重大傷害,「高影響系統」的負責人應通知部門首長。 VI 匿名資料的使用 從事法案所規定的活動及在活動過程中使用或提供匿名資料的人員,必須依據規範制定關於(a)資料被匿名化處理的方式(b)被匿名化資料的使用與管理,兩方面的措施。 (4)部長命令 部門首長可以透過命令要求(a)製作紀錄(b)從事審計或聘請一位獨立的審計師執行(c)成立一個專責執行審計程序的組織(d)成立一個在有理由相信「高影響系統」之使用可能造成急迫重大傷害風險時負責進行終止或准許的組織。 (5)行政管理 AIDA為部門首長制定一項,可指定其所管轄部門中一名高級官員為「人工智慧與資料專員」的權利,其職責在協助部門首長管理與執行AIDA。 (6)罰則 違反AIDA規範之罰則主要為按公司、個人之收入衡量的罰款。特定嚴重狀況如以非法方式取得人工智慧訓練用資料、明知或故意欺騙大眾造成嚴重或心理傷害或財產上重大損失,亦可能判處刑事監禁。

TOP