關於 right to data portability ，我們在網路上蒐集到這些相關的討論、資訊與評價

20180720
專論　GDPR可以對付LINE的蠻橫　林建甫

在台灣有超過一千九百萬用戶的通訊軟體「LINE」，隱私權政策更新「不同意就不給用」作法，引發台灣眾多使用者的大反彈。「被LINE綁架 」的討論甚囂塵上，然而悲情的是，台灣民眾只能「鍵盤抵制」。雖然網友們罵聲連連，但卻無人發起卸載的抵制行動，LINE在台灣市場獨大地位更因此而顯現出來。

　LINE事後出面澄清，辯解該行動特別獨立出來的作法是因為藉由告知使用者後就可取得同意，而不是隱藏在服務條款修改來蒙混過關。同時使用者同意新版隱私權政策後，仍然可以在隱私設定中逐項決定，保有調整的空間。但只有「同意」的作法，確實過於粗糙且蠻橫。

　面對LINE這種高高在上的態度，目前政府似乎沒有好的監管辦法。LINE雖然免費，使用者的動作透過網路的媒介，伺服器就掌握用戶的資料（Data），有多少網路就等同擁有多少市場，且隨著市佔率的提升，這些平台對於使用資料的價格主宰力更高。因此是使用者們創造了LINE的營收，我們當然有權利要求隱私權的保障及個人資料不被任意使用。

　今年五月歐盟的《一般資料保護規範》（General Data Protection Regulation, GDPR）正式上路。其中關於個人資料蒐集的部份，GDPR要求歐盟境內所有企業在蒐集個人資料時，應要「主動提出說明」，同時還要讓使用者有「撤回同意」、「要求刪除個人資訊」的權力。若企業違反相關法規，或未做好個資保護導致資料外洩或遭勒索軟體攻擊，可開罰最高全球營業額四％金額或兩千萬歐元，這相當重的懲罰。

　GDPR除了在個資蒐集有嚴格規範，還有制訂了遺忘權（Right to be forgotten）、資料可攜權（Right to data portability）、個人資料自動化決策（automated decision-making）及反對權（Right to object）等規範。從企業的角度來看，GDPR是史上最嚴格，管最多管最深，罰最大的法條，但法條背後的蘊含的重要精神與意義是重新賦予個資擁有者「人權」。

　不可諱言，GDPR的推動讓許多企業哀鴻遍野，根據一份研究機構Ponemon Institute的調查，在千家企業中有半數的公司認為他們無法在期限內完成準備，其中有六十％高科技公司表示準備不及。同時許多專家指GDPR也有幾項法規條文和創新技術本質抵觸，其中區塊鏈、人工智慧將首當其衝。當推動時代前進的創新技術碰上以人權保護的GDPR，兩者孰輕孰重？也成為各界爭論的焦點。

　然而從消費者的角度來看，幾乎所有人都認同GDPR將進入數位經濟時代最重要的規範，也是目前最先進的法規之一。但借鏡過去歷史發展，創新技術是推動人類進步的動力，犧牲人權去產生的創新最後也都無法長遠發展。

　最後再回頭來看看這次LINE隱私權爭議，不少人認為台灣應該發展自己的通訊軟體，用以制衡LINE的發展，其實過去也有許多國內的企業有這樣的想法，例如台灣工研院研發的通訊應用程式「Juiker揪科」，但聽過這個APP的人少之又少，更不用談如何使用它，況且從目前全球通訊軟體的發展來看，「大者恆大」恐怕才是主流。

　準此，GDPR是現代根本決解數位時代個資濫用與企業壟斷性的作法。國發會這個月初已成立「個人資料保護專案辦公室」，要整合各機關之力，學習歐盟對個人資料的保護及傳輸適足性認定。未來更要在GDPR的架構上，訂出相關施行規範。對業者而言，這些保護個資的先進思想，業者也應學習且自發自律。

（作者為台灣經濟研究院院長、台大經濟系教授）

發佈日期： 2018-07-20 08:10:00

這項法規的基礎，是「被遺忘權（right to be forgotten）」，是一種在歐盟已經付諸實踐的人權概念，可以要求控制資料的一方，刪除所有個人資料的任何連結（link）、副本（copies）或複製品（replication）；還有「資料可攜權（Right to data portability）」，意思是...

惇安智財快訊 第101期
2018年6月1日
主編：王惠玲
訊息快遞

1. [歐盟] 個人資料保護新規則 <作者：張緯中/王惠玲>

歐盟議會在2016年4月27日通過「個人資料保護規則（the EU General Data Protection Regulation，簡稱（GDPR）」自2018年5月25日開始施行。重點如下：

1.提升法律位階：
原資料保護綱領（the Data Protection Directive）無法律強制力。如今將資料保護提升至法律位階直接適用於各會員國，解決會員國法律制度差異的問題。並將來成立單一監理機構-歐盟資料保護委員會（European Data Protection Board，EDPB）。

2.擴大適用範圍：
縱未在歐盟境內設立機構，企業在提供商品或服務的過程中，有蒐集或處理歐盟居民資料之情事，仍有該規則適用。

3.企業須設置資料保護長（DPO） ：
員工超過250人且核心業務涉及歐盟居民，須設立資料保護長（Data Protection officer，DPO），倘若該企業違反保護規則時，保護長將被追究法律責任。

4.資料蒐集與處理必須要有明確有效之同意：
本次規則明定「同意」必須由資料當事人自主的授予（freely given）、具體（specific）、知情（informed）以及明確（unambiguous），方能取得並處理該資料，針對敏感性資料更必須明確清楚，企業必須能證明已取得當事人同意；默認及默示皆不構成同意。且企業必須提供使當事人能以簡單方式即可撤回該授權。

5.個人資料可攜權（Data Portability） ：
可將個人資料在不同網路服務提供商（ISP）間轉移之權利。

6.個人資料外洩通報：
須於知悉後72小時內通報主管機關，且對資料當事人之權益有重大危害之虞時，企業仍應及時（without undue delay）通知當事人。

7.IT系統之保護設計：
蒐集與處理個人資料，除須符合明確同意規範，亦須遵循個人資料蒐集最小原則，且引入資料保護設計制度。

8.被遺忘權（Right to be forgotten） ：
原保護綱領規定當事人除可查閱、複製企業所擁有的個人資料，若該資料有不正常、不完整時，可要求更正、刪除或封鎖（rectification, erasure or blocking）。GDPR更提出被遺忘權，認為除了資料不正確或不完整外，有其他理由時（例如：非法處理個人資料、資料當事人同意已經撤回等六種情況），個人均可要求企業刪除其所掌控之個人資料。在此之前，歐洲法院已經判決認可個人有權利要求搜尋引擎從「不相關」或「過期」的個人資訊結果中移除該連結。

9.反對權（Right to object） ：
除非企業能證明處理該資料有重大正當理由，且該理由大於當事人之基本權利與自由，否則當事人有權在特定情況下反對該資料之處理。當提出反對時企業應立即停止處理該資料。本權利亦適用於以大量個人資料所自動產生之「建檔」（profiling）活動。此規範將對大數據、人工智慧技術發展產生重大影響。

10.對自動化決策之限制：
自動化決策係指，以自動化方式處理個人資料的分析與預測活動，而產生對資料當事人包括工作表現、經濟狀況、位置、健康、偏好或行為表現等之判定。與上述反對權相同，GDPR同樣針對該「建檔」（profiling）活動所作之決策有諸多規範。規則中「建檔」須有法定依據或獲得用戶明確同意，且必須是在充分知情下做出同意授權，且不得針對種族、政治、宗教、性取向等敏感議題。

11.資料保護影響評估：
企業必須作資料保護影響評估（Data Protection Impact Assessments, DPIA），並加以評估該蒐集與處理資料之風險與其業務活動之是否有必要性與對稱性。

12.大幅提高罰則金額：
違反有關控管者及處理者之義務者，最高處以一千萬歐元之行政罰鍰；如為企業，最高處以前一會計年度全球年營業額之百分之二，較高者為準。違反相關資料處理之基本原則及個人資料國際傳輸之規定、侵害本規則所定資料主體之權利者，最高處以二千萬歐元之罰鍰；如為企業，最高處以前一會計年度全球年營業額之百分之四，較高者為準。

參考資料：歐盟個人資料保護規則 金融與徵信叢書No.077 財團法人金融聯合徵信中心

全文下載:http://www.lexcelpartners.com.tw/…/%E6%83%87%E5%AE%89%E6%99…