公共性與AI論壇（三十四）

時間：2024/09/16（一）上午10:00-12:00
地點：中研院人文館北棟9樓 第一會議室

主講人：張陳弘（私立輔仁大學法律學院副教授）
主持人：李建良（中央研究院法律學研究所特聘研究員兼所長）

◎ 整理：曹方昕

張老師主要的研究在個人資料保護，這次的演講從資料蒐用傷害的保護出發。因應資料「蒐集、處理、利用（以下稱蒐用）」行為所生傷害之保護法制設計，得以下列三項要素作為比較法的分類觀察起點：1.「資料的類型」，2.「蒐用的方式」，3.「傷害的種類」。本演講說明這三個要素為何成為資料保護法制發展的原因項，最後再重點討論以人工智慧（Artificial Intelligence, “AI”）方式蒐用個資產生的資訊隱私權傷害的保護法制的設計。

一、資料類型的區分

老師主要先將資料類型分為「個資」與「非個資」，前者會落入「個資保護法制」的設計，後者則是「資料法制」的處理問題。

個資與特種個資

個資本身還可以分為「一般個資」與「特種個資」，主要是因為不同的類型會有不同的保護需求，例如在特種個資方面，現在歐盟有針對健康資料提出「歐洲健康資料空間規則草案（Proposal for a Regulation of the European Parliament and of the Council on the European Health Data Space, “Proposal for EHDS”）」；另我國衛福部近來提出的衛生福利資料管理條例草案，此草案立法起源於憲法法庭111年憲判字第13號（111憲判13）。

二、資料蒐集方式

歐盟GDPR第5條規定個資保護原則：合法性、公平性與透明性；目的限定；最少化蒐用；正確性；最短化儲存時間；安全性；課責（遵法責任之滿足）。臺灣個資法第5條也有相類似之規定：「個人資料之蒐集、處理或利用，應尊重當事人之權益，依誠實及信用方法為之，不得逾越特定目的之必要範圍，並應與蒐集之目的具有正當合理之關聯。」

然而，隨著近年來數位網路及行動裝置技術的突發猛進發展，使得上述之過往賴為個資保護法制磐石之原則，不斷地受到挑戰。舉例而言，現行慣用的告知後同意原則，著重在「蒐集當下」取得資料主體同意其個資被蒐集及符合蒐集目的之使用，藉此滿足保障資料主體的資訊隱私權保護。然而，新興資通訊科技的發展使得資訊隱私的威脅逐漸轉換地出現在個人資料被「蒐集後」的「再使用」過程：例如大量個資的「組合使用」，及不同於原始蒐集目的的「目的外使用」。甚至有美國學者評論，網路自動抓取資料技術的使用，幾乎違反了所有個資保護原則之要求。

因為AI的特點在於需要提供大量的資料才能有對它進行良好的訓練，那這些資料的蒐集方式就很重要，而從演算法會有「不透明」的問題。在進入AI時代之前，對於個人資料的蒐集或許可以透過隱私權政策要求把過程說明清楚，但AI出現後，對一般人而言，再多的文字也說明不清楚，特別是在高風險、生成式AI演算法上的說明性困難。

三、傷害的種類

現在普遍對於資料蒐用的傷害是在討論對隱私權的傷害，張老師強調是否僅僅是隱私權的傷害，很大程度取決於對隱私權的概念定義；如非像美國對於隱私權的界定，即使憲法沒有列舉，仍會被隱私權概括保障；其他國家則會放入平等權、反歧視、言論自由中的假訊息；從比較廣的概念來看是一種「人被操控的傷害」，人們對於AI技術造成的風險很大層面是在於它可能操控或扭曲人心，因此從權利層面來看，問題會是「我們是否有一個拒絕被操控的權利？」有學者提出必須正確的定義出法律所要保護的是何種類型的傷害，才能架構出一個比較適切的保護法制：如若來源是反歧視法，切入的角度就會是資料蒐用後產生的歧視對待；從平等權角度出發，是否會建構出不同的保護法制，張老師認為這是一個值得深思的問題。

法制的架構可以分層觀察：

1. 如果只看「資料被蒐用」，那整個資料保護法制架構就會非常龐大，如歐盟現在所提出的資料法草案或資料治理法，這種架構方式的主要目的或許不在個資保護，而在資料治理效率上。
2. 若再加上蒐用方式觀察，如歐盟GDPR、台灣的個資法，規範的就是任何方式蒐用個資的行為。
3. 若再把AI的要素放進來，就再導向例如歐盟新公布的人工智慧法、我國的人工智慧基本法。以上這三個要素獨立、搭配等不斷的排列組合成個別新法制的設計。

四、保護法制的設計

資訊隱私權法制

要談論以AI方式蒐用個資產生的資訊隱私權傷害的保護法制的設計，對應的法制主流是歐盟的GDPR，目前全球大致是跟著GDPR走，包括台灣的個資法，都是不區分蒐用方式，只要是蒐用行為形成對資訊隱私權傷害的，都在這些法制的規制範圍內；在這裡張老師提醒大家一個概念:台灣的個資法跟GDPR一樣，只要是個資蒐用行為都適用，不區分政府行為跟私人行為，然而在適用個資法的同時，國家行為仍應置於公法領域規範。

概念釐清

我國的衛福部和健保署在健保資料庫案就曾經混淆這個概念而提出不正確的抗辯，他們主張既已滿足個資法第15條的執行法定職權行為，就已經滿足了法律保留。就此111憲判13中已澄清第15條並不是法律保留的授權規定。然而，衛福部提出的衛生福利資料管理條例草案，其中的第九條、第十條仍犯同樣可能產生誤導作用之錯誤：

草案第1條結合第9條的結果，易形成一種錯誤的規範效果：誤解本條例授權所有公務機關只要本於法定職權行使，即得就衛福資料進行目的外利用。舉例而言，內政部警政署為了執行其承擔之法定職務—社會治安維護，乃以執行法定職務為由，向衛福部申請使用衛福資料，以用之與其所蒐集之警政資料結合，分析低收入戶者與特定犯罪間之關連性，以期使有限的警政資源做最有效的分配使用。警政署的此項衛福資料目的外利用的申請，符合本條例第9條及第10條規定之警政署為執行法定職務，得向衛福部申請衛福資料目的外利用，而衛福部即得依本條例規定，交出衛福資料給警政署。在此假設案例中，存在有衛福部與警政署兩個不同的政府機關，基於不同目的，所為的目的外利用衛福資料行為，而形成不同的資訊隱私權傷害風險；基於憲法第23條法律保留原則要求，兩機關理當分別取得屬於各自的法律授權，而這兩部授權法律，也應分別具有屬於各該干預資訊隱私權行為的合憲條文設計。

因此，應予釐清的概念是：並不是個資法不區分行政機關和一般私人的個資蒐集行為，行政機關就會變得和私人一樣不受到公法原則的拘束，應當反過來看:是行政機關的蒐用行為，除了會受個資法規範外，還會額外再受到個資法的規範。

歐盟GDPR規範結構

首先，歐盟GDPR第5條是一般性原則的規範：合法性、公平性與透明性；目的限定；最少化蒐用；正確性；最短化儲存時間；安全性；課責（遵法責任之滿足），這些原則大致反映在後續條文設計上，所以它的角色是補漏條款，後於具體條款適用；台灣個資法的設計相對較為簡陋，我國的補漏條款同樣是第5條，觸及了GDPR的幾個條款，如: 「個人資料之蒐用應尊重當事人之權益，依誠實及信用方法為之。」、「不得逾越特定目的之必要範圍」和「蒐集之目的具有正當合理之關聯」。

GDPR和台灣個資法有一些共同架構，首先是GDPR原則上禁止對個人資料的蒐用，例外僅有在具備法律認可的正當事由才能啟動合法蒐用，這是GDPR架構的一個原點—提供資料管控者的個資蒐用行為的正當性基礎。申言之，歐盟GDPR第6條第1項設定有6款啟動蒐用行為的正當性基礎要求（蒐用合法事由），資料管控者必須具備其中任一款事由，始得啟動一個合法的個資蒐用行為；但若所蒐用者為第9條第1項所規定之特殊類型個資（特種個資或敏感性個資），就必須再額外具備第9條第2項之任一款蒐用合法事由。第6條第1項各款規定，除了第1款之當事人同意外，第2～4款規定的共通點在於追求某一個正當的利益；第5、6款則是概括條款，同樣這兩款也反映出資料蒐用行為必須追求一定的正當利益當作合法啟動的正當性基礎，如第五款為和公務機關相關的「履踐公共任務所必要行為」，另外非公務機關的概括條款是一個利益權衡條款，規範必須個資蒐用所追求之正當利益凌駕於資料主體受保護利益之上才能啟動正當蒐用；第5、6款凸顯了GDPR整體的設計結構「要啟動一個合法的蒐用行為，必須具備一個追求凌駕於資料主體權益受損的正當利益」，這個正當利益則不一定要是公共利益，也可以是商業利益。

台灣法制結構的問題

臺灣個資法形式上亦有相類似想法之設計：公務機關蒐用一般性個資，須具備個資法第15條之蒐用事由；非公務機關蒐用一般性個資，須具備個資法第19第1項條之蒐用事由。倘若資料管控者所蒐用資料屬個資法第6條第1項之特種個資，則不區分公務機關或非公務機關蒐用，須具備同條項但書所規定的六款蒐用事由之一。

然而上述GDPR的結構移植到台灣時出了幾個差錯。例如第15條第3款之「對當事人權益無侵害」作為蒐用合法事由，但在GDPR的架構下「無侵害」不等同於「追求正當利益」。又例如第19條第3款的「當事人自行公開資訊」在我國被理解成只要是當事人自行公開的資訊就可以合法蒐用，因為對當事人已經沒有損害；同樣再拿GDPR追求正當利益的邏輯來看，沒有損害還不足以證明這個個資蒐用行為在追求何種正當利益；所以即便當事人自行公開的個資已經不受（那麼強）的隱私權保護，不因此證立可以啟動合法蒐用的個資行為。

比較法法制

在比較法研究上，美國加州（State of California）於西元2018年頒布的（以下同）的「加州消費者隱私法（the California Consumer Privacy Act, “CCPA”）就沒有GDPR的要求那麼嚴格，GDPR的當事人同意，原則要求事前同意，不允許事後不同意，但美國CCPA則可以包括事後不同意，以市場運作方式為例，對消費者的個資蒐用主要仰賴「當事人同意」以及「履約所必要」，CCPA就允許企業對已經蒐集的個資，如果要做目的外的使用，並且是屬於個資的販售或分享，則毋須再次取得當事人的事前同意，只需向當事人表示其可以事後不同意即可。有一些學界上的看法指出CCPA對於蒐用法適用上的蒐用事由做一定程度的放寬，主要是要讓資料可以更有效率的使用，就如同AI的技術運用，很大的程度上沒有特定的目的，所以只能要求一個預測範圍，但其實無論如何都無法難以太明確，所以很多企業對表示幾乎無法遵循GDPR的當事人的事前且明確的同意要求；若要讓AI技術、big data或機器學習的個資蒐用，遵循這樣的法規，他們是無法發展的，所以CCPA的放寬有其道理。

在目的外的使用方面，GDPR第6條第4項額外要求必須滿足目的相容性要求，亦即至少不能夠與原始資料蒐集的目的偏離太遠，主要是在避免對資料主體產生太大的侵害；第六條第四項適用在當事人同意跟執行法律規定另外的四個事由，若是依據這四個事由啟動一個目的外利益的個資蒐用行為，就必須要再滿足一個目的相容性的要求。

資料主體權利

GDPR授予資料主體許多權利，例如知情接近使用權、更正權、刪除權、限制使用權、資料可攜權、拒絕權。以及限制個人自動化剖繪決策權；相較之下我國個資法上的權利就較為簡陋，在個資法第3條中有查詢或請求閱覽權、請求製給複製本權、補正或更正權、請求停止收集以及請求刪除權，缺少如資料可攜權、限制自動決策權等用來因應一些新興技術發展的資料主體權利。

以AI的蒐用方式而言，GDPR中的資料主體權利有兩個非常相關，第一個是第20條的資料可攜權，此權利可以達到很多作用，包含:資料主體資訊隱私權的保護、公平交易的秩序，但經過AI技術處理後產生的個資，資料主體是否可以要求帶走，有其爭議；其次為規定在GDPR第22條中的自動剖繪決策權。

資料管控者義務

GDPR規範之資料管控者義務可分為三大類：

1. 回應資料主體權利行使之義務；
2. 個資安全性（security of personal data）義務；
3. 遵法責任滿足義務（設置資料保護長(data protection officers, DPOs）、蒐用記錄的妥善保存義務、資料保護影響評估（data protection impact assessment, DPIA）與事先諮商義務（prior consultation）。

臺灣個資法

1. 回應資料主體權利行使之義務
2. 個資安全性義務：例如依據個資法第27條第3項授權訂定之「綜合商品零售業個人資料檔案安全維護管理辦法」及「數位經濟相關產業個人資料檔案安全維護管理辦法」。

以台灣近年個資法的發展為例，修改了兩個條文來表現對於資料安全性義務的要求，一條要求設獨立機關（個人資料保護委員會）專責個資保護法制之執法，另一個則是將第48條的罰鍰上限提高，搭配第27條的資料安全性義務要求規定，可以按次連續處罰。政府近來因為反詐政策而欲嚴格執行第27條規定，現今的詐騙因為擁有大量的個資而更加容易進行，政府因此將資料安全性的維護當成打詐政策中的重要環節。至於遵法責任義務的滿足，在我國仍然有很多制度個資法上尚未設計，例如如資料保護影響評估程序。

除了行政調查權、有嚇阻作用的罰鍰外，還需要有當事人權利救濟途徑，因為資料隱私的傷害證明不易，尤其在美國法上特別明顯，難以被認定具有法定訴權，而且舉證困難；歐盟GDPR及美國CCPA為了解決這個問題，直接在條文中規定了法定訴權，臺灣個資法亦有類似規定。

與AI技術相關的條文

歐盟GDPR第4條第4款定義「剖繪/profiling」行為：指的是對個人資料進行任何形式的自動化處理，包括使用個資來評量與當事人有關的個人特徵，特別是用來分析或預測有關當事人的工作表現經濟狀況、健康、個人偏好興趣、可信度行為位置或動向。然而，剖繪再搭配上自動化決策，相當大程度違反了GDPR第五條所有對個資蒐用的一般性原則要求，畢竟如果要精準的剖繪一個人，必須仰賴極大化、長時間的個資蒐用，加上對於未來預測的特點，正確性難免會出問題，而輸入不正確的資料，就會產生不公平的結果，最後是大家最關心的透明性問題。因此，GDPR第22條制定有一些針對自動化剖繪決策之個資蒐用行為的特別規範。

五、結論

歐盟對AI的控管基礎可以從人工智慧法（AIA）前言的第16點來看，是基於劃分風險等級的方法去定義去定義AI，連結不同的法制規範；第27點特別補充AI條文規定外，整個條文解釋的方向、補充適用是連結到2019年發布的「值得信賴AI指引」的AI倫理原則，這七項AI倫理對於AI條文的解釋原則具有關鍵性的引領作用；我國的人工智慧基本法草案和歐盟的AI條文有非常大的差距，相較於歐盟的AI條文，我國的人工智慧基本法本身比較像「值得信賴的AI倫理的指引」，不是具體的條文設計。

AIA第5條定義了禁止使用的AI、第6條則是高風險AI系統的使用，另一個重點則是生成式AI，和高風險AI有一個共同的立法要求，有非常多的條文著墨在透明性，如:可解釋性原則、可溯及性原則。

無論是AIA或是GDPR都算是很新的法制，在這些保護法的設計上面臨很大的困境，主要是需要考量企業的聲音、國家競爭力以及技術發展等各方的角力競逐，例如其中「對未來的推測」這點在訴訟法上就是非常大的挑戰。

最後回到老師的文章中衛福部衛福資料管理條例草案的擬制，在過程中衛福部不斷提到的問題是，如果其他行政機關來向衛福部要資料，衛福部是否可以不提供?從這裡可以看出，衛福部關心的是其提供資料是否會違法，所以該草案就規定其他行政機關基於執行法定職權向衛福部申請資料時，衛福部得提供資料，以滿足衛福部交付資料行為的法律保留原則要求。然而老師更關心的面向是向衛福部申請資料的行政機關，是否滿足法律保留原則要求？

申言之，該草案的現行條文設計，容易使得衛福部在審查政府機關的申請案件時，只關注該申請是否屬於該政府機關的法定職權行使範疇，而忽略了審查該機關的目的外利用衛福資料的行為，是否獲得屬於該機關的法律授權。是以，比較理想的第9條的條文規定應為：「申請目的外利用衛生福利資料，應以促進醫療品質、公共衛生、『政府機關依據法律規定』或學術研究之目的為限。」以「政府機關依據『法律』規定」取代「政府機關執行『法』定職務」¹；前者的「法」才是行為法，後者的「法」只是組織法，而組織法無法滿足政府機關行為之法律保留原則要求。²

此外，結合草案第4條與第9條規定，衛福部會不斷強調因為他們有限定提供資料的目的，而這些限定目的也符合111憲判13的要求—須為「追求特別重要公共利益」，但行政機關執行法定職務的行為可以說是為了追求「公共利益」，但並不是每一個執行職務行為都是為了追求「特別重要的公共利益」。

另外，憲判字十三談論的其實只有健保資料，對福利資料沒有太多著墨，然而衛福部草案的作法期待的是，法案通過後讓行政機關和一般人都可以來取用健保資料以及福利資料，一次性的解決這個問題；然而憲判字十三並不能完全適用在福利資料上，以「退出權」為例，退出權以下有兩個子權利，一個為「請求停止使用權」，另一個為「請求刪除權」，而憲判字十三只說了「請求停止使用權」，沒有說「請求刪除權」，因為如果使用請求刪除權的話，健保資料庫裡的資料就不見了，然而健保資料的存在不僅是給予目的外申請的使用，還有原始目的的使用，也就是執行全民健保業務使用的需求。因此，僅能請求停止行動，不可以請求刪除。相對的，有一些福利資料不見得不能主張請求刪除權，而把它放和健保資料放在相同的範圍規範，其實會造成一些落差。

六、問題與討論（敬稱省略）

李建良：感謝張老師精彩的演講，在大家提問與討論之前，我先稍微把張老師豐富的內容梳理一下。首先是從法規上面，問題的切入點在憲判十三，憲判十三會成為切入點主要又可以分為兩部分，一是它產生了修法上的義務，也就是健保資料管理條例，在定位上它是否屬於特別法？與個資法的關係為何？另外個資法，憲判十三雖然沒有對個資法有太多的討論，可是所有的問題幾乎都出在個資法，因為它已成為一個過時的法令，目前雖然只修了與獨立機關設立相關的兩個條文，其實個資法目前也有另一個草案，只是現在還沒公佈，所以現在我們討論的個資法都不能以現在的個資法來想像，至於未來的個資法在個資保護問題上是否會有一個完善的法制，會是我們討論的一個方向；另外就是比較法的部分，GDPR在張老師的介紹下我們看到它有一個非常完整的體制，同時還有一個AIA，張老師在演講上把這兩個交互觀察，核心的部分則是蒐用傷害，另一個部分就是我們橫向思考，個資的保護核心通常是自決，所以可以討論自決與傷害之間的關係，傷害也有可能涉及歧視問題。以上是稍微的梳理，再請大家表示看法或提問。

何之行：謝謝陳弘精彩的演講。我想回答一下衛生福利資料管理條例和個資法之間的關係，有些看法表示我們其實可以不要動個資法，用另一個特別法來處理，如果把這個條例當作特別的話，最早在修法的時候有談論到，歐盟做的健康資料空間，很大一部份理由是希望能放寬對指定健康資料的使用，以歐盟EHDS而言，和後來的AIA作法很不一樣，AIA個資的部分很明白是回歸GDPR的規範，EHDS很明白的說則是為了突破一些GDPR的規範。這邊想要請教一下，以現在歐盟建構資料空間的發展，多大程度上可以專門針對健康資料做一個特定規範，又有多大程度略過了GDPR的哪些規範？以EHDS的規範來講哪一些是GDPR也必須要妥協的？回到我國的衛福條例，有無可能真的在立法設計上做到健康或社福資料二次利用的專法，是不修改個資法而達到它的目的？亦或兩個法律本來就是要一起處理的？這是一個蠻核心的問題，因為如果沒有辦法透過健康資料二次利用的法律去處理，演講中談到的明確性還有法律授權，其實不管這個衛福資料怎麼修，都是以衛福部本位出發，很難去顧及到其他部門的授權基礎。芬蘭的Findata建構資料就是利用一個法律，不知道是否有處理到Findata以外各公部門給予的健康資料或要求健康資料的授權基礎？

張陳弘：謝謝提問，我從最後一個問題回答起。衛福部的難處在只能夠就法令執掌的範圍去立這個法，其他行政機關有無授權，其實衛福部也無法管，在這裡我想表達的意思是，至少衛福部訂出來的法條不要讓其他行政機關或法院產生誤解；文字上可以調整如寫「執行法律規定來申請衛福部資料的目的外利用」而不是寫「執行法定職權」，比較令人擔心的是在根本性的概念上，是否會和111憲判13之前一樣，認為執行法定職權就滿足了法律保留原則的要求。

再來是本草案的定位問題。按本草案第1條第2項規定，本條例乃該條項規定所例示之「醫療法、藥事法、醫療器材管理法、人體生物資料庫管理條例、人體研究法、癌症防治法」的特別法，凡是關於衛福資料的目的外利用，就應優先適用本法規定。此一特別法定位規定，看似言之有理，實則可能衍生爭議。以下試以人體生物資料的目的外利用行為為例說明如下：

人體生物資料可能同時為本條例所規定之個人衛生資料，例如血液檢查報告。假設該生物資料存在於衛福部或其所屬機關建置的人體生物資料庫內，政府機關要向此生物資料庫申請該生物資料目的外利用，應該要適用人體生物資料庫管理條例（該法亦設有生物資料目的外利用行為之規範）？抑或本條例？若依本條例第1條第2項規定，就同屬衛生資料的生物資料之目的外利用，應優先適用本條例，但人體生物資料庫管理條例係針對生物資料庫管理所量身定做的特別法。於此例，到底「何法」才是真正的特別法？

另按111憲判13所述：「個資法係框架性規範，並非關於個人健保資料蒐用之專法」，故本條例亦為個資法之特別法，論理並無問題。惟在本條例的條文設計上，仍應注意可能衍生的問題，舉例而言，本條例就當事人權利僅規定有當事人的請求停止利用權，故解釋上應認為，個資法所規定之當事人權利，除了請求停止利用權應優先適用本條例規定外，其他當事人權利得適用個資法規定。然而，這真是衛福部起草此條例時心中所想嗎？例如個資法第3條規定當事人的5種權利：「查詢或請求閱覽、請求製給複製本、請求補充或更正、請求停止蒐集、處理或利用、請求刪除」，其中之請求刪除權，就同屬健保資料的衛生資料而言，恐即無法允許當事人得行使刪除權。又例如，雖說個資法第8條及第9條就個資進行目的外利用時，資料管控者無須再履踐告知義務，相對而言，當事人即無從主張受告知權。惟若比較歐盟GDPR規定，個資法此一規範結果應屬立法漏洞，未來個資法修法時，應予修正。假設個資法修法後，針對個資的目的外利用行為，賦予當事人受告知權，而因本條例並未特別就當事人的受告知權為規定，故得適用個資法規定。然而，就本條例所規範之衛福資料目的外利用，不太可能賦予當事人受告知權，故若本條例未規定排除或限制此項權利，就必須仰賴個資法第8條及第9條關於例外得免為告知之規定，以排除當事人受告知權之主張，但於個案解釋適用上，難免引起糾紛。

第一個問題GDPR和AIA之間的關係在AIA的前言中有說，個資部分就回到GDPR，而AIA沒有特別規定的話，也是回到GDPR的規定；的確EHDS當初在起草的時候，某程度是要鬆動GDPR的限制，為了讓資料庫建得比較快比較好用，但在鬆動上還是可以看出他的架構，這個架構分了原始使用（primary use）和二次使用（secondary use），這兩套不是同一個管制的架構，目前我尚未將這兩套管制架構與GDPR比較，不知是否在合致性上有非常大的差異，不過的確像何老師所言，AIA的態度是在個資保護上回到GDPR，我主要是對EHDS的條文有比較詳細的研究，它主要把原始使用和二次使用作了分別規範，並且花費比較大的力氣在二次使用的規範上做了比較多的管制設計，不過這也是我一年多前看的，希望有回覆到何老師的一些問題。

李建良：補充一下如果是以這個草案來說，它應該指的是政府蒐集的，而不是各主管機關，所以整個焦點是在政府機關所蒐集的資料；再來是目的外的利用，它又建立一個所謂申請制是很奇怪的，可是個資或者包括GDPR或AIA，基本上這個包括剛剛提到美國消費者個人資料保護的部分，是不是其實那個範圍包括私部門？

張陳弘：這個法也有包括一般人，就是一般人來申請使用也是向衛福部。

李建良：對，我講的是蒐集的部分，蒐集部分基本上是政府蒐集，開放利用如消費者保護那部分是包括公司，剛剛才會提到履約上所必要，履約上所必要是私人間關係才會產生；但這部法基本上是著重在政府部門，各機關蒐集的資料把它連結在一起，然後落實，如果真的要和個資法連結的話，它就是屬於個資法裡的公部門，但是現在如GDPR現在已經不區分這個，我國區分公部門與私部門，基本上顯示它是一個以資料保護為核心的制度，我只是再把它只出來整個問題的框架，請大家再繼續發言。

陳弘儒：謝謝陳弘的說明，我對個人資料其實不是很熟悉，不過這裡有兩個小問題。第一個問題是行政機關基於法定職權而向衛福部調這些規定的時候，我隱約聽到其它機關應滿足法律保留原則，那除此之外會不會還有其它的要求，我的想法和陳永基比較相似，因為行政機關的任務其實很多樣，所以在目的外特定目的之後再開放一個「基於法定職權」，這個目的基本上是不特定的，所以基本上不特定時，等於在例外外面又開了一個很大的方便，在這樣的構想下，想知道除了法律保留原則之外，是否行政機關有一定要遵守的某些任務或想法的具體例子。

另外的問題是關於profiling，有沒有可能放在生成式AI的互動過程中，比如向ChatGPT提問時，終端使用者用的是自然語言，輸入過程中我們每一個人排列語言的方式都具有獨特性，所以是否在和生成式AI的過程中，都會有涉及profiling的可能性，這樣生成式AI的管制就要在profiling的脈絡去思考，如果一套生成式AI已經可以被確認惡意植入一些程式然後引導問題，再透過這些問題來剖繪一個人的特徵，如這種情形下，剖繪也是一件需要關注的事?

張陳弘：謝謝陳老師提問，我也從後面的問題回答起。生成式AI如果涉及剖繪那就可能移到高風險AI系統使用，不是落在三十四條的通用性AI系統，所以這個問題應該是首先，如果涉及剖繪就會變成高風險AI，就要滿足GDPR中二十二條的特別規範要求，包括十三條的告知等等，以及需要有正當性基礎；再來，除了法律保留之外，行政機關在蒐用行為上其他的公法原則也都是必須要遵守的，法律保留只是其中一個例子而已。

楊岳平：謝謝張老師的分享，收穫很多。因為我的研究比較專注於金融領域，所以對資料的關注也比較從金融資料出發，在您分享的資料空間中有提到歐盟的資料空間中其實有金融資料空間，我有四個問題請教：第一是在資料整體架構方面，您認為不要著急鎖定在個資，而是包括個資和非個資的區分，然後延伸出監管責任的問題，關於非個資方面和個資一樣，會有包含隱私、反歧視等等的傷害類型，而金融非個資也是非常常見的，因為有很多法人客戶，在這裡主要是從隱私權的角度切入，金融法理面一直有獨立於個資法的另一套規定，內容比個資法還要嚴格，比如只能分享法律准許的特定項目，其他項目即使客戶同意了也不能分享，這在目前嚴重影響了我國的金融資料分享，想要聽聽張老師對於這樣制度的看法；第二則是回到個資法上，以比較法來說歐盟和美國一直是不太一樣的思維，國內大多以GDPR為主討論，但我一直覺得GDPR有它自己的產業背景，歐盟在資料產業中屬於守方而不是攻方，所以對資料使用的方式非常嚴格，而美國是攻方，相對沒有那麼多管制，所以想要問張老師考慮到產業背景的話，我國為何比較遵循GDPR？畢竟歐盟本身在很多地方也試圖要打破GDPR過於嚴格的問題，好比資料治理法（DGA）都在嘗試在某種程度把資料分享出來，因此想多聽聽張老師對這個產業背景和立法不同大格局上的看法；第三個想了解的是資料可攜權，雖然張老師一直有提到資料可攜權，但目前大家在討論資料保護的時候，還是比較不會去考慮這件事，我國的一些中小企業其實是有抱怨的，因為在產業上非常重視可攜權的運用，畢竟國家要求企業做資料保護，是不是可以給予資料可攜權做為一個交換?我國對歐盟在促進資料運用(可攜權)上好像學一半，大部分還是著重在資料保護方面，所以想知道張老師對於台灣討論可攜權時候的保守傾向有甚麼看法?可攜權在台灣的推動有甚麼特別需要顧慮的事情?第四是張老師提到關於當事人自行公開的部分，可能和廣狹義的解釋公開有關，在廣義的解釋之下，我們可能把當事人自行公開某種程度上當作概括同意，認為當事人自己不在乎這個資料，大家可以想用就拿去用，如果是採狹義的公開，也就是當事人是基於一定目的公開的，那就代表不能超出他公開目的外去使用資料。無論如何理解背後都和當事人意志有關，像美國法就採廣義公開，如果當事人不高興再救回來即可，這和你怎麼擬制當事人公開這個動作背後的意志、各國的基本立場假設就有關，有點回到第二題的各國基本立場差別，最後也想聽聽張老師對於利益權衡這方面的補充，謝謝。

張陳弘：我一樣從最後一個問題開始回答。利益權衡主要有兩個點，一個是當事人權益無侵害，在這裡我同意楊老師的看法，也是若設定只要拿了個資對於資料隱私權就一定是一個傷害，會碰到的麻煩是有可能取用個資是出於為當事人的利益考量，結果也被歸納入侵害的類型，我覺得與其陷入這個爭論，不如回到GDPR第六條的結構，從這裡回頭去解釋為甚麼這個條文第一項的六個合適事由裡面，沒有一個是當事人無侵害事由？原因就是你無法表彰你在追求甚麼樣正當的理由，當然楊老師剛剛提到的解決方法，的確在一些學術文獻上有看到這樣的論述，但只是我個人比較不偏好這樣的解釋方法；另一個是關於自行公開的理解，在解釋上也許可以理解成當事人概括同意，但在GDPR條文中無法這樣解釋，因為前提是不限定目的，但GDPR的要求是蒐用個資皆必須要有一個特定目的，才可能是合法的蒐用行為，這是先對最後一個問題的簡單回復；當初GDPR訂資料可攜權時，歐盟的期待是透過資料主體的資料可攜權行使，可以透過促進資料的流通，進一步維護公平競爭的秩序，避免某些資料都集中在部分資料巨擘手上，但最近的成效尚未有太多討論，所以需要一段時間觀察。至於楊老師關心為何我國個資法對於資料可攜權為何連一步都跨不出去，比較實際的說法就是因為對於資料控管者而言，這樣的意願不高，他們不願意把資料交出去到別的競爭者手上，所以如果沒有法定義務的話他們是不會答應的，這就是為甚麼我國個資法要納入資料可攜權其實有難度，因為資料控管方會抗拒，如果真的要實行，也不可能期待資料控管方主動自願主動促進資料可攜權行使，機會很小，真的必須透過立法來解決。第三個問題比較大一點，我們之所以照著GDPR走有幾個現實因素，一是歐盟拳頭大，然後他們先出現了一般性個資保護成文法，而美國目前還在慢慢走，即使行動了也不過是最近幾年加州的CCPA，當然有些老師會強調美國模範法典有一個聯邦性的個資保護法，但那畢竟是模範法典而不是真實的成文法，總之第一就是歐盟在立法上走在前面，第二是歐盟力量大，如果想跟歐盟之間有資料自由流通不受限制，就必須照它的規矩。

若是撇開現實因素，我認為的確是沒有非得照著歐盟這一套走，因此我最近的一篇文章有談CCPA中的一些概念，比如企業是一個私人行為，不是政府機關公法行為的蒐用個資，也許不需要把企業等同於政府機關，同樣嚴格的管制對待，CCPA要求的就是分享資料，如果已經透過當事人同意或契約而得到的資料，想分享給集團、公司裡面，或者其他公司等等，這個分享還要當事人同意才能分享，有時候不一定是一個保護，會是一個干擾，那我國是否可以做一定程度的鬆綁，企業告訴當事人他要做分享了，如果不同意就用企業提供的簡單操作機制退出，這種方式是否一樣可以滿足對資料主體權益的保護，又不會過度阻礙整個資料的流通?CCPA就是以這種想法產出規定的，特別是在企業行為的個資蒐用上，我認為我國不是不能討論，沒有必要像對政府機關這樣嚴格，只要雙方基於私法自治跟權利主體之間談好，不一定非要擋。當然基於資訊不對稱的結構，我們的確應該給予資料主體一些事後能自保的權利。對於資訊自由流通這件事，歐盟在建置資料庫的時候也不是沒有想過，這和何老師剛剛提到的問題也有一點關聯性，就我自己觀察歐盟在這方面比較常用的保護機制是去識別化，如果滿足一定程度的去識別化，就允許一些不用得到當事人同意的自由流通行為；不過這會連到比方資料敏感性、或是用甚麼方式來做的具體條文設計，但大方向可以看出上述的發展趨勢；我國的衛生福利資料管理條例草案，某程度也是這樣的想法，進這個資料庫的資料要經過一定去識別化程序的處理，甚至要帶出的話要到匿名化的程度，這也是未來立法可以考慮的一件事。

第一個問題則是關於法人資料非個資的部分，因為個資法的個資個案是自然人的個資，我可以理解，但我想確認一下，楊老師比較關心的是法人所掌控的客戶資料對嗎?

楊岳平：法人客戶的資料指的是那些客戶是法人。

張陳弘：如果是法人掌控其他法人的客戶資料，這就不是個資法的問題，因為個資法不管，那所以這應該就變成既然不是個資法的問題，照理講基礎就是私法自治然後再來看主管機關有沒有其他一些相關法令的限制，如果不直接關連到個資法的話，想再確認一下楊老師的問題是?

楊岳平：就是一個立法論的問題，針對這種非個資的管理，因為畢竟還是客戶，如果帶隱私考量，您覺得能不能基於客戶的同意去蒐用這些資料，在比較法的立法立意上，當然CCPA也是用在自然人，我覺得即便是自然人的個資，事後的分享都可以透過事後的退出來處理，沒道理法人掌控的法人客戶資料就不可以這麼做，所以我覺得立法論上沒必要一定要實際取得法人客戶的事情同意。

李建良：謝謝楊老師的提問還有回答，我這邊簡單表示一些看法。先從個資和非個資的部分切入，它們的區分有兩種可能方向，分別是從主體和客體來看；主體上來講就是剛剛提到的，現在認為個資一定是自然人的，非法人就不是個資，這個部分目前在變動中，這個部分是不是一定要限定在自然人上，因為法人後面有一群人，所以比如法人所謂的個人(personal)存款的數額投資，其實非常敏感，大家最近關心金流的這些問題，基本上這個是因為他是一個法人就從整個個資裡把它推出去，這個觀念還只是在變動中；從客體方面來講，因為有些資料的本質就是非個資，比如每天的氣象、工廠中有多少機器，像衛福部條例把非個資也放進去規範，又做了一個非常奇怪的統計資料等等，並沒有把客體本身非個資的部分顯現出來。

再來就是我們在保護個資是在保護甚麼?以個人資料保護來講，就是一個自決的概念，不一定是因為受到傷害，而是根本就沒有那個意願，可是個資保護當中包括了非個資，它背後到底要保護甚麼?比如法人不會用個資，但可以用匿名或者經濟利益等等，所以法定到底要保護它哪一部份可以再思考；再以此來看可攜權保護的對象，一個是促進資料的流通，這是利益，可是站在資料主體者來講，它也有要保護的東西，國內在這個地方一直沒有辦法突破其實是可以理解的，就是對可攜權的屬性並沒有清楚的掌握，比方今天在A社交媒體發言，要退出或是轉到另外一個的時候，臉輸所有資料要幫我轉過去，但這裡到底要保護甚麼呢?其中一部分關於企業或法人，隱約有一個競爭法的問題，尤其是可攜權要促進的是不要被壟斷，等於這不只是關乎個人自決權的問題，而是有更多以資料維中心所產出的相關問題，這是一個很複雜的面向。

最後對歐洲跟美國到底誰比較嚴格?其實我對於美國並沒有太多的研究，不能確切的說美國比較寬，表面上看美國比較寬是因為他們沒有GDPR這種一般個資的保護規定，另外一方面美國比較不會去訂一般性規定（general rule），但即使是這樣也不表示它比較寬，尤其是我們從資訊隱私權的角度來看，資訊隱私權就是從美國發展出來的，所以可以分散式的向法院提告，可以直接從基本權出發；但歐陸基本上是直接規定出來，美國有可能是從人民這邊走過來改變法院態度。以上是我粗淺的看法。

張陳弘：我稍微補充回應一下，李老師講的沒有錯，美國法最終的管制結果並不會比較寬鬆，也就是可能法院判決給予資料控管者的義務高過GDPR，但這是個案決定；而我也理解楊老師的問題，是在說現在歐盟的GDPR規定就在那個地方，要分享個資就一定要當事人同意，如果沒有GDPR就可以先做，至於個案會不會被告而法院因此認為我要負擔事前告知事後取得同意的結果，至少是法院判決出來後的結果，不用先前就被認定違法，這是GDPR有無存在的差異。

另外法人個資我補充一下，雖然GDPR本身僅適用自然人個資，但它也有特別說明，並不禁止會員國或內國法上將法人資料納入個資，所以這是立法政策上的選擇。

楊岳平：我也補充一下李老師剛剛提到關於美國法的部分，基本上我都完全認同，不過剛好美國成文法劃分最嚴重的地方在金融法領域，有非常明確的金融資料up out規定，其實某個程度美國聯邦第一步隱私保護個資有關的法律就是一九九九年通過的金融服務法案，集團內部的資料分享基本上不用任何同意，更不用up out，要up out是分享到外面時候的規定，這就有成文化了。

李建良：我想請教一下林詠青，目前是我們為福部的防疫醫師，是否有參與這個法案，如果可以講的話，想知道你們內部對這個法案的看法。

林詠青：在疾病管制署擔任防疫醫師時的確有很多個資的利用或例外利用，但這個草案我本身沒有參與，好像是收到一個草案被詢問有無意見而已，大部分其他所屬機關去直接參與比較少；在實務上我想到一個問題，就是機關跟機關之間要資料，如在疫情期間收到最多立法院、監察院還有檢調機關，他們要這些目的外的例外，如之前新聞就有提到實連制，當時是供防疫用的，可是也的確會收到一些檢調要來要這些資料，理由就是偵查犯罪，現在則的確要走申請書這一個機制，當然另一個可能遇到的情況就是會不會透過行政程序法的職務協助，然後我們就必須要依照這個去處理；所以我的問題是，機關之間可能會有在行政程序法上的一些規定，但又牽涉到個人資料，現在更複雜的是針對依照衛生福利相關資料的話又是另一塊，如果是在實務上的話，對我來說仍是一團迷霧，他們來申請的時候我們可否駁回?例如是像立法或檢調機關來，我們是不是可以審核後拒絕，然後他們再走申請，之後是要打訴訟或是訴願或者是行政訴訟?這些都是我們在實務上遇到到底怎麼適用法律的問題。

張陳弘：謝謝林醫師的問題，按照這個草案就是衛福部底下會有一個衛生福利資料之諮議會，所以申請進來之後就會進這個諮議會討論，申請如果被拒絕的話，提訴願前要先進行一個申覆程序，申覆不服後再提訴願，再提行政訴訟，所以的確會像李醫師所想的那樣處理，衛生福利資議會就是一個監管保護機制，目前草案上的設計是這樣。

林詠青：其實比較難想像以後檢調單位要來調資料，我們跟他說必須先去衛福部這個諮議會做申請。

張陳弘：我能理解你的意思，在效率上會有一些影響，所以在我的印象中擬訂時有討論到可以仿IRP分成簡易審理程序跟正式審理程序，需要比較快速處理的走簡易審議程序，雖然速度會快一些，但不知道這樣是不是能滿足實務上申請處理效率的需求，真的不行的話就要把這個法再修一遍，看能不能再設一個更快速通關的審查程序。

李建良：為什麼問這個問題是因為，這個法律它建置一個很奇怪就是叫做所為申請制，然後本來是目的外利用這個是要去保護資料處理機關，現在變成整個一套制度變成是你只要符合這個規定，大家都可以來申請，他可能就要解決你們的那一些問題，那我只是要提到說雖然一個草案，他如果通過其實是讓這個就是這個法律本身有高度危險可能性，所以他可能就會有另外一個釋憲案就會開始了。謝謝今天陳弘老師幫我們做一個非常精彩的對話，預祝各位中秋快樂。