AI人工智慧 – 喵喵科技法律隨筆

英國預計裁罰臉部辨識服務公司Clearview AI 1700萬元英鎊

2021-12-12由meowtechlaw撰寫發表留言

2021年11月29日，英國資訊委員辦公室（The Information Commissioner’s Office, ICO）宣布預計對Clearview AI公司裁罰1700萬元英鎊（約6億2000萬元）之初步意向，同時要求停止進一步處理英國人民的個人資料，並刪除涉及嚴重違反英國資料保護法的個人資料。

Clearview AI公司宣稱其擁有世界上最龐大的臉部資料網路，先前ICO曾與澳洲資訊委員辦公室（the Office of the Australian Information Commissioner, OAIC）進行聯合調查，主要關注於Clearview AI公司使用從網路上取得的圖像與資料，以及使用生物識別技術進行臉部辨識。客戶能夠向Clearview AI公司提供圖像，以進行生物特徵進行搜尋，識別相關的臉部圖像結果，並與超過100億張圖像的資料庫進行對比。

ICO認為Clearview AI公司資料庫中的圖像很可能包含大量英國人民的資料，且可能是在人民不知情的情形下從網際網路上公開資訊中所取得，包含社群媒體平臺。ICO初步認為Clearview AI公司在下列面向未能遵循英國的資料保護法：

未能以資料主體預期或公平的方式處理英國人民的資料。
缺乏適當程序以避免資料無限期被保留。
缺乏蒐集資料之合法性。
生物識別資料的處理未能符合英國資料保護法與GDPR規範。
未對英國人民告知相關資料處理情形。
要求提供額外的照片等個人資料，可能與反對其資料被處理之個人的意向有悖。

澳洲OAIC所發布之調查結論亦認為Clearview AI公司違反澳洲之隱私法。其同樣認為Clearview AI違反1998年澳洲隱私法，包含未經同意澳洲人民的敏感資料、以不正當手段蒐集個人資料、未採取合理措施告知個人蒐集資料之情形、未確保所揭露的個人資料正確性以及未採取合理程序確保遵循澳洲的隱私原則等情形。OAIC決定要求Clearview AI停止蒐集澳洲人民的圖像與生物識別資料，並銷毀從澳洲蒐集的資料。

※歡迎加入喵喵科技法律隨筆，持續接收科技法律的新知！

※你可能會對這些文章有興趣
1.WHATSAPP因違反GDPR遭愛爾蘭資料保護委員會裁罰2.25億歐元
2.荷蘭資料保護主管機關因兒童隱私保護不足裁罰TIKTOK75萬歐元
3.如何落實GDPR法遵？英國ICO發布問責制框架
4.個資外洩，該怎麼辦？
5.歐盟法院SCHREMS II案與常見問答

AI人工智慧、臉部辨識、金融科技Fintech、個人資料保護、未分類

10個對匿名化的誤解

2021-11-252021-11-25由meowtechlaw撰寫發表留言

我國個人資料保護法（下稱個資法）制定之後，在相關討論時，常常聽見有關「去識別化」的探討，並且試圖將不同場景所處理的不同個人資料加以「去識別化」，希望能夠避免遵循個資法規定。而在歐盟一般資料保護規則（General Data Protection Regulation, GDPR）下，則區分有匿名化（anonymization）資料與假名化（pseudonymization）資料兩種概念。匿名化資料係指不涉及已識別或可識別自然人的資訊或以不再可識別的方式匿名化的資料。由於匿名化資料已失去個人資料之屬性，因此並無GDPR之適用。至於假名化資料，由於其仍可透過使用額外資訊進而識別當事人身分，因此其於GDPR之概念底下仍屬個人資料之一種。實務上，組織常常因為想要避免遵循GDPR或個人資料保護法等規範，想要透過將資料匿名化的方式來因應隱私保護法令之遵循，而對「匿名化」存有誤解。

西班牙的資料保護主管機關（AEPD）因此提出「10個對匿名化的誤解」指引，向大眾說明與釐清匿名化的概念，以下摘要如下：

誤解1：匿名化等於假名化

匿名化資料係指不能與特定個人相關連的資料，一但資料真正匿名化且無法識別個人，該資料便無GDPR的適用。而另外一個概念是假名化資料，依照GDPR的定義，假名化資料係指該個人資料在不使用額外資訊時，不再能夠識別出特定之資料主體，且該額外資料已被分開存放，並以技術及組織措施確保該個人資料無法或無可識別出當事人。然而本質上，假名化資料仍然屬於GDPR所保護的個人資料。

誤解2：加密等於匿名化

AEPD指出，加密並不是一種匿名化的技術，而是屬於假名化的工具。加密過程中使用金鑰來轉化資料，降低資料遭不當存取的風險，並保持一定的機密性，然而原始資料解密之後仍然可以被存取，此時解密的金鑰即屬於前述所提到的「額外資訊」，其使被加密的資料能夠讀取，並進而識別個人。同時，考量加密演算法與金鑰的強度與技術進步（例如量子運算）等因素，縱然將加密金鑰刪除，仍無法確保加密資料無法被解密，因此即使將加密金鑰刪除，仍無法認為加密資料是屬於匿名化資料。

誤解3：資料總是可以匿名化

匿名化是一個嘗試在降低重新識別風險與保持資料集在預期用途的可用性間找到正確平衡的過程。然而根據資料的情境與性質，可能無法充分減輕重新識別的風險，例如可能的個體總數太小時（例如一個僅包含705名歐洲議會成員的匿名資料集），或是當個體間資料類別特別不同時（例如位置資料），即有可能無法充分減輕重新識別風險。

誤解4：匿名化是永恆的

實際上隨著時間的演進，不論是因為科技的進步（雲端運算與量子運算等技術），或是因為多年的資料外洩事故，均可能會將以前匿名化資料重新識別個人。

誤解5：匿名化重新識別的風險為零

匿名化過程與其應用方式，將會對重新識別風險的可能性產生直接影響。強而有力的匿名化過程目的在於將重新識別的風險降低到特定閾值以下，該閾值取決於現有的緩解控制措施、重新識別對個人隱私的影響、動機與攻擊者重新識別的能力，實際上重新識別的剩餘風險並不會為零。

誤解6：匿名化是無法衡量的概念

AEPD認為，不應將匿名化資料理解為資料集單純區分為是否匿名。任何資料集都有可能根據其個人化的可能性進行識別，強而有力的匿名化過程應評估重新識別的風險，同時必須隨著時間進行管理與控制。

除非在資料非常籠統的特定情形下，例如統計一年中每個國家或地區的網站存取者之資料集，否則重新識別的風險永遠不會是零。

誤解7：匿名化可以完全自動化

匿名化的過程中，需要對原始資料集、其預期目的、要應用的技術與重新識別資料的風險進行分析。去除或遮蔽直接標識符是匿名化過程中的重要部分，但必須同時伴隨著尋找其他識別來源的謹慎分析。因此，儘管匿名化過程可以透過自動化工具來完成，但專家的干預仍然有其必要性。

誤解8：匿名化使資料喪失用處

匿名化資料的目標是防止資料集中的個人被識別，例如將出生年月日以年份為分組，匿名化資料在某種情形下降低資料集的可用性，但並不意味匿名化資料是毫無用處的，但其可用性將取決於被接受的重新識別目的與風險。

另外，個人資料的儲存時間不能超過其原始目的規定的時間，某些資料控制者的解決方案可能是將個人資料匿名化，例如將網站存取紀錄匿名化，僅保留存取日期與存取頁面之紀錄，而不保存何人存取網站的資料。

GDPR的資料最小化原則要求資料控制者確定是否有必要處理個人資料以實現特定目的，或者該特定目的是否可以透過匿名化資料實現。某些情形下，可能導出資料的匿名化不符合其預期目的的結論，資料控制者必須在處理個人資料與適用GDPR之間作出決策。

誤解9：遵循他人成功的匿名化流程，也會成功將資料匿名化

匿名化流程與食譜不同，甚至就算依照食譜操作仍然有可能作出風味各異的菜色，匿名化流程必須考量處理的性質、範圍、背景與目的，以及自然人權利與自由不同之可能性與嚴重程度的風險。

在不同的情境可能有不同的資料集，而可能與匿名化資料交叉比對，進而影響重新識別的風險，例如在瑞典有關納稅人的個人資料是公開資料，而在西班牙則為非公開。因此，一個包含西班牙與瑞典公民資料的資料集，縱使按照相同程序進行匿名化處理，重新識別的風險可能也會不同。

誤解10：知曉資料歸屬於何人並沒有風險或利益

個人資料本身即具有價值，對於個人本身或第三方都是如此，重新識別個人身份可能對該個人的權利與自由產生嚴重影響。匿名化攻擊的形式可能包含有意地重新識別、無意地重新識別嘗試、安全漏洞或公開揭露資料，無論是出於好奇、偶然或是利益（例如科學研究、新聞或犯罪活動）。

準確評估重新識別對個人私人生活的影響較為困難，因為該影響始終取決於情境與相關資訊，例如在對於電影偏好情境下重新識別感興趣的個人，可能可以推斷該人的政治傾向或性傾向，但是這些政治傾向或性傾向在GDPR中屬於敏感性個人資料，而需特別予以保護。

※歡迎加入喵喵科技法律隨筆，持續接收科技法律的新知！

AI人工智慧、個人資料保護、未分類

FTC提出誠實、公平與公正的AI使用建議

2021-06-19由meowtechlaw撰寫發表留言

人工智慧（artificial intelligence, AI）技術不斷的發展，在改變醫藥、金融等不同領域時，同時也引起主管機關的注意，美國聯邦貿易委員會（Federal Trade Commission）在2021年4月19日時，針對公司使用AI時如何同時確保真實（truth）、公平（fairness）與公正（equity）提出建議。

FTC指出AI的使用可能產生令人不安的後果，包含種族歧視或其他層面的歧視，例如透過COVID-19預測模型可以有效分配病床、呼吸機與其他資源來幫助公共衛生系統對抗病毒，然而美國醫學資訊協會（American Medical Informatics Association）雜誌近期的一則研究指出，如果前述模型使用的資料反映了既有醫療保健服務中所存在的種族歧視，那將會使有色人種受到不平等的醫療服務。

FTC以其過往的經驗，提供建議如下：

從正確的基礎開始

對於AI來說，如果其資料集缺少特定人群的資訊，利用這些資料所建立的AI模型將可能對受法律保障的族群產生不公平的結果，因此一開始便要考慮改良資料集的方法、設計模型時考量資料的差異，並且根據其缺點限制AI模型使用的地方或方式。

注意歧視性的結果

最重要的是在使用AI前後定期測試演算法、，確保不會基於種族、性別或其他受保障的族群進行歧視。

擁抱透明性與獨立性

須要考慮如何實現透明性與獨立性，例如透過相關框架與標準，進行與公布獨立稽核的結果，以及將資料與原始碼（source code）對外開放檢查。

避免誇大演算法

對於客戶或消費者的陳述必須真實，且不具欺騙性，不須要過度誇大演算法的效能。例如告訴客戶，公司的AI產品能夠提供100％公正的雇用決策，但實際上演算法背後所使用的資料卻缺少種族或性別多樣性，這將可能會有問題。

說明如何使用資料

如果未能清楚的告訴使用者資料將會如何被使用，後續將會有相關法律風險，例如Everalbum利用使用者所上傳的照片來訓練其臉部辨識演算法，然而FTC認為該公司讓使用者誤以為其有能力控制關於臉部辨識的相關功能，並且未能於使用者關閉帳號後刪除使用者的照片或影片，FTC要求該公司刪除非法取得的資料，並且須要刪除基於使用者照片或影片所開法的臉部辨識模型與演算法。

避免有害的行為

儘管演算法可以讓公司知道最有興趣購買其產品的消費者，表面上看起來是一件不錯的事情，然而從另一個角度來看，假如這個模型透過種族、膚色、宗教與性別來精準定位這些消費者，則可能會踩到紅線。當相關行為導致或可能導致消費者受到實質性傷害，且消費者無法合理地避免傷害，同時消費者或競爭的利益不足以抵銷傷害時，FTC將會質疑這樣的行為是違反FTC法第5條的。

負起相應的責任

公司必須對自己的行為負責，如果公司無法做到的話，FTC表示他們會幫你做到這件事情。

歐盟執委會（European Commission）同樣於今年4月21日，針對AI技術發布「AI規則（Artificial Intelligence Regulation）」草案，打算藉此建立歐盟對於AI的監管框架。

※歡迎加入喵喵科技法律隨筆，持續接收科技法律的新知！

※你可能會對這些文章有興趣
1.揭開黑箱，說清楚講明白—可解釋性AI人工智慧
2.如何落實GDPR法遵？英國ICO發布問責制框架
3.歐盟法院SCHREMS II案與常見問答
4.個資外洩，該怎麼辦？
5.愛爾蘭資料保護委員會強調處理兒童資料的14個基本原則

AI人工智慧、行政法、個人資料保護、未分類

挪威資料保護主管機關預計向美國公司Disqus裁罰250萬歐元

2021-05-142021-05-14由meowtechlaw撰寫發表留言

2021年5月2日，挪威資料保護主管機關Datatilsynet公布由於Disqus對於網站使用者的追蹤未能遵循歐盟一般資料保護規則（General Data Protection Regulation, GDPR），不符合合法性、透明性與問責原則的要求，因此預計對Disqus處以250萬歐元罰款。

Disqus是Zeta Global下的美國公司，該公司提供線上公眾留言分享平臺，Disqus 使用 Disqus小工具對挪威網站的使用者進行追蹤，其相關資料也揭露給第三方的廣告合作夥伴。

Disqus對於挪威資料主體的個人資料進行處理

Disqus認為其透過cookies所蒐集的資料並非GDPR所謂的個人資料，因為其無法從cookies IDs識別個人。

然而主管機關認為，儘管cookie ID無法像姓名或地址一樣能夠單獨識別（identify）自然人，然而每個cookie ID均為獨特且置放於自然人的瀏覽器，使得控制者（controller）能夠區別（distinguish）每個人，並監控該自然人與網路的互動，cookie ID構成GDPR第4(1)條規定所規定的可得識別（identifiable）個人資料。因此，Disqus將cookies置入於網站使用者的終端設備，賦予每一個使用者單一的cookies ID，並藉此追蹤使用者，蒐集IP位址、網站存取時間，進而分析相關資訊，根據網路活動、興趣或其他特徵將使用者分門別類，構成GDPR下個人資料的處理。

Disqus屬於控制者

主管機關認為Disqus基於其自身商業利益對網站使用者進行追蹤、分析與剖析，即其資料蒐集是為了線上行為定向廣告（online behavioural advertising），將資料揭露予Zeta Global與其他第三方，同時Disqus決定了個人資料處理的目的與方式，構成GDPR第4(7)條所謂的控制者。

本案有GDPR的適用

雖然挪威並非歐盟的成員國，但是挪威已將GDPR納入其個人資料法（The Norwegian Personal Data Act），並於2018年7月20日生效。同時GDPR已納入歐洲經濟區協議（EEA Agreement），因此GDPR也適用於歐洲經濟區（EEA）/歐洲自由貿易聯盟（EFTA），包含挪威、列支敦士登與冰島。

主管機關認為，Disqus提供Disqus小工具，讓挪威的網站使用者能夠透過小工具對於網站內容發表留言與評論，該小工具讓挪威的資料主體能夠存取使用，顯示挪威的頂級域名（top-level domain），並以挪威語言提供，因此可以認定Disqus向挪威的資料主體（data subjects）提供服務，而有GDPR第3(2)(a)條的適用。另外，Disqus置入cookie並透過cookies蒐集網站使用者的資料，同樣也構成GDPR第3(2)(b)條所謂監控位於挪威境內的資料主體。

因此，儘管Disqus並非於歐洲經濟區內設立的公司，但因為其行為構成向挪威資料主體提供服務與監控位於挪威境內的資料主體，因此仍有GDPR的適用。

Datatilsynet具有本案管轄權

Disqus表示不論是Disqus或Zeta Global都沒有於挪威進行商業活動，認為挪威資料保護主管機關Datatilsynet並沒有法律管轄權（legal jurisdiction）進行調查或採取相關措施。

主管機關認為，Disqus於歐洲經濟區並未有分支機構（establishment），因此本案沒有GDPR第56(1)條合作機制（cooperation mechanism）的適用。同時依據歐洲資料保護委員會（European Data Protection Board, EDPB）所認可的第29條工作小組（The Article 29 Working Party, WP29）指引，控制者於歐盟沒有任何分支機構時，其必須透過當地代表與各成員國的主管機關交涉，沒有GDPR第56條一站式機制（one-stop-shop system）的適用。因此，Datatilsynet作為挪威資料保護主管機關自然能夠依據GDPR第55(1)條所賦予的權限處理本案。

Disqus違反問責原則

根據GDPR的問責原則（accountability principle），控制者必須予以負責並顯示其確實遵循GDPR的規定。主管機關認為，Disqus作為控制者，其應於公司開始處理挪威資料主體的個人資料之「前」，確保遵循GDPR與確立個人資料處理的法律基礎。由於Disqus並未意識到其GDPR適用於挪威使用者，可見Disqus並未評估個人資料處理活動的合法性，因而違反GDPR的問責原則。

Disqus 未落實對資料主體的告知

根據GDPR第12(1)條規定，Disqus應在開始追蹤資料主體時向資料主體提供資訊，換言之，當資料主體打開網站時，Disqus便應於網站和小工具上提供隱私權政策，Disqus將隱私權政策至於網站的最底部的行為並不符合GDPR第12(1)條提供資訊義務、第13條告知義務與5(1)(a)透明性原則的規定。

Disqus 不具個人資料處理的合法基礎

主管機關認為，Disqus未能確立其個人資料處理的法律基礎，也未能取得資料主體的合法同意，而在GDPR第6(1)(f)條的正當利益（legitimate interes）衡平測試（balance test）檢驗下，儘管Disqus基於行銷與商業營利的目的販售廣告構成該條所謂的正當利益，但Disqus在整體個人資料處理與揭露第三方的商業模式，過於廣泛、不透明且以侵犯的方式追求Disqus自身的線上行為定向廣告利益，甚至未能依法告知資料主體，使資料主體無法控制或終止追蹤，因此不符合必要性。

最後在衡平測試的檢驗，Disqus將未取得同意所蒐集來的資料分享予第三方，這些第三方隨後又可能將該資料揭露予其他第三方，Disqus的商業利益並未優於資料主體的負面影響（包含剖析、資料保護與言論自由等基本人權），因此並無GDPR第6(1)(f)條的正當利益條款的適用。

本案裁罰決定

依照GDPR第83(1)條規定，裁罰應為有效（effective）、適當（proportionate）且具懲罰性（dissuasive）。主管機關基於前揭的論述，認為Disqus違反GDPR第5(2)、6(1)與第13條等規定，考量GDPR第83(2)條所列的各款因素後，依據GDPR第83(5)條，裁罰Disqus共2500萬元挪威克朗（約為250萬歐元），其裁罰金額大約等於Disqus公司2018年營業額的15％，然而這並非最終決定，Disqus公司仍可於2021年5月31日前表示意見，Datatilsynet後續將會考量該公司的回覆作出最終決定。

由於本案 Disqus 公司於歐洲經濟區並未有分支機構，因此後續裁罰將會如何執行值得關注。另外本案也提及GDPR一站式的機制不適用於在歐盟境內沒有分支機構的企業，因此當企業在歐洲經濟區內沒有設立分支機構，而有違反GDPR相關規定，且涉及各國資料主體時，似乎各國的主管機關對此情形均可能有管轄權，倘各國主管機關對此違反情形均為裁罰，對企業將會是一大衝擊。對於我國企業而言，仍然必須檢視業務流程是否會涉及其他國家法令，避免誤觸紅線。

※歡迎加入喵喵科技法律隨筆，持續接收科技法律的新知！

AI人工智慧、個人資料保護、未分類

CNIL對遭受憑證填充攻擊的資料控制者與資料處理者處以225,000歐元罰款

2021-03-05由meowtechlaw撰寫有 1 則迴響。

法國資料保護主管機關CNIL（Commission Nationale de l’Informatique et des Libertés, CNIL）於2021年1月27日分別對某資料控制者（Data Controller）及其資料處理者（Data Processor）2間公司分別處以150,000歐元與75,000歐元（共225,000歐元，約新臺幣756萬元）的罰款，理由是因為其未能採取充分的適當安全措施，導致資料控制者所經營網站的客戶個人資料遭受憑證填充攻擊（credential stuffing attacks），以致於資料外洩。

在2018年6月至2020年1月期間，CNIL收到數十份與網站相關的個人資料外洩通報，CNIL指出該網站遭受到無數次的憑證填充攻擊。

憑證填充攻擊，攻擊者通常使用因為資料洩漏而遭公布在網路上的帳號密碼，並藉由機器人以自動化方式嘗試登入網路服務。假設使用者經常在不同的網路服務中使用相同的帳號與密碼，則攻擊者使用憑證填充攻擊，嘗試與網路服務進行大量連接，身份驗證成功後，攻擊者將可以查看與帳戶相關的資訊。

CNIL表示，攻擊者因此取得該網站會員姓名、電子郵件地址、出生日期、會員卡的餘額以及與訂單相關的資訊。CNIL認為該兩間公司未能履行歐盟一般資料保護規則（General Data Protection Regulation, GDPR）第32條規定的保護客戶個人資料安全義務。

儘管公司開發一種工具用偵測與組織來自機器人的攻擊，但是該工具的開發距離第一次攻擊長達1年的時間。CNIL認為，公司在防止攻擊與減輕衝擊部分，本來可以考慮採取其他更適當的措施，例如：(1)限制網站上每個IP地址允許的存取數量，可以有助於減緩攻擊發生的速度；(2)使用驗證使用者身份機制。 CNIL強調，資料控制者必須決定安全措施的實施，並向資料處理者說明，同時資料處理者也必須尋求最適切的解決方案，將其提供給資料控制者，以確保個人資料保護的落實。

※歡迎加入喵喵科技法律隨筆，持續接收科技法律的新知！

AI人工智慧、個人資料保護、未分類

關於語音助理的幾件事，CNIL的語音助理白皮書告訴你

2021-02-262021-02-26由meowtechlaw撰寫發表留言

不論是Apple HomePod還是Google Nest Audio，語音助理在智慧家庭中的角色越來越重要，不管是想要知道天氣、行事曆或是播放音樂，只要動口不動手，優秀的語音助理都能替你完成。然而，語音助理也會知道你的一切相關資訊。

法國個人資料保護主管機關「國家資訊自由委員會（Commission Nationale de l’Informatique et des Libertés, CNIL）」在2020年12月16日發布語音助理（voice assistants）白皮書「On the record」，指出由於語音助理在智慧手機、汽車甚至是冰箱等產品已經成為一種必需品，為了探求語音助理所涉及的倫理、技術與法律議題，CNIL透過與眾多研究人員與專家的合作，發表了該份白皮書。

該份白皮書旨在為設計師（designers）、應用程式開發人員（application developers）、整合人員（integrators）與期望推出語音助理的組織提供領先的隱私保護實踐指引，強調聲音是屬於個人的生物特徵（biometric characteristic of individuals），因此語音助理的設計必須符合透明性與安全性，以符合歐盟一般資料保護規則（General Data Protection Regulation, GDPR）與保護個人隱私。白皮書還提供使用者如何實施良好安全措施的建議，例如確保資料傳輸的機密性，或保護可能與這些設備互動的兒童。

對於語音助理的使用者，CNIL強調除了喚醒的條件與資訊、可用的服務、安全措施等條件的選擇之外，最重要的是認識到這些設備所伴隨的挑戰，使用者應該注意下列五點事項：

一、確保交流的機密性

※選擇使用的設備

1.與進行遠距資料處理（remote processing）的設備相比，優先使用進行本機資料處理（local data processing）的設備。

2.選擇配備物理式麥克風靜音的設備。

3.選擇透過手動按壓啟動而非透過喚醒詞來啟動的設備，這將會讓使用者對於啟動時間有更多控制。否則，請優先考慮啟動與結束時會發出訊號的設備，並於設定語音助理時啟動該功能。

※關於設備的使用

1.如果你不想讓別人聽到你的對話，在設備允許的情形下，關閉基於改善產品對你的互動進行分析的功能。

2.如果你不想分享技術資料，關閉基於改善產品對你的互動進行分析的功能。

3.如果你不想被語音助理聽到，可以將其關閉或靜音。

4.通知第三方（訪客、家事清潔人員）關於對話錄音的潛在風險，或關閉/靜音設備的麥克風。

5.相對的，如果你待在一個有語音助理的地點，如果你不想被錄音，可以要求擁有者關閉設備/拔掉插頭。

6.當嵌入專用設備時，請將語音助理放在顯眼且對所有人可見的位置。

7.定期檢查使用者帳戶中記錄資料的歷史紀錄，並刪除機敏資料。

二、個人資料將被用來營利

1.留意你在裝置前所說的內容可能會被用來建立關於你的廣告資料。

2.選擇不需要建立帳戶即可使用的設備。

3.如果功能允許，選擇使用「私密瀏覽」模式。

4.考量共享個人資料與敏感性的隱私風險後，再連結到真正有用的助理服務。

5.定期檢查哪些服務與助理連結，並禁用很少或沒有使用的服務。

6.如有任何疑問可以與服務專線聯繫，必要時也可以與主管機關聯繫（即CNIL）。

三、留意沒有螢幕的設備

1.除了透過語音介面進行裝置管理與資料刪除，選擇也能透過螢幕或使用者帳戶進行的設備。

2.定期檢視助理的儀表板以及根據需要自定義其功能，例如選擇使用的預設搜尋引擎或資料來源。

3.可以使用語音助理功能來設定關於本章節內容的小訣竅提醒。

四、監督兒童使用

1.以明確得指導方式說明語音助理的工作方式並示範簡單的設置（例如關閉按鈕）。

2.避免將設備放置在兒童專用區域（臥室、遊戲室等）。

3.監督兒童與設備的互動，當兒童使用設備時，留在房間裡陪伴他使用，當兒童不使用設備時，將其關閉。

4.確保預設情形下，將裝備設置為過濾兒童資料。

5.如果裝備記錄了歷史紀錄，則以尊重兒童隱私的方式查閱相關統計情形與過去的互動情況。

6.定期刪除歷史記錄。

五、預防駭客入侵的風險

1.避免使用無法識別或無法輕鬆識別其來源、設計者、控制者等的設備。

2.謹慎選擇可以由語音助理控制的服務，並避免那些有風險的服務（開門、上鎖或開車）。

3.謹慎安裝與存取合法的應用程式，駭客可以建立惡意軟體來蒐集使用者資料（帳戶、信用卡號碼、密碼、地址或聯繫方式等）。

4.如果設備允許，則透過雙因素身份驗證（例如透過電子郵件或簡訊發送驗證碼）來設置設備或某些敏感應用程式的安全性。

5.仔細選擇與你帳戶相關服務（電子郵件、日曆、銀行帳戶、電話等）的啟動。

6.保護語音助理連接到的網路（尤其是Wi-Fi）。

※歡迎加入喵喵科技法律隨筆，持續接收科技法律的新知！

AI人工智慧、個人資料保護、未分類

愛爾蘭資料保護委員會強調處理兒童資料的14個基本原則

2021-01-032021-01-03由meowtechlaw撰寫發表留言

愛爾蘭資料保護委員會（Ireland’s Data Protection Commission）於2020年12月制定「針對兒童資料處理方法的基礎概念（Fundamentals for a Child-Oriented Approach to Data Processing）」草案文件，其中納入專門針對兒童的資料保護解釋原則與建議措施，這些原則與措施將提供對於兒童的保護水準，使兒童免於資料處理風險所帶來的影響，該份草案文件的公開諮詢程序至2021年3月31日止，任何人都可以向愛爾蘭資料保護委員會提供相關意見與評論。

值得注意的是，愛爾蘭資料保護委員會也直接向兒童諮詢相關意見，兒童們紛紛提出他們對於資料保護的各種看法，愛爾蘭資料保護委員會也特別於該份文件內呈現出來。

在愛爾蘭，兒童的定義是指未滿18歲的人，與聯合國兒童權利公約（UN Convention on the Rights of the Child, UNCRC）的定義相同，而愛爾蘭資料保護委員會確立組織應遵循的14個基本原則，組織在處理個人資料時應注意對於兒童的保護，為兒童們提供一個比目前更安全、更合適以及更尊重隱私的網路環境，讓孩子們盡情得玩耍、互動、學習與創造。以下是該文件所列出的14個基本原則：

1.一定程度的保護（FLOOR OF PROTECTION）

線上服務提供者（Online service providers）應對所有使用者提供一定程度的保護，除非其採取風險導向的方法（risk-based approach）來驗證使用者的年齡，以將基本原則中所規定的保護措施應用於所有處理兒童資料的行為。

2.明確同意（CLEAR-CUT CONSENT）

當兒童同意處理其資料時，必須是明確、知情且自由得陳述，或給予明確同意。

3.零干擾（ZERO INTERFERENCE）

線上服務提供者處理兒童資料時，應確保追求合法利益的同時，不會對兒童的最佳利益造成干擾、衝突或負面影響。

4.瞭解受眾（KNOW YOUR AUDIENCE）

線上服務提供者應採取措施來識別其使用者，並確保針對兒童或可能被兒童所接觸的服務已制定針對兒童的資料保護措施。

5.每個情景的資訊（INFORMATION IN EVERY INSTANCE）

兒童有權獲得有關處理其自身個人資料的資訊，即便是由父母所代理同意處理的個人資料。

6.針對兒童的透明性（CHILD-ORIENTED TRANSPARENCY）

必須以簡潔、透明、可理解與可接觸的方式提供有關如何使用個人資料的隱私資訊，並應使用兒童易於理解且適合兒童年齡的語言。

7.讓兒童自主行使權利（LET CHILDREN HAVE THEIR SAY）

兒童本身即是資料主體，在任何年齡都擁有與其個人資料有關的權利。愛爾蘭資料保護委員會認為，只有兒童有能力，且符合他們的最佳利益，兒童可以隨時行使這些權利。

8.同意不會改變兒童的本質（CONSENT DOESN’T CHANGE CHILDHOOD）

從兒童或父母/監護人所取得的同意不應作為將所有年齡的兒童當作成年人對待的理由。

9.平台責任（YOUR PLATFORM, YOUR RESPONSIBILITY）

透過數位與線上技術提供或出售服務而獲得收入的公司，對於兒童的權利和自由可能會構成特殊的風險，如果此類公司使用年齡驗證或依靠父母同意進行資料處理，則愛爾蘭資料保護委員會期望公司在關於年齡驗證以及父母同意的驗證方面能夠更加努力。

10.不要拒絕兒童使用者或剝奪其使用體驗（DON’T SHUT OUT CHILD USERS OR DOWNGRADE THEIR EXPERIENCE）

如果公司所提供是提供針對兒童或可能被兒童所接觸的服務，公司不能透過將兒童拒於門外或剝奪使用體驗來繞過公司所應負擔的義務。

11.最小使用者年齡並非藉口（MINIMUM USER AGES AREN’T AN EXCUSE）

設置提供服務的使用者最小年齡不會取代組織遵守歐盟一般資料保護規則（General Data Protection Regulation, GDPR）的資料控制者與對未成年人保護等相關義務。

12.禁止剖繪（PROHIBITION ON PROFILING）

考量兒童的特殊脆弱性（particular vulnerability）與對行為廣告的敏感性（susceptibility to behavioural advertising），因此線上服務提供者不得基於行銷/廣告的目的對於兒童進行剖繪（profile）或針對兒童使用自動化決策（automated decision making），或以其他方式利用其個人資料，除非能夠清楚得說明「如何」以及「為什麼」這樣做符合兒童的最佳利益。

13.實施資料衝擊影響評估（DO A DPIA）

線上服務提供者應進行資料保護衝擊影響評估（Data Protection Impact Assessments, DPIA），以最大程度得降低其服務的資料保護風險，尤其是因為處理個人資料所對於兒童造成的特定風險。兒童的最佳利益原則必須是資料衝擊影響評估的關鍵標準，並且當兩者利益間發生衝突時，兒童的最佳利益必須優於組織的商業利益。

14.融入制度（BAKE IT IN）

定期處理兒童個人資料的線上服務提供者應根據「從設計與預設階段著手資料保護」原則，使其具有一貫的高標準資料保護程度，並將其融入於服務之中。

※歡迎加入喵喵科技法律隨筆，持續接收科技法律的新知！

※你可能會對這些文章有興趣
1.揭開黑箱，說清楚講明白—可解釋性AI人工智慧
2.如何落實GDPR法遵？英國ICO發布問責制框架
3.歐盟法院SCHREMS II案與常見問答
4.個資外洩，該怎麼辦？
5.投資個資保護的價值？

AI人工智慧、臉部辨識、個人資料保護、未分類

人工智慧與個人資料保護

2020-11-062021-03-12由meowtechlaw撰寫發表留言

隨著人工智慧（Artificial Intelligence, AI）技術的進步，AI在零售業、銀行與醫療等各領域都有了驚人的應用，推動了AI技術與資料利用等方面的創新，然而使用AI的組織仍然須持續面對挑戰，例如AI是解決問題的正確方式嗎？AI會產生什麼樣的道德問題？我們如何確定AI的使用是合法的？

儘管AI提供了一個能夠顯著改善社會的機會，然而AI的使用往往也會帶來風險（從AI系統帶來的安全風險到歧視與偏見的風險），而對於組織來說，如何評估AI的使用對資料保護的法令遵循性將會是一大挑戰。

英國個資保護主管機關ICO（Information Commissioner’s Office）於今（2020）年7月30日發布「人工智慧與資料保護指引（Guidance on AI and data protection）」，提供設計、架構與實施AI系統的法令遵循路線圖，其內容約略分為以下幾個面向。

AI的問責與治理

在運用得當的情形下，AI將使組織更具效率與創新。但是，AI也對個人的權利與自由以及組織的法令遵循挑戰帶來巨大的風險。

與其他處理個人資料的技術相同，相同的資料保護概念也適用於AI的使用。資料保護法中，透過風險導向的方法要求組織在特定情形下遵守義務並採取適當措施，因此在法令遵循面必須包含評估個人權利和自由的風險，並進而識別、管理和減輕這些風險。

AI系統的合法性、公平性與透明性

首先，AI系統的開發與部署往往涉及針對不同目的以不同方式處理個人資料，組織必須分解每個不同處理操作，並為每個操作確定目的和適當的合法依據，以便遵守合法性原則。

其次，當組織使用AI系統來推斷個人的資料，則為了使處理過程更加公平，組織應確保1.該系統在統計上足夠準確，並且避免歧視，以及2.考慮個人合理期望的影響。

例如用於預測貸款還款率的AI系統在以下情況可能會被認為違反公平原則：
1.作出經常被證明是錯誤的預測。
2.導致群體間（例如男人與女人間）結果的差異，且無法證明是為實現合法目標的適當手段。
3.以個人無法合理預期的方式利用個人資料。

最後，組織需要透明得瞭解如何在AI系統中處理個人資料，以遵守透明性原則。（可以參考揭開黑箱，說清楚講明白—可解釋性AI人工智慧）

AI系統的安全性

使用AI處理個人資料對於風險有著重要的影響，因此組織需要仔細評估與管理這些風險。然而，實際上並不存在一種「萬能的」安全方法，組織應針對不同個人資料處理所產生的風險等級與類別，分別採取適當的安全措施。

指引內也提到兩大適用AI模型的隱私攻擊種類，「模型反轉（model inversion）」與「成員推斷（membership inference）」，組織應該檢視自身的風險管理實踐情形，以確保個人資料在AI的使用環境中是安全的。

AI系統的資料最小化

資料最小化原則要求組織確定實現目標所需最小數量的個人資料，並且僅處理該個人資料（GDPR第5條第1項第c款參照）。AI系統通常需要大量資料，乍看之下彷彿難以符合資料最小化原則，然而資料最小化原則並不意謂著「不處理任何個人資料」或「處理大量資料就會違法」，關鍵的地方在於，組織是否僅處理其所需要的個人資料。

AI系統與個人權利

依據資料保護法，當事人對於其個人資料有許多相關權利，無論在AI系統的開發或是部署的生命週期各階段中，均有當事人權利的適用，組織應予以重視，例如以下情形：

訓練資料（training data）。
用於預測的資料及預測本身的結果。
AI的模型內。

例如零售業者打算以過去的交易資料來預測消費者行為，需要大量的客戶交易資料集來訓練模型。而在將客戶交易資料轉換用於訓練統計模型的訓練資料時，儘管訓練資料已經較難連結到特定的個人，然而如果其仍然能單獨或與組織可能要處理的其他資料（即使不能與客戶的名字相連結）共同「挑選（single out）」相關的個人，此部分仍有資料保護法的適用，而組織應於當事人行使其權利行使時，將此部分納入考量。

※歡迎加入喵喵科技法律隨筆，持續接收科技法律的新知！

AI人工智慧、個人資料保護、未分類

挪威資料保護主管機關推出監理沙盒，協助人工智慧的開發

2020-08-012020-09-08由meowtechlaw撰寫發表留言

挪威資料保護主管機關Datatilsynet日前宣布政府已提撥300萬克朗以啟動監理沙盒（Regulatory Sandbox），為人工智慧（Artificial Intelligence, AI）開發提出良好的解決方案。挪威並不是第一個提出類似構想的國家，英國資訊委員辦公室（Information Commissioner’s Office, ICO）於去年便針對資料保護設置監理沙盒，目前已有十家組織參與該監理沙盒試驗階段。而印度最近所提出個人資料保護法修法草案也明文將監理沙盒納入其中，希望針對人工智慧等新興科技設立一個監理沙盒，以鼓勵人工智慧、機器學習（Machine-learning）或其他符合公共利益之新興科技的創新。

什麼是監理沙盒？

對於希望在政府監督下嘗試新產品，技術和服務的組織而言，監理沙盒是一個安全的測試環境。組織可以透過監理沙盒對相關法律規定有更多的瞭解，而主管機關也將對創新科技的技術有更多的認識，而可以輕鬆得識別風險或其他問題。

監理沙盒的目的？

挪威資料保護主管機關表示，監理沙盒總體目標是促進道德和負責任的人工智慧創新。人工智慧開發與實施的成功關鍵，取決於社會大眾對於系統的安全性、公平性與對個人資料的正確處理具有信心。儘管可能很多人認為隱私與創新是互斥的概念，然而恰恰相反，缺乏嚴格的隱私保護才會阻礙創新的腳步。因此，依照隱私保護法規開發人工智慧系統將有助於大眾對於該技術的信心。

監理沙盒中會發生什麼？

組織可以在監理沙盒框架內，接受挪威資料保護主管機關的指導以開發創新服務，監理沙盒不會賦予組織就資料保護法規的豁免，但能夠於項目開發階段中豁免相關執法措施。

監理沙盒將會開放予利用個人資料開發創新產品與服務的企業，且必須證明其產品與服務具有公共利益。

挪威資料保護主管機關表示，企業透過參與監理沙盒，將可以瞭解隱私法規要求，協助企業縮短從開發、測試到實際於市場運行的時間，同時參與監理沙盒的企業也會作為範例，藉此幫助其他開發類似產品或服務的公司。

我國資料保護監理沙盒芻議

我國目前於金融科技發展與創新實驗條例與無人載具科技創新實驗條例的監理沙盒中，雖然對於資訊安全措施與個人資料保護等面向有相關規定，然而考量未來所面臨到個人資料創新利用的產業恐怕不會只侷限於金融科技或無人載具的創新，因此我國未來或許可考慮一個全面的資料保護監理沙盒，作為平衡產業創新與隱私保護的工具。

※歡迎按讚、追蹤還有分享喵喵科技法律隨筆的粉絲團！

※你可能會對這些文章有興趣
1.揭開黑箱，說清楚講明白—可解釋性AI人工智慧
2.不如換AI當法官試試看？
3.投資個資保護的價值？
4.加拿大隱私專員辦公室提出AI監管方案
5.紐約SHIELD ACT

AI人工智慧、未分類

揭開黑箱，說清楚講明白—可解釋性AI人工智慧

2020-05-242020-05-24由meowtechlaw撰寫有 14 則迴響

自人工智慧（Artificial Intelligence, AI）這個名詞出現以來，其前景總是讓人著迷，不須要人類自己動手，AI就能代替人類解決問題。然而，AI是如何決策，他的思路為何，就像一個黑箱，人類似乎只能得知結果卻無法知悉理由，如果一個AI人資專員通知你未被錄取、未獲晉升或是被解雇，他是否能夠提供一個可以信服的理由呢？近日台大亦表示已打造可解釋性人工智慧（Explainable AI, XAI），聲稱可以解釋AI結果產生的原因，以提升人類對於AI的信賴度。

然而，所謂的可解釋性AI到底須要解釋些什麼？2020年5月20日，英國資訊委員辦公室（Information Commissioner’s Office, ICO）與圖靈研究所（Alan Turing Institute, Turing）便基於英國政府2018年4月的人工智慧領域協議（AI Sector Deal）的承諾發布「解釋AI決策（Explaining decisions made with AI ）」的指引。

AI與相關法律

該指引提到，AI往往涉及個人資料的利用，例如將大量個人資料用於訓練與測試AI模型、AI運作時也會蒐集大量個人資料並透過模型進行決策，甚至其作成與個人有關的決策，即使僅僅是預測或推論，仍然也可能屬於個人資料，而有英國資料保護法（DPA 2018）與歐盟一般資料保護規則（GDPR）的適用。

GDPR甚至賦予個人知悉權（第13條與第14條）、近用權（第15條）、反對權（第21條）、於自動化決策時得要求人為介入的權利（第22條）以及課予組織必須進行資料保護影響評估（Data protection impact assessments, DPIAs）的義務，同時組織還必須遵循GDPR所謂的公平性（Fairness）、透明性（Transparency）與問責性（Accountability）等原則。

另外組織在使用AI進行決策，也必須確保過程中符合英國平等法（Equality Act 2010），避免關於年齡、身心障礙、性別、婚姻、懷孕與產假、種族、宗教信仰、性別與性傾向等的歧視、騷擾或傷害，我國類似法律則規定於就業服務法與性別工作平等法等法令內。

關於AI的解釋

指引內表示，所謂解釋，依照劍橋詞典是指「某人給出明確或易於理解的細節或原因。」在關於AI的解釋，主要可分為「過程導向（process-based）」與「結果導向（outcome-based）」的解釋。在過程導向的解釋，主要是證明在整個AI設計與使用過程中均遵循良好的治理流程與最佳實施指引，而結果導向的解釋則是澄清特定決策的結果，以用易懂的方式解釋演算法所產生結果背後的原因，其關於AI的解釋項目與背後原理原則大略可整理如下。

透明（Be transparent）

基本原理（Rationale）
1. 模型產生結果背後的邏輯與理由。
2. 哪些輸入特徵（input features）、參數（parameters）與相關性（correlations）對模型的計算結果扮演重要因素，以及如何產生影響。
3. 如何以易於理解的原因說明模型輸出所依據的技術原理，使受影響的個人或其代理人進行合理評估。
4. 如何將統計結果應用於對個人決策的特定情形。
資料（Data）
1. 使用哪些資料來訓練模型。
2. 使用的資料來源。
3. 如何確保所使用資料的品質。

可問責（Be accountable）

責任（Responsibility）
1. 在AI設計到部署的每個階段，由何人負責。
2. 有何問責機制。
3. 如何於項目中，讓設計與實施過程可追溯（traceable）與可審核（ auditable）。

考量情境（Consider context）

考量AI使用的場景、情境與潛在的影響，以提供合適的解釋與說明。以AI招募輔助系統（AI-assisted recruitment）為例，組織可能須要優先考慮AI基本原理與責任的解釋，向個人告知該招募決策的負責人以及作出決策的理由，同時考量人資與招募的情境，偏見與歧視將是主要關注的議題與潛在影響，因此組織須要向個人說明AI系統所涉及的風險以及組織如何減輕該等風險，使個人瞭解其是否受到公平對待以及該決定是否合理。

對於影響的反思（Reflect on impacts）

公平（Fairness）
1. AI系統的輸出是否具有歧視性影響。
2. 是否已將防止歧視與減輕偏見的目標充分落實於系統的設計與實施中。
3. 是否將決定結果的公平性標準納入系統中，並事先向個人說明這些標準。
4. 該模型是否已防止歧視性損害（discriminatory harm）。
安全與性能（Safety and performance）
1. 在運行時，AI系統是否安全且技術上可持續運作。
2. 系統的操作完整性（operational integrity）是否值得公眾信任。
3. 是否使用足以確保其安全、準確、可靠與健全的方式設計、驗證與確認模型。
4. 是否已採取足夠措施以確保系統遇到出乎意料的變化、異常與干擾時能可靠得依照設計者的預期運作。
衝擊影響（Impact）
- 從AI模型的設計到開始部署與結束使用，是否已經充分考量對個人與社會大眾福祉的影響。

該指引內強調，落實AI決策解釋將為組織帶來法令遵循、信任、內部治理等好處，同時也會使個人與社會大眾瞭解AI的使用，促進AI作成更好的結果，並使人類社會得以蓬勃發展。

※你可能還會對這些文章有興趣：
1.不如換AI當法官試試看？
2.加拿大隱私專員辦公室提出AI監管方案
3.投資個資保護的價值？