Data Privacy Law

Data Privacy Law 是保護個人資料主體權利的法律體系，其核心概念在於賦予個人對自身資料的控制權，並要求數據處理者負起問責制（Accountability）。這類法律通常規定資料處理的合法基礎、目的限制、數據最小化、存儲限制、準確性、完整性、保密性及可攜權等原則。例如，歐盟《一般資料保護規則》（GDPR）自2018年5月25日生效後，成為全球數據保護的基準。台灣《個人資料保護法》（以下簡稱個資法）則在第19條規定了個人資料蒐集、處理、利用之限制。在AI時代，Data Privacy Law 的範疇擴展至訓練數據的合法性、模型輸出結果的去識別化要求及自動化決策的解釋權，成為AI治理不可分割的法律基礎。與資訊安全法（Cybersecurity Law）不同，Data Privacy Law 聚焦於「個人資料的保護與使用權利」，而資安法聚焦於「系統與基礎設施的韌性」。

企業導入Data Privacy Law的實務應用可分為三個關鍵步驟：第一步是數據資產盤點與分類。根據ISO/IEC 27701:2019第6.1.2條規定，企業應識別所有處理個人資料的活動、數據流向及處理者身份，建立數據處理活動清冊（ROPA）。第二步是執行資料保護衝擊評估（DPIA）。GDPR第35條要求在採用新技術（如AI系統）處理高風險個人資料前，必須進行DPIA，評估潛在風險並制定緩解措施。第三步是建立技術與組織控制措施。這包括加密傳輸、存取控制、資料去識別化（Anonymization）及資料主體權利請求處理流程。例如，NIST Privacy Framework 2020版提供了系統化的方法，協助企業識別、治理、控制、溝通與管理隱私風險。這些步驟確保企業在AI開發與部署時，能預先符合法律要求，降低被監管機構處罰的風險。

台灣企業在導入Data Privacy Law時面臨三項主要挑戰。第一項是法規適應性挑戰：台灣個資法自2012年修正後，雖有基本框架，但針對AI、IoT等新興技術的具體指引尚在完善中。企業應參考GDPR的嚴格標準作為內部基準，以預先符合未來可能的法規收緊。第二項是跨境傳輸合規挑戰：台灣企業若向歐盟、美國、中國等地傳輸個人資料，須符合各該地區的跨境傳輸限制（如GDPR第44-50條）。建議建立標準契約條款（SCCs）或確認企業是否符合適當性認定（Adequacy Decision）。第三項是技術與人才缺口：AI系統的隱私設計（Privacy by Design）需要法律與技術雙重專業。企業應投資培訓現有IT團隊，或與法律顧問合作，確保AI模型訓練數據的合法性與模型輸出的隱私保護。建議優先建立數據治理委員會，由法務、IT、業務三方共同組成，定期審查數據處理活動的合規性。

Data Privacy Law與多項國際標準及法規直接相關。GDPR（General Data Protection Regulation）是目前全球最嚴格的數據保護法規，適用於處理歐盟居民數據的任何組織。ISO/IEC 27701:2019是ISO 27701標準的補充標準，專門針對隱私資訊管理系統（PIMS）提供控制措施，與ISO 27700系列相輔相成。NIST Privacy Framework（2020年版）則提供了非強制性的隱私風險管理框架，協助企業識別、治理、控制、溝通與管理隱私風險。此外，APEC的隱私框架（APEC Privacy Framework）針對亞太地區企業提供了跨境數據傳輸的指導原則。這些標準與法規共同構成了現代企業進行AI治理時必須參考的合規地圖。