#行政院新創基地 與 #資策會科法所 聯合舉辦
創學院【法律智財】如何做到完善的個資保護
邀請 資策會科法所法律研究員 甘琳律師
幫大家介紹台灣的個資法保護及GDPR
新創基地為您擷取部分重點👇👇👇

#GDPR 史上最嚴格個資法：

✅擴大適用範圍
就算不是設立在歐盟當地，對歐盟境內資料處理提供商品或服務或監控行為都會受到管轄。

✅擴大個資定義
#特種個資：揭露種族、人種、政治意見、宗教或哲學信仰、基因、生物特徵識別資料、健康相關、性生活或性傾向等個資。

✅明確當事人同意
單純沉默、預設選項為同意或不為表示不構成同意；當事人有權隨時撤回其同意。

✅強化當事人同意
更正權、拒絕權、刪除權、個資可攜權

甘琳律師最後提醒企業，為避免違反個資法規範，應採取技術面或組織面做好個資管理：
➡️以PDCA為基礎，自行建構企業之個資保護規範
➡️諮詢外部事務所導入個資法遵機制
➡️具公信力之驗證、標章：TPIPAS

✨創學院其他課程✨
🧡 8/22 創學院【創新思維與管理】新創CEO的管理思維
https://www.accupass.com/event/1807300335302059504394
🧡 8/29 創學院【創新思維與管理】新創事業人才管理
https://www.accupass.com/event/1808070209401706365537
🧡 8/29【公司登記一站式線上申請】講座
https://www.accupass.com/event/1808070320464778795650

惇安智財快訊 第101期
2018年6月1日
主編：王惠玲
訊息快遞

1. [歐盟] 個人資料保護新規則 <作者：張緯中/王惠玲>

歐盟議會在2016年4月27日通過「個人資料保護規則（the EU General Data Protection Regulation，簡稱（GDPR）」自2018年5月25日開始施行。重點如下：

1.提升法律位階：
原資料保護綱領（the Data Protection Directive）無法律強制力。如今將資料保護提升至法律位階直接適用於各會員國，解決會員國法律制度差異的問題。並將來成立單一監理機構-歐盟資料保護委員會（European Data Protection Board，EDPB）。

2.擴大適用範圍：
縱未在歐盟境內設立機構，企業在提供商品或服務的過程中，有蒐集或處理歐盟居民資料之情事，仍有該規則適用。

3.企業須設置資料保護長（DPO） ：
員工超過250人且核心業務涉及歐盟居民，須設立資料保護長（Data Protection officer，DPO），倘若該企業違反保護規則時，保護長將被追究法律責任。

4.資料蒐集與處理必須要有明確有效之同意：
本次規則明定「同意」必須由資料當事人自主的授予（freely given）、具體（specific）、知情（informed）以及明確（unambiguous），方能取得並處理該資料，針對敏感性資料更必須明確清楚，企業必須能證明已取得當事人同意；默認及默示皆不構成同意。且企業必須提供使當事人能以簡單方式即可撤回該授權。

5.個人資料可攜權（Data Portability） ：
可將個人資料在不同網路服務提供商（ISP）間轉移之權利。

6.個人資料外洩通報：
須於知悉後72小時內通報主管機關，且對資料當事人之權益有重大危害之虞時，企業仍應及時（without undue delay）通知當事人。

7.IT系統之保護設計：
蒐集與處理個人資料，除須符合明確同意規範，亦須遵循個人資料蒐集最小原則，且引入資料保護設計制度。

8.被遺忘權（Right to be forgotten） ：
原保護綱領規定當事人除可查閱、複製企業所擁有的個人資料，若該資料有不正常、不完整時，可要求更正、刪除或封鎖（rectification, erasure or blocking）。GDPR更提出被遺忘權，認為除了資料不正確或不完整外，有其他理由時（例如：非法處理個人資料、資料當事人同意已經撤回等六種情況），個人均可要求企業刪除其所掌控之個人資料。在此之前，歐洲法院已經判決認可個人有權利要求搜尋引擎從「不相關」或「過期」的個人資訊結果中移除該連結。

9.反對權（Right to object） ：
除非企業能證明處理該資料有重大正當理由，且該理由大於當事人之基本權利與自由，否則當事人有權在特定情況下反對該資料之處理。當提出反對時企業應立即停止處理該資料。本權利亦適用於以大量個人資料所自動產生之「建檔」（profiling）活動。此規範將對大數據、人工智慧技術發展產生重大影響。

10.對自動化決策之限制：
自動化決策係指，以自動化方式處理個人資料的分析與預測活動，而產生對資料當事人包括工作表現、經濟狀況、位置、健康、偏好或行為表現等之判定。與上述反對權相同，GDPR同樣針對該「建檔」（profiling）活動所作之決策有諸多規範。規則中「建檔」須有法定依據或獲得用戶明確同意，且必須是在充分知情下做出同意授權，且不得針對種族、政治、宗教、性取向等敏感議題。

11.資料保護影響評估：
企業必須作資料保護影響評估（Data Protection Impact Assessments, DPIA），並加以評估該蒐集與處理資料之風險與其業務活動之是否有必要性與對稱性。

12.大幅提高罰則金額：
違反有關控管者及處理者之義務者，最高處以一千萬歐元之行政罰鍰；如為企業，最高處以前一會計年度全球年營業額之百分之二，較高者為準。違反相關資料處理之基本原則及個人資料國際傳輸之規定、侵害本規則所定資料主體之權利者，最高處以二千萬歐元之罰鍰；如為企業，最高處以前一會計年度全球年營業額之百分之四，較高者為準。

參考資料：歐盟個人資料保護規則 金融與徵信叢書No.077 財團法人金融聯合徵信中心

全文下載:http://www.lexcelpartners.com.tw/…/%E6%83%87%E5%AE%89%E6%99…

為了自保，美國的媒體集團暫時終止歐洲GDPR適用範圍地區的服務，即使是中大型媒體集團面對GDPR法律風險也選擇暫避風頭。