從個資「免費」到「付費」，淺談日本的資料銀行認定制度
一、從台北市政府之資料收費爭議談起
於2020年12月7日，台北市成立資料治理委員會，將討論資安問題、資料使用的收費機制等，而其中引起最大爭議點即在於個資去識別化後之「資料收費機制」，也產生正反兩派之討論。
贊成意見認為，若能有效做好個人資料(以下簡稱「個資」)的去識別化，則影響個人之隱私權程度較小，開放給民間更能有效運用資料，此舉將有助於資料經濟之發展並促進服務創新；反對意見則是認為，在目前世界各國皆著重於保障隱私權並強化民眾個資自主權之立法趨勢下，台北市政府竟與國際趨勢背道而馳，且販賣相關資訊是否有相關依據或取得民眾之同意，去識別化之個資是否就真如此安全無虞，而無再次識別之可能性?
二、個資如何用於營利？
談個資自主權前，得先了解個資等相關資料是如何被運用於商業活動中，而商業活動重要之目的即為專注於客戶偏好體驗或預測未來市場發展，如此方能找到客戶或奪得先機銷售產品或服務。若能有效集結並分析利用每位客戶於商務活動所留下之資訊，則會成為推展商業活動利器，主要體現即為廣告行銷。
在過去尚未透過網路進行商務活動時，透過線下或紙本填寫資訊，依賴紙本形式進行分析並不方便，故傳統上較為依賴電視、新聞報紙等進行大數量、大範圍的廣告投放。但隨著網路及社交媒體的普及使用，人們活動逐漸移至數位環境，也留下越來越多包含個人喜好、購物紀錄、社交活動的個人數位足跡。由於這些數位資訊相當便於分析，所帶來的商業模式即是商家透過提供「免費」平台服務，以換取用戶於平台活動所留下之資訊及個資，這些平台透過分析這些數位資訊，更能協助企業精準投放廣告，如Facebook、Instagram、YouTube。
除了廣告外，大量用戶個人資訊亦能用於分析未來趨勢及預測產品發展方向，提供商家搶佔先機的可能性。人工智慧技術持續突破，並帶來各種新興應用時，要訓練及改良人工智慧模型，亦需要大量「數據」。因此，隨著人們生活與科技和網路結合加深，數據成為數位時代商務發展基石，在數位環境下能反映出用戶習慣、行為及生活等的個資數據，則成為眾多數據中的重要寶藏，故被稱為新世紀的石油。
三、個人資料自主權
在大量商業活動應用網路及數位工具取得用戶個資時，若未能妥善保護使資料外洩，將導致其被用於詐騙及犯罪，而對個資本人產生傷害。2016年歐盟所公布一般資料保護規範(GDPR)，目的即在於使個資本人取回資料控制權，除對於不遵守個資保護規範要求的企業施以重罰外，也創設如資料可攜權（Right to data portability）、被遺忘權（Right to be forgotten）等個資自主權利，資料可攜權為賦予個資本人帶走自己資料，並允許其得用於不同服務，充分展現個資自主運用的權利。
其他地區亦有相對應的立法，如美國有加州消費者隱私保護法，日本亦有個人資料保護法存在，並於2015年檢討修正，日本個資法特別之處在於針對個資去識別化應採取之程序及方式有所規範，如要求去識別化時對去識別化方式進行安全管理，避免因去識別化方式洩露而被分析，使資料的復原變得容易，對於去識別化後之資料的使用、傳輸及利用亦有所要求。
四、個資自主權與資料之自由運用，該如何取得平衡?
在各國以個資法保障個資自主權同時，企業於運用數據上也產生許多限制，不利於資料流通和運用。多數資料亦被國際大型科技巨頭所掌握，中小型企業要取得相關資料進行應用或與大型機構競爭也相對困難。從個資本人角度觀察，縱然能主張個資法相關權利，仍無法直接透過提供個資，於企業數據交易或應用下獲取利益。
因此，基於保障個資自主權及鼓勵資料運用之目的，即出現所謂「My data My earning」之思維，提倡個資本人透過主動貢獻個人數據，也能從資料交易過程中獲取相應回報。這樣的思維也衍生出新型之商業模式，即出現特定機構，主張符合個資本人利益及同意範圍內，受託進行個資蒐集、處理及管理，並銷售給有數據需求的第三機構，再將銷售資料所得利潤分配給個資本人，而從中協助並居間銷售的機構，即是所謂的「資料銀行」。
為了加強民眾對於資料銀行的信任，日本總務省與經濟產業省於2017年至2018年間舉辦數次「資料信託功能認定機制檢討會」，期望推動可信賴資料銀行認定基準及模範契約應記載事項，期望在保障當事人權益同時，並能促進資料流通。
而日本於2019年10月再次公布「資料信託功能認定指引第二版」，該標準除針對資料銀行功能與個資本人間關係說明外，分別從四個面向對資料銀行進行認證：
(1)經營面及業務面進行檢視：如其是否具備一定程度損害賠償能力及是否有效遵循日本個資法規範；
(2)資訊及個資保護安全性：如是否取得ISMS認證或JISQ15001個資保護標章等；
(3)內部治理：如對外諮詢管道健全性及公司透明性(如定期公告、報告)；
(4)業務內容：如是否依照模範條款訂立相關應記載事項，是否有於契約明確記載取得個資本人同意將資料提供與第三人等。
此外，資料銀行亦須設置「資料倫理審查委員會」諮詢體制，成員並應包含外部委員。資料銀行應定期對資料倫理審查委員會提出報告，並針對資料銀行與個人間契約內容、資料銷售第三方的選定條件等項目進行審議，以確保資料銀行業務內容並不會與個資本人產生利益衝突。
五、小結
關於台北市政府資料出售爭議，其中一點為去識別化資料是否真無法再識別出特定個人，依法務部過去針對「去識別化」之函釋解釋是指：「透過一定程序的加工處理，使個人資料不再具有直接或間接識別性而言」，然而去識別化的標準和應行程序並不清晰，去識別化方法是否有保密安全措施避免外流，所謂「不具有直接或間接識別性」又係於具體事實判斷，存在模糊不清之部分，相關問題也易導致社會大眾對「去識別化資料」是否無再被識別產生質疑。
另一方面，出售資料是否有相關依據及取得民眾同意，此爭議背後之原因，在對去識別化有疑義之前提下，並無法完全排除該資料並無再被識別之可能性，而仍屬於個資法所規範之個資範疇，且相較民間活動，民眾於公務活動上並無法選擇不提供其個資，民眾選擇同意提供個資，是否可以包含資料出售等種種爭議，皆值得討論。
資料自由流通運用及個資自主權間具有一定衝突性，而資料銀行的概念即為將個資本人及資料流通交易利益歸於一致，並給予個資本人提供資料誘因，「日本資料銀行認定制度」則係著眼強化資料銀行的個資及資安保護標準，並透過模範契約應記載條款保障個資本人權利，期待在保有個資自主權前提下，建立資料銀行可信度，以促進資料交易流通而鼓勵資料服務創新。
(本文為數位時代專欄文章)
如果這篇文給予您一些啟發希望您給我5~10個掌聲，如果您有興趣了解更多請給我10~50個掌聲，我會針對更多此類問題提出相關介紹、想法和分析。謝謝您。由於學海浩瀚、資訊繁多，一人之力總難以了解全貌，若有所遺漏之處或錯誤之處，希望能指出並與大家一同討論。如果有任何想法或意見也請您在下方留言讓我知道~~如需轉載也請您讓我知道~
