臺灣博碩士論文加值系統

2018年5月，歐盟一般資料保護規則正式實施，成為史上最嚴厲的個人資料保護法案。「自設計著手保護個資」以及「個資保護影響評估」乃歐盟一般資料保護規則中十分重要的兩項預保護機制，通過將個資保護的責任由國家轉移至業者，使業者能夠在發展產品或服務的初期即對個資進行全局性的保護，從而提升個資保護的效率。
由於歐盟一般資料保護規則具有長臂管轄之特點，因此只要涉及到歐盟境內資料的處理，無論該業者是否處於歐盟境內，均受到一般資料保護規則的管轄，其向歐盟所提供的產品或服務亦須符合「自設計著手保護個資」及「個資保護影響評估」之預保護的要求。綜觀兩岸之個資保護立法，儘管立法不盡相同，但關於「自設計著手保護個資」以及「個資保護影響評估」均為空白，因此，歐盟一般資料保護規則勢必對兩岸乃至全球之業者產生重要之影響。
本文採用文獻研究法、比較法研究法以及實證研究法等，對歐盟一般資料保護規則中的「自設計著手保護個資」及「個資保護影響評估」等預保護機制的結構、特點以及影響進行詳細研究，分析其為個資保護所帶來的積極影響並指出此兩項預保護機制中存有的問題而導致實際操作及產業因應上的困難，再比以兩岸的之個資保護立法實際狀況以為業者提供有效之因應方法，最後結合相關產業的案例，得出充分有效的因應手段以供業者參考。
歐盟一般資料保護規則之實施對於全世界範圍內的個資保護來說乃一個重要里程碑，「自設計著手保護個資」及「個資保護影響評估」等預保護機制盡管仍存有機制本身及實施面的不足，但就個資保護的本身，其為業者設立個資預保護的義務乃實現個資保護高效化的重要手段。個資保護乃社會發展過程中之重要任務，在個人資料保護法的不斷完善的過程之中，業者應當積極發展技術，並以技術之手段實現個資保護與產業發展的共贏。

In May 2018, the EU GDPR were formally implemented and became the most stringent data protection law in history. Data Protection by Design and Data Protection Impact Assessment are two very important precautionary protection mechanisms in the GDPR, by transferring the responsibility of data protection from the state to the industry, the industry will be able to carry out full scale protection at the beginning of the development of the product or service, so as to improve the efficiency of data protection.
Since the EU GDPR has the characteristics of long arm jurisdiction, as long as it involves the processing of data within the EU, regardless of whether the industry is within the EU, it is governed by the GDPR and its products or services provided to the EU must meet the requirements for precautionary protection mechanisms. Looking at the legislation of China and Taiwan for data protection, the provisions on Data Protection by Design and Data Protection Impact Assessment are all blank. Therefore, the EU GDPR will have an important impact on China and Taiwan and even the global industry.
In this paper, the structure, characteristics and influence of the precautionary protection mechanisms are studied in detail with literature research method, comparative research method and empirical research method. This paper analyzes the positive impact of the two precautionary protection mechanisms and points out the problems in the precautionary protection mechanisms, which leads to the difficulties in the actual operation by industry. Finally, in conjunction with the case of related industries, a full and effective response method is provided for reference by the industry.
The implementation of the EU GDPR is an important milestone for the global data protection. Although the precautionary protection mechanisms still have some shortcomings of its implementation, the obligation to precautionary protection is an important means to achieve efficient data protection. Data protection is an important task in the process of social development. In the process of the continuous improvement of the data protection law, the industry should actively develop technology, and achieve a win-win situation between data protection and industrial development.

目錄
摘要 I
ABSTRACT II
第一章 緒論 1
第一節 研究背景 1
第二節 研究範疇：「自設計著手保護個資」與「個資保護影響評估」 3
第三節 研究意義 7
第四節 國內外之研究現況及簡要分析 8
第五節 研究方法 11
第二章 歐盟一般資料保護規則（GDPR）概述 13
第一節 歐盟一般資料保護規則立法背景論述 13
第一項 個人資料之基本理論探析 13
第二項 歐盟一般資料保護規則之立法背景 16
第三項 歐盟一般資料保護規則之立法發展 17
第二節 歐盟一般資料保護規則之立法特徵及條款分析 20
第一項 法定權利義務的嚴格明確化 20
第二項 監管模式高效化 24
第三項 懲罰力度加重化 26
第四項 歐盟一般資料保護規則之其餘規定：保有自主性 26
第三節 歐盟資料保護制度之域外效力分析 28
第一項 歐盟資料保護制度之域外立場 28
第二項 個人資料於第三國之保護 29
第三章 「自設計著手保護個資」（DATA PROTECTION BY DESIGN） 32
第一節 「自設計著手保護個資」基本概念之提出 32
第一項 個人資料保護及隱私權之演變 32
第二項 「自設計著手保護個資」基本概念之提出及法制化發展 33
第二節 「自設計著手保護個資」之原則探析 36
第一項 注重個資的預保護 37
第二項 以設計為個資之重要保護手段 38
第三項 對資料的完整週期進行全局性的保護 38
第四項 始終保持高度的透明度 39
第五項 以資料主體為中心 40
第三節 歐盟一般資料保護規則中的「自設計著手保護個資」 40
第一項 歐盟一般資料保護規則中關於「自設計著手保護個資」之條款分析 40
第二項 「自設計著手保護個資」之實踐價值分析 42
第四節 「自設計著手保護個資」之評價 44
第四章 「個資保護影響評估」（DATA PROTECTION IMPACT ASSESSMENT） 48
第一節 「個資保護影響評估」基本概念之提出及法制化發展 48
第二節 個資保護影響評估之基本主體及過程分析 51
第一項 個資保護影響評估之主體 51
第二項 個資保護影響評估之過程分析 53
第三項 個資保護影響評估對個資保護之運作方式 56
第四項 個資保護影響評估之特點 58
第三節 歐盟一般資料保護規則中的「個資保護影響評估」 60
第一項 歐盟一般資料保護規則中關於「個資保護影響評估」之條款分析 60
第二項 「個資保護影響評估」之評價 63
第五章 歐盟一般資料保護規則之「預保護」機制對產業之影響分析 67
第一節 「自設計著手保護個資」與「個資保護影響評估」之聯繫與區隔 67
第一項 「自設計著手保護個資」與「個資保護影響評估」之聯繫 67
第二項 「自設計著手保護個資」與「個資保護影響評估」之區隔 71
第三項 「自設計著手保護個資」與「個資保護影響評估」於歐盟一般資料保護規則中之共同運作模式 74
第二節 歐盟一般資料保護規則之「預保護」機制對產業影響的基本類型及範圍 76
第一項 歐盟一般資料保護規則之「預保護」機制所影響之產業類型 76
第二項 歐盟一般資料保護規則之「預保護」機制對產業之內部影響 79
第三項 歐盟一般資料保護規則之「預保護」機制對產業之外部影響－以貿易為主 83
第三節 相關產業案例分析──以中國大陸「華為」為例 87
第六章 基於「自設計著手保護個資」與「個資保護影響評估」的產業影響之因應措施：代結論 95
第一節 歐盟一般資料保護規則之「預保護」機制對產業影響之產業自身因應 95
第一項 「自設計著手保護個資」之產業因應 96
第二項 「個資保護影響評估」之產業因應 100
第二節 歐盟一般資料保護規則之「預保護」機制對產業影響之國家因應措施 102
參考文獻 107

一、中文部分
（一）期刊論文
王秀哲（2015）。〈我國台灣地區個人資料立法保護評析〉，《理論月刊》，12期，頁96-101。
王秀哲（2017）。〈大數據時代公共安全領域個人信息保護的政府責任〉，《理論探討》，4期，52-56。
王融（2017）。〈我國「個人信息保護法」立法前略〉，《信息安全與通信保密》，3期，頁89-93。
石興亞（2013）。〈歐盟 JRC 發布「RFID 標籤－隱私威脅與對策」分析報告〉，《科技法律透析》，5期，頁4-5。
朱煒玲（2011）。〈物聯網移動RFID系統隱私保護方案〉，《系統工程理論與實踐》，10期，頁119-123。
何治樂，黃道麗（2014）。〈歐盟「一般數據保護條例」的出台背景及影響〉，《信息安全與通信保密》，10期，72-75。
李維揚（2018）。〈通過設計保護隱私〉，《信息安全與通信保密》，1期，頁32-42。
李婉萍（2011）。〈隱私暨個人資料保護與管理工具介紹（一）－隱私衝擊分析〉，《科技法律透析》，7期，頁18-23。
林其樺（2017）。〈因應 2018 年 GDPR，歐盟將推資料保護衝擊影響評估〉，《科技法律透析》，6期，頁6-8。
迪莉婭（2016）。〈大數據環境下隱私洩露影響評估研究〉，《情報雜誌》，4期，頁141-146。
徐彪豪（2016）。〈物聯網時代的資料保護防線－以歐盟 GDPR 為中心（Bottom Line of Data Protection in the Time of IoT- Perspectives from EU GDPR）〉，《科技法律透析》，10期，頁56-71。
桂暢旎（2017）。〈歐盟「通用數據保護法案」的影響與對策〉，《網境縱橫》，7期，頁90-93。
郭戎晉（2017）。〈隱私法制新趨勢—從設計著手保護隱私（Privacy by Design）〉，《科技法律透析》，8期，頁38-44。
陳佳樂（2017）。〈大數據視域下的個人信息保護〉，《法制博覽》，3期，頁59-60。
陳星（2016）。〈大數據時代個人信息權在我國民法典中的確立及其地位〉，《北京行政學院學報》，6期，頁1-9。
彭星（2016）。〈歐盟「一般數據保護條例」淺析及對大數據時代下我國徵信監管的啟示〉，《武漢金融》，9期，頁42-45。
楊芳（2016）。〈我國個人信息保護法立法模式思考〉，《雲南大學學報法學版》，4期，頁85-91。
劉雲（2017）。〈歐洲個人信息保護法的發展歷程及其改革創新〉，《暨南學報（哲學社會科學版）》，2期，頁72-84。

（二）學位論文
彭飛（2013）。《海峽兩岸個人信息隱私權保護比較研究》，復旦大學法學院碩士學位論文，上海。
楊陽（2014）。《歐盟「個人資料隱私保護指令」域外效力研究》，中國政法大學國際法學院碩士學位論文，北京。
楊一澤（2017）。《歐盟個人數據保護條例適用研究》，哈爾濱工業大學人文社科與法學學院碩士學位論文，黑龍江哈爾濱。

二、外文部分
（一）期刊論文
Anna Romanou. (2018). The necessity of the implementation of Privacy by Design in sectors where data protection concerns arise. Computer Law & Security Review, 34, 99-110.
Alan Toy. (2013). Different Planets or Parallel Universes: Old and New Paradigms for Information Privacy. New Zealand Universities Law Review, 25, 938.
Alessandro El Khoury. (2015). The Safe Harbour Is Not a Legitimate Tool Any More. What Lies in the Future of EU-USA Data Transfers? European Journal of Risk Regulation, 6, 659.
Andrew Beale, Sue Ratcliffe, Andrew Tettenborn. (2017). The protection of data in our digital age. Journal of Business Law, 6, 461-472.
Bartosz M. Marcinkowski. (2013). Privacy Paradox(es): in Search of a Transatlantic Data Protection Standard, Ohio State Law Journal, 6, 1188-1189.
Bilal Ghafoor. (2013). Anything but data sets - challenges with anonymisation. Freedom of Information, 10(2), 6-9.
Carla L Reyes. (2011). WTO-Compliant Protection of Fundamental Rights: Lessons from the EU Privacy Directive. Melbourne Journal of International Law, 12, 141.
CHEN Kuan-Lin, YANG Chung-Huang. (2016). Design and Implementation of Privacy Impact Assessment for Android Mobile Devices. ZTE Communications, 14, 37-43.
Christian M. Hoerter, Nils Feyel, Alexandria Awad. (2015). The Smart Grid: energy network of tomorrow - legal barriers and solutions to implementing the Smart Grid in the EU and the US. International Energy Law Review, 8, 291-300.
Christopher Kuner. (2017). REALITY AND ILLUSION IN EU DATA TRANSFER REGULATION POST SCHREMS. German Law Journal, 18, 881.
Colin Rooney. (2013). Things to do to prepare for the new Regulation. Privacy & Data Protection, 13(3), 5-7.
Curtis McCluskey. (2017). How will the GDPR affect FOI law? Freedom of Information, 13(5), 8-10.
David Wright. (2011). Should Privacy Impact Assessments Be Mandatory? Communications of the ACM, 54(8),124-125.
Daniel Drewer, Vesela Miladinova. (2017). The BIG DATA Challenge: Impact and opportunity of large quantities of information under the Europol Regulation. Computer Law & Security Review, 33, 298-308.
David Wright, Raphaël Gellert, Serge Gutwirth, Michael Friedewald. (2011). Precaution and privacy impact assessment as modes towards risk governance. Development & Change, 34 (5), 789–808.
David Wright, Paul de Hert. (2012). Privacy Impact Assessment. Privacy & Data Protection, 12(5), 14.
David Wright. (2012). The state of the art in privacy impact assessment. Computer Law & Security Review, 28, 54-61.
E. Piatkowska, A. Bajraktari, D. Chhajed, P. Smith. (2017). Tool support for data protection impact assessment in the smart grid. Elektrotechnik & Informationstechnik,134, 26–29.
Eva Lievens, Simone van der Hof. (2018). The importance of privacy by design and data protection impact assessments in strengthening protection of children's personal data under the GDPR. Communications Law, 23(1), 33-43.
John G. Boufford. (1998). PRIVACY ON THE INFORMATION HIGHWAY. University of New Brunswick Law Journal, 219.
Kees Jan Kuilwijk. (2000). Recent developments in E.U. privacy protection regulation. International Trade Law & Regulation, 6(6), 200-206.
Krisztian Kecsmar. (2003). Contractual solutions to the transfer of personal data from Europe to third countries without providing an adequate level of protection: inventory. International Business Law Journal, 3, 269-284.
Krysia Oastler. (2018). GDPR series: how to engage third party suppliers in a GDPR-compliant way. Privacy & Data Protection, 18(3), 3-6.
Laura Scaife. (2017). General Data Protection Regulation: the principles and grounds for processing. Compliance & Risk, 6(5), 6-9.
Laura Dietschy. (2018). GDPR series: new obligations on data processors. Privacy & Data Protection, 18(4), 6-8.
Lee A. Bygrave. (2017). Data Protection by Design and by Default: Deciphering the EU’s Legislative Requirements. Oslo Law Review, 4, 105-120.
Manish Kumar Soni. (2017). GDPR series: data security and response planning. Privacy & Data Protection, 17(7), 3-7.
Matt Harris, Peter Given. (2014). Privacy issues and drones: preparing for take-off. Privacy & Data Protection, 15(2), 7-9.
Marek Szydlo. (2017). The independence of dataprotection authorities in EU law: between the safeguarding of fundamental rights and ensuring the integrity of the internal market. European Law Review, 42(3), 369-387.
Marios Koutsias. (2012). The international reach of European Union data protection law and the United States: is international trade in a "safe harbour"? International Trade Law & Regulation, 18(2), 31-45.
Mark Webber. (2016). The GDPR's impact on the cloud service provider as a processor. Privacy & Data Protection, 16(4), 11-14.
Milda MaCenaite. (2017). The “Riskification” of European Data Protection Law through a Two-Fold Shift. European Journal of Risk Regulation, 8, 506.
Monica Salgado. (2013). PIAs and privacy by design - using them to your advantage. Privacy & Data Protection, 13(8), 3-5.
Muharem Kianieff. (2012). The Evolution of Consumer Privacy Law: How Privacy by Design Can Benefit from Insights in Commercial Law and Standardization. Canadian Journal of Law and Technology, 1.
Nick Graham. (2012). Data protection and privacy. Compliance Officer Bulletin, 98(Aug), 1-26.
Nicola Flannery. (2017). GDPR series: a design for life? Designing the future of privacy. Privacy & Data Protection, 17(5), 3-5.
Nicola Fulford, Krysia Oastler. (2016). A practical guide to impact assessments. Privacy & Data Protection, 16(7), 5-7.
Ozan Karaduman. (2017). The General Data Protection Regulation: Achieving Compliance for EU and non-EU Companies. Business Law International, 18(3), 225.
Paolo Balboni, Milda Macenaite. (2013). Privacy by design and anonymisation techniques in action: Case study of Ma3tch technology. Computer Law & Security Review, 29, 330-340.
Robert Bond, Alexander Dittel, Bristows LLP. (2017). Data protection codes of conduct hitting the fast lane under GDPR. Compliance & Risk, 6(3), 2-6.
Robert Kirk Walker. (2012). The Right to Be Forgotten, Hastings Law Journal, 64, 8.
Roger Clarke. (2009). Privacy impact assessment: Its origins and development. Computer Law & Security Review, 25, 123-135.
Rolf H. Weber. (2012). Regulatory Autonomy and Privacy Standards under the GATS. Asian Journal of WTO & International Health Law & Policy, 25.
Sana Khan. (2016). Practitioner's insight into the new EU Data Regulation. Compliance & Risk, 5(1), 6-11.
Samantha Sayers, Kayleigh Clark. (2017). GDPR series: demystifying DPIAs. Privacy & Data Protection, 17(6), 3-5.
Stefano Varotto, Colin James. (2015). The European General Data Protection Regulation and its potential impact on businesses: some critical notes on the strengthened regime of accountability and the new sanctions. Communications Law, 20(3), 78-85.
Stefano Varotto. (2016). The Schrems decision, the EU-US Privacy Shield and the necessity to rethink how to approach cross border personal data transfers at global level. Communications Law, 21(3), 78-87.
Stephanie Pritchett. (2012). Data protection impact assessments: look before you leap. Privacy & Data Protection, 12(6), 11-14.
Stephanie Pritchett. (2014). Care.data - why should we care? Privacy & Data Protection, 14(4), 14-16.
Stephanie Pritchett. (2015). Data Protection and Privacy: Jurisdictional Comparisons. Privacy & Data Protection, 15(4), 15.
Tanguy Van Overstraeten, Alana Van Caenegem. (2013). EU: data protection. Computer and Telecommunications Law Review, 19(2), N21-N23.
Teresa Scassa. (2010). Information Privacy in Public Space: Location Data, Data Protection and the Reasonable Expectation of Privacy. Canadian Journal of Law and Technology, 193.
Thierry Dor, Dane Rimsevica. (2016). Changes introduced by the General Data Protection Regulation. Computer and Telecommunications Law Review, 22(1), 5-8.
Thomas Hoppner, Anastasia Gubanova. (2015). Regulatory challenges of the internet of things. Computer and Telecommunications Law Review, 21(8), 227-233.
Winston J. Maxwell. (2012). Data privacy: the European Commission pushes for total harmonization. Computer and Telecommunications Law Review, 18(6), 175-176.

三、網頁部分
European Commission，https://ec.europa.eu/commission/priorities/justice-and-fundamental-rights/data-protection/2018-reform-eu-data-protection-rules_en（最後瀏覽日：2018/03/20）。
蘋果日報，https://tw.appledaily.com/new/realtime/20160315/816158/（最後瀏覽日：2018/03/20）。
世界互聯網的發展史，https://www.wenku1.com/news/7DC3ECB680E7C576.html（最後瀏覽日：2018/04/07）。
全球互聯網發展前三名美中韓，http://www.chinatimes.com/newspapers/20171205000045-260202（最後瀏覽日：2018/04/07）。
Convention for the Protection of Individuals with regard to Automatic Processing of Personal Data, https://rm.coe.int/CoERMPublicCommonSearchServices/DisplayDCTMContent?documentId=0900001680078b37（最後瀏覽日：2018/04/07）。
GDPR Key Changes， https://www.eugdpr.org/the-regulation.html（最後瀏覽日：2018/04/13）。
史上最嚴資料保護令GDPR來了，https://www.microsoft.com/taiwan/security/gdpr/（最後瀏覽日：2018/04/13）。
GDPR有多狠？如果施行ICO去年罰金將達到6億人民幣，http://www.aqniu.com/industry/24703.html（最後瀏覽日：2018/04/13）。
聖島智慧財產專業團體，http://www.saint-island.com.tw/TW/News/News_Info.aspx?IT=News_1&CID=266&ID=1040（最後瀏覽日：2018/04/13）。
FinancierWorldwide 。https://www.financierworldwide.com/the-role-of-third-parties-in-the-data-protection-directive/#.WyuQbRIzbVo（最後瀏覽日：2018/04/13）。
MARTECHTODAY，https://martechtoday.com/privacy-design-deeper-dive-gdpr-requirement-212463（最後瀏覽日：2018/04/13）。
Protecting Consumer Privacy in an Era of Rapid Change，https://www.ftc.gov/sites/default/files/documents/reports/federal-trade-commission-report-protecting-consumer-privacy-era-rapid-change-recommendations/120326privacyreport.pdf（最後瀏覽日：2018/04/16）。
How will the new EU-US privacy shield fit with the upcoming General Data Protection Regulation? https://www.scmagazineuk.com/how-will-the-new-eu-us-privacy-shield-fit-with-the-upcoming-general-data-protection-regulation/article/531527/（最後瀏覽日：2018/04/16）。
ResearchGate，https://www.researchgate.net/publication/220419848_Should_Privacy_Impact_Assessments_Be_Mandatory（最後瀏覽日：2018/05/25）。
新浪科技，http://tech.sina.com.cn/it/2018-05-28/doc-ihcaquev4487108.shtml（最後瀏覽日：2018/05/25）。
RFID世界網，http://news.rfidworld.com.cn/2017_07/81965d6d7a8215ff.html（最後瀏覽日：2018/05/25）。
網易財經，http://money.163.com/13/1125/09/9EH3RF5M00253B0H.html（最後瀏覽日：2018/06/01）。
RFID世界網，http://news.rfidworld.com.cn/2017_06/91675921d074aa2f.html（最後瀏覽日：2018/06/01）。
中時電子報，http://www.chinatimes.com/cn/newspapers/20170808000146-260205（最後瀏覽日：2018/06/02）。
搜狐科技，https://www.sohu.com/a/231179639_431078（最後瀏覽日：2018/06/02）。
壹讀，https://read01.com/zh-tw/RnRjG6Q.html#.WxqoCVOFPLa（最後瀏覽日：2018/06/02）。
iThome，https://www.ithome.com.tw/news/88081（最後瀏覽日：2018/06/02）。
德勤商務法律事務所，https://www2.deloitte.com/tw/tc/pages/legal/articles/taiwanbusiness-gdpr-compliance.html（最後瀏覽日：2018/06/02）。
雪花新聞，https://www.xuehua.us/2018/05/25/最严数据保护法gdpr今日生效-华为云将发布开放数据/zh-tw/（最後瀏覽日：2018/06/04）。
中國日報中文網，http://tech.chinadaily.com.cn/2018-05/25/content_36271915.htm（最後瀏覽日：2018/06/04）。
HUAWEI: Privacy and GDPR, http://www.huawei.com/us/privacy-and-gdpr（最後瀏覽日：2018/06/04）。
HUAWEI，http://www.huawei.com/cn/about-huawei/corporate-information/milestone（最後瀏覽日：2018/06/04）。
風傳媒，http://www.storm.mg/article/442109（最後瀏覽日：2018/06/05）。
EU GDPR Compliant，https://eugdprcompliant.com/what-is-data-subject/（最後瀏覽日：2018/07/02）。
財經頭條，http://t.cj.sina.com.cn/articles/view/6453182099/180a3be93001005hrj（最後瀏覽日：2018/07/02）。

四、判決部分
芬蘭法院判決：Appl. No. 20511/03, Judgment of 17 July 2008.