大數據與智慧運算技術，造就資料公共治理與商業應用的時代。所謂資料公共治理，是指運用部分由政府所掌握之資料數據，將新思路、新理念和新技術運用實踐於公共領域上以解決社會問題，在開放商業應用的同時，也提升人民福祉。隨著公部門對外釋出去識別話後的個人數據，再由企業透過整合、創新實證與跨領域合作，台灣產業即將迎來「質的飛躍」的可能性。
精準醫療、健康聯網及純網銀，為當前資料公共治理時代下的三大寵兒，寄託著台灣身為資訊科技島國產業崛起的希望。與一般產業不同的是，這些寵兒產業的基礎是奠基在敏感的個人數據之上，因此涉及的法律與道德問題也更形複雜。一來，此類個人資訊過於敏感，遠非一般個人的消費或行為面資訊，對產業需求而言卻又是必要的資料；其二，資訊的全部或其中部分為公部門所擁有，其資訊蒐集的目的、使用範圍必須重新定義；最重要的是，與交通觀光、智慧城市或 IoT物聯網等領域應用範圍以國內為主不同，此類領域往往還涉及資料本身的可攜性與跨國傳輸，因此法令的調適必須有前瞻性的眼光。
以精準醫療為例，隨著基因體檢測技術的進步，配合電子病歷、癌症登記資料以及台灣特有的健保資料庫，台灣精準醫療科技的崛起指日可待。然而，若僅倚靠國人的基因體與醫療資訊進行技術開發，而無法與他國的醫療資料相互整合、分析比對，在新醫療科技的研發上勢必會遭遇瓶頸。同樣的狀況也出現在健康聯網、創新金融等領域。運動、飲食與保健習慣與國家人種、民族文化、地域氣候，甚至信仰息息相關，唯有完整的資訊庫，智慧穿戴裝置的設計與數據分析方能完善。在台灣的新住民與移工合計已突破百萬人，成為創新金融可能的新藍海，包括為新住民與移工量身打造匯兌、理財與新型態保險服務。但倘若缺少跨國家庭的所得、資產配置、稅籍甚至健康資訊，金融界所期盼的新南向金融，將始終差那最後一步。
資料本身的開放、可攜性、跨境傳輸，對全球各國而言都是持續發展中的課題。我國個人資料保護法第21條雖有針對資料國際傳輸之相關規範，然僅採取簡易的負面表列以限制特殊狀況，涉及個人敏感資訊仍須回到各領域法規予以規範。歐盟一般資料保護規範 (General Data Protection Regulation；GDPR) 於2018年5月25日正式生效。這項號稱全球最嚴格的個資保護與應用法規體系自 2016 年發布時，已然成為世界各國制定個資蒐集與使用政策的法規調適參考依據。同時，我國也在 2018 年加入以親美系國家為主的APEC跨境隱私保護規則 (Cross-Border Privacy Rules, CBPR) 的成員。然而無論是 GDPR 或 CBPR ，無不強調對於資料跨國傳輸時，各國協約與相互尊重的精神。
當前，我國針對個資的國際傳輸規範仍在摸索與探究中，一邊學習國際經驗，一方面調適本國的法治架構。筆者認為，針對個資跨境傳輸，行政單位應緊抓三大原則：
原則一、相互尊重他國企業在本國的資料可近權
資料可近權 (Right to Access) 為 GDPR第 15 條所闡述的原則。當事人有權向資料控管者確認，其有權取得或近用個人資料及衍生資訊。外國企業來台，應與台灣本國企業擁有相同的資料可近權，不應有歧視或差別待遇。同樣的，我國應向他國要求相同的權利。
原則二、尊重國際雙方認同的資料傳輸格式
GDPR 第 20 條強調資料可攜權 (Right to Data Portability)。即當事人有權向資料控管者以具結構化的、使用共通性 (Commonly Used) 且機械性可讀 (Machine- Readable) 檔案格式，取得其所提供之開放資料。資料格式的設計，應尊重兩國雙方及所參與之跨國協約平台的互惠精神，亦可參考歐盟為數據資料處理的監管措施所提出的 EOSC 宣言條款（EOSC Declaration Action），強調資料的開放、應符合 FAIR 原則（Findable, Accessible, Interoperable, Reusable），亦即「可搜尋」、「可取得」、「可相互運用」、「可重複使用」之原則。
原則三、針對相關廠商資安等級的全面要求
以精準醫療為例，無論是民眾的就醫病例、基因體資訊或健保就診紀錄，皆為相對敏感的資訊。自2016年政府啟動生醫產業創新推動方案以來，隨著生物檢測技術開發與診斷系統的蓬勃發展，中小型新創企業已達數百家。允許醫療健康資訊進行國際傳輸時，如何同步落實對所有企業的資安監理，將是行政部門必須面對的考驗。
大數據與資料公共治理時代的來臨，對於身為科技島國的台灣而言，無疑是一個產業飛躍不可多得的機會。在產業起跑前，若能預先做好法令規劃、制定遵循原則，必能為台灣企業掃除創新的障礙。
＊作者為中國文化大學法律系教授
