【FTS新創講座】
數據共享如何同時兼顧隱私保護
日期：2020年9月14日 (ㄧ) 13:30-17:00
地點：金融科技創新園區 百人空間
開場
數據共享如何兼顧隱私保護
如何做到數據共享
主題一 Sean Shih 施律師
全球隱私保護發展趨勢、GDPR只是起點非終點
金融機構案例1
capital one 被罰8千萬美元
- 理由是2015年把IT service放在公有雲。但沒有做風險控管
金融機構案例2
- 2020 Morgan Stanley 被罰500萬美金 Data Breach Suit
- 資料沒加密導致外洩、被發現後花了1年才報告(過於遲延)
因為資料被罰
- 2019 FTC's $5B 美金罰款
- 消費者選最嚴隱私設定但還是出現在第三方開發者
- 第三方是否對消費者有足夠保護(沒查核)
- 照片辨識功能(FB by Default 都開啟，消費者被誤導)(要求提供電話號碼說為了安全卻提供給廠商
要求設立獨立Committee (independent Privacy Committee)
Data Privacy的灌注議題
歐洲法案關於跨境傳輸
- 歐盟在境內蒐集的資料如果要送境外是禁止的除非歐盟執委會認為是安全的
- 企業需簽訂歐盟執委會契約條款規範雙方權利義務，申請集團BCR (集團內部自由移轉)
- 特別例外 隱私保護護盾(EU-US privacy shield) and Stamdard Contractual Clauses (SCCs)
- Schrems II (Case C-311/18)判決認為上述仍然無效，必須評估當地政府對法規的要求
衝擊
- 5000家參與EU-US Privacy Shield都受影響
- 受影響最大的就是大型科技公司、高度監管行業(金融、醫療照護)
- 美國再進行新的一輪協商
效應
- SCCs仍然有用、但必須證明第三國法制
- Binding Corporate Rules BCRs 本來就是跨境傳輸的標準(歐盟)是目前相對安全作法
- Deogation、去識別化、解密金鑰留在歐洲境內、重要資料流歐洲=>實務上仍不可行
GDPR Review
- 已滿2年、超高額罰款(4%)、72小時內要做個資通報、特定企業要有DDO、DDIA評估
- 被遺忘權、automation decision making and profile
- Main Finding
- 目前無修正必要、但人力資源不足
- 歐盟彼此間協調安排不夠、雖適用歐盟各國但給大家解釋空間、但發生解釋不一致
- Action Plan
- 發布更多guild line
GDPR
- 有340件處罰案例
- 英國是處罰金額第一名
- 罰款最高企業 Marriot、Google(罰5000萬歐元)、FB(5 Billion)
美國最關注話題
- 加州CCPA、CPRA
美國US Privacy Law
- 沒有聯邦層級規範、主要是行業別
- CCPA為何重要(美國第一部最像GDPR的法規、是美國各州效法模板、加州是全世界第五大經濟體)
- CCPA在202001生效 由美國法務部頒布
CCPA Requirement
- 消費者可要求經營者不要賣他的資料，sale的定義是廣泛的定義，sale的定義包含資料交換
- vendor可以提供資料但必須在合約中對資料運用有限制
CPRA or CPRA 2.0
- 今年大選選票納入調查
亞洲狀況
- 澳洲、香港、新加坡 是遵循OECD 8個原則
- 其他國家新法規難免受GDPR影響
- 亞洲許多國家正在研擬
結論
- 資料隱私是正在發展的領域、GDPR不是結束、而是開始
羅至善
數位金融下思考定位
國際趨勢: 全球14個政府推動open baking政策、目的: 支付透明、普惠金融、創新機會、數位經濟
產業層級: 提升競爭力吸引金融創新人才、強化在地創新能量、將金融科技發展視為推動數位經濟重要基石
機構層級: 透過建構數據發放策略、力保市場定位、強化自身數位競爭力
歐美推動負責任創新及數據共享
歐美
美CFPB、歐盟PSD2&RTS、英國OpenBanking
亞洲 個人金融數據權、三方關係
新加坡(My Info、SinPass、CorpPass)、澳洲(CDR)、香港(中央個人資料庫KYC Utilities、KYCU)
國外趨勢2:數位金融四大新商業模式
A. Full Service 權自足服務(主攻型)(定位在市場全自營自製自銷、但封閉式金融服務減縮)、
B. Utility元件提供者(支援型)(定位在金融元件中上游供應商、機會在跨域產業數位金融服務)、以遠銀信託為例、PaymentGateway、KYC Credit
C. Supplier商品服務提供者(支援型)(定位在金融商品設計與供應者、機會在通路合作網路)、眾安車禍險、永豐分群產品策略、(個人化信貸、客製化理財、創新保單)、分眾產品研發力、金融數據共享機制、金融API
D. Interface 平台介面提供者(主攻型)(定位在金融開放平台營運商、機會在擴大跨業服務場域)、自組生態
產業現況
三大驅動力: 數位市場(核身)、數位監理(數據治理)、數位生態(夥伴管理)
數位監理為全民運動
- ekyc : 身分驗證、KYC、身分識別、法尊流程、驗證強度、法尊流程數位化
- 市場資訊即時監理
- 防詐欺預警
- 開放銀行
個人數據可攜
- 對第三方業者的核規應跳脫1對1關係、應由獨立機構協助雙方進行合作
- Account based (第三方數位帳號認證強度評估、帳戶價值評估)
- Api-based ( 開放銀行政策、數據分類: 開放、帳號個人資訊、行為數據、帳號交易數據、交易資訊)
開放金融改變金融服務市場發展流程
- FIN(執照/產品/市場)=>FINTECH(市場/產品/監理沙盒與自律規範/執照)=>OpenBanking/Finance(TSP/市場/資格取得/金融API/新產品)
- 各自的流程不同，無法一步到位
創新試辦
- 單一流程實證
- 產出關鍵API建議版本
- 多元情境實證
- 可商業化應用情境
- 產業網路實證
- 商業化建議
創新生態三大關鍵元素
- 氣業數位共識發展(數位策略)
- 金融數據合規共享(數據交換無塵室)
- 金融開放創新生態(企業家速器)
數據合規共享:數據交換無塵室
- 跨金融、電信、社群、行動、零售、店商客戶交換數據
長期目標
國內案例實戰分享 國際通商法律事務所邱珮冠
前言
[銀行]銀行法48條第二項: 銀行資料不可告訴別人，除非主張他不是客戶資料(去識別化)
[銀行與新創] 台灣個資保護法第8條第二項/第19條第1項 : (蒐集、拿到、處理、利用)、目的內與目的外、消費者在銀行開戶是否有想到資料會被拿去做數據建模、
[金控]金控法42條、銀行證劵保險不方便做透過金控來做?在法規認定比其他單位做更合法? 金控要蒐集子公司資料甚至分析完要倒回子公司都有嚴格規定
應用
銀行證劵保險金控想拿更多數據來分析、新創有很好的APP與客戶累積許多數位足跡想將這些資訊與金融機構交換
如何創造價值也符合法規
可能運用情境(出戶、他方數據、建模、分析結果)
- 出戶倒異業合作(他方為金控內子公司、在金融業金建模、金控與子公司是否可相互分享)
- 出戶至金控(他方為金控外一般國內公司、在金融葉子公司建模、分析後之重新識別與貼標)
- 出戶至金控金融子公司(他方為金控海外子公司、在金融業雲端建模、是否可與異業分享)
- 出戶至金控非金融子公司(他方惟一般海外公司、在第三方建模、分析目的是否影響法規適用)
- 出戶至雲端(在他方建模、海外分析可否回國內使用)
- 出戶至海外子公司(何時需要課戶同意)
問題
- 在第三方可行、但是否有數據無塵室的規格
- 誰可以分享結果? 金控分析完可否跟各子公司分享? 銀行可否給金控分析完後給其他公司分享?
- 台灣金管會還沒意識到數據建模等領域正在新興發展
新創/科技業者把資料給金融機構的注意事項
- 檢視自己的隱私權條款
- 是否在特定目的範圍內
- 是否符合APP上架條款
- 是否有非台灣人個資(導致必須適用美國或歐盟GDPR)
- 商業合作夥伴(注意商業合作條件、公不公平、合不合法)
金融業者取得第三方數據注意事項
- 不得增加個人標籤
- 審視第三方業者隻個資個知識項及隱私權條款、或可請業者出具合法取得聲明書
- 確認取得者為各資或數據
- 分析結果注意偏誤及歧視問題(注意欄位選擇)(男性與女性授信標準不同是否因樣本母體或參數問題)(避免涉及歧視偏誤問題)
如何建造去識別評估方法-中研院 黃彥男主任
前言
過去與工研院與資策會合作open data 去識別化的工作
資料分享都會遇到隱私保護的問題
AIOT機會
- Data (IOT、5G、AI)...
問題
- 法規、安全、道德、效率、隱私
敏感資料如何適當保護
- 去識別化
- 199X年 美國麻州放出資料(就醫資料去除人民)(留下生日、郵遞區號、性別、就診資料)，美教授透過此資料搭配競選資料找出麻州州長病例衍生紛爭
- 郵遞區號、生日、姓別都可以被識別(可議辨識出95%)
去識別化
- 國家標準CNS 29100
方法
- 直接識別、間接識別
隱私保護/去識別化技術
- 加密Encryption、匿名化Anonymization、Access Mediation(multiple queries)、Adding Noise(差分隱私、Differential Prvacy)、Machine Learning(透過學習產生合成資料但保留資料特性、Autoencoder、Federate Learning)
隱私保護技術(以k-anonymity為例)
- 一個資料可以找到k組類似
差分隱私
- 透過不斷的問項統計會洩漏出許多機密，因此在回答時要加入噪音(雜訊)
去識別化驗證輔導內容
- 幫助業者去識別化並評估效果
Data Re-identification Risk
- Other public datasets and information公開資料
- NonPublic dataset: 不是公開但卻是公司的個別資料
- Personally observed information
隱私風險評估 k level
- L-Diversity
- K個人的敏感資料至少要有L種數值(數值分散)
建構金融與跨域數據合作的無塵
調查網路APP應用
- 台灣各APP類型中金融類占網路使用人口40%
跨域數據價值共享之產業效益
- 金融機構(大早創新金融服務、擴大應用範圍、信用評分服務優化、數據隱私保護機制建立)
- 第三方服務提供者(金融數據合作建構新商模)(User Consent-Based 提供必要蘭為保護消費者數據)
- 使用者(適當且合理獲得更好場景金融服務)僅提供必要個人資訊
案例
- 串接數據，銀行跨足小微借貸數據
- Webank
- Kaggle信用卡交易詐欺偵測
數據交換三場景
- 數據供需媒合(雙方交換)
- 商業可行性實驗(雙方串接)
- 數據開放(單向出戶)(加值分析應用)
跨域數據交換實驗目的
- 客戶同意前
- 數據以去識別=>數據合歸檢測器=>(數據交換無塵室)(實驗目的: 跨域預測模型)
- 數據無塵室服務架構=> ISO 27001
- 讓跨域數據可以共享且風險可控合規
- 賦能分析實證
- 提供A方B方數據建模
數據無塵室
- 中研院、ISO、TSP業者、法規顧問、價值共享
Q/A 去識別化的方法
- 律師
- 分析場合要看公司在法規上是否被核准、有沒有涉及委外，不是課戶同意即可，要看金融法規個別規定
- 即使你只是回到個資法，金融48條第二項，沒有說客戶同意銀行就可以不保密，第二階段消費者可攜權為何還要試辦因為台灣法規不是消費者同意就可以做所有的事
- 例如行銷與風險管理要看金控的規定
Q/A 在數據交換中再回來識別是存在，這樣繼續下去就沒辦法去識別交換，是否還有一些方法，放寬或合理化去識別化
- 中研院
- 看目的，例如財稅中心要資料算國民平均所得，不能拿報稅資料，如果不是用在個人，就可以放寬，例如1萬人資訊但保留1千萬人的資訊
- AI的問題是必須要到個人因此必須要做個別的去識別化，one2one mapping的風險，這時就要估計其風險
- 有些技術可以用數值化判斷其風險
- 可以透過加noise(例如知道一個區域的速度資料但不知道個別的速度資料)(
- 羅
- 透過實體安控、無法透過一個識別工具one fit all、他是一整套的解決方案(整合法規+領域應用+去識別工具的挑選)
Q/A 國外GDPR環境下，大家在選填我已經閱讀與願意，企業端平台端要提供因為提供服務而跟客戶要資訊，客戶是否有部分拒絕的權利，是否不要零合，可以有部分授權的機制?
- 律師
- 以GDPR的標準，他的同意是有條件(specific、很清楚地告知、小學生可以理解的告知訊息)
- 建議可以透過icon或階層式提供
Q/A [現場提問]李開復說曠世科技取得螞蟻金服大量數據並取得商業化方向，請問人臉算不算重要個資，如果是的話，我們在社群放的照片的問題? 目前人臉有沒有技術可以管制? 法規有沒有安全相關的管制?
- 律師
- 臉部辨識在西方國家是非常敏感的議題，英國或歐美警方執法單位很希望可以運用來執法，但使用上當然有疑慮，在GDPR下，CCTV要寫一個牌子說我有在錄影，在法規層次對於個資來說有區分不同程度(一般性個資與敏感性個資)(像指紋與虹膜)在GDPR要看目的，是否用在辨識人就算是個資
- 台灣有對這部分法規，目前還沒有特定針對臉部辨識的法規，但國外芝加哥(伊利諾州)有立biometic infomtion act，提到使用人臉需要取得消費者同意，因次要求臉書賠償上百萬消費者(每個人幾百元和解金)
- 教授
- 現在臉部辨識技術成熟( Google photo、Facebook)
- 現在也發展一些技術讓辨識辨識不出來
- 國外也立法不准使用影像辨識
- 羅
- 鼓勵申請iso27001 or iso27701(數據)
- 擷取很難避免及如何管理才是重點
- 目前科技部有人工智慧科研發展Guideline
- 建議廠商只擷取feature不要擷取影像
Q/A[現場提問]是否有機會由中央提供類似新加坡的API
- 羅
- 金管會最近有提出路徑圖，內政部提出EID、F-FIDO(financial FIDO)(運用自然人憑證等) TAIWAN FidO 臺灣行動身分識別
- 國發會也有Mydata 目前是給到政府部門，做個人識別是最關鍵的點
Q/A[現場問題]請教GDPR個人資料會不會流到境外問題，如果個人資料存在雲端到底是以公司所在地還是Datacenter所在地? 跨境資料分析，委外到其他地方，金管會說當地監管強度不可低於我國，與剛剛拿到境外監管弱的地方分析等論述，是否有矛盾
- GDPR跨境傳輸由一方傳遞到另一方，因此他看的是所在地，因此第三方雲端服務供應商的雲端機房放在哪裡，歐盟境內或境外，一些第三方服務供應商也提供歐盟境內的entity
- 台灣金融機構在越南東京泰國，如果要做數據分析可以挑泰國分行來做，是因為當地法規較鬆，但限定用泰國當地的資料或當地客戶，不過國外法規沒有規定是否可以把模型拿回來台灣用，有些金融機構從海外分析完拿到台灣，不過也碰到很多困難
- 金融機構委外雲灣(要拿到當地金檢查核，或當地律師出具法律意見)(主管機關表示兩邊地方都要拿法律意見)(因為法規問題，建議從最保守角度來看)
Q/A[現場]區塊鏈公司詢問，數據檔案改成hash值存在區塊，請問hash是否個資，另外區塊鏈是否受各國法規限制
- 羅
- 區塊鏈在做存證，是把行為軌跡放區塊鏈，但數據並不會放在區塊鏈，住要是用在監理，軌跡會hash上鏈，但個資不會放
- 中研院
- 看目的，如果把區塊鏈當data base來看，也是要考量個資
- 律師
- 從GDPR來看，第一在歐盟穩定營運(establish)就算，第二是針對歐盟境內的居民
沒有留言:
張貼留言