● 欲參與【台北場1】通訊傳播事業實務專題講座的通傳會人員與轄管通訊傳播業者，可改至以下連結報名：https://stli.iii.org.tw/news-event.aspx?no=16&d=1336 〈時間：2025年11月21日（五）下午14:00-17:00，地點：台北集思交通部國際會議廳〉 ● 欲參與【台北場2】通訊傳播事業實務專題講座的通傳會人員與轄管通訊傳播業者，可改至以下連結報名：https://stli.iii.org.tw/news-event.aspx?no=16&d=1337 〈時間：2025年11月24日（一）下午14:00-17:00，地點：台北集思北科大感恩廳〉 1.如願收到本所電子報等訊息，惠請與會來賓點擊會員報名按鈕，以會員身分報名本活動。 2.如不願收到本所電子報等訊息，惠請與會來賓點擊非會員報名按鈕，以非會員身分報名。 3.因部分系統仍在調整中，可能會跳出電子報訂閱回函之確認信。如您並未訂閱電子報而仍跳出通知，請您不用擔心，本所不會以此寄送電子報。 近年隨著科技迅速的發展與3C產品使用習慣的改變，通訊傳播業者所蒐集、處理、利用的個人資料也隨之增加，所面臨的個資保護風險也因此上升。為避免個資事故的發生並遏止我國民眾遭受非法侵害，從業者個資保護與資安防護能力與意識的提升，對於個資保護採取管理，為降低個資風險的重要方式。我國所訂定之個資相關法律，要求通訊傳播業者採取適當之個資保護措施，使其具備與法相符之個資保護能力。依據個資法第27條第1項及同法施行細則第12條規定，非公務機關保有個人資料檔案者，應採行適當之安全措施，以防止個人資料被竊取、竄改、毀損、滅失或洩漏。 國家通訊傳播委員會為協助業者瞭解通訊傳播事業適用之個人資料保護法規之內容，特別於2025年11月21日、2025年11月24日、2025年11月27日舉辦「通訊傳播事業個資保護實務專題講座」。藉由個資保護實務專題講座課程，協助通傳會與轄管通訊傳播事業人員瞭解有關個資保護實務管理機制(含個資盤點)、案例說明(含裁罰案例及消費者個資爭議案例)、個資告知事項範本內容、跨境隱私保護管理機制等議題，以強化通傳事業對於個資實務的認識。 主辦單位：國家通訊傳播委員會 執行單位：財團法人資訊工業策進會科技法律研究所 時　　間：2025/11/27（四）14：00 - 17：00 議　　程： 時間 議題 講師 13:30-14:00 來賓報到 14:00-14:10 開幕致詞 國家通訊傳播委員會長官 14:10-15:00 個資保護實務管理機制 資策會科技法律研究所講師 觀看簡報 15:00-15:10 休息時間 15:10-16:00 案例解析 資策會科技法律研究所講師 16:00-16:10 休息時間 16:10-16:50 國際隱私法遵趨勢分享 資策會科技法律研究所講師 16:50-17:00 交流討論 個資保護實務管理機制 ↑回議程表 本活動因場地容量有限，如報名人數超出限制，將以報名優先順序決定，不便之處，尚請見諒。

● 欲參與【台北場1】通訊傳播事業實務專題講座的通傳會人員與轄管通訊傳播業者，可改至以下連結報名：https://stli.iii.org.tw/news-event.aspx?no=16&d=1336 〈時間：2025年11月21日（五）下午14:00-17:00，地點：台北集思交通部國際會議廳〉 ● 欲參與【台北場3】通訊傳播事業實務專題講座的通傳會人員與轄管通訊傳播業者，可改至以下連結報名：https://stli.iii.org.tw/news-event.aspx?no=16&d=1338 〈時間：2025年11月27日（四）下午14:00-17:00，地點：台北集思台大蘇格拉底廳〉 1.如願收到本所電子報等訊息，惠請與會來賓點擊會員報名按鈕，以會員身分報名本活動。 2.如不願收到本所電子報等訊息，惠請與會來賓點擊非會員報名按鈕，以非會員身分報名。 3.因部分系統仍在調整中，可能會跳出電子報訂閱回函之確認信。如您並未訂閱電子報而仍跳出通知，請您不用擔心，本所不會以此寄送電子報。 近年隨著科技迅速的發展與3C產品使用習慣的改變，通訊傳播業者所蒐集、處理、利用的個人資料也隨之增加，所面臨的個資保護風險也因此上升。為避免個資事故的發生並遏止我國民眾遭受非法侵害，從業者個資保護與資安防護能力與意識的提升，對於個資保護採取管理，為降低個資風險的重要方式。我國所訂定之個資相關法律，要求通訊傳播業者採取適當之個資保護措施，使其具備與法相符之個資保護能力。依據個資法第27條第1項及同法施行細則第12條規定，非公務機關保有個人資料檔案者，應採行適當之安全措施，以防止個人資料被竊取、竄改、毀損、滅失或洩漏。 國家通訊傳播委員會為協助業者瞭解通訊傳播事業適用之個人資料保護法規之內容，特別於2025年11月21日、2025年11月24日、2025年11月27日舉辦「通訊傳播事業個資保護實務專題講座」。藉由個資保護實務專題講座課程，協助通傳會與轄管通訊傳播事業人員瞭解有關個資保護實務管理機制(含個資盤點)、案例說明(含裁罰案例及消費者個資爭議案例)、個資告知事項範本內容、跨境隱私保護管理機制等議題，以強化通傳事業對於個資實務的認識。 主辦單位：國家通訊傳播委員會 執行單位：財團法人資訊工業策進會科技法律研究所 時　　間：2025/11/24（一）14：00 - 17：00 議　　程： 時間 議題 講師 13:30-14:00 來賓報到 14:00-14:10 開幕致詞 國家通訊傳播委員會長官 14:10-15:00 個資保護實務管理機制 資策會科技法律研究所講師 觀看簡報 15:00-15:10 休息時間 15:10-16:00 案例解析 資策會科技法律研究所講師 16:00-16:10 休息時間 16:10-16:50 國際隱私法遵趨勢分享 資策會科技法律研究所講師 16:50-17:00 交流討論 個資保護實務管理機制 ↑回議程表 本活動因場地容量有限，如報名人數超出限制，將以報名優先順序決定，不便之處，尚請見諒。

近年來金融科技迅速發展，金融機構及其委外資訊服務業者蒐集、處理或利用個人資料的範圍與數量持續攀升，涉及之資料類型亦日趨多元。隨之而來的資安威脅與個資外洩風險更形凸顯，顯示金融相關產業在面對網路攻擊與資訊外洩事件時，亟需強化個資保護與資訊安全管理機制，並持續精進內部控管與風險應變能力。 有鑒於此，數位發展部作為資服業者之中央目的事業主管機關，依據個資法第27條3項授權，訂定「數位經濟相關產業個人資料檔案安全維護管理辦法」（下稱個資安維辦法），提供資服業者遵守個資法相關規定、訂定個人安維計畫及採行適當安維措施之具體標準，協助資服業者能確保個人資料安全。 誠摯邀請資訊服務業者與會，共同掌握數位時代個資保護趨勢及作法。 主辦單位：數位發展部數位產業署 執行單位：財團法人資訊工業策進會科技法律研究所 時　　間：2025/11/21（五）15：00 - 16：30 議　　程： 時間 議程 主講人 14:30-15:00 報到 15:00-15:05 開場致詞 15:05-15:20 個資安維辦法宣導 資策會科法所 觀看簡報 15:20-15:40 資安案例分享 資策會資安所 15:40-16:20 個資安維計畫撰寫常見問題說明 資策會科法所 16:20-16:30 綜合討論 個資安維辦法宣導 ↑回議程表

● 欲參與【台北場2】通訊傳播事業實務專題講座的通傳會人員與轄管通訊傳播業者，可改至以下連結報名：https://stli.iii.org.tw/news-event.aspx?no=16&d=1337 〈時間：2025年11月24日（一）下午14:00-17:00，地點：台北集思北科大感恩廳〉 ● 欲參與【台北場3】通訊傳播事業實務專題講座的通傳會人員與轄管通訊傳播業者，可改至以下連結報名：https://stli.iii.org.tw/news-event.aspx?no=16&d=1338 〈時間：2025年11月27日（四）下午14:00-17:00，地點：台北集思台大蘇格拉底廳〉 1.如願收到本所電子報等訊息，惠請與會來賓點擊會員報名按鈕，以會員身分報名本活動。 2.如不願收到本所電子報等訊息，惠請與會來賓點擊非會員報名按鈕，以非會員身分報名。 3.因部分系統仍在調整中，可能會跳出電子報訂閱回函之確認信。如您並未訂閱電子報而仍跳出通知，請您不用擔心，本所不會以此寄送電子報。 近年隨著科技迅速的發展與3C產品使用習慣的改變，通訊傳播業者所蒐集、處理、利用的個人資料也隨之增加，所面臨的個資保護風險也因此上升。為避免個資事故的發生並遏止我國民眾遭受非法侵害，從業者個資保護與資安防護能力與意識的提升，對於個資保護採取管理，為降低個資風險的重要方式。我國所訂定之個資相關法律，要求通訊傳播業者採取適當之個資保護措施，使其具備與法相符之個資保護能力。依據個資法第27條第1項及同法施行細則第12條規定，非公務機關保有個人資料檔案者，應採行適當之安全措施，以防止個人資料被竊取、竄改、毀損、滅失或洩漏。 國家通訊傳播委員會為協助業者瞭解通訊傳播事業適用之個人資料保護法規之內容，特別於2025年11月21日、2025年11月24日、2025年11月27日舉辦「通訊傳播事業個資保護實務專題講座」。藉由個資保護實務專題講座課程，協助通傳會與轄管通訊傳播事業人員瞭解有關個資保護實務管理機制(含個資盤點)、案例說明(含裁罰案例及消費者個資爭議案例)、個資告知事項範本內容、跨境隱私保護管理機制等議題，以強化通傳事業對於個資實務的認識。 主辦單位：國家通訊傳播委員會 執行單位：財團法人資訊工業策進會科技法律研究所 時　　間：2025/11/21（五）14：00 - 17：00 議　　程： 時間 議題 講師 13:30-14:00 來賓報到 14:00-14:10 開幕致詞 國家通訊傳播委員會長官 14:10-15:00 個資保護實務管理機制 資策會科技法律研究所講師 觀看簡報 15:00-15:10 休息時間 15:10-16:00 案例解析 資策會科技法律研究所講師 16:00-16:10 休息時間 16:10-16:50 國際隱私法遵趨勢分享 資策會科技法律研究所講師 16:50-17:00 交流討論 個資保護實務管理機制 ↑回議程表 本活動因場地容量有限，如報名人數超出限制，將以報名優先順序決定，不便之處，尚請見諒。

現今多數零售業者於業務過程中會廣泛蒐集、處理或利用消費者或客戶的個人資料，過去曾發生多起因未採取適當個資保護措施，造成消費者個資外洩之事件。若企業未能妥善管理及保護個人資料，恐將導致當事人遭受財損等侵害，亦會使企業聲譽受損，甚而招致主管機關的裁罰。 經濟部商業發展署於113年11月12日公布施行「零售業個人資料檔案安全維護管理辦法」，該辦法所稱零售業者（以下簡稱業者），指非其他中央目的事業主管機關主管之從事實體店面，或實體店面兼營網際網路方式銷售商品之零售，已辦理公司、有限合夥或商業設立登記，且資本額達新臺幣1,000萬元以上，並有招募會員或可取得交易對象個人資料之業者，均應於發布後6個月內（即114年5月12日前）依本辦法之規定，完成個人資料檔案安全維護計畫之修正或訂定。 經濟部商業發展署為協助業者落實個資法遵與資訊安全義務，特別於114年11月5日舉辦「零售業個資法遵實務與資訊安全說明會」，藉由說明會增進業者對於個資保護實務之認識，並協助業者提升資訊安全防護之能力。期望透過本次說明會促進業者於業務蓬勃發展之時，亦能落實保護消費者個人資料之安全。 ● 本活動因場地容量有限，如報名人數超出限制，將以報名優先順序決定，不便之處，尚請見諒。 ● 本活動報名至11月3日18時止，若未能及時線上報名者可直接至現場報名參加（若尚有座位），活動期間將同步於YouTube與Facebook直播，直播連結： YouTube：https://youtube.com/live/AR0qpheXGiw?feature=share Facebook：https://www.facebook.com/events/841875888412612/ ● 活動得登錄公務人員終身學習時數。 主辦單位：經濟部商業發展署 執行單位：財團法人資訊工業策進會科技法律研究所 協辦單位：台中市電腦商業同業公會、臺中市工商發展投資策進會 時　　間：2025/11/05（三）14：00 - 17：00 議　　程： 時間 議題 講師 13:30-14:00 來賓報到 14:00-15:00 個資法遵實務說明 資策會 科技法律研究所林允中 法律研究員 觀看簡報 15:00-15:20 休息時間 15:20-16:20 如何採取合規之資安措施 資策會 資安科技研究所張時鳴 正規劃師 16:20-17:00 交流討論 個資法遵實務說明 ↑回議程表

【線上觀看報名區】無法出席114年10月23日下午15:00實體交流工作坊活動的業者，可改至以下連結報名114年10月23下午14:00線上觀看，由講師直播帶您了解資訊服務業者個資安維辦法及個資案例分享：https://stli.iii.org.tw/news-event.aspx?no=16&d=1330 近年來電子商務快速發展，資訊服務業者受客戶委託蒐集、處理或利用之個人資料數量遽增，使得資服業者所產生之個資損害風險越加明顯。凸顯出資服業者在網路安全攻擊、個人資料外洩事件中，需要更謹慎規劃、執行與改善個資保護與資訊安全。 有鑒於此，數位發展部作為資服業者之中央目的事業主管機關，依據個資法第27條3項授權，訂定「數位經濟相關產業個人資料檔案安全維護管理辦法」（下稱個資安維辦法），提供資服業者遵守個資法相關規定、訂定個人安維計畫及採行適當安維措施之具體標準，協助資服業者能確保個人資料安全。 上半場線上個資安維計畫說明會，下半場實體交流工作坊將由法律與個資專家，帶您快速掌握個資安維辦法、撰寫「個資安全維護計畫」實務技巧，透過分組討論與專家面對面交流，針對企業在實務運用上的疑難雜症，獲得具體建議與解方。 誠摯邀請資訊服務業者與會，共同掌握數位時代個資保護趨勢及作法。 【每位出席者請分別填寫報名，以利統計及通知，謝謝!!】 主辦單位：數位發展部數位產業署 執行單位：財團法人資訊工業策進會科技法律研究所 時　　間：2025/10/23（四）14：00 - 16：00 會議方式 時間 地點 說明會 2025年10月23日下午14點-15點 說明會另有開放線上觀看地點於成功報名後發信通知(名額有限) 工作坊地點：臺北 2025年10月23日下午15點-16點

歐盟執委會（European Commission）於2025年9月4日提出對於巴西的適足性認定草案，並且開始啟動相關程序。根據《一般資料保護規則》第45條規定，如歐盟境內之個人資料將傳輸至第三國或國際組織時，須經由歐盟執委會認定該第三國、第三國內之特定部門或國際組織之資料保護水準與歐盟境內基本相同，使得為之。該認定即為「適足性認定」，目前包含日本、韓國、加拿大、阿根廷及烏拉圭皆已取得適足性認定。 本次歐盟執委會所提出之適足性認定草案中，審酌了巴西《一般資料保護法》（Lei Geral de Proteção de Dados, LGPD）當中的目的限制、必要性、透明性、安全性及問責機制等原則，以及個資監管與執法之獨立機構「巴西資料保護局」（Autoridade Nacional de Proteção de Dados, ANPD）之角色，認定巴西國內的個人資料保護水準已達到與GDPR所要保護水準相同。 此外，ANPD於2024年發布，旨在使巴西具有與GDPR等隱私框架相同之跨境傳輸規範之國際資料傳輸規則，ANPS正依照該規則進行對歐盟進行法律評估，認定歐盟屬於符合LGPD之適當司法管轄區。如巴西通過對歐盟評估，將建立起鞏固雙方之間的監管力度及法律承認的互相承認機制。 歐盟執委會提出對於巴西之適足性認定草案，後續須經由歐洲資料保護委員會（European Data Protection Board, EDPB）審查並提出意見，並經過成員國代表參酌EDPB提出之意見並審查批准後，始得由歐盟執委會通過適足性認定。通過適足性認定後，將促進國際資料流動，並加強巴西與歐盟之間資料保護與監管領域方面的合作。

2025年6月23日，韓國個人資料保護委員會（개인정보보호위원회，下簡稱個資會）宣布修訂《個人資料保護法施行令》（개인정보 보호법 시행령）草案，擴大「本人傳輸請求權」（본인전송요구권）制度的適用範圍至特定大型個人資料處理者（개인정보처리자）。 南韓政府於2024年3月開始實施MyData（마이데이터）制度，賦予其國民「本人傳輸請求權」。所謂「本人傳輸請求權」，係指當事人向資料持有者請求傳輸個人資料給自己或特定第三方的權利，而個人資料則係指包含所有能夠識別本人身分或與本人有直接關聯的資訊。 本人傳輸請求權的立法目的，在於解決當事人將資料授權予特定企業或機關使用後，無法追蹤個人資料動向的問題。當事人可透過行使本人資料傳輸請求權，隨時確認資料如何被使用、有無被再次轉交他方，以及自由決定是否收回或轉移持有者擁有的個人資料。有助於解決個人資料利用權限一經授權後便難以掌控的問題，並提高國民對於個人資料的自主控制能力。 本次修法前，本人資料請求權的適用範圍僅限於醫療與電信產業，個人資料保護法施行令預告修訂草案進一步將符合以下標準的個人資料處理者納入本人傳輸請求權適用範圍： 1. 年營業額達1500億韓元以上的企業； 2. 持有個人資料人數達100萬人以上的企業或機構； 3. 敏感資料、高識別度資料達5萬人以上的企業或機構； 4. 2萬人以上大學或公部門機關。 韓國個資會此次提出的預告修訂草案，建立了一套可跨領域適用的個人資料管理政策架構，為國民資料自主性與控制權提供更完整的保護，值得作為我國個人資料治理制度之參考。

日本建立物聯網產品資安符合性評鑑及標籤制度（JC-STAR），助消費者提升產品資安識別 資訊工業策進會科技法律研究所 2025年10月30日 壹、事件摘要 為因應物聯網（Internet of Things，簡稱IoT）產品日趨嚴重的資安威脅，日本陸續訂定針對物聯網產品資安之國內法規與政策方針，除了為強化物聯網產品之資安要求以外，藉由具體的資安評級要求，適用不同類型的物聯網產品，再透過資安標籤制度以區別產品，提升產品之資安識別，以供消費者選購時參考。據此，本文觀測日本近期建立的JC-STAR制度與其所適用國內法規，供我國未來參考與借鏡。 貳、重點說明 一、日本JC-STAR制度背景與目的 日本資訊處理推動機構（独立行政法人情報処理推進機構，Information-Technology Promotion Agency, Japan，簡稱IPA），依日本經濟產業省於2024年8月23日所公布之《IoT產品資安符合性評鑑制度建構方針》政策架構下[1]，建立了《物聯網產品資安符合性評鑑及標籤制度》（セキュリティ要件適合評価及びラベリング制度，Labeling Scheme based on Japan Cyber-Security Technical Assessment Requirements，簡稱JC-STAR），並於2025年7月29日完成《物聯網產品資安符合性評鑑與標籤制度之基本規章》[2]（セキュリティ要件適合評価及びラベリング制度の基本規程，簡稱本規章）之最終修訂，建立了JC-STAR制度的框架。本規章將物聯網產品的定義、產品所需的附隨服務（含數位服務等）、可提供驗證服務之單位、第三方監督、廠商自我宣告機制、資安符合性基準、評鑑與評鑑報告書、資安符合性標籤及分級機制等多種要件、適用對象與要求事項明確化，確立了以星等為評級的JC-STAR資安標籤制度框架。此外，JC-STAR制度針對物聯網產品採購方、使用方等不同的資安需求，透過附有資安標籤的產品以供各自選購時為考量，因此JC-STAR制度有以下二點優勢： （一） 較易滿足政府或企業的採購標準 針對政府機關或企業等所需採購的物聯網產品，事前已透過共通性的適用標準，將物聯網產品資安進行評鑑分級，並將評鑑流程可視化管理，不僅使產品符合各組織或單位的資安防護需求，同時使產品選購更加便利。 （二） 確保特定領域事業或行業等符合資安法規要求 基於特定領域事業或行業可能有特殊的資安需求，通過符合性評鑑的物聯網產品，因經第三方驗證後以最高等級的標籤呈現，故可確保符合特定領域事業團體之特殊資安需求，或配合指定使用，以確保其採購之物聯網產品均具備合規性。 二、日本JC-STAR框架與資安要求 日本JC-STAR制度是結合歐洲電信標準協會（ETSI）網路安全技術委員會於2022年6月所公布的《網路安全暨隱私保護標準》（ETSI EN 303 645），以及美國國家標準與技術研究所（NIST）於2022年9月公布的《消費者物聯網產品之核心基準》（NISTIR 8425）等適用標準，並經日本官方改定調整成為適用於日本國內之獨特制度。[3]JC-STAR是基於日本官方所定義之物聯網產品符合性標準（涉及資安技術要求事項等），確認物聯網產品是否符合資安要求以及進行可視化的管理。JC-STAR將物聯網產品區分成四種星級，詳述如下： （一） 一星級（★1） 物聯網產品須符合產品共通性之要求，並適用最低限度之資安要求事項，倘若產品已滿足相關要求事項，由產品供應商自我宣告即可。 （二） 二星級（★2） 視物聯網產品的類型、功能特徵等因素，於一星級以上增訂基礎的資安要求事項，倘若產品已滿足相關要求，仍由產品供應商自我宣告即可。 （三） 三星級（★3） 視物聯網產品的使用對象，包含政府機關、關鍵基礎設施或相關業者、地方政府或人民團體、大型企業之關鍵系統等，依產品類型、功能特徵等因素，訂定共通性之資安要件，並須由獨立第三方進行驗證，並須取得評鑑機關作成的符合性評鑑報告書以及受相關單位賦予標籤。 （四） 四星級（★4） 適用程序上雖與三星級相同，依產品類型、功能特徵等因素，訂定共通性之資安要件，並由獨立第三方進行驗證，須取得評鑑機關作成的符合性評鑑報告書以及受相關單位賦予標籤。惟物聯網產品中，諸如通信設備等所適用的資安要求及相關風險層級較高，因此為最高防護等級。 值得注意的是，日本正積極與新加坡、英國、美國、歐盟等各國專責機關等交涉中[4]，預計將JC-STAR制度與各國物聯網產品制度相互承認並使其與國際接軌。 參、事件評析 日本透過國內政策方針及訂定規章，結合其他先進國家的資安標準，建立了屬於日本自己的物聯網產品資安標籤JC-STAR制度。主要將各種不同類型的物聯網產品，賦予不同星等評級，供一般消費者或政府、企業法人等選購時參考，具體提升針對物聯網產品的資安識別。此外，依產品適用對象或風險層級不同，適用不同程度的資安要求事項。倘若涉及政府或企業法人等採購需求，則可能適用三星或四星等級，且產品均須經獨立第三方進行評鑑後，才能取得符合性評鑑報告書，並添附資安標籤。 因此，JC-STAR並非僅針對政府或公部門單位採購適用，而是擴及日本國內產業或是一般消費者，因此日常中物聯網產品的使用，均受到全面性的資安保障。另一方面，倘若未來日本JC-STAR制度受到其他各國承認，即代表物聯網產品可在已簽署承認的國家間受到信任而流通產品，故可望大幅降低日本國內物聯網產品供應鏈符合國際法規或契約要求的成本，有助於提升產業競爭力。據此，日本以資安標籤提升消費者識別，並有物聯網產品資安驗證機制之整體性規劃，均可供我國推動物聯網產品資安治理政策之未來借鏡與參考。 [1]〈IoT製品に対するセキュリティ適合性評価制度構築方針〉，経済産業省，https://www.meti.go.jp/shingikai/mono_info_service/sangyo_cyber/wg_cybersecurity/iot_security/pdf/20240823_1.pdf （最後瀏覽日：2025/10/13）。 [2]〈セキュリティ要件適合評価及びラベリング制度の基本規程〉，独立行政法人情報処理推進機構，https://www.ipa.go.jp/security/jc-star/begoj90000003563-att/JSS-01.pdf （最後瀏覽日：2025/10/13）。 [3]〈IoT製品のセキュリティ確保に向けて ～セキュリティ要件適合評価及びラベリング制度（JC-STAR*）の紹介～〉，頁25，独立行政法人情報処理推進機構，https://www.ipa.go.jp/security/jc-star/begoj9000000gg60-att/JC-STARsetumeikai_1.pdf （最後瀏覽日：2025/10/13）。 [4]〈ファクトシート：岸田総理大臣の国賓待遇での米国公式訪問〉，日本外務省，https://www.mofa.go.jp/files/100652150.pdf （最後瀏覽日：2025/10/13）。

法國國家資訊與自由委員會（Commission Nationale de l’Informatique et des Libertés, CNIL）於2025年9月1日針對一起由歐洲數位權利中心（noyb - The European Center for Digital Rights）提出的申訴做成決議，指Google未經Gmail使用者同意，將廣告偽裝為電子郵件進行「偽裝廣告」（Disguised Ads）投放，以及在對Gmail使用者投放個人化廣告前，未能於Gmail帳號申請流程中提供當事人提供較少cookies、選擇非個人化之通用廣告（generic ads）的選項，違反了《電子通訊法》（code des postes et des communications électroniques）與《資訊與自由法》（loi Informatique et Libertés）中關於歐盟《電子隱私指令》（ePrivacy Directive）之施行規定，對Google裁處了3.25億歐元的罰鍰，並要求改善。以下節錄摘要該裁決之重點： 一、 偽裝成電子郵件的偽裝廣告與電子郵件廣告均須獲當事人同意始得投放 歐盟《電子隱私指令》第13條1項及法國《電子通訊法》規定，電子郵件直接推銷（direct marketing）僅在其目標是已事先給予同意的使用者時被允許。CNIL，依循歐盟法院（CJEU）判例法（C-102/20）見解，認為若廣告訊息被展示在收件匣中，且形式類似真實電子郵件，與真實電子郵件相同位置，則應被認為是電子郵件直接推銷，須得到當事人之事前同意。因此，CNIL認定偽裝廣告即便技術上不是狹義的電子郵件，僅僅因其在通常專門用於私人電子郵件的空間中展示，就足以認為這些廣告是透過使用者電子郵件收件匣傳遞的廣告，屬於電子郵件廣告，而與出現在郵件列表旁邊且獨立分開的廣告横幅不同，後者非屬電子郵件廣告。 二、 Cookie Wall下當事人的有效同意：「廣告類型」的選擇、服務申請流程的隱私設計與資訊透明 CNIL參酌歐盟個人資料保護委員會（European Data Protection Board, EDPB）第2024/08號關於「同意與付費模式」意見，認為同意接受廣告在特定條件下得作為使用Gmail服務的條件。換言之，以「cookie wall」（註：拒絕cookie的蒐集即無法獲得服務之網站設計）取得之當事人「同意」，非當然不自由或無效。CNIL認為，在免費服務的框架下，cookie wall在維持提供服務與服務成本之間的經濟平衡上，要求服務申請者須接受投放廣告的cookie是合法的。惟CNIL認為，這不代表Google可以任意決定所蒐集的cookies和相應廣告模式的類型。 CNIL要求，當事人在cookie wall的框架內仍應享有選擇自由，才能取得蒐集為投放個人化廣告之cookies的當事人有效同意，亦即：在個人化廣告處理更多個資和對當事人造成更多風險的情況下，當事人應被給予機會選擇「等值的替代選項」，亦即通用廣告，並完全且清晰地了解其選擇的價值、範圍及後果。 然而，CNIL發現，Google將與廣告個性化相關的cookies拒絕機制設計得比接受機制更複雜，實際上阻礙了使用者拒絕隱私干預程度更高的cookies。這種拒絕途徑偏袒了允許個人化廣告的cookies的同意，從而影響了當事人的選擇自由。CNIL也發現，Google從未以明確方式告知使用者建立Gmail帳戶時面臨cookie wall，以及對此使用者享有甚麼選擇，而其提供的資訊更引導使用者選擇個人化廣告，導致選擇一般廣告的機會遭到犧牲。 三、 為何不是愛爾蘭資料保護委員會（Data Protection Commission, DPC）管轄？ GDPR設有「單一窗口機制」，依據該合作機制，對Google進行的GDPR調查，應由作為主任監管機關（Lead Supervisory Authority）的愛爾蘭DPC管轄。惟在本案，CNIL認為並不適用於單一窗口機制。因為與cookies使用及電子推銷相關的處理並非屬於GDPR範疇，而是適用電子隱私指令，CNIL對法國境內的cookies使用及電子推銷處理享有管轄權。此爭議反映出即便GDPR旨在確保標準化單一市場內的數位管制，但尚不足以弭平成員國間監管強度之差異。

由美國網路安全暨基礎設施安全局（Cybersecurity and Infrastructure Security Agency, 簡稱CISA）自2024年以來，持續主導並規劃《SBOM網路安全之共同願景》（A Shared Vision of Software Bill of Materials(SBOM) for Cybersecurity）之指引訂定，作為保障網路安全之國際共通指引。於2025年9月3日，由日本內閣官房網路安全統括室為首，偕同經濟產業省共同代表日本簽署了該份指引，包含日本在內，尚有美國、德國、法國、義大利、荷蘭、加拿大、澳洲、紐西蘭、印度、新加坡、韓國、波蘭、捷克、斯洛伐克等共計15個國家的網路安全部門，皆同步完成簽署。以下為指引之重點內容： 1. 軟體物料清單的定位（Software Bill of Materials, 簡稱SBOM） SBOM於軟體建構上，包含元件內容資訊與供應鏈關係等相關資訊的正式紀錄。 2. 導入SBOM的優點 (1) 提升管理軟體弱點之效率。 (2) 協助供應鏈風險管理（提供選用安全的軟體，提升供應商與使用者之間溝通效率）。 (3) 協助改善軟體開發之進程。 (4) 提升管理授權軟體之效率。 3. SBOM對於利害關係人之影響 (1) 使軟體開發人員可選擇最符合需求的軟體元件，並針對弱點做出適當處置。 (2) 軟體資訊的透明化，可供採購人員依風險評估決定是否採購。 (3) 若發現軟體有新的弱點，使軟體營運商更易於特定軟體與掌握弱點、漏洞。 (4) 使政府部門於採購流程中，發現與因應影響國家安全的潛在風險。 4. SBOM適用原則與相關告知義務 確保軟體開發商、製造商供應鏈的資訊透明，適用符合安全性設計（Security by Design）之資安要求，以及須承擔SBOM相關告知義務。 近年來軟體物料清單（SBOM），已逐漸成為軟體開發人員與使用者，於管理軟體弱點上的最佳解決方案。然而，針對SBOM的作法與要求程度，各先進國家大不相同，因此透過國際共通指引的簽署，各國對於SBOM的要求與效益終於有了新的共識。指引內容不僅建議軟體開發商、製造商宜於設計階段採用安全設計，以確保所有類型的資通訊產品（特別是軟體）之使用安全，也鼓勵製造商為每項軟體產品建立SBOM並進行管理，包含軟體版本控制與資料更新，指引更強調SBOM必須整合組織現有的開發與管理工具（例如漏洞管理工具、資產管理工具等）以發揮價值。此份指引可作為我國未來之參考借鏡，訂定相關的軟體物料清單之適用標準，提升政府部門以及產業供應鏈之網路安全。

美國網路安全暨基礎設施安全局（CISA）於2025年8月13日發布該機關與美國、澳洲、加拿大、德國、荷蘭、紐西蘭等國共計八個國安資安相關機構，合作訂定之《工控資安基礎：適用於擁有者與營運者的資產清冊指引》文件，旨在針對易受惡意網路行為攻擊且提供重要服務的能源、水務、製造業及其他領域關鍵基礎設施營運技術（Operational Technology，OT）系統，協助其資產擁有者與營運者建置與維護完整的OT資產清冊，並輔以OT分類體系（Taxonomy）。 OT資產清冊範圍涵蓋組織OT系統與相關軟、硬體，該指引主要說明OT資產擁有者與營運者建置與維護OT資產清冊的流程，包含： 1. 定義清冊範疇與目標（Define Scope and Objectives） 2. 辨識資產及蒐集屬性資料（Identify Assets and Collect Attributes） 3. 建立分類體系（Create a Taxonomy to Categorize Assets） 4. 管理與蒐集資料（Manage and Collect Data） 5. 實現資產全生命週期管理（Implement Life Cycle Management）； 此外透過OT分類體系可幫助區分優先序、管理所有OT資產，有助於風險識別、漏洞管理，以及資安事件應變；有關如何建立OT分類體系，該指引亦提供流程建議如： 1. 根據功能及關鍵性執行資產分類（Classify Assets） 2. 對資產功能類型與其通訊路徑進行分類（Categorize (Organize) Assets and their Communications Pathways） 3. 建構體系架構與互動關係（Organize Structure and Relationships） 4. 驗證資產清冊資料準確度與圖像化（Validate and Visualize） 5. 定期檢查並更新（Periodically Review and Update） 該指引認為，建置OT資產清冊並輔以OT分類體系對期望建立現代化防禦架構的擁有者與營運者而言至關重要。透過上述作為，資產擁有者與營運者得以識別其環境中應加以防護及管控的關鍵資產，並據以調整防禦架構，建構相應的資安防禦措施，以降低資安事件對組織任務（Mission）與服務持續性（Service Continuity）的風險與影響。該指引亦強調關鍵基礎設施之OT與IT（資訊技術）部門間之跨部門協作，並鼓勵各產業組織參考指引步驟落實OT資產盤點與分類，以提升整體關鍵基礎設施資安韌性。

親愛的讀者 行政院於114年8月28日通過《人工智慧基本法》草案，以「鼓勵創新、兼顧人權」為核心，參考歐盟、美國與韓國的AI治理經驗，確立人工智慧研發、應用及治理之基本原則，期望將臺灣打造為「人工智慧島」。近期賴總統亦於「2025台灣創投年會」中指出，政府將透過人才培育、資金挹注、法規鬆綁、延攬國際人才及提升市場流動性等措施，全力推動新創發展。 在推動AI法制與促進新創的背景下，本期特別規劃專文探討日本對生成式AI著作權之規範，以及英國公部門衍生新創政策與激勵措施，希冀為我國未來AI治理框架與創新生態系之發展，提供可資參考的國際經驗。 編輯部

親愛的讀者 近期立法院已著手審查《人工智慧基本法》草案，朝野立委陸續提出十餘個版本，討論聚焦主管機關、資料治理與開放機制、訓練資料透明與可溯源性等關建議題，為我國AI治理藍圖奠定方向。與此同時，立法院亦同步審議《資通安全管理法》部分條文修正草案，強化資安事件通報義務，並加強資通安全產品使用規範。 面對全球AI法制浪潮與資安威脅挑戰，本期特別規劃專文研析美國近年AI法制政策發展，以及歐盟資通訊產品安全性規範，並收錄多篇近期重要立法趨勢，期能為建立我國AI治理與資安防護體系，提供可資借鏡的他山之石。 編輯部

親愛的讀者 近年來，AI、機器人及資料治理持續受到國際關注。我國於2024年底舉辦第12次全國科學技術會議，聚焦「多功能機器人」、「無人機」等議題，後續國家科學及技術委員會將推動「智慧機器人科技方案」，以促進相關產業發展。在資料治理方面，數位發展部規劃推動《促進資料創新利用發展條例》立法、建置臺灣主權AI訓練語料庫，以支援國內AI技術發展與應用落地。 本期除探討AI、機器人及資料相關法制趨勢外，亦關注線上平臺經營者是否透過資訊共享行為，濫用其市場優勢地位，並安排專文研析加拿大於2023年12月修正施行之《競爭法》及其配套措施，期協助建構完善之數位競爭法制。 編輯部

親愛的讀者 近年個資外洩事件頻傳，引發社會各界對個資保護的高度關注。我國於112年5月修正《個人資料保護法》，設立專責機關，並於年底成立「個資保護委員會籌備處」，積極推動後續修法工作。此外，國家通訊傳播委員會（NCC）於113年10月4日修訂「國家通訊傳播委員會指定非公務機關個人資料檔案安全維護辦法」，經濟部也於同年11月13日修正「零售業個人資料檔案安全維護管理辦法」，展現各目的事業主管機關對落實個資保護之決心。 本期聚焦個資保護的國際趨勢與實務發展，安排專文解析歐洲法院FTv.DW案及歐盟法院Case C-659/22判決，探討其對個資保護的影響與啟示，期能為我國未來強化個資保護提供有益參考。 編輯部

親愛的讀者 近年詐騙手法不斷翻陳出新，根據報導指出，2023年有多達3.5萬名被害人報案，財損破79億元。隨著詐騙金額和案件數量逐年升高，「打詐」成為民眾最關切的議題之一。為建立民眾安全免遭詐騙之社會，立法院於今年7月三讀通過打詐專法，以及《洗錢防制法》、《詐欺犯罪危害防制條例》及《通訊保障及監察法》部份條文修正案。因應打詐專法通過，本期特安排專文析介歐盟《數位服務法》關於「超大型線上平臺」（very large online platforms, VLOPs），以及「超大型線上搜尋引擎」（very large online search engines,VLOSEs）之透明度報告義務及實務觀察，期能作為我國打詐專法透明度報告之借鏡。 編輯部

親愛的讀者 今年6大半導體公司執行長齊聚COMPUTEX，聚焦AI伺服器、AI PC、AI機器人等未來應用，正式宣告AI黃金時代來臨。法律該如何面對這波AI浪潮，以在監管和創新間取得平衡，誠為近期國際上最重要的議題之一。美國於2023年10月發布總統行政命令，提出公私部門使用及研發AI之路徑；歐盟於今年5月更通過全球首部《人工智慧法》，依風險高低分級規範AI產品之法規認證。我國除了「行政院及所屬機關使用生成式AI參考指引」、「金融業運用人工智慧(AI)之核心原則與相關推動政策」、「金融業運用AI指引」草案及「人工智慧(AI)產品與系統評測參考指引」草案外，國科會亦刻正研議《人工智慧基本法》草案，預計今年10月底提出。因應此波AI浪潮，本期特安排專文析介美日韓AI法制及判例，供各界即時掌握AI法制動向。 編輯部

圖一：零售業個資安全宣導暨安全維護計畫規劃說明會將於10月13日舉辦。 為協助零售業者了解新修訂的個人資料保護法規，經濟部商業發展署委託資策會科法所將於10月13日在台北集思交通部國際會議中心舉辦「零售業個資安全宣導暨安全維護計畫規劃說明會」，並邀請資策會科技法律研究所法律研究員擔任講者，歡迎有興趣了解的業者踴躍參加。 經濟部於113年修訂發布「零售業個人資料檔案安全維護管理辦法」，將適用範圍從原本的「綜合商品零售業」大幅擴大至所有資本額新台幣1000萬元以上、且有招募會員或能取得交易對象個人資料的零售業者，受規範業者須在6個月內訂定個人資料檔案安全維護計畫。多數零售業者於業務過程中廣泛蒐集、處理消費者個人資料，過去曾發生多起因未採取適當保護措施造成個資外洩事件。 企業未能妥善管理個人資料，恐導致消費者遭受財損，使企業聲譽受損並招致主管機關裁罰。新修訂辦法要求受規範業者必須訂定「個人資料檔案安全維護計畫」，包括建立適當安全措施，防止個人資料被竊取、竄改、毀損、滅失或洩漏，確保零售業在數位轉型過程中兼顧個資保護責任。經濟部商業發展署上半年已於北、中、南各舉辦一場宣導說明會。演講內容包含零售業個人資料檔案安全維護管理辦法的落實重點，以及如何訂定個人資料檔案安全維護計畫說明，提升業者對個資保護的意識與能力。

在全球地緣政治緊張與數位主權意識高漲的今日，跨境資料的自由流通正遭逢前所未有的挑戰。近期國際事件，從挪威政府召見TikTok代表，對其用戶資料是否移轉至境外進行嚴格審查，到荷蘭資料保護局（Autoriteit Persoonsgegevens，AP）建議援助組織拒絕以色列政府過度的個資索取要求，均凸顯出，跨國企業與政府在尋求國家安全、經濟發展與個人隱私三者平衡時，面臨著巨大的法律衝突與營運困境。 在此複雜背景下，一個兼具彈性與信任的多邊機制－全球跨境隱私規則（Global Cross-Border Privacy Rules，Global CBPR）體系，正成為臺灣接軌國際、鞏固數位經濟命脈的關鍵解方。資策會科技法律研究所作為我國頂尖法律智庫，長年深耕此議題，並在此領域扮演著關鍵的先行者與推動者角色。 資策會科技法律研究所前瞻佈局，早已躋身全球CBPR驗證先行者 推動國際隱私保護框架，需要具備公信力的在地執行單位。就在上個月（2025年8月），美國VeraSafe公司正式成為Global CBPR的當責機構（Accountability Agent），引起關注。然而，資策會科法所憑藉其專業與遠見，早在2021年6月3日，便已正式成為亞洲第5家、全球第9家CBPR認證之當責機構，多年來持續為臺灣企業提供與國際零時差的驗證服務。 作為國家發展委員會推動CBPR政策的關鍵夥伴，科法所不僅協助政府進行深入的政策研析，更積極參與全球性會議，如APEC會議及Global CBPR論壇工作坊，在國際場域為臺灣發聲，確保我國在制定全球數位治理規則時佔有一席之地。同時，我們在國內舉辦多場推廣說明會，成功吸引百位來自產、官、學界的代表參與，並透過問卷調查深入了解企業需求，為我國CBPR的發展藍圖奠定堅實的實證基礎。這些努力彰顯了科法所在國際隱私保護領域不可或缺的重要性與實質貢獻。 圖一：Global CBPR驗證標章。 順應全球「雙重策略」，CBPR為臺灣打造數位信任同盟 資策會科技法律研究所瞿紹遠高級法律研究員觀察近期發展認為，歐美主要經濟體正逐漸形成一套管理跨境資料的「雙重策略」：一方面，如歐盟法院在Latombe案中維持《歐盟─美國資料隱私框架（EU-U.S. Data Privacy Framework）》的判決所示，友邦間正積極強化資料互通，以「資料可信賴自由流通」（Data Free Flow with Trust, DFFT）原則鞏固數位經濟結盟；另一方面，則對潛在的競爭對手國家採取更嚴格的資料移轉限制，以保障國家安全。 臺灣在全球供應鏈中位居要角，必須順應此一趨勢。積極採納並推動CBPR，正是我國深化與美國、日本、新加坡等數位經濟夥伴合作，融入國際信任體系的戰略要務。CBPR框架不僅能協助企業符合國際高標準的隱私保護要求，更能有效平衡經濟發展需求與國安風險。企業一旦取得CBPR標章，不僅是對其內部個資治理能力的最佳證明，更是提升品牌價值、贏得國際客戶信賴的利器。指標性企業如我國的臺灣集中保管結算所，以及美國的蘋果（Apple Inc.）、思科（Cisco）等全球巨擘，皆已取得CBPR驗證，足證其在全球資料經濟中已成為如同基礎建設般的重要支柱。 面對全球資料治理的破碎化與陣營化，單純的法律遵循已不足以應對挑戰。Global CBPR提供了一套務實且具前瞻性的解決方案，完美平衡了國家安全、個人隱私保護與數位經濟發展三大主軸。資策會科法所將持續憑藉深厚的專業積累，協助政府與產業界掌握先機，推動CBPR在台落地深化，藉此不僅能提升我國企業的國際競爭力，更能鞏固臺灣在全球數位秩序中的戰略地位，實現永續、安全且繁榮的數位未來。

為了促進跨國法政學習交流並提升研究能見度，資策會科法所於本周二（23日）下午舉辦「國際學研交流坊—拓展未來Global Learning Forum」之臺日交流活動。資策會科法所特別邀請到「北海道大學」、「琉球大學」、「福岡大學」、「佐賀大學」等多所知名日本大學師生一行來訪，與本所的研究人員、實務法律專家齊聚，針對「臺灣與日本中小企業薪資促進法制」、「個人資料保護法制」、「數位公共建設規劃與推動」等三大主軸聚焦討論，並結合科技法制、數位治理與企業法規發展等相關議題，從政府智庫與學術角度交流意見。 資策會科法所王勁力所長於致詞中表示，面對全球數位轉型浪潮，科技與法律的融合已是必然趨勢，只有透過關注彼此的「未來」，才可使人們跨越國境並開拓攜手合作的契機。多年來科法所已持續協助政府打造優質的科技與新興產業發展之法制環境，因此也肩負科技及產業政策法制智庫的重責大任。期盼透過本次國際交流坊，與日方學研單位分享臺灣在法律及制度上的最新觀點，並藉由提供青年學子相互交流，希望學子們能從中獲得啟發，並共同思考未來法制挑戰與發展方向。 圖一：資策會科法所與日本多所大學聯合代表團之合影，由左至右分別為福岡大學兒玉弘副教授、琉球大學李妍淑副教授、北海道大學法學部徐行教授、資策會科法所王勁力所長、資策會科法所社團代表陳政陽法律研究員、琉球大學戶谷義治教授、佐賀大學孫友容講師。 圖二：日本多所知名大學師生聯合參訪團與資策會科法所同仁合照。 本活動由科法所法律研究員陳政陽開場介紹日方與會來賓—琉球大學人文社會學部戶谷義治教授與其帶領的師生代表團。戶谷教授表示，能夠參訪法制智庫是非常難得的機會，期望學生透過跨文化實地交流拓展視野，理解不同國度法律制度下的運作邏輯與社會需求。 專題講座環節涵蓋實務與政策議題，首先由資策會科法所法律研究員陳明以「我國與日本企業增僱薪資費用稅捐優惠的探討」為題，探討臺灣與日本在中小企業政策的異同，以及分享雙方在法制觀點的特色；接續由律師李怡親以「從臺灣個資法草案看未來個資保護趨勢」為題，深入剖析草案重點及未來個資法制方向；最後，由法律研究員王育章聚焦英國與印度以公私協力（PPP）模式推動之「數位公共建設」，說明其規劃與推動經驗，並進一步分析對臺灣未來數位建設規劃的啟示。 圖三：日方參訪團學生們專注聆聽科法所法律研究員陳明講述稅制議題。 隨後，由日本參訪團的學生們回應聽講內容並提出觀點，展現跨國學習成果；並於後續的綜合交流時段，由學生們分享其所屬學校與所屬日本行政區的文化及美食特色，而科法所同仁則介紹臺灣各地風景文化與在地美食，為臺日雙方參與者創造更多對話交流機會，進一步促進兩國的學研人才互動與連結。 圖四：日方參訪團學生們介紹所屬學校與行政區文化特色（北海道）。 資策會科法所指出，期冀透過本活動建立與國際的交流管道，作為雙方人才拓展國際視野之基礎。另一方面，希望能藉由產業與學術圈的跨界交流及思想碰撞，推動青年法律人才對於數位社會議題的理解與關注，並於未來抱持著樂觀進取的態度，持續推動前瞻法制研究與多元文化互動，提升臺灣科技法制在國際上的影響力！