任意丟棄客戶資料 英國銀行因而違法
有鑑於英國14家銀行及金融公司被發現有任意丟棄客戶個人資料而違反「資料保護法」（Dada Protection Act）的情形，英國資訊官辦公室（Information Commissioner´s Office，ICO）於2007年3月17日要求其中11家銀行及金融公司簽署一份承諾書，保證其將來在處理客戶資料時必當遵守資料保護法的規定。
資訊官辦公室次長表示，銀行及金融公司應該以嚴肅的態度來處理客戶資料安全性的問題，否則，他們不但要接受資訊官辦公室更進一步的資訊安全審核，而且還會失去客戶對其之信賴。再者，若這些組織仍不遵守其簽署的承諾書，除了可能對遭到行政罰外，甚至還可能需要負擔違反資料保護法的刑事責任。
除了資訊官辦公室，英國的金融服務局（Financial Services Authority，FSA）亦有權針對違反資料保護法規定之金融公司加以執法。今年2月，英國房屋抵押貸款協會（Nationwide Building Society）便在金融服務局的資訊安全審核中，因為其使客戶資料暴露在可能遭竊的風險下而被處以1百萬鎊的罰金。
本文為「經濟部產業技術司科技專案成果」
日本網路安全戰略本部（サイバーセキュリティ戦略本部）於2018年7月27日發布最新3年期網路安全戰略（サイバーセキュリティ戦略），其主要目的係持續實現「提昇經濟社會活力與永續發展」、「實現國民安全且安心生活之社會」、「維持國際社會和平、安定與保障日本安全」三大目標，並透過7月25日同樣由網路安全戰略本部（サイバーセキュリティ戦略本部）發布之網路安全年度計畫2018（サイバーセキュリティ2018），執行下述資安對策的細部計畫與做法。 以下簡述依據日本三大資安目標所提出之重要資安對策： 提昇經濟社會活力與永續發展 (1) 推動可以支援創造新價值之網路安全措施。 (2) 實現可以創造價值之網路安全供應鏈。 (3) 架構安全物聯網（Internet of Things, IoT）系統。 實現國民安全且安心生活之社會 (1) 制定網路犯罪之因應對策。 (2) 官民一體共同防護關鍵基礎設施。 (3) 強化與充實政府機關之網路安全。 (4) 確保大學能建構安全與安心之教育與研究環境。 (5) 展望2020年東京奧運與未來之措施。 (6) 強化情資共享與合作體制。 (7) 強化應變大規模網路攻撃事態之能力。 維持國際社會和平、安定及保障日本安全 (1) 堅持自由、公平且安全之網路空間。 (2) 建立支配網路空間之法律秩序。 (3) 強化日本網路防禦力、抑制網路攻擊能力與掌握狀況之能力。 (4) 強化掌握網路空間狀況之能力。 (5) 國際合作。
南韓個資保護委員會發布人工智慧（AI）開發與服務處理公開個人資料指引南韓個資保護委員會（Personal Information Protection Commission, PIPC）於2024年7月18日發布《人工智慧（AI）開發與服務處理公開個人資料指引》（인공지능(AI) 개발·서비스를 위한 공개된 개인정보 처리 안내서）（以下簡稱指引）。該指引針對AI開發與服務處理的公開個人資料（下稱個資）制定了新的處理標準，以確保這些資料在法律上合規，且在使用過程中有效保護用戶隱私。 在AI開發及服務的過程中，會使用大量從網路上收集的公開資料，這些公開資料可能包含地址、唯一識別資訊（unique identifiable information, UII）、信用卡號等個資。這些公開的個資是指任意人可藉由網路抓取技術自公開來源合法存取的個資，內容不限於個資主體自行公開的資料，還包括法律規定公開的個資、出版物和廣播媒體中包含的個資等。由於公開資料眾多，在現實中很難在處理這些公開個資以進行AI訓練之前，取得每個個資主體的單獨同意及授權，同時，南韓對於處理這些公開個資的現行法律基礎並不明確。 為解決上述問題，PIPC制定了該指引，確認了蒐集及利用公開個資的法律基礎，並為AI開發者和服務提供者提供適用的安全措施，進而最小化隱私問題及消除法律不確定性。此外，在指引的制定過程中，PIPC更參考歐盟、美國和其他主要國家的做法，期以建立在全球趨勢下可國際互通的標準。 指引的核心內容主要可分為三大部分，第一部分：應用正當利益概念；第二部分：建議的安全措施及保障個資主體權利的方法；及第三部分：促進開發AI產品或服務的企業，在開發及使用AI技術時，注意可信任性。 針對第一部分，指引中指出，只有在符合個人資料保護法（Personal Information Protection Act, PIPA）的目的（第1條）、原則（第3條）及個資主體權利（第4條）規定範圍內，並滿足正當利益條款（第15條）的合法基礎下，才允許蒐集和使用公開個資，並且需滿足以下三個要求：1.目的正當性：確保資料處理者有正當的理由處理個資，例如開發AI模型以支持醫療診斷或進行信用評級等。2.資料處理的必要性：確保所蒐集和利用的公開資料是必要且適當的。3.相關利益評估：確保資料處理者的正當利益明顯超越個資主體的權利，並採取措施保障個資主體的權利不被侵犯。 而第二部分則可區分為技術防護措施、管理和組織防護措施及尊重個資主體權利規定，其中，技術防護措施包括：檢查訓練資料來源、預防個資洩露（例如刪除或去識別化）、安全存儲及管理個資等；管理和組織防護措施包括：制定蒐集和使用訓練資料的標準，進行隱私衝擊影響評估（PIA），運營AI隱私紅隊等；尊重個資主體權利規定包括：將公開資料蒐集情形及主要來源納入隱私政策，保障個資主體的權利。 最後，在第三部分中，指引建議AI企業組建專門的AI隱私團隊，並培養隱私長（Chief Privacy Officers, CPOs）來評估指引中的要求。此外，指引亦呼籲企業定期監控技術重大變化及資料外洩風險，並制定及實施補救措施。 該指引後續將根據PIPA法規修訂、AI技術發展及國際規範動向持續更新，並透過事前適當性審查制、監管沙盒等途徑與AI企業持續溝通，並密切關注技術進步及市場情況，進而推動PIPA的現代化。
美國能源關鍵基礎設施議題觀察