資通安全法律案例宣導彙編 第5輯
鑑於頻寬市場以及電信市場的競爭愈趨炙熱，不肖資通訊業者對於弱勢消費者，透過詐騙或其他不適當銷售手法而獲利的案例也層出不窮。爰此，英國通訊管理局（Office of Communication/ Ofcom）在2007年2月8日，決定擴張防止固網電信業者對消費者「不正當銷售」（mis-selling）的規範內容（General Condition）。 「不正當銷售」指的是電信公司或其雇員，利用不受歡迎或者非法的銷售產品技巧所從事的相關市場活動。其中最嚴重的銷售方式，又以「砰一聲」（slamming）的銷售行為，最令人詬病。因為該銷售行為是在未經消費者明示同意、或者未使其獲得足夠知識與資訊下，逕自將提供的服務轉換到另一家公司。例如：轉換服務提供者，但並未通知你；通知轉換服務提供者，但未經你同意；所簽約的服務與提供的服務不盡相同；銷售人利用使你倍感壓力的方式來銷售服務等等，均屬誤賣行為。 此次的規則擴張，在規範對象上也會納入那些使用用戶迴路的服務提供者。Ofcom認為在日益激勵的市場競爭下，這些擴張規則有助於消費者權益，並能保護他們免受不適當的銷售活動干擾，更可確保消費者追求更好消費標的市場信心。
美國加州網路中立法遭司法部提告美國加州州長Jerry Brown於2018年09月30日簽署該州的網路中立（Net Neutrality）Senate Bill 822法案，但美國司法部（Department of Justice，DoJ）隨即於同日對加州提起訴訟。DoJ指出Senate Bill 822法案牴觸聯邦政府於2018年對於網際網路採取解除管制之政策，該法案意圖阻撓聯邦政策的施行，有違美國憲法。 美國國會於1996年針對電信法（The Communications Act）制定「聯邦或州對網路低度管制（unfettered by Federal or State regulation）」之政策，美國聯邦通訊委員會（Federal Communications Commission，FCC）為符合該政策，於2002年發布命令，將寬頻網路接取服務列為資訊服務（information service），而美國不將資訊服務提供者以公共事業來看待並進行管理。雖然FCC於2015年就網路中立性訂立規則，要求網路服務提供者（Internet Service Provider）應平等處理所有資料，不得擅自降低流量速度、封鎖網站或服務，以確保任何人獲取資訊時不受不合理的限制。但FCC於2017年12月取消網路中立規定，並確保網際網路會在FCC之低度管制措施下，持續維持其自由與開放性。 DoJ及FCC均認為，網際網路本質上為跨州資訊服務，依據美國憲法第6條第2項規定，憲法、聯邦法律及美國對外條約為全國之最高法律，跨州之商務(interstate commerce)應屬聯邦管轄事項而非州管轄事項。因此，在聯邦政府已廢除網路中立性的情形下，且州政府沒有制定州際貿易規範的權限，則加州政府通過Senate Bill 822法案對網路立法監管，針對網路使用頒布違法且極端的法令，是企圖藉由Senate Bill 822法案破壞聯邦政府的規定，不當限制網路自由，與聯邦政府政策有所牴觸，此為違法及不利於消費者。故DoJ聲明其有責任捍衛聯邦政府的特權（prerogatives）以及維護憲法秩序。為此，DoJ起訴聲明為禁止加州執行Senate Bill 822法案，並請求法院判決Senate Bill 822法案無效。 雖然美國聯邦政府廢除網路中立性，但此政策受民主黨、Facebook、Amazon等著名大型科技公司及消費者的抨擊。因此，就DoJ起訴加州Senate Bill 822法案違法，法院是否認同DoJ所主張的牴觸美國憲法，以及美國對於網路中立性議題的後續發展，值得觀察。
英國提出因應GDPR自動化決策與資料剖析規定之細部指導文件2018年5月，英國資訊專員辦公室（Information Commissioner’s Office, ICO）針對歐盟GDPR有關資料自動化決策與資料剖析之規定，公布了細部指導文件（detailed guidance on automated decision-making and profiling），供企業、組織參考。 在人工智慧與大數據分析潮流下，越來越多企業、組織透過完全自動化方式，廣泛蒐集個人資料並進行剖析，預測個人偏好或做出決策，使個人難以察覺或期待。為確保個人權利和自由，GDPR第22條規定資料當事人應有權免受會產生法律或相類重大效果的單純自動化處理決策（a decision based solely on automated processing）之影響，包括對個人的資料剖析（profiling），僅得於三種例外情況下進行單純自動化決策： 為簽訂或履行契約所必要； 歐盟或會員國法律所授權； 基於個人明示同意。 英國2018年新通過之資料保護法（Data Protection Act 2018）亦配合GDPR第22條規定，制定相應國內規範，改變1998年資料保護法原則上容許資料自動化決策而僅於重大影響時通知當事人之規定。 根據指導文件，企業、組織為因應GDPR而需特別留意或做出改變的事項有： 記錄資料處理活動，以幫助確認資料處理是否符合GDPR第22（1）條單純自動化決策之定義。 倘資料處理涉及資料剖析或重大自動化決策，應進行資料保護影響評估（Data Protection Impact Assessment, DPIA），判斷是否有GDPR第22條之適用，並及早了解相關風險以便因應處理。 提供給資料當事人的隱私權資訊（privacy information），必須包含自動化決策之資訊。 應確保組織有相關程序能接受資料當事人的申訴或異議，並有獨立審查機制。 指導文件並解釋所謂「單純自動化決策」、「資料剖析」、「有法律效果或相類重大影響」之意義，另就可進行單純自動化決策的三種例外情況簡單舉例。此外，縱使符合例外情況得進行單純自動化決策，資料控制者（data controller）仍必須提供重要資訊（meaningful information）給資料當事人，包括使用個人資料與自動化決策邏輯上的關聯性、對資料當事人可能產生的結果。指導文件亦針對如何向資料當事人解釋自動化決策處理及提供資訊較佳的方式舉例說明。
M2M時代下的資料保護權利之進展－歐盟與日本觀察