資通安全法律案例宣導彙編 第4輯
積極管理機制出爐後，行政院正在研議規劃有效開放政策，包括投資大陸 40 ％上限鬆綁事宜，但尚未形成決策時間表。 40 ％上限究竟如何鬆綁，政府高層高度關切，據悉，政府已委託財經智庫提供一份兩岸經貿對策建議白皮書，擬作為政府兩岸政策建議及六月召開台灣經濟永續成長會議決策參考，智庫建議應視個別企業、個別產業個案檢視放寬，對大陸投資利益必須大於不良負作用。 財經智庫建議以七大配套指標決定 40 ％上限的鬆綁，七大指標包括：一、產業無法在台生產，也無法擴大中國以外的市場生產，應予放寬；二、在中國市場屬於領先地位，且可繼續擴大市場；三、在中國獲利可匯回台灣回饋股東；四、企業領先全球，必須對中國擴大投資以繼續取得全球領先地位。五、該企業在台有很大營運及研發中心，即以台灣為根；六、該企業有重大技術及品牌成就，可去大陸市場攻城掠地；七、外資持股比例高且公司治理的守法紀錄良好者。 一旦 40 ％可有條件鬆綁，相關官員表示，將考慮對特定回台上市台商研擬放寬其股市上市條件，籌資再投資大陸的上限也可視為外資放寬。政府希望企業可以去大陸攻城掠地，但不希望把大陸當成唯一生產基地，企業把生產及上中下游關聯性產業一起帶走，甚至移出研發，例如筆記型電腦，對台灣造成失業等諸多不利負作用，因此台灣必須保留生產基地，生產高附加價值產品。
事前的事故應變計畫得降低資料外洩成本根據Ponemon Institute的調查，2011年至2012年中，英國企業資料侵害事故平均成本增加了15%。賽門鐵克指出，若企業備有正式的事故應變計畫，每項資料侵害事故的平均成本會降低至13英磅左右。除此之外，雇用外部顧問來協助應變，資料侵害事故的平均成本也會節省4英磅。 依據新的資料保護法律架構，歐盟委員會日前已開始擬訂新的資料侵害事故通知制度。同時，根據不同委員會的需求，未來將針對特定產業，制定新的網路與資訊安全管理規範。 專家評估未來責任保險將成為確保資訊安全的新潮流。企業藉由事先擬定事故應變計劃來降低資料侵害的風險，同時也進行風險轉移的處置措施。各項事故應變計劃之中，保險制度是企業目前較感興趣的措施之一。保險制度除了可用於風險轉移之外，企業還可以從中取得資料侵害事故的專家網絡。這些專家包含事故鑑定專家、公共關係專家、風險管理專家，信用監測提供者或是資料侵害事故的事務處理公司，例如：協助發送事故通知的公司。保險業建置的專家網絡，未來將可以幫助要保人，以最快最省成本的方式處理相關事故。
由Meta案看數位資料商業化面臨之跨國問題於2023年5月22日愛爾蘭資料保護委員會（Ireland's Data Protection Commission, DPC）對於Facebook的母公司Meta將歐盟境內資料傳輸到美國的行為做出開罰12億歐元的決定，並暫停資料跨境傳輸行為，再次引起了各界對於資料跨境傳輸的關注。 針對跨國提供網路服務的企業，如何確保企業處理資料的方式可以符合多國的法規要求，向來是一困難的問題。自從2015年「安全港隱私準則」（Safe Harbour Privacy Principles）被歐盟法院宣告失效後，美國與歐盟試圖就資料跨境傳輸重新達成一個可符合雙方要求的框架，包含2020年被歐盟法院宣告無效的「隱私盾框架」（EU-US Privacy Shield Framework），而2022年3月雙方達成原則性同意的歐盟美國資料隱私框架（EU-U.S. Data Privacy Framework, DPF），惟就美國於同年10月發布用以實施之行政命令（EO 14086），亦於2023年5月被歐洲議會認為對於歐盟境內資料的保護不足。 2023年6月8日英國跟美國共同發布建立英美資料橋（UK-US data bridge）的聯合聲明，以建立起英美之間的資料流動機制，但該英美資料橋是基於歐盟美國資料隱私框架做進一步的擴展，能否符合歐盟對於資料保護的要求，目前尚無法預期。 目前的商業模式中資料跨境傳輸是難以避免的現實困境，各國亦就資料跨境傳輸建立框架，企業需持續關注自身營業所在地之法規變化，以即時因應調整自身管理機制。 本文同步刊登於TIPS網站（https://www.tips.org.tw/）
日本2017年5月30日修正施行之個人資料保護法，對於家長會蒐集、處理、利用個人資料之影響依日本2017年5月30日修正施行之個人資料保護法的最新規定，家長會、同學會、管委會等，就個人資料的蒐集、處理、利用，應與以蒐集、處理、利用個人資料為業之公司行號，在法律上承擔相當之責任、義務。 因此自2017年5月30日起，家長會蒐集、處理、利用個人資料，需要注意以下四點： 一、經當事人請求，應刪除其個人資料。 修正後的個人資料保護法施行後，明知未經或不確定是否經學生監護人同意，而取得其個人資料，都是違法的行為。但目前已經取得的個人資料，即使明知未經或不確定是否經學生監護人同意，也不需要立即刪除。惟若當事人請求刪除，則必須立即刪除。 二、學校應善盡告知之義務，取得學生監護人之同意後，方得將其個人資料轉交家長會蒐集、利用、處理，。 修正後的個人資料保護法允許由學校取得學生監護人之同意後，將其個人資料轉交家長會蒐集、利用、處理。但如果校方未充分盡到告知義務，則有違法之虞。實務上在九州的熊本曾經發生過這樣的案例，由於家長會未依法蒐集、處理、利用其個人資料，監護人提起告訴，最後雙方在二審達成和解。 三、經過監護人同意，方得將其個人資料造冊並刊登照片 由於須明確取得學生監護人之同意，方得將其個人資料造冊並刊登照片。因此為避免學校未善盡告知義務，建議家長會直接請監護人填妥加入家長會之同意書，並於同意書上載明授權蒐集、處理、利用其個人資料之範圍。 四、遵從個人情報保護委員會的指導 若家長會有非法蒐集、利用、處理個人資料之虞，個人情報保護委員會可以檢查並限期改正。屆期如未改正，可裁處罰金或懲役。