「資訊儲存服務」提供者法律責任之研究－以日本實務新興發展為例
郭戎晉
副主任兼應研組組長 編譯整理
由於美國之主要電信業者與有線電視業者紛紛推出語音、數據與影音三合一服務(triple play)，彼此之間的競爭也日益激烈。為搶奪市場，電信業者與有線電視業者分別向美國聯邦通訊傳播委員會(FCC)提出申訴，指競爭對手以不公平方式阻擋客戶轉換服務提供業者。如2008年2月間，Comcast、Time Warner 等有線電視業者向FCC申訴，Verizon 及其他既有電信業者在消費者申請電信號碼可攜服務過程中，以違反通訊法(the Communications Act of 1934)規定方式，利用消費者之個人資料進行「客戶忠誠度行銷」(Customer retention marketing)。電信業者在3月間亦向FCC申訴，有線電視業者拒絕接受競爭對手代替消費者申請取消原訂服務，而要求消費者親自申請，造成消費者轉換服務提供業者之困擾，不利電信業者爭取客戶轉向訂閱其他業者之影音服務。 針對有線電視業者所提出之申訴，FCC執行局(the Enforcement Bureau)認為，就法條解釋觀之，電信業者此一利用消費者資料的方式並未違反通訊法之規定，故建議FCC駁回有線電視業者之申訴。然而，有鑑於電信業者與有線電視業者之間競爭逐漸白熱化，執行局建議FCC就「客戶忠誠度行銷」行為涉及之客戶資料使用與市場競爭利益發佈「初步立法公告」(Notice of Proposed Rulemaking, NPRM)，徵詢各方意見，希望建立能一體適用於各個不同平台之規範，以因應跨業競爭問題。
歐洲發展智慧電網對資訊安全與隱私保護之現況歐盟執委會於2011年4月發布的「智慧電網創新發展」（Smart Grids: from innovation to deployment, COM(2011) 202 final），在有關資訊安全與隱私的部分指出，應建立消費者（consumer）隱私的保護規範，促進消費者的使用意願並瞭解其能源的使用狀況；在資訊交換的過程中，亦須保護敏感的商業資訊，使企業（companies）願意以安全的方式提供其能源使用訊息。 歐盟保護個人資料指令（Directive 95/46/EC）是保護個人資料的主要規範，同時也適用在智慧電網個人資料的保護上，但此時則需要去定義何謂個人資料，因為在智慧電網的發展中，有些屬於非個人資料。若為技術上的資訊而不屬於個人資料的範圍，能源技術服務業者（energy service companies）則不須經同意即可讀取該些資訊以作為分析使用。考慮將來廣泛建置智慧電網後，各會員國可能遭遇如何認定是否為個人資料及其保護的問題，因此目前傾向採取「privacy by design」的方式，亦即在系統設計之初，即納入資訊的分類，而不做事後的判斷。 對於此，歐盟執委會於2012年3月發布「智慧電表系統發展準備建議」（COMMISSION RECOMMENDATION of 9.3.2012 on preparation for the roll-out of smart metering systems），對於相關定義、資料保護影響的評估（例如各會員國必須填寫並提交執委會提供的評估表格，且提交後則必須遵循相關規範）、設計時的資料保護及預設（例如在系統設計時一併納入對資料的保護，使之符合資料保護的相關法規）、資料保護的方式（例如會員國必須確保個人資料的蒐集、處理及儲存是適當的並且具有關連性）、資料安全（例如對於資料偶然的或非法的破壞、或偶然的喪失等情形，亦應予以規範）、智慧電表的資訊與透明化（例如在蒐集相關個人資料後，仍應依規範提供資料主體相關的訊息）等方面提出建議，供各會員國於制訂相關規範時的依據。
GDPR跨國執法新程序帶來的變革GDPR跨國執法新程序帶來的變革 資訊工業策進會科技法律研究所 2025年12月10日 隨著2025年12月12日歐盟官方公報（Official Journal, OJ）正式發布《一般資料保護規則》（General Data Protection Regulation, GDPR）跨境執法補充程序規則[1]（Regulation (EU) 2025/2518），表彰歐盟立法者在協調GDPR跨境執法邁出關鍵的一步。新規則規範各成員國個資監管機關（Supervisory Authorities, SAs）於執行跨境GDPR投訴與進行案件調查的應遵守程序規則。 壹、立法背景 個資監管機關在其成員領土範圍享有管轄權，惟控制者或處理者於多成員國設立據點或處理資料時，各監管機關必須合作並共享決策，此種方式稱為一站式機制（one-stop-shop mechanism）。營運者主要據點的個資監管機關應負責協調監督任務，該主責之個資監管機關稱為主導監督機關（Lead Supervisory Authority, LSA），與此相對的個資監管機關被稱為相關監督機關（Supervisory Authorities Concerned, CSA），兩者需合作過程中交換相關資訊。此種合作模式偏向分散式執法，而導致個人救濟的遲延、如企業主要據點變更須移轉SA管轄權導致執法程序延宕等諸多功能性缺陷，減損GDPR希望達到的執法一致性[2]。 於此背景下，歐盟執委會（European Commission）便提出了一項補充性規則提案[3]，企圖提高各盟成員個資監管機關跨境執法效率與一致性。這項提案於2025年6月16日達成協議[4]，於2025年10月21日由歐盟議會（European Parliament）宣布通過最終文本，並後續於同年11月17日由歐盟理事會（Council of the European）正式宣布通過，於同年12月12日正式發布於歐盟官方公報（Official Journal, OJ）。 貳、重點概覽 一、 統一的申訴規則 新補充規範適用之前提涉及跨境執法，其具體適用範圍主要有兩類，其一是基於申訴之調查（complaint-based）；第二類是基於職權之調查（ex officio）。此外，涉及跨境處理之案件進行申訴處理與調查，亦包括判定該案件是否屬於跨境處理。 新補充規則進一步調整以往各國不協調的申訴受理標準，建構統一的跨國申訴受理標準。依據新補充規則，提起跨境資料處理的申訴案件，應包含： 1.申訴人之姓名與聯絡資訊； 2.有助於識別被申訴對象（資料控制者或處理者）的資訊； 3.涉及違反GDPR行為之描述。 除前述資訊外，不得要求提供其他額外資訊作為其可受理之要件。監管機關應於2周內評估申訴是否可受理，受理申訴之個資監管機關如認定該申訴未包含前述資訊，應於收到該申訴之兩週內，宣告其為不可受理，並將其理由告知申訴人。 二、程序保障－意見陳述與行政檔案的資訊近用 對於受調查的組織，新補充規則提供相對應的程序保障，以確保個資監管機關做出最終決定前，組織能有意見陳述的機會，也就是意見陳述權（The right to be heard）。 當主導監督機關（Lead Supervisory Authority, LSA）初步認為存在違反GDPR的行為時，必須先擬定「初步調查結果」（preliminary findings）給受調查組織。該初步調查結果必須包含事實、證據和法律評估，以及擬採取的糾正措施（例如罰款）。 初步調查結果通知後，受調查的組織有少至三週時間，至多有六週時間以書面回應或申請聽證。 陳述意見權的配套是對行政檔案之近用權，被調查當事人與申訴人均有權近用行政檔案，但須排除： 1.監管機關內部資訊； 2.商業機密或其他機密資訊。 三、提升案件決策效率的機制 目前對GDPR執法的常見批評之一是決策速度緩慢。新補充規引入較嚴格的決策期限限制和提高效率的機制。 （一） 決策期限 原則上，主導監管機關應於其管轄權獲確認之日起十五個月內提出決定草案；該期間僅得於例外情形下延長一次。 （二） 早期解決程序 引入一套機制來快速處理申訴。如果GDPR違法行為已得到糾正，且投申訴不成立，在申訴人不提出異議的情況下，個資監管機構得逕行結案。 （三） 簡化合作程序 對於「情節明確、無合理疑義」之案件，個資監管機關得選擇採行簡化之合作程序，以避免行政官僚程序所造成之延宕。 參、結語 跨境執法補充程序規則，旨在解決過去跨境個資案件中程序延宕、不一致等長期性問題。具體而言，其措施包含進一步細化申訴可受理標準、明確化調查程序的陳述意見權、行政檔案近用與商業機密保護並提高決策效率。 這套補充規則透過更詳細的規範，補足既有一站式機制的不足，有機會使跨境資料處理申訴案件能更有效率且同時以兼顧透明度與正當程序之方式獲得解決。 [1] Regulation (EU) 2025/2518, O.J. L, 2025/2518, 12.12.2025, https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=OJ:L_202502518 [2] European Parliament [EP], Newly proposed GDPR procedural rules: Improving efficiency and consistency 4(2024). [3] COM(2023)0348 – C9-0231/2023 – 2023/0202(COD). [4] European Council [EC], Data protection: Council and European Parliament reach deal to make cross-border GDPR enforcement work better for citizens, https://www.consilium.europa.eu/en/press/press-releases/2025/06/16/data-protection-council-and-european-parliament-reach-deal-to-make-cross-border-gdpr-enforcement-work-better-for-citizens/ (last visited Dec.8, 2025)
日本《經濟安全保障推進法》專家小組第1次會議提出「確保特定重要物資穩定供給之基本指導方針」2022年7月25日，日本政府召開今年5月公布的《經濟安全保障推進法》專家小組第1次會議，會議提出「確保特定重要物資穩定供給之基本指導方針」（特定重要物資の安定的な供給の確保に関する基本指針），指出在日益複雜的國際情勢及社會經濟結構變化中，自由經濟原則所承擔的風險逐漸增加，在經濟安全問題上，政府應有更多參與和監管，不可過度依賴市場競爭，並明確規定政府應適當指定符合下列4要件之物資為「特定重要物資」： 一、人民生存和經濟活動所必需 指被多數人廣泛使用、融入於各行各業中，在經濟合理的角度觀察，沒有替代品的物資。 二、避免過度依賴外部資源 指資源掌握於特定少數國家或地區，如供應中斷將造成日本境內重大影響者。或基於社會經濟結構變化和技術創新趨勢，是否有如不採取因應措施，可能有過度依存風險之外部資源。 三、因外部行為造成中斷供給的可能性 因外部行為（如供應國暫停出口）導致供應中斷，對人民生活與經濟活動發生重大影響者，包含發生之可能性。 四、除前述3要件外，認有特別必要性時 例如，近年有供應中斷紀錄，或出現供應中斷風險提升的傾向，須立即採取措施時等情形。 此外，日本政府規劃將減少「特定重要物資」對國外的進口依賴，並授權政府可對企業的原物料供應商及庫存進行調查，拒絕者將課以罰責，以確保「特定重要物資」的穩定供應。