美國國安局網站違法使用長期性“Cookies”
所謂“Cookies”，指於使用者端紀錄該用戶造訪某一網站的過程與從事之活動，以使得下次進行相同網路瀏覽更為容易之工具。例如，透過Cookies紀錄的功能，使用者就可以將帳號與密碼記載於電腦中，再次造訪時即不用再次輸入帳號密碼以提供認證。
根據預算管理（Office of Management and Budget, OMB）於2000年公布之備忘錄Memorandum for the Heads of Executive Departments and Agencies（M-00-13）指出，聯邦政府機關除在於「必要需求」（Compelling need）下，不得使用長期性的“Cookies”。所有留在造訪民眾端的“Cookies”，必需隨著用戶關閉視窗而被消除。
NSA發言人Don Weber表示，NSA網站過去所使用的“Cookies”都是會隨者造訪者關閉網頁即刪除的暫時性“Cookies”，而這次之所以會產生長期性的“Cookies”留存在造訪者端，完全是因為NSA電腦系統更新不小心產生的，並非刻意用來作為監視使用者之工具。但民間團體則表示，這顯示了聯邦政府機關缺乏對於隱私權規範之認知，違反了國家最基本的隱私保護規範還不自知。
目前NSA已修正該程式，並清除了這些長期性的“Cookies”。
新加坡個人資料保護委員會（Singapore Personal Data Protection Commission, PDPC）於2022年5月17日，公布「於安全性應用程式負責任地利用生物特徵識別資料指引」（Guide on the Responsible Use of Biometric Data in Security Applications），協助物業管理公司（Management Corporation Strata Title, MCST）、建築物及場所所有者或安全服務公司等管理機構，使各管理機構更負責任地利用安全攝影機和生物特徵識別系統，以保護蒐集、利用或揭露的個人生物特徵識別資料。 隨著安全攝影機等科技應用普及化，管理機構以錯誤方法處理個人生物特徵識別資料之情形逐漸增多，因此PDPC發布該指引供管理機構審查其措施。其中包括以下重點： （1）定義生物特徵識別資料包含生理、生物或行為特徵，及以此資料所建立之生物特徵識別模版； （2）說明維安攝影機及生物特徵識別系統運用所應關鍵考量因素，如避免惡意合成生物特徵之身分詐欺、設定過於廣泛而使系統識別錯誤等情形，並舉例資料保護產業最佳範例，如資料加密以避免系統風險、設計管理流程以控管資料等； （3）說明生物特徵識別資料在個資法之義務及例外； （4）列出實例說明如何安全監控之維安攝影機，並提供佈署建築物門禁或應用程式存取控制指引，例如以手機內建生物識別系統管理門禁，以取代直接識別生物特徵，並有提供相關建議步驟及評估表。 該指引雖無法律約束力，仍反映出PDPC對於安全環境中處理生物特徵識別資料之立場。而該指引目前僅針對使用個人資料的安全應用程式之管理機構應用情境，並未涵蓋其他商業用途，也未涵蓋基於私人目的使用安全或生物特徵識別系統之個人，如以個人或家庭身分使用居家高齡長者監控設備、住宅生物特徵識別鎖等應用情境。
簡介〈歐盟提供合格信任服務者依循標準建議〉簡介〈歐盟提供合格信任服務者依循標準建議〉 資訊工業策進會科技法律研究所 2021年6月25日 壹、事件摘要 歐盟於2014年通過「歐盟內部市場電子交易之電子身分認證及信賴服務規章」（簡稱eIDAS規章）[1]，並於2016年7月正式生效。eIDAS規章是在歐盟1999年電子簽章指令[2]的基礎上，進一步建構一個更安全、更具信賴、更易於使用電子簽章的法律框架，以促進整個歐盟跨境間的電子交易環境，進而達到歐盟數位單一市場的目標[3]。 eIDAS規章共有六章，其核心包含兩大部分[4]，在第二章中規範了電子識別機制（Electronic Identification），並於第三章中建構一系列電子交易中相關信任服務（Trust Services, TS）的法律架構，包含電子簽章（Electronic signatures）、電子封條（Electronic seals）、電子時戳（Electronic time stamps）、電子註冊傳輸服務（Electronic registered delivery services）、網站認證（Website authentication）。每種信任服務，又可以區分由一般的信任服務提供者（Trust Service Provider, TSP）或由合格信任服務提供者（Qualified Trust Service Provider, QTSP）提供，要成為QTSP必須經各成員國的監督機關授予合格地位後，才能提供該類合格信任服務（Qualified Trust Service, QTS），在eIDAS規章中合格信任服務具有更高的法律效力。譬如，根據eIDAS規章第25條第2項規定，合格電子簽章（qualified electronic signature）與手寫簽章具有同等的法律效力。 歐盟網路安全局（European Union Agency for Cybersecurity, ENISA[5]）於2021年3月發布一份報告，提供合格信任服務者依循標準的建議（Recommendations For QTSPs Based On Standards） [6]，給想要申請成為QTSP的業者參考。 貳、重點說明 承前所述，eIDAS規章的目的是要建構一個促進跨境、跨產業的電子交易的環境，為弭平各會員國對於電子識別服務的落差，報告中指出，必須透過法律框架（Legal framework）、信賴框架（Trust framework）、標準化框架（Standardisation framework）共同達成，以提升歐盟數位單一市場中企業和消費者的信任，並促進信任服務和產品的使用。 （一）法律框架 eIDAS規章中規定了9種QTS的安全要求及其提供者的義務，包括： 1.電子簽章的合格憑證； 2.電子封條的合格憑證； 3.網站認證的合格憑證； 4.合格電子時戳服務； 5.合格電子簽章的合格驗證服務； 6.合格電子封條的合格驗證服務； 7.合格電子簽章的合格維護服務； 8.合格電子封條的合格維護服務； 9.合格電子註冊傳輸服務。 （二）信賴框架 其次，eIDAS規章透過事前（ex ante）和事後（ex post）監督的方式，來確保QTSP及其提供的QTS符合eIDAS規章中的法律要求。欲申請成為QTSP須先經過符合性評估機構（Conformity Assessment Body, CAB）的評估，由其出具評估報告後，再由各成員國的監督機關決定是否授予QTSP資格；取得QTSP資格後會受到不定期稽核，且至少每24 個月須再次自費通過CAB評估審核[7]。 （三）標準化框架 eIDAS規章中對各項TS的安全要求是採取技術中立（technology-neutral）的態度，並未限定要採用何種特定技術。換言之，TSP可以透過不同的技術達到eIDAS規章中要求的必要安全程度。事實上，歐盟希望在eIDAS規章所建構的法律框架和信賴框架中，透過產業自律，慢慢形成相關的標準共識。 歐盟從2009年開始，就由歐洲標準化委員會（European Committee for Standardization, CEN）、歐洲電信標準協會（European Telecommunications Standards Institute, ETSI）等歐盟標準化組織協助擬定和更新電子簽章的相關標準，希望可以建立一個更完整的標準化框架，以解決歐盟跨境使用電子簽章遭遇的問題，至今已經建構出一系列電子簽章和相關信任服務的標準，以滿足國際及eIDAS規章的要求，ETSI/CEN與數位簽章有關的標準包含七個面向。 1.介紹性 此類標準主要是關於各類簽章的共通定義、研究、其他關於整體性架構的介紹。 2.簽章的建立與驗證 此類標準主要是關於簽章建立及驗證的政策與安全要求、所要遵循的規則和程序、格式、保護剖繪（Protection Profiles, PP）[8]。 3.簽章建立和其他相關設備 此類標準主要是與電子簽章產生的設備，以及其他與數位簽章相關服務的設備有關。 4.加密 此類標準主要是與簽章的加密有關，譬如金鑰產生演算法（key generation algorithms）和雜湊函數（hash functions）等。 5.支持數位簽章及相關服務的TSP 此類標準主要是關於核發合格憑證的QTSP、網站認證憑證的TSP、時戳服務的TSP、提供簽章驗證服務的TSP等。 6.信任應用服務提供者 此類標準主要與應用電子簽章提供加值服務的TSP有關，如電子傳輸服務、資料檔案長期保存服務等。 7.信任服務資格提供者 此類標準主要與eIDAS規章中信任名單（trusted lists）相關的程序和格式有關[9]。 其中，在ETSI/CEN關於數位簽章的標準中，主要與QTSP有關的標準如下： 1.電子簽章的合格憑證（eIDAS規章第28條） ETSI EN 319 411-2（且要符合EN 319 401、EN 319 411-1、EN 319 412-2、EN 319 412-5）。 2.電子封條的合格憑證（eIDAS規章第38條） ETSI EN 319 411-2（且要符合EN 319 401、EN 319 411-1、EN 319 412-3、EN 319 412-5）。 3.網站認證的合格憑證（eIDAS規章第45條） ETSI EN 319 411-2（且要符合EN 319 401、EN 319 411-1、EN 319 412-4、EN 319 412-5）。 4.合格電子時戳（eIDAS規章第42條） ETSI EN 319 421（且要符合EN 319 401）、EN 319 422。 5.合格電子簽章的合格驗證服務（eIDAS規章第33條） ETSI TS 119 441（且要符合EN 319 401）、TS 119 442、EN 319 102-1、TS 119 102-2、TS 119 172-4。 6.合格電子封條的合格驗證服務（eIDAS規章第40條） ETSI TS 119 441（且要符合EN 319 401)、TS 119 442、EN 319 102-1、TS 119 102-2、TS 119 172-4。 7.合格電子簽章的合格維護服務（eIDAS規章第34條） ETSI EN 319 401、TS 119 511、TS 119 512。 8.合格電子封條的合格維護服務（eIDAS規章第40條） ETSI EN 319 401、TS 119 511、TS 119 512。 9.合格電子註冊傳輸服務（eIDAS規章第44條） ETSI EN 319 401、EN 319 521、EN 319 522、EN 319 531、EN 319 532。 參、事件評析 從歐盟ENISA的建議可以瞭解，歐盟希望透過介紹歐盟標準化組織所制定的相關電子簽章標準，來引導資通訊廠商申請成為QTSP，提供歐盟企業和使用者更安全、更值得信賴的電子簽章相關服務，以強化使用者的信心，進而促進整個歐盟電子交易的蓬勃發展。 近年來，我國企業也積極投入數位轉型，在邁向數位化的過程通常需要由外部的資通訊廠商協助。然而，由於企業對於資通訊技術不熟悉，因此在選擇資通訊廠商時，往往不知道如何判斷其專業能力，或許企業可以參考上述的介紹，以該廠商是否符合歐盟相關標準的要求，作為選擇資通訊廠商的參考依據，以確保資通訊廠商的能力具有一定水準，這樣對於企業數位轉型及進軍歐盟市場會相當有助益。 [1]Regulation (EU) No 910/2014 of the European Parliament and of the Council of 23 July 2014 on electronic identification and trust services for electronic transactions in the internal market and repealing Directive 1999/93/EC, https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=uriserv%3AOJ.L_.2014.257.01.0073.01.ENG (last visited Jun. 24, 2021). [2]Directive 1999/93/EC of the European Parliament and of the Council of 13 Dec. 1999 on the a Community Framework for Electronic Signatures, https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=celex%3A31999L0093 (last visited Jun. 24, 2021). [3]參前註1，eIDAS前言(3). [4]中文介紹可參考李姿瑩，〈歐盟eIDAS對國內電子簽章和身分認證規範之可能借鏡〉，《科技法律透析》，第31卷第11期，25-32頁，（2019年11月）。 [5]「歐盟網路安全局」原名為「歐盟網路及資訊安全局」(European Union Agency for Network and Information Security)，2019年更改為現名，但該局的英文縮寫仍維持舊稱ENISA。The European Union Agency for Cybersecurity - A new chapter for ENISA, ENISA, https://www.enisa.europa.eu/news/enisa-news/the-european-union-agency-for-cybersecurity-a-new-chapter-for-enisa (last visited Jun. 24, 2021). [6]European Union Agency for Cybersecurity [ENISA], Recommendations for Qualified Trust Service Providers based on Standards (2021), https://www.enisa.europa.eu/publications/reccomendations-for-qtsps-based-on-standards (last visited Jun. 24, 2021). [7]參前註1，eIDAS規章第20條。 [8]保護剖繪是指申請者依共同準則規章（common criteria, CC）製作之資通安全產品安全基本需求文件，可提供資通安全產品開發者開發產品之依據。〈常見問題/Q02.何謂保護剖繪?〉，國家通訊傳播委員會，https://ise.ncc.gov.tw/faq（最後瀏覽日：2021/06/24）。 [9]參前註1，eIDAS規章第22條第2項、第4項。
德國2021年再生能源法修正草案最新發展德國的再生能源法（Renewable Act）在經歷過2014年及2016年兩次較大的修正後，今年度九月由部分上議院議員提出修正草案。 德國再生能源法起源於20年前，當時主要重點在於提升離岸發電、太陽光電（Solar PV）及生物氣體、水力資源對於城市用電的供應率。由於現階段德國幾乎半數的城市用電仰賴上開再生能源，因此2021年度的修法上，主要導向了協助再生能源廠得以更完善的準備進入市場，包括與現有的政策發展接軌，例如2020年的國家氫能源政策（hydrogen strategy）及電動車的電價制定等。以下將列舉數項較為重大之項目： 實現2050年碳中立的目標 結合歐盟遠大的氣候目標 擴大再生能源產能 重新制定再生能源徵收稅款 提高公眾對於再生能源的接收度 於德國南方增設更多風力發電的渦輪機及生物燃料 訂定彈性電價 提升太陽能板安裝回饋酬勞 響應氫能源政策，擬使氫能源廠商於使用再生能源時得免付費（但此項提案尚待利害關係人取得共識）。 本次再生能源法的修正提案誠然立意良善，但仍有不少批評者認為，本次修法未將日後使用再生能源的人數可能增加一事納入考量，且未將老舊風機重新供電等事納入法規中。 而根據11月份修法決議結果，德國政府並未採納上開提案，其中主要理由是認為該草案所列之內容無法達成氣候目標（climate targets），並建議該提案應擴張再生能源產能，尤其是離岸風電及太陽能。德國能源部則認為提案中所預估的2030年電力需求過低，無法切實因應未來的需求，是以，未來德國再生能源法之修法方向仍有待持續觀察。
金融憑證增至22家 網路報稅人次可望締新猷又到了報稅的季節。依據財政部統計，台灣使用網路報稅人口年年成長，在2002年約有35萬人使用網路報稅，2003年成長超過1倍，有75萬人口使用網路報稅，而去年則有102萬人口使用網路報稅，較前年成長36%。 使用金融憑證網路報稅可簡化繁瑣報稅程序，去年只有8家金融機構提供報稅服務，今年則提高至22家，預估今年透過網路報稅的納稅人，可望衝破歷年人數。包括元富證、元京証、台証證、日盛金控、國泰、新光人壽等22家金融機構，己於3月17日經財政部審核通過，可使用台灣網路認證公司之網路銀行、網路下單及網路保險憑證用於94年個人綜合所得稅網路結算申報，透過申報軟體，使用「金融憑證」即可查詢下載93年度「夫、妻、未成年子女」之戶籍資料、扣 (免)繳及股利憑單所得資料，逐筆確認修正無誤，由電腦自動試算稅額後，傳輸申報資料，並自行列印收執聯保存，完成報稅手續。