美國國安局網站違法使用長期性“Cookies”

  雖然美國政府明文規定禁止聯邦政府機關使用長期性“Cookies”,但國家安全局(The National Security Agency, NSA)近日卻被發現將永久性“Cookies”放置於造訪該網站民眾之電腦之情形,且保存期限長達30年(直到2035年)。


  所謂“Cookies”,指於使用者端紀錄該用戶造訪某一網站的過程與從事之活動,以使得下次進行相同網路瀏覽更為容易之工具。例如,透過Cookies紀錄的功能,使用者就可以將帳號與密碼記載於電腦中,再次造訪時即不用再次輸入帳號密碼以提供認證。


  根據預算管理(Office of Management and Budget, OMB)於2000年公布之備忘錄Memorandum for the Heads of Executive Departments and Agencies(M-00-13)指出,聯邦政府機關除在於「必要需求」(Compelling need)下,不得使用長期性的“Cookies”。所有留在造訪民眾端的“Cookies”,必需隨著用戶關閉視窗而被消除。


  NSA發言人Don Weber表示,NSA網站過去所使用的“Cookies”都是會隨者造訪者關閉網頁即刪除的暫時性“Cookies”,而這次之所以會產生長期性的“Cookies”留存在造訪者端,完全是因為NSA電腦系統更新不小心產生的,並非刻意用來作為監視使用者之工具。但民間團體則表示,這顯示了聯邦政府機關缺乏對於隱私權規範之認知,違反了國家最基本的隱私保護規範還不自知。


  目前NSA已修正該程式,並清除了這些長期性的“Cookies”。

相關連結
※ 美國國安局網站違法使用長期性“Cookies”, 資訊工業策進會科技法律研究所, https://stli.iii.org.tw/article-detail.aspx?d=291&no=64&tp=1 (最後瀏覽日:2026/07/25)
引註此篇文章
你可能還會想看
加州新修正法規要求公司董事會必須包括女性

  加利福尼亞州(下簡稱加州)州長Jerry Brown於2018年9月30日簽署了一項新法案,規定在加州註冊成立的上市公司以及總部位於加州並在美國證交所上市的外國公司(如德拉瓦州公司),都必須在2019年底之前,於其董事會安排至少一位女性擔任董事,否則將面臨處罰;而此項新規定,亦使加州成為美國第一個要求上市公司將女性納入董事會的州。   此項規定並規定,在2021年年底前,若董事會的規模為6名以上,至少需有3名女性董事,若董事會的規模為5名成員,則至少需有2名女性董事,若董事會規模為4名以下董事,則至少需有1名女性董事。違反此項規定,將受到以下處罰:(1)首次違反處以10萬美元的罰款;(2)再度違反處以30萬美元的罰款,隨後再處以每次違反的罰款。   根據統計,日前在美國3000家最大的上市公司的董事會組成中,女性僅占其中18%,於2017年,更有624家上市公司的董事會中根本沒有女性。該法案表明,促進公司董事會性別平等不僅可以改善所有女性的職場機會,同時還能提高生產力,其依據是瑞士信貸(Credit Suisse)於2014年所作出的一項研究,該研究發現,擁有全男性董事會的公司,其平均股本回報率(Return on Equity, ROE)為10.1%,而擁有至少一名女性董事的公司,其平均股本回報率為12.2%。   根據彭博社(Bloomberg)於2019年的一項新分析,此項變革可為女性提供692個席次,並足以導致美國公司董事會整體性別平衡產生顯著的變化。此外,新紐澤西州(New Jersey)和馬薩諸塞州(Massachusetts)亦在考慮進行類似的立法,其他州也通過了不具拘束力的準則。根據統計,若其他州採用和加州相同立法,羅素3000(Russell 3000)中的公司需要在幾年內為女性開放3732個董事會席次,全國董事會的女性人數將增加近75%。   縱使該法案的反對者認為,這將增加企業改善種族和民族多樣性的難度,並質疑法案的適法性,然該法案的提出者仍認為,此一措施對於提升女性的代表權是必要的,相信當董事會組成多元化,女性的聲音能被聽到時,對整體勞動力的改善會是更好的。

歐盟執委會發布「歐洲風電行動計畫」,支持歐洲風電相關產業之發展

歐盟執委會於2023年10月24日發布「歐洲風電行動計畫(European Wind Power Action Plan)」,以支持歐洲風電相關產業發展並強化其競爭力,同時確保該產業能在綠色轉型的過程中持續扮演關鍵角色,並以此提高整體風電的裝置容量。該計畫要求委員會、成員國和產業應立即採取以下6個方向的行動措施: (1)透過可預測且快速的許可程序,加速風電的建置 執委會與成員國將共同發布「Accele-RES」倡議,推動許可流程的數位化、許可機關的職員訓練及建立政策指引文件,以及提高許可相關議題之討論層級;並且,鼓勵成員國透過風電承諾(Wind Pledges)、透明的競標時程表和長期的規劃來提高開發專案進度的透明度。 (2)改善風電競標機制的設計 在《淨零產業法(Net-Zero Industry Act)》草案和電力市場設計改革的基礎上,建立更客觀、非歧視性且透明化的風電競標標準,並將目標入法使相關策略具法律約束力。 (3)促進資金的取得 為了擴大對於歐洲風能產業的投融資,歐盟執委會將透過創新基金、歐洲投資銀行(EIB)提供歐盟風電相關產業的資金,以及融資擔保;並利用國家援助(State Aid)規範對歐盟風電供應鏈提供補助。 (4)建立公平且具競爭性的國際環境 為確保風電產業能在公平競爭的環境中順利營運,歐盟執委會將密集監管可能有利於外國業者的不公平貿易行為,並將持續利用貿易協定促進歐盟業者進入外國市場,同時推動風電產業的規格標準化。 (5)培育產業技能 建立「大規模技能合作夥伴關係(Large scale skills partnerships)」以及透過《淨零產業法》推動「淨零產業技能學院」,培訓風電產業技術人才,包含針對青年、婦女與長者的職能培育計畫,以及勞工技能提升與再培訓計畫,因應積極的氣候目標以及市場規模快速擴張所創造之人力需求。 (6)鼓勵產業投入與成員國的承諾 歐盟執委會將與成員國和風電產業共同制定歐盟風能憲章(EU Wind Charter),促進更多風電利害關係人參與締約,擴大憲章適用對象,以建立歐洲風電產業能保持競爭力的優良環境。

歐盟將通過新的指令加強科學研究所中所使用之動物的保護

  2010年9月歐洲議會通過第2010/63/EU號指令(DIRECTIVE 2010/63/EU)修正文本,新的指令將修正第86/609/EEC 指令(Directive 86/609/EEC)原有規定,以加強對科學實驗用動物的保護。   2010年5月世界動物健康組織(the World Organisation for Animal Health, OIE)第78屆 大會中通過了第一個國際動物福祉標準,該標準納入OIE陸棲動物健康法典規範(OIE Terrestrial Animal Health Code)做為研究與教育用動物保護的準則,歐盟作為主要的提案者於是加速規範修正作業以回應OIE之承諾。新指令將規定歐盟各國主管機關必須在同意研究採用動物實驗前,評估其他研究方式的可能性並進行倫理評估,如需採用動物實驗應儘可能減少被試驗動物之痛楚,此外新指令也確保被實驗動物享有應有的生存環境,如適當大小的籠子等的要求。   新指令適用範圍將包括教育、訓練與基礎研究用的動物,其包含所有人類以外的活體脊椎動物以及某些可能感受痛楚的物種。靈長類動物如人猿的實驗也被禁止,除非為了該物種本身之生存所需,或者其他可能造成人類生存威脅或疾病之避免所必要方得於各國政府同意下進行之。新的指令將擴大禁止使用人猿、黑猩猩、彌猴等靈長類動物的實驗,除非有證據顯示其他物種的實驗無以達成靈長類動物實驗所能達成之目的,但也有成員國表示擴大靈長類動物實驗的限制將對於神經退化性疾病如阿茲海默症等的研究造成阻礙。   動物實驗的3R原則—取代、減量與改善(replacing, reducing, and refining)在第2010/63/EU號指令修正文本都已有相關規範,歐盟執委會表示歐盟將繼續致力於強化實驗用動物的福祉,同時為了確保新法的貫徹,新指令將授權設立歐盟層級的示範實驗室(Reference Laboratory at European Union level)協調各國採取替代動物實驗的方式。歐盟執委會表示新的指令將會在今年秋天公布。

美國衛生暨福利部於09年8月公布關於醫療資訊外洩通知義務之暫行最終規則

  於2000年基因圖譜解碼後,「基因歧視」議題成為各界關注焦點,而在電子通訊技術之配合下,更加速了包括基因資訊之個人醫療資訊的流通。在此時空背景下,如何能在善用相關技術所帶來的便捷同時,也對於相關資訊不甚外流時,得以有適切的因應措施以保障患者之隱私,成為了必須處理的問題。   美國國會甫於今年(2009年)2月所通過的「經濟與臨床健康資訊科技法」 (The Health Information Technology for Economic and Clinical Health Act, HITECH) 之相關修正中,強化了對醫療資訊之保護,其中要求美國衛生暨福利部(the Department of Health and Human Service, HHS ),針對受保護之醫療資訊未經授權而取得、侵入、使用或公開外洩之情形擬定「暫行最終規則」(interim final rule)進行管理,該項規則亦於今年(2009年)8月24日公布。值得注意的是,HITECH之規範主體(適用主體、商業夥伴)與保護客體(未依法定方式做成保護措施之健康資訊)皆沿用「1996醫療保險可攜性與責任法案」(the Health Insurance Portability and Accountability Act of 1996, HIPAA)之定義。然而,與HIPPA最大的不同在於, HIPAA中僅以私人契約之隱私權政策間接地管理醫療資料外洩事件,但於暫行最終規則中直接課以相關主體一項明確且積極的法定通知義務。HITECH之規範主體,基於其注意義務,應於得知或可得而知之日起算,60日內完成通知義務;視醫療資訊外洩之嚴重程度,其通知之對象亦有所不同,必要時應通知當地重要媒體向外發布訊息,HHS也將會以表單方式公布於其網站中。   整體而言,HITECH首次課以規範主體主動向可能受影響個人通知醫療資訊外洩事件之義務,此為HIPPA過去所未規範者;其次HITECH也突破HIPAA過往基於契約關係執行相關隱私權及安全規定之作法,於法規上直接對於洩露醫療資訊之相關主體課以刑責,強化了違反HIPAA隱私權與安全規定之法律效果。惟值得注意的是,受限於美國國會對HHS提出最終規則之期限要求,HHS現階段所提出的版本僅屬暫行規定,最終規定之最終確切內容仍有待確定,也值得我們持續觀察。

TOP