eBay接連於法國與英國L'Oreal商標侵權訴訟中獲勝
擁有Lancome、YSL（Yves Saint Laurent）及Garnier等全球知名品牌的法國L'Oreal集團，於2007年9月向於英國、法國、德國、比利時及西班牙等五國的法院提起商標侵權訴訟，控告全球網拍龍頭eBay放任網路使用者於eBay出售仿冒的香水、化妝品及其他L'Oreal集團產品，導致L'Oreal蒙受重大損失，主張eBay應為網路使用者的侵權行為負起連帶責任。
但繼2008年8月比利時法院率先判決eBay勝訴後，2009年5月法國及英國法院亦接連判決eBay勝訴。法國巴黎法院於5月14日作成的裁決中，表示eBay已恪遵自身所負義務並以良善態度解決仿冒商品問題，因此eBay毋庸為網路使用者的侵權行為加以負責；法院同時表示eBay與L'Oreal雙方應攜手合作，共同制定打擊侵權行為的策略，以防制仿冒商品繼續透過網路販售流通。
法方判決eBay勝訴未久，英國法院緊接於5月22日判決eBay勝訴，對於接連獲勝，eBay仍再三強調本身僅係一單純提供商品交易服務之平台，自無須就使用者侵權行為加以負責；L'Oreal則表示eBay有責採取進一步的措施，以杜絕網路使用者販售仿冒的L'Oreal商品，其並表示未來仍將以eBay助長商標侵權為由，持續於歐洲各國提出訴訟。
郭戎晉
副主任兼應研組組長 編譯整理
BBC，2009年05月13日，http://news.bbc.co.uk/2/hi/business/8047972.stm，最後瀏覽日：2009年06月13日
News Feed Researcher，2009年05月22日，http://newsfeedresearcher.com/data/articles_b21/ebay-loreal-court.html，最後瀏覽日：2009年06月13日
2024年3月6日，南韓個資保護委員會（Personal Information Protection Commission, PIPC）宣布通過個人資料保護法施行法（Enforcement Decree of the Personal Information Protection Act, PIPA Enforcement Decree）修正案，並於2024年3月15日正式實行。 本次修法重點如下： 1.明訂個資主體可要求公開自動化決策過程之權利及應對不利結果時可採取之措施 針對使用AI等自動化系統處理個資並做出的自動化決策，個資主體（即，個人）有權要求解釋決策過程並進行審查，尤其當決策結果對個資主體權益有重大影響時（例如：不通過其社福補助申請），個資主體可拒絕自動化決策結果，並要求改為人為決策及告知重新決策結果。另為確保透明、公平，自動化決策依據的標準與程序亦須公開，並於必要時向公眾說明決策過程。 2.確立隱私長（Chief Privacy Officers, CPOs）的資格要求及適用範圍 為確保CPO能順利開展個資保護工作，要求處理大量或敏感個資機關之CPO至少具有4年個資、資安相關經驗，且個資經驗至少2年。適用機關包括：年營業額達1,500億韓元以上、處理超過100萬人個資或超過5萬人特種資料者；學生超過2萬人的大學；處理大量特種個資的教學醫院或大型私人醫院等；疾管局、社福、交通、環保等公共系統運營機構。 3.明訂評估公共機構個資保護效能之標準及程序 依據個資法第11-2條規定，PIPC每年需對公共機構（如：中央行政機關及其所屬機關、地方政府及總統令規定者）進行個資保護程度評估，而為使評估作業有所依循，本次新增評估標準及相關程序包括：政策和業務表現及其改進情形、管理體系適當性、保護個資措施及執行情形、防範個資侵害及確保安全性措施及執行情形等。 4.調整需要承擔損害賠償責任的適用範圍及門檻 為確保機關履行個資主體損害賠償責任，將需履行投保保險等義務之適用範圍由網路業者擴大至實體店面及公共機構等。同時，調整適用門檻，將年銷售額由5千萬韓元調整為10億韓元、個資主體數由1千人調整為1萬人，以減輕小型企業負擔。另亦明訂可豁免責任的對象包括：不符合CPO資格的公共機構，公益法人或非營利組織，及已委託給已投保保險之專業機構的小型企業。 PIPC另將公布一份指引草案，內容包括自動決策權利、CPO資格要求、公共機構個資保護評估標準、賠償責任保障制度等，並舉行說明會來收集回饋意見。
初探物聯網的資通安全與法制政策趨勢初探物聯網的資通安全與法制政策趨勢 資訊工業策進會科技法律研究所 2021年03月25日 壹、事件摘要 在5G網路技術下，物聯網（Internet of Things, IoT）的智慧應用正逐步滲入各場域，如智慧家庭、車聯網、智慧工廠及智慧醫療等。惟傳統的資安防護已不足以因應萬物聯網的技術發展，需要擴大供應鏈安全，以避免成為駭客的突破口[1]。自2019年5月「布拉格提案[2]」（Prague Proposal）提出後，美國、歐盟皆有相關法制政策，試圖建立各類資通訊設備、系統與服務之安全要求，以強化物聯網及相關供應鏈之資安防護。是以，本文觀測近年來美國及歐盟主要的物聯網安全法制政策，以供我國借鏡。 貳、重點說明 一、美國物聯網安全法制政策 （一）核心網路與機敏性設備之高度管制 1.潔淨網路計畫 基於資訊安全及民眾隱私之考量，美國政府於2020年4月提出「5G潔淨路徑倡議[3]」（5G Clean Path initiative），並區分成五大構面，包括：潔淨電信（Clean Carrier）、潔淨商店（Clean Store）、潔淨APPs（Clean Apps）、潔淨雲（Clean Cloud）及潔淨電纜（Clean Cable）；上述構面涵蓋之業者只可與受信賴的供應鏈合作，其可信賴的標準包括：設備供應商設籍國的政治與治理、設備供應商之商業行為、（高）風險供應商網路安全風險緩和標準，以及提升供應商信賴度之政府作為[4]。 2.政府部門之物聯網安全 美國於2020年12月通過《物聯網網路安全法[5]》（IoT Cybersecurity Improvement Act of 2020），旨在提升聯邦政府購買和使用物聯網設備的安全性要求，進而鼓勵供應商從設計上導入安全防範意識。本法施行後，美國聯邦政府機關僅能採購和使用符合最低安全標準的設備，將間接影響欲承接政府物聯網訂單之民間業者及產業標準[6]。 另外，美國國防部亦推行「網路安全成熟度模型認證[7]」（Cybersecurity Maturity Model Certification, CMMC），用以確保國防工程之承包商具備適當的資訊安全水平，確保政府敏感文件（未達機密性標準）受到妥適保護。透過強制性認證，以查核民間承包商是否擁有適當的網路安全控制措施，消除供應鏈中的網路漏洞，保護承包商所持有的敏感資訊。 （二）物聯網安全標準與驗證 有鑑於產業界亟需物聯網產品之安全標準供參考，美國國家標準暨技術研究院（National Institute of Standards and Technology, NIST）提出「物聯網網路安全計畫」，並提出各項標準指南，如IR 8228：管理物聯網資安及隱私風險、IR 8259（草案）：確保物聯網裝置之核心資安基準等。 此外，美國參議院民主黨議員Ed Markey亦曾提出「網路盾」草案[8]（Cyber Shield Act of 2019），欲建立美國物聯網設備驗證標章（又稱網路盾標章），作為物聯網產品之自願性驗證標章，表彰該產品符合特定產業之資訊安全與資料保護標準。 二、歐盟物聯網安全法制政策 （一）核心網路安全建議與風險評估 歐盟執委會於2019年3月26日提出「5G網路資通安全建議[9] 」，認為各會員國應評鑑5G網路資通安全之潛在風險，並採取必要安全措施。又在嗣後提出之「5G網路安全整合風險評估報告[10]」中提及，5G網路的技術漏洞可能來自軟體、硬體或安全流程中的潛在缺陷所導致。雖然現行3G、4G的基礎架構仍有許多漏洞，並非5G網路所特有，但隨著技術的複雜性提升、以及經濟及社會對於網路之依賴日益加深，必須特別關注。同時，對供應商的依賴，可能會擴大攻擊表面，也讓個別供應商風險評估變得特別重要，包含供應商與第三國政府關係密切、供應商之產品製造可能會受到第三國政府施壓。 是故，各會員國應加強對電信營運商及其供應鏈的安全要求，包括評估供應商的背景、管控高風險供應商的裝置、減少對單一供應商之依賴性（多元化分散風險）等。其次，機敏性基礎設施禁止高風險供應商的參與。 （二）資通安全驗證制度 歐盟2019年6月27日生效之《網路安全法[11]》（Cybersecurity Act），責成歐盟網路與資訊安全局（European Union Agency for Cybersecurity, ENISA）協助建立資通訊產品、服務或流程之資通安全驗證制度，確保資通訊產品、服務或流程，符合對應的安全要求事項，包含：具備一定的安全功能，且經評估能減少資通安全事件及網路攻擊風險。原則上，取得資安驗證之產品、服務及流程可通用於歐盟各會員國，將有助於供應商跨境營運，同時能協助消費者識別產品或服務的安全性。目前此驗證制度為自願性，即供應商可以自行決定是否對將其產品送交驗證。 參、事件評析 我國在「資安即國安」之大架構下，行政院資通安全處於2020年底提出之國家資通安全發展方案（110年至113年）草案[12]，除了持續強化國家資安防禦外，對於物聯網應用安全亦多有關注，其間，策略四針對物聯網應用之安全，將輔導企業強化數位轉型之資安防護能量，並強化供應鏈安全管理，包括委外供應鏈風險管理及資通訊晶片產品安全性。 若進一步參考美國與歐盟的作法，我國後續法制政策，或可區分兩大性質主體，採取不同管制密度，一主體為受資安法規管等高度資安需求對象，包括公務機關及八大領域關鍵基礎設施之業者與其供應鏈，其必須遵守既有資安法課予之高規格的安全標準，未來宜完善資通設備使用規範，包括：明確設備禁用之法規（黑名單）、高風險設備緩解與准用機制（白名單）。 另一主體則為非資安法管制對象，亦即一般性產品及服務，目前可採軟性方式督促業者及消費者對於資通設備安全的重視，是以法制政策推行重點包括：發展一般性產品及服務的自我驗證、推動建構跨業安全標準與稽核制度，以及鼓勵聯網設備進行資安驗證與宣告。 [1]經濟部工業局，〈物聯網資安三部曲：資安團隊+設備安全+供應鏈安全〉，2020/08/31，https://www.acw.org.tw/News/Detail.aspx?id=1149 （最後瀏覽日：2020/12/06）。 [2]2019年5月3日全球32個國家的政府官員包括歐盟、北大西洋公約組織 （North Atlantic Treaty Organization, NATO）的代表，出席由捷克主辦的布拉格5G 安全會議 （Prague 5G Security Conference），商討對5G通訊供應安全問題。本會議結論，即「布拉格提案」，建構出網路安全框架，強調5G資安並非僅是技術議題，而包含技術性與非技術性之風險，國家應確保整體性資安並落實資安風險評估等，而其中最關鍵者，為確保5G基礎建設的供應鏈安全。是以，具體施行應從政策、技術、經濟、安全性、隱私及韌性（Security, Privacy, and Resilience）之四大構面著手。Available at GOVERNMENT OF THE CZECH REPUBLIC, The Prague Proposals, https://www.vlada.cz/en/media-centrum/aktualne/prague-5g-security-conference-announced-series-of-recommendations-the-prague-proposals-173422/ (last visited Jan. 22, 2021). [3]The Clean Network, U.S Department of State, https://2017-2021.state.gov/the-clean-network/index.html (last visited on Apr. 09, 2021)；The Tide Is Turning Toward Trusted 5G Vendors, U.S Department of State, Jun. 24, 2020, https://2017-2021.state.gov/the-tide-is-turning-toward-trusted-5g-vendors/index.html (last visited Apr. 09, 2021). [4]CSIS Working Group on Trust and Security in 5G Networks, Criteria for Security and Trust in Telecommunications Networks and Services (2020), https://csis-website-prod.s3.amazonaws.com/s3fs-public/publication/200511_Lewis_5G_v3.pdf (last visited Nov. 09, 2020). [5]H.R. 1668: IoT Cybersecurity Improvement Act of 2020, https://www.govtrack.us/congress/bills/116/hr1668 (last visited Mar. 14, 2021). [6]孫敏超，〈美國於2020年12月4日正式施行聯邦《物聯網網路安全法》〉，2020/12，https://stli.iii.org.tw/article-detail.aspx?no=64&tp=1&d=8583 （最後瀏覽日：2021/02/19）。 [7]U.S. DEPARTMENT OF DEFENSE, Cybersecurity Maturity Model Certification, https://www.acq.osd.mil/cmmc/draft.html (last visited Nov. 09, 2020). [8]H.R.4792 - Cyber Shield Act of 2019, CONGRESS.GOV, https://www.congress.gov/bill/116th-congress/house-bill/4792/text (last visited Feb. 19, 2021). [9]COMMISSION RECOMMENDATION Cybersecurity of 5G networks, Mar. 26, 2019, https://eur-lex.europa.eu/legal-content/EN/TXT/PDF/?uri=CELEX:32019H0534&from=GA (last visited Feb. 18, 2021). [10]European Commission, Member States publish a report on EU coordinated risk assessment of 5G networks security, Oct. 09, 2019, https://ec.europa.eu/commission/presscorner/detail/en/IP_19_6049 (last visited Feb. 18, 2021). [11]Regulation (EU) 2019/881 of the European Parliament and of the Council of 17 April 2019 on ENISA and on Information and Communications Technology Cybersecurity Certification and Repealing Regulation (EU) No 526/2013 (Cybersecurity Act), Council Regulation 2019/881, 2019 O.J. (L151) 15. [12]行政院資通安全處，〈國家資通安全發展方案（110年至113年）草案〉，2020/12，https://download.nccst.nat.gov.tw/attachfilehandout/%E8%AD%B0%E9%A1%8C%E4%BA%8C%EF%BC%9A%E7%AC%AC%E5%85%AD%E6%9C%9F%E5%9C%8B%E5%AE%B6%E8%B3%87%E9%80%9A%E5%AE%89%E5%85%A8%E7%99%BC%E5%B1%95%E6%96%B9%E6%A1%88(%E8%8D%89%E6%A1%88)V3.0_1091128.pdf （最後瀏覽日：2021/04/09）。
歐洲網路暨資訊安全局發布「重要資訊基礎設施下智慧聯網之安全基準建議」歐洲網路暨資訊安全局(European Union Agency for Network and Information Security, ENISA)於2017年11月20號發布了「重要資訊基礎設施下智慧聯網之安全基準建議」。該建議之主要目的乃為歐洲奠定物聯網安全基礎，並作為後續發展相關方案與措施之基準點。 由於廣泛應用於各個領域，智慧聯網設備所可能造成之威脅非常的廣泛且複雜。因此，了解該採取與落實何種措施以防範IOT系統所面臨之網路風險非常重要。ENISA運用其於各領域之研究成果，以橫向之方式確立不同垂直智慧聯網運用領域之特點與共通背景，並提出以下可以廣泛運用之智慧聯網安全措施與實作: (一) 資訊系統安全治理與風險管理 包含了與資訊系統風險分析、相關政策、認證、指標與稽核以及人力資源相關之安全措施。 (二) 生態系管理 包含生態系繪製以及各生態系的關聯。 (三) IT安全建築 包含系統配置、資產管理、系統隔離、流量過濾與密碼學等資安措施。 (四) IT安全管理 帳戶管理與資訊系統管理之相關安全措施。 (五) 身分與存取管理 有關身分確認、授權以及存取權限之安全措施。 (六) IT安全維護 有關IT安全維護程序以及遠端存取之安全措施。 (七) 偵測 包含探測、紀錄日誌以及其間之關聯與分析之安全措施。 (八) 電腦安全事件管理 資訊系統安全事件分析與回應、報告之資安措施。
德國因應歐盟一般資料保護規則（GDPR）之通過，即將進行該國資料保護法（BDSG）修正德國聯邦資訊技術，電信和新媒體協會(bitkom)於2016年9月2日釋出將以歐盟新制定之一般資料保護規則（GDPR）內容為基礎，調整德國聯邦資料保護法（BDSG）之修法動向。 德國政府正在緊鑼密鼓地調整德國的資料保護立法，使之與歐盟GDPR趨於一致。已知未來將由“一般聯邦資料保護法”取代現行的聯邦法律。草案內容雖尚未定稿，但修正方向略有以下幾點： 首先，德國未來新法不僅參考GDPR、也試圖將該法與GDPR及歐盟2016年5月4日公告之歐盟資訊保護指令Directive(EU)2016/680相互連結。該指令係規範對主管機關就自然人為預防，調查，偵查等訴追刑事犯罪或執行刑事處罰目的，處理個人資料時的保護以及對資訊自由流通指令。 其次，新法將遵循GDPR的結構，並利用一些除外規定，如：在資料處理時企業應指派九人以上資料保護官（DPO）的義務。某些如通知當事人的義務規定，亦有可能在存有更高的利益前提下，限縮其履行範圍。此意味某些通知義務有可能得不適用，例如履行該義務需要過於龐大人力、資金支出、耗費過多等因素。 第三，聯邦法律將保留一些規定，如上傳給信用調查機構的條款、雇傭契約中雇用方面處理個人資料的條款，以及在公眾開放地區使用電子光學裝置監視的條款等。 最後，立法修正動向值得注意的重點尚有，(1)未來德國立法者將如何應對新的歐洲資料保護委員會（EDPB）中德國代表的地位（represe。由於EDPB將發布具有約束力的決定，針對爭議內容的決定意見，德國內部顯然應該統一意見。蓋因迄今為止的德國聯邦資料保護監察官（17個）經常提出不同的見解。此外，(2)還應該觀察聯邦資料保護監察官是否應該賦予權限，向法院提出對歐盟爭議決定或法律救濟，使案件進入德國法院，以爭執歐盟執委會所為之決定是否具備充足理由。前此，德國聯邦參議院（代表十六邦）2016年5月已要求聯邦政府引進新規定，使資訊監察保護官有請求法院救濟之權。這項源於安全港協議判決的討論，將來有可能提供德國資料保護監察官，挑戰隱私盾協議的可能性。但新法案是否會解決這一問題，這還有待觀察。 可預見在2017年9月下一屆德國聯邦議會選舉前，將通過法案。