歐盟議會否決法國所提出切斷網路連接的修正條款
法國政府基於保護電影、音樂等產業，在2009年3月提出將採取「三振法案」（Three-strikes law），對於不法使用網路下載音樂和檔案者，祭出明確的管制。第一階段違法者將會收到電子郵件警告，第二階段會收到書面之警告，第三階段將切斷該網路連接最長1年。
但這個提議在2009年4月遭到法國議會否決，有議員表示這項規定是「危險、無用、無效率且對民眾有相當大之危險。」消費者團體則表示，「無辜的民眾將會受到處罰，而駭客等真正的犯罪者則可以利用入侵他人之帳號規避法規，而且，該架構顯然缺乏配套的監督機制。」
無獨有偶的是，歐洲議會（European Parliament）也在同年11月針對歐盟電信信改革（EU Telecoms Reform）之討論，駁回該議案。議會認為，對人民通過網路使用服務和應用而進行的網際網路連接行為，在採取的措施時，應該尊重基本的人權和自由。這些限制權利的手段必須符合民主社會的法規，必須有效、公平和公正，比如通過法院進行審理等。而法國所提之切斷網路連接的三振法案與此原則不符。
歐盟GDPR保護適足性審核與因應作為 資訊工業策進會科技法律研究所 法律研究員 吳柏凭 2018年04月10日 壹、事件摘要 歐盟於 1995 年頒布個人資料保護指令(95/46/EC)[1]，對歐洲各國甚至全世界個人資料保護法制發展有極大影響力。然隨著資通訊技術發展變化迅速，網際網路與各項應用興起，既有歐盟個人資料保護指令面對這些變化已經難以為繼，歐盟執委會(European Commission) 出新的資料保護規則（General Data Protection Regulation, GDPR），於2016年4月27日通過，5月4日公布，正式成為歐盟第2016/679號規則（Regulation (EU) 2016/679）[2]。由於歐盟原則上禁止個人資料跨境傳輸，只有在被認可具有保護適足性(Adequate level of protection)的國家或地區才能例外許可傳輸，因此如何獲得歐盟保護適足性認可，就成為能否跨境傳輸歐盟個資的關鍵。 貳、重點說明 一、個人資料保護指令保護適足性審查規定 1995年的個人資料保護指令，就有禁止會員國將個人資料跨境傳輸至對資料保護不具有保護適足性之國家[3]。在第25條第2項中，對於保護適足性的審查，包括資料的性質、處理目的和期間、資料的發生地及最終目的地、該國家施行的普通法及特別法規範、以及安全措施等，透過個案綜合判斷是否具有保護適足性[4]。而關於具體的判斷標準，則依照第29條規定資料保護工作小組（Article 29 Data Protection Working Party）的指導文件[5]，其中對於法律規範審查，除了內容外，更重視個資保護的執行面。 二、GDPR保護適足性審查規定 GDPR延續了個人資料保護指令的規定，原則上禁止資料跨境傳輸至對資料保護不具有適足性之國家[6]。根據第45條第2項規定，適足性的評估包括以下要素： 法治、對人權與基本自由之尊重、一般與部門之相關立法，包括有關公共安全、防衛、國家安全及刑法、公務機關對個人資料之接近使用權、及該等立法、資料保護規則、專業規則及安全措施之執行。 有一個或以上獨立監管機關之存在及有效運作，或對象為國際組織時，確保及執行資料保護規則之遵守，包括充足之執行權，以協助及建議資料主體行使其權利，並與會員國之監管機關合作； 個人資料向其他第三國或國際組織進一步移轉，該其他第三國或國際組織之規則、判例法、及有效且可執行之資料主體權利及個人資料受移轉之資料主體有效之行政與司法救濟；第三國或國際組織所加入之國際協定，或其他因具法律拘束力之合約或辦法、及從其參與多邊或區域體系而生之義務，尤其關於個人資料保護者。 以上規定與個人資料保護指令最大不同在於將保護適足性的判斷標準明文化，同時補充個人資料向第三地再傳輸應注意的規範、具有獨立性監管機關等規定，填補原本個人資料保護指令的漏洞。 三、保護適足性認可程序與現況 保護適足性認可的程序[7]為： 來自歐盟執委會的提案。 得到由歐盟各國資料保護機關組成之作業會議(European Data Protection Board)的意見。 得到歐盟各國代表的承認。 歐盟執委會合意認可。 縱然取得認可，之後也會每四年檢驗一次[8]，如果被判定不具保護適足性，則仍會取消原本的認可[9]。 現階段已通過保護適足性審核的國家地區包括：安道爾、阿根廷、加拿大（民間機構）、法羅群島、根西島、以色列、馬恩島、澤西島、紐西蘭、瑞士及烏拉圭，另有美國限於「隱私盾」框架(Privacy Shield framework)方可傳輸。 參、事件評析 （一）保護適足性認可的效益 除了取得適足性認可外，個別企業可以透過1.標準契約條款(Standard Contractual Clauses, SCC)；2.拘束企業準則(Binding Corporate Rules, BCR)；或3.取得同意方式進行跨境傳輸[10]。但是取得適足性認可不但可以節省企業在個資跨境傳輸的成本，減輕企業負擔，同時也有助於整體產業突破歐盟貿易壁壘。 （二）通過保護適足性審核的困難 雖然現行通過適足性審核的國家地區有11個，惟需注意的是，根西島、馬恩島、以及澤西島都是英國屬地，法羅群島是丹麥屬地，而安道爾和瑞士都是在歐洲境內，這些國家地區的法規範本來就與歐盟差距不大，加上美國及加拿大國家本身不被認可具適足性，實際上不屬於歐盟法體系而通過適足性審核的國家地區非常有限。而且包括以色列、烏拉圭或紐西蘭在申請認可都花超過三年的時間，因此也不能作為短期的因應措施。 此外，在要件方面，規範上雖然我國個資保護規範與GDPR未有極大歧異，但只要存有差異，要取得認可就有極高困難度，這些都需要與歐盟執委會溝通。而在監管機關要求方面，雖然沒有要求單一機關，但對於機關的「獨立性」仍有要求。關於機關的獨立性目前歐盟並沒有明確的標準，但在歐盟法院判決中，有因為德國的州對州層級的資料監管機關進行調查的權力，而被認為不具獨立性[11]。 （三）通過適足性審核的具體作為 以日本為例，為了取得歐盟適足性認可，在2015年9月就其個人資料保護法（個人情報保護法）進行修正，其中設立個人資料保護委員會（個人情報保護委員会）即是為了符合適足性要求中「獨立監管機關」規定，而第24條跨境傳輸的規定更是重要。 日本個人資料保護委員會在2016年就與歐盟執委會溝通三次[12]，同時在2017年發出共同聲明[13]。在不修正法律的狀況下，日本個人資料保護委員會頒布一指導方針來消除差異，並於於2018年2月9日先揭示調適方向[14]，包括： 將歐盟視為敏感性個人資料而日本未明文規定者，解釋上一律視為敏感性個人資料。 歐盟不管個人資料保管期間，一律可以主張權利，而日本則限保管期間6個月以上方可主張權利。指導方針對於歐盟跨境傳輸的個資，不管保管期限一律許其主張權利。 對歐盟跨境傳輸的個資將要求揭露特定利用目的。 對於歐盟跨境傳輸的個資再移轉，必需要透過契約等規制，確保資料受保護水準。 關於歐盟跨境傳輸的個資，在去識別化一定要確認無法再識別，以與歐盟去識別化資料定義相符。 肆、結語 歐盟GDPR已施行在即，如何因應以突破其跨境傳輸的限制將不只是單純避免業者受罰，更是跨越歐盟貿易壁壘的重要關鍵，而在眾多例外許可跨境傳輸的方法中，又以取得保護適足性認可為最根本因應之道。雖然現在取得認可的難度極高，但仍有許多能努力的空間，目前我國也著手申請適足性認可的準備，未來能得到何種程度的回應，值得後續觀察。 [1] Directive 95/46/EC of the European Parliament and of the Council of 24 October 1995 on the Protection of Individuals with regard to the Processing of Personal Data and on the Free Movement of Such Data. [2] Reform of EU data protection rules, European Commission, http://ec.europa.eu/justice/data-protection/reform/index_en.htm (last visited Apr.10, 2018). [3] Data Protection Directive, art. 25(1). [4] Data Protection Directive, art. 25(2). [5] European Commission, Working Party on Protection of Individuals with regard to the Processing of Personal Data, Working Documents Transfers of personal data to third countries: Applying Articles 25 and 26 of EU data protection directive, July 24, 1998. [6] General Data Protection Regulation, art. 45. [7] Adequacy of the protection of personal data in non-EU countries, https://ec.europa.eu/info/law/law-topic/data-protection/data-transfers-outside-eu/adequacy-protection-personal-data-non-eu-countries_en (last visited Apr.10, 2018). [8] General Data Protection Regulation, art. 45(3). [9] General Data Protection Regulation, art. 45(5). [10] General Data Protection Regulation, art. 46. [11]European Commission v. Federal Republic of Germany(C-518/07). [12]個人情報保護委員会，個人情報保護委員会の国際的な取組について，https://www.kantei.go.jp/jp/singi/keizaisaisei/miraitoshikaigi/4th_sangyokakumei_dai2/siryou3.pdf (last visited Apr.10, 2018). [13]JETRO，個人データ保護の「十分性認可」取得の好機に－日EU首脳が共同声明－，https://www.jetro.go.jp/biznews/2017/07/845f14ec50674c94.html (last visited Apr.10, 2018). [14]個人情報保護委員会，EU 域内から十分性認可により移転を受けた個人データの取扱いに関するガイドラインの方向性について ，https://www.ppc.go.jp/files/pdf/300209_siryou1.pdf (last visited Apr.10, 2018).
日本經產省修訂網路安全經營指引日本經濟產業省與獨立行政法人資訊處理推進機構（IPA）於2017年11月16日修正並公佈「網路安全經營指引」（サイバーセキュリティ経営ガイドライン）。經產省與獨立行政法人資訊處理推進機構為推動網路安全對策，以經營者為對象於2015年12月制定「網路安全經營指引」。惟因近年來網路攻擊越發頻繁，且攻擊方式亦越來越多樣化，僅透過事前對策無法妥善因應網路攻擊問題，故日本經產省與獨立行政法人資訊處理推進機構合作，參考歐美等國網路安全對策修正方向，擬加強企業事後檢測、應對和復原措施，並舉辦「網路安全經營指引修正研究會」，修訂「網路安全經營指引」。 本次修正未更改經營者應認識之三大原則︰(1)經營者應對網路安全有所認知，並作為領者者採取對策；(2)商業夥伴和委託者在內之供應鍊安全對策；(3)不論平時或緊急時，網路安全相關資訊之公開應與關係者進行適當溝通，而是修正10大經營重要項目中第5項、第8項和第9項，分別為︰(1)「建構網路安全風險應對措施」加入包含「攻擊檢測」在內之風險應對措施；(2)「事件被害復原體制之整備」加入「遭受網路攻擊時復原之準備」；(3)「包含商業夥伴和委託者在內之全體供應鍊對策及狀況掌握」加入「供應鍊對策強化」等記載。 日本政府希望透過上開指引之修正，建構安全之網路經營環境。
日本東京大學透過Proprius21專案促進產學合作Proprius21專案乃是日本東京大學提供企業界可以與該校共同進行研究的一種機制，屬產學合作方式之一。此專案之提出，係該校有鑒於過去產業界與學術界合作進行共同研究的模式，多以特定的企業與特定的研究室間進行一對一的研究為主。然此一共同研究方式雖可讓大學所產出的知識貢獻給社會。但仍嫌規模過小，課題及責任分擔或目標成果不夠明確，所以需要一個可以創造更大規模的創新的機制。基此，東京大學希望透過Proprius21專案創造一個可由該校內部數個單位或研究室，共同參與大型研究主題的專案，以實現從多樣化的觀點來因應數個或一個企業需求之共同研究（多對多或多對一），並結合校內能量完成提案的機制。 東京大學規劃在校內以三階段活動進行Proprius21專案：(1)公開交換意見，即讓「產業界與學術界相遇的場合」的廣場活動。(2)濃縮出最佳的主題，以及尋找最佳成員之個別活動。(3)由成員縝密地製作計畫，由成員以外的人審視計畫內容，打造一個更為優質計劃的篩選活動。 為了推動Proprius21專案，東京大學係由產學合作研究推進部協助日本企業與校內研究人員進行個別的會議及研討會或研習營等活動，同時也針對企業在決定研究主題後，至計畫成案為止間之各階段提供各種支援。此外，該部人員也會接受來自產業界的諮詢，並在製作計畫之際，適當地介紹校內的職員，提供技術建議或審視計畫的內容等各種支援。
日本政府擬修法擴大個人編號卡（My Number Card）資料使用及調取範圍日本政府於2022年11月29日公布「個人編號法」（平成二十五年法律第二十七号，行政手続における特定の個人を識別するための番号の利用等に関する法律）之預計修正內容。 目前個人編號法第9條第2項主要限定於社會保障、稅收、災害防治三個領域，該法對哪一些行政機關能調取，以及可調取個人資料的種類均有詳細規定。本次修正案目的為將個人編號的用途擴大，除了前揭所提三個領域外，將再包括國家資格管理、汽車登記以及外籍居民行政程序、國家急難救助金及其他津貼發放等。其次，為擴大個人編號用途與增加運用彈性，此次修法重點之一在於擴大該法第4章第19條特定個人編號（My Number）提供限制中，第17款關於其他依據「個人資料保護委員會」所訂規則準用事項範圍。未來日本政府可透過「政省令」的修改（基於國會立法授權，而由行政部門所頒訂，具有對外法拘束力，類似我國法規命令位階），讓政府及相關機關能在有需要時即可蒐集特定個人編號，以迅速、彈性地對應外在情況。 本案若經國會審議通過後，細節部分還需約時二年修改作業系統，最快預定令和7年（2025年度）施行。其他修正重點如：1.將公家機關掌握民眾銀行帳戶資訊和個人編號自動連結，此舉係為改善疫情期間之問題，未來將可使政府發放補助金及急難救助金時更為順暢；2.尚未取得個人編號卡仍可申請「資格確認書」參加社會保險或診療；3.嬰幼兒五歲前「個人編號卡」都不須附上照片等。 唯輿論有批評，在尚未經過國會及有識者充分討論前，貿然大幅擴大資料調取、使用範圍，尤其日本政府計畫將個人所有銀行帳戶都強制連結個人編號，可能讓政府更容易掌握民眾資訊，像是追蹤稅務狀況、打擊逃漏稅等。日本「個人編號法」主管機關總務省則再三保證個人編號卡晶片不會儲存稅金、年金等個人資料，即使作為醫療或健康用途時，也不會紀錄健檢結果和服用藥物等訊息。雖然仍有部分待改進處，惟日本以專法規定個人編號卡儲存資料之種類與範圍，並於該法中說明相關管理措施，仍值得我國未來密切關注。