FCC建議調整普及服務基金以推動寬頻建設
美國聯邦通訊委員會（The Federal Communications Commission, FCC）擬於3月17日向國會提出未來的國家寬頻計畫，並預計於2012年開始，調整目前用來補助電話服務的普及服務基金（Universal Service Fund），以推動高速網際網路。
美國普及服務基金的建立，原本是用以確保所有美國居民接取基本的電話網路。依目前的普及服務基金計畫，除了補助低收入居民電話服務、學校與圖書館的網際網路接取，與鄉間醫療單位的高速網路連結之外，最主要部份是對於由民營事業建設網路不符經濟效益的偏遠鄉區提供電話服務；此部份基金的預算是來自電信業者跨州與國際長途電話收益之稅收，於2010年達約為80億美元，未來將轉作推動寬頻網路之用，至於普及服務基金中的其他部份，則將繼續維持。
在FCC的計畫中，不僅在普及服務基金下設立連結美國基金（Connect America Fund）來補助寬頻服務，並將設立行動基金（Mobility Fund）發展3G無線網路。另外，FCC預計向國會提出的計畫包含多項選擇，包括在不要求國會另行增加預算下，達成在2020年99%美國家戶接取寬頻之目標，以及經由國會同意於未來三年投入額外的90億美元，以加速寬頻網路建設等方案。
美國白宮在2015年2月27日發布了「消費者隱私權法」（Consumer Privacy Bill of Rights Act）草案，目的在於擴大消費者資料的保護範圍。 該草案的重點分列如下： 透明性：受規範主體必須提供資訊主體簡潔、明顯、易懂的公告，公告內容必須提供簡潔、明瞭及即時的隱私與安全運作，包含資訊保存、揭露以及個人資料存取機制。 個人控制：受規範主體應該在合理範圍內提供機制，讓資料主體能控制其個人資料之處理，同時也規範應讓消費者撤銷個人資料使用的同意。 注重資料蒐集與合理使用：受規範的公司機構必須依據其清楚、合理的說明規則來進行個人資料的蒐集、保存與利用。同時，在資料蒐集之特定目的完成後的合理時間內，必須針對所蒐集的個人資料進行刪除或是去識別化。 安全性的維護：為了維護個人資料之安全性，以防止其遺失、陷入危險、改變以及未經授權之使用或是揭露，公司機構必須進行安全風險評估，並且採取合理的資訊安全防護措施。 存取與正確性：受規範的公司機構必須提供資訊主體合理的存取權利，同時也應該採取合理的步驟，來維護資料的正確性。 擔負隱私維護的責任：受規範的公司機構必須針對員工實施資安教育訓練、進行隱私評估、隱私設計、遵守隱私保護義務以及採取適當的措施來遵循本草案之規定。 不受本草案規範之公司機構： 25名員工以下的小型公司，且其處理者僅限於員工與求職者之個人資料。 未刻意蒐集、處理、使用、保存或揭露個人病史、原生國籍、性傾向、性別、宗教信仰、資產狀況、精確的位置資訊、獨一無二的生物識別資料或是社會安全號碼，並符合以下要件之一者： 在12個月內蒐集個人資料筆數在10,000筆下； 5名員工以下。 除了要求產業發展處理消費者資料的標準或規則，該草案也要求「聯邦貿易委員會」（Federal Trade Commission, FTC）確認產業所制定的標準或規則必須符合「消費者隱私權法」的規定，包括提供消費者有關其資料如何被收集、使用與分享的明確通知。如果進行消費者資料收集的公司機構違反了「消費者隱私權法」，將會面臨FTC或是州檢察長所發起的法律行動。 該草案引起了產業界極大的反彈，隱私團體也批評該草案太過寬鬆，留給產業界太多自由空間，同時目前國會由共和黨所主導，因此後續立法工作的進行將會面臨極大的挑戰。
英國新聞申訴委員會首度網路影片違反隱私權爭議作成裁定英國新聞申訴委員會(The Press Complaints Commission，簡稱PCC)日前針對某報業網路上發布之影片寄出違反隱私權之處罰裁定，該影片為一位16歲之高中學生利用行動電話所拍攝，內容紀錄該學生就讀之班級學生於教室內脫序的上課狀況，該學生錄下脫序現象之目的在向自己父母解釋其數學成績不佳之原因，此一事件被英國報紙The Sun, The Daily Mirror and The Hamilton Advertiser報導出來並將該影片公布於網路。 該校「家長、老師會」(Parent Teacher Association)為此向英國新聞申訴委員會提出申訴，主張報社報導並於網路上公布該影片之行為，構成對於影片中學生之隱私權侵害，因為包括校方、學生以及學生家長皆未對影片播放表示同意。 PCC表示，學校的風紀問題已被認定與公共利益相關，而本案影片學校對於學生鬆散管理導致之脫序行為已經影響學生學習之表現，明顯屬於重要之公共利益事項。然而，該報社於報導此事件時，無論於報紙上之圖片以及網路上之影片皆未加以處理，尤其，網路上之影片有部分學生之身分可被明顯辨識，而新聞媒體具有確保學生隱私權不致於因出現鏡頭前而受到侵害之責，雖然依據該報社表示若將學生影像模糊處理將降低事件可能造成之影響，但學生隱私之保護將比新聞媒體呈現事件之利益更為重要，故裁定該報社違反新聞媒體工作規範中之隱私權保護規定。 PCC從今年(2007年)2月已開始對於報社所擁有之多媒體網路內容規範管理，而該規範並未排除大眾提出之資料，只要該資料為該報社可編輯掌控之範圍內，皆受到規範。
簡介〈歐盟提供合格信任服務者依循標準建議〉簡介〈歐盟提供合格信任服務者依循標準建議〉 資訊工業策進會科技法律研究所 2021年6月25日 壹、事件摘要 歐盟於2014年通過「歐盟內部市場電子交易之電子身分認證及信賴服務規章」（簡稱eIDAS規章）[1]，並於2016年7月正式生效。eIDAS規章是在歐盟1999年電子簽章指令[2]的基礎上，進一步建構一個更安全、更具信賴、更易於使用電子簽章的法律框架，以促進整個歐盟跨境間的電子交易環境，進而達到歐盟數位單一市場的目標[3]。 eIDAS規章共有六章，其核心包含兩大部分[4]，在第二章中規範了電子識別機制（Electronic Identification），並於第三章中建構一系列電子交易中相關信任服務（Trust Services, TS）的法律架構，包含電子簽章（Electronic signatures）、電子封條（Electronic seals）、電子時戳（Electronic time stamps）、電子註冊傳輸服務（Electronic registered delivery services）、網站認證（Website authentication）。每種信任服務，又可以區分由一般的信任服務提供者（Trust Service Provider, TSP）或由合格信任服務提供者（Qualified Trust Service Provider, QTSP）提供，要成為QTSP必須經各成員國的監督機關授予合格地位後，才能提供該類合格信任服務（Qualified Trust Service, QTS），在eIDAS規章中合格信任服務具有更高的法律效力。譬如，根據eIDAS規章第25條第2項規定，合格電子簽章（qualified electronic signature）與手寫簽章具有同等的法律效力。 歐盟網路安全局（European Union Agency for Cybersecurity, ENISA[5]）於2021年3月發布一份報告，提供合格信任服務者依循標準的建議（Recommendations For QTSPs Based On Standards） [6]，給想要申請成為QTSP的業者參考。 貳、重點說明 承前所述，eIDAS規章的目的是要建構一個促進跨境、跨產業的電子交易的環境，為弭平各會員國對於電子識別服務的落差，報告中指出，必須透過法律框架（Legal framework）、信賴框架（Trust framework）、標準化框架（Standardisation framework）共同達成，以提升歐盟數位單一市場中企業和消費者的信任，並促進信任服務和產品的使用。 （一）法律框架 eIDAS規章中規定了9種QTS的安全要求及其提供者的義務，包括： 1.電子簽章的合格憑證； 2.電子封條的合格憑證； 3.網站認證的合格憑證； 4.合格電子時戳服務； 5.合格電子簽章的合格驗證服務； 6.合格電子封條的合格驗證服務； 7.合格電子簽章的合格維護服務； 8.合格電子封條的合格維護服務； 9.合格電子註冊傳輸服務。 （二）信賴框架 其次，eIDAS規章透過事前（ex ante）和事後（ex post）監督的方式，來確保QTSP及其提供的QTS符合eIDAS規章中的法律要求。欲申請成為QTSP須先經過符合性評估機構（Conformity Assessment Body, CAB）的評估，由其出具評估報告後，再由各成員國的監督機關決定是否授予QTSP資格；取得QTSP資格後會受到不定期稽核，且至少每24 個月須再次自費通過CAB評估審核[7]。 （三）標準化框架 eIDAS規章中對各項TS的安全要求是採取技術中立（technology-neutral）的態度，並未限定要採用何種特定技術。換言之，TSP可以透過不同的技術達到eIDAS規章中要求的必要安全程度。事實上，歐盟希望在eIDAS規章所建構的法律框架和信賴框架中，透過產業自律，慢慢形成相關的標準共識。 歐盟從2009年開始，就由歐洲標準化委員會（European Committee for Standardization, CEN）、歐洲電信標準協會（European Telecommunications Standards Institute, ETSI）等歐盟標準化組織協助擬定和更新電子簽章的相關標準，希望可以建立一個更完整的標準化框架，以解決歐盟跨境使用電子簽章遭遇的問題，至今已經建構出一系列電子簽章和相關信任服務的標準，以滿足國際及eIDAS規章的要求，ETSI/CEN與數位簽章有關的標準包含七個面向。 1.介紹性 此類標準主要是關於各類簽章的共通定義、研究、其他關於整體性架構的介紹。 2.簽章的建立與驗證 此類標準主要是關於簽章建立及驗證的政策與安全要求、所要遵循的規則和程序、格式、保護剖繪（Protection Profiles, PP）[8]。 3.簽章建立和其他相關設備 此類標準主要是與電子簽章產生的設備，以及其他與數位簽章相關服務的設備有關。 4.加密 此類標準主要是與簽章的加密有關，譬如金鑰產生演算法（key generation algorithms）和雜湊函數（hash functions）等。 5.支持數位簽章及相關服務的TSP 此類標準主要是關於核發合格憑證的QTSP、網站認證憑證的TSP、時戳服務的TSP、提供簽章驗證服務的TSP等。 6.信任應用服務提供者 此類標準主要與應用電子簽章提供加值服務的TSP有關，如電子傳輸服務、資料檔案長期保存服務等。 7.信任服務資格提供者 此類標準主要與eIDAS規章中信任名單（trusted lists）相關的程序和格式有關[9]。 其中，在ETSI/CEN關於數位簽章的標準中，主要與QTSP有關的標準如下： 1.電子簽章的合格憑證（eIDAS規章第28條） ETSI EN 319 411-2（且要符合EN 319 401、EN 319 411-1、EN 319 412-2、EN 319 412-5）。 2.電子封條的合格憑證（eIDAS規章第38條） ETSI EN 319 411-2（且要符合EN 319 401、EN 319 411-1、EN 319 412-3、EN 319 412-5）。 3.網站認證的合格憑證（eIDAS規章第45條） ETSI EN 319 411-2（且要符合EN 319 401、EN 319 411-1、EN 319 412-4、EN 319 412-5）。 4.合格電子時戳（eIDAS規章第42條） ETSI EN 319 421（且要符合EN 319 401）、EN 319 422。 5.合格電子簽章的合格驗證服務（eIDAS規章第33條） ETSI TS 119 441（且要符合EN 319 401）、TS 119 442、EN 319 102-1、TS 119 102-2、TS 119 172-4。 6.合格電子封條的合格驗證服務（eIDAS規章第40條） ETSI TS 119 441（且要符合EN 319 401)、TS 119 442、EN 319 102-1、TS 119 102-2、TS 119 172-4。 7.合格電子簽章的合格維護服務（eIDAS規章第34條） ETSI EN 319 401、TS 119 511、TS 119 512。 8.合格電子封條的合格維護服務（eIDAS規章第40條） ETSI EN 319 401、TS 119 511、TS 119 512。 9.合格電子註冊傳輸服務（eIDAS規章第44條） ETSI EN 319 401、EN 319 521、EN 319 522、EN 319 531、EN 319 532。 參、事件評析 從歐盟ENISA的建議可以瞭解，歐盟希望透過介紹歐盟標準化組織所制定的相關電子簽章標準，來引導資通訊廠商申請成為QTSP，提供歐盟企業和使用者更安全、更值得信賴的電子簽章相關服務，以強化使用者的信心，進而促進整個歐盟電子交易的蓬勃發展。 近年來，我國企業也積極投入數位轉型，在邁向數位化的過程通常需要由外部的資通訊廠商協助。然而，由於企業對於資通訊技術不熟悉，因此在選擇資通訊廠商時，往往不知道如何判斷其專業能力，或許企業可以參考上述的介紹，以該廠商是否符合歐盟相關標準的要求，作為選擇資通訊廠商的參考依據，以確保資通訊廠商的能力具有一定水準，這樣對於企業數位轉型及進軍歐盟市場會相當有助益。 [1]Regulation (EU) No 910/2014 of the European Parliament and of the Council of 23 July 2014 on electronic identification and trust services for electronic transactions in the internal market and repealing Directive 1999/93/EC, https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=uriserv%3AOJ.L_.2014.257.01.0073.01.ENG (last visited Jun. 24, 2021). [2]Directive 1999/93/EC of the European Parliament and of the Council of 13 Dec. 1999 on the a Community Framework for Electronic Signatures, https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=celex%3A31999L0093 (last visited Jun. 24, 2021). [3]參前註1，eIDAS前言(3). [4]中文介紹可參考李姿瑩，〈歐盟eIDAS對國內電子簽章和身分認證規範之可能借鏡〉，《科技法律透析》，第31卷第11期，25-32頁，（2019年11月）。 [5]「歐盟網路安全局」原名為「歐盟網路及資訊安全局」(European Union Agency for Network and Information Security)，2019年更改為現名，但該局的英文縮寫仍維持舊稱ENISA。The European Union Agency for Cybersecurity - A new chapter for ENISA, ENISA, https://www.enisa.europa.eu/news/enisa-news/the-european-union-agency-for-cybersecurity-a-new-chapter-for-enisa (last visited Jun. 24, 2021). [6]European Union Agency for Cybersecurity [ENISA], Recommendations for Qualified Trust Service Providers based on Standards (2021), https://www.enisa.europa.eu/publications/reccomendations-for-qtsps-based-on-standards (last visited Jun. 24, 2021). [7]參前註1，eIDAS規章第20條。 [8]保護剖繪是指申請者依共同準則規章（common criteria, CC）製作之資通安全產品安全基本需求文件，可提供資通安全產品開發者開發產品之依據。〈常見問題/Q02.何謂保護剖繪?〉，國家通訊傳播委員會，https://ise.ncc.gov.tw/faq（最後瀏覽日：2021/06/24）。 [9]參前註1，eIDAS規章第22條第2項、第4項。
馬里蘭州去氧核醣核酸採集法（DNA Collection Act）引發隱私爭議2009年，馬里蘭州立法通過去氧核醣核酸（下稱DNA）採集法（DNA Collection Act），允許警方向已經被起訴但尚未定讞之犯罪嫌疑人採集DNA樣本，其適用對象主要在於暴力犯罪或一級竊盜案件。對此問題，美國大約有26州立有與馬里蘭州類似的法案，例如維吉尼亞州的執法單位對於暴力犯罪在經過逮捕後即可進行DNA採集。然而，該法案卻引發了隱私權利與公眾安全之平衡的爭論。 此次爭議爆發於Alonzo Jay King Jr. v. State of Maryland案，案件中Alonzo Jay King Jr.在2009年被起訴暴力攻擊，且因此被警方採集DNA，而後又在經過DNA比對之後，發現與2003年一宗強制性交案件所遺留下的DNA樣本符合，並據此判決Alonzo Jay King Jr.強制性交罪。本案經Alonzo Jay King Jr.上訴高等法院後，高等法院認為調查人員採集其基因資料並以之與舊案件進行比對，已經侵犯了美國憲法第四修正案所賦予人民的合理隱私期待，屬於不合法的搜索，並據此判決禁止向犯罪嫌疑人採集DNA樣本。本案目前正在最高法院上訴中，而最高法院首席法官John Roberts日前發布了一份命令，阻止了高等法院判決的生效，並使得馬里蘭州在最高法院作出判決之前仍然能夠採集DNA；全案預計將在10月進行聽證，未來，最高法院將如何判決，值得吾人注意。