科技化創新金融服務規範研析—以行動支付和第三方支付為例
美國國家標準暨技術研究院（National Institute of Standards and Technology, NIST）於2022年7月21日發布更新《網路安全資源指南》（A Cybersecurity Resource Guide, NIST SP 800-66r2 ipd）。本指南源自於1996年美國《健康保險流通與責任法》（Health Insurance Portability and Accountability Act, HIPAA）旨在避免未經患者同意或不知情下揭露患者之敏感健康資料，並側重於保護由健康照護組織所建立、接收、維護或傳輸之受保護電子健康資訊（electronic protected health information, ePHI），包括就診紀錄、疫苗接種紀錄、處方箋、實驗室結果等患者資料之機密性、完整性及可用性。其適用對象包含健康照護提供者（Covered Healthcare Providers）、使用電子方式傳送任何健康資料的醫療計畫（Health Plans）、健康照護資料交換機構（Healthcare Clearinghouses）及為協助上述對象提供健康照護服務之業務夥伴（Business Associate）均應遵守。 本指南最初於2005年發布並經2008年修訂（NIST SP 800-66r1 ipd），而本次更新主要為整合其他網路安全相關指南，使本指南與《網路安全框架》（Cybersecurity Framework, NIST SP 800-53）之控制措施等規範保持一致性。具體更新重點包括：（1）簡要概述HIPAA安全規則；（2）為受監管實體在ePHI風險評估與管理上提供指導；（3）確定受監管實體可能考慮作為資訊安全計畫的一部分所實施的典型活動；（4）列出受監管實體在實施HIPAA安全規則之注意事項及其他可用資源，如操作模板、工具等。特別在本指南第三章風險評估與第四章風險管理提供組織處理之流程及控制措施，包括安全管理流程、指定安全責任、員工安全、資訊近用管理、安全意識與培訓、應變計畫、評估及業務夥伴契約等。而在管理方面包括設施權限控管、工作站使用及安全、設備媒體控制；技術方面則包含近用與審計控管、完整性、個人或實體身分驗證及傳輸安全。上述組織要求得由政策、程序規範、業務夥伴契約、團體健康計畫所組成，以助於改善醫療領域的網路安全及隱私保護風險管理。預計本指南更新將徵求公眾意見至2022年9月21日止。
世界經濟合作暨發展組織(OECD)修正「隱私保護及個人資料之國傳輸指導指引」1980年09月發布的「隱私保護及個人資料之國傳輸指導指引」，當中的8大原則對個人資料保護的法制產生深遠的影響，但隨技術發展，資料傳遞所產生的風險遠較於1980年代來得複雜。2013年所發布的內容，風險管理及為全球資料流通的互動性為兩大主軸，因此，在指引中納入新的概念，包含1.國家隱私策略：有效的隱私法制是不可或缺的，但在今日國家應該將隱私保護放在更高的戰略位置、2.隱私管理程序：（以個人資料）為核心服務的機制應系統化的保護隱私、3.資料安全漏洞通知:涵蓋有權者及各別個體的通知。 在指引第一章附件的第三部份-責任的履行，增加資料控制者（data controller），應有管理程序以符合上述的原則，該管理程序需包含資料風險的評估、內部監控、通知主管機關等要求;第五個部份-國家實施則新增加隱私主管機關的設立、考量不同角色(如:資料控制者)所應遵循的行為、考量其它的配套措施，如技術、教育訓練等。 在OECD的成員國，如:日本，已開始向該國國內說明2013年版的指引，但亦有部分會員國，如:加拿大，由於指引涵蓋公部門及私部門，加拿大亦討論如何與該國的資訊近用法(Access to Information Act) 及隱私權法 (Privacy Act)建構一個完善的適用模式。指引對於未來國際資料傳輸及管理程序的建置，必然產生結構性的影響，值得持續關注。
日本個人資料保護委員會發布「禁止不當利用」與「停止利用」論點資料作為將來發布指引參考日本為因應去年6月通過「個人資料保護法」之修正（下稱「新法」），個人資料保護委員會於2021年2月19日第166次會議議題「禁止不當利用與停止利用之完備指引論點」（改正法に関連するガイドライン等の整備に向けた論点について（不適正利用の禁止・利用停止等）），公開兩份論點資料，作為將來發布指引之參考，並使企業等關係者在新法實施準備期間，得採取適當措施以達到法遵要求。 新法第16條之2「禁止不當利用」，旨在防止不當利用個人資料致本人權益受損。於「禁止不當利用之論點資料」指出具體要件有(1)「違法或不當行爲」，係指違反個人資料保護法及其他法令之行爲，或有違公序良俗，在社會觀念上非屬正當之行為；(2)「助長或誘發之危害」，在認定上將限縮在以業者提供時有認識第三方將違法利用個人資料，並可預見提供個人資料將受違法利用之情形，以免造成寒蟬效應。若第三方刻意隱瞞取得目的，即使已盡相當注意仍不能預見違法利用之情形，則非屬「危害」。 新法第30條第5項擴大「停止利用」請求權範圍，於「停止利用之論點資料」指出適用要件有(1)「個人資料處理業務已無利用個人資料之需要」，即個人資料利用目的已消失或該事業已中止時；(2)「發生第22條之2第1項本文情形」，係指發生資料外洩依規定須報告委員會之情形；(3)「可能損害本人權益時」，係指依法受保護之正當權益有受損可能為必要。另論點指出請求停止利用必須在「為防止本人權益受損必要限度內」，故業者對於超出必要限度之部分得拒絕之。而對於停止利用所費不貲或顯有重大困難之情形，得依個案具體考量採取適當替代措施。
美國參議院提出《產業融資公司法案》成立美國產業金融機構（IFCUS）助高科技產業技術發展與強化供應鏈韌性美國參議院於2021年8月12日提出全新《產業融資公司法案》（Industrial Finance Corporation Act），擬授權成立美國產業金融公司（Industrial Finance of the U.S., IFCUS）投資半導體、量子運算、人工智慧、網路安全、生物科技等高科技領域，旨在促進國內製造業創新和打造良好就業機會。 本法案首先點出國內在關鍵技術供應鏈上所面臨的困境，包括「國內製造商缺乏足夠的資金管道致技術工作外包，影響到美國在關鍵技術（如半導體和5G通訊硬體）生產的主導地位」、「目前美國的創新模式較依賴私人資本協助政府將研究成果產品化，然因私人資本通常會傾向尋求短期投資回報，與新興技術領域較需採長期投資發展策略有別」，以及「官方捐款計劃跟不上創新步伐使得納稅人須承擔技術創新的高風險，但卻無法獲得相應的高回報」。接著，法案提到為解決前述困境，擬藉由法案授權成立美國國有企業產業金融公司（IFCUS），以投資方式協助與經濟國家安全相關重要產業之發展，並幫助相關產業利用額外私人資金，使納稅人在承擔高風險之際，亦有機會獲取相應的高回報。 依據《產業融資公司法案》所成立之國有企業產業金融公司（IFCUS），則將支持關鍵產業彈性供應鏈、美國製造業經濟發展及就業機會、先進技術商業化、中小企業廠商與資金門檻較低廠商、易受系統性投資不足與不公平產業政策等。在具體運作模式上，IFCUS將先與私人企業合作，利用法案所授權的500億美元資本進行融資，並由IFCUS發行及提供擔保貸款、購買股權、發行債券、收購資產、創建投資設施和企業基金及投資證券化等，藉以創造更多資本額。並鑒於IFCUS為一國營單位，相對較有能力保持優良的社會環境和勞動標準，創造全國就業機會、減少環境危害及對公眾與國會負責，同時確保企業決策係為納稅人服務。最後，透過IFCUS與政府研究機構協調，建立保障措施，以及提供私人資本和政府計畫補助，鼓勵天使投資以降低市場競爭影響。簡而言之，即希望憑藉IFCUS國有企業之設立，為美國高科技製造業提供策略性投資、產經政策等具體援助，藉以強化供應鏈韌性。