本文為「經濟部產業技術司科技專案成果」
日本個人資料主管機關個人情報保護委員會(簡稱PPC)在今(2026)年9月2日召開的第367次會議中,揭露了該委員會在令和8年度第1季(2026年4至6月)個資執法的狀況。在這段期間內,PPC共發出141件行政指導(其中76件是針對通報延遲的行政指導),其中民間部門(非公務機關)98件、行政機關43件。 PPC針對非公務機關的行政指導,以「非法存取」(不正アクセス)的樣態為主。PPC分析指出,非公務機關受到外部攻擊的樣態主要為:暴力破解、資料隱碼攻擊(SQL injection)以及勒索軟體攻擊。PPC特別整理三種最常見導致非法存取的安全管理缺失:(一)未處理已知且已有因應方法的漏洞,包含VPN(Virtual Private Network)設備之漏洞以及用以建置電商網站之應用程式漏洞;(二)使用易於推測的帳號或密碼;(三)設定錯誤導致資料庫缺乏存取控制。觀察PPC的行政指導內容,其最常認定非公務機關作為不足的樣態包含:「防範非法存取不足」(21件)、「使用者身分識別與驗證措施不足」(14件)以及「對受託者之監督不足」(12件)。 而PPC對行政機關的行政指導,則以人為疏失為主,包含:遮蔽處理不足、附件內未刪除保有個人資料、錯誤廢棄與遺失資料等。PPC對此作成的行政指導內容則以媒體管理以及防止錯誤傳送(如網頁誤刊載、電子郵件附件夾帶其他工作表、遮蔽處理不當)兩項最多。
韓國「電子文件認證管理系統」(Certified E-Document Authority System)法制化之簡介 美國發布了「消費者隱私權法」草案美國白宮在2015年2月27日發布了「消費者隱私權法」(Consumer Privacy Bill of Rights Act)草案,目的在於擴大消費者資料的保護範圍。 該草案的重點分列如下: 透明性:受規範主體必須提供資訊主體簡潔、明顯、易懂的公告,公告內容必須提供簡潔、明瞭及即時的隱私與安全運作,包含資訊保存、揭露以及個人資料存取機制。 個人控制:受規範主體應該在合理範圍內提供機制,讓資料主體能控制其個人資料之處理,同時也規範應讓消費者撤銷個人資料使用的同意。 注重資料蒐集與合理使用:受規範的公司機構必須依據其清楚、合理的說明規則來進行個人資料的蒐集、保存與利用。同時,在資料蒐集之特定目的完成後的合理時間內,必須針對所蒐集的個人資料進行刪除或是去識別化。 安全性的維護:為了維護個人資料之安全性,以防止其遺失、陷入危險、改變以及未經授權之使用或是揭露,公司機構必須進行安全風險評估,並且採取合理的資訊安全防護措施。 存取與正確性:受規範的公司機構必須提供資訊主體合理的存取權利,同時也應該採取合理的步驟,來維護資料的正確性。 擔負隱私維護的責任:受規範的公司機構必須針對員工實施資安教育訓練、進行隱私評估、隱私設計、遵守隱私保護義務以及採取適當的措施來遵循本草案之規定。 不受本草案規範之公司機構: 25名員工以下的小型公司,且其處理者僅限於員工與求職者之個人資料。 未刻意蒐集、處理、使用、保存或揭露個人病史、原生國籍、性傾向、性別、宗教信仰、資產狀況、精確的位置資訊、獨一無二的生物識別資料或是社會安全號碼,並符合以下要件之一者: 在12個月內蒐集個人資料筆數在10,000筆下; 5名員工以下。 除了要求產業發展處理消費者資料的標準或規則,該草案也要求「聯邦貿易委員會」(Federal Trade Commission, FTC)確認產業所制定的標準或規則必須符合「消費者隱私權法」的規定,包括提供消費者有關其資料如何被收集、使用與分享的明確通知。如果進行消費者資料收集的公司機構違反了「消費者隱私權法」,將會面臨FTC或是州檢察長所發起的法律行動。 該草案引起了產業界極大的反彈,隱私團體也批評該草案太過寬鬆,留給產業界太多自由空間,同時目前國會由共和黨所主導,因此後續立法工作的進行將會面臨極大的挑戰。
ECODIR之線上爭端解決機制介紹