美國國會提出「不被追蹤網路資訊保護法案」
「不被追蹤網路資訊保護法」（Do Not Track Me Online Act of 2011）的內容為法律規定企業必須提供選項給消費者選擇退出不被網路追蹤的機制，例如廣告商為了廣告的行銷，以網路技術追蹤消費者軌跡，廣告商必須提供消費者退出被追蹤的選項，給消費者作選擇，主要的目的在保護消費者資訊不被網路技術追蹤而洩漏隱私，若是此法案通過後，可以藉此保護消費者的網路隱私權。
在2010年12月由美國聯邦交易委員會（U.S Federal Trade Commission, FTC）的網路隱私報告中初步提出Do Not Track Me Online Act，美國國會議員在2011年提出此法案進行討論，若是通過後，將會有效限制線上廣告及社群媒體追蹤消費者使用網路的行為，並且防免其將個人資料分享予其他企業，及有效限制線上廣告及社群媒體追蹤消費者使用網路。對於行政機關來說，能夠藉此協助美國聯邦交易委員會建構整體的不被追蹤網路法案標準。若業者未遵守此法案提供退出機制，美國聯邦交易委員會將可能提起不公正及詐欺訴訟，而發動此一訴訟的人員為各州檢察總長。
為了保護隱私，不被追蹤網路資訊法案的提出十分需要，對於企業是否能追蹤消費者的網路活動，消費者因此擁有選擇權。在美國聯邦交易委員會去年12月初步提出此法案後，許多網路瀏覽器例如Mozilla及Explorer紛紛改進技術，以提早因應不被追蹤法案的實施，而廣大消費者團體的也紛紛支持此法案，認為可以因此保護消費者的網路隱私權。
美國食品暨藥物管理局(U.S. Food and Drug Administration，以下簡稱FDA)向來負有保障境內國民健康與人身安全之義務，於今(2010)年1月底，美國參議員Mark Pryor提出「2010奈米科技安全法案」(The Nanotechnology Safety Act of 2010， S.2942)，擬授權FDA對使用奈米科技的醫藥與健康產品(medical and health products)進行管理規範。 「2010奈米科技安全法案」規劃將在聯邦食品、藥物與化妝品管理法(Federal Food, Drug and Cosmetic Act)的第十章中加入第1101節「奈米科技研究計畫」 (Nanotechnology Program)，透過設置研究計畫對FDA管轄範圍內的產品展開調查，藉由研究進一步了解奈米材料對於生物體的作用與影響，經由對奈米材料毒性的認識，歸納出原則性規範，並將奈米材料依照等級劃分，建立以科學證據為基礎的資料庫，同時於內部單位設置奈米材料專家以供諮詢，故為利於日後收集相關科學證據資料作為資料庫之用，協助管理規範上可供參考與遵循之依據，FDA將研究與分析奈米材料係如何被人體吸收，以及如何設計奈米材料使其得以運載對抗癌症之藥物以消除腫瘤，抑或是植入骨骼的奈米級組織是如何強化關節並減少不必要的感染等，未來本法案若順利通過，FDA將對於使用奈米材料之醫藥品、醫療器材與食品添加劑進行規範。 美國參議員Pryor再度重申，FDA需要相當之資源與經費建立以科學證據為基礎的規範體系架構，確保以奈米材料為成分的醫藥健康產品係安全有效，若無相關研究提供完善證據資料，將無從檢驗含有奈米材料的醫藥健康產品，也將無從保障國民之健康安全，故未來期望此一法案之通過將授權FDA投入管理規範體系之建置，亦將有助於實踐以奈米科技改善人類健康與降低醫療成本之理想。
Google與著名品牌的商標戰爭勝出希望濃厚網路搜尋引擎龍頭Google靠其所提供的關鍵字搜尋服務在廣告市場上已獲取一定之利潤，惟此種服務並沒有獲得全球各地品牌持有人的認同，因此而向Google提起訴訟者，亦所在多有；然而，針對關鍵字廣告的訴訟，Google在歐盟法院的判決中很有機會取得初步的勝利。 所謂關鍵字廣告，係指廣告主使用此項服務時，得以自行命名「引發曝光」的關鍵字（Keyword Triggers），該關鍵字可設定為品牌之名稱，亦即當一般民眾使用搜尋功能，輸入特定品牌名稱作為關鍵字時，搜尋結果就會出現當初命名該關鍵字的廣告主網站訊息，只是同樣的關鍵字也有可能為競爭對手甚或商品仿冒者所使用；換言之，民眾輸入特定品牌名稱並點擊「搜尋」之後，搜尋結果將有可能同時出現品牌持有人、競爭對手，或是仿冒者三種不同角色。從而包含Louis Vuitton在內的歐洲知名精品商，相繼以此理由向Google提起訴訟，強調該項服務使廣告主不需經商標權人允許即可使用其商標，Google係已侵害其商標權。 對此，歐盟法院顧問卻認為，廣告主選擇特定關鍵字之後並非直接產生商品販售或是服務提供的行為，亦即使用關鍵字搜尋本身並不會造成商標的侵害或淡化，真正使其權利受損者，乃係廣告主所提供令人混淆的廣告內容。故Google所提供的關鍵字廣告服務，雖未對品牌名稱設下限制，惟「自由選取品牌名稱為關鍵字」一事，並不會侵害品牌持有人之商標權；但需注意者是，經由關鍵字產生的廣告內容中，如果品牌持有人得以舉證該內容已侵害其商標時，Google仍可能負有侵害責任。 歐盟法院顧問之見解雖然並非具有實質的拘束力，但約莫八成的案件顯示，歐盟法院多數將會採納顧問的意見。上述案件將有可能在11月份做出正式判決，令人拭目以待。
歐盟GDPR保護適足性審核與因應作為歐盟GDPR保護適足性審核與因應作為 資訊工業策進會科技法律研究所 法律研究員 吳柏凭 2018年04月10日 壹、事件摘要 歐盟於 1995 年頒布個人資料保護指令(95/46/EC)[1]，對歐洲各國甚至全世界個人資料保護法制發展有極大影響力。然隨著資通訊技術發展變化迅速，網際網路與各項應用興起，既有歐盟個人資料保護指令面對這些變化已經難以為繼，歐盟執委會(European Commission) 出新的資料保護規則（General Data Protection Regulation, GDPR），於2016年4月27日通過，5月4日公布，正式成為歐盟第2016/679號規則（Regulation (EU) 2016/679）[2]。由於歐盟原則上禁止個人資料跨境傳輸，只有在被認可具有保護適足性(Adequate level of protection)的國家或地區才能例外許可傳輸，因此如何獲得歐盟保護適足性認可，就成為能否跨境傳輸歐盟個資的關鍵。 貳、重點說明 一、個人資料保護指令保護適足性審查規定 1995年的個人資料保護指令，就有禁止會員國將個人資料跨境傳輸至對資料保護不具有保護適足性之國家[3]。在第25條第2項中，對於保護適足性的審查，包括資料的性質、處理目的和期間、資料的發生地及最終目的地、該國家施行的普通法及特別法規範、以及安全措施等，透過個案綜合判斷是否具有保護適足性[4]。而關於具體的判斷標準，則依照第29條規定資料保護工作小組（Article 29 Data Protection Working Party）的指導文件[5]，其中對於法律規範審查，除了內容外，更重視個資保護的執行面。 二、GDPR保護適足性審查規定 GDPR延續了個人資料保護指令的規定，原則上禁止資料跨境傳輸至對資料保護不具有適足性之國家[6]。根據第45條第2項規定，適足性的評估包括以下要素： 法治、對人權與基本自由之尊重、一般與部門之相關立法，包括有關公共安全、防衛、國家安全及刑法、公務機關對個人資料之接近使用權、及該等立法、資料保護規則、專業規則及安全措施之執行。 有一個或以上獨立監管機關之存在及有效運作，或對象為國際組織時，確保及執行資料保護規則之遵守，包括充足之執行權，以協助及建議資料主體行使其權利，並與會員國之監管機關合作； 個人資料向其他第三國或國際組織進一步移轉，該其他第三國或國際組織之規則、判例法、及有效且可執行之資料主體權利及個人資料受移轉之資料主體有效之行政與司法救濟；第三國或國際組織所加入之國際協定，或其他因具法律拘束力之合約或辦法、及從其參與多邊或區域體系而生之義務，尤其關於個人資料保護者。 以上規定與個人資料保護指令最大不同在於將保護適足性的判斷標準明文化，同時補充個人資料向第三地再傳輸應注意的規範、具有獨立性監管機關等規定，填補原本個人資料保護指令的漏洞。 三、保護適足性認可程序與現況 保護適足性認可的程序[7]為： 來自歐盟執委會的提案。 得到由歐盟各國資料保護機關組成之作業會議(European Data Protection Board)的意見。 得到歐盟各國代表的承認。 歐盟執委會合意認可。 縱然取得認可，之後也會每四年檢驗一次[8]，如果被判定不具保護適足性，則仍會取消原本的認可[9]。 現階段已通過保護適足性審核的國家地區包括：安道爾、阿根廷、加拿大（民間機構）、法羅群島、根西島、以色列、馬恩島、澤西島、紐西蘭、瑞士及烏拉圭，另有美國限於「隱私盾」框架(Privacy Shield framework)方可傳輸。 參、事件評析 （一）保護適足性認可的效益 除了取得適足性認可外，個別企業可以透過1.標準契約條款(Standard Contractual Clauses, SCC)；2.拘束企業準則(Binding Corporate Rules, BCR)；或3.取得同意方式進行跨境傳輸[10]。但是取得適足性認可不但可以節省企業在個資跨境傳輸的成本，減輕企業負擔，同時也有助於整體產業突破歐盟貿易壁壘。 （二）通過保護適足性審核的困難 雖然現行通過適足性審核的國家地區有11個，惟需注意的是，根西島、馬恩島、以及澤西島都是英國屬地，法羅群島是丹麥屬地，而安道爾和瑞士都是在歐洲境內，這些國家地區的法規範本來就與歐盟差距不大，加上美國及加拿大國家本身不被認可具適足性，實際上不屬於歐盟法體系而通過適足性審核的國家地區非常有限。而且包括以色列、烏拉圭或紐西蘭在申請認可都花超過三年的時間，因此也不能作為短期的因應措施。 此外，在要件方面，規範上雖然我國個資保護規範與GDPR未有極大歧異，但只要存有差異，要取得認可就有極高困難度，這些都需要與歐盟執委會溝通。而在監管機關要求方面，雖然沒有要求單一機關，但對於機關的「獨立性」仍有要求。關於機關的獨立性目前歐盟並沒有明確的標準，但在歐盟法院判決中，有因為德國的州對州層級的資料監管機關進行調查的權力，而被認為不具獨立性[11]。 （三）通過適足性審核的具體作為 以日本為例，為了取得歐盟適足性認可，在2015年9月就其個人資料保護法（個人情報保護法）進行修正，其中設立個人資料保護委員會（個人情報保護委員会）即是為了符合適足性要求中「獨立監管機關」規定，而第24條跨境傳輸的規定更是重要。 日本個人資料保護委員會在2016年就與歐盟執委會溝通三次[12]，同時在2017年發出共同聲明[13]。在不修正法律的狀況下，日本個人資料保護委員會頒布一指導方針來消除差異，並於於2018年2月9日先揭示調適方向[14]，包括： 將歐盟視為敏感性個人資料而日本未明文規定者，解釋上一律視為敏感性個人資料。 歐盟不管個人資料保管期間，一律可以主張權利，而日本則限保管期間6個月以上方可主張權利。指導方針對於歐盟跨境傳輸的個資，不管保管期限一律許其主張權利。 對歐盟跨境傳輸的個資將要求揭露特定利用目的。 對於歐盟跨境傳輸的個資再移轉，必需要透過契約等規制，確保資料受保護水準。 關於歐盟跨境傳輸的個資，在去識別化一定要確認無法再識別，以與歐盟去識別化資料定義相符。 肆、結語 歐盟GDPR已施行在即，如何因應以突破其跨境傳輸的限制將不只是單純避免業者受罰，更是跨越歐盟貿易壁壘的重要關鍵，而在眾多例外許可跨境傳輸的方法中，又以取得保護適足性認可為最根本因應之道。雖然現在取得認可的難度極高，但仍有許多能努力的空間，目前我國也著手申請適足性認可的準備，未來能得到何種程度的回應，值得後續觀察。 [1] Directive 95/46/EC of the European Parliament and of the Council of 24 October 1995 on the Protection of Individuals with regard to the Processing of Personal Data and on the Free Movement of Such Data. [2] Reform of EU data protection rules, European Commission, http://ec.europa.eu/justice/data-protection/reform/index_en.htm (last visited Apr.10, 2018). [3] Data Protection Directive, art. 25(1). [4] Data Protection Directive, art. 25(2). [5] European Commission, Working Party on Protection of Individuals with regard to the Processing of Personal Data, Working Documents Transfers of personal data to third countries: Applying Articles 25 and 26 of EU data protection directive, July 24, 1998. [6] General Data Protection Regulation, art. 45. [7] Adequacy of the protection of personal data in non-EU countries, https://ec.europa.eu/info/law/law-topic/data-protection/data-transfers-outside-eu/adequacy-protection-personal-data-non-eu-countries_en (last visited Apr.10, 2018). [8] General Data Protection Regulation, art. 45(3). [9] General Data Protection Regulation, art. 45(5). [10] General Data Protection Regulation, art. 46. [11]European Commission v. Federal Republic of Germany(C-518/07). [12]個人情報保護委員会，個人情報保護委員会の国際的な取組について，https://www.kantei.go.jp/jp/singi/keizaisaisei/miraitoshikaigi/4th_sangyokakumei_dai2/siryou3.pdf (last visited Apr.10, 2018). [13]JETRO，個人データ保護の「十分性認可」取得の好機に－日EU首脳が共同声明－，https://www.jetro.go.jp/biznews/2017/07/845f14ec50674c94.html (last visited Apr.10, 2018). [14]個人情報保護委員会，EU 域内から十分性認可により移転を受けた個人データの取扱いに関するガイドラインの方向性について ，https://www.ppc.go.jp/files/pdf/300209_siryou1.pdf (last visited Apr.10, 2018).
歐盟提出雲端服務層級標準化指導原則2014年6月26日歐盟執委會提出電信網路層級服務協議標準化指導原則(Cloud Service Level Agreement Standardisation Guidelines)。網路服務提供業者通常會與消費者簽訂契約，內容約定有服務之等級，稱之為電信服務層級契約(SLAs)，在雲端運算服務中，通常橫跨不同的管轄領域，適用的法律要件亦產生變化，而在雲端部分所儲存的個人資料保護部分尤其重要。不同的雲端服務與模式所需要的協議約定亦不同，這些都增加訂定的複雜性。 指導原則之提出將幫助專業的雲端服務業者在契約訂定時應該注意的內容，其中主要相關項目包括： 1.雲端服務的可利用性與真實性 2.從雲端服務提供業者中可取得服務的品質 3.安全層級 4.在雲端中如何妥善管理資料 指導原則首先明定原則，以做為雲端運算服務契約之參考。並同時針對不同的名詞定義解是，亦針對不同的契約與法律議題說明，包括業者在依據所訂定的契約中處理個人資料時，應符合歐盟資料保護之規範。 在指導原則提出之後，執委會將與雲端使用者，特別是一些小型企業進行檢視，後續並朝向通過國際ISO之認證。