Google就隱私權議題與美國FTC達成初步和解，消費者團體呼籲FTC採取更嚴厲的手段
今年三月底，Google與美國聯邦貿易委員會(Federal Trade Commission, FTC)就Buzz案達成和解。2010年時FTC控告Google Buzz未確實保護消費者的個人資料，侵犯了消費者的隱私權，違反「聯邦貿易委員會法」(FTC Act)以及美國與歐盟所訂定之「安全港架構協議」(U.S.-EU Safe Harbor Framework)。FTC表示，Google搭配在其Gmail中的網路社交服務Buzz，讓Gmail使用者誤以為其可以自主決定是否加入該社群，但事實上縱使Gmail使用者選擇不加入，也無法完全移除此項服務。甚者，選擇加入Buzz的消費者，亦無法找到明確的方式，控制其分享的個人資料。FTC控告Google未取得消費者的同意，將Gmail的資料(通訊錄名單)供社交網路使用，構成目的範圍外的使用。
依據Google與FTC和解內容，Google必須執行一套更為嚴謹的隱私權制度，不得再有誤導消費者其個人資料開放程度的行為，並且在爾後二十年都需接受獨立機構的隱私審查。初步和解內容開放30天(至2011年5月2日 )供社會大眾提供意見，之後FTC將提出最終和解內容。迄今為止，消費者團體提出的意見，包括要求FTC限制Google持有個人資料的時間，將隱私權保護制度適用到其所有的產品，對其儲存於雲端系統的個人資料進行加密動作，以及在進行個人資料蒐集前，應彈跳出視窗取得消費者同意等
值得注意的是，FTC在和解案中關於隱私權政策的客體所使用的語彙為「涵蓋資料」(covered information )而非「個人資料」(personal information)，「涵蓋資料」所包含的範圍除了傳統的「個人資料」，尚包含IP位址、個人實體位址，以及通訊名單等等。
本案是FTC首度依職權要求業者採取更為嚴謹的隱私權保護制度以保障消費者權益，亦是FTC初次依「安全港架構協議」所採取的行動。本案對於線上服務的隱私權保護無疑是一大進展，但亦有論者擔心嚴苛的隱私權保護制度，反將造成小公司或新業者市場參進的障礙，愈發壯大Google的市場地位。
除此之外，Google的Buzz服務亦被消費者以集團訴訟提起告訴，最終和解金為850萬美元。
隨著Google成為搜尋引擎界的龍頭，其近年的一舉一動皆備受美國以及歐洲管理當局嚴密注意，今年二月份時，Google即時街景服務亦因不當蒐集個人資料而被法國裁罰14萬美元。
謝孟珊
資深法律研究員 編譯整理
FindLaw website, 2010年3月31日，http://news.findlaw.com/ap/high_tech/1700/03-30-2011/20110330083500_04.html ，最後瀏覽日：2011年04月22日
Infosec Island website, 2010年4月13日，https://www.infosecisland.com/blogview/12823-FTC-Privacy-Enforcement-and-the- Google-Buzz-Settlement.html，最後瀏覽日：2011年04月22日
YAHOO News, 2010年3月30日，http://news.yahoo.com/s/afp/20110330/pl_afp/usitcompanyprivacyinternetgoogleftc，最後瀏覽日：2011年04月22日
Network World website, 2010年4月21日，http://www.networkworld.com/2011/042111-groups-push-for-additions-to.html，最後瀏覽日：2011年04月22日
近年來透過美國國際貿易委員會（International Trade Commission，簡稱ITC）調查營業秘密盜用的案件逐年增加，從2018 年僅有2件到2021年已增加至9件，此現象可能與疫情期間大量員工離職流動有關，預期2022年會有更多員工流動的情況，也將使企業面臨更大的營業秘密盜用風險。 雖然過往熟知ITC是專利糾紛的戰場，但ITC對於構成營業秘密盜用的「不公平行為」也有管轄權。尋求ITC營業秘密盜用調查和傳統聯邦或州法院訴訟相比的好處包括：(1) ITC可管轄在發生在美國以外的營業秘密盜用行為、(2) ITC調查時間短，平均在15-18個月會做出處置、(3) 向ITC尋求救濟時間未有限制，聯邦或州法院則會要求在發現或應該發現營業秘密盜用行為起3-5年內應提出。 若ITC對於營業秘密盜用調查成立，請求人可取得排除令（exclusion order）禁止因盜用營業秘密產生的商品進入美國，也可取得制止令（cease-and-desist order）停止已在美國的被訴產品銷售。雖然ITC不能提供金錢賠償，但企業可同時向聯邦或州法院提出訴訟請求金錢賠償，且與專利案件不同，ITC關於營業秘密調查的勝利對於尋求金錢賠償的地方法院訴訟具有排他性影響（preclusive effect）。 因此，當面臨營業秘密盜用者不在美國或需要在短時間取得調查結果的情況，尋求ITC營業秘密盜用調查對企業會是有利的做法。 「本文同步刊登於TIPS網站（https://www.tips.org.tw）」
美國FCC針對飛機上使用無線通訊服務之規則展開諮詢美國聯邦通信委員會（Federal Communications Commission，FCC）於2013年12月發佈法規命令制訂通知（Notice of proposed rulemaking，NPRM），將制訂規則以允許航空公司在飛機上安全地提供無線通訊服務，FCC並將諮詢公眾建議，考量消費者權益與相關產業影響。目前公布的規則，在公眾諮詢期間後，將放寬航空公司於飛行中提供通訊服務的管制，也包括以前受管制的無線頻段。 該規則的基本原則是，航空公司必須選擇裝設經過認證的服務設備，以防止飛機與地面通訊的有害干擾，在干擾得以適當控制之下，航空公司將能提供乘客的無線寬頻網路，包括網際網路、電子郵件、文字通訊以及各種類型的語音服務。新管制規則也將提升航空公司機艙內通訊的品質。根據建議，個別航空公司以自律為原則，遵守FCC、美國聯邦航空管理局（FAA）和運輸部（DOT）的規定，決定是否要在飛機上提供行動通訊無線服務，並且決定提供哪些服務。 如果一家航空公司選擇安裝新的通訊設備，便能提供消費者使用他們的行動裝置的完整通訊功能，航空公司必須公布哪些航班有提供服務、有什麼類型的服務，例如是否允許網路瀏覽、電子郵件、即時通訊等，但不包含語音通話。 以下簡介FCC本次發佈的規則方向： 1. 開放更多無線頻譜的使用，移除既有的對於飛機上使用無線頻譜的嚴格限制。協調所有商用航空器相關的頻譜與設備的管制規範。 2. 暫不開放語音通訊服務（含傳統語音服務以及網路電話VOIP）。3. 為航空公司使用商用無線頻譜在飛機上提供無線通訊服務，提供新的執照授權。 4. 限制飛行器上裝設之無線通訊設備，必須通過美國運輸不或美國航空管制局（FAA）所認證之設備，以管制機上裝置的發射功率及電力需求。 5. 限制飛機在超過海拔3048公尺（約10,000英尺）以上高度飛行時，提供無線通訊服務的能力。 6. 其他有關法律管制架構、公眾及國家安全，以及潛在的語音服務影響之事項。
美國公布實施零信任架構相關資安實務指引美國公布實施零信任架構相關資安實務指引 資訊工業策進會科技法律研究所 2022年09月10日 美國國家標準技術研究院（National Institute of Standards and Technology, NIST）所管轄的國家網路安全卓越中心（National Cybersecurity Center of Excellence, NCCoE），於2022年8月前公布「NIST SP 1800-35實施零信任架構相關資安實務指引」（NIST Cybersecurity Practice Guide SP 1800-35, Implementing a Zero Trust Architecture）系列文件初稿共四份[1] ，並公開徵求意見。 壹、發布背景 此系列指引文件主要係回應美國白宮於2021年5月12日發布「改善國家資安行政命令」(Executive Oder on Improving the Nation’s Cybersecurity) [2]當中，要求聯邦政府採用現代化網路安全措施（Modernizing Federal Government Cybersecurity），邁向零信任架構（advance toward Zero Trust Architecture）的安全防護機制，以強化美國網路安全。 有鑑於5G網路、雲端服務、行動設備等科技快速發展，生活型態因疫情推動遠距工作、遠距醫療等趨勢，透過各類連線設備隨時隨地近用企業系統或資源進行遠端作業，皆使得傳統的網路安全邊界逐漸模糊，難以進行邊界防護，導致駭客可透過身分權限存取之監控缺失，對企業進行攻擊行動。為此NIST早於2020年8月已公布「SP 800-207零信任架構」（Zero Trust Architecture, ZTA）標準文件[3] ，協助企業基於風險評估建立和維護近用權限，如請求者的身分和角色、請求近用資源的設備狀況和憑證，以及所近用資源之敏感性等，避免企業資源被不當近用。 貳、內容摘要 考量企業於實施ZTA可能面臨相關挑戰，包含ZTA部署需要整合多種不同技術和確認技術差距以構建完整的ZTA架構；擔心ZTA可能會對環境運行或終端客戶體驗產生負面影響；整個組織對ZTA 缺乏共識，無法衡量組織的ZTA成熟度，難確定哪種ZTA方法最適合業務，並制定實施計畫等，NCCoE與合作者共同提出解決方案，以「NIST SP 800-207零信任架構」中的概念與原則，於2022年8月9日前發布實施零信任架構之實務指引系列文件初稿共四份，包含： 一、NIST SP 1800-35A：執行摘要（初稿）（NIST SP 1800-35A: Executive Summary (Preliminary Draft)） 主要針對資安技術長（chief information security and technology officers）等業務決策者所編寫，可使用該指引來瞭解企業於實施ZTA所可能遭遇挑戰與解決方案，實施ZTA所能帶來優點等。 二、NIST SP 1800-35B：方法、架構和安全特性（初稿）（NIST SP 1800-35B: Approach, Architecture, and Security Characteristics (Preliminary Draft)） 主要針對關注如何識別、理解、評估和降低風險的專案經理和中層管理決策者所編寫，闡述風險分析、安全/隱私控制對應業務流程方法（mappings）的設計理念與評估內容。 三、NIST SP 1800-35C：如何操作指引（初稿）（NIST SP 1800-35C: How-To Guides (Preliminary Draft)） 主要針對於現場部署安全工具的IT 專業人員所編寫，指導和說明特定資安產品的安裝、配置和整合，提供具體的技術實施細節，可全部或部分應用指引中所揭示的例示內容。 四、NIST SP 1800-35D：功能演示（初稿）（NIST SP 1800-35D: Functional Demonstrations (Preliminary Draft)） 此份指引主要在闡述商業應用技術如何被整合與使用以建構ZTA架構，展示使用案例情境的實施結果。 參、評估分析 美國自總統發布行政命令，要求聯邦機構以導入ZTA為主要目標，並發布系列指引文件，透過常見的實施零信任架構案例說明，消除零信任設計的複雜性，協助組織運用商用技術來建立和實施可互操作、基於開放標準的零信任架構，未來可預見數位身分將成為安全新核心。 此外，NIST於2022年5月發布資安白皮書－規劃零信任架構：聯邦管理員指引[4] ，描繪NIST風險管理框架（Risk Management Framework, RMF）逐步融合零信任架構的過程，幫助聯邦系統管理員和操作員在設計和實施零信任架構時使用RMF。 我國企業若有與美國地區業務往來者，或欲降低遠端應用的安全風險者，宜參考以上標準文件與實務指引，以建立、推動和落實零信任架構，降低攻擊者在環境中橫向移動和提升權限的能力，與保護組織重要資源。 [1] Implementing a Zero Trust Architecture, NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY, https://www.nccoe.nist.gov/projects/implementing-zero-trust-architecture (last visited Aug. 22, 2022). [2] Executive Order on Improving the Nation’s Cybersecurity, THE WHITE HOUSE, https://www.whitehouse.gov/briefing-room/presidential-actions/2021/05/12/executive-order-on-improving-the-nations-cybersecurity (last visited Aug. 22, 2022). [3] SP 800-207- Zero Trust Architecture, NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY, https://csrc.nist.gov/publications/detail/sp/800-207/final (last visited Aug. 22, 2022). [4] NIST Releases Cybersecurity White Paper: Planning for a Zero Trust Architecture, NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY, https://csrc.nist.gov/News/2022/planning-for-a-zero-trust-architecture-white-paper (last visited Aug. 22, 2022).
由Meta案看數位資料商業化面臨之跨國問題於2023年5月22日愛爾蘭資料保護委員會（Ireland's Data Protection Commission, DPC）對於Facebook的母公司Meta將歐盟境內資料傳輸到美國的行為做出開罰12億歐元的決定，並暫停資料跨境傳輸行為，再次引起了各界對於資料跨境傳輸的關注。 針對跨國提供網路服務的企業，如何確保企業處理資料的方式可以符合多國的法規要求，向來是一困難的問題。自從2015年「安全港隱私準則」（Safe Harbour Privacy Principles）被歐盟法院宣告失效後，美國與歐盟試圖就資料跨境傳輸重新達成一個可符合雙方要求的框架，包含2020年被歐盟法院宣告無效的「隱私盾框架」（EU-US Privacy Shield Framework），而2022年3月雙方達成原則性同意的歐盟美國資料隱私框架（EU-U.S. Data Privacy Framework, DPF），惟就美國於同年10月發布用以實施之行政命令（EO 14086），亦於2023年5月被歐洲議會認為對於歐盟境內資料的保護不足。 2023年6月8日英國跟美國共同發布建立英美資料橋（UK-US data bridge）的聯合聲明，以建立起英美之間的資料流動機制，但該英美資料橋是基於歐盟美國資料隱私框架做進一步的擴展，能否符合歐盟對於資料保護的要求，目前尚無法預期。 目前的商業模式中資料跨境傳輸是難以避免的現實困境，各國亦就資料跨境傳輸建立框架，企業需持續關注自身營業所在地之法規變化，以即時因應調整自身管理機制。 本文同步刊登於TIPS網站（https://www.tips.org.tw/）