美國聯邦通訊委員會補助無訊號地區3G網路建設
美國聯邦通訊委員會（Federal Communications Commission, FCC）自2010年推動「國家寬頻計畫」（National Broadband Plan）以來，即進行多項寬頻建設，使民眾於生活、工作及旅行途中，都能享受到行動寬頻網路與語音服務。而FCC於2012年2月規劃利用原普及服務基金（Universal Service Fund）下的行動通信基金（Mobility Fund）（兩者於2011年底均已劃入連接美國基金“Connect America Fund”）提撥出3億美金，一次性的提供業者於訊號未涵蓋區域進行3G網路基礎建設，並在未來三年內提供5億美金以供業者持續營運。
FCC預計於2012年9月2日，以反向拍賣（reverse auction）方式進行。由業者提出佈建方案、使用技術，並證明在競標區域內擁有足夠頻譜與建設能力，方能進入投標，最後由需要補助最少之業者得標。FCC希望利用此方式能促進市場競爭，使業者提出更積極之佈建方案。得標業者除獲得建設與營運補助外，並能為商用經營。本次拍賣將與其他頻譜執照拍賣方式類似，但就細部拍賣規則，將徵詢公眾意見後做出決定。
而為避免補助區域與已有3G訊號區域重疊，FCC就無3G訊號涵蓋區域繪製全國地圖，並公佈予投標者參考。原規劃區域為491,000區，但因過於狹小恐難以經營，故合併後為6,200區供業者競標。得標者負有義務必須於兩年之內於標得區域內完成3G網路佈建，或於3年內完成4G建設。
歐盟資料保護工作小組修正通過「個人資料侵害通報指引」 資訊工業策進會科技法律研究所 法律研究員 李哲明 2018年3月31日 壹、事件摘要 因應歐盟「通用資料保護規則」（The General Data Protection Regulation，或有譯為一般資料保護規則，下簡稱GDPR）執法即將上路，針對個人資料侵害之通報義務，歐盟資料保護工作小組（Article 29 Data Protection Working Party, WP29）特於本（2018）年2月6日修正通過「個人資料侵害通報指引」（Guidelines on Personal data breach notification under Regulation 2016/679），其中就GDPR所規範個資侵害之定義、對監管機關之通報、與個資當事人之溝通、風險及高風險評估、當責與紀錄保存及其他法律文件所規定之通報義務等，均設有詳盡說明與事例。 貳、重點說明 一、何謂個資侵害？個資侵害區分為哪些種類？ 依據GDPR第4條（12）之定義，個資侵害係指：「個人資料因安全性之侵害所導致意外或非法之毀損、喪失、修改、未經授權之揭露、存取、個資傳輸、儲存或其他處理。」舉例來說，個人資料之喪失包括含有控制者（controller）顧客資料庫的備份設備之遺失或遭竊取。另一例子則為整份個資的唯一檔案遭勒索軟體加密，或經控制者加密，但其金鑰已滅失。依據資訊安全三原則，個資侵害之種類區分為： 機密性侵害（Confidentiality breach）：未經授權、意外揭露或獲取個人資料。 完整性侵害（Integrity breach）：未經授權或意外竄改個人資料。 可用性侵害（Availability breach）：在意外或未經授權之情況下，遺失個人資料存取權限或資料遭銷燬。 二、何時應為通知？ 按GDPR第33條（1）之規定，當個資侵害發生時，在如果可行之情況下，控制者應即時（不得無故拖延）於知悉侵害時起72小時內，依第55條之規定，將個資侵害情事通報監管機關。但個資侵害不會對自然人之權利和自由造成風險者，不在此限。倘未能於72小時內通報監管機關者，應敘明遲延之事由。 三、控制者「知悉」時點之判斷標準為何？ 歐盟資料保護工作小組認為，當控制者對發生導致個人資料侵害的安全事件達「合理確信的程度」（reasonable degree of certainty）時，即應視為其已知悉。以具體事例而言，下列情況均屬所謂「知悉」： 在未加密個人資料的情況下遺失USB密鑰（USB Key），通常無法確定是否有未經授權者將獲致存取資料權限。即使控制者可能無法確定是否發生機密性侵害情事，惟仍應為通知，因發生可用性侵害之情事，且已達合理確信的程度。 故應以控制者意識到該密鑰遺失時起為其「知悉」時點。 第三人通知控制者其意外地收到控制者的客戶個人資料，並提供該揭露係未經授權之證據。當侵害保密性之明確證據提交控制者時，即為其「知悉」時點。如：誤寄之電子郵件，經非原定收件人通知寄件者之情形。 當控制者檢測到其網路恐遭入侵，並針對其系統進行檢測以確認個人資料是否遭洩漏，嗣後復經證實情況屬實，此際即屬「知悉」。 網路犯罪者在駭入系統後，聯繫控制者以索要贖金。在這種情況下，控制者經檢測系統並確認受攻擊後，亦屬「知悉」。 值得注意的是，在經個人、媒體組織、其他來源或控制者自我檢測後，控制者或將進行短暫調查，以確定是否發生侵害之事實。於此調查期間內所發現之最新侵害情況，控制者將不會被視為「知悉」。然而，控制者應儘速展開初步調查，以形成是否發生侵害事故之合理確信，隨後可另進行更詳盡之調查。 四、共同（聯合）控制者之義務及其責任分配原則 GDPR第26條針對共同控制者及其如何確定各自之法遵義務，設有相關規定，包括決定由哪一方負責遵循第33條（對主管機關通報）與第34條（對當事人通知）之義務。歐盟資料保護工作小組建議透過共同控制者間之契約協議，約明哪一方係居主要地位者，或須負責盡到個資侵害時，GDPR所定之通知義務，並載於契約條款中。 五、通報監管機關與提供資訊義務 當控制者通報監管機關個資侵害情事時，至少應包括下列事項 （GDPR第33條（3）參照）： 敘述個人資料侵害之性質，包括但不限於所涉之相關個資當事人、個資紀錄及其類別、數量。 傳達資料保護長（DPO）或其他聯絡人之姓名與聯絡方式，俾利獲得進一步資訊。 說明個資侵害可能之後果。 描述控制者為解決個資侵害業已採取或擬採行之措施，在適當情況下，酌情採取措施以減輕可能產生之不利影響。 以上乃GDPR要求通報監管機關之最基本事項，在必要時，控制者仍應盡力提供其他細節。舉例而言，控制者如認為其處理者係個資侵害事件之根因（root cause），此時通報並指明對象即可警示委託同一處理者之其他控制者。 六、分階段通知 鑒於個資事故之性質不一，控制者通常需進一步調查始能確定全部相關事實，GDPR第33條（4）爰設有得分階段通知（notification in phases）之規定。凡於通報時，無法同時提供之資訊，得分階段提供之。但不得有不必要之遲延。同理，在首次通報後之後續調查中，如發現該事件業已受到控制且並未實際發生個資侵害情事，控制者可向監管機關為更新。 七、免通報事由 依據GDPR第33（1）條規定，個資侵害不會對自然人之權利和自由造成風險者，毋庸向監管機關通報。如：該遭洩露之個人資料業經公開使用，故並未對個人資料當事人構成可能的風險。 必須強調的是，在某些情形下，未為通報亦可能代表既有安全維護措施之缺乏或不足。此時監管機關將可能同時針對未為通報（監管機關）或通知（當事人），以及安全維護措施之缺乏或不足，以違反第33條或（及）34條與第32條等獨立義務規定為由，而依第83條4（a）之規定，併予裁罰。 參、事件評析 一、我國企業於歐盟設有分支機構或據點者，宜指派專人負責法遵事宜 揆諸GDPR前揭規定，當個資侵害發生時，控制者應即時且不得無故拖延於知悉時起72小時內，將個資侵害情事通報監管機關。未能履踐義務者，將面臨最高達該企業前一會計年度全球營業額之2%或1千萬歐元，取其較高者之裁罰。我國無論金融業、航運業、航空運輸業、電子製造業及進出口貿易業者等，均或有於歐盟成員國境內或歐洲經濟區（European Economic Area）當地設立子公司或營業據點。因此，在GDPR法遵衝擊的倒數時刻，指派具瞭解GDPR規定、當地個資隱私法遵規範、擅長與隱私執法機構溝通及充要語言能力者專責法遵業務實刻不容緩。蓋此舉可避免我國企業母公司鞭長莫及，未能及時處置而致罹法典之憾。 二、全面檢視個資業務流程，完備個資盤點與風險評鑑作業，掌握企業法遵現況 企業應全面檢視業務流程，先自重要核心業務中析出個資作業流，搭配全面個資盤點，並利用盤點結果進行風險評鑑，再針對其結果就不同等級之風險採行相對應之管控措施。此外，於全業務流程中，亦宜採行最小化蒐集原則，避免蒐集過多不必要之個人資料，尤其是GDPR所定義之敏感個資（如：種族、民族血統、政治觀點、宗教信仰、哲學信仰、工會會員資格等個人資料，及遺傳資料的處理，用於識別特定自然人之生物識別資料、健康資料、性生活、性取向等）或犯罪前科資料，俾降低個人資料蒐集、處理、利用、檔案保存及銷燬之全生命週期流程中的風險。此舉亦契合我國個人資料保護法第5條所揭櫫之原則。 三、立法要求一定規模以上之企業須通過個資隱私法遵第三方認（驗）證，並建置認證資訊公開平台 鑒於國際法遵衝擊以及隱私保護要求之標準線日漸提升，我國企業除自主導入、建置並維運相關個資保護與管理制度以資因應，更有賴政府透過法令（如：修正個人資料保護法）強制要求一定規模以上之企業通過第三方專業驗證，俾消弭風險於日常準備之中。蓋我國具一定規模以上企業，無論其係屬何種業別，一旦違反國際法遵要求，遭致鉅額裁罰，其影響結果將不僅止於單一企業，更將嚴重衝擊該產業乃至於國家整體經貿發展。職是，採法律強制要求企業定期接受獨立、公正及專業第三方認（驗）證，咸有其實益性與必要性。
新加坡網路安全局發布人工智慧系統安全指南，以降低AI系統潛在風險新加坡網路安全局（Cyber Security Agency of Singapore, CSA）於2024年10月15日發布人工智慧系統安全指南（Guidelines on Securing AI Systems），旨在強化AI系統安全，協助組織以安全之方式運用AI，降低潛在風險。 該指南將AI系統生命週期分成五個關鍵階段，分別針對各階段的安全風險，提出相關防範措施： （1）規劃與設計：提高AI安全風險認知能力，進行安全風險評估。 （2）開發：提升訓練資料、模型、應用程式介面與軟體庫之供應安全，確保供應商遵守安全政策與國際標準或進行風險管理；並辨識、追蹤及保護AI相關資產（例如模型、資料、輸入指令），以確保AI開發環境安全。 （3）部署：適用標準安全措施（例如存取控制、日誌記錄），並建立事件管理程序。 （4）運作與維護：持續監控AI系統的輸入和輸出，偵測異常與潛在攻擊，並建立漏洞揭露流程。 （5）壽命終期：應根據相關行業標準或法規，對資料與模型進行適當之處理、銷毀，防止未經授權之存取。 CSA期待該指南發布後，將有助於預防供應鏈攻擊（supply chain attacks）、對抗式機器學習攻擊（Adversarial Machine Learning attacks）等安全風險，確保AI系統的整體安全與穩定運行。
Dell與Alcatel-Lucent在東德州“線上買賣”（Online Buying）專利侵權訴訟，Dell敗訴美國東德州聯邦地方法院的法官於今年2月5日，對Dell指稱Alcatel-Lucent侵害其所有之兩項線上管理顧客及產品資料的電腦製造方法專利乙案作出判決。判決指出，因為Dell無法向陪審團證明Alcatel-Lucent有引誘或侵害Dell專利權的事實，而Alcatel-Lucent亦無法以明確且具說服力的證據證明系爭案件中Dell所有的專利為無效，所以本案亦無任何損害賠償問題。Dell於訴訟中所主張的兩項專利權，主要為關於加速促進顧客線上下單購物的技術，其美國專利權號碼分別為6,182,275及6,038,597。關於本判決結果，原告Dell方面尚未表示是否會對本判決提起上訴，然被告法商Alcatel-Lucent則對此判決結果表示則肯定。 Alcatel-Lucent與Dell之間的專利訴訟並未就此結束, Alcatel-Lucent在加州之前起訴Dell, Gateway及Microsoft專利侵權之訴訟，主要為影像解碼及選擇影像播放模式技術之專利，專利號碼分別為4,958,226; 4,383,272; 4,763,356；5,347,295及 4,439,759.，該專利訴訟自2003年開始在加州纏訴。Alcatel-Lucent主張被告三家公司應給付專利侵權之損害賠償一共超過美金30億的天價，本案業已上訴，審理的法院已訂期將於近日展開審判。然而，由於Gateway去年被宏碁(Acer)併購後，已積極地與Alcatel-Lucent進行談判，雙方並於今年2月中達到庭外和解的協議。所以，Dell在東德州敗訴的消息，是否會影響其未來在加州是否會繼續訴訟或尋求庭外和解的態度，將是市場人士專注的焦點。
受美國聯邦最高法院Alice案影響，各級法院傾向宣告商業方法之電腦軟體專利無效依據美國專利法第101條規定，任何人發明或發現一新的、有用的程序、機器、製造物、組合物，或做出任何新的或有用的改良，並符合專利法所定之其他條件或要求，即可以取得專利權；然而，今年（2014年06月19日）美國聯邦最高法院於Alice Corp. v. CLS Bank International一案，認定原告透過第三方中介電腦系統 促進交易雙方交換資訊，以降低交易風險之技術，只是將抽象概念（第三方中介交易之商業方法）以一般方式於電腦軟體運行，故無法取得專利。 司法實務上，各級法院開始遵循此一判決先例，宣告與此性質類似之專利無效。例如：於Buysafe, Inc. v. Google, Case No. 2012-1575 (Fed. Cir. Sept. 3, 2014)一案，法院認定原告用來擔保線上交易安全之技術，只是將擔保契約關係此抽象概念運用於網路，故無法取得專利；於Loyalty Conversion Systems v. American Airlines, Inc., Case No. 2:13-CV-655 (E.D. Tex. Sept. 2, 2014)一案，法院認定原告以獎勵點數換取消費點數之技術，只是將貨幣交換此抽象概念透過電腦進行，故亦無法取得專利。 由各級審法院判決可以觀察到，以商業方法（抽象概念）為內容的電腦軟體專利有逐漸被宣告無效的趨勢，尤其是涉及到：縱使不以電腦軟體運行，但似乎亦可完成的交易方法。由此可見，各級法院對於專利法第101條已經開始採取較嚴格的審查標準。未來無論在專利申請或專利訴訟時，都宜一併考量Alice Corp. v. CLS Bank International案所帶來的影響。