資訊安全與電子商務－談資訊安全通報機制
本文為「經濟部產業技術司科技專案成果」
2018年5月，英國資訊專員辦公室（Information Commissioner’s Office, ICO）針對歐盟GDPR有關資料自動化決策與資料剖析之規定，公布了細部指導文件（detailed guidance on automated decision-making and profiling），供企業、組織參考。 在人工智慧與大數據分析潮流下，越來越多企業、組織透過完全自動化方式，廣泛蒐集個人資料並進行剖析，預測個人偏好或做出決策，使個人難以察覺或期待。為確保個人權利和自由，GDPR第22條規定資料當事人應有權免受會產生法律或相類重大效果的單純自動化處理決策（a decision based solely on automated processing）之影響，包括對個人的資料剖析（profiling），僅得於三種例外情況下進行單純自動化決策： 為簽訂或履行契約所必要； 歐盟或會員國法律所授權； 基於個人明示同意。 英國2018年新通過之資料保護法（Data Protection Act 2018）亦配合GDPR第22條規定，制定相應國內規範，改變1998年資料保護法原則上容許資料自動化決策而僅於重大影響時通知當事人之規定。 根據指導文件，企業、組織為因應GDPR而需特別留意或做出改變的事項有： 記錄資料處理活動，以幫助確認資料處理是否符合GDPR第22（1）條單純自動化決策之定義。 倘資料處理涉及資料剖析或重大自動化決策，應進行資料保護影響評估（Data Protection Impact Assessment, DPIA），判斷是否有GDPR第22條之適用，並及早了解相關風險以便因應處理。 提供給資料當事人的隱私權資訊（privacy information），必須包含自動化決策之資訊。 應確保組織有相關程序能接受資料當事人的申訴或異議，並有獨立審查機制。 指導文件並解釋所謂「單純自動化決策」、「資料剖析」、「有法律效果或相類重大影響」之意義，另就可進行單純自動化決策的三種例外情況簡單舉例。此外，縱使符合例外情況得進行單純自動化決策，資料控制者（data controller）仍必須提供重要資訊（meaningful information）給資料當事人，包括使用個人資料與自動化決策邏輯上的關聯性、對資料當事人可能產生的結果。指導文件亦針對如何向資料當事人解釋自動化決策處理及提供資訊較佳的方式舉例說明。
創投業景氣欠佳，政府扮演助力角色在網路泡沫化之後，曾經在九○年代紅極一時的資金投資機構 -- 創業投資 (Venture Capital) 也歷經了前所未有的低潮。創業意願的低落、股市的低迷，使得創投在投資目標的選擇與投資的回收上，都面臨很大的瓶頸。 然而近期以來，在美國，一股對創投支撐的力道，正逐漸成形。這股力量正是來自於各州的政府。目前在美國，除了六個州之外，各州的政府均積極投入創投產業，希望透過創投的中介功能，發展產業。各州政府經由創投發展的產業，主要有生技、醫療設備、軟體、電信、能源、半導體與網路等。 各州政府希望透過創投，發展當地的產業，並提供就業機會。在這波的潮流之下，四十四個州所支持的 151 支創投基金，已為創投業者帶來一股新的希望。
地方創生「地方創生」之概念源於2014年日本安倍內閣所提出的地方治理新模式，又稱「激勵地方小經濟圈再生」政策（ちほうそうせい），其施政重點主要為解決三大問題：人口高齡化和負成長造成的勞動力人口的減少、人口過度集中都會區（尤其是東京）以及地方人口外流以致人力資源不足而使地方經濟發展面臨困境之情形。 自2008年以來，日本人口開始加劇下降，導致消費和經濟實力下降，成為日本經濟和社會的沉重負擔。為解決該情況，國家與地方合作對地區發展持續落實、檢討、修正相關政策。政策原則為自立性、未來性、區域性、直接性、結果導向；政策內容亦稱為地方創生三支箭（地方創生版・三本の矢），包含： 資訊支援（情報支援）：推廣區域經濟分析系統（Regional Economy Society Analyzing System, RESAS），使各地區能對產業、人口、社會進行必要的數據分析，並能依據分析結果解決地方問題。 人才支援：維持地方生活在地化、就學在地化、服務在地化，並派駐國家公務員至小規模的地方政府機關，輔佐地方機關首長。 財政支援：補助地方創生政策執行、補助地方基礎建設、施行地方稅制改革。 地方創生之目標，在於鼓勵日本國民維持在當地工作，為地區創造新人潮，並使地方年輕人能在家鄉安心結婚育兒，此外，讓各地結合地理及人文特色，發展出最適合地方的產業，中央和地方持續合作以實現地方政府的永續發展目標。
中國大陸國家互聯網信息辦公室、國家市場監督管理總局聯合發布《個人信息出境認證辦法》中國大陸國家互聯網信息辦公室、國家市場監督管理總局於2025年10月17日聯合發布《個人信息出境認證辦法（下稱認證辦法）》，並將於2026年1月1日施行。中國大陸所稱之認證即為臺灣所稱之驗證，屬兩岸詞語使用之差異，容易產生混淆誤認先予敘明，下將以臺灣慣用之驗證一詞說明。 依照《中華人民共和國個人信息保護法》第38條須向境外提供個人資料方法有四種：分別為1.透過國家網信部門組織的安全評估、2.經專業機構進行個人資料保護驗證、3.依照國家網信部門制定的標準化契約與境外接受者訂定契約，以約定雙方之權利義務、4.法律、行政法規、國家網信部門所規定之其他條件。而認證辦法係依據第二種方法所訂，主要規範：1.處理者資格限制、2.傳輸資料數量、3.影響評估內容、4.驗證機構申請資料與報告義務、5.對驗證機構之監督。 處理者資格限制與傳輸資料數量方面，認證辦法規定向境外提供個人資料：1.不可為關鍵信息基礎設施營運者、2.向境外提供的個人資料須為10萬人以上未滿100萬人之個人資料或未滿1萬人之敏感個人資料（須注意，中國大陸之敏感個人資料包含：生物識別、宗教信仰、特定身分、醫療健康、金融帳戶、行蹤軌跡等資料，以及不滿14週歲未成年人的個人資料，故與臺灣個資法第6條之特種個資並不一致）。且認證辦法規定不得對個人資料的數量為拆分，意即如將資料數量拆成數筆10萬人以下，藉以規避認證辦法資料數量10萬人以上的境外傳輸申請限制並不合法。 除依法應履行的告知外，向境外傳輸前應取得當事人的單獨同意，並採取個資影響評估，影響評估之內容須包含：1.處理者與境外接收者處理個資的特定目的、範圍、方式、2.個資出境的風險、3.境外接收者的個資保護能力與義務、4. 提供事故通報管道、5.境外國家或地區的政策、法規影響。 最後，認證辦法應較注意的是驗證機構的報告義務與受檢義務的明確立法，使得除藉由驗證機構對個人資料處理者的審查確保個人資料國際傳輸的安全外，再透過政府機關對於驗證機構的檢查，以確保監管個人資料跨境傳輸，亦屬於我國政府機關可以參考之個人資料國際傳輸監管面向。