手機軟體(APP)辨識來電號碼之法律問題
科技法律研究所
102年03月25日
壹、事件摘要
我國自2005年開始推展行動電話「號碼可攜」服務,允許使用者將行動電話號碼申請移轉至另一業者。當號碼進行移轉時,為降低通話路由資訊傳遞之延遲、避免業者間轉換作業之延宕,通傳會指導各業者共同建立集中式資料庫,整合業者號碼管理資源,增進號碼可攜服務之效率。
日前有某非屬電信事業之業者,設計一款應用軟體,提供智慧型手機使用者下載、安裝後,可自行上傳通訊錄內之電話號碼,並透過電信事業之「號碼可攜集中式資料庫」,確認並辨識通訊錄內電話號碼所屬電信業者,將資訊回傳於使用者之智慧型手機。由於電話號碼屬於使用者個人資料之一環,本文以下分析「非電信事業與電信事業合作,於號碼可攜目的外,對資料庫內之資料進行蒐集、處理與利用是否違反個資法」之疑義。
貳、重點說明
「號碼可攜集中式資料庫」之設立主要目的在使不同業者間能準確的完成通訊的連接。然而,通傳會於96年10月亦有要求各電信業者設置查詢系統,提供用戶查詢欲致電之受話方是否係屬同家業者,進而協助用戶瞭解可能之通訊資費計算。換言之,通傳會認為辨識電信號碼屬於網內/外,屬於消費者規劃、理解其電信資費之權益。而目前亦有手機軟體可輔助消費者查詢相關資訊。
那麼,可否允許消費者進一步查詢致電對象所屬的業者呢?是否違反個人資料保護法的規定呢?
如前所述,通傳會認為使消費者瞭解電信號碼屬於網內/外,有助於資費理解之權益。我們更進一步說,允許查詢號碼所屬門號,不僅消費者可知悉資費之數額計算以決定是否致電,尚可決定是否使用相同電信業者之服務來打電話。我國行動電話普及率早已超過120%,有相當比例之消費者擁有二個以上之門號,若可揭露致電號碼所屬電信業者,使消費者可刻意選擇以網內門號致電,無疑具有相當實益。因此我們認為電信業者提供消費者以手機軟體查詢門號所屬業者,並不違反個資法上針對電信服務規範之「特定目的」(第133項:經營電信業務與電信加值網路業務)。一般的行動電話用戶,可透過電信業者查詢其所致電對象之門號所屬業者,則居於輔助地位的APP軟體,與用戶直接向業者查詢相比,實則無任何不同,應視為用戶之合理行為。
參、事件評析
個資法修正後,對於個人資料之保護更加的完善,但科技之發展使得個人資料之利用呈現多樣性,難以釐清某些利用行為是好是壞,然而本文基於鼓勵科技發展以及創新研發的立場,當面對某些個資利用情狀產生疑義時,應加以釐清其運用之情狀,避免在情境不明時,過度的擴張個資保護的界線,對市場發展以及消費者權益而言,並非好事。
當然另一方面而言,濫用科技便利的情形是存在的,如同2012年12月甫結束之ITU國際電信大會(WCIT2012),多國所簽署之修正電信管制規則第5B條所示,要求各國應努力採取必要措施,防止未經許可之濫發電子訊息,以減少對國際電信業務之影響。由於網路無遠弗屆,具騷擾性、浮濫發送之訊息,已從早期之垃圾電子郵件,擴及網路即時通訊軟體,不但時常造成使用者之困擾,甚至造成詐騙橫行。而這些狀況,光依靠個資法也是不足的,尚須主管機關對於濫用電信資源加以管制,從個人資料與電信資源等層面多管其下,方能維護良好之產業環境。
根據歐盟GMO食品上市規則,唯有通過歐盟EFSA的安全評估並經歐盟審查通過發給上市許可的GMO,始得於歐盟境內流通上市。 過去兩年,歐盟陸續發現其自中國進口的米類產品,被未經許可的基改稻米Bt 63污染,對歐盟的食品安全產生重大疑慮,因而引起歐盟官方及消費大眾的高度關注。為此,中國主管當局雖已請求歐盟提供有關此非法GMO之基因構成(genetic constructs)的詳細資訊,並針對歐盟會員國通報至Rapid Alert System for Food and Feed(RASFF)的案件,開始進行調查並暫時禁止相關業者出口米製品,不過中國迄今未能依歐盟要求,提供其在實施出口管理時的控制樣品,以及其所使用的檢測方法與歐盟所要求者,具有相同品質之證明。 因此,歐盟已在今(2008)年2月通過一項緊急措施的決定,要求自4月15日起,進口至歐盟的中國米類產品應檢附非基改證明(GMO-free certification),且此非基改證明應由歐盟官方所設立或認可之實驗室,使用特定的GMO檢測技術檢測後,檢測結果發現未含有GMO成分時,始能核發非基改證明。 雖然歐盟並非我國農產品的主要外銷國家,但歐盟此項緊急措施仍值得我國注意,蓋我國當前GMO的進出口管理法制與先進各國尚有所落差,而我國最主要的農產品出口國—日本,其GMO管理法律中亦有授權主管機關對進口產品實施生物檢查(即是否含有GMO的檢測)的規定,倘若我國在發展GMO時,未能妥善落實GMO的管理,不無可能對非基改產品造成重大衝擊,當前歐盟要求中國出口的米類產品應檢附非基改證明,即是一例。
美國農業部公布施行現代化肉禽屠宰檢驗規定修正條文美國農業部(United States Department of Agriculture, USDA)於今年2014年8月就現代化肉禽屠宰檢驗規定(Modernization of Poultry Slaughter Inspection)再新增肉禽屠宰相關行政管制規範,稱為新肉禽檢驗系統(New Poultry Inspection System, NPIS),藉此改進現行的肉禽檢驗系統(poultry inspection system)。該規定係美國於1957年為補充艾森豪總統簽署之肉禽產品檢驗法(Poultry Products Inspection Act of 1957)所制定,為美國國內現行肉禽檢驗系統之法源依據,由隸屬於USDA的食品安全檢驗服務(Food Safety and Inspection Service, FSIS)負責執行該規定所要求之相關肉禽食品安全稽查。但近年來各國陸續發生重大食安問題,加以該規定自1957年後,已制定60年之久,實有許多應檢討修正之處。適逢美國總統發布執行命令13563號(E.O. no.13563)要求各行政機關檢視並改進相關規範,以減輕肉禽產品遭受微生物汙染之風險,並整合政府相關行政資源提升行政檢驗效能及適時移除現行法規造成產業創新的制度性障礙。而該規範之新肉禽檢驗系統(new poultry inspection system, NPIS)目前僅適用於幼小雞隻的肉品和火雞肉之生產,且不會全面汰換掉現行的各項檢驗系統,由廠商進行成本效益分析是否將該新檢驗系統導入生產體系。新規定簡要介紹包括要求於冷凍程序前後需進行含菌量檢驗,且廠商必須發展、建立、維護此一管理作業流程,以確保肉品未受到汙染;此外,亦增訂其他規定,如限制生產線上每分鐘不得屠宰超過140隻肉禽、移除冷藏溫度之相關標準,改採廠商必須藉由實驗和技術支援等,反覆檢驗以實質判定其冷藏管理程序中實際合理之冷藏溫度,FSIS更重新定義規範中關於冷藏之定義,以符合產業現況。新規定目前已公告於聯邦公報(Federal Register),將於六個月後正式生效。
資通安全管理法之簡介與因應資通安全管理法之簡介與因應 資訊工業策進會科技法律研究所 2019年6月25日 壹、事件摘要 隨著網路科技的進步,伴隨著資安風險的提升,世界各國對於資安防護的意識逐漸升高,紛紛訂定相關之資安防護或因應措施。為提升國內整體之資通安全防護能量,我國於107年5月經立法院三讀通過「資通安全管理法」(以下簡稱資安法),並於同年6月6日經總統公布,期望藉由資通安全管理法制化,有效管理資通安全風險,以建構安全完善的數位環境。觀諸資通安全管理法共計23條條文外,另授權主管機關訂定「資通安全管理法施行細則」、「資通安全責任等級分級辦法」、「資通安全事件通報及應變辦法、「特定非公務機關資通安全維護計畫實施情形稽核辦法」、「資通安全情資分享辦法」及「公務機關所屬人員資通安全事項獎懲辦法」等六部子法,建置了我國資通安全管理之法制框架。然而,資安法及相關子法於108年1月1日實施後,各機關於適用上不免產生諸多疑義,故本文擬就我國資通安全管理法之規範重點為扼要說明,作為各機關遵法之參考建議。 貳、重點說明 一、規範對象 資安法所規範之對象,主要可分為公務機關及特定非公務機關。公務機關依資安法第3條第5款之定義,指依法行使公權力之中央、地方機關(構)或公法人,但不包含軍事機關及情報機關。故公務機關包含各級中央政府、直轄市、縣(市)政府機關、依公法設立之法人(如農田水利會[1]、行政法人[2])、公立學校、公立醫院等,均屬公務機關之範疇。惟考量軍事及情報機關之任務性質特殊,故資安法排除軍事及情報機關之適用[3]。 特定非公務機關依資安法第3條第6款之規定,指關鍵基礎設施提供者、公營事業及政府捐助之財團法人。關鍵基礎設施提供者另依該法第16條第1項規定,須經中央目的事業主管機關於徵詢相關公務機關、民間團體、專家學者之意見後指定,報請行政院核定,並以書面通知受核定者。須注意者為該指定行為具行政處分之性質,如受指定之特定非公務機關對此不服,則可循行政救濟程序救濟之。目前各關鍵基礎設施領域,預計將於108年下半年陸續完成關鍵基礎設施提供者之指定程序[4]。 此外,政府捐助之財團法人,依該法第3條第9項之規定,指其營運及資金運用計畫應依預算法第41條第3項規定送立法院,及其年度預算書應依同條第4項規定送立法院審議之財團法人。故如為地方政府捐助之財團法人,則非屬資安法所稱特定非公務機關之範圍。公營事業之認定,則可參考公營事業移轉民營條例第3條之規定,指(一)各級政府獨資或合營者;(二)政府與人民合資經營,且政府資本超過百分之五十者;(三)政府與前二款公營事業或前二款公營事業投資於其他事業,其投資之資本合計超過該投資事業資本百分之五十者。目前公營事業如臺灣電力股份有限公司、中華郵政股份有限公司、臺灣自來水股份有限公司等均屬之。 二、責任內容 資安法之責任架構,可區分為「事前規劃」、「事中維運」及「事後改善」等三個階段,分述如下: (一)事前規劃 就事前規劃部分,資安法要求各公務機關及特定非公務機關均應先規劃及訂定「資通安全維護計畫」及「資通安全事件通報應變機制」,使各機關得據此落實相關之資安防護措施,各機關並應依據資通安全責任等級分級辦法之規定,依其重要性進行責任等級之分級,辦理分級辦法中所要求之應辦事項[5],並將應辦事項納入安全維護計畫中。 此外,在機關所擁有之資通系統[6]部分,各機關如有自行或委外開發資通系統,尚應依據分級辦法就資通系統進行分級(分為高、中、普三級),並就系統之等級採取相應之防護基準措施,以高級為例,從7大構面中,共須採取75項控制措施。 (二)事中維運 事中維運部分,資安法要求各機關應定期提出資通安全維護計畫之實施情形,上級或中央目的事業主管機關並應定期進行各機關之實地稽核及資通安全演練作業。各機關如有發生資通安全事件,應於機關知悉資通安全事件發生時,於規定時間內[7],依機關訂定之通報應變機制採取資通安全事件之通報及損害控制或復原措施,以避免資通安全事件之擴大。 (三)事後改善 在事後改善部分,如各機關發生資通安全事件或於稽核時發現缺失,則均應進行相關缺失之改善,提出改善報告,並應針對缺失進行追蹤評估,以確認缺失改善之情形。 三、情資分享 為使資通安全情資流通,並考量網路威脅可能來自於全球各地,資安法第8條規定主管機關應建立情資分享機制,進行情資之國際合作。情資分享義務原則於公務機關間,就特定非公務機關部分,為鼓勵公私間之協力合作,故規定特定非公務機關得與中央目的事業主管機關進行情資分享。 我國已於107年1月將政府資安資訊分享與分析中心(G-ISAC)調整提升至國家層級並更名為「國家資安資訊分享與分析中心」(National Information Sharing and Analysis Center, N-ISAC)。透過情資格式標準化與系統自動化之分享機制,提升情資分享之即時性、正確性及完整性,建立縱向與橫向跨領域之資安威脅與訊息交流,以達到情資迅速整合、即時分享及有效應用之目的[8]。 四、罰則 為使資安法之相關規範得以落實,資安法就公務機關部分,訂有公務機關所屬人員資通安全事項獎懲辦法以資適用。公務機關應依據獎懲辦法之內容,配合機關內部之人事考評規定訂定獎懲基準,而獎懲辦法適用之人員,除公務人員外,尚包含機關內部之約聘僱人員。就特定非公務機關部分,資安法則另訂有相關之罰則,針對未依資安法及相關規定辦理應辦事項之特定非公務機關,中央目的事業主管機關得令限期改正,並按情節處10萬至100萬元之罰鍰。惟就資通安全事件通報部分,因考量其影響範圍層面較廣,故規定特定非公務機關如未依規定進行通報,則可處以30萬元至500萬元之罰鍰。 參、事件評析 公務機關及特定非公務機關為落實資安法之相關規範,勢必投入相關之資源及人力,以符合資安法之要求。考量公務機關或特定非公務機關之資源有限,故建議可從目前組織內部所採用之個人資料保護或資訊安全管理措施進行盤點與接軌,以避免資源或相關措施重複建置,以下則列舉幾點建議: 一、風險評估與安全措施 資安法施行細則第6條要求安全維護計畫訂定風險評估、安全防護及控制措施機制,與個人資料保護法施行細則第12條要求建立個人資料風險評估及管理機制之規定相似,故各機關於適用上可協調內部之資安與隱私保護機制,共同擬訂單位內部之風險評估方式與管理措施規範。 二、通報應變措施 資安法第18條要求機關應訂定資通安全事件通報應變機制,而個人資料保護法第12條亦規定有向當事人通知之義務,兩者規定雖不盡相同,惟各機關於訂定通報應變機制上,可將兩者通報應變程序進行整合,以簡化通報流程。 三、委外管理監督 資安法第9條要求機關負有對於委外廠商之監管義務,個人資料保護法施行細則第8條亦訂有委託機關應對受託者為適當監督之規範。兩者規範監督之內容雖不同,惟均著重對於資料安全及隱私之保護,故各機關可從資料保護層面著手,訂定資安與個人資料保護共同之檢核項目,來進行委外廠商資格之檢視,並將資安法及個人資料保護法之相關要求分別納入委外合約中。 四、資料盤點及文件保存 資安法施行細則第6條要求於建置安全維護計畫時,須先進行內部之資產盤點及分級,而個人資料保護法施行細則第12條中,則要求機關須訂有使用記錄、軌跡資料及證據保存之安全措施。故各機關於資產盤點時,可建立內部共同之資料盤點清單及資料管理措施,並增加資料使用軌跡紀錄,建置符合資安與個人資料之資產盤點及文件軌跡保存機制。 [1] 參水利法第12條。 [2] 參中央行政機關組織基準法第37條。 [3] 軍事及情報機關依資通安全管理法施行細則第2條規定,軍事機關指國防部及其所屬機關(構)、部隊、學校;情報機關指國家情報工作法第3條第1項第1款(包含國家安全局、國防部軍事情報局、國防部電訊發展室、國防部軍事安全總隊)及第2項規定之機關。另須注意依國家情報工作法第3條第2項規定,行政院海岸巡防署、國防部政治作戰局、國防部憲兵指揮部、內政部警政署、內政部移民署及法務部調查局等機關(構),於其主管之有關國家情報事項範圍內,視同情報機關。 [4] 羅正漢,〈臺灣資通安全管理法上路一個月,行政院資安處公布實施現況〉,iThome, 2019/02/15,https://www.ithome.com.tw/news/128789 (最後瀏覽日:2019/5/13)。 [5] 公務機關及特定非公務機關之責任等級目前分為A、B、C、D、E等五級,各機關應依據其責任等級應從管理面、技術面及認知與訓練面向,辦理相應之事項。 [6] 資通系統之定義,依資通安全管理法第3條第1款之規定,指用以蒐集、控制、傳輸、儲存、流通、刪除資訊或對資訊為其他處理、使用或分享之系統。 [7] 公務機關及特定非公務機關於知悉資通安全事件後,應於1小時內依規定進行資通安全事件之通報;如為第一、二級資通安全事件,並應於知悉事件後72小時內完成損害控制或復原作業,第三、四級資通安全事件,則應於知悉事件後36小時內完成損害控制或復原作業。 [8] 〈國家資安資訊分享與分析中心(N-ISAC)〉,行政院國家資通安全會報技術服務中心,https://www.nccst.nat.gov.tw/NISAC(最後瀏覽日:2019/5/14)。
澳洲政府發布「急診醫師使用我的健康紀錄指引」提供急診醫師規範遵循2019年2月澳洲政府依據「我的健康紀錄法」(My Health Records Act 2012),執行全國國民納入「我的健康紀錄系統」(My Health Record System)(下稱系統)之政策,有將近9成的國民被納入系統,為解決急診醫師在緊急救治時,需查看病患醫療資訊的需求;澳洲數位健康局(Australian Digital Health Agency, ADHA)於2019年11月發布了一項全國倡議的政策:急診醫師能使用我的健康紀錄系統,在急迫情形下即時做診斷。因此澳洲健康安全與品質委員會(Australian Commission on Safety and Quality in Health Care)與澳洲急診醫學院(Australasian College for Emergency Medicine, ACEM)共同訂定「急診醫師使用我的健康紀錄之指引」(Emergency Department Clinicians’ Guide to My Health Record)(下稱指引)提供急診科醫師參考,說明如下: 原則上只有病患之家庭醫師或主治醫師才能進入系統查看病患的醫療資訊,其他未經同意的醫師不得隨意查看病患的醫療資訊,但若病患發生急救狀況時,則允許急診醫師得使用系統查看病患之醫療資訊,例如:使用藥物資訊、各醫師之醫療診斷書、照顧資訊、處方簽紀錄,病患用藥歷史、住院紀錄、家族病史、專家建議信(Specialist letters)、器官捐贈與預立醫療決定(Advance care plans)、病理診斷、病人自行輸入的資訊,例如過敏反應等,協助急診醫師能使用病患就醫紀錄迅速的做診斷;允許急診醫師得直接查看病患之醫療資訊,也解決急診醫師在救治時,無法即時與病患之家庭醫師聯繫問題。另外,系統之病歷電子化也為急診醫師帶來益處,例如:醫療資訊的合併,整合病患的就醫資料、減少不必要及重複的檢查,即時傳遞醫療資料等。此外,為了保障國民之資訊自主,醫師必須尊重病患的權利,例如病患得使用取消功能來刪除病歷資訊、限制特定醫療人員或醫療機構查看、限制查看資料的類型等。 這項指引使急診醫師能更了解如何使用系統、在緊急救護時,得隨時能查病歷資料做出最佳的處置、系統化的便利性為急診醫師節省許多處理時間,並促進與提升醫療品質。