預先擬定的事故應變計畫可降低資料外洩成本
根據Ponemon Institute的調查，2011年至2012年中，英國企業資料侵害事故平均成本增加了15%。賽門鐵克指出，若企業備有正式的事故應變計畫，每件資料侵害事故的平均成本會降低至13英磅左右。除此之外，雇用外部顧問來協助應變，每件資料侵害事故的平均成本也會節省4英磅。
依據新的資料保護法律架構，歐盟委員會日前已開始擬訂新的資料侵害事故通知制度。同時，根據不同委員會的需求，未來將針對特定產業，制定新的網路與資訊安全管理規範。。
專家評估未來責任保險將成為確保資訊安全的新潮流。企業藉由事先擬定事故應變計劃來降低資料侵害的風險，同時也進行風險轉移的處置措施。各項事故應變計劃之中，保險制度是企業目前較感興趣的措施之一。保險制度除了可用於風險轉移之外，企業還可以從中取得資料侵害事故的專家網絡。這些專家包含事故鑑定專家、公共關係專家、風險管理專家，信用監測提供者或是資料侵害事故的事務處理公司，例如：協助發送事故通知的公司。保險業建置的專家網絡，未來將可以幫助要保人，以最快最省成本的方式處理相關事故。
手機軟體（APP）辨識來電號碼之法律問題 科技法律研究所 102年03月25日 壹、事件摘要 我國自2005年開始推展行動電話「號碼可攜」服務，允許使用者將行動電話號碼申請移轉至另一業者。當號碼進行移轉時，為降低通話路由資訊傳遞之延遲、避免業者間轉換作業之延宕，通傳會指導各業者共同建立集中式資料庫，整合業者號碼管理資源，增進號碼可攜服務之效率。 日前有某非屬電信事業之業者，設計一款應用軟體，提供智慧型手機使用者下載、安裝後，可自行上傳通訊錄內之電話號碼，並透過電信事業之「號碼可攜集中式資料庫」，確認並辨識通訊錄內電話號碼所屬電信業者，將資訊回傳於使用者之智慧型手機。由於電話號碼屬於使用者個人資料之一環，本文以下分析「非電信事業與電信事業合作，於號碼可攜目的外，對資料庫內之資料進行蒐集、處理與利用是否違反個資法」之疑義。 貳、重點說明 「號碼可攜集中式資料庫」之設立主要目的在使不同業者間能準確的完成通訊的連接。然而，通傳會於96年10月亦有要求各電信業者設置查詢系統，提供用戶查詢欲致電之受話方是否係屬同家業者，進而協助用戶瞭解可能之通訊資費計算。換言之，通傳會認為辨識電信號碼屬於網內/外，屬於消費者規劃、理解其電信資費之權益。而目前亦有手機軟體可輔助消費者查詢相關資訊。 那麼，可否允許消費者進一步查詢致電對象所屬的業者呢？是否違反個人資料保護法的規定呢？ 如前所述，通傳會認為使消費者瞭解電信號碼屬於網內/外，有助於資費理解之權益。我們更進一步說，允許查詢號碼所屬門號，不僅消費者可知悉資費之數額計算以決定是否致電，尚可決定是否使用相同電信業者之服務來打電話。我國行動電話普及率早已超過120%，有相當比例之消費者擁有二個以上之門號，若可揭露致電號碼所屬電信業者，使消費者可刻意選擇以網內門號致電，無疑具有相當實益。因此我們認為電信業者提供消費者以手機軟體查詢門號所屬業者，並不違反個資法上針對電信服務規範之「特定目的」（第133項：經營電信業務與電信加值網路業務）。一般的行動電話用戶，可透過電信業者查詢其所致電對象之門號所屬業者，則居於輔助地位的APP軟體，與用戶直接向業者查詢相比，實則無任何不同，應視為用戶之合理行為。 參、事件評析 個資法修正後，對於個人資料之保護更加的完善，但科技之發展使得個人資料之利用呈現多樣性，難以釐清某些利用行為是好是壞，然而本文基於鼓勵科技發展以及創新研發的立場，當面對某些個資利用情狀產生疑義時，應加以釐清其運用之情狀，避免在情境不明時，過度的擴張個資保護的界線，對市場發展以及消費者權益而言，並非好事。 當然另一方面而言，濫用科技便利的情形是存在的，如同2012年12月甫結束之ITU國際電信大會（WCIT2012），多國所簽署之修正電信管制規則第5B條所示，要求各國應努力採取必要措施，防止未經許可之濫發電子訊息，以減少對國際電信業務之影響。由於網路無遠弗屆，具騷擾性、浮濫發送之訊息，已從早期之垃圾電子郵件，擴及網路即時通訊軟體，不但時常造成使用者之困擾，甚至造成詐騙橫行。而這些狀況，光依靠個資法也是不足的，尚須主管機關對於濫用電信資源加以管制，從個人資料與電信資源等層面多管其下，方能維護良好之產業環境。
美國提出「個人資料隱私暨安全法案草案」，規範聯網環境商業應用及隱私權利面對層出不窮資料違背或身份竊盜事件，2014年初， FTC於美國國會的例行會議上，就數位時代關於隱私權之保護課題進行作證，會議中，FTC乃呼籲美國國會應立即通過制定一個更強的聯邦資料安全與違背提醒的法律，其也進而提出「個人資料隱私暨安全法案（草案）」 (Personal Data Privacy and Security Act of 2014, S.1897)。該草案主要分成兩大部分: 第一部份，將強化身份竊盜和其他違反資料隱私與安全之懲罰；第二部份，係關於可茲辨識個人資料(PII)之隱私和資訊安全。 法案第202條係關於「個人資料隱私與安全機制」（personal data privacy and security program），目的在強化敏感性可茲辨識個人資料的保護，從行政(administrative)、技術(technical)和實體(physical)三個構面的防衛機制，進行相關標準之制訂與落實。有關適用之範疇，乃就涉及州際貿易之商業實體，而該州際貿易包含蒐集、近取、傳輸、使用、儲存或在電子或數位格式處理可茲辨識個人之敏感性資料，而這些資料總計多達1萬筆以上，然而，將不適用於金融機構(financial institutions)、醫療保險轉移和責任法(HIPPA)所管制者、服務提供者(service provider)和公共紀錄(public records)。 而在機制設計上，也係從「設計」(DESIGN)、「風險驗證」 (RISK ASSESSEMENT)和「風險管理」(RISK MANAGEMENT)三個角度進行切入，也必須確實提供員工教育訓練(TRAINING)、弱點測試(VULNERABILITY TESTING)、定期驗證和個人資料隱私與安全之更新，另外，在與外部與服務提供者(例如ISP)之關係上，公司必須盡到適當勤勉的義務(due diligence)，也必須透過契約(contract)方式，約定前述所建置起之資料隱私安全機制，並在安全性遭受到侵害時，以合理方式通知締約他方。 本案目前在聯邦參議院已經二讀通過，已交付參議院司法委員會進行下一階段的審議，該立法草案未來是否會直接或間接影響物聯網環境生態系統之商業運作，有待未來持續關注之。
因應使用「生成式AI（Generative AI）」工具的營業秘密管理強化建議2024年7月1日，美國實務界律師撰文針對使用生成式AI（Generative AI）工具可能導致的營業秘密外洩風險提出營業秘密保護管理的強化建議，其表示有研究指出約56%的工作者已經嘗試將生成式AI工具用於工作中，而員工輸入該工具的資訊中約有11%可能包含公司具有競爭力的敏感性資訊或客戶的敏感資訊，以Chat GPT為例，原始碼（Source Code）可能是第二多被提供給Chat GPT的機密資訊類型。系爭機密資訊可能被生成式AI工具提供者（AI Provider）用於訓練生成式AI模型等，進而導致洩漏；或生成式AI工具提供者可能會監控和存取公司輸入之資訊以檢查是否有不當使用，此時營業秘密可能在人工審查階段洩漏。 該篇文章提到，以法律要件而論，生成式AI有產生營業秘密之可能，因為營業秘密與著作權和專利不同之處在於「發明者不必是人類」；因此，由生成式 AI 工具協助產出的內容可能被視為營業秘密，其範圍可能包括：公司的內部 AI 平台、基礎的訓練算法和模型、輸入參數和輸出結果等。惟基於目前實務上尚未有相關案例，故生成式AI輸出結果在法律上受保護的範圍與條件仍需待後續的判例來加以明確。 實務專家提出，即使訴訟上尚未明確，企業仍可透過事前的管理措施來保護或避免營業秘密洩露，以下綜整成「人員」與「技術」兩個面向分述之： 一、人員面： 1.員工（教育訓練、合約） 在員工管理上，建議透過教育訓練使員工了解到營業秘密之定義及保護措施，並告知向生成式AI工具提供敏感資訊的風險與潛在後果；培訓後，亦可進一步限制能夠使用AI工具的員工範圍，如只有經過培訓及授權之員工才能夠存取這些AI工具。 在合約方面，建議公司可與員工簽訂或更新保密契約，納入使用生成式AI的指導方針，例如：明確規定禁止向生成式AI工具輸入公司營業秘密、客戶數據、財務信息、未公開的產品計劃等機密資訊；亦可增加相關限制或聲明條款，如「在生成式AI工具中揭露之資訊只屬於公司」、「限制公司資訊僅能存儲於公司的私有雲上」等條款。 2.生成式AI工具提供者（合約） 針對外部管理時，公司亦可透過「終端使用者授權合約（End User License Agreement，簡稱EULA）」來限制生成式AI工具提供者對於公司在該工具上「輸入內容」之使用，如輸入內容不可以被用於訓練基礎模型，或者該訓練之模型只能用在資訊提供的公司。 二、技術方面： 建議公司購買或開發自有的生成式AI工具，並將一切使用行為限縮在公司的私有雲或私有伺服器中；或透過加密、防火牆或多種編碼指令（Programmed）來避免揭露特定類型的資訊或限制上傳文件的大小或類型，防止機密資訊被誤輸入，其舉出三星公司（Samsung）公司為例，三星已限制使用Chat GPT的用戶的上傳容量為1024位元組（Bytes），以防止輸入大型文件。 綜上所述，實務界對於使用生成式AI工具可能的營業秘密風險，相對於尚未可知的訴訟攻防，律師更推薦企業透過訴訟前積極的管理來避免風險。本文建議企業可將前述建議之作法融入資策會科法所創意智財中心於2023年發布「營業秘密保護管理規範」中，換言之，企業可透過「營業秘密保護管理規範」十個單元（包括從最高管理階層角色開始的整體規劃建議、營業秘密範圍確定、營業秘密使用行為管理、員工管理、網路與環境設備管理、外部活動管理，甚至是後端的爭議處理機制，如何監督與改善等）的PDCA管理循環建立基礎的營業秘密管理，更可以透過上述建議的做法（對單元5.使用管理、單元6.1保密約定、單元6.4教育訓練、單元7.網路與環境設備管理等單元）加強針對生成式AI工具之管理。 本文同步刊登於TIPS網站（https://www.tips.org.tw）
中國 REACH 成形，台灣準備好了嗎？－從中國新化學物質環境管理辦法看我國新化學物質管理