美國對於智慧聯網 IoT 環境隱私保障展開立法工作
有鑒於智慧聯網IoT環境下，許多智慧型手持裝置及行動通訊裝置，大量蒐集消費者資訊之隱私權暨資訊安全考量，美國國會於2013年5月10日提出「應用軟體隱私暨資訊安全保護法草案」（Application Privacy, Protection, and Security Act of 2013, APPS Act of 2013, H.R. 1913）進行審議。「應用軟體隱私暨資訊安全保護法草案」草案針對應用軟體（Application）在蒐集消費者資訊前，如何落實「同意」機制，乃強制行動通訊裝置應用軟體開發商（developer）應：（1）提供使用者個人資料蒐集、使用、儲存及公開之通知（notice），而該通知含括所蒐集個人資料之種類、使用目的、有償公開第三者之類別及資料儲存等；（2）取得使用者之同意（consent）；消費者依據該草案亦有權撤銷其「同意」（withdrawal of consent）。此外，草案乃強制要求該行動通訊裝置應用軟體開發商，就非法近取之個人資料及經去識別化應用軟體蒐集之個人資料，應採取合理及適當之防衛措施（security measures on personal data and de-identified data）。
並且，針對網路環境下隱私權保護議題，更早之前，美國國會於2013年2月28日提出「線上禁止追蹤法草案」（Do-Not-Track Online Act of 2013） 進行審議。「線上禁止追蹤法草案」草案乃要求聯邦貿易委員會（FTC），就透過個人線上活動追蹤，以蒐集、使用個人資料之行為態樣，進行管制。該管制模式謹據以要求如下：（1）被搜集資料個人應收到簡單、明確、並載明資料使用目的之通知（clear, conspicuous and accurate notice and use of such information），而個人就該通知應予明白之同意（affirmative consent）；（2）FTC未來在訂定標準規範時，應（shall）考量所被搜集之資料，是否在匿（隱）名基礎上處理之，遂該資料無法有效被聯結（指認）到特定個人或裝置上；此外，消費者當享有資料不被蒐集的權利（expressed preference by individual not to have personal information collected）。該草案並就違反之個人，設定最高15,000,000美元損害賠償規定。
歐盟於2016年5月公布將成立個人化醫療國際聯合會(International Consortium for Personalised Medicine, IC PerMed)，並草擬發展倡議。其成立背景為目前用來治療大部分病人之一般藥品效果未如預期，且因藥物嚴重副作用導致需急性醫療入院情形，約超過60%之比例。此外，歐盟的醫療照護成本將隨著人口老化以及慢性疾病增加而加重。個人化醫療具有特定預防目的以及治療方法，因此，病人利用最佳的治療方是，可避免試驗與治療錯誤之問題。個人化醫療是一個快速成長的市場，歐洲醫療照護產業具有發展潛力，並同時帶來經濟成長與就業機會。 歐盟認為，儘管個人化醫療尚未有明確定義，但依據Horizon2020諮詢小組(Horizon 2020 Advisory Group)定義為利用個人表現型或基因型特徵之醫療模型，針對正確的個人、治療時間，以明確的醫療政策為目標進行診治，或者是找出疾病特徵給予即時的預防。其中，重要部份在於，個人化關注的不僅是藥品或醫療產品，尚需對於生物機制以及環境與疾病、健康之間的交互作用等進行瞭解是否影響整體的健康照護。雖然歐洲部分國家已經開始引進個人化醫療，但實際上歐洲仍處在早期執行階段，尚待更多的研究開發。 為此，歐盟執委會與部分健康研究機構以及決策組織團體等共同合作，決議成立個人化醫療國際聯合會，目標為2016年底之前開始此項計畫。歐盟執委會與IC PerMed組織成員合作，將進行以下事項: 1.將歐洲建立成為全球個人化醫療研究領導者地位 2.透過合作研究支持個人化醫療醫學 3.將個人化醫療的利益展現於民眾以及醫療照護體制 4.為精準醫療提供給民眾做好準備 IC PerMed將聚焦在研發補助與合作，以實現上述所設定之任務。目前，IC PerMed正研擬發展倡議藍圖。依據草擬之藍圖，IC PerMed將提供各組織成員之間彈性合作架構。藍圖主要建構於個人化醫療歐洲願景(Shaping Europe’s Vision for Personalised Medicine)之相關文件，該文件屬於政策研發議程(Strategic Research and Innovation Agenda, SRIA)之一部分，同時為先前歐盟所補助之PerMed(2013~2015)計畫範圍之一。依據PerMed SRIA，發展可區分為五項領域，包括: 發展過程與結果、整合巨量資料與ICT解決模式、將基礎轉為臨床研究、將研發鏈結市場、以及形成延續性的醫療照護體系。未來，IC PerMed發展倡議藍圖將依上述五個領域建構，並在2016年底預計公布第一部分的施行願景。
紐西蘭將設置食品安全科學研究中心並提供食安相關科研補助紐西蘭科學與創新大臣Steven Joyce與食品安全大臣Nikki Kaye，於今年（2014）4月16日宣佈該國將設置食品安全科學研究中心以因應食品安全危機。該中心預計於本年底前建成並投入使用，該國政府和產業界每年將聯合資助至少紐西蘭幣500萬元。該中心是為了促進、協調和提供食品安全科學與研究，並將提供食安相關科研補助，主要聚焦於涉及公共利益的食品安全科學和研究活動，涵蓋食品的整個價值鏈。 包括： 1.生物、化學、物理和放射性的食品安全風險； 2.與食品添加物質相關的風險； 3.食品安全的風險評估、管理及與公眾的良好溝通； 4.與國際科學界和現有的國際研究平臺展開合作。 紐西蘭食品安全科學研究中心起因自去年紐西蘭發生濃縮乳清蛋白受汙染事件，嚴重影響該國畜牧業外銷，為防範類似事件再發生，去年底政府研究報告指出29項改善目標，其中即包括設立該中心。 該中心成立後首先將徵求合作對象。紐西蘭商業、創新與就業部，初級產業部兩部會於2014年4月16日聯合發布合作意向徵求通知，有意承辦或者加盟中心的研究機構可以參加競標。商業、創新與就業部之科學委員會將負責遴選合作對象，得參加5月末食品安全科學研究中心合作研討會。同時，將徵求食安相關科研補助專案。兩部會在7月初，將向前述入選者發佈提案募集通知，特別鼓勵聯合提出專案申報書，後續將由獨立專家組成的委員會對其進行評估，最後由科學委員會做出補助決定。
韓國金融服務委員會發佈防止金融機構再度發生個人資料外洩之要求韓國於今年1月份爆發史上規模最大的個資外洩案，國民銀行執行長李健浩、國民銀行信用卡公司執行長沈在吾、樂天信用卡公司執行長朴相勳與農協銀行信用卡公司執行長孫京植等人，亦因此請辭以示負責。 為防止將來金融機構再次發生個人資料外洩等事件，韓國金融服務委員會（Financial Services Commission, FSC）與相關部會於3月份發佈一連串要求，以下為其基本原則 1. 金融機構將被要求在處理客戶的個人資料時的每一個階段，包括蒐集、保存、使用和銷毀客戶資料時，都必須擔負起更多的責任。 2. 確保金融消費者可主張關於其個人資料之相關權利，包括金融消費者可決定金融機構於何時如何使用其個人資料。 3. 提升金融機構對於其客戶之個人資料保護責任，包括提升首席資訊安全官（Chief Information Security Officer, CISO）獨立性與責任、加重金融機構於資訊安全違規時相關罰則。 4. 政府將採取更多措施以確保金融機構的網路安全。 5. 金融機構必須建立緊急應變機制，以確保面對未來可能的資料外洩事故時，可迅速有效的應對。 韓國政府於於3月底已對不需修改法律之部分開始執行，而涉及《使用和保護信用資料法》和《電子金融交易法》部分亦待議會修法。
美國奧克拉荷馬州修正《個資事故通報法》，擴充個資定義範圍並強化通報機制美國奧克拉荷馬州修正《個資事故通報法》，擴充個資定義範圍並強化通報機制 資訊工業策進會科技法律研究所 2025年07月22日 現行我國關於非公務機關就個資事故進行通報之規定，散落於各中央目的事業主管機關制定之各業別個人資料檔案安全維護管理辦法或相關辦法中，且前揭各辦法對於通報之標準不盡相同。各國主管機關紛紛強化個資治理法制，而美國奧克拉荷馬州修正關於個人資料定義、適當防護措施及個資事故通報機制等事項，以建立更完善之規範。 壹、事件摘要 美國奧克拉荷馬州議會業於2025年5月20日通過第626號法案（Senate Bill 626）[1]，修正《個資事故通報法》（Security Breach Notification Act）[2]，其目的係為補充現行治理規範之不足，修正重點涵蓋：擴充法定用詞之定義，針對「個人資料」（Personal Information）與「適當防護措施」（Reasonable Safeguards）等條文予以補充與增列；強化個資事故（Breach of the security of a system）之通報機制與設立豁免條款，並釐清與其他法規間之適用關係；以及修訂違法情事之民事裁罰。此外，本次修法亦明定，若機構或個人已採取適當防護措施，得作為民事訴訟中之抗辯理由。本法將自2026年1月1日起正式生效，並適用於自該日起所發現、判定或通報之個資事故，相關單位應即早進行法遵準備，以確保制度落實。 貳、修法重點 本次修法主要包含三大核心面向，簡要說明如下： 一、擴充法定用詞之定義 （一）個人資料 於現行法規對個人資料之定義下，再增加新資料類別： 1.與驗證碼、存取碼或密碼結合使用時，可用以登入特定個人金融帳戶之專屬電子識別碼（Electronic Identifier）或路由代碼（Routing Code）； 2.用以辨識特定自然人之獨特生物特徵資料，例如指紋、視網膜或虹膜影像，或其他具體實體或數位形式之生物辨識資料。 （二）適當防護措施 適當防護措施係指，為確保個人資料安全而考量組織或機構之規模、產業別、以及保有之個資類別與數量所制定之政策及作業實務。此概念包括但不限於：進行風險評估、建立技術面及實體面之多層次保護機制、對人員實施教育訓練，及建立個資事故應變計畫等。 二、強化事故通報機制與設立豁免條款 本法要求於發現系統個資事故並已通知受影響之當事人後，應於60日內向州檢察總長（Attorney General）提交書面通報，載明涉及之個人資料類別、事故性質、受影響人數、預估之財務損失、所採行之適當防護措施等必要內容。惟若事故影響人數低於500名州民，或事故發生於徵信機構且影響人數未達1,000人，則可免除向檢察總長通報之義務。 此外，本法明確規範，若特定機構已依據其他法律，如《奧克拉荷馬州醫療資安保護法》（Oklahoma Hospital Cybersecurity Protection Act of 2023）或聯邦《健康保險可攜及責任法》（Health Insurance Portability and Accountability Act of 1996）等履行相關通報義務，則視為已符合本法之要求。 三、民事裁罰 本法明定，民事罰鍰之裁量將審酌事故規模、事故發生後組織之因應作為及是否履行事故通報義務等因素而定，以確保裁量之比例原則。裁量情形說明如下： 1.若機構已採行適當防護措施且依法進行事故通報者，得免除民事責任； 2.若未採取適當防護措施，惟仍依規定完成事故通報者，則須負擔實際損害賠償責任並處以最高75,000美元罰鍰； 3.未落實適當防護措施與事故通報法定義務者，最高處以150,000美元罰鍰。 參、事件評析 本次修法可見奧克拉荷馬州就數位時代資安威脅所採行之積極因應作為，其修正重點包含：擴充個人資料之定義並明定適當防護措施之內容，俾利降低企業法遵成本及法律適用之不確定性；強化事故通報機制並設置合理豁免條款，以確保資訊透明度；於罰則規範中明定民事罰鍰之裁量，應審酌事故規模及是否履行事故通報義務等因素，以符合比例原則。 有鑑於本法修正後所課予之法定義務，建議企業應採行下列因應措施：(1)全面盤點所保有之個人資料，尤應注意新增納管之電子識別碼及生物特徵等資料；(2)檢視並強化現有防護機制，確保符合適當防護措施之要求；(3)建立標準化通報應變程序；(4)強化教育訓練。此外，企業宜定期檢視法規動態，以確保持續符合法規要求。 [1] Bill Information for SB 626, OKLAHOMA STATE LEGISLATURE, http://www.oklegislature.gov/BillInfo.aspx?Bill=sb626&Session=2500 (last visited June 1, 2025). [2] BILL NO. 626, OKLAHOMA STATE LEGISLATURE, https://www.oklegislature.gov/cf_pdf/2025-26%20ENR/SB/SB626%20ENR.PDF (last visited June 2, 2025).