美國對於智慧聯網 IoT 環境隱私保障展開立法工作
有鑒於智慧聯網IoT環境下，許多智慧型手持裝置及行動通訊裝置，大量蒐集消費者資訊之隱私權暨資訊安全考量，美國國會於2013年5月10日提出「應用軟體隱私暨資訊安全保護法草案」（Application Privacy, Protection, and Security Act of 2013, APPS Act of 2013, H.R. 1913）進行審議。「應用軟體隱私暨資訊安全保護法草案」草案針對應用軟體（Application）在蒐集消費者資訊前，如何落實「同意」機制，乃強制行動通訊裝置應用軟體開發商（developer）應：（1）提供使用者個人資料蒐集、使用、儲存及公開之通知（notice），而該通知含括所蒐集個人資料之種類、使用目的、有償公開第三者之類別及資料儲存等；（2）取得使用者之同意（consent）；消費者依據該草案亦有權撤銷其「同意」（withdrawal of consent）。此外，草案乃強制要求該行動通訊裝置應用軟體開發商，就非法近取之個人資料及經去識別化應用軟體蒐集之個人資料，應採取合理及適當之防衛措施（security measures on personal data and de-identified data）。
並且，針對網路環境下隱私權保護議題，更早之前，美國國會於2013年2月28日提出「線上禁止追蹤法草案」（Do-Not-Track Online Act of 2013） 進行審議。「線上禁止追蹤法草案」草案乃要求聯邦貿易委員會（FTC），就透過個人線上活動追蹤，以蒐集、使用個人資料之行為態樣，進行管制。該管制模式謹據以要求如下：（1）被搜集資料個人應收到簡單、明確、並載明資料使用目的之通知（clear, conspicuous and accurate notice and use of such information），而個人就該通知應予明白之同意（affirmative consent）；（2）FTC未來在訂定標準規範時，應（shall）考量所被搜集之資料，是否在匿（隱）名基礎上處理之，遂該資料無法有效被聯結（指認）到特定個人或裝置上；此外，消費者當享有資料不被蒐集的權利（expressed preference by individual not to have personal information collected）。該草案並就違反之個人，設定最高15,000,000美元損害賠償規定。
歐盟個人資料侵害事故通知規則(regulation on the notification of personal data breaches)於2013年8月生效，其目的係為統一歐盟各會員國有關個人資料侵害事故通知之規定，以使當事人可以獲得一致性的待遇，同時，業者於歐盟境內亦可採取一致性的作法。此規則將適用於所有供公眾使用之電子通訊服務（publicly available electronic communications services）提供者，例如網路服務提供者（Internet service providers）及電信業者，同時，其敍明前述業者所持有之個人資料如有發生洩露或其他侵害時，應通知當事人與通報主管機關之技術性程序(technical measures)。 依個人資料侵害事故通知規則之規定，業者於知悉個人資料侵害事故之24小時內通報主管機關，通報內容包括：事故發生之日期與時間、受侵害之個人資料之種類與內容、受影響之當事人人數、以及為降低對當事人可能帶的負面影響擬採取或己採取之組織上與技術上之措施。 個人資料侵害事故可能對當事人之個人資料或隱私產生負面影響，業者必須立即通知當事人有關個人資料侵害事故之情事，例如遭侵害之個人資料涉及金融資訊、個人資料遭侵害會造成當事人名譽受損或業者知悉該個人資料已被未經授權之第三人擁有時。若業者能證明其對被侵害之個人資料已滿足主管機關所要求的技術保護措施，使未經授權而取得資料之人無法探知該遭侵害之資料內容時，即無須通知當事人有關個人資料遭侵害之情事。
美國「刑事鑑識演算法草案」美國眾議院議員Mark Takano於2019年10月2日提出「刑事鑑識演算法草案」 （Justice in Forensic Algorithms Act），以建立美國鑑識演算法標準。依據該法第2條，美國國家標準與技術研究所（National Institute of Standard）必須建立電算鑑識軟體之發展與使用標準，且該標準應包含以下內容： 一、以種族、社會經濟地位、兩性與其他人口特徵為基礎之評估標準，以因應使用或發展電算鑑識軟體，所造成區別待遇產生之潛在衝擊。 二、該標準應解決:（1）電算鑑識軟體所依據之科學原則與應用之方法論，且於具備特定方法之案例上，是否有足夠之研究基礎支持該方法之有效性，以及團隊進行哪些研究以驗證該方法；（2）要求對軟體之測試，包含軟體之測試環境、測試方法、測試資料與測試統計結果，例如正確性、精確性、可重複性、敏感性與健全性。 三、電算鑑識軟體開發者對於該軟體之對外公開說明文件，內容包含軟體功能、研發過程、訓練資料來源、內部測試方法與結果。 四、要求使用電算鑑識軟體之實驗室或其他機構應對其進行驗證，包含具體顯示於哪個實驗室與哪種狀況下進行驗證。此外，亦應要求列於公開報告內之相關資訊，且於軟體更新後亦應持續進行驗證。 五、要求執法機關於起訴書或相關起訴文件上應詳列使用電算鑑識軟體之相關結果。
高通案發展趨勢－美國聯邦地院判決與我國公平會和解決定高通案發展趨勢－美國聯邦地院判決與我國公平會和解決定 財團法人資訊工業策進會科技法律研究所 許祐寧 法律研究員 2019年09月10日 壹、前情提要 美國高通公司擁有大量標準必要專利（Standard Essential Patent, SEP），並運用三大商業模式（拒絕授權競爭對手、沒授權沒晶片、排他性獨家交易），對於行動通訊市場產生強大影響力，進而引發獨占甚至壟斷市場之疑慮，包括中國大陸、韓國、美國、歐盟等國際競爭主管機關，相繼對高通商業模式展開調查，近期多數國家已做出初步決定。 我國部分，2017年10月11日，公平交易委員會（簡稱公平會）以高通濫用市場支配地位，裁罰234億台幣；2018年8月10日，公平會旋即以產業經濟發展為由，與高通達成和解。而近期美國聯邦地方法院，針對美國聯邦貿易委員會（Federal Trade Commission, FTC）控訴高通違反反托拉斯規則作出第一審判決，認定高通商業模式違法並要求改正。本文以下針對我國及美國高通案近來判決走向為分析，提供SEP與反托拉斯法制及產業經濟發展政策面向的相關思考。 貳、我國高通案近來走向 2018年8月10日，我國公平會與高通達成訴訟上和解，高通並承諾在臺進行5年產業投資方案。和解內容中，針對手持設備廠，高通應本於善意重新協商授權條款、遵守行動通訊SEP授權之無歧視性待遇，降低整隻授權計價，以維持我國產品的國際競爭力；然而晶片廠部分，高通雖承諾不再簽署獨家交易之折讓約定，但實際上，我國和解案並未改變高通授權模式，高通仍無須授權晶片予競爭對手，商業模式未被打破。[1] 對於我國公平會的和解決定，各界有不同意見。立法院於2018年9月的立法院報告指出：「公平會職司管制及維護市場競爭秩序，主要權限在公平法案件之調查、審議及處分等；如確要促進投資、提升產業及技術發展，似應由各該主管機關另循其他途徑」[2]。監察院更於2019年5月21日，對公平會提起糾正，理由為公平會於高通案「過度介入市場機制，且以投資換罰鍰違反不當聯結禁止原則，和解磋商僅4個月完成，歷程倉促，未公開透明」[3]。 針對各界意見公平會發表聲明，強調以訴訟和解方式解決爭議，兼顧競爭機制的正常運作及促進產業經濟利益，並提出四項說明：（1）公平會與高通和解，是依法行使行政訴訟法所賦予的權利。（2）公平會為合議制獨立機關，監察院應尊重公平會和解專業判斷。（3）本案和解決定兼顧競爭機制與產業經濟利益。（4）政府將持續監督高通對產業投資方案的執行情況，5年執行期間內持續進行追蹤管考，維護市場競爭機制及廠商權益。[4] 參、美國聯邦地方法院高通案見解 2019年5月21日美國加州北區聯邦地方法院對高通案做出判決，認定高通商業模式侵害晶片競爭對手、手持設備廠及終端消費者權益，違反反托拉斯規則，要求七年內完成改正措施：（1）高通必須與客戶重談授權協議，不得以威脅切斷供貨等手段從事不公平競爭。（2）應以公平合理價格向其他競爭晶片廠商授權專利。（3）禁止和蘋果等智慧手機廠商簽訂排他性獨家供貨協議。[5]對此，高通表示不服，認為法院判決將引發「嚴重法律問題」，且法院排除2018年3月截止後的證據（例如蘋果改用英特爾，顯示高通並未箝制市場等），該判決已嚴重影響高通業務之執行，必將積極上訴救濟。[6] 針對美國聯邦地方法院判決，亦有不同看法。2019年7月16日美國司法部反托拉斯署對聯邦地院高通案判決發表聲明，以高通仍有勝訴可能為由，請求高通案暫緩執行。首先，聯邦地院判決高通濫用市場地位一案實不利競爭、創新與國家安全，判決容有質疑空間：包括授權金過高與反托拉斯違反間無直接關聯性、FRAND並非強制授權義務、高通並無惡意破壞競爭之行為等。再者，聯邦地院未舉行聽證會，卻要求高通支付鉅額損害賠償金，程序上未有保障。最後，是公共利益考量，美國國防部與能源部亦對此擬具建議文件，共同強調高通在美國5G供應鏈與國家資通訊安全發展的重要性。[7] 肆、評析 美國聯邦地院對高通案判決，支持先前美國FTC對高通指控，認定高通商業模式違反反托拉斯法；但美國司法部及相關部會因5G產業發展、中美貿易戰及國家資通訊安全等理由主張應維護高通，高通是否會在美國敗訴進而改變商業模式，重塑全球資通訊產業市場布局，未來仍應被持續關注。 至於我國公平會與高通和解部分，最大爭議在於，公平會作為維護市場競爭的獨立機關，何以產業經濟發展為由，逕行與高通達成和解？對此，依據公平交易法第1條，公平交易相關法制的訂定，包含維護交易秩序與消費者利益、確保自由與公平競爭，促進經濟之安定與繁榮等面向；產業經濟發展未嘗不是公平競爭秩序的考量要素之一。 另有論者質疑，美國聯邦地院判決，會不會使我國公平會的訴訟和解結果顯得不合理？且各國高通訴訟案部份尚在進行，公平會是否有必要迅速與高通達成和解？反托拉斯案講求市場特性與個案判斷，必須依照各別市場產業模式判斷高通的商業模式是否會侵害市場競爭秩序、剝奪消費者選擇機會。故各國競爭主管機關應依據案件事實與市場競爭進行判斷，結果自有不同不可一概而論。公平會與高通既已達成訴訟上和解，僅代表我國競爭主管機關認定，高通商業模式依照和解條件改正後不致侵害市場公平競爭與消費者權益，並期待以投資產業換取5G研發布局合作機會。未來，依據我國公平會與高通的和解條件，應持續追蹤並督促高通確實履行對臺產業投資方案等相關計畫。[8] [1]〈本會與Qualcomm Incorporated於智慧財產法院合議庭試行和解下，達成訴訟上和解〉，公平交易委員會新聞資料，2018年8月10日，https://www.ftc.gov.tw/internet/main/doc/docDetail.aspx?uid=126&docid=15551（最後瀏覽日：2019/09/23）。 [2]〈公平會處分高通案成立訴訟和解內容所涉權限之研析〉，立法院議題研析，2018年9月4日，https://www.ly.gov.tw/Pages/Detail.aspx?nodeid=6590&pid=173380（最後瀏覽日: 2019/09/23）。 [3]〈監察委員新聞稿〉，監察院，108年5月21日，https://www.cy.gov.tw/sp.asp?xdURL=./di/Message/message_1t2.asp&ctNode=2394&mp=1&msg_id=7111（最後瀏覽日: 2019/09/23）。 [4] 〈高通案和解遭糾正，公平會：兼顧競爭與產業利益〉，中央社，2019年05月30 日，https://money.udn.com/money/story/5612/3842772（最後瀏覽日: 2019/09/23）。 [5] FEDERAL TRADE COMMISSION v. QUALCOMM INCORPORATED, Case No. 17-CV-00220-LHK(2019). [6] Qualcomm Strongly Disagrees with Ruling in FTC Case and Will Seek Immediate Stay and Appeal of Ruling, Qualcomm, May 22, 2019, https://www.qualcomm.com/news/releases/2019/05/22/qualcomm-strongly-disagrees-ruling-ftc-case-and-will-seek-immediate-stay (last visited Sep. 23, 2019). [7] UNITED STATES' STATEMENT OF INTEREST CONCERNING QUALCOMM'S MOTION FOR PARTIAL STAY OF INJUNCTION PENDING APPEAL, U.S. Department of Justice, July 16, 2019, https://www.justice.gov/atr/case-document/369345 (last visited Sep.23, 2019). [8]〈回應有關立法院國民黨團召開「公平會遭監察院糾正」記者會一事公平會說明〉，公平交易委員會新聞資料，108年5月23日，https://www.ftc.gov.tw/internet/main/doc/docDetail.aspx?uid=126&docid=15886（最後瀏覽日: 2019/09/23）。
日本於2018年7月25日發布關鍵基礎設施資訊安全對策第4次行動計畫修正版日本內閣網路安全中心（内閣サイバーセキュリティセンター）於2018年7月25日發布關鍵基礎設施資訊安全策略第4次行動計畫修正版。此次修正重點，係將「機場（空港）」新增為關鍵基礎設施領域，其目的在於確保機場安全、提供機場乘客與相關人員快速且正確的資訊、避免飛機行李的檢查與運送停止或延遲。 而確保「機場」資安的關鍵基礎設施事故報告與服務維持的指南，則為2018年4月1日發布之「確保機場資訊安全的安全指南第1版（空港分野における情報セキュリティ確保に係る安全ガイドライン第1版）」。 該確保機場資訊安全的安全指南，係參考日本於2015年5月發布之關鍵基礎設施資訊安全對策優先順位參考指南（重要インフラにおける情報セキュリティ対策の優先順位付けに係る手引書第1版）制定，以規劃（Plan）—執行（Do）—查核（Check）—行動（Action）的觀點建立管理與應變對策，將IT障礙分為故意（接收可疑的郵件、內部員工的故意行為、偽造使用者ID、DDos攻擊、非法取得資訊等）、偶發（使用者操作錯誤、使用者管理錯誤、外部受託方的管理錯誤、機器故障、執行可疑的檔案、閱覽可疑的網站、系統的脆弱性、受到其他關鍵基礎設施事故的波及）、環境（災害、疾病）等三大原因，並訂定日本主要的機場與機場大樓業者的責任範圍、適用的個資保護制度、IT安全評估與認證制度、資安稽核制度、資安管理政策及資安控制措施的建議事項。