機關實體安全維護現行法制與實務運作之研析(上)
科技法律研究所
2013年08月25日
機關實體安全維護,其主要內涵在於維護實體設施、設備、及辦公環境之安全性,確保機關業務不會因天災、刻意人為事故或意外而中斷運作,以及保障出入人員的人身安全。另就機關實體安全維護之任務,我國實務與通說均認其屬不涉及機密及公權力行使之一般業務,故極大的比例均是委由民間保全業者為之。
針對機關實體安全之規範,我國在法制設計上稍嫌不足,且對於保全業的管制寬鬆,參國外立法政策如英國、美國、澳洲,雖亦為求提升政府效能並合理運用預算,亦多將安全維護執行任務委外,但並不因此將責任全權轉嫁與保全業者,在法制設計上有相當嚴謹的政策、程序、細節性的機制與文件範本供各機關遵循,再藉由機關委外之法律規範、招標文件與契約設計,來規範民間保全業者;且對於保全業之工作,訂有證照制度、評鑑制度及豐富紮實的教育訓練等法制設計,因此保全人員之素質相較於我國,可謂已經嚴格之篩選。本文將從我國機關安全維護法制結構切入,並以澳洲之立法例為借鏡,最後提出我國現行待解決之問題,期能改善我國機關對於機關實體安全維護之概念。
壹、機關實體安全維護現行法制與運作
一、現行法制設計
機關可能遭遇的安全威脅來自於人為刻意或疏失及天災之危害。例如,辦公場所未列訂管制區或未有效率的把關,使具不同權限的內部人員或來訪的訪客,可輕易的接近、取走具敏感性的文件紙本,或以拍照、錄音的方式取得機密資訊;又或者,委外的資訊廠商、保全人員或清潔人員也能藉由職務上之便利進行側錄、側拍或安裝資料竊取裝置,爾後利用得來之消息販售獲利。另外,開放式機關和辦公場所位於商辦大樓內而與民間企業共構之機關,對於安全維護措施僅有參與權而無主控權,除出入人口複雜,對於火災、斷電等意外事故之預防控制,更是難以掌握。除了人為惡意破壞,單一意外事故亦能導致機關業務嚴重中斷或癱瘓。
目前機關安全維護責任是由各機關之政風機構所執掌[1],主要係依「政風機構預防危害或破壞本機關事業作業要點」[2]及行政院所發佈之「安全管理手冊」[3]為依循,均屬行政規則之法位階。另外相關規定包括:各級警察機關安全防護工作實施要點[4]、屏東縣政府消防局機關安全維護作業要點[5]、行政院國家科學委員會維護機關安全工作作業要點[6]和臺中市稅捐稽徵處加強機關安全維護值日員工應確實遵守事項[7]。
二、實務運作現況
(一)駐警人力不再,委外保全成為趨勢
相較於採用駐衛警察擔任機關安全維護的角色,機關傾向委外給保全業者[8],主因不外乎為預算考量,蓋依「各機關學校團體駐衛警察設置管理辦法」第10及11條[9],駐衛警察之待遇可比照駐在單位職員之支給,且其訓練、保險、退職、資遣、撫慰、服裝等各項費用均由駐在單位負擔。政府為精簡人事預算,對於駐衛警一職採取「只退不補」的政策[10],可預見未來機關對於委外安全維護的需求係不減反增。根據警政署的統計[11],至99年止臺灣已共有594家保全公司,可見保全業市場之蓬勃。
(二) 保全業相關法制與運作
肩負安全維護任務的工作者,除專業能力外,身家清白、忠誠度與品格更屬必要條件,故依保全業法第10之1條及第10之2條對保全人員定有消極資格,包括年齡限制、不得有特定犯罪前科紀錄及職前培訓與在職訓練[12]。惟主管機關對保全人員之資格與專業能力僅負消極查核義務,相關事項之執行與落實係由保全業者自主管理。目前保全業的中央主管機關為內政部、業務主管機關為警政署;地方主管機關為縣(市)政府、業務主管機關為縣(市)警察局[13],負責協助培訓的為警政署[14]。
基於政府與民間對於保全人力的益加倚賴,對其專業素質及品德操守的要求亦越發重視講究,警政署於95年起陸續邀集專家學者、相關行政機關及直轄市、縣(市)警察局代表研議保全業法的修正,但相關建議如證照制度、專業經營、分級管理、評鑑制度、排除旋轉門條款、落實嚴格監督管理、修正保全服務契約、輔導優秀軍警人員轉任保全與規範保全業越區經營範圍及報備制等規定均未列入現行法內[15]。
三、小結
承前,未來可預見現有駐衛警人力全部退休的情形下[16],除非機關編列預算將駐衛人力編制進組織內,否則委外保全業者全權負責機關安全乃不可逆之趨勢。
我國有明確的機關實體安全維護規範方針,不過在實際執行面向及科技技術應用面向上,較欠缺細節性規定與技術性標準。又除少數機關配有駐衛警、而得由駐衛警負擔內部具機密性、私隱性高之部分外,整體的安全維護任務,包括外圍之交通、門禁管制、夜間巡邏、監視系統監看及警民通報聯防等,不可避免的均係由保全業者擔任[17]。
然而,我國現行保全業法制規範上稍嫌不足,實務運作上之弊病亦非一日之寒,包括保全人員因待遇及前景上難以吸引素質佳的人才但又缺工嚴重[18],導致從業者素質良莠不齊且流動率極高;政府無統一職前培訓計畫與專業訓練輔導;另主管機關的定期查核流於形式等[19]。
針對保全業現況與法制研究,考量到文章主軸及囿限於篇幅關係,本文對此不再贅述。當務之急應係由機關本身有所警醒,對於實體安全維護的具體作法應建置更明確、細節的規範;其次是與保全業者的契約約定上,範本似有再修正及細緻化之空間。以下將介紹澳洲實體安全維護及委外服務安全管理之機制與作法。
[1]政風機構人員設置管理條例第4條;政風機構設置管理條例施行細則第10條;政風機構預防危害或破壞本機關事件作業要點。
[2]最後修訂日期:100年7月6日。
[3]發布日期:94年6月29日。
[4]發布日期:86年5月13日。
[5]發布日期:98年7月14日。
[6]發布日期:85年10月12日。
[7]發布日期:79年4月19日。
[8]如財政部各相關單位、交通部公路總局、郵局、台電、核電廠、中油、各級學校等均採委外保全。法務部調查局(2007,12月27日)‧政府部門委託民間保全辦理機關安全維護問題探討調查專報‧取自http://lkk73700.myweb.hinet.net/good/new_page_43.htm (最後瀏覽日:2013年6月4日)。
[9]最後修正日期:100年9月1日。
[10]筆者親自訪談台北榮民總醫院政風室(2013年,5月30日),台北榮民總醫院,石牌路二段201號。
[11]經濟日報(2010,1月28日)‧中華民國保全商業同業公會全國總會,開啟臺灣保全業嶄新里程碑‧取自http://edn.udn.com/article/view.jsp?aid=230903&cid=16''' (最後瀏覽日:2013年6月4日)。
[12]保全業法第10條之1:
「有下列情形之一者,不得擔任保全人員。但其情形發生於本法中華民國九十二年一月二十二日修正施行前且已擔任保全人員者,不在此限:
一、未滿二十歲或逾六十五歲。
二、曾犯組織犯罪防制條例、肅清煙毒條例、麻醉藥品管理條例、毒品危害防制條例、槍砲彈藥刀械管制條例、貪污治罪條例、兒童及少年性交易防制條例、人口販運防制法、洗錢防制法之罪,或刑法之妨害性自主罪章、妨害風化罪章、第二百七十一條至第二百七十五條、第二百七十七條第二項及第二百七十八條之罪、妨害自由罪章、竊盜罪章、搶奪強盜及海盜罪章、侵占罪章、詐欺背信及重利罪章、恐嚇及擄人勒贖罪章、贓物罪章之罪,經判決有罪,受刑之宣告。但受緩刑宣告,或其刑經易科罰金、易服社會勞動、易服勞役、受罰金宣告執行完畢,或判決無罪確定者,不在此限。
三、因故意犯前款以外之罪,受有期徒刑逾六個月以上刑之宣告確定,尚未執行或執行未畢或執行完畢未滿五年。
四、曾受保安處分之裁判確定,尚未執行或執行未畢。
五、曾依檢肅流氓條例認定為流氓或裁定交付感訓。但經撤銷流氓認定、裁定不付感訓處分確定者,不在此限。
保全業知悉所屬保全人員,有前項各款情形之一者,應即予解職。」
[13]臺北市政府警察局辦理保全業務作業要點第3點。
[14]以台北市保全商業同業公會為例,公會自主辦理「保全人員訓練護照」由中華保全協會策劃並請市警局督勤,另委請刑事警察局辦理「種子教官」訓練,解決各保全公司教育人員之不足。取自台北市保全商業同業公會網站(無日期)‧取自http://www.sca.org.tw/home/link1.asp?h=link1-45 (最後瀏覽日:2013年6月6日)。
[15]傅美惠、呂秉翰(2009,12月)‧保全業立法、修法與政策評析‧吳鳳學報,18,667-686。
[16]以台北榮民總醫院為例,現行駐衛警從原58名降為29名,平均年齡為60歲,可謂相當高齡化。筆者親自訪談台北榮民總醫院政風室(2013年,5月30日),台北榮民總醫院,石牌路二段201號。
[17]以台北榮民總醫院為例,醫院內部的1400顆監視鏡頭是由駐衛警負責監看,另保全公司所有的監控系統只負責醫院大門及停車場的部分,且會牽線至駐警室進行統一監看管理,不過夜間的巡邏及監看,因人手不足,需保全業者協力配合。筆者親自訪談台北榮民總醫院政風室(2013年,5月30日),台北榮民總醫院,石牌路二段201號。
[18]奇摩新聞(2013,2月2日)‧年前缺四成保全業全年徵人‧取自:http://tw.news.yahoo.com/%E5%B9%B4%E5%89%8D%E7%BC%BA%E5%9B%9B%E6%88%90-%E4%BF%9D%E5%85%A8%E6%A5%AD%E5%85%A8%E5%B9%B4%E5%BE%B5%E4%BA%BA-213000681.html (最後瀏覽日:2013年6月4日)。
[19]傅美惠、呂秉翰(2009,12月)‧保全業立法、修法與政策評析‧吳鳳學報,18,667-686。
企業實證特例制度規定於日本產業競爭力強化法第8條、第10條、第14條及第15條,在企業或任何事業團體有進行新事業活動(引進新商品或服務之開發或生產、新商品或服務之導入)之需要時,若現行法規上有滯礙難行之處,則可提出創設新規制措施之申請,藉以排除某些法令之限制,使新事業活動得以進行。 企業實證特例制度分為兩階段,首先由欲實施新事業活動者向事業主管機關提出申請,而事業主管機關將會與法規主管機關討論後,在安全性得到確保之情形下,由事業主管機關同意創設新規制措施。第二階段則需提出新事業活動計畫申請核准,經核准後便得在一定期間內於一定地區進行新事業活動。 新事業活動計畫備核准後,事業團體得進行新事業之活動,其需於各事業年度終了後3個月內向事業主管機關提出報告,就新事業活動之進行情形(包含新事業活動目標達成程度、新特例措施施形狀況、法規所要求之安全性目的之確保措施…等事項)為報告。法規主管機關亦會綜合新事業活動之施形狀況、國外相關法制情形以及技術進步等等情形,決定是否進行修法。
美國消費者金融保護局發布最終規則強化消費者金融資料控制權與隱私保護.Pindent{text-indent: 2em;} .Noindent{margin-left: 22px;} .NoPindent{text-indent: 2em; margin-left: 38px;} .No2indent{margin-left: 3em;} .No2Pindent{text-indent: 2em; margin-left: 3em} .No3indent{margin-left: 4em;} .No3Pindent{text-indent: 2em; margin-left: 4em} 美國消費者金融保護局發布最終規則強化消費者金融資料控制權與隱私保護 資訊工業策進會科技法律研究所 2024年12月10日 美國消費者金融保護局(Consumer Financial Protection Bureau, CFPB)於2024年10月22日發布最終規則以落實2010年《消費者金融保護法》(Consumer Financial Protection Act, CFPA)第1033條規定之個人金融資料權利[1],該規則即通常所稱之「開放銀行」(Open Banking)規則。 壹、事件摘要 本次CFPB頒布最終規則旨在賦予消費者對其個人金融資料更大的權利、隱私與安全性。透過開放消費者金融資料,消費者得更自由地更換金融服務提供者以尋求最佳交易,從而促進市場競爭,並激勵金融機構精進其產品與服務[2]。 貳、重點說明 最終規則要求資料提供者在消費者及授權第三方之請求下,提供消費者金融產品或服務相關資料,並應以消費者及授權第三方可使用之電子形式提供。最終規則亦制定標準,以促進資料標準化格式(standardized formats)之發展和使用,同時規範第三方近用消費者資料義務,包括對資料之蒐集、利用及保留限制。相關重點如下: 一、受規範機構主體 最終規則規範對象為資料提供者(data provider),包含銀行、信用合作社等存款機構(depository institution);發行信用卡、持有交易帳戶、發行用於近用帳戶設備或提供支付促進服務(payment facilitation service)等非存款機構[3]。值得注意者,最終規則將數位錢包(digital wallet)及支付應用程式(payment app)業者納入資料提供者範圍,亦即被廣泛使用的金融科技服務亦將受到開放銀行規範體系之約束。此外,資料提供者不得向消費者或第三方收取資料近用之費用。 二、受規範資料範圍 最終規則規範之資料範圍涵蓋:資料提供者控制或擁有之24個月內之歷史交易資訊、帳戶餘額、付款資訊、契約條款與條件、即將到期之帳單、以及基本帳戶驗證資訊(Basic account verification information)等[4],消費者得授權第三方近用此類資料。至於機密商業資訊、蒐集資料僅用於防止詐欺、洗錢,或為偵測或報告其他非法及潛在非法行為,又或基於其他法律要求保密之資訊,以及在正常業務過程中無法檢索之資料,則豁免最終規則之適用[5]。 三、消費者與開發者介面 根據最終規則,資料提供者須建立及維護兩個獨立的介面以利資料之近用,包含:消費者介面,例如提供消費者近用其資料之入口網站,以及授權第三方之開發者介面(developer interface),例如應用程式介面(Application Programming Interface, API),雖最終規則不要求使用任何特定技術,然仍要求資料提供者須以標準化機器可讀格式(Standardized and Machine-Readable Format)提供資料,介面功能要求須達每月最低99.5%之回應率(response rate)[6]。此類資訊須在每月最末日前揭露於資料提供者網站上。此外,介面之設計須遵守《美國金融服務業現代化法》(The Gramm-Leach-Bliley Act, GLBA)」及聯邦貿易委員會(Federal Trade Commission, FTC)之《消費者資訊保障標準》(Standards for Safeguarding Customer Information)等消費者資料保護法規義務[7]。 四、授權第三方之行為義務 授權第三方(authorized third party)為代表消費者向資料提供者請求近用資料,藉以提供消費者產品或服務者。為解決隱私與資料安全問題,該規則對尋求近用消費者資料之第三方提出數項要求[8],包含但不限於: (一)知情同意之取得 第三方須取得消費者明確知情同意(express informed consent),以便代表消費者近用資料。 (二)資料利用之限制 第三方須確保將其資料之蒐集、利用及保留限制在提供消費者所請求的產品或服務之合理必要範圍內。就此部分,精準廣告(targeted advertising)、交叉銷售(Cross-selling),以及銷售資料並非提供產品或服務之合理必要範圍。 (三)遵守聯邦法規 第三方須依GLBA第501條規定或FTC之《消費者資訊保障標準》確保在其系統中採用「資訊安全計畫」(information security program)。 (四)政策與程序文件要求 第三方應擁有合理書面政策和程序,以確保從資料提供者處準確接收資料,並提供於其他第三方,即資料正確性之確保。 (五)資料撤回權之確保 第三方應向消費者提供撤回第三方授權之方法,撤回過程須簡易明瞭。在第三方收到消費者撤回授權之請求時,應通知資料提供者以及已向其提供消費者資料之其他第三方。 (六)第三方監督義務 第三方應透過契約要求其他第三方在向其提供消費者資料前遵守特定第三方法定義務。 (七)資料保存期限 消費者資料之保存期限最長為一年。若繼續蒐集,第三方應取得消費者重新授權。若消費者不提供重新授權或撤回授權,第三方應停止資料之蒐集,並停止利用與保留先前蒐集之資料。 五、實施日期 最終規則將依機構資產規模分階段實施[9],最大規模之機構(資產總額為2500億美元以上之存款機構資料提供者,以及在2023年或2024年任一年中,總收入達到100億美元以上之非存款機構資料提供者)須在2026年4月1日前遵守最終規則。對於規模最小之機構(資產總額低於15億美元但高於8.5億美元之存款機構資料提供者)須於2030年4月1日前遵守該規則。另總資產低於8.5億美元之存款機構不受該規則限制,以減輕小型銀行及信用合作社合規負擔。 參、事件評析 CFPB之CFPA第1033條最終規則將重塑美國金融市場之監理格局,由市場驅動之開放銀行框架走向由政府透過法規實質監理之管制措施,要求業者開放消費者資料。值得留意者,歐盟執委會(European Commission)2023年6月推出之「金融資料近用」(Financial Data Access, FiDA)草案[10]亦基於消費者賦權理念,強化消費者對其資料權利之控制權。由此可觀察國際間金融資料利用與監理規範逐漸走向以消費者資料自主為中心之法制架構,當代金融資料監理趨勢或值得我國主管機關及業者留意關注,除可作為我國金融資料法制與政策制定之參考,亦供我國企業布局全球化金融服務提前作好準備。 [1]Required Rulemaking on Personal Financial Data Rights, 89 Fed. Reg. 90838. [2]Consumer Financial Protection Bureau, CFPB Finalizes Personal Financial Data Rights Rule to Boost Competition, Protect Privacy, and Give Families More Choice in Financial Services, available at https://www.consumerfinance.gov/about-us/newsroom/cfpb-finalizes-personal-financial-data-rights-rule-to-boost-competition-protect-privacy-and-give-families-more-choice-in-financial-services/(last visited Dec. 5, 2024). [3]12 C.F.R. § 1033.111. [4]12 C.F.R. § 1033.211. [5]12 C.F.R. § 1033.221. [6]12 C.F.R. § 1033.311. [7]See id. [8]12 C.F.R. § 1033.421. [9]12 C.F.R. § 1033.121. [10]Proposal for a REGULATION OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL on a framework for Financial Data Access and amending Regulations (EU) No 1093/2010, (EU) No 1094/2010, (EU) No 1095/2010 and (EU) 2022/2554.
下一個要控告的是…其它所有公司?Eolas,一家由加州大學資助成立的軟體技術研發公司,於1999年控告微軟侵犯了一個關於瀏覽器技術的專利 – US 5,838,906。該專利所揭露的技術讓微軟的IE瀏覽器得以嵌入互動式內容的外掛(plug-in)程式。2003年,美國芝加哥法院認定微軟侵犯906專利,並判決微軟必需賠償Eolas及加州大學5.21億美元。2007年,微軟終於暫時與Eolas達成和解,但兩家公司都不願透漏和解的內容。 美西時間2009年10月6日上午,Eolas大動作地控告包含科技業的Adobe、Amazon、Apple、eBay、Google、Sun Microsystems、Texas Instruments、Yahoo、YouTube,以及非科技業的Citigroup、JPMorgan Chase …等共22家公司,侵犯上述906專利以及其所衍生的US 7,599,985專利。Eolas表示:「985專利是 906專利的延續,其所揭露的技術能讓網站透過附加元件和Ajax網頁開發技術的使用,為其線上服務加入完全互動式的嵌入應用軟體。」 此外,Eolas總裁Michael Doyle博士也表示:「我們只想獲得公平的對待。本公司在15年前就已經研發並廣泛的展示這些技術。使用本公司的技術來營利且未付出合理報酬的情形對本公司並不公平。」 至於被控告的大多數公司目前都尚未做出正式的回應。
紐西蘭內政部發布新版VASP指引,因應虛擬資產轉帳納入監管紐西蘭內政部於2024年7月25日發布新版洗錢防制與打擊資助恐怖主義(Anti-Money Laundering and Countering Financing of Terrorism, 以下均簡稱AML/ CFT)指引(下稱指引),指導虛擬資產服務提供者(virtual asset service providers, 下稱VASPs)遵循虛擬資產交易行為準則與注意事項。該國有關AML/ CFT之規定係以多項規則與行為指引構成,且應技術、產業與國際標準之變革持續調整既有框架。本次指引更新係為配合AML/ CFT法(AML/ CFT Act 2009)及其規則之修正與生效,重新規範VASPs對於虛擬資產轉帳再定義後義務。以下針對法規變革脈絡簡要說明: AML/ CFT規則(AML/ CFT (Definitions) Regulations 2011)將虛擬資產定義為具有價值的數位貨幣,可用於交易、達成支付或投資目的;雖其不等同於債券、股票與衍生性金融產品或數位法定貨幣,VASPs仍為AML/ CFT法定義之報告實體,負有對客戶進行盡職調查、報告特定業務活動與交易的義務。 自2024年6月起,AML/ CFT規則全面納管虛擬資產轉帳,範圍由法定貨幣與虛擬資產間的流動,擴及虛擬資產間的交易,包含以VASPs作為中介機構之交易情形。此外,基於虛擬資產跨境的特性,所有轉帳皆被推定為國際轉帳,除非VASPs確定該筆交易發生紐西蘭境內。AML/ CFT規則對虛擬資產平臺交易之監管密度係以1,000紐幣為閾值,VASPs須對超過此金額的國際轉帳,向金融情報中心(Financial Intelligence Unit, FIU)提送交易報告;而對於臨時性交易則應盡職調查客戶。 為降低虛擬資產被用於非法活動之風險,防制洗錢金融行動工作組織(FATF)倡議於國際施行一致之監管標準,避免因各國法規監管差異造成防堵漏洞。紐西蘭政府藉改造現行金融法規將相關產業逐步納入監管,並提供指引說明及闡釋法規內容,調適金融科技發展與現有制度規範落差。此次AML/ CFT規則與VASPs指引之修正,將有助於紐西蘭更符合國際組織建議之洗錢防制與反資助恐怖活動監管標準。