日本網路販售藥品爭議
科技法律研究所
2013年12月31日
壹、事件摘要
網路販售藥品的爭議,日本從早期未明文規定,但於2006年時,日本修正藥事法,將藥品區分為第一類、第二類、第三類藥品,並限制得販賣各類藥品之資格;2009年6月,日本厚生勞動省進一步公布修正日本藥事法施行細則,禁止於網路上販售第一類及第二類藥品,此一修正,引起日本網路商家的反對,認為施行細則禁止網路販售第一、二類藥品之規定已超出藥事法之授權範圍,並據以提起行政訴訟。歷經各審級的訴訟後,東京最高法院於2013年1月判決厚生勞動省敗訴確定,確認得於網路販藥品。
另一方面,2013年6月,日本內閣所提出的「日本經濟再興戰略」亦確認將網路販售藥品的解禁作為重要原則。在經過一連串的公聽會及檢討會議之後,日本於2013年12月通過新修正的藥事法(下稱新法),依新法之規定,除經厚生勞動省認定為危險性極高之劇藥或毒藥外,99.8%的一般用藥品已經可以合法於網路上販售。
以下,本文首先簡單說明日本2006年藥事法以及2009年厚生勞動省所公布的藥事法施行細則中針對藥品之分類與藥品販售等相關限制規定,並整理東京最高法院判決厚生勞動生敗訴之理由,最後再介紹2013年12月所修正之藥事法內容,盼能透過日本對於網路販售藥品之處理歷程,促使我國能夠重新思考網路販售藥品之管制及其容許性。
貳、重點說明
一、日本藥事法規
(一)藥事法(2006年)
2006年所通過之藥事法,對於藥品分類及販售限制等,其規定如下:
1.藥品分類
藥品可分為「醫療用藥品」及「一般用藥品」,「醫療用藥品」需有醫師處方箋始可取得;「一般用藥品」則可在一般店鋪或藥局自行購買。一般用藥品,以對人體之副作用及風險之等級作區分,分為高風險之第一類藥品、風險較次之第二類藥品、以及低風險之第三類藥品(藥事法第36條之3)。
2.藥品販售
藥事法第36條之5規定,藥局開設者、店鋪販售業者或配製販售業者,對於一般藥品,應依照厚生勞動省令之規定進行販售或交付,第一類藥品須由藥劑師為之,而第二類及第三類藥品則得由藥劑師或登錄販售者為之。
3.資訊提供義務
第一類藥品之販售,須使用記載厚生勞動省所定事項之書面,提供適切服用之必要資訊(藥事法第36條之6第1項)。相對於第一類藥品之情報提供義務,藥事法對於第二類藥品之販售則係課予「努力義務」(藥事法第36條之6第2項)。
4.販售方式限制
藥局開設者或店鋪販售業者,不得透過店鋪販售或交付以外的方法,而配置販售業者(配置販售業係日本特有的藥品販賣行業,其業務型態是以將各項藥品裝箱後配送到需求單位,而在經過一段時間後依照需求單位之使用量來計算收費金額)不得透過配置以外方法,販售、交付藥品、或基於販售或交付目的而儲藏或陳列藥品(藥事法第37條)。
(二)藥事法施行細則(2009年)
2009年厚生勞動省所公布之藥事法施行細則,對於網路販售藥品之相關限制規定如下:
1. 禁止通信販售
藥事法施行細則第15條之4規定,除第三類藥品外,不得進行通信販售,即對於未親臨藥局之消費者,不得以郵寄等方式進行藥品之交付,亦不得以網路販售。
2.面對面販售原則
藥事法施行細則第159條之14規定,藥局開設者、店鋪販售業者或配置販售業者,為販賣各類藥品,應設有符合藥事法第36條之5所定資格之藥劑師或登錄販售者,並由其於販售現場與消費者面對面進行販售(面對面販售原則)。但是,如為第三類藥品之通信販售,則不在此限。
3.資訊提供義務的履行方式
藥事法第36條各項之情報提供義務或努力義務之履行,須於藥品販售時與消費者面對面進行之(藥事法施行細則第159條之15至第159條之17)。因為施行細則規定了面對面販售之原則,而網路販售藥品因無法符合面對面販售原則,故第一類及第二類藥品被認定為禁止於網路販售。
二、東京最高法院判決
2009年藥事法施行細則禁止網路販售第一、二類藥品後,相繼對網路販售藥品之業者開罰,其中二家業者認為藥事法施行細則之規定已超出藥事法所授權的範圍,並據此提起行政訴訟。如前所述,東京最高法院判決厚生勞動省敗訴確定,其理由如下:
(一)對於藥品販售方式之限制須遵守法律保留原則
為確保藥品安全性,避免不良藥品侵害國民之生命、健康,藥事法對於藥品之製造、販售等設有各種規制,有其必要。對於藥品的販售方式是否限定須於「店舖內為之」或必須符合「面對面販售原則」,涉及到憲法第22條所保障之職業活動自由,若欲為限制,須以法律或授權命令為之。
(二)厚生勞動省所定之施行細則逾越法律授權範圍
藥事法第36條之5規定,販售第一類藥品必須由藥劑師,第二類、第三類藥品由藥劑師或登錄販售者進行販售,所限制者為販售藥品之資格,施行細則第159條之14要求藥劑師或登錄販賣者須在藥局、店鋪或配置場所等進行面對面販售,已超出藥事法第36條之5的授權範圍。
藥事法第36條之6規定藥品資訊提供之義務等,而應提供之資訊則由厚生勞動省定之,且藥事法第36條之6並未規定不得以電磁紀錄方式為之;施行細則第159條之15至第159條之17規定必須面對面進行,亦已超出藥事法第36條之6的授權範圍。
(三)立法者無限制網路販售之意
從立法體系觀之,藥事法第35條之5規定藥品販售資格;藥事法第36條之6則規定資訊提供義務;而對於藥品販售方式的限制,於藥事法第37條另有規定,故藥事法若對網路販售藥品進行限制,應於藥事法第37條規定。再從立法沿革觀之,藥事法於修正前並未針對網路販售藥品進行限制,而藥事法在2006年修正後亦無此限制。且參考修法討論之部會檢討報告書及厚生勞動大臣於國會審議時之答辯,均未表明禁止網路販售藥品之旨趣。故此,可推知立法者並無限制網路販售之意思,因此,厚生勞動省以施行細則限制網路販售藥品,已逸脫藥事法之立法意旨。
(四)自文義解釋無法得到禁止網路販售之意旨
藥事法第37條之文義,並無法看出明文禁止網路販售之意旨,其所稱「店鋪販售」,應指須在營業地點為之,而非僅得於店鋪進行販售。若解為僅得於實體店面交易,則藥事法施行細則第15條之4及第159條之14另規定第三類藥品得網路販售,豈非自相矛盾。
三、新藥事法(2013年)
(一)要指導藥品
新藥事法第4條第5項增設「要指導藥品」,包括毒藥、劇藥、以及從醫療用藥品轉為一般用藥品後而未超過厚生勞動省所定評估期間之藥品等。對於「要指導藥品」之販售,必須讓藥劑師依面對面販售原則,將相關資訊提供給消費者。
(二)資訊提供義務
新藥事法第36條之10亦分別對於第一類及第二類藥品課予資訊提供義務及努力義務,與舊法不同之處在於使用記載厚生勞動省所定事項之書面,提供適切服用之必要資訊時,增設「電磁紀錄」之提供方式。亦即,網路販售藥品,以電磁紀錄方式履行資訊提供義務,只要該電磁紀錄包含厚生勞動省所定之事項及表示方法,亦符合法規範之要求。因此,無論第一、二、三類藥品,自新藥事法施行後,已經可以合法地進行網路販售。
參、事件評析
隨著電子商務的蓬勃發展,網路購物對於消費者而言已經從一個新鮮未知的事物變成了日常生活的一部分,而透過網路買賣一般用藥品,在替消費者帶來了莫大便利的同時,也為藥品販售業者帶來極大的商機。然而,在促進生活便利性以及網購商機的同時,國民健康的保護亦為政府所關心之課題。為保障國民服用藥品之安全,藥品販售者應使消費者充分瞭解藥品的正確服用方式、劑量以及服用之注意事項及風險等。
網路販售藥品的爭議,日本從早期未明文規定,歷經2006年藥事法修正、2009年厚生勞動省公布藥事法施行細則限制網路販售第一類及第二類藥品、2013年1月東京最高法院判決厚生勞動省敗訴確定、2013年6月「日本再興戰略」確認開放網路販售藥品之原則、一直到2013年12月再度修正藥事法,明文規定除了經厚生勞動省認定之劇藥、毒藥等「要指導藥品」(目前約有28項藥品)需由藥劑師依對面販售原則,面對面向消費者說明藥品資訊外,一般用藥品可藉由網路以電磁紀錄方式履行資訊提供義務。從此,網路販售藥品已成為合法的藥品販售方式之一。
網路販售藥品究竟應予開放或禁止,涉及到國民健康、國民生活便利性的保障、以及業者職業自由的限制,如何在三者間找到平衡點。一直為各界所爭執,而我國對於網路販售藥品之問題,一向採取嚴格禁止之作法,新聞時事亦常見到民眾因於網路販售隨處可見之一般藥品而遭受處罰之案例。然而,此種於一般商店亦可販售之藥品,其禁止於網路販售之理由何在?其依據為何?對照日本之處理歷程,我國未來是否仍要全面禁止網路販售藥品,值得吾人重新思考。
全球CBPR論壇成立一週年:英國成為準會員、公布部分制度文件、資策會開始受理驗證 資訊工業策進會科技法律研究所 112年08月01日 「全球跨境隱私規則論壇」(Global Cross-Border Privacy Rules Forum,簡稱全球CBPR論壇)自去(2022)年成立迄今已有1年,論壇於今(2023)年7月6日宣布英國已經完成審核,成為全球CBPR的「準會員」(Associate)。除歡迎新的成員加入外,全球CBPR論壇亦陸續公布其制度文件、領導團隊名單及年度工作計畫。 全球CBPR論壇成立的目的在於建立全球性的跨境隱私驗證機制,並促進全球的資料保護與隱私執法合作[1]。此一論壇於去年4月份時,由我國、美國、日本、韓國、新加坡、加拿大與菲律賓等七個「亞太經濟合作」(Asia-Pacific Economic Cooperation, APEC)「跨境隱私規則體系」(Cross-Border Privacy Rules, CBPR)會員共同以宣言形式宣布推動成立[2],嗣後APEC CBPR剩餘的兩個會員澳洲[3]及墨西哥[4]亦陸續宣布加入。 一、公布制度文件及領導團隊 全球CBPR論壇首先於今年4月13日,該論壇宣佈成立滿1年之際,公告論壇隱私標準指導文件的「全球CBPR綱領」(Global CBPR Framework)以及規範論壇架構與會員資格的「職權文件」(Terms of Reference)等2份論壇運作的基礎文件;同時並公布其首批領導團隊名單[5]。此後,全球CBPR論壇再於6月30日時公告2023/2024年度的工作計畫[6]。 (一)全球CBPR綱領 全球CBPR綱領的制訂目的主要係為了在會員不同的管制間尋求「求同存易」的隱私方法論:期待能在尋求相同原則的管制同時,亦能尊重不同成員不同的社經背景差異[7]。 在實質內容上,全球CBPR綱領的主要內容係基於創始成員皆有參與的「APEC隱私綱領」(APEC Privacy Framework)調整,並使其內容得以與「經濟合作暨發展組織」(Organisation for Economic Cooperation and Development, OECD)的「隱私保護及個人資料跨境傳輸指引」(Guidelines on the Protection of Privacy and Trans-Border Flows of Personal Data)所涵蓋核心原則相符[8]。 全球CBPR綱領揭櫫了「全球CBPR隱私原則」(Global CBPR Privacy Principles),其內涵包含預防損害、告知、限制蒐集、個人資料利用、當事人自主選擇、個人資料完整性、安全維護、近用與更正以及責任等9個項目[9]。此些原則的內容與精神,皆與APEC CBPR隱私原則相通。此外,全球CBPR隱私綱領亦針對在各會員內部及國際間落實全球CBPR隱私原則擬定執行指南[10],作為後續全球CBPR論壇運作的指引。 (二)職權文件 職權文件主要係規定全球CBPR論壇的運作架構,包含論壇的組織架構、程序、領導團隊選任方式、工作語言的內容,同時亦會員及準會員的資格與申請、採認的程序等。 在組織架構上,全球CBPR論壇設立由所有會員組成之「全球論壇大會」(Global Forum Assembly, GFA)[11],作為論壇的最高決策機構,以共識決為基礎[12]負責論壇政策戰略之擬訂、審議年度工作計畫、設立委員會、採認各委員會提出之建議並負責領導團隊之任命[13]。全球論壇大會置主席、副主席各1人負責領導工作,主席及副主席任期均為2年,並應由不同會員之代表擔任[14]。在全球論壇大會下,為便利各項工作之推行,全球CBPR論壇設「會員委員會」(Membership Committee)、「溝通協調委員會」(Communications and Stakeholder Engagement Committee, Comms Committee)及「當責機構監督及參與委員會」(Accountability Agent Oversight and Engagement Committee, AA committee)[15]等三個委員會,各置主席1人,負責主持委員會會務,並每半年向全球論壇大會主席遞交委員會工作報告[16]。各委員會需至少有3個不同會員之參與[17]。 其中,會員委員會負責審查會員及副會員之申請,並做成審查結論及建議以遞交予大會採認,同時亦負責促進各「司法管轄區」(jurisdiction)對CBPR之認識與參與[18]。溝通協調委員會擇負責提高利害關係人對論壇之認識、維護論壇網站、文件與記錄資料庫,並針對論壇品牌之發展、維護向大會提出建議[19]。當責機構監督及參與委員會則負責與當責機構有關之任務,包含對其申請進行審查,以向大會提出准駁建議、處理針對當責機構的申訴,以及負責與當責機構溝通合作等[20]。 在會員資格部分,任何司法管轄區符合以下條件者,可申請為會員:該司法管轄區之法律體系規範符合全球CBPR綱領及全球CBPR宣言(全球CBPR論壇宣佈成立之文件)[21]所規定之原則,且至少有一隱私執法機構參與「全球隱私執法合作機制」(Global Cooperation Arrangement for Privacy Enforcement, Global CAPE)[22];同時其必須滿足以下任一條件:(1)有意採用至少一個當責機構以落實全球CBPR規範,或是(2)證明其法律體系採認全球CBPR論壇之驗證體系為有效的跨境資料傳輸機制[23]。 除會員外,職權文件另創設「副會員」資格,其可參與全球CBPR論壇之各項活動[24]、參與除會員限定會議外之論壇大會[25],並可在各委員會主席邀請的情況下,參與各委員會活動[26]。副會員需表達其支持全球CBPR綱領及全球CBPR宣言所揭示之原則、目標,該司法管轄區需有有效的保護個人資料之法律規範,且至少有一政府機構負責該法律規範之監督與執行[27]。 (三)全球CBPR論壇首批領導團隊名單 全球CBPR論壇在公布前述論壇文件時,亦公開其首批領導團隊名單。其中,全球論壇大會的主席有美國商務部的Shannon Coe 擔任,副主席由新加坡資通訊媒體發展局的Evelyn Goh 擔任[28]。Shannon Coe 曾經擔任APEC 電子商務指導小組(Electronic Commerce Steering Group)[29]、資料隱私次級小組(Data Privacy Subgroup, DPS)[30]主席,同時現在也是APEC CBPR 聯合監督小組(Joint Oversight Panel, JOP)主席[31]。Evelyn Goh亦曾為APEC CBPR 聯合監督小組成員[32]。在委員會部分,會員委員會主席由日本經產省之Makiko Tsuda擔任;溝通協調委員會主席則為菲律賓國家隱私委員會的Ivy Grace T. Villasoto;至於當責機構監督及參與委員會的主席則尚未選出[33]。 (四)年度工作計畫 全球CBPR論壇於6月30日時公布至2024年4月的年度工作計畫,其主要包含以下三個戰略目標:第一,於2023年底開始全球CBPR驗證及全球PRP(Privacy Recognition for Processors, PRP)驗證計畫;第二,擴大全球CBPR論壇之參與,包含完成會員加入所需之程序、利害關係人參與機制等,並計畫於今年秋季及2024年春季舉辦研討會(workshops);第三,持續強化論壇之運作,包含各委員會於年底前提交半年工作計畫等[34]。 二、英國成為準會員 全球CBPR論壇於7月6日發表新聞,宣布英國已經獲得接納成為論壇的準會員[35]。這是全球CBPR論壇成立後第一個申請加入的準會員,也是首個來自非原APEC CBPR會員的論壇參與者。 英國是在論壇於4月公布職權文件後,隨即於同日宣布申請加入為論壇的準會員[36]。其後歷經月餘審查,於5月份通過論壇會員委員會審查,並於6月時獲全球論壇大採認獲得準會員資格[37]。 三、資策會公告CBPR驗證文件,開始受理驗證 資策會為我國在CBPR體系驗證的唯一一個當責機構,目前亦在維運的臺灣個人資料保護與管理制度(Taiwan Personal Information Protection and Administration System, TPIPAS)網站公告CBPR驗證的標準及申請文件[38]。有意申請CBPR國際個人資料保護驗證的企業,可以前往該網站的CBPR專區,查閱驗證標準、評量問卷、驗證須知以及其他申請文件。資策會科技法律研究所期待透過以國內個人資料保護法為基礎轉化的TPIPAS以及我國正式參與的國際組織制訂的CBPR兩項個資管理驗證制度,協助提昇國內企業個資管理能力,建立受信賴的個資應用環境。 [1]About the Global CBPR Forum, Global Cross-Border Privacy Rules Forum [Global CBPR Forum], https://www.globalcbpr.org/about/ (last visited Aug. 3, 2023). [2]國家發展委員會綜合規劃處,〈我國以創始會員身分加入新設立之「全球跨境隱私規則論壇」〉,國家發展委員會,2022/04/21 17:00,https://wwwcdn.ndc.gov.tw/nc_27_35773 (最後瀏覽日:2023/08/03)。 [3]Mark Dreyfus, Australia joins the Global Cross-Border Privacy Rules Forum, The Attorney-General's Department of Australia (Aug. 17, 2022), https://ministers.ag.gov.au/media-centre/australia-joins-global-cross-border-privacy-rules-forum-17-08-2022 (last visited Aug. 3, 2023). [4]Members of the Global CBPR Forum, Global CBPR Forum, https://www.globalcbpr.org/membership/ (last visited Aug. 3, 2023). [5]Global Cross-Border Privacy Rules (CBPR) Forum Welcomes Participation by Interested Jurisdictions , Global CBPR Forum (Apr. 13, 2023), https://www.globalcbpr.org/global-cross-border-privacy-rules-cbpr-forum-welcomes-participation-by-interested-jurisdictions/ (last visited Aug. 3, 2023). [6]The Forum Releases its Annual Work Program for 2023/2024, Global CBPR Forum (June 30, 2023), https://www.globalcbpr.org/the-forum-releases-its-annual-work-program-for-2023-2024/ (last visited Aug. 3, 2023). [7]Global CBPR Forum, Global Cross-Border Privacy Rules (CBPR) Framework (2023), at 2 (2023), available at https://www.globalcbpr.org/wp-content/uploads/Global-CBPR-Framework-2023.pdf (last visited Aug. 3, 2023). [8]國家發展委員會法制協調處,〈全球CBPR論壇正式啟動,英國申請加入準會員 我國與各會員攜手歡迎新會員加入〉,國家發展委員會,2023/04/21 10:10,https://wwwcdn.ndc.gov.tw/nc_27_36833 (最後瀏覽日:2023/06/17)。 [9]Global CBPR Forum, Global Cross-Border Privacy Rules (CBPR) Framework (2023), available at https://www.globalcbpr.org/wp-content/uploads/Global-CBPR-Framework-2023.pdf (last visited Aug. 3, 2023). [10]Id. [11]Global CBPR Forum, Global CBPR Forum Terms of Reference (2023), 3.1.i. (2023), available at https://www.globalcbpr.org/wp-content/uploads/Global-CBPR-Forum-Terms-of-Reference-2023.pdf (last visited Aug. 3, 2023). [12]Global CBPR Forum, Global CBPR Forum Terms of Reference (2023), 3.1.iii. (2023), available at https://www.globalcbpr.org/wp-content/uploads/Global-CBPR-Forum-Terms-of-Reference-2023.pdf (last visited Aug. 3, 2023). [13]Global CBPR Forum, Global CBPR Forum Terms of Reference (2023), 3.1.ii. (2023), available at https://www.globalcbpr.org/wp-content/uploads/Global-CBPR-Forum-Terms-of-Reference-2023.pdf (last visited Aug. 3, 2023). [14]Global CBPR Forum, Global CBPR Forum Terms of Reference (2023), 4.1. (2023), available at https://www.globalcbpr.org/wp-content/uploads/Global-CBPR-Forum-Terms-of-Reference-2023.pdf (last visited Aug. 3, 2023). [15]Global CBPR Forum, Global CBPR Forum Terms of Reference (2023), 3.2.i. (2023), available at https://www.globalcbpr.org/wp-content/uploads/Global-CBPR-Forum-Terms-of-Reference-2023.pdf (last visited Aug. 3, 2023). [16]Global CBPR Forum, Global CBPR Forum Terms of Reference (2023), 6.1. (2023), available at https://www.globalcbpr.org/wp-content/uploads/Global-CBPR-Forum-Terms-of-Reference-2023.pdf (last visited Aug. 3, 2023). [17]Global CBPR Forum, Global CBPR Forum Terms of Reference (2023), 3.2.ii. (2023), available at https://www.globalcbpr.org/wp-content/uploads/Global-CBPR-Forum-Terms-of-Reference-2023.pdf (last visited Aug. 3, 2023). [18]Global CBPR Forum, Global CBPR Forum Terms of Reference (2023), 3.2.v. (2023), available at https://www.globalcbpr.org/wp-content/uploads/Global-CBPR-Forum-Terms-of-Reference-2023.pdf (last visited Aug. 3, 2023). [19]Global CBPR Forum, Global CBPR Forum Terms of Reference (2023), 3.2.vii. (2023), available at https://www.globalcbpr.org/wp-content/uploads/Global-CBPR-Forum-Terms-of-Reference-2023.pdf (last visited Aug. 3, 2023). [20]Global CBPR Forum, Global CBPR Forum Terms of Reference (2023), 3.2.vi. (2023), available at https://www.globalcbpr.org/wp-content/uploads/Global-CBPR-Forum-Terms-of-Reference-2023.pdf (last visited Aug. 3, 2023). [21]Global CBPR Forum, Global Cross-Border Privacy Rules (CBPR) Declaration (Apr. 21, 2022), available at https://www.globalcbpr.org/wp-content/uploads/Global-CBPR-Declaration-2022.pdf (last visited Aug. 3, 2023). [22]由隱私執法機構組成的組織,負責在隱私執法、跨境資料保護等議題進行合作,其組織規範尚待擬訂,可參見:Organisational Structure, Global CBPR Forum, https://www.globalcbpr.org/about/organisational-structure/ (last visited Aug. 3, 2023). [23]Global CBPR Forum, Global CBPR Forum Terms of Reference (2023), Annex A 3. (2023), available at https://www.globalcbpr.org/wp-content/uploads/Global-CBPR-Forum-Terms-of-Reference-2023.pdf (last visited Aug. 3, 2023). [24]Global CBPR Forum, Global CBPR Forum Terms of Reference (2023), 2.2. (2023), available at https://www.globalcbpr.org/wp-content/uploads/Global-CBPR-Forum-Terms-of-Reference-2023.pdf (last visited Aug. 3, 2023). [25]Global CBPR Forum, Global CBPR Forum Terms of Reference (2023), 3.1.iv. (2023), available at https://www.globalcbpr.org/wp-content/uploads/Global-CBPR-Forum-Terms-of-Reference-2023.pdf (last visited Aug. 3, 2023). [26]Global CBPR Forum, Global CBPR Forum Terms of Reference (2023), 3.2.iii. (2023), available at https://www.globalcbpr.org/wp-content/uploads/Global-CBPR-Forum-Terms-of-Reference-2023.pdf (last visited Aug. 3, 2023). [27]Global CBPR Forum, Global CBPR Forum Terms of Reference (2023), Annex A 4. (2023), available at https://www.globalcbpr.org/wp-content/uploads/Global-CBPR-Forum-Terms-of-Reference-2023.pdf (last visited Aug. 3, 2023). [28]Global Forum Assembly Leadership, Global CBPR Forum, https://www.globalcbpr.org/about/leadership/ (last visited Aug. 3, 2023). [29]國發會綜合規劃處,〈我國申請加入 APEC 「跨境隱私保護規則」 (CBPR)體系成功通過 第一階段審查〉,《台灣經濟論衡》,第16卷第2期,頁124。 [30]張惠娟、趙文志、李葳農、林淑英、林宸均、邱映曦、王宗彥、欒中丕、賴玲玲、桂尚卿、熊力恆、劉大瑋、盧淑芫、林冠宇、王德瀛、周芷瑄、邱達生,〈出席2022年2月亞太經濟合作(APEC)數位經濟指導小組(DESG)第1次視訊會議暨相關視訊會議報告〉,行政院所屬各機關因公出國報告書,頁1(2022)。 [31]國發會綜合規劃處,前揭註29;張惠娟等,同前註,頁6。 [32]張惠娟等,前揭註30,頁6。 [33]Supra note 28. [34]Global CBPR Forum, Global Forum Assembly Annual Work Program, though April 2024 (June 30, 2023), https://www.globalcbpr.org/wp-content/uploads/GlobalCBPRForum-Annual-Work-Program-2023-2024.pdf (last visited Aug. 3, 2023). [35]The Forum Welcomes the UK as an Associate, Global CBPR Forum, https://www.globalcbpr.org/the-forum-welcomes-the-uk-as-an-associate/ (last visited Aug. 3, 2023). [36]Department for Science, Innovation and Technology(@SciTechgovuk), The UK has applied to become an Associate of the Global Cross Border Privacy Rules (CBPR) Forum, Twitter (Apr. 18 12: AM), https://twitter.com/SciTechgovuk/status/1648007670002069505 (last visited Aug. 3, 2023). [37]Supra note 35. [38]CBPR簡介,臺灣個人資料保護與管理制度,https://www.tpipas.org.tw/model.aspx?no=310 (最後瀏覽日:2023/08/03)。
日本政府對於「小型無人機進階安全確保制度」進行研議,並研提「航空法」修正建議日本政府於2016年1月5日成立「小型無人機進階安全確保制度設計相關小組委員會」(小型無人機の更なる安全確保のための制度設計に関する分科会),聚焦無人機飛安方面之實務議題。會議由内閣官房内閣参事官擔任議長,並由國土交通省航空局協助辦理,民間參與者則多為相關產業公協會,目前規劃每兩個月開1-2次會議,其運行方式包括:原則上為非公開會議,其會議資料將於會後公開,但若議長認有必要,則得決定一部或全部不公開;此外,對於委員會成員以外的民間企業及專家學者之意見,亦應聽取。 為更進一步確保小型無人機於飛行時之安全性,本次會議對「航空法」提出如下修正建議: (1)除「航空法」第一百三十二條之二所規範之飛行方式及禁飛區域外,尚有其他相關飛安重要事項亦應注意,例如:機體本身之缺陷、操控者失誤、不可預期的天候變化、機體重量等(一定重量以上之無人機,對於機體性能及操控者技術應有更高要求,未來可思考訂定罰則或提供擔保)。 (2)對於機場周邊應有比現行法更嚴格之規範,除因此處操控無人機容易誤入禁區外,該範圍以內通常是飛安事故搜救區,恐妨害搜救之進行。 (3)關於禁區內飛行許可之審查,應包含:機體機能與性能、操控者知識、技術與經歷。 (4)對於商業、營業用無人機,應有更高的安全性要求。但何謂商業、營業用之定義及更高安全性究何所指須有更明確的標準!
美國公務機關電子機密資訊系統面對內部威脅之政策規範簡介美國公務機關電子機密資訊系統面對內部威脅之政策規範簡介 科技法律研究所 102年04月01日 壹、事件摘要 根據一項網路入侵案件的統計分析,約有80%的案件事來自於機關或企業內部人員,或是至少與內部人員有關。[1]然而,對於資通訊安全與機密資訊的維護,機關單位與人員把大部分的重心放在防範外來的入侵者,也就是外部威脅,反而忽略了內部員工對於資訊可能產生的潛在危害。[2]這些入侵案件的行為人大部分擁有合法存取控制資訊系統的權限,也就是因為這樣,內部威脅不易被發現。這就好比擁有大門鑰匙一般,正當合法從大門出入,以及從事本來就可以做的事,而不易被發覺。美國由於維基解密(WikiLeaks)事件的爆發,使政府對於機密維護的焦點,從外在攻擊的防止,轉聚焦於內部威脅的防範。 在美國,內部威脅並不是一個新的概念,公務機關本具備一定的管理措施;惟在維基解密案爆發後,帶給美國政府極大的衝擊,美國也全面檢討與創制新的因應作法,並於政策面、制度面與技術面等不同面向,進行積極的研究與合作。以下將引介美國之制度設計,藉此提供公務機關因應內部威脅議題之政策之參考。 貳、重點說明 一、內部威脅的定義與事件 有關資訊的價值,近來因內部威脅所帶來的損害類型已經隨著對於財產的定義與價值觀而產生變化。以產業為例,智慧財產權與企業機密,儼然成為內部人員所竊取的主要類型。企業可能因為智慧財產權或企業機密的外洩,導致企業喪失競爭力或甚至破產而關閉。如果把企業模型放大至國家或公務機關,「機密」對內部人員即成為最有價值的財產與籌碼,而公務機關可能因為內部威脅將機密外洩,造成對於國家、機關或人民產生公共安全,甚至是國家安全的危機。 (一)內部威脅的定義 外部威脅(External threat)」[3]係與內部威脅相對應之概念;外部威脅係指該威脅非由組織內部發生,而是由組織外部之人員或其他組織,透過一般的網際網路、互聯網系統,以未經授權之方式,對該組織之資訊設備,以植入惡意程式、或以駭客入侵等方式,進行侵入式的資訊系統攻擊,其目的係在於由外部取得該組織「有價值」的資訊。 為因應威脅,「威脅識別(Threat Identification)」成為威脅防禦之首要任務,按形成威脅的原因加以區分,大抵可分為「外部威脅(External Threat)」與「內部威脅(Insider Threat 或Internal Threat)」兩類。內部威脅係指例內部竊盜、系統失敗、惡意破壞、不遵守安全準則或是使用非法軟體等;相對外部威脅,係指自然災害,例如火災與地震,以及來自外部的惡意攻擊,例如盜賊、駭客、惡意程式,以及網路病毒等。[4] 「內部威脅」雖然被認知為威脅的一個種類,但是我國目前尚無對於「內部威脅」一致的定義。檢視外國對於「內部威脅」的定義,通常係指員工(含約聘僱人員)、或委外廠商為了個人利益、間諜活動或報復之意圖(「惡意(Malicious)」),對於資訊進行不正當之存取控制。「美國電腦緊急應變團隊(Computer Emergency Readiness Team, CERT)」認為內部威脅係指一位或多位具備存取控制(Access)的個人,意圖利用弱點侵入公司、組織,或企業的系統、服務、產品或設施,對於內部造成傷害。[5]「美國國防部減緩內部威脅計畫結案報告(Final Report of the Insider Threat Integrated Process Team, US Department of Defense, DoD Insider Threat Mitigation)」,內部威脅係指未經授權存取控制國防部資訊系統的人員,可能為軍事人員員工(Military Member)、國防部一般僱員(Civilian Employee )、其他聯邦機構員工,以及私部門等。[6] 由上述定義可得知,內部威脅係來自於組織單位的「內部」,如以行為人之意圖區分,又可細分為「惡意(Malicious)」與「過失」。因人員之過失所造成之內部威脅,大部分原因為人員對於資訊系統與之使用與管理不當所造成,例如,人員使用Email或即時通訊軟體,受到社交工程之攻擊,導致電腦被植入惡意程式或間諜軟體。另一則為本文所要研究的「惡意的內部威脅(Malicious Insider)」,係指內部人員利用合法存取權限,為超出於其授權使用之對象、時間、範圍、目的,與用途等之行為,並意圖對於單位組織或是特定人、事、物等造成傷害,或是謀取不當利益。 依據惡意內部威脅事件,大約可分為以下各類型:[7] 1.IT破壞(IT Sabotage) 現任或前任僱員、承包商,或業務合作夥伴,以故意超過或誤用授權級別,而存取控制網路或資訊系統或資料的方式,意圖損害一個具體的個人或組織,或該組織的數據、系統或日常業務之運作。 2.為經濟利益而進行盜竊或修改(Theft or Modification for Financial Gain) 現任或前任僱員、承包商,或業務合作夥伴,以故意超過或誤用授權級別,而存取控制網路或資訊系統或資料的方式,為經濟利益意圖竊取或修改機密或專有資訊。 3.為取得業務優勢而進行竊盜或修改(Theft or Modification for Business Advantage) 現任或前任僱員、承包商,或業務合作夥伴,以故意超過或誤用授權級別,而存取控制網路或資訊系統或資料的方式,為取得業務優勢而進行竊盜或修改機密或專有資訊。 4.其他(Miscellaneous) 現任或前任僱員、承包商,或業務合作夥伴,以故意超過或誤用授權級別,而存取控制網路或資訊系統或資料的方式,為非基於經濟利益或業務優勢,而進行竊盜或修改機密或專有資訊。 或通常會涵蓋二種以上的類型,例如:員工先行對於IT系統進行破壞,然後再試圖敲詐僱主,以協助他們恢復系統為條件換取金錢。另曾有案例為,一名前副總裁於結束工作前,複製客戶數據庫與銷售手冊,再向其他外單位組織兜售。[8] (二)內部威脅事件的發生與所造成的損失 依據CERT於2011年4月對於內部威脅控制的報告指出,以報告中123件資訊科技破壞(IT Sabotage)事件進行統計,內部威脅發生的時間為26%件事件發生於上班時間,35%發生於下班時間,另外39%件事件發生於不確定的時間。另外一項以內部威脅受到攻擊的地點來看,54%事件發生於進行遠端連線時,27%發生於公司所在地,另外19%發生於不特定之地點或場所。[9] 有關內部威脅對於公務機關機密維護所造成的危害嚴重程度很難估計,可能是因為內部威脅事件提報執法單位或是司法機關得比例較低。內部威脅事件通常因為證據不足、損害程度與花費於司法程序之時間、人力與費用無法平衡,或是因為提報對於公務機關的形象與信譽可能產生極大的負面影響,所以通常對於事件大抵只有表面上概略之描述。[10] 二、美國歐巴馬政府面對內部威脅之政策規範 美國傳統對於機密資訊由軍事單位依照軍事規定處理,不過,自從羅斯福總統於1940年發布第8381號行政命令,改變了這個機制。第8381號行政令,授權政府官員保護軍事與海軍基地。爾後,歷任總統以發布行政命令的方式,建置聯邦政府的機密分級標準。不過,羅斯福總統以經特定法規授權為由,後續總統則是以基於一般法律與憲法授權。[11]國會則不停的以其他立法,[12]設法平衡總統權利。 歐巴馬總統上任前歷經2001年911事件的壓力,[13]以及2010年維基解密等機密外洩事件,致使歐巴馬團隊對於資訊安全以及機密維護非常重視,除了推動開放政府(Open Government),促進政府政策更公開透明的民主治理外,對於資通訊安全(Cyber Security)、機密資訊外洩的通報機制,以及內部人員(Insider)所帶來的威脅,更是採取積極的作法。[14] 針對內部人員對於國家安全與機密外洩的問題,歐巴馬政權立即採取相對應的措施,於2011年發布第13587號行政命令:「增進機密網路安全與機密資訊有責分享及安全維護的結構性改革(Structure Reforms to Improve the Security of Classified Networks and the Responsible Sharing and Safeguarding of Classified Information)」,與因應第13587號行政命令所規範之「內部威脅」議題,於2012年11月21日發布「國家內部威脅政策和機關內部威脅方案的最低標準(National Insider Threat Policy and Minimum Standards for Executive Branch Insider Threat Programs)」的總統備忘錄。 部會或機關紛紛對於內部威脅採取相關防範措施,例如國務院(Department of State)對於涉及機密的網路,採用新的審查與監控的工具,而在國防部(Department of Defense)也開始開發自動偵測內部威脅的辨識系統。在情報系統方面,商務部(Department of Commerce)國家標準與技術中心(National Institute of Standards and Technology, NIST)與司法部(Department of Justice)聯邦調查局(Federal Bureau of Investigation, FBI)也訂立內部威脅指引,提供企業與機關單位遵循。情報系統委託Carnegie Mellon University的電腦緊急應變團隊(Computer Emergency Readiness Team,以下簡稱CERT)內部威脅中心(CERT Insider Threat Center)進行多項內部威脅的研究。 至今為止,歐巴馬政權對於內部威脅的防範,於法制政策提出下列各項規範: (一)總統第13587號行政命令:「增進機密網路安全與機密資訊有則分享及安全維護的結構性改革」 由於維基解密事件的爆發,使美國將機密的維護,從對於防止外在的攻擊,轉聚焦於機密資訊的內部威脅。事件發生後,國家安全人員馬上成立跨機關小組,檢視處理機密資訊的政策與實務作法,希望可以提出解決行政部門可共用的機制,以減少類似的事件再度發生。 跨機關小組歷時七個多月的檢討後,對於機密資訊的保護,與涉及機密資訊人員或機關間合理使用與分享資訊提出下列原則:加強跨機關資訊有責共享的重要性;確保政策、流程與技術的安全解決方案,與監督和組織文化的發展;強調聯邦政府對於資訊必須實施一致的作法;與確保隱私、公民權和自由的保護。[15] 歐巴馬團隊將上述原則落實至第13587行政命令,[16]成立監督的架構,發展與落實涉及機密的網路與資訊共享的政策與標準。指示各機關必須負起安全與機密維護的責任,並加強跨機關資訊的流通與保護,包括電腦網路的安全,與內部威脅的機制,以減低未來國家安全機密外洩的風險。 第13587號行政命令大抵分為下列各大項,除此之外,聯邦政府同時已經採行增進機密資訊網路與人員的控管,例如拆卸式媒體、網路身分管理、內部威脅方案(Insider Threat Program)、存取控制的管控(Access Control)、機密網路的審核,[17]項目分為: 1.機密資訊電腦網路系統之安全維護各機關單位負擔重要的責任; 2.設置「資深資訊分享與安全維護推動小組(Senior Information Sharing and Safeguarding Steering Office)」; 3.成立「機密資訊流通與保護局(Classified Information Sharing and Safeguarding Office, CISSO)」; 4.設置「維護網路機密資訊執行秘書」(Executive Agent for Safeguarding Classified Information on Computer Networks);與 5.設置「內部威脅專責小組(Insider Threat Task Force)」。 其中有關「內部威脅專責小組」的部分,跨機關的內部威脅專責小組將負責制定一個廣泛適用於公務機關內部威脅的方案。該方案的目標係為防止、檢測和減輕,包括利用、損害,或其他未經授權揭露機密資訊的內部威脅,並同時考量各機關單位所涉及的風險層級、業務與系統需求。解決方案亦應包含因應內部威脅的政策目標,建立和整合機關內部的安全與反間諜,用戶審查和監控等優先事項,以及其它機關的實作發展和保護能力。[18]除此之外,內部威脅專責小組還必須與相關單位合作,以促成政策的草擬與可行。[19] 專責小組的職責應包括下列: 1.制定並與行政機關協調,阻止、檢測和減輕內部威脅的政策,並提交至督導委員會檢閱; 2.與適當的機關合作,制定行政機關內部威脅方案的政策指引和最低標準,並於一年內發布,該相關指引和最低標準對於行政部門具拘束力; 3.如果有足夠的經費或經授權,繼續與適當單位合作,於一年之後,增修相關指引與最低標準; 4.如果沒有獲得足夠的經費或授權,建議由預算辦公室(Office of Management and Budget)或國家檔案與記錄管理局(National Archives and Records Administration)的資訊安全監督辦公室(Information Security Oversight Office, ISSO)於一年之後頒布相關指引與最低標準的增修版本; 5.如仍有任何未解決的問題,以致於延宕最低標準的公布,應將問題提交給督導委員會(Steering Committee); 6.按照專責小組所制定之方案,獨立評估相關機關單位是否適當的落實既定的政策和最低標準,並將評估結果向督導委員會提報; 7.提供機關單位援助,包括提供最佳實作案例以供參考;與 8.提供美國政府所分析的內部威脅新的困難與挑戰。 由上可見,第18537號行政命令勾勒出美國政府對於增進涉及機密網路與機密資訊網路的結構性改革。不但成立跨機關的內部威脅專責小組負責草擬內部威脅的政策,機關亦必須依照指示時程,落實內部威脅政策的偵測方案,以及監控其運作是否符合政策的目標。 (二)「國家內部威脅政策和機關內部威脅方案的最低標準」總統備忘錄[20] 雖然第13587號行政命令規定機關針對內部威脅將組成跨機關內部威脅小組,負責偵測與避免內部威脅,以增進對於機密資訊的保護,以及減低機密資訊被未經授權的存取控制或揭露的潛在弱點。然而,機關應該如何施行的細項尚未有細緻規範,仍需等待歐巴馬團隊進一步制定,以落實於聯邦政府所屬的公務機關。 緣此,美國總統歐巴馬於2012年11月21日發布「國家內部威脅政策和機關內部威脅方案的最低標準的備忘錄(National Insider Threat Policy and Minimum Standards for Executive Branch Insider Threat Programs)」,主要提供行政部門於防止、偵測與減低內部人員可能造成國家安全的威脅相關遵循方向與指引。因應內部威脅的能力將增進行政部門對於機密資訊的保護,並加強危及國家安全的敵對勢力或內部威脅的防禦。 這些威脅包括潛在的間諜活動,對國家或機關單位的暴力行為,以及未經授權揭露機密資訊,包括透過的美國政府互聯的電腦網路和系統處理的大量機密資料。該標準將提供機關單位建立有效的內部威脅所必要的要素。 目前標準的詳細內容尚未發布,不過,依據備忘錄大約可分為下列各項: 1.蒐集、整合、集中分析和應變主要威脅相關的資訊; 2.監控人員對於機密網路的使用; 3.提供人員對於內部威脅意識的培訓; 4.保護人員的公民、自由和隱私權。 參、事件評析 觀察美國一連串的改革,顯見維基解密事件對於美國政府產生非常大的衝擊,更加凸顯監控內部威脅對於國家與公務機關及其機密維護之重要性。歐巴馬團隊不但全面檢視其機密資訊管理與保護政策與法制,對機密資訊的管理與「內部威脅」的防範進行全面檢討,並對於配套標準及措施進行增修。 除對於傳統以人員監督威脅的存在外,應利用科技技術監控或查核人員的「異常」行為(如短期內大流量下載檔案/進入系統的紀錄、大流量轉出有附件的信件、近日來消費能力顯著高於所得或情緒異常低落或起伏極大等)或預定特定的現象作為潛在威脅的表徵證據,再進一步因應與確認內部威脅的存在。 最重要的是,該制度與措施要求全國公務機關一起合作落實,以及分享潛在內部威脅的異常警訊,才能真正達成減低公務機關對於內部威脅的防範。 [1]行政院退除役官兵輔導委員會,張維平,日晷第4期認識公務機關資訊安全問題,取自http://www.vac.gov.tw/files/Sundial-4Th_17.pdf(最後瀏覽日:2012年11月30日)。與公務機密維護宣導 --【從資安看如何防止公務機密資料外洩】近年來,隨著間諜軟體、木馬程式、釣魚網站等惡意攻擊日漸猖獗,世界各地傳出多起嚴重的資料外洩事件,當然台灣也不能倖免。外洩的資料包羅萬象,而其中最主要的內容是個人資料。資料外洩的起因不僅止於駭客所發動的各種資安攻擊,另外還有最令機關防不勝防的內賊。只要有心,要在機關內部竊取資料很容易,從辦公桌上亂放的機密文件、電子郵件、即時通軟體、網路硬碟、隨身碟,都可當作工具,如果機關(各單位)沒有危機意識,採取防範措施,資料外洩在所難免。鑑此,籲請各單位安全連絡員,加強單位自主管理,協助單位主管加強責任區安全檢查,共同維護機關公務機密與安全。 [2]中廣新聞網.海軍共諜案,國防部:才在發展階段,影響有限,(2012年10月29日),取自http://tw.news.yahoo.com/%E6%B5%B7%E8%BB%8D%E5%85%B1%E8%AB%9C%E6%A1%88-%E5%9C%8B%E9%98%B2%E9%83%A8-%E6%89%8D%E5%9C%A8%E7%99%BC%E5%B1%95%E9%9A%8E%E6%AE%B5-%E5%BD%B1%E9%9F%BF%E6%9C%89%E9%99%90-023752078.html(最後瀏覽日:2012年11月30日)。 國防部軍事發言人羅紹和表示,涉案的海軍大氣海洋局前政戰處長張祉鑫,在退役後透過友人介紹,認識中共官方人員,然後再透過軍中舊識,「謀取不法利益」,保防安全部門在今年三月間接獲檢舉,依法由反情報單位展開調查行動,並移請檢調單位協助調查,順利破獲本案。 [3]IT Law Wiki , External Threat , available at http://itlaw.wikia.com/wiki/External_threat (last accessed Jan. 12, 2013). [4]碁峰資訊,資訊安全概論與實務,取自http://epaper.gotop.com.tw/pdf/AEE030900.pdf(最後瀏覽日:2012年11月30日)。 [5]NIAC, The National Infrastructure Advisory Council's Final Report and Recommendations on The Insider Threat to Critical Infrastructure , (April 8, 2008), last available http://www.dhs.gov/xlibrary/assets/niac/niac_insider_threat_to_critical_infrastructures_study.pdf (last accessed Jan. 12, 2013). [6]US Department of Defense, DoD Insider Threat Mitigation-Final Report of the Insider Threat Integrated Process Team , available at http://www.dtic.mil/cgi-bin/GetTRDoc?AD=ADA391380 (last accessed Jan. 12, 2013). [7]Dawn Cappelli, Andrew Moore, Randall Trzeciak, and Timothy J.Shimeall, Common Sense Guide to Prevention and Detection of Insider Threats, 3rd Edition-Version 3.1, at 11, (Jan. 2009), available at www.cert.org/archive/pdf/CSG-V3.pdf(last accessed Jan. 12, 2013). [8]Dawn Cappelli, Andrew Moore, Randall Trzeciak, and Timothy J.Shimeall, Common Sense Guide to Prevention and Detection of Insider Threats, 3rd Edition-Version 3.1 , at 12, (Jan. 2009), available at www.cert.org/archive/pdf/CSG-V3.pdf(last accessed Jan. 12, 2013). [9]The Cyber Adviser, Invensys Critical Infrastructure & Security Practice, at 1, (Dec. 2011), available at http://iom.invensys.com/EN/pdfLibrary/CISP_Dec2011_vol3_Newsletter.pdf (last visited Jan. 10, 2013). [10]U.S. Secret Service and CERT/SEI, (Jan. 2008), Insider Threat Study: Illicit Cyber Activity in the Government Sector , at 5, available at www.cert.org/archive/pdf/ insiderthreat _gov2008.pdf (last visited Nov. 30, 2012) [11]Jennifer K. Elsea, The Protection of Classified Information: The Legal Framework, CONGRESSIONAL RESEARCH SERVICES, at 1, Jan. 10, 2011, available at www.fas.org/sgp/crs/secrecy/RS21900.pdf(last visited Nov. 30, 2012). [12]Id., at 2, 例如「1966年政府資訊公開法 (Freedom of Information, FOIA)」,「1995年情報授權法 (Intelligence Authorization Act)」、「2000年公共利益解密法 (Public Interest Declassification Act)」,與「2012年減少過度加密法 (Reducing Over-Classification Act)」。 [13]Paul Kenyon, The Enemy Within: Obama's Insider Task Force, Forbes, (Apr. 13, 2012), available at http://www.forbes.com/sites/ciocentral/2012/04/13/the-enemy-within-obamas-insider-threat-task-force/ (last visited Nov. 30, 2012). [14]FEDERATION OF AMERICAN SCIENTISTS, Obama Administration Documents on Secrecy Policy , available at http://www.fas.org/sgp/obama/index.html (last visited Nov. 30, 2012). 歐巴馬政權針對機密資訊發布多項正式文件,以年度區分,截至2012年11月30日止,包括下列:1.2009年:「機密資訊和受管控的非機密資訊的總統備忘錄 (Presidential Memorandum on Classified Information and Controlled Unclassified Information, May. 27, 2009)」、「第13526號行政命令-國家安全機密資訊 (Executive Order 13526: Classified National Security Information, Dec. 29, 2012)」,與「國家安全機密資訊施行令的總統備忘錄 (Presidential Memorandum on Implementation of the Executive Order on Classified National Security Information, Dec. 29, 2009)」;2.2010年:「第13549號行政命令-國家、地方、部落,和私部門實體的國家機密方案 (Executive Order 13549: Classified National Security Information Program for State, Local, Tribal, and Private Sector Entities, Aug. 18, 2010)」與「第13556號行政命令-受管控的非機密資訊 (Executive Order 13556: Controlled Unclassified Information, Nov. 4, 2010)」;3.2011年:「第13587號行政命令-增進機密網路安全與機密資訊有責分享及安全維護的結構性改革 (Executive Order 13587: Structure Reforms to Improve the Security of Classified Networks and the Responsible Sharing and Safeguarding of Classified Information, Oct. 7, 2011)」;4.2012年:「國家內部威脅政策和機關內部威脅方案的最低標準備忘錄 (National Insider Threat Policy and Minimum Standards for Executive Branch Insider Threat Programs, Nov. 21, 2012)」。 [15]THE WHITE HOUSE, Fact Sheet: Safeguarding the U.S. Government's Classified Information and Networks, (Nov.2011), available at http://www.whitehouse.gov/the-press-office/2011/10/07/fact-sheet-safeguarding-us-governments-classified-information-and-networ (last visited Nov. 30, 2012). [16]Exec. Order No. 13,587 (2011), available at http://www.whitehouse.gov/the-press-office/2011/10/07/executive-order-structural-reforms-improve-security-classified-networks- (last visited Nov. 30, 2012). [17]THE WHITE HOUSE, Fact Sheet: Safeguarding the U.S. Government's Classified Information and Networks, available at http://www.whitehouse.gov/the-press-office/2011/10/07/fact-sheet-safeguarding-us-governments-classified-information-and-networ(last visited Nov. 30, 2012). [18]Exec. Order No. 13,587 (2011), available at http://www.whitehouse.gov/the-press-office/2011/10/07/executive-order-structural-reforms-improve-security-classified-networks-(last visited Nov. 30, 2012). [19]Id. 專責小組應該與總檢察長(Attorney General)與國家情報局主任(Director of National Intelligence)或指定人共同擔任主席。內部威脅專責小組成員應該由國務院(Department of State)、國防部(Department of Defense)、司法部(Department of Justice)、能源部(Department of Energy)、國土安全部(Department of Homeland Security)部長所指定的人員,以及國家情報局主任(Director of National Intelligence)、中央情報局(Central Intelligence Agency),和國家檔案與記錄管理局(National Archives and Records Administration)的資訊安全監督辦公室(Information Security Oversight Office, ISOO)等所組成。工作人員必須由聯邦調查局和國家反情報辦公室長官(Office of the National Counterintelligence Executive, ONCIX)和其他機構,於法律所允許的範圍內配置。這些人員必須是官員,或是兼職或終身全職的美國員工。國家反情報辦公室必須提供內部威脅專責小組適當的工作場所,以及行政支援。 [20]美國總統依美國憲章擁有直接發布據法律效力的文件(Document),文件的種類根據事務類型之不同分為三大類:Executive orders(有連續編碼的行政命令)、Proclamation(公告)、Administration orders(無編號的行政命令),其下尚有不同的子分類,備忘錄則屬Administration orders下的子分類之一,總統所發布的文件效力相同,並無位階之分,http://www.archives.gov/presidential-libraries/research/guide.html(最後瀏覽日:2013年1月12日)。
Golan v. Holder: 美國高等法院確認公共領域之外國著作可取得著作權保護美國高等法院於2012年1月18日對Golan v. Holder案做出裁定,確認維持將目前在公共領域的外國著作納入著作權保護的聯邦法。Golan v. Holder案之主要爭點為,美國國會於1994年為符合伯恩公約及WTO「與貿易有關智慧財產權協定(TRIPS)」的規定,決議通過讓之前無法在美國取得著作權保護的外國著作可以回溯取得美國著作權,一夕之間近上百萬件於1923年至1989年之間在國外發表的著作在美國不再屬於公共領域,包括了許多經典的電影,名畫及交響樂等,這個法案引起了許多樂團指揮家、表演者、老師、電影檔案保管者及電影發行商等人士的不滿,因為他們將無法像之前一樣無限制的使用這些著作。 美國聯邦地區法院於2009年曾判定認為恢復屬於公共領域的外國著作的著作權違反了保障言論自由的美國憲法增修條文第一條,但高等法院以6:2的多數意見認為,恢復公共領域的外國著作的著作權保護並不違反憲法修文第一條及憲法下的著作權條款。身為著作權擁有者,這個裁定對電影與音樂業者可以說是場勝戰,但對Google建立電子圖書館的計畫則將是個挑戰,Google表示這將使他們無法把近一千五百萬冊書籍的內容公開在網路上提供,並且也會影響到他們已完成電子化的上百萬冊書籍的使用。