馬來西亞個人資料保護法之發展仍有諸多不確定因素
馬來西亞於2010年6月即通過個人資料保護法，延宕經年，該法終於自2013年底開始正式施行，而數項配套規範亦同步施行。前個資保護部門首長Abu Hassan Ismail則被任命為新設之個資保護專員，受通訊及多媒體部部長之指揮監督。
從規範內容架構觀察，馬國此部個資法之範疇堪稱恢弘，不但包括了諸多的實質行為規定，例如，在行為規範的面向上，馬國個資法要求其所謂的資料使用者（data user） 必須遵守多項個資保護原則並尊重當事人權利；此外，該法亦有不少與個資保護相關之組織及程序規則，例如，該法設有行政救濟法庭，如對個資保護專員之決定有所不服者，即可在此提出救濟。惜該法之適用對象不包括公部門，且在適用情形方面，除排除了純粹因個人或家庭目的而蒐集、處理、利用個人資料外，亦針對諸多情形分別排除該法所設之不同個資保護原則之適用，且更賦予個資保護專員另行指定排除適用情形之權限，因而除將相當程度限制該法影響範圍外，並使該法之適用與發展增加許多不確定之因素。
美國各州逐步研議透過立法豁免企業資安事件賠償責任 資訊工業策進會科技法律研究所 2024年06月10日 為鼓勵企業採用資安標準與框架，美國已有幾州開始透過立法限縮企業資安事件賠償責任，企業若能舉證證明已符合法令或遵循業界認可之資安框架和標準，則於資安攻擊事件所致損害賠償訴訟中，將無需承擔賠償責任。 壹、事件摘要 為避免有心人士於未取得經授權下近用網路和敏感資料，企業往往投入大量資源打造資安防護架構，惟在現今網路威脅複雜多變的環境下，仍可能受到惡意資安攻擊，導致資料外洩事件發生，導致企業進一步面臨訴訟求償風險，其中多數指控為未實施適當的資安措施。為此美國佛羅里達州和西維吉尼亞州研議透過立法限縮企業之資安事件賠償責任，以鼓勵企業採用資安標準、框架與資安相關法令。 貳、重點說明 繼美國俄亥俄州[1]、猶他州[2]和康乃狄克州[3]相繼頒布法令，讓已實施適當安全維護措施之企業，豁免資安攻擊所致資料外洩之損害賠償責任，佛羅里達州和西維吉尼亞州近期亦提出相似法案，以下介紹兩州法案之重點： 一、佛羅里達州 美國佛羅里達州於2023年11月公布《資安事件責任法案》 （H.B 473: Cybersecurity Incident Liability）[4]，法案納入「安全港條款」（Safe Harbor），當企業遭受資安攻擊致生個資外洩事件，如可證明已遵循產業認可的資安標準或框架，實施適當的資安措施與風險控管機制，則可免於賠償責任，以鼓勵企業採納資安標準或框架。 為適用安全港條款，企業須遵循佛羅里達州資訊保護法（The Florida Information Protection Act），針對資料外洩事件，通知個人、監管機關和消費者，並建立與法案內所列當前產業認可的資安標準、框架，或是特定法令規範之內容具一致性的資安計畫（Cybersecurity Programs）： （一）當前產業認可的資安標準、框架 1. 國家標準暨技術研究院（National Institute of Standards and Technology, NIST）改善關鍵基礎設施資安框架（Framework for Improving Critical Infrastructure Cybersecurity）。 2. NIST SP 800-171－保護非聯邦系統和企業中的受控非機密資訊。 3. NIST SP 800-53 和 SP 800-53A－ 資訊系統和企業的安全和隱私控制/ 評估資訊系統和企業中的安全和隱私控制。 4. 聯邦政府風險與授權管理計畫（Federal Risk and Authorization Management Program, FedRAMP）安全評估框架。 5. 資安中心（ The Center for Internet Security, CIS）關鍵安全控制。[5] 6. ISO/IEC 27000系列標準。 7. 健康資訊信任聯盟（The Health Information Trust Alliance, HITRUST）通用安全框架（Common Security Framework）[6]。 8. 服務企業控制措施類型二（Service Organization Control Type 2, SOC 2）框架。 9. 安全控制措施框架（Secure Controls Framework）。 10. 其他類似的產業標準或框架。 （二）特定法令規範 企業（entity）如受以下法令規範，亦得適用安全港條款，如法令有修訂，企業應在發布修訂後的一年內更新其資安計畫： 1. 健康保險可攜與責任法（The Health Insurance Portability and Accountability Act, HIPAA）之安全要求。 2. 金融服務現代化法（The Gramm-Leach-Bliley Act）第五章。 3. 2014 年聯邦資訊安全現代化法（The Federal Information Security Modernization Act of 2014）。 4. 健康資訊科技促進經濟和臨床健康法（The Health Information Technology for Economic and Clinical Health Act, HITECH）之安全要求。 5. 刑事司法資訊服務系統 （The Criminal Justice Information Services, CJIS）安全政策。 6. 州或聯邦法律規定的其他類似要求。 該法案雖於2024年3月5日經佛羅里達州參議院三讀通過，但於2024年6月26日遭州長否決[7]，其表示法案對於企業的保障範圍過於廣泛，如企業採取基礎的資安措施與風險控管機制，便得主張適用安全港條款，將可能導致消費者於發生個資外洩事件時，無法受到足夠的保障。州政府鼓勵利害關係人與該州網路安全諮詢委員會（Florida Cybersecurity Advisory Council）合作，探求法案的替代方案，以保護消費者資料。 二、西維吉尼亞州 美國西維吉尼亞州於2024年1月29日提出眾議院第5338號法案[8]，修訂西維吉尼亞法典（Code of West Virginia），增訂第8H章資安計畫安全港條款（Safe Harbor for Cybersecurity Programs），如企業符合業界認可的資安標準、框架或依特定法令建立與實施資安計畫，包含個人資訊和機敏資料的管理、技術和企業保障措施，將能夠於侵權訴訟中，主張適用避風港條款。 法令內明列評估企業所建立的資安計畫規模和範圍是否適當之要素，包含： 1. 企業的規模和複雜性； 2. 企業的活動性質和範圍； 3. 受保護資訊的敏感性； 4. 使用資安防護工具之成本和可用性； 5. 企業可運用的資源。 （一）當前產業認可的資安標準、框架 除與佛羅里達州法案所列舉業界認可的資安標準之前六項相同，另增加： 1 NIST SP 800-76-2個人身分驗證生物辨識規範（Biometric Specifications for Personal Identity Verification）[9]。 2. 資安成熟度模型認證（The Cybersecurity Maturity Model Certification, CMMC）至少達到第2級，並經外部驗證（external certification）。 （二）特定法令規範 除與佛羅里達州法案所列舉特定法令之前四項相同，另增加：由聯邦環境保護局（Environmental Protection Agency, EPA）、資安暨基礎設施安全局（Cybersecurity and Infrastructure Security Agency, CISA）或北美可靠性公司（North American Reliability Corporation）[10]所採用任何適用於關鍵基礎設施保護的規則、法規或指南。 惟目前法案已於2024年3月27日被西維吉尼亞州長否決[11]，其表示透過安全港條款鼓勵企業實踐資安框架雖立意良好，但也可能遭濫用而帶來不當影響，例如TikTok等大型國際企業，如在違背公民意願情況下共享個人資料時，將免於訴訟，恐有損其公民權益，未來州政府將與利害關係人持續進行協商。 參、事件評析 佛羅里達州和西維吉尼亞州近期同步公布有關限制企業於資安事件之責任相關法案，內容亦為相似，西維吉尼亞州之法案目前已遭否決，主要係擔心該豁免條款遭到不當濫用；佛羅里達州之法案亦因對於企業保障過廣與無法保障消費者個資安全考量，而遭州長否決。 法案中明列受產業普遍認可的資安標準、框架與政府所頒布特定法令，有助企業明確遵循與採納，建立與實施資安計畫，惟如何舉證所建立之資安計畫或實施之資安措施，與法案所列之資安標準、框架，或是特定法令規範，具有實質上的一致性，仍不明確，將可能阻礙企業於訴訟上行使抗辯與主張責任豁免權。未來美國如何權衡產業穩健發展與民眾個資保障，仍有待持續觀察。 [1] Chapter 1354 - Ohio Revised Code, Ohio Laws, https://codes.ohio.gov/ohio-revised-code/chapter-1354 (last visited May 24, 2024). [2]Part 7 Cybersecurity Affirmative Defense Act, Utah StateLegislative, https://le.utah.gov/xcode/Title78B/Chapter4/78B-4-P7.html (last visited May 24, 2024). [3]Frederick Scholl, Connecticut’s New Breach Notification and Data Security Laws: Carrots and Sticks, Quinnipiac University, July,1,2021,https://www.qu.edu/quinnipiac-today/connecticuts-new-breach-notification-and-data-security-laws-2021-07-01/ (last visited May 24, 2024). [4]CSHB 473-Cybersecurity Incident Liability, The Florida Senate,https://www.flsenate.gov/Session/Bill/2024/473 (last visited Jun. 28, 2024). [5]資安中心（ The Center for Internet Security, CIS）為美國非營利組織，負責推動CIS Controls，針對實際發生的資安攻擊行為提供防禦建議，作為企業保護 IT 系統和資料時可參考之最佳實務作法。資料來源：About us, Center for Internet Security, https://www.cisecurity.org/about-us (last visited Jun. 6, 2024). [6]What is HITRUST?, Schneider Downs,https://schneiderdowns.com/cybersecurity/what-is-hitrust/ (last visited May 24, 2024). [7]Governor of Florida, Vote letter for House Bill 473(2024), https://www.flgov.com/wp-content/uploads/2024/06/Veto-Letter_HB-473.pdf (last visited Jun. 28, 2024). [8]2024 REGULAR SESSION ENROLLED Committee Substitute for House Bill 5338, WEST VIRGINIA LEGISLATURE,https://www.wvlegislature.gov/Bill_Status/bills_text.cfm?billdoc=hb5338%20sub%20enr.htm&yr=2024&sesstype=RS&i=5338 (last visited May 24, 2024). [9]NIST SP 800-76-2 Biometric Specifications for Personal Identity Verification, National Institute of Standards and Technology, https://csrc.nist.gov/pubs/sp/800/76/2/final (last visited May 24, 2024). [10]北美電力可靠性公司（North American Electric Reliability Corporation, NERC），為一家非營利機構，致力推動關鍵基礎設施保護相關標準，以強化北美大規模電力系統（亦即電網）的可靠性和安全性，資料來源：https://www.nerc.com/Pages/default.aspx (last visited May 24, 2024). [11]Governor of West Virginia, Enrolled Committee Substitute for House Bill 5338(2024),https://www.wvlegislature.gov/Bill_Text_HTML/2024_SESSIONS/RS/veto_messages/HB5338.pdf (last visited May 24, 2024).
淺談我國經濟部能源局建築能源效率管制措施淺談我國經濟部能源局建築能源效率管制措施 科技法律研究所 2013年3月25日 壹、事件摘要 行政院2012年9月份核定「經濟動能推升方案」，擘畫台灣2030年經濟藍圖。在該方案中，乃明示能源永續發展的重要性。經濟部能源局於2013年3月份公告修正「指定能源用戶應遵行之節約能源規定」，針對22,349家空調設備用電大之觀光旅館、百貨公司、零售式量販店、連鎖超級市場、連鎖便利商店、連鎖化妝品零售店、連鎖電器零售店及銀行、證券商、郵局、大眾運輸場站及轉運站等合計11類業者，實施「冷氣不外洩」、「禁用白熾燈泡」及「室內冷氣溫度限值」規定，預估每年可節省2,158萬度電。 經濟部能源局表示，11類服務業100年總用電量約71億度，其中空調用電量約占41%。觀鄰近中國大陸、南韓、日本政府均已針對營業場所訂有夏季室內空調溫度，並由公部門帶頭示範。台北市政府自2011年起亦開始推動「營業及辦公場所室內冷氣平均溫度須保持在攝氏二十六度以上」規定，實施至今有效促使約700家能源用戶(契約容量超過300kW)之空調均溫維持於二十六度，實施結果由99年不合格率32.3%，至101年不合格率降低為4.9%，顯示執行該規定有效可行。 貳、重點說明 經濟部能源局新修正公告之「指定能源用戶應遵行之節約能源規定」，乃著眼於建築物內部耗能之管制，而該管制措施乃近年來歐、美等先進國家亟力促進推動的建築能源效率(energy efficiency)議題。 參、事件評析 據統計，建築物耗能占人類經濟活動總碳排放量40%，而台灣地區舊建築物約莫占整體建築物97%，如何有效提升舊建築物本身之能源效率為重要課題。查內政部建築研究所之相關研究，建築物節能主要含括三個面向 - 外殼節能、空調節能及照明節能，因建築外殼節能為內政部營建署之管轄範疇，故經濟部能源局僅就建築物之空調節能及照明節能進行管制，本文將以美國聯邦能源部(Department of Energy, DOE)相關之法制政策為比較探討。 美國聯邦政府於2011年2月份正式啟動「更佳建築倡議」(Better Building Initiative)，於2012年12月份能源部(Department of Energy, DOE)發布之進度報告(Progress Report)指出，目前建築能源效率存有若干投資障礙，第一，尚缺少能源效率投資成本節省之實證數據；第二，尚缺少潛在市場和技術解決方案之相關資訊；第三，能源效率作為商業最佳實踐尚未普遍被接受。基此，能源部將致力於促進能源效率投資並強化聯邦公部門示範作用等手段。 在促進能源效率投資上，因市場尚缺乏相關數據資訊，難就能源效率之市場價值進行驗證；將研議相關機制，作為未來融資和建築物改善的基礎。另在聯邦公部門強化示範作用上，將透過聯邦能源管理計劃(Federal Energy Management Program, FEMP)和節能績效契約(Energy Savings Performance Contract, ESPC)，持續強化能源技術服務公司(Energy Service Companies, ESCO)進行聯邦建築物節能效益之提升和擔保。 此外，於該倡議旗下之「更佳建築挑戰」(Better Building Challenge)乃鼓勵民間部門之參與。以美國百貨業龍頭梅西百貨(Macy)為例，其承諾將透過能源資訊系統(EMS)之使用、觀察及分析，找出佔地一億七千九百萬平方呎的商業樓地板面積之關鍵能源機會。照明方面，該公司也以超過一百萬盞LED燈之替換與重點照明，在過去三年內減少了百分之七十的照明能源消耗。 綜上觀察，我國能源局新修正「指定能源用戶應遵行之節約能源規定」下「禁用白熾燈泡」規定，乃禁止十一類業者使用二十五瓦特以上之白熾燈泡於一般照明用途，近似於美國梅西百貨於「更佳建築挑戰」下所承諾之LED重點照明之實踐。此外，借鏡美國經驗，我國宜研議建立起台灣建築能源效率數據資訊之系統資料庫，助於未來舊建築改善市場之發展。
IE壟斷瀏覽器市場遭歐盟裁罰，股東狀告微軟公司針對2013年微軟因Internet Explorer瀏覽器壟斷問題遭歐盟裁罰，微軟股東Kim Barovic於2014年4月11日向美國華盛頓西區聯邦地區法院（U.S. District Court, Western District of Washington）提出告訴，控告包括微軟公司創辦人Bill Gates與前任CEO Steve Ballmer等高層在整起事件中決策失誤、處理不當，致使公司承受鉅額罰款，蒙受重大損失，且董事會亦未善盡職責，徹查事件發生之原因。 2013年3月，身為歐盟反壟斷監管機構的歐盟執委會（European Commission），以微軟公司自2011年5月至2012年7月間發布的Windows 7 Service Pack系統更新，未提供超過1500萬用戶除了預設IE瀏覽器以外其他上網程式的選擇，顯然未履行該公司於2009年對歐盟做出的具有法律拘束力的承諾（即確保歐洲地區的消費者有選擇網路瀏覽器的自由）為由，對該公司之義務違反處以7億3100萬美元的天價裁罰，這也是歐盟執委會首次對違反此項義務的公司開罰。 本起訴訟是自2013年事件發生以來，首次有股東向微軟公司提告。原告Kim Barovic在訴訟中要求徹查決策錯誤的發生原因並懲處管理階層的相關失職人員。她說，董事會表示：「經調查，無證據顯示有任何現任或前任主管或經理人違反受託人義務。」微軟則於11日發布聲明：「Barovic請董事會調查其要求，還對董事會與公司管理階層提告。董事會已經完整地考量過其要求，但找不到官司成立的根據。」
Burberry 已向TJX Cos提出商標侵權訴訟Burberry是一家專門生產奢華服裝、圍巾、提袋等產品之品牌公司，於今年3月3日在Manhattan聯邦法院向以低價經營為主的TJX Cos公司提起商標侵權訴訟，因旗下TJ Maxx、Marshalls及HomeGoods商店，販售許多各式各樣之仿冒品。 Burberry以稱為” Burberry Check (Burberry格紋)”聞名，其格紋是以十字交叉設計並使用駝色、紅色、黑色及白色作為商標。並聲明其商標是著名的，且象徵Burberry是專門生產及提供高品質奢華產品的公司。此一訴訟指控TJX Cos其零售商於過去四年販售許多商標侵權之產品，如：外套、相框、polo衫、圍巾及旅行箱等。更指出TJX Cos是以試圖”吸引Burberry之目標客戶，進而造成Burberry的損失作為其獲利的來源。”然而TJX Cos之發言人Sherry Lang發表聲明，針對Burberry的指控表示”遺憾”且”並非意圖欺騙任何人，使其相信他們所購買的是Burberry的產品”。現已聯繫此爭議中所販售相關產品之零售商。 目前Burberry正尋求終止此侵權產品之販售，銷毀未授權產品，並要求TJX Cos作改善廣告聲明、三倍損害賠償及其他許多矯正措施。 於Burberry提起訴訟的同一周內，以手提袋及公事包製造聞名之公司Coach也向低價折扣零售商Kmart Corp，提起類似之侵權訴訟。