為防止網路服務企業,在提供網路服務上替客戶連接寬頻網路(Breitbandanschluss)時,僅准許使用自家公司提供之路由器(Router),進而導致路由器或數據機(Modem)市場之壟斷狀況,違反市場自由競爭,德國聯邦內閣政府於2015年8月12日決議通過德國聯邦經濟暨能源部(Bundesministerium für Wirtschaft und Energie)於2015年2月25日所提出之「電信終端設備連接與自由選擇法草案」(Gesetz zur Auswahl und zum Anschluss von Telekommunikationsendgeräten)。
透過該草案,德國廣播電台與電信發射設施法(Gesetz über Funkanlagen und Telekommunikationsendeeinrichtungen)新增條文,以確保所有的終端設備(Endgeräten)列為市場自由化之對象。透過法定市場自由化的規範亦達成歐盟貨物公開及自由流通(free movement of goods)之原則。
該草案亦修定德國電信法(Telekommunikationsgesetz),「客戶之網際網路接取」現被定義為「被動式網絡終端點(passiver Netzabschlusspunkt)」。亦即,網路的架構設定與規劃,以往通常為電信業者所指定及管理,並包括路由器在其中,然而透過新法之修訂,已將路由器排除在被動式網絡終端點外,反而明確定義為積極終端設備(aktives Endgerät)。電信業者的管轄管理權限,以草案之修訂在路由器端前就會被設限。因此,讓網際網路使用者自己可使用自己裝置的路由器來定義自身的積極連接點(aktives Zugangspunkt)。
然而,網路營運者仍然可以提供其客戶終端設備,像是路由器或網路數據機,但透過該草案,客戶現可擁有終端產品的選擇權,而不致被迫使用被指定之網路終端設備。
加拿大財政委員會主席克萊門(Tony Clement),概述了加拿大政府對於保護加拿大公民隱私的步驟,並詳細的列出政府機關官員對於隱私保護違犯行為的案件量。 政府對於看待人民隱私保護這件事情是非常重視的,特別是如何妥當的處理具敏感性個人資料的這個部分,我們認為是關鍵性的重點」部長克萊門表示。 人力資源及技能發展部部長芬蕾(Diane Finley)說:「我們對於所有違犯事件都會非常認真的面對,任何錯誤都是不能被接受的,為了預防和對抗將來可能發生的事故,我已經下達指示要求徹查本部門下所有員工處理個人資料的作業程序、更新網路防護機制以禁止入侵,機關人員需接受強制性的教育訓練,學習如何處理敏感性和個人資訊。我們政府一直持續推動保護個人資訊的安全維護措施、強化隱私保護、當有任何事故發生時,會執行嚴格的通報機制及規劃完善的應變措施」。 自2006年以來,政府所採取加強隱私保護,並實行嚴格通報機制的新興措施包括: 1.向隱私權委員會通報隱私侵害事故,並採取迅速措施進行解決 2.完成隱私衝擊評估,以建置新的或實質性修正相關措施與行動 3.徹底落實隱私權保護措施命令,要求所有聯邦政府機構必須建置解決侵犯隱私事件的應變計畫 4.制訂隱私權保護政策,要求所有聯邦政府機構,若發現有任何可能侵害加拿大公民隱私的行為時,必須立即通知隱私權委員會辦公室 5.為因應各類新型侵害隱私權之事件,應持續建立新的應變指引,協助各機構有統一的辨識標準和阻止措施。 「在最新年度報告中,隱私權委員會指出,退伍軍人事務局已經明確的公告隱私權保護是現階段非常重要的業務項目,該局正積極建立相關維護措施和計畫。」布萊尼部長表示。 「我們將繼續努力,與隱私權委員會辦公室密切合作,確保加拿大公民的隱私權保護」,部長克萊門回應道
歐洲區塊鏈數位基礎設施聯盟預計於2024年正式開始運作,將進一步擴大推動區塊鏈的公共應用服務歐洲區塊鏈夥伴關係(European Blockchain Partnership, EBP)的成員於2023年6月正式向歐盟執委會(European Commission, EC)申請成立區塊鏈的「歐洲數位基礎設施聯盟」(European Digital Infrastructure Consortium, EDIC),若審核通過,未來歐盟將有一個正式的機構負責推動區塊鏈的發展與應用。 歐盟執委會於2023年1月發布了「2030年數位十年政策計畫」(Digital Decade Policy Programme 2030, DDPP),為促進歐盟數位轉型的大規模部署及能力建構,達到DDPP所設定的具體目標,執委會提出跨(多)國專案(Multi-Country Projects, MCPs)的概念,期待整合歐盟、各成員國、私部門的資源,以實現單一成員國無法獨立部署的數位化基礎設施。 執委會參考2009年開始陸續成立的「歐洲研究基礎設施聯盟」(European Research Infrastructure Consortium, ERIC),提出了「歐洲數位基礎設施聯盟」(EDIC)的規劃。EDIC並非由歐盟的資助計畫支持,而是由成員國申請(至少要包含3個成員國)成立以執行MCPs,EDIC具有法人格,並有獨立的財務來源;此外,EDIC成立後開放私部門參加。 2023年3月執委會發布的「數位歐洲2023~2024年工作計畫」(Digital Europe Work Programme 2023-2024)中,即將「區塊鏈」列為MCPs的重要發展項目之一。2023年6月15日於瑞典舉辦的歐盟數位大會(Digital Assembly 2023)上,執委會表示EBP及歐洲區塊鏈服務基礎設施(European Blockchain Services Infrastructure, EBSI)的相關成員國已遞交EDIC的申請。 斯洛維尼亞共和國(Republic of Slovenia)的區塊鏈小組負責人Nena Dokuzov是成立聯盟的主要推動者之一,其受訪時表示,EBSI從2018年以來,主要是由執委會以專案方式支持,未來聯盟成立以後,將能集結更充足的資源,強化歐洲區塊鏈的治理和穩定性,進一步地擴大推動歐洲區塊鏈的公共應用服務。我國「司法聯盟鏈」於2022年成立,為我國第一個跨部會、大規模的區塊鏈應用案例,並制定了跨組織協作標準規範(簡稱b-JADE),未來可持續觀測歐盟區塊鏈聯盟的發展,作為我國的參照。 本文同步刊登於TIPS網站(https://www.tips.org.tw)
紐西蘭個人資料隱私主管機關提供事業選擇雲端運算廠商之檢視工具雲端運算具有降低資訊營運成本、資料集中化管理等正面效益,因此,許多事業紛紛選擇將資料轉而儲存至雲端運算設備。 事業會評估多項因素做為選擇雲端運算廠商之依據,這些因素包含資料隱私防護程度、權限控管功能等。為提供事業更有效率及精準地選擇雲端運算廠商,紐西蘭個人資料隱私主管機關(Privacy Commissioner)特別諮詢及訪談了當地使用雲端運算的企業及政府單位,彙整其所提供之經驗與意見後,撰寫檢視雲端運算廠商之指導原則。該原則不僅著重於協助中小企業如何有效管理上傳及儲存於雲端運算或其他委外設備儀器資料之隱私及安全性,另還發展出10項檢視要點,提供企業做為選擇評估之自我檢視工具。 10項檢視要點分別為:(1)評估事業所能承受之風險等級與擁有之資源,選擇相對應的雲端運算供應商與類型;(2)確認所上傳至雲端運算之資料對於當事人隱私之重要程度;(3)確認事業所需承擔之所有責任;(4)資料傳輸過程與儲存位址之安全維護措施;(5)確認雲端運算供應商條件是否符合資格;(6)確認與雲端運算供應商所簽合約之涵蓋範圍及條件保障;(7)對資料提供者踐行告知義務並建立完善之回應機制;(8)了解資料儲存城市或地點,並確認該地區所提供之隱私保護制度與侵害申訴管道;(9)資料使用及接觸之人員權限管理;(10)雲端運算供應商服務契約終止後資料之處理及提供方式。 紐西蘭個人資料隱私主管機關相信,事業必須確保傳輸至雲端運算資料之隱私及安全能受到一定程度之保護,才能避免其商譽及信譽受到損害。
加州消費者隱私保護法修正法案重點說明隨著個人資料保護意識的興起,各國也持續增修法律來保護人民權益以及協調產業標準,但這變動的過程會對本來就複雜的法律結構帶來更多挑戰。 如美國同時會有聯邦法與州法兩個層次的法律,當兩者分別發展隱私權相關法律規範時,難免會缺乏協調,出現定義不明的重疊規範,進而提高企業之法令遵循成本與管理成本。最終導致的結果,就是非必要地降低了產業發展速度,以及提高了消費者獲得服務的成本。 日前美國加州政府修改了首部以消費者個人資料權利為規範之州級法律「加州消費者隱私保護法(California Consumer Privacy Act, CCPA)」,使該部法案對於個人資料保護與利用之規範日漸完備,並減少與聯邦政府重複管轄項目,進而達到合理降低州內企業的遵法成本。美國加州州長紐松(Gavin Newsom)簽署的CCPA修正案「AB-713號法案」(Assembly Bill No. 713, an act to amend Sections 1798.130 and 1798.145 of the Civil Code )通過後,CCPA之適用範圍將限縮。若「同時符合」下列二者條件,則可免受CCPA規範: 受「加州醫療資訊保密法」(the California’s Confidentiality of Medical Information Act, CMIA)所規範的的醫療資訊及個人健康資訊之衍生資訊,或受「美國聯邦受試者保護通則」(Federal Common Rule for human research subjects) 所規範的可識別之個人資訊。 根據「健康保險可攜性及責任法」(Health Insurance Portability and Accountability Act, HIPPA)之標準,已去識別化的資訊。 換言之,已經依HIPAA標準去識別化之第一點資訊,即可豁免CCPA針對個人資料保護之相關規定。此將減輕本身不受 HIPAA 規範,但因進行研究或業務目的需接收 HIPPA 去識別化資訊企業之合規負擔。 「AB-713號法案」對於已去識別化資訊之利用或販售行為,增設了契約須載明下列規範架構之條款內容: 如有利用或販售去識別化資訊涉及病患資料者,須在契約中予以聲明。 禁止買受人或被授權利用人以任何方式重新識別去識別化資訊。 除法律另有規定,或第三方受到相同或更嚴格限制之個資保護約束,買受人或被授權利用人不得將去識別化資訊再行揭露予第三方。 「AB-713號法案」亦要求進行CCPA所涵蓋販售或揭露去識別化病患資訊的企業,其隱私政策聲明應納入以下內容: 將出售或揭露去識別化病患之資訊; 採用HIPAA所允許如專家法(Expert determination)或安全港法(Safe harbor)等之何種方式,進行病患資訊之去識別化。 整體來說,「AB-713號法案」讓CCPA的規範稍加鬆綁,明確排除CCPA對特定去識別化資訊之適用,並擴張對研究行為之豁免範圍,在處理上有更多彈性,惟同時也要求企業須充分揭露其個人資料處理原則。