2016年生物支付技術將可能取代傳統支付型態
根據美國公共電視台在2016年1月6日的新聞，指出生物支付將可能成為新興支付工具。生物支付之定義為利用生物辨識(biometric)技術驗證個人生物特徵，諸如：指紋、虹膜等進行支付。採用生物支付技術，未來將無須使用信用卡或行動裝置，僅需要個人生物特徵之辨識即可完成交易。此轉變將使未來交易更加快速、便利，但同時，生物支付的安全性卻也不無疑義。
即便生物辨識屬於高層級的資訊安全保護機制，但水能載舟，亦能覆舟。生物辨識利用生物不可變之特性進行身分識別，涉及高度個人隱私，為妥善保護個人資訊安全，需訂立生物辨識相關規範加以管制，否則將衍生許多法律問題。
例如：在2015年6月，美國線上出版商Shutterfly公司被控訴違法蒐集個人資料。原告稱其並非Shutterfly公司之註冊使用者，也從未同意其生物辨識資訊被該公司蒐集，但其面紋(Face print)卻被上傳至該公司網站，並標註姓名，儲存在自動針對相片標記臉部辨識系統之資料庫。
依據BIPA針對生物辨識定義及蒐集規範：
1.第10條：
生物辨識之態樣，包含視網膜、虹膜掃描、指紋或是手部、臉部外觀之掃描，但不包括簽名、照片、用於科學檢測之人體樣本、頭髮顏色等。
2.第15條(a)：
規定公司蒐集個人生物特徵資訊應有相關規範供公眾查閱，並應提供生物辨識資訊之保管及銷毀日期及相關資訊。
3.第15條(b)(1)：
蒐集生物辨識資訊應告知當事人。
Shutterfly公司提出要求法院不受理之抗辯，主張BIPA規定之臉部外觀，其文意解釋應為物理上個人親自接受掃描所得之資訊，並非原告所主張以照片辨識之臉部外觀，但法院認為Shutterfly之主張並不合理，因此同意受理此案。
觀察該案可發現，儘管生物辨識提高資訊安全之保護，但相關法規範解釋仍待實務完備。另一方面，生物特徵資訊極易被他人蒐集，因此，如何建置蒐集個人辨識資訊及完善相關措施，也是推行生物支付措施所需突破的關口。
蔡毓華
法律研究員 編譯整理
Someday Soon， You May Pay Your Restaurant Bill With A Retina Scan， January 6， 2015 http://www.npr.org/2015/01/06/375253947/someday-soon-you-may-pay-your-restaurant-bill-with-a-retina-scan (last visited Jan. 13， 2016)
Illinois Federal Court Allows Biometric Data Privacy Suit to Proceed， January 8， 2016 http://www.technologylawdispatch.com/2016/01/privacy-data-protection/illinois-federal-court-allows-biometric-data-privacy-suit-to-proceed/ (last visited Jan. 13， 2016)
(740 ILCS 14/) Biometric Information Privacy Act. http://www.ilga.gov/legislation/ilcs/ilcs3.asp?ActID=3004&ChapterID=57 (last visited Jan. 13， 2016)
美國《雲端法》（CLOUD Act），全名為《釐清境外合法利用資料法》（Clarifying Lawful Overseas Use of Data Act），於2018年3月23日頒布生效，該法更新《1986年儲存通訊紀錄法》（Stored Communications Act of 1986），並釐清海外資料合法取得：無論資料儲存地在美國境內或境外，美國執法機構均可合法請求通訊紀錄的保存或揭露。 《雲端法》有兩大重點：首先，《雲端法》授權美國與其他值得信賴的國家進行雙邊協議，以取得重大犯罪之電子證據。其他國家必須擁有相應的完善法規、隱私、公民權利之保護，方具備與美國簽署雙邊協議的資格。透過雙邊協議，締約雙方可憑對方國家的搜索票等法律文件，直接對通訊服務提供者強制執行。其二，《雲端法》闡明美國與相當多國家長久以來的原則─假設一間公司在特定國家的司法管轄權範圍內，則其所產生的資料應接受該國的管制，資料儲存地為何，在所不問。 《雲端法》的立法背景可以追溯到2013年美國聯邦調查局（Federal Bureau of Investigation, FBI）進行緝毒受阻。當時，涉案美國公民的電子郵件存於微軟境外伺服器，FBI持有搜索令，但是微軟以《1986年儲存通訊紀錄法》管轄範圍不及於美國境外為由，拒絕提供系爭電子郵件。2016年聯邦第二巡迴上訴法院於Microsoft Corp. v. United States判決微軟勝訴─美國政府不得強制取得境外伺服器資料。然而，此訴訟存在相當多爭議，復有2018年《雲端法》之制定，微軟亦對《雲端法》表示支持。《雲端法》通過時，最高法院尚未做出判決；最終，最高法院於2018年4月17日撤銷Microsoft Corp. v. United States。2019年4月10日，美國司法部發布雲端法白皮書，匯集刑事和國家安全專業的律師之意見，並回答常見的問題，希望提升全球的公共安全、隱私及法治。
美國聯邦地方法院駁回臨床試驗軟體公司Medidata對競爭對手Veeva的營業秘密訴訟美國紐約南區聯邦地方法院(S.D.N.Y.)於2022年7月15日駁回了臨床試驗軟體公司Medidata Solutions Inc. (以下簡稱Medidata公司)控告競爭對手Veeva Systems Inc. (以下簡稱Veeva公司)竊取其營業秘密的請求。 原告Medidata公司於2017年1月指控被告Veeva公司陸續挖角其數名離職員工，部份員工離職時私自拷貝公司檔案，其中包含原告的產品研發、商業策略等營業秘密，而被告根據這些資訊開發了和原告相似的軟體，造成其重大損害，因此向被告請求4.5億美元的損害賠償。 被告Veeva公司抗辯雖然這些員工離職時私自保留原告的檔案，但原告在訴訟中並未明確說明哪些屬於該公司的營業秘密，亦即未特定營業秘密標的；此外，即便這些離職員工自行保留的檔案中有包含原告所稱之營業秘密，但原告提出的證據不足以證明被告有不當取用(misappropriation)其營業秘密，僅根據被告有僱用原告離職員工等事實，即推論被告有不當取用。原告試圖透過此模糊和毫無根據的主張，限制產業的創新、競爭、人才流動。 本案歷經五年的纏訟，法院最終駁回原告請求。法官指出，原告在整個訴訟過程中並未明確定義哪些資訊屬於營業秘密，原告似乎認為任何資訊皆屬於其營業秘密，這樣的主張無異於代表任何公司永遠無法挖角其他公司的員工，因為這些員工到新公司任職後所說的任何話，都會間接地揭露他們在之前工作中所學習到的事情，因此駁回原告之訴。 從本案可以觀察到，企業應定期盤點公司內部資訊，明確界定營業秘密範圍，並落實管理及妥善留存相關證據，發生侵害營業秘密爭議時才能有效舉證。 「本文同步刊登於TIPS網站（https://www.tips.org.tw ）」
軟體安全性缺失成為買賣標的瑞士的網路安全公司WSLabi於2007年7月9日宣佈一項訊息，未來將在線上公開交易或交換一些軟體的安全性漏洞和弱點予軟體相關研究人員、安全代理商和軟體公司，價格從數百美元至數萬美元不等。而此意謂拍賣軟體瑕疵的新興市場即將被打開。 WSLabi公開拍賣軟體弱點與漏洞的作法引起了很大的爭論。以往軟體安全業者於發現軟體的弱點後，會與軟體開發者合作修補安全性弱點和漏洞，待修補完成後再公開宣佈修補軟體安全性弱點之相關訊息。但該公司的新作法將導致軟體公司未來可能因為無法及時修補弱點而商譽受損。因此該項計畫雖尚未實行，卻引起了不同看法的爭辯：支持者表示，此一計畫將有助於改善軟體弱點及安全漏洞的問題，並可鼓勵對於軟體的弱點的深入研究；然反對者卻認為，如果軟體的弱點和安全漏洞因而落入有心人的手中，利用於犯罪或幫助他人犯罪，將會對資訊安全形成極大威脅。再者，把其他公司開發的軟體弱點在市場上交易，可能也會引發道德與合法性的問題。 WSLabi於瞭解這項做法可能引起侵害著作權(重製、散布、販賣軟體等行為)、營業秘密與犯罪防治等法律上的爭議及國家安全的問題後表示，他們將會審慎地過濾選擇買主，不會將研究之結果出售予犯罪者或敵國政府。雖然如此，他們的說法仍引起質疑，畢竟判斷買主是否為善意或確定身份並非易事。
美國針對政府雲端運算應用之資訊安全與認可評估提案為建構政府雲發展的妥適環境，美國於今年度啟動「聯邦風險與認可管理計畫」（Federal Risk and Authorization Management Program, FedRAMP），由國家技術標準局（National Institute of Standards and Technology, NIST）、公共服務行政部(General Service Administration)、資訊長聯席會(CIO Council)及其他關連私部門團體、NGO及學者代表共同組成的跨部會團隊，針對外部服務提供者提供政府部門IT共享的情形，建構一個共同授權與持續監督機制。在歷經18個月的討論後，於今（2010）年11月提出「政府雲端資訊安全與認可評估」提案（Proposed Security Assessment & Authorization for U.S Government Cloud Computing），現正公開徵詢公眾意見。 在FedRAMP計畫中，首欲解決公部門應用雲端運算所衍伸的安全性認可問題，因此，其將研議出一套跨部門共通性風險管理程序。尤其是公部門導入雲端應用服務，終究會歸結到委外服務的管理，因此本計劃的進行，是希望能夠讓各部門透過一個機制，無論在雲端運算的應用及外部服務提供之衡量上，皆能依循跨機關的共通資訊安全評定流程，使聯邦資訊安全要求能夠協調應用，並強化風險管理及逐步達成效率化以節省管理成本。 而在上述「政府雲端資訊安全與認可評估」文件中，可分為三個重要範疇。在雲端運算安全資訊安全基準的部份，主要是以NIST Special Publication 800-535中的資訊安全控制項作為基礎；並依據資訊系統所處理、儲存與傳輸的聯邦資訊的敏感性與重要性，區分影響等級。另一部份，則著重在持續性的系統監控，主要是判定所部署的資訊安全控制，能否在不斷變動的環境中持續有效運作。最後，則是針對聯邦資訊共享架構，出示模範管理模式、方策與責任分配體系。