華碩因路由器資安漏洞遭起訴一案與美國聯邦貿易委員會達成和解
美國聯邦貿易委員會（Federal Trade Commission, FTC）於2014年間以路由器(Router)與雲端服務的安全漏洞，導生消費者面臨資安與隱私風險之虞，而依據《聯邦貿易委員會法》第5條（Federal Trade Commission Act, 15 U.S.C. § 45(a)）委員會防止不公平競爭違法手段（unfair methods of competition unlawful ; prevention by Commission）之規定，即華碩涉嫌行使不公平或詐欺的手段致影響商業活動之公平競爭為由，對我國知名全球科技公司華碩電腦股份有限公司(ASUSTeK Computer, Inc.)進行起訴 。
本案歷經FTC近二年的調查程序後，華碩公司於2016年2月23日同意FTC的和解條件，即華碩公司應針對部分存在資安疑慮的產品依計畫進行改善，並且於未來20年期間內須接受FTC的獨立稽核(independent audits)。 FTC於該案的起訴報告中指出，華碩於銷售其所生產的路由器產品時，曾對消費者強調該產品具許多資安保障措施，具有得以防止使用者不受駭客攻擊等效果；然而，該產品實際上卻具有嚴重的軟體設計漏洞，使駭客得以在使用者未知的情況下，利用華碩路由器的網頁控制面板(web-based control panel)之設計漏洞，任意改變路由器的安全設定；更有專家發現駭客於入侵華碩製造之路由器產品後，得以強佔使用者的網路頻寬。
此外，華碩允許使用者沿用路由器產品的預設帳號密碼，再加上華碩所提供的AiCloud與AiDisk雲端服務功能，讓使用者得以隨身硬碟建立其私有的雲端儲存空間，使得駭客得藉由上述華碩路由器的設計漏洞直接竊取使用者於隨身硬碟內所儲存的資料。FTC並於起訴聲明中指出，駭客利用華碩路由器產品與相關服務的漏洞，於2014年間成功入侵超過12,900多位產品使用者的雲端儲存空間。除此之外，使華碩更加備受譴責的是，當該漏洞被發現之後，其並未主動向產品的使用者強調產品存在該資安問題，更未告知使用者應下載更正該設計漏洞的軟體更新，因此FTC始決定對華碩進行起訴。
黃宇良
法律研究員 編譯整理
FEDERAL TRADE COMMISSION ACT, 15 U.S.C. § 45(a).
Federal Trade Commission, ASUS Settles FTC Charges That Insecure Home Routers and “Cloud” Services Put Consumers’ Privacy At Risk, Feb. 23, 2016, https://www.ftc.gov/news-events/press-releases/2016/02/asus-settles-ftc-charges-insecure-home-routers-cloud-services-put (last visited Feb. 25, 2016).
IN THE MATTER OF ASUSTek Computer, Inc., 142 F.T.C. 3156 (2016), https://www.ftc.gov/system/files/documents/cases/160222asusagree.pdf (last visited Feb. 25, 2016).
Atmel 於2006年3月美國南加州地方法院對世界首屈一指的指紋辨識功能機器的供應商AuthenTec提出告訴，宣稱AuthenTec侵害Atmel兩項專利，今年五月五日法院的即決判決中確定AuthenTec的產品並未侵害Atmel的專利。 AuthenTec 副總裁兼法律顧問 Frederick Jorgensen表示：「從一開始被起訴，對於Atmel的指控，我們十分有信心公司的產品沒有侵權，也十分樂見此次法院的判決。我們相信我們的科技及智慧財產在市場居有領先的地位，為了保護這些資產，我們將會進行保護的措施。」 AuthenTec藉著指紋辨識器增加了很多資產，目前有超過三億個指紋辨識器運用在電腦、手機、ＰＤＡ及門禁系統上。所有的指紋辨識器都是依據TruePrint的技術精確判斷指紋影像，TruePrint不僅僅可以辨識人類皮膚表層，還可以辨識皮膚表層以下，此項獨一無二的技術不論在任何時間或任何指紋下，都可準確的辨識任何人。目前AuthenTec的客戶包含宏碁、華碩、惠普、三星、LG等等。 除此案之外，AuthenTec尚有許多懸而未決的案子，在三月時，AuthenTec針對Atrua網站上所秀出的智慧型觸控面板手機，提出侵害AuthenTec指紋辨識技術的訴訟。
美國FDA醫療器材與放射健康中心發布2024財政年度醫療器材指引美國食品藥物管理署（U.S. Food and drug administration, FDA）之醫療器材與放射健康中心（Center of Devices and Radiological Health, CDRH）於今（2023）年10月10日發布2024財政年度指引，其內容依據預算配置的優先順序，將2024年醫療器材與放射產品相關指引分為「A級」、「B級」及「回顧性審查」三份清單。而CDRH希望將訊息公佈後，針對這些指引的優先處理順序、修改或刪除徵求外部建議，以下節錄這三份清單內容： （1）A級清單：FDA擬於2024 財政年度優先發佈的醫療器材指引文件清單，內容包含醫材的再製造及短缺管理、預訂變更控制計畫、運用真實世界證據輔助監管之決策，及基於人工智慧/機器學習之醫材的軟體生命週期管理指引等。 （2）B級清單：FDA 在 2024 財政年度於資源許可的前提下，擬發佈的指引文件清單，內容包括醫材製造商的故障主動報告計畫、製造與品質系統軟體之確效管理，及診斷測試用之3D列印醫材管理指引。 （3）回顧性審查清單：為1994年、2004年和2014年發佈至今，目前仍適用的指引文件綜合清單，詢問是否有需與時俱進之處。 具體而言，CDRH希望徵求外界對現有清單優先順序配置合宜性的建議，同時也開放各界提出哪些醫材相關主題的指引文件草案可待補充。對於回顧性審查清單，如有修訂或刪除之必要，亦應檢具建議與具體理由。 從此三份清單及後續外界的意見，我們可藉此掌握美國在醫材短缺管理、預定變更控制、運用真實世界證據決策，及醫材軟體生命週期與確效管理等領域，政府資源配置與投入的規劃，同時也作為我國醫材政策之借鏡。
歐盟個資保護委員會公布GDPR裁罰金額計算指引歐盟個人資料保護委員會 （European Data Protection Board, EDPB）在徵詢公眾意見後，於今（2023）年5月24日通過了「歐盟一般資料保護規則行政裁罰計算指引04/2022」（Guidelines 04/2022 on the calculation of administrative fines under the GDPR）。此一指引，旨在協調各國資料保護主管機關（Data Protection Authorities, DPAs）計算行政罰鍰的方法，以及建立計算《歐盟一般資料保護規則》(General Data Protection Regulation, GDPR )裁罰金額的「起點」（Starting Point）。 時值我國於今（2023）年5月29日甫通過《個人資料保護法》之修法，將違反安全措施義務的行為提高裁罰數額至最高1500萬，金額之提高更需要一個明確且透明的定裁罰基準，因此該指引所揭露的裁罰計算步驟值得我國參考。指引分為五個步驟，說明如下： 1.確定案件中違反GDPR行為的行為數以及各行為最高的裁罰數額。如控管者或處理者以數個行為違反GDPR時，應分別裁罰；而如以一行為因故意或過失違反數GDPR規定者，罰鍰總額不得超過最嚴重違規情事所定之數額（指引第三章）。 2.確定計算裁罰金額的起點。EDPB將違反GDPR行為嚴重程度分為低度、中度與高度三個不同的級別，並界定不同級別的起算金額範圍，個案依照違反GDPR行為嚴重程度決定金額範圍後，尚需考量企業的營業額度以定其確切金額作為裁罰數額起點（指引第四章）。 3.控管者/處理者行為對金額的加重或減輕。評估控管者/處理者過去或現在相關行為的作為加重或減輕的因素而相應調整罰鍰金額（指引第五章）。 4.針對各違反行為，參照GPDR第83條第4項至第6項確定行政裁罰上限。GDPR並沒有對具體的違反行為設定固定的罰款金額，而是對不同違反行為規範了裁罰最高額度上限，EDPB提醒，適用第三步驟或下述第五步驟所增加的額度不能超過GDPR第83條第4至第6項度對不同違反行為所訂的最高額度限制（指引第六章）。 5.有效性、嚇阻性與比例原則的考量。個資保護主管機關應針對具體個案情況量以裁罰，必須分析計算出的最終額度是否有效、是否發揮嚇阻以及是否符合比例原則，而予以相應調整裁罰額度，而如果有客觀證據表明裁罰金額可能危及企業的生存，可以考慮依據成員國法律減輕裁罰金額（指引第七章）。 EDPB重申其將不斷審查這些步驟與方法，其亦提醒上述所有步驟必須牢記，罰鍰並非簡單數學計算，裁罰金額的關鍵因素應取決具體個案實際情況。
歐盟執委會發布「再生能源：歐洲能源市場的重要角色」產業推動報告歐盟執委會於2009年4月23日發布再生能源指令（DIRECTIVE 2009/28/EC），目標在2020年達成20%的再生能源利用；並於2011年1月31日發布「再生能源：邁向2020目標」（Renewable Energy: Progressing towards the 2020 target）通訊報告，檢視歐洲再生能源產業概況及所面對的挑戰，透過與「歐洲及國家再生能源領域之財務檢視」（Review of European and national financing of renewable energy in accordance with Article 23(7) of Directive 2009/28/EC）、「運輸領域使用生質燃料及其他再生燃料的發展及技術評估」（Recent progress in developing renewable energy sources and technical evaluation of the use of biofuels and other renewable fuels in transport in accordance with Article 3 of Directive 2001/77/EC and Article 4(2) of Directive 2003/30/EC）及「生質燃料及生質燃油永續計畫報告」（Report on the operation of the mass balance verification method for the biofuels and bioliquids sustainability scheme in accordance with Article 18(2) of Directive 2009/28/EC）等三份報告的結合，瞭解再生能源領域發展所須的支出、確保其品質、運用最有效率及最具經濟效益的手段，架構歐洲再生能源利用之2020年目標。 為達此一目標，各會員國自行採取相關措施加以推動，每年投入的資金呈倍數的成長；然在2020年之後，卻未見相關政策規劃。為持續發展再生能源，執委會於2012年6月6日發布「再生能源：歐洲能源市場的重要角色」（Renewable Energy: a major player in the European energy market）通訊報告，呼籲各會員國在相關計畫的建立與改革採取更協調一致的措施，提升會員國間再生能源的交易，並探討2020年之後再生能源的發展框架。此一通訊報告包含兩部分：第一、為達2020年的再生能源發展目標，指出四個須加速推動的領域；第二、開始思考2020年後之規劃框架。 針對應加速推動以達成2020年發展目標的四大領域，包括（1）能源市場、（2）支援計畫（support schemes）、（3）合作機制、（4）地中海區能源合作計畫。歐盟執委會堅持達成境內能源市場的整合，並認為有必要提供投資獎勵，以順利進行。對於相關支援計畫，應鼓勵降低成本並避免過度補貼；由於支援計畫多由各國政府主導，而各國可能有缺乏透明度、突然終止、甚至補助差異，造成市場運作模式的阻礙，因此執委會呼籲透過跨國的合作來解決。此外，執委會鼓勵增加合作機制，使會員國間能透過再生能源的交易、降低成本，以達成再生能源利用目標。針對地中海區的能源合作計畫，執委會建議改善其管理框架，並著重於整合馬格里布地區（Maghreb）的市場，將有助於大規模投資，進口再生能源電力。 針對2020年後之發展，則應兼顧創新與降低成本，促進對再生能源的投資。依據歐洲「2050能源路徑圖」（Energy Roadmap 2050）之規劃，開始探討邁向2030的發展策略，主要仍以溫室氣體排放、再生能源及能源效率為政策目標。執委會強調，儘速確定2030年的發展規劃至關重要，此規劃並應使再生能源業者在能源市場上提升其競爭力。