日本Spam對策研究會即將公布最終報告
奢侈品牌Chanel即將在加拿大郊區開設新的據點?在2014.05，一個嶄新的Chanel即將在此營業的招牌顯立在加拿大東丹佛區。 原來，這是一個名為丹佛藝術節（Art of the Danforth）即將於2014.05.11展開，在東丹佛舉辦、超過20個展覽作品的大型免費的公眾藝術活動。藝術節總監Asad Raza表示，這個展品由藝術家Mahmood Popal負責構思，期望能藉此探討「去高檔化」議題，並透過展品「抓住第一間奢侈品店進入尋常百姓家的一刻」。因此，在一塊黑色大型展板上，畫上Chanel的商標和名稱，並寫上「即將開業」字樣。而這樣的表現方式，並未有實際銷售或與Chanel競爭的目的，僅僅是作為一個豎立在地面上的裝置藝術。 對此，Chanel加拿大發言人表示，Chanel即代表了其品牌精神、價值及形象，如果任何人有需要使用，應事先知會Chanel，並獲得Chanel授權同意：「我們希望在使用前應要向我們提出詢問，主要是為了確保這樣的使用方式或內容符合Chanel的品牌價值、形象、及企業願景。此外，Chanel標識之使用有一定的規範，從不會以其他的變動方式去使用Chanel標識，避免發生減損Chanel的品牌形象的情況。舉例來說，我們從來不使用這個標誌的方式與雙“C”以上的香奈兒標誌。如果使用人在用之前，可以事先與我們做溝通，我們也可以進行相關的控制，並使它看起來更真實。」 針對本件的使用，Chanel加拿大發言人事後表示，當確定是公共藝術的使用時，就未採取相關的訴訟措施，但如果未獲授權使用品牌Chanel的商標而有侵權情形時，將會考慮提起訴訟。
美國奧克拉荷馬州修正《個資事故通報法》，擴充個資定義範圍並強化通報機制美國奧克拉荷馬州修正《個資事故通報法》，擴充個資定義範圍並強化通報機制 資訊工業策進會科技法律研究所 2025年07月22日 現行我國關於非公務機關就個資事故進行通報之規定，散落於各中央目的事業主管機關制定之各業別個人資料檔案安全維護管理辦法或相關辦法中，且前揭各辦法對於通報之標準不盡相同。各國主管機關紛紛強化個資治理法制，而美國奧克拉荷馬州修正關於個人資料定義、適當防護措施及個資事故通報機制等事項，以建立更完善之規範。 壹、事件摘要 美國奧克拉荷馬州議會業於2025年5月20日通過第626號法案（Senate Bill 626）[1]，修正《個資事故通報法》（Security Breach Notification Act）[2]，其目的係為補充現行治理規範之不足，修正重點涵蓋：擴充法定用詞之定義，針對「個人資料」（Personal Information）與「適當防護措施」（Reasonable Safeguards）等條文予以補充與增列；強化個資事故（Breach of the security of a system）之通報機制與設立豁免條款，並釐清與其他法規間之適用關係；以及修訂違法情事之民事裁罰。此外，本次修法亦明定，若機構或個人已採取適當防護措施，得作為民事訴訟中之抗辯理由。本法將自2026年1月1日起正式生效，並適用於自該日起所發現、判定或通報之個資事故，相關單位應即早進行法遵準備，以確保制度落實。 貳、修法重點 本次修法主要包含三大核心面向，簡要說明如下： 一、擴充法定用詞之定義 （一）個人資料 於現行法規對個人資料之定義下，再增加新資料類別： 1.與驗證碼、存取碼或密碼結合使用時，可用以登入特定個人金融帳戶之專屬電子識別碼（Electronic Identifier）或路由代碼（Routing Code）； 2.用以辨識特定自然人之獨特生物特徵資料，例如指紋、視網膜或虹膜影像，或其他具體實體或數位形式之生物辨識資料。 （二）適當防護措施 適當防護措施係指，為確保個人資料安全而考量組織或機構之規模、產業別、以及保有之個資類別與數量所制定之政策及作業實務。此概念包括但不限於：進行風險評估、建立技術面及實體面之多層次保護機制、對人員實施教育訓練，及建立個資事故應變計畫等。 二、強化事故通報機制與設立豁免條款 本法要求於發現系統個資事故並已通知受影響之當事人後，應於60日內向州檢察總長（Attorney General）提交書面通報，載明涉及之個人資料類別、事故性質、受影響人數、預估之財務損失、所採行之適當防護措施等必要內容。惟若事故影響人數低於500名州民，或事故發生於徵信機構且影響人數未達1,000人，則可免除向檢察總長通報之義務。 此外，本法明確規範，若特定機構已依據其他法律，如《奧克拉荷馬州醫療資安保護法》（Oklahoma Hospital Cybersecurity Protection Act of 2023）或聯邦《健康保險可攜及責任法》（Health Insurance Portability and Accountability Act of 1996）等履行相關通報義務，則視為已符合本法之要求。 三、民事裁罰 本法明定，民事罰鍰之裁量將審酌事故規模、事故發生後組織之因應作為及是否履行事故通報義務等因素而定，以確保裁量之比例原則。裁量情形說明如下： 1.若機構已採行適當防護措施且依法進行事故通報者，得免除民事責任； 2.若未採取適當防護措施，惟仍依規定完成事故通報者，則須負擔實際損害賠償責任並處以最高75,000美元罰鍰； 3.未落實適當防護措施與事故通報法定義務者，最高處以150,000美元罰鍰。 參、事件評析 本次修法可見奧克拉荷馬州就數位時代資安威脅所採行之積極因應作為，其修正重點包含：擴充個人資料之定義並明定適當防護措施之內容，俾利降低企業法遵成本及法律適用之不確定性；強化事故通報機制並設置合理豁免條款，以確保資訊透明度；於罰則規範中明定民事罰鍰之裁量，應審酌事故規模及是否履行事故通報義務等因素，以符合比例原則。 有鑑於本法修正後所課予之法定義務，建議企業應採行下列因應措施：(1)全面盤點所保有之個人資料，尤應注意新增納管之電子識別碼及生物特徵等資料；(2)檢視並強化現有防護機制，確保符合適當防護措施之要求；(3)建立標準化通報應變程序；(4)強化教育訓練。此外，企業宜定期檢視法規動態，以確保持續符合法規要求。 [1] Bill Information for SB 626, OKLAHOMA STATE LEGISLATURE, http://www.oklegislature.gov/BillInfo.aspx?Bill=sb626&Session=2500 (last visited June 1, 2025). [2] BILL NO. 626, OKLAHOMA STATE LEGISLATURE, https://www.oklegislature.gov/cf_pdf/2025-26%20ENR/SB/SB626%20ENR.PDF (last visited June 2, 2025).
美國最高法院認定警方向通信業者取得嫌犯之通信之基地台位址資訊須持有搜索票繼2012年最高法院認為警方在無搜索令的情況下，以GPS追蹤裝置查探犯罪嫌疑人之位置資訊違反憲法第四修正案。最高法院於2017年6月5日，認為警方未持搜索票，而向電信公司取得犯罪嫌疑人過去127天共計12,898筆之行動通信基地台位置資訊（cell-site data）之行為，違反憲法第四修正案。 由於個人利用行動通訊服務時，必須透過基地台進行通訊，因而可藉由該基地台位置，得知每個人所在之區域位置，而此一通訊紀錄過去被電信公司視為一般的商業資訊，因為得知通訊基地台的位置資訊，無法直接得知個人所在的精準位置，僅能得知其概略所在地區。 因此，犯罪調查機關基於1979年 Smith v. Maryland案所建立之原則，即只要該個人資訊屬於企業的一般商業紀錄（normal business record），警方可以在無搜索令的情況下，向企業取得個人資訊， 此一原則又稱為第三方法則（third-party doctrine）。過去在地方法院或上訴法院的審理中，法院對此多持正面見解，認為只要該資料與進行中之犯罪偵查活動有實質關聯（relevant and material to an ongoing criminal investigation），警方即可向業者取得。大法官Sonia Sotomayor早在前述2012年GPS追蹤裝置案的協同意見書中表示，第三方法則不應適用在數位時代，例如用戶撥電話給客服人員，或以電子郵件回覆網路購物的賣方等，無數的日常活動已經大量的向第三方揭露許多資訊。 在數位時代，大量的個人資訊以電磁紀錄的形式掌握在第三方手中，本案最高法院的見解，將會對美國的犯罪調查機關在未持搜索令的情況下，更慎重的判斷向業者取得個人資訊做為犯罪偵查使用時，是否與憲法第四修正案有所違背。
日本與歐盟間個人資料之國際傳輸歐盟委員會（European Commission）原則上禁止將歐盟境內的個人資料傳輸至境外，只有經歐盟委員會認定其個人資料保護機制達到歐盟認可標準的國家或地區例外，例如：瑞士、加拿大、以色列等。而日本未能進入前揭國家之列的主要原因，係日本之個人資料保護法未將政府部門納入規範對象。但是基於經濟全球化的需求，日本與歐盟自2017年第一季開始加速進行雙邊合意協商。 日本個人資料保護委員會公布，於2017年5月修正施行的個人資料保護法，已符合歐盟資料保護規則中准許進行境外傳輸的標準。其中包括以獨立的個人資料保護機關來確保必要的保全機制能確實執行等五點（新設立個人資料保護委員會、個人資料定義的明確化、個人料去識別化、非法販賣個人資料之處罰、其他）。 歐盟對此表示，雙邊對於個人資料保護之標準的差異性已經漸漸縮小，利於日本與歐盟間個人資料國際傳輸的環境也已經逐漸形成。目前於歐盟境內設立子公司或是設立法人的日本企業，預期2018年即能自由就歐盟境內雇員或顧客的個人資料，進行日本與歐盟間的國際傳輸。 由於歐盟關於個人資料之保護，為歐洲聯盟基本權利憲章（Charter of Fundamental Rights of the European Union）所明定，企業若非法進行個人資料境外傳輸，會被處以高額罰金，金額約相當於該企業一年內全球營業額總額的4%或2000萬歐元，兩者取其高者為上限；股東甚至也可能面臨被提起訴訟的風險。日本此次修法，對日本在歐盟境內的企業經營將帶來莫大的裨益。