英國資訊專員辦公室關於退出歐盟後續個資保護回應與未來影響
英國資訊專員辦公室(Information Commissioner's Office, ICO)表示不論是否仍為歐盟會員國，英國仍需要明確有效的資料保護法，而關於公投退出歐盟(Brexit)結果，ICO發言人表示：「資料保護法是屬地的，不問公投結果為何，若英國不再是歐盟的成員國，即將施行的一般資料保護規則(General Data Protection Regulation, GDPR)亦不會直接適用於英國。然若英國希望在平等條件下的歐盟單一市場進行交易，我們必須證明資料保護是充足的，亦即英國資料保護標準必須符合2018年即將施行的歐盟的資料保護監管框架。對於許多跨境經營的企業與服務而言，遵循資料保護法律與歐盟一致性規範，既是企業組織，亦是消費者和公民所關注重點。ICO致力於與其他國家的監管機構密切合作，而且未來亦是如此。目前明確的法律保護相當重要，且考量到經濟發展，ICO會向政府提出建議，英國相關法規之改革仍屬必要。」
Brexit後，英國企業資料仍需傳輸至第三國，因此英國可能需爭取類似於瑞士、加拿大等，由歐盟執委會認定資料保護符合充足保護水準之模式；或是尋求類似歐盟與美國針對資料傳輸協議模式。然而目前英國的資料保護法(Data Protection Act 1998)與當前的歐盟資料保護指令仍具一致性，而目前資料從英國傳輸至第三國仍然需依標準契約條款(Standard Contractual Clauses)，或英國授權有約束力的企業自我拘束規則(Binding Corporate rules)，然而目前英國退出歐盟程序進行中，相關資料保護傳輸之法規範，仍待後續密切觀察。
- 1.Information Commissioner
- 2.Information Commissioner
- 3.European Commission, Commission decisions on the adequacy of the protection of personal data in third countries
- 4.Data Protection Act 1998
- 5.European Commission, Model Contracts for the transfer of personal data to third countries
- 6.European Commission, Overview on Binding Corporate rules
- 7.John E Dunn, Brexit and the GDPR - why leaving the EU will make life harder for enterprises
- 8.Alan Charles Raul, William RM Long and Cameron F. Kerry, Amid news of Brexit, UK ICO seeks to provide reassurance
- 9.Liz Fitzsimons and Rebecca Sherry, Brexit: the impact on General Data Protection Regulation
孫鈺婷
專案經理 編譯整理
1.Information Commissioner's Office, Referendum result response, https://ico.org.uk/about-the-ico/news-and-events/news-and-blogs/2016/06/referendum-result-response/ (last visited June 29, 2016).
2.Information Commissioner's Office, Statement on the implications of Brexit for data protection, https://ico.org.uk/about-the-ico/news-and-events/news-and-blogs/2016/04/statement-on-the-implications-of-brexit-for-data-protection/ (last visited June 29, 2016).
3.European Commission, Commission decisions on the adequacy of the protection of personal data in third countries, http://ec.europa.eu/justice/data-protection/international-transfers/adequacy/index_en.htm (last visited June 29, 2016).
4.Data Protection Act 1998, http://www.legislation.gov.uk/ukpga/1998/29/contents (last visited June 29, 2016).
5.European Commission, Model Contracts for the transfer of personal data to third countries,http://ec.europa.eu/justice/data-protection/international-transfers/transfer/index_en.htm (last visited June 29, 2016).
6.European Commission, Overview on Binding Corporate rules, http://ec.europa.eu/justice/data-protection/international-transfers/binding-corporate-rules/index_en.htm (last visited June 29, 2016).
7.John E Dunn, Brexit and the GDPR - why leaving the EU will make life harder for enterprises, http://www.computerworlduk.com/security/brexit-gdpr-why-leaving-eu-will-make-life-harder-for-enterprises-3641825/ (last visited June 29, 2016).
8.Alan Charles Raul, William RM Long and Cameron F. Kerry, Amid news of Brexit, UK ICO seeks to provide reassurance, https://www.lexology.com/library/detail.aspx?g=2818ea08-7eb3-4ab0-9919-0d43864f4a57 (last visited June 29, 2016).
9.Liz Fitzsimons and Rebecca Sherry, Brexit: the impact on General Data Protection Regulation, http://www.lexology.com/library/detail.aspx?g=f14861a6-7338-458a-b32c-cedd05c6facf(last visited June 29, 2016).
為了落實提供高速、穩定的寬頻服務，新加坡資訊通訊發展管理局（IDA）今( 2013)年4月針對新建物，修訂「建築物資通訊設施實施條例」(Code of Practice for Info-Communication Facilities in Buildings)，以加速家庭寬頻網路發展，滿足新興服務之所需。 本條例以光纖普及為前提，賦予新建物開發商或是業者諸多義務，以「用戶需要開放項目」與「限制建物內空間技術」最為重要。所謂的「用戶需要開放項目」，是指開發商或是屋主須讓新建物具有6項基礎設施，包括：(1)引進管(Lead-in pipes)、地下管(Underground pipes)與人手孔(Manholes)；(2)電信主配線箱(Main Distributor Frame, MDF)；(3)電信設備機房(Telecommunication Equipment Room, TER )；(4) 行動通訊布放室(Mobile Deployment Space，MDS)；(5)電信櫃豎版(Telecommunication risers)；(6)寬頻同軸電纜系統(a Broadband coaxial cable system)或具有光纖電纜(Optical Fibre Cable)等級之終端點。其中，第六項是要求開發商與擁有者鋪設線路範圍，包含現有道路至電信主配線箱之管道，且其線路等級必須是同軸電纜或光纖以上，以確保屋內終端線路皆得以承載100M以上速率。至於，「限制建物內空間技術」，是指屋內配線至家中客廳與每個房間，應鋪設同軸電纜或是非屏蔽雙絞線(六類以上)，使民眾能無所不在享受快速網路之便利。 除上述固網建設規範外，為了達成行動寬頻戶外覆蓋率99%、室內覆蓋率85%之規定，本條例亦要求開發商或擁有者須無償提供電信業者行動通訊佈放室。雖然，MDS的大小視行動寬頻涵蓋範圍與發展大小而定，最小的行動通訊發展室範圍是18平方米。不過，本條例允許MDS可不必是一個連續的空間，以兼顧開發商與擁有者對新建物空間之規劃。本草案落實後，預計不僅可減少電信商租賃放置基地台之成本外，亦可解決與管理委員會或業者交涉之時間，讓電信商能更為迅速完成行動寬頻覆蓋率。 IDA預計本條例實施後，將可達成「下一代國家資通訊基礎建設發展計畫」中，規劃2015年光纖覆蓋率100%、提供民眾1Gbps固網速度之理想，使新加光纖覆蓋率可達到95%。
日本發布2026年10大資訊安全威脅，呼籲企業強化資料管理對策日本獨立行政法人情報處理推進機構（Information-technology Promotion Agency，下稱IPA）於2026年1月29日發布「2026年10大資訊安全威脅」，呼籲企業應留意自身資訊安全防護對策。 IPA將2026年10大資訊安全威脅區分為「組織」與「個人」兩大面向。在組織面向的威脅中，前三位依序為勒索病毒攻擊、針對供應鏈或委託方的攻擊，以及AI應用所帶來的網路風險。其中，「AI應用所帶來的網路風險」是自2016年IPA開始進行資訊安全威脅調查以來，首度入選前10大威脅，其風險內容主要為使用者對AI技術缺乏充分了解而導致的資訊外洩，或是由於AI遭惡意濫用，進而降低網路攻擊的門檻等風險。 此外，2026年10大資訊安全威脅第四至第十名依序分別為，針對系統漏洞的攻擊、竊取機密資訊的攻擊、由地緣政治風險引起的網路攻擊（包含資訊戰）、內部違規行為導致的資訊外洩、針對遠距工作環境的攻擊、分散式阻斷服務攻擊，以及商務電子郵件詐欺。從10大資訊安全威脅之內涵可知，多數資安威脅均與資訊外洩或惡意攻擊相關，顯見資訊的價值與重要度在現代數位化社會中日益提升。 臺灣企業如欲強化資訊安全防護對策，並針對資料本身進行妥善管理，建議參考資訊工業策進會科技法律研究所創意智財中心（資策會科法所創智中心）發布之《重要數位資料治理暨管理制度規範》，建立涵蓋數位資料生命週期之資料治理機制，同時參考該中心發布之《營業秘密保護管理規範》、《營業秘密管理指針2.0》，建立營業秘密管理措施或相關機制，避免具備機敏性或屬於營業秘密之資訊外洩。 本文為資策會科法所創智中心完成之著作，非經同意或授權，不得為轉載、公開播送、公開傳輸、改作或重製等利用行為。 本文同步刊登於TIPS網站（https://www.tips.org.tw）
歐盟佐審官建議修正與加拿大之「航空乘客個人資料共享協議(草案)」，以維護人權歐洲聯盟法院(CJEU)佐審官 (Advocate General ) Paolo Mengozzi 於今年(2016) 9月8日提出一份不具拘束力之「航空乘客個人資料共享協議(草案)」( European Union on the transfer and processing of passenger name record data (“PNR Agreement”)) 法律意見，認為協議應遵守歐盟憲章有關人權之基本原則。此份法律意見為歐洲聯盟法院首次就國際協議草案，檢視與歐盟憲章有關規範之一致性。 [背景] PNR協議草案於2010年5月開始協商，2014年6月25日簽署。主要以反恐為目的讓歐盟與加拿大交換航空乘客資訊(包括旅客姓名、旅行日期、行程記錄、機票、聯繫資訊、旅行社等其他有關資訊)。除加拿大之外，歐盟亦與美國、澳洲簽有類似資料共享協議。關注到PNR協議有關隱私、人權之議題，歐盟議會將PNR協議提至歐洲聯盟法院審議。 [法律意見] 佐審官認為，協議同意在特定條件下就限定目標之乘客蒐集其敏感資訊，未違反歐盟憲章；然PNR協議草案仍有部分內容違反歐盟憲章：即草案允許歐盟、加拿大主管機關使用乘客姓名等數據，已逾越預防恐怖組織犯罪和跨國犯罪的必要範圍。 因歐洲聯盟法院去年已廢除歐盟與美國之間之安全港(Safe Harbor)法案，隨後雖起草隱私保護協議(Privacy Shield)，但仍有意見質疑隱私保護之完整性。PNR協議草案法律意見之提出，可窺歐盟關於隱私保護之立場。
美國明尼亞波利斯市禁止政府部門使用人臉辨識技術美國明尼蘇達州明尼亞波利斯市的市議會鑑於人臉辨識技術有可靠性的疑慮，以及對有色人種有潛在的傷害，該議會於2021年2月12日通過修正《明尼亞波利斯條例》（Minneapolis Code of Ordinances）關於資訊治理（Information Governance）的部分，新條例規定除有例外情形，禁止政府部門採購人臉辨識技術及使用從該技術獲得之資訊。明尼亞波利斯是繼波士頓、舊金山、奧克蘭等，新加入禁用人臉辨識技術的城市。 新條例是由該市市議會議員Steve Fletcher倡議，其指出市民擔心在未得其同意時使用人臉辨識技術進行監視，是否會侵害市民的隱私權。此外，根據研究亦顯示人臉辨識技術仍存在瑕疵，尤其是辨別婦女、兒童和有色人種的錯誤率相當高，而不正確的識別，恐怕讓弱勢者受到更不利的對待。 明尼亞波利斯市以明尼蘇達州《明尼蘇達政府資料應用法》（Minnesota Government Data Practices Act）中所定資料隱私原則，作為制定新條例的基礎，規定在蒐集有關個人資料時應考慮並重視個人隱私，包含僅在具備理由時始得蒐集資訊，並且就蒐集的內容與原因保持透明。再者，新條例要求在市議會設置專門的委員會，市政府應向該委員會提出書面報告，說明新條例遵守的情形，以及追蹤及報告違反的情形及賠償措施。惟隨著技術和情事的變化，政府部門可能有使用人臉辨識技術的需求，就此，新條例規定政府部門需向市議會解釋使用該技術的必要性、說明如何使用該技術及所獲取之資訊、對技術及所獲取之資訊進行監管的計畫，市議會依規定應召開公聽會。若例外情形符合消除歧視、保護隱私、透明與公眾信任的目標，市議會則可同意政府部門使用人臉辨識技術，或要求政府部門修正前述監管計畫，作為市議會同意的條件。