雲端運算(Cloud Computing),是一種基於網際網路的運算方式,用以共享軟硬體資源、依需求提供資訊給電腦和其他裝置。本質上其實就是分散式運算 Distributed Computing,其主要應用是讓不同的電腦同時協助你處理運算,故只要具備兩台以上電腦,讓他們之間互相溝通,協助您處理工作,就是基本的分散式運算。
雲端運算是繼1980年代大型電腦到用戶端-伺服器的大轉變之後的又一種巨變。使用者不再需要了解「雲端」中基礎設施的細節,不必具有相應的專業知識,也無需直接進行控制。雲端運算概念下描繪了一種基於網際網路而新增加的新興IT服務、使用和交付模式,藉由網際網路來提供各種不同的資源、服務功能而且經常是虛擬化的。
「雲端運算」供應模式以及實用定義如下:
‧ 軟體服務化 (SaaS):透過網際網路存取雲端的應用程式 (例如:Salesforce.com、趨勢科技 HouseCall)。
‧ 平台服務化 (PaaS):將客戶開發的應用程式部署到雲端的服務 (例如:Google AppEngine 與 Microsoft Azure)。
‧ 基礎架構服務化 (IaaS):有時亦稱「公用運算」(Utility Computing),意指處理器、儲存、網路以及其他資源的租用服務 (例如:Amazon 的 EC2、Rackspace 以及 GoGrid)。
雲端運算服務所涉及的法律議題相當廣泛,包含隱私權、個人資料保護、資料管轄權、契約責任、智慧財產權保護與營業秘密等。在隱私權問題方面,使用者的隱私或機密風險,乃至權利義務狀態會因為雲端供應商所提供之服務與隱私權政策(privacy policy)而有顯著不同,也可能因為資訊型態或雲端運送使用者類型不同而有差異。在雲端運算服務契約方面,發生資訊安全事件導致資料失竊或毀損時,供應商責任或注意義務如何於契約中合理分配風險,亦是契約方面重要議題。
本文為「經濟部產業技術司科技專案成果」
2018年6月5日歐盟法院針對Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein v Wirtschaftsakademie Schleswig-Holstein GmbH訴訟進行先訴裁定,擴大解釋《資料保護指令》(Directive 95/46/EC)之「資料控制者」範圍,認為Facebook和粉絲專頁管理者皆負有保護訪客資料安全的責任。由於「資料控制者」定義在《資料保護指令》與《一般資料保護規則》(GDPR)相同,因此裁定將影響未來使用社群媒體服務和平台頁面的個資保護責任。 本案起因德國Schleswig-Holstein邦獨立資料保護中心要求 Wirtschaftsakademie教育服務公司在Facebook經營之粉絲專頁必須停用,其理由認為Facebook和Wirtschaftsakademie進行之Cookie資料蒐集、處理活動並未通知粉絲成員且因此從中獲利,然Wirtschaftsakademie認為並未委託Facebook處理粉絲成員個資,當局應直接對Facebook要求禁止蒐集處理。歐盟法院認為Wirtschaftsakademie使用Facebook所提供之平台從中受益,即使未實際擁有任何個資,仍被視為負共同責任(jointly responsible)的資料控制者,應依具體個案評估每個資料控制者責任程度。 在原《資料保護指令》並未有「資料控制者需負共同責任」之規定,本案擴大解釋資料控制者範圍,對照現行GDPR屬於第26條「共同控制者」之規範主體,然而本案將資料控制者擴張到未實際處理資料之粉絲專頁管理者,是否過於嚴格?且未來如何劃分責任與義務,皆有待觀察。
美國聯邦商務部修訂出口管制規則,對可用於惡意網路活動之項目出口、再出口與移轉進行管制美國聯邦商務部(Department of Commerce, DOC)下之工業及安全局(Bureau of Industry and Security, BIS)於2021年10月20日公布一暫行最終規則(interim final rule),對出口管制規則(Export Administration Regulation, EAR)進行修訂,其於商品管制清單(Commerce Control List)中增訂「可用於監視、間諜活動或其他破壞、拒絕、降低網路及其設備性能之工具」相關之出口管制分類編碼(Export Control Classification Number, ECCN)項目及說明文字,並增訂「授權網路安全出口(Authorized Cybersecurity Exports, ACE)」的例外許可規定(15 CFR §740.22),該暫行最終規則將於2022年1月19日生效。 被列入商品管制清單內的項目,原則上即不允許出口(或再出口、於國內移轉,以下同),惟透過ACE之例外許可,使前述項目可出口至大多數國家,僅在下列「再例外」情況需申請出口許可: 出口地為反恐目的地:出口目的地為15 CFR §740補充文件一所列類別E:1和E:2之國家時,須申請出口許可。 出口對象為國家類別D之政府終端使用者(Government end user):政府終端使用者係指能提供政府功能或服務之國家、區域或地方之部門、機關或實體,當政府終端使用者歸屬於國家類別D時,須申請出口許可。惟若類別D之國家同時被歸類於類別A:6(如賽普勒斯、以色列及台灣),在特定情況下,如為弱點揭露、犯罪調查等目的,出口予該國之電腦安全事件回應小組;為犯罪調查、訴訟等目的,出口可展現資訊系統上與使用者相關、對系統造成危害或其他影響活動之數位製品(digital artifacts)予警察或司法機關;或出口數位製品予前述政府,而該數位製品涉及由美國公司之子公司、金融服務者、民間健康和醫療機構等優惠待遇網路安全終端使用者(favorable treatment cybersecurity end user)擁有或操作資訊系統相關之網路安全事件時,不適用ACE之再例外規定,而不須申請出口許可。 終端使用者為國家類別D:1、D:5之非政府單位:結合上述第二點之說明,不論出口至國家類別D:1、D:5之政府或非政府單位,皆受ACE之「再例外」拘束,而須申請出口許可。僅當出口特定之ECCN網路安全項目予優惠待遇網路安全終端使用者、基於弱點揭露或網路事件回應之目的出口予非政府單位,或對非政府單位的視同出口(deemed export)行為,方不適用再例外規定,而不須申請出口許可。 終端使用者限制:已知或可得而知該物品將在未獲授權之情況下,被用於影響資訊系統或資訊之機密性、完整性或可用性時,須申請出口許可。
歐盟與美國宣布就新的跨大西洋資料傳輸框架達成原則性協議歐盟委員會與美國白宮於2022年3月25日發布聯合聲明,宣布雙方已就新的跨大西洋資料傳輸框架達成原則性協議。此舉旨在因應2020年7月歐盟法院(Court of Justice of the European Union)於Schrems II案的判決中宣告「歐盟—美國隱私盾協定」(EU-US Privacy Shield Framework)不符合歐盟一般資料保護規則(General Data Protection Regulation, GDPR)而無效。依照該聯合聲明,新的框架將在雙方間資料流動的可預測性、可監督性、可信賴性以及可救濟性等方面進行補強,以充分維護公民的隱私與自由權利。 目前,該框架仍處於原則性協議的階段,具體細節仍有待後續談判。聯合聲明指出,美國在下列三個方面做出了「重大承諾」: 加強控管美國的情報活動,以確保所追求國家安全目的適法,且所採取的手段係在必要範圍內,而未過度侵犯公民的隱私與自由。 建立具有約束力且獨立的多層次救濟機制,其中包含一個由非政府人員所組成的「個人資料保護審查法院」,並賦予該組織完全的審判權。 針對情報活動強化分層且嚴格的行政監督機制,以確保其合乎隱私與自由的新標準。 上述原則性協議的達成,表面上無疑是一項好消息,將有助於解決雙方跨境資料傳輸的法源爭議,並避免持續演變成嚴重的歐美貿易爭端。然而,美國政府能否順利將新框架轉化為具有約束力的國內行政命令,仍存在相當多的不確定因素。若結果為否,則最終亦難以達成取得歐盟根據GDPR所為「適足性認定」(adequacy decision)的政策目標。
歐盟個資保護委員會公布GDPR裁罰金額計算指引歐盟個人資料保護委員會 (European Data Protection Board, EDPB)在徵詢公眾意見後,於今(2023)年5月24日通過了「歐盟一般資料保護規則行政裁罰計算指引04/2022」(Guidelines 04/2022 on the calculation of administrative fines under the GDPR)。此一指引,旨在協調各國資料保護主管機關(Data Protection Authorities, DPAs)計算行政罰鍰的方法,以及建立計算《歐盟一般資料保護規則》(General Data Protection Regulation, GDPR )裁罰金額的「起點」(Starting Point)。 時值我國於今(2023)年5月29日甫通過《個人資料保護法》之修法,將違反安全措施義務的行為提高裁罰數額至最高1500萬,金額之提高更需要一個明確且透明的定裁罰基準,因此該指引所揭露的裁罰計算步驟值得我國參考。指引分為五個步驟,說明如下: 1.確定案件中違反GDPR行為的行為數以及各行為最高的裁罰數額。如控管者或處理者以數個行為違反GDPR時,應分別裁罰;而如以一行為因故意或過失違反數GDPR規定者,罰鍰總額不得超過最嚴重違規情事所定之數額(指引第三章)。 2.確定計算裁罰金額的起點。EDPB將違反GDPR行為嚴重程度分為低度、中度與高度三個不同的級別,並界定不同級別的起算金額範圍,個案依照違反GDPR行為嚴重程度決定金額範圍後,尚需考量企業的營業額度以定其確切金額作為裁罰數額起點(指引第四章)。 3.控管者/處理者行為對金額的加重或減輕。評估控管者/處理者過去或現在相關行為的作為加重或減輕的因素而相應調整罰鍰金額(指引第五章)。 4.針對各違反行為,參照GPDR第83條第4項至第6項確定行政裁罰上限。GDPR並沒有對具體的違反行為設定固定的罰款金額,而是對不同違反行為規範了裁罰最高額度上限,EDPB提醒,適用第三步驟或下述第五步驟所增加的額度不能超過GDPR第83條第4至第6項度對不同違反行為所訂的最高額度限制(指引第六章)。 5.有效性、嚇阻性與比例原則的考量。個資保護主管機關應針對具體個案情況量以裁罰,必須分析計算出的最終額度是否有效、是否發揮嚇阻以及是否符合比例原則,而予以相應調整裁罰額度,而如果有客觀證據表明裁罰金額可能危及企業的生存,可以考慮依據成員國法律減輕裁罰金額(指引第七章)。 EDPB重申其將不斷審查這些步驟與方法,其亦提醒上述所有步驟必須牢記,罰鍰並非簡單數學計算,裁罰金額的關鍵因素應取決具體個案實際情況。