美國聯邦上訴法院認定，美國政府不得強取境外伺服器資料
微軟在美國政府索要用戶郵件的一起官司中獲得勝訴。美國政府第二巡迴上訴法院裁決，如果資料是儲存在美國境外伺服器，則不為美國聯邦政府的令狀效力所及。
這件訴訟案源於2013年的一起涉外毒品案件中，紐約區法院發布了一項搜查令，要求微軟提供公司一名用戶的郵件和相關訊息。然而因為有些資料是存放在微軟公司在愛爾蘭的伺服器，因此微軟爭辯說郵件本身是儲存在愛爾蘭的，因此不應受到美國政府令狀效力所及。2014年聯邦地方法院再次要求微軟提供郵件內容——但微軟上訴到了聯邦第二巡迴法院。
美國聯邦第二巡迴法院在判決中，認定基於《儲存通訊記錄法》（Stored Communications Act：SCA/下稱SCA）規定美國政府得以令狀要求連結網路使用者資料的規定並不適用於境外。法院所持理由為：
1. SCA規定搜索票/扣押票之核發應符合美國聯邦刑事訴訟法之相關規定，而美國聯邦刑事訴訟法第41條即規定搜索票/扣押票應由搜索/扣押標的物所在地之法院核發並交由該地或國內他地執法人員執行。
2. 法院曾於2010年之MORRISON ET AL. v. NATIONAL AUSTRALIA BANK LTD. ET AL.案判決理由中指明，如國會立法時認為某法規可能或必須有域外效力，應以明文定之，而SCA條文中並無任何規定寫明該法可於境外適用之。
3. SCA在第2703條所使用之搜索票/扣押票（warrant）一字，源自美國憲法增修條文第四條，即規定美國政府對其國內人民為搜索扣押時應以搜索票/扣押票（warrant）為之，且SCA更刻意以不同條款及不同強度區分搜索票/扣押票（warrant）與傳票（Subpoena），立法者之用意顯然是希望能以前者提供使用者更高度的隱私保護。 這是美國首例企業對獲取境外資料的政府搜查令提起上訴的案件，審判結果影響著美國法律界對於執法機關是否能就存放在世界上其他國家的美國用戶資料，進行合法調查。
吳柏凭
法律研究員 編譯整理
The New York Times, Nick Wingfield and Cecilia Kang, Microsoft Wins Appeal on Overseas Data Searches(2016年7月14日), http://www.nytimes.com/2016/07/15/technology/microsoft-wins-appeal-on-overseas-data-searches.html?_r=0（最後瀏覽日：2016年10月18日）
The Wall Street Journal, Devlin Barrett and Jay Greene, Microsoft Wins Appeals Ruling on Data Searches(2016年7月14日),http://www.wsj.com/articles/microsoft-wins-appeals-ruling-on-data-searches-1468511551（最後瀏覽日：2016年10月18日）
2012年歐洲議會發表的綠皮書「邁向信用卡、網路以及手機支付的整合歐洲市場(Towards an integrated European market for card, internet and mobile payments)」，並進行廣泛的公眾意見徵詢，舉辦公聽會，最後決議進行現有歐洲支付法制架構的修正。歐盟支付服務指令修正案(revised Payment Service Directives, PSD2)於2013年7月由執委會提出，2015年10月歐洲議會通過，今年1月12日生效，預期英國、保加利亞、丹麥、德國、奧地利以及法國將會率先修正原有的支付服務法制完成轉換。產業界一致對於修正案表示歡迎，因為本次修正將會大幅提升支付創新應用的發展可能，尤其是行動支付。 PSD2之重大修正包含針對支付服務的內容作出修正，新增第三方支付服務提供人(third party payment service provider，簡稱TPP)為支付服務之內容(附件一第7項)。TPP的內涵為透過對於其它支付服務提供者的支付帳戶的存取，提供包含支付發動服務(payment initiation services)以及帳戶資訊服務(account information services)。依照第58條規定，TPP服務提供者具備下列義務： 1.確保支付服務使用者的個人化安全資訊不會被其它人取得。 2.以明確的方式向帳戶之支付服務提供者認證自己的身分。 3.不儲存支付服務使用者的敏感支付資訊或個人化安全憑證。 除此之外，PSD2明確將純粹的技術服務提供者排除於支付機構之範圍，無需適用支付服務指令。 PSD2亦授權EBA發布相關規定制定技術門檻，包含強力的客戶身分認證以及通訊資訊標準。
Like or Not！德國地方法院針對facebook「讚」按鈕功能之判決日前有新聞報導，google將推出「+1」按鈕功能，用戶可以點擊該按鈕，向好友推薦特定的搜尋結果，市場上普遍預測google新增此「+1」按鈕功能，主要是用來跟facebook「讚」按鈕（Like Button）競爭。facebook「讚」按鈕功能已成為時下潮流新用語，諸如「給你一個讚」；而且還可以將facebook「讚」按鈕安裝在個人的部落格網頁、文章中。惟facebook的這項功能，一直以來也存在著侵害用戶個人隱私之疑慮。 德國柏林地方法院於今年（2011）03月14日針對facebook「讚」按鈕功能作出一則判決（LG Berlin, Beschluss vom 14.03.2011 - 91 O 25/11）。本案被告經營一項與原告相同的電子商務業務，並在其線上商店網頁中，安裝facebook「讚」按鈕（Gefällt-mir-Button）功能。判決中指出，安裝facebook「讚」按鈕，須運用facebook內建框架（iframe）語法，一旦安裝後，只要是登錄facebook的用戶，同時瀏覽被告網頁時，即使未點擊被告網頁上的「讚」按鈕，用戶的使用記錄都會回傳至facebook。但被告網頁上並未刊登任何有關提醒用戶注意該項資料蒐集、回傳之訊息。 原告因而主張，被告未盡到告知用戶有關個人資料蒐集、加工資訊之義務，已經違反電信服務法（Telemediengesetz，以下簡稱TMG）第13條規定，因而構成不正競爭防止法（Gesetz gegen den unlauteren Wettbewerb，以下簡稱UWG）第4條第11款規定之不允許交易行為。UWG第4條第11款規定「違反本質上涉及交易相對人（Marktteilnehmer）之利益的市場行為（Marktverhalten）有關之法律規定，亦屬於不允許的交易行為（unlautere geschäftliche Handlungen）。」 柏林地方法院認為，TMG第13條本質上係與個人資料保護有關之規定，與涉及交易相對人之利益的市場行為無關，故本案無UWG第4條第11款規定之情形，與不正競爭行為無關，原告之主張因欠缺請求權基礎而敗訴。 然而，值得注意的是，本案法院並未進一步針對被告行為是否違反TMG第13條「有關個人資料保護」之規定提出其見解。TMG第13條係依據「歐盟1995年個人資料保護指令」轉換而來，TMG第13條規定，若網站涉及個人資料的蒐集、加工行為，電信服務提供者（Diensteanbieter）有義務明確告知用戶相關訊息（包括明確告知用戶其可隨時撤回許可相關資料蒐集之表示等）。 爰此，被告於個人網頁安裝facebook「讚」按鈕功能，卻未告知用戶個人資料蒐集、加工之相關訊息，是否違反TMG第13條規定之告知義務，尚有待上級審加以定奪。而判決出爐後，也有專家建議，為避免有侵害個人資料之虞，在社群網站安裝facebook「讚」按鈕時，宜加註個人資料處理、保護之相關聲明。
英國通過《大英能源法》，設立國營大英能源公司推動淨零與能源安全面對能源轉型與全球淨零排放目標挑戰，英國於2025年5月15日通過《大英能源法》（Great British Energy Act 2025），法規授權內閣大臣（Secretary of State）指定一間由王室全資持有且依《2006年公司法》（Companies Act 2006）設立之股份有限公司為「大英能源公司」（Great British Energy, GBE）。 根據法規，GBE核心任務包括：推動潔淨能源發展、改善能源效率、降低碳排放、確保能源供應安全，並促進公平供應鏈（包含防止奴役與人口販運），GBE經營模式強調地方參與，須透過具社會效益之專案推動轉型工作。 為支持其營運，法規授權內閣大臣可對GBE提供各種形式的財務援助，包括補助、貸款、擔保、收購股份或資產等。此外，內閣大臣亦有權對GBE發布具拘束力之政策性指示（Directions），並需針對其營運擬定「策略優先事項」（strategic priorities），以成為GBE業務規劃之依據。惟上述優先事項不得涉蘇格蘭、威爾斯或北愛爾蘭議會專屬權限事項，除非經當地部門同意。 為確保公共資源使用之透明性，GBE必須每年向內閣大臣提交財報，內閣大臣再將財報提交國會。同時GBE須每五年接受一次獨立人士（independent person）的績效審查，獨立人士再將績效報告提交國會。法規亦要求GBE應持續檢討其業務對英國永續發展之影響，以確保符合國家長期發展方向。 本法適用於英格蘭、威爾斯、蘇格蘭及北愛爾蘭，並自2025年5月15日正式生效。
歐盟網路暨資訊安全局發布「重要基礎設施資訊安全培訓需求盤點報告」加強重要部門資訊安全作業歐盟網路暨資訊安全局於2017年12月7日發布「重要基礎設施資訊安全培訓需求盤點報告」(Stocktaking of information security training needs in critical sectors)之文件，點出各重要基礎設施之「電腦安全事件反應小組」(Computer Security Incident Response Teams, CISRT)所必須接受之資安訓練種類。 歐盟之網路與資訊系統安全指令(The Directive on security of network and information systems, NIS Directive)規範各成員國之重要服務營運者(operator of essential service)必須確認出哪些服務於維繫社會與經濟活動上具備重要性。被認定具備重要性之部門如下:能源、運輸、銀行業、金融市場基礎設施、健康照護部門、飲用水供應與分配、數位基礎設施。 此份報告指出，該重要性部門之資安等級需求並不盡相同，因此導致各部門面對資安事件之準備無法相提並論。例如，能源產業會用到SCADA系統，而金融市場基礎設施則普遍沒有相關需求。而由於NIS指令將上述七種部門列為資訊安全維護最高層級，故此份報告目的係確認該部門當前的處境，並與現階段可取得之網路安全訓練對照，進一步具體檢視各重要部門是否有其他額外的網路安全訓練需求。 我國行政院於民國106年4月公布之資通安全管理法草案要求關鍵基礎設施提供者應訂定、修正、實施資通安全維護計畫，並向中央目的事業主管機關或直轄市、縣（市）政府提出該計畫之實施情形，在未來實際落實各重要性設施之資安維護以及資安小組訓練時，須意識到各重要性設施之資訊安全需求差異性，及相關人員必須針對不同單位而受不同之訓練。