美國聯邦上訴法院認定,美國政府不得強取境外伺服器資料

  微軟在美國政府索要用戶郵件的一起官司中獲得勝訴。美國政府第二巡迴上訴法院裁決,如果資料是儲存在美國境外伺服器,則不為美國聯邦政府的令狀效力所及。

  這件訴訟案源於2013年的一起涉外毒品案件中,紐約區法院發布了一項搜查令,要求微軟提供公司一名用戶的郵件和相關訊息。然而因為有些資料是存放在微軟公司在愛爾蘭的伺服器,因此微軟爭辯說郵件本身是儲存在愛爾蘭的,因此不應受到美國政府令狀效力所及。2014年聯邦地方法院再次要求微軟提供郵件內容——但微軟上訴到了聯邦第二巡迴法院。

  美國聯邦第二巡迴法院在判決中,認定基於《儲存通訊記錄法》(Stored Communications Act:SCA/下稱SCA)規定美國政府得以令狀要求連結網路使用者資料的規定並不適用於境外。法院所持理由為:
1. SCA規定搜索票/扣押票之核發應符合美國聯邦刑事訴訟法之相關規定,而美國聯邦刑事訴訟法第41條即規定搜索票/扣押票應由搜索/扣押標的物所在地之法院核發並交由該地或國內他地執法人員執行。
2. 法院曾於2010年之MORRISON ET AL. v. NATIONAL AUSTRALIA BANK LTD. ET AL.案判決理由中指明,如國會立法時認為某法規可能或必須有域外效力,應以明文定之,而SCA條文中並無任何規定寫明該法可於境外適用之。
3. SCA在第2703條所使用之搜索票/扣押票(warrant)一字,源自美國憲法增修條文第四條,即規定美國政府對其國內人民為搜索扣押時應以搜索票/扣押票(warrant)為之,且SCA更刻意以不同條款及不同強度區分搜索票/扣押票(warrant)與傳票(Subpoena),立法者之用意顯然是希望能以前者提供使用者更高度的隱私保護。 這是美國首例企業對獲取境外資料的政府搜查令提起上訴的案件,審判結果影響著美國法律界對於執法機關是否能就存放在世界上其他國家的美國用戶資料,進行合法調查。

相關連結
※ 美國聯邦上訴法院認定,美國政府不得強取境外伺服器資料, 資訊工業策進會科技法律研究所, https://stli.iii.org.tw/article-detail.aspx?d=7609&no=55&tp=1 (最後瀏覽日:2026/08/17)
引註此篇文章
你可能還會想看
對微軟每月定期公佈針對IE程式脆弱性修補程式為攻擊目標的網路攻擊正在發生-針對公佈PoC有發生大規模攻擊之虞

  雖然微軟才針對「Internet Explorer」弱點「CVE-2012-1875」剛公佈修補程式不久,但針對「CVE-2012-1875」的為攻擊目標的網路攻擊正在發生。   因為作業準則(PoC)也已經公佈,有可能會發展成大規模的網路攻擊。日本IBM的Tokyo SOC也已經確認發生針對脆弱性的惡意攻擊,並將攻擊的報告公佈在該中心的部落格上。經該中心分析現在攻擊的範圍雖然「非常限縮」,但是標的型攻擊的可能性非常的高。 也正因為作業準則(PoC)也已經公佈,也將被預測到發生大規模攻擊,微軟也呼籲儘速下載修補程式對程式弱點進行修補,避免遭到攻擊 。   微軟針對「CVE-2012-1875」的弱點在6月13日每月定期公佈的資訊安全性更新程式「MS12-037」進行修補。在6月13日公佈的時間點雖然已經確認發生惡意攻擊的資訊安全安事件,也已經透過非公開管道向微軟報告,但微軟並沒有公開確認弱點的存在。

歐盟推出《網路韌性法案》補充歐盟網路安全框架

  歐盟為提升網路數位化產品之安全性,解決現有網路安全監管框架差距,歐盟執委會於2022年9月提出《網路韌性法案》(EU Cyber Resilience Act)草案,對網路供應鏈提供強制性網路安全標準,並課予數位化產品製造商在網絡安全方面之義務。該法案亦提出以下四個具體目標:   1.確保製造商對於提升產品之網路安全涵蓋整個生產週期;   2.為歐盟網路安全之合法性創建單一且明確之監管架構;   3.提高網路安全實踐之透明度,以及製造商與其產品之屬性;   4.為消費者和企業提供隨時可用之安全產品。   《網路韌性法案》要求製造商設計、開發和生產各種硬體、有形及軟體、無形之數位化產品時,須滿足法規要求之網路安全標準,始得於市場上銷售,並應提供清晰易懂之使用說明予消費者,使其充分知悉網路安全相關資訊,且至少應於五年內提供安全維護與軟體更新。   《網路韌性法案》將所涵蓋之數位化產品分為三種類別(產品示例可參考法案附件三):I類別、II類別,以及預設類別。I類別產品之網路安全風險級別低於II類別產品、高於預設類別,須遵守法規要求之安全標準或經由第三方評估;II類別為與網路安全漏洞具密切關連之高風險產品,須完成第三方合格評估始符合網路安全標準;預設類別則為無嚴重網路安全漏洞之產品,公司得透過自我評估進行之。法案另豁免已受其他法律明文規範之數位化產品,惟並未豁免歐洲數位身份錢包、電子健康記錄系統或具有高風險人工智慧系統產品。   若製造商未能遵守《網路韌性法案》之基本要求和義務,將面臨高達1500萬歐元或前一年度全球總營業額2.5%之行政罰鍰。各歐盟成員國亦得自行制定有效且合於比例之處罰規則。

日本推動智慧醫療照護與巨量資料應用之趨勢觀察

美國德克薩斯州承認針對紙本文件的遠端墨水公證為法定線上公證方法

美國《德克薩斯州政府法(Government Code),以下簡稱政府法》的第406節「公證人、契約證明人(Notary Public; Commissioner of Deeds)」相關修正案於2024年1月1日正式生效,旨在針對該節的第406.101分節以下的線上公證相關規範,透過擴充線上公證要件,使遠端墨水公證(Remote Ink Notarization, RIN)成為法定線上公證方法,並明定相關程序要求,確保遠端墨水公證機制的安全性。 針對遠端墨水公證,依照美國土地產權協會(American Land Title Association, ALTA)提出的定義,係指文件透過影音媒體平台進行遠距公證,且無須經過多因子驗證。針對遠端墨水公證,雖然在新冠肺炎(COVID-19)流行期間,曾透過州長行政公告方式,承認在滿足指定條件下,得使用遠端墨水公證方式,進行交易,而本次修法則透過修正現有法規,以達到允許進行遠端墨水公證,且同時維持法定電子公證制度的安全架構。 本次修法內容如: 1.定義文件可包含實體及電子文件。 2.針對經電子公證的實體文件,承認委託人及公證人分別得使用實體符號(tangible symbol)及符合法定要求的辦公室印章,進行簽署。 3.強調電子公證應留存之紀錄內容,並非電子文件,而應留存文件的類型、標題及描述等規定。 跨境或電子交易已逐漸成為主流交易方式,而透過現行電子公證制度,雖然能夠強化電子或實體文件的可信性,惟公證制度實際上僅能針對公證當下的文件內容,提供擔保效力。若企業需要確保在公證前,相關文件內容未經偽變造,則必須在文件生成後落實適當資料管理措施。與此同時,公證人基於法規要求,對於經公證的電子、書面文件或公證紀錄等,負有法定保存或保密義務。若相關文件或紀錄發生外洩、外流等問題時,公證人除須負擔契約損害賠償責任外,甚至可能被科以刑責。因此,不論企業或公證人均可參考「重要數位資料治理暨管理制度規範(Essential Data Governance and Management System,簡稱EDGS)」,建立系統性的資料管理機制或強化既有管理機制,避免發生資料偽變造或外洩等問題。 本文同步刊登於TIPS網(https://www.tips.org.tw)

TOP