德國聯邦議會通過電力市場發展法(Gesetze zur Weiterentwicklung des Strommarktes)和能源轉型的數位化法(Gesetze zur zur Digitalisierung der Energiewende)。
本次新制定之電力市場法,是90年代後德國電力市場重大發展。目的在於調適電力市場,以配合當今德國快速成長的再生能源發電比例。為使電力供應繼續保持合理價格和電力供應可靠安全,在確認未來電力市場發展繼續朝向增加越來越多風力發電和太陽能發電之路線的同時,預先架構法制環境,為將來配合運用發電端的彈性、需求端彈性與電力儲存技術,確定電力市場發展方向和框架條件。在上述等規範之下,電力交易商有義務,亦即售電者應該設法建構自身電量儲備作為因應,在電網需要時饋入電網,為供電安全提供必要準備。另外在注重必要容量儲備上之投資外,亦強調電力批發市場上的自由定價原則,維持整體市場所需容量在均衡、平衡之穩定電力供應狀態。
另外,能源轉型數位化法則是使電力部門成為創新之有效制度工具。蓋其作為基礎建設,使新創業模式,例如藉由與消費者持有之再生能源發電設備之連結,發展出新商業獲利模式。修法核心內容係引入智慧量測系統,功能在於作為安全的通訊平台,使電力供應系統能夠配合能源轉型發揮最大功用。
最後,為配合巴黎協定後德國環境政策,在遏止溫室效應氣體的實施具體作為,電力市場法一部份重要內容在於暫時停止褐煤電力電廠發電運轉。配合電網安定的調度需求,僅在指定時間內,使其成為電力安全預備,並最終不再使用褐煤發電,以實現到2020年德國在電力部門的氣候目標。
德國完成電力市場法,結束由“綠皮書”和“白皮書”開始的進程,與鄰國經過廣泛的公眾諮詢和協調會議之後,最終選擇電力市場2.0與市場自由定價的機制,而反對所謂的容量市場。決定性的因素在於,如此一來政策所需花費的成本較另一選項來得低,且更容易使德國融入歐洲電力單一市場架構。依據本法新創建的容量儲備,將與電力市場中其他電力嚴格區分,專門作為應對突發事件額外的安全網。
在「區域合作聯合聲明」中,德國經濟與能源部長於2015年6月8日與11鄰國商討後決定,保證在電力短缺和高電價時,德國側將提供電力的自由定價和跨境交易,如此一來可用更低成本以生產電力,德國和周邊國家的內部單一市場在此看到了巨大的經濟優勢。
與歐洲各國相較,德國在電力供應安全議題上處於領先地位。再加上新的電力市場法,預計未來幾年電力市場能夠達到持續健全發展之目標。
本文為「經濟部產業技術司科技專案成果」
美國證券交易委員會(The Securities and Exchange Commission,以下簡稱SEC)於2018年11月8日發出聲明,依據1934年的證券交易法(下稱證交法)第21C條對EtherDelta 創辦人Zachary Coburn 提起訴訟,並做出要求其停止交易之禁止令。 EtherDelta 乃為一線上交易平台,允許買家和賣家在其平台上交易「以太幣」和其他虛擬貨幣。其平台特徵有: 提供平台,促成虛擬貨幣交換 EtherDelta之網站提供一線上平台予買賣雙方,對經過平台認證的虛擬貨幣進行交易,促成虛擬貨幣交換。於網站成立之一年半中,其促成了360萬筆訂單。 以智慧合約自動驗證進行交易 EtherDelta以智慧合約(smart contract)維持網站運作,其智慧合約檢查用戶發出之訊息是否有效,於確認買賣雙方帳戶都有足夠資金後,自動進行交易。 提供資訊且對用戶資格未設限 EtherDelta於網站上提供虛擬貨幣之資訊,以及個別虛擬貨幣之每日交易量,同時於網站上顯示前500筆買方和賣方之交易資訊,以價格和顏色進行分類。而其對於成為網站用戶之資格並無限制。 SEC於本案中認為,EtherDelta並未註冊成為證券交易所,卻執行與證券交易相關之業務,已違反證交法,其論述理由為: EtherDelta平台上之虛擬貨幣屬於證券性質 本案SEC使用Howey Test—美國聯邦最高法院於1946年在SEC v. W. J. Howey Co. 一案中所確立之測試要件,來判斷是否符合證券。由於用戶以金錢購買虛擬貨幣,該金錢投資行為建立共同事業,且具有藉由他人努力而獲利之期待,故屬於證券性質之虛擬貨幣。 EtherDelta性質上為交易所,但未為註冊 EtherDelta 作為平台聚集大量投資人,並以智慧合約促成買賣雙方進行虛擬貨幣交換,已屬於實現證券交易之行為,具有證交所功能,故於不具有豁免情形下,其未註冊已違反證交法第5條規定。 本案就SEC之主張,EtherDelta並未為否認或承認之表示,但同意該禁止交易之命令,並同意支付SEC行使歸入權之30萬美元及其他判決前利息和罰款。 觀察目前美國對於虛擬貨幣買賣行為之監管,並無立專法規範,僅以證交法為準則,就個別虛擬貨幣之性質以Howey Test為檢驗,個案認定是否屬於證券。倘若屬於證券,則對於進行交易之平台課予證券交易所之責任,而對於虛擬貨幣而言,被認定為證券勢必被課予義務俾利增加投資人之保障,可能增加公開度及透明度,然其快速籌資之功能亦可能有所減損,SEC對於虛擬貨幣之監管影響與成效均值得繼續觀察之。另外,SEC曾於2017年7月25日針對The DAO做出一調查報告,其於報告中認為證券型之虛擬貨幣需要受到監管,從而本案作為DAO報告之後被裁罰之虛擬貨幣交易平台首例,有其作為里程碑之重要意義。首先其確立了SEC自DAO報告之後對於證券性質虛擬貨幣需監管之見解,再者表達SEC認為就算採用去中心化、分散式節點之方式進行證券交易,同樣屬於證交法所稱之「證交所」,不因此而豁免監管。
淺談我國經濟部能源局建築能源效率管制措施淺談我國經濟部能源局建築能源效率管制措施 科技法律研究所 2013年3月25日 壹、事件摘要 行政院2012年9月份核定「經濟動能推升方案」,擘畫台灣2030年經濟藍圖。在該方案中,乃明示能源永續發展的重要性。經濟部能源局於2013年3月份公告修正「指定能源用戶應遵行之節約能源規定」,針對22,349家空調設備用電大之觀光旅館、百貨公司、零售式量販店、連鎖超級市場、連鎖便利商店、連鎖化妝品零售店、連鎖電器零售店及銀行、證券商、郵局、大眾運輸場站及轉運站等合計11類業者,實施「冷氣不外洩」、「禁用白熾燈泡」及「室內冷氣溫度限值」規定,預估每年可節省2,158萬度電。 經濟部能源局表示,11類服務業100年總用電量約71億度,其中空調用電量約占41%。觀鄰近中國大陸、南韓、日本政府均已針對營業場所訂有夏季室內空調溫度,並由公部門帶頭示範。台北市政府自2011年起亦開始推動「營業及辦公場所室內冷氣平均溫度須保持在攝氏二十六度以上」規定,實施至今有效促使約700家能源用戶(契約容量超過300kW)之空調均溫維持於二十六度,實施結果由99年不合格率32.3%,至101年不合格率降低為4.9%,顯示執行該規定有效可行。 貳、重點說明 經濟部能源局新修正公告之「指定能源用戶應遵行之節約能源規定」,乃著眼於建築物內部耗能之管制,而該管制措施乃近年來歐、美等先進國家亟力促進推動的建築能源效率(energy efficiency)議題。 參、事件評析 據統計,建築物耗能占人類經濟活動總碳排放量40%,而台灣地區舊建築物約莫占整體建築物97%,如何有效提升舊建築物本身之能源效率為重要課題。查內政部建築研究所之相關研究,建築物節能主要含括三個面向 - 外殼節能、空調節能及照明節能,因建築外殼節能為內政部營建署之管轄範疇,故經濟部能源局僅就建築物之空調節能及照明節能進行管制,本文將以美國聯邦能源部(Department of Energy, DOE)相關之法制政策為比較探討。 美國聯邦政府於2011年2月份正式啟動「更佳建築倡議」(Better Building Initiative),於2012年12月份能源部(Department of Energy, DOE)發布之進度報告(Progress Report)指出,目前建築能源效率存有若干投資障礙,第一,尚缺少能源效率投資成本節省之實證數據;第二,尚缺少潛在市場和技術解決方案之相關資訊;第三,能源效率作為商業最佳實踐尚未普遍被接受。基此,能源部將致力於促進能源效率投資並強化聯邦公部門示範作用等手段。 在促進能源效率投資上,因市場尚缺乏相關數據資訊,難就能源效率之市場價值進行驗證;將研議相關機制,作為未來融資和建築物改善的基礎。另在聯邦公部門強化示範作用上,將透過聯邦能源管理計劃(Federal Energy Management Program, FEMP)和節能績效契約(Energy Savings Performance Contract, ESPC),持續強化能源技術服務公司(Energy Service Companies, ESCO)進行聯邦建築物節能效益之提升和擔保。 此外,於該倡議旗下之「更佳建築挑戰」(Better Building Challenge)乃鼓勵民間部門之參與。以美國百貨業龍頭梅西百貨(Macy)為例,其承諾將透過能源資訊系統(EMS)之使用、觀察及分析,找出佔地一億七千九百萬平方呎的商業樓地板面積之關鍵能源機會。照明方面,該公司也以超過一百萬盞LED燈之替換與重點照明,在過去三年內減少了百分之七十的照明能源消耗。 綜上觀察,我國能源局新修正「指定能源用戶應遵行之節約能源規定」下「禁用白熾燈泡」規定,乃禁止十一類業者使用二十五瓦特以上之白熾燈泡於一般照明用途,近似於美國梅西百貨於「更佳建築挑戰」下所承諾之LED重點照明之實踐。此外,借鏡美國經驗,我國宜研議建立起台灣建築能源效率數據資訊之系統資料庫,助於未來舊建築改善市場之發展。
日本專利法中舉發和異議制度之沿革及現況日本專利法中舉發和異議制度之沿革及現況 資策會科技法律研究所 法律研究員 蘇彥彰 104年11月30日 日本於2014年基於「促進創新以催生優秀技術和商品,作為產業競爭力的源頭」之目的,在兼顧國際化和中小企業使用需求的前提下,就整體智慧財產法制包括發明專利法(特許法)、新型專利法(実用新案法)、設計專利法(意匠法)、商標法、國際專利申請法、專利師法等進行相當程度的修正,而其中專利法的修正重點之一為重新建立專利[1]的異議程序,並修正原有舉發程序之主體資格。由於日本產業種類和專利法制均與我國相近,其產業界對於專利之運用策略亦為值得我國業者參考之對象[2],因此我國對於日本在相隔超過十年後再次恢復異議程序,使專利撤銷重新回歸異議和舉發雙軌制度之修正背景和具體作法,應有進行了解之必要。 一、日本專利撤銷制度沿革 日本於2003年時,基於以下原因[3],廢除了原已實行超過80年的專利異議制度,將異議制度的功能整合於專利舉發制度中: (1)異議和舉發在制度設計上的區別性不足,以致於實務上同樣都被視為解決私權紛爭的方式; (2)當時的異議制度,在過程中並未能充分給予異議人具夠的意見表達機會,使整體異議人對處理結果滿意度低落; (3)異議和舉發實際上常同時繫屬於專利廳(特許庁),且由於制度結構不同無法合併處理;又或者異議人在異議被駁回後再提出舉發,造成紛爭解決時程的拖延,增加當事人之負擔且不利專利之安定性。 然而日本廢除異議程序後發現,以言詞審理為原則的專利舉發程序,對於當事人間的人力、時間、金錢負擔較過去異議程序為大,尤其對於非都會區的使用者,或是偏向研發而不進行製造的大學單位更不易進行運用,造成專利撤銷制度的受使用數下降。如此一來雖然短時間內專利核准數量和速度可因而提昇,但長此以往恐將增加有瑕疵的專利在市場上存在和流通的可能性,而更令日本方面憂心的是若事業者於獲得專利後已大舉進行投資,經過相當時日與競爭者間發生侵權糾紛後才被專利廳或法院認定專利無效,將可能對事業造成致命的損害[4]。因此在商業活動全球化,國際專利也透過專利高速公路而加快取得速度的現在,提高專利權安定的必要性也與日俱增。 基於上述背景,日本於2014年修正之專利法中,重新納入了異議制度,允許任何人(包括利害關係人及其他第三人在內),在專利公告後六個月內以不符專利要件、不符權利互惠原則、不應核發專利之發明、重複核發專利、欠缺說明書支持等涉及公眾利益之理由,向專利廳聲明異議並進行書面審查。若專利廳審查後初步認定異議有理由,將向專利權人發出撤銷理由通知,專利權人則可在縮限專利申請範圍、訂正誤記誤譯、就不明瞭記載進行釋明等不使專利範圍擴大的前提下,提出專利內容的更正;另一方面,異議人也可就專利廳的撤銷理由通知以及專利權人的更正請求提出意見書。此作法除可有效落實異議制度提昇專利品質、排除不適當專利外,亦可提高異議人對於異議結果的滿意度;此外在恢復異議程序的同時,新制也針對舉發程序進行修正,將發動舉發程序的權利主體限於利害關係人。 二、修正後日本專利異議和舉發程序分析 修正後的日本專利法,針對已公告核准的專利權再次設有異議和舉發兩道事後審查程序 (1)異議程序[5] 異議程序之目的在於就已成立之專利權儘早進行內容檢討修正,因此除限於公告後六個月內提出、異議理由限於與公眾利益有關之事項外,並採取完全書面審查方式,以加快審查速度且減低程序上支出。若專利廳認為異議有理由並撤銷專利時,專利權人可向高等智財法院起訴尋求救濟,但若專利廳認為異議無理由時,異議人不得聲明不服。附帶一提,雖然異議人具備利害關係人身份時可另行發動舉發程序,但就制度設計目的和精神而言,舉發並非異議結果之救濟程序。 (2)舉發程序 相較於以公益為目的之異議程序,修法後舉發程序之目的更加明確導向解決當事人間的具體權利紛爭。新制下,舉發主體限縮為利害關係人,但相對在時點方面,則容許於專利公告後任何時點提出(包括專利權期滿消滅後),理由亦不限於公眾利益事項,包括專利權人實際上並非專利申請權人之權利歸屬事項在內亦可作為舉發之理由,且審查過程以言詞審查為原則,若當事人對舉發結果不服,無論權利人或舉發人,均可向高等智財法院起訴尋求救濟。 三、小結:對我國專利撤銷制度之啟發 (1)以舉發程序取代異議程序之成效似乎有限 我國於2003年修正專利法之規定,廢除異議制度,整合原有異議與舉發之法定事由,期望能簡化程序並使權利及早確定[6]。 然而如同日本方面經過統計後得知,其國內舉發案件量在異議程序廢除前後幾乎沒有區別。若分析我國智慧財產局自1996年至2014年所進行之專利統計資料後可發現,1996年至2003年間每年約有近2000件異議案件及600餘件之舉發案件提出,自2004年起,異議案件提出量當然完全歸零,但舉發案件之數量雖在初期大量增加,隨後便如同日本情形,舉發案件量呈現快速減少之趨勢,近兩年已回歸2003年異議程序廢除前每年約600餘件之舉發量[7]。在異議案件量完全歸零,而舉發案件量無明顯成長的情況下,原本以舉發程序取代異議程序之目的是否有效達成,實不無疑問。 (2)區別權利主體設計不同的專利撤銷制度 與日本較強調當事人間紛爭解決功能、強化當事人程序上保障、甚至專利法中明文準用民事訴訟法上證據調查之相關規定[8]相比,我國舉發制度或因從職權撤銷專利權制度逐步補充而形成,故較著重於原處分之糾正和撤銷不合法之專利權,對當事人紛爭解決的關注度程度較低[9]。 就此,近來即有實務意見指出,公眾審查制度的設計可依請求審查對象區分為任何人(不包含專利權人)與利害關係人兩種。其中,不涉及利害關係的第三人僅能在專利公告後一段期間內提出無效請求,而利害關係人只要在專利權存續期間均能提起無效請求,甚至在專利權消滅後亦能提出,使得無效爭議案件集中限制在現行涉訟優先審查的專利舉發案,如此可促使專利無效案件審查的加速化、高品質化。且無論該專利無效爭議案件的審理結果是否確定,均可作為智慧財產法院在審理專利有效性的依據,使得第一次判斷權回歸至專利專責機關。同時,也能保障專利權人的救濟機會與審級利益[10],此一意見實與日本2014年專利法之修正方向一致。我國在專利法制研擬上或可參考之,就專利撤銷制度以權利主體和程序目的為出發點,再次進行類型化的區分。 [1] 和我國將發明專利、新型專利、設計專利均置於單一「專利法」中規範的作法不同,日本的「特許法」、「実用新案法」、「意匠法」均為個別獨立之法規,故本文中之所稱「專利」均係指我國之「發明專利」,不包括「新型專利」和「設計專利」在內。 [2] 莊榮昌,〈從日本企業的立場看專利無效審判〉,《專利法制與實務論文集(95年)》,頁545(2007)。 [3] 高畑豪太郎,《新・特許異議申立制度の解説―平成26年特許法改正―》,経済産業調査会,初版,頁37(2014)。 [4] 同前註,頁5。 [5] 「特許異議の申立」規定於2014年修正後日本專利法第113條以下。 [6] 〈歷年專利相關法規〉,經濟部智慧財產局,https://www.tipo.gov.tw/fp.asp?fpage=lp&ctNode=6678&CtUnit=3205&BaseDSD=7&mp=1(最後瀏覽日:2015/12/14) [7] 〈歷年統計〉,經濟部智慧財產局網站,https://www.tipo.gov.tw/lp.asp?ctNode=6721&CtUnit=3231&BaseDSD=7&mp=1(最後瀏覽日:2015/09/25) [8] 特許法(昭和三十四年四月十三日法律第百二十一号)第百五十一条「第百四十七条並びに民事訴訟法第九十三条第一項 (期日の指定)、第九十四条(期日の呼出し)、第百七十九条から第百八十一条まで、第百八十三条から第百八十六条まで、第百八十八条、第百九十条、第百九十一条、第百九十五条から第百九十八条まで、第百九十九条第一項、第二百一条から第二百四条まで、第二百六条、第二百七条、第二百十条から第二百十三条まで、第二百十四条第一項から第三項まで、第二百十五条から第二百二十二条まで、第二百二十三条第一項から第六項まで、第二百二十六条から第二百二十八条まで、第二百二十九条第一項から第三項まで、第二百三十一条、第二百三十二条第一項、第二百三十三条、第二百三十四条、第二百三十六条から第二百三十八条まで、第二百四十条から第二百四十二条まで(証拠)及び第二百七十八条(尋問等に代わる書面の提出)の規定は、前条の規定による証拠調べ又は証拠保全に準用する。」 [9] 蔡鴻仁,《發明專利舉發之研究》,輔仁大學法律學研究所碩士論文,頁22至23(2004)。 [10] 陳政大,〈我國專利公眾審查制度之調整初探〉,廣流智權事務所,http://www.wipo.com.tw/wio/?p=4316(最後瀏覽日:2015/09/30)
美國各州逐步研議透過立法豁免企業資安事件賠償責任美國各州逐步研議透過立法豁免企業資安事件賠償責任 資訊工業策進會科技法律研究所 2024年06月10日 為鼓勵企業採用資安標準與框架,美國已有幾州開始透過立法限縮企業資安事件賠償責任,企業若能舉證證明已符合法令或遵循業界認可之資安框架和標準,則於資安攻擊事件所致損害賠償訴訟中,將無需承擔賠償責任。 壹、事件摘要 為避免有心人士於未取得經授權下近用網路和敏感資料,企業往往投入大量資源打造資安防護架構,惟在現今網路威脅複雜多變的環境下,仍可能受到惡意資安攻擊,導致資料外洩事件發生,導致企業進一步面臨訴訟求償風險,其中多數指控為未實施適當的資安措施。為此美國佛羅里達州和西維吉尼亞州研議透過立法限縮企業之資安事件賠償責任,以鼓勵企業採用資安標準、框架與資安相關法令。 貳、重點說明 繼美國俄亥俄州[1]、猶他州[2]和康乃狄克州[3]相繼頒布法令,讓已實施適當安全維護措施之企業,豁免資安攻擊所致資料外洩之損害賠償責任,佛羅里達州和西維吉尼亞州近期亦提出相似法案,以下介紹兩州法案之重點: 一、佛羅里達州 美國佛羅里達州於2023年11月公布《資安事件責任法案》 (H.B 473: Cybersecurity Incident Liability)[4],法案納入「安全港條款」(Safe Harbor),當企業遭受資安攻擊致生個資外洩事件,如可證明已遵循產業認可的資安標準或框架,實施適當的資安措施與風險控管機制,則可免於賠償責任,以鼓勵企業採納資安標準或框架。 為適用安全港條款,企業須遵循佛羅里達州資訊保護法(The Florida Information Protection Act),針對資料外洩事件,通知個人、監管機關和消費者,並建立與法案內所列當前產業認可的資安標準、框架,或是特定法令規範之內容具一致性的資安計畫(Cybersecurity Programs): (一)當前產業認可的資安標準、框架 1. 國家標準暨技術研究院(National Institute of Standards and Technology, NIST)改善關鍵基礎設施資安框架(Framework for Improving Critical Infrastructure Cybersecurity)。 2. NIST SP 800-171-保護非聯邦系統和企業中的受控非機密資訊。 3. NIST SP 800-53 和 SP 800-53A- 資訊系統和企業的安全和隱私控制/ 評估資訊系統和企業中的安全和隱私控制。 4. 聯邦政府風險與授權管理計畫(Federal Risk and Authorization Management Program, FedRAMP)安全評估框架。 5. 資安中心( The Center for Internet Security, CIS)關鍵安全控制。[5] 6. ISO/IEC 27000系列標準。 7. 健康資訊信任聯盟(The Health Information Trust Alliance, HITRUST)通用安全框架(Common Security Framework)[6]。 8. 服務企業控制措施類型二(Service Organization Control Type 2, SOC 2)框架。 9. 安全控制措施框架(Secure Controls Framework)。 10. 其他類似的產業標準或框架。 (二)特定法令規範 企業(entity)如受以下法令規範,亦得適用安全港條款,如法令有修訂,企業應在發布修訂後的一年內更新其資安計畫: 1. 健康保險可攜與責任法(The Health Insurance Portability and Accountability Act, HIPAA)之安全要求。 2. 金融服務現代化法(The Gramm-Leach-Bliley Act)第五章。 3. 2014 年聯邦資訊安全現代化法(The Federal Information Security Modernization Act of 2014)。 4. 健康資訊科技促進經濟和臨床健康法(The Health Information Technology for Economic and Clinical Health Act, HITECH)之安全要求。 5. 刑事司法資訊服務系統 (The Criminal Justice Information Services, CJIS)安全政策。 6. 州或聯邦法律規定的其他類似要求。 該法案雖於2024年3月5日經佛羅里達州參議院三讀通過,但於2024年6月26日遭州長否決[7],其表示法案對於企業的保障範圍過於廣泛,如企業採取基礎的資安措施與風險控管機制,便得主張適用安全港條款,將可能導致消費者於發生個資外洩事件時,無法受到足夠的保障。州政府鼓勵利害關係人與該州網路安全諮詢委員會(Florida Cybersecurity Advisory Council)合作,探求法案的替代方案,以保護消費者資料。 二、西維吉尼亞州 美國西維吉尼亞州於2024年1月29日提出眾議院第5338號法案[8],修訂西維吉尼亞法典(Code of West Virginia),增訂第8H章資安計畫安全港條款(Safe Harbor for Cybersecurity Programs),如企業符合業界認可的資安標準、框架或依特定法令建立與實施資安計畫,包含個人資訊和機敏資料的管理、技術和企業保障措施,將能夠於侵權訴訟中,主張適用避風港條款。 法令內明列評估企業所建立的資安計畫規模和範圍是否適當之要素,包含: 1. 企業的規模和複雜性; 2. 企業的活動性質和範圍; 3. 受保護資訊的敏感性; 4. 使用資安防護工具之成本和可用性; 5. 企業可運用的資源。 (一)當前產業認可的資安標準、框架 除與佛羅里達州法案所列舉業界認可的資安標準之前六項相同,另增加: 1 NIST SP 800-76-2個人身分驗證生物辨識規範(Biometric Specifications for Personal Identity Verification)[9]。 2. 資安成熟度模型認證(The Cybersecurity Maturity Model Certification, CMMC)至少達到第2級,並經外部驗證(external certification)。 (二)特定法令規範 除與佛羅里達州法案所列舉特定法令之前四項相同,另增加:由聯邦環境保護局(Environmental Protection Agency, EPA)、資安暨基礎設施安全局(Cybersecurity and Infrastructure Security Agency, CISA)或北美可靠性公司(North American Reliability Corporation)[10]所採用任何適用於關鍵基礎設施保護的規則、法規或指南。 惟目前法案已於2024年3月27日被西維吉尼亞州長否決[11],其表示透過安全港條款鼓勵企業實踐資安框架雖立意良好,但也可能遭濫用而帶來不當影響,例如TikTok等大型國際企業,如在違背公民意願情況下共享個人資料時,將免於訴訟,恐有損其公民權益,未來州政府將與利害關係人持續進行協商。 參、事件評析 佛羅里達州和西維吉尼亞州近期同步公布有關限制企業於資安事件之責任相關法案,內容亦為相似,西維吉尼亞州之法案目前已遭否決,主要係擔心該豁免條款遭到不當濫用;佛羅里達州之法案亦因對於企業保障過廣與無法保障消費者個資安全考量,而遭州長否決。 法案中明列受產業普遍認可的資安標準、框架與政府所頒布特定法令,有助企業明確遵循與採納,建立與實施資安計畫,惟如何舉證所建立之資安計畫或實施之資安措施,與法案所列之資安標準、框架,或是特定法令規範,具有實質上的一致性,仍不明確,將可能阻礙企業於訴訟上行使抗辯與主張責任豁免權。未來美國如何權衡產業穩健發展與民眾個資保障,仍有待持續觀察。 [1] Chapter 1354 - Ohio Revised Code, Ohio Laws, https://codes.ohio.gov/ohio-revised-code/chapter-1354 (last visited May 24, 2024). [2]Part 7 Cybersecurity Affirmative Defense Act, Utah StateLegislative, https://le.utah.gov/xcode/Title78B/Chapter4/78B-4-P7.html (last visited May 24, 2024). [3]Frederick Scholl, Connecticut’s New Breach Notification and Data Security Laws: Carrots and Sticks, Quinnipiac University, July,1,2021,https://www.qu.edu/quinnipiac-today/connecticuts-new-breach-notification-and-data-security-laws-2021-07-01/ (last visited May 24, 2024). [4]CSHB 473-Cybersecurity Incident Liability, The Florida Senate,https://www.flsenate.gov/Session/Bill/2024/473 (last visited Jun. 28, 2024). [5]資安中心( The Center for Internet Security, CIS)為美國非營利組織,負責推動CIS Controls,針對實際發生的資安攻擊行為提供防禦建議,作為企業保護 IT 系統和資料時可參考之最佳實務作法。資料來源:About us, Center for Internet Security, https://www.cisecurity.org/about-us (last visited Jun. 6, 2024). [6]What is HITRUST?, Schneider Downs,https://schneiderdowns.com/cybersecurity/what-is-hitrust/ (last visited May 24, 2024). [7]Governor of Florida, Vote letter for House Bill 473(2024), https://www.flgov.com/wp-content/uploads/2024/06/Veto-Letter_HB-473.pdf (last visited Jun. 28, 2024). [8]2024 REGULAR SESSION ENROLLED Committee Substitute for House Bill 5338, WEST VIRGINIA LEGISLATURE,https://www.wvlegislature.gov/Bill_Status/bills_text.cfm?billdoc=hb5338%20sub%20enr.htm&yr=2024&sesstype=RS&i=5338 (last visited May 24, 2024). [9]NIST SP 800-76-2 Biometric Specifications for Personal Identity Verification, National Institute of Standards and Technology, https://csrc.nist.gov/pubs/sp/800/76/2/final (last visited May 24, 2024). [10]北美電力可靠性公司(North American Electric Reliability Corporation, NERC),為一家非營利機構,致力推動關鍵基礎設施保護相關標準,以強化北美大規模電力系統(亦即電網)的可靠性和安全性,資料來源:https://www.nerc.com/Pages/default.aspx (last visited May 24, 2024). [11]Governor of West Virginia, Enrolled Committee Substitute for House Bill 5338(2024),https://www.wvlegislature.gov/Bill_Text_HTML/2024_SESSIONS/RS/veto_messages/HB5338.pdf (last visited May 24, 2024).