日本經產省與國交省提出「自動駕駛推動發展與制度規劃」檢討報告
日本經濟產業省於2016年11月14日召開第二次「自動駕駛商業檢討會」，邀請產官學研各界對於自動駕駛未來國際標準的動向以及諸如協調領域、社會接受度、制度和基礎建設等方面所涉議題，交換意見。
該檢討會首先注意到美國、歐洲以及韓國對於自動駕駛各式規則或指引制定的討論。在協調領域方面，檢討會指出：關於自動駕駛所需的地圖資訊，應由各汽車製造商協調，透過合作機制或規範來確保資訊與資金提供的公平性。
社會接受度方面，檢討會則提出建議考量是否需要針對不擅駕駛的高齡者或初學者，提供有效系統的必要性。在制度與基礎建設方面，檢討會則指出：以現狀而言，自動駕駛服務的商業永續性仍不明朗，必須持續進行實證試驗。
此外，為減少交通事故與因應少子化，與汽車的ICT革命等議題，由國土交通省於同年11月25日設立「自動駕駛戰略本部」（自動運転戦略本部），並於12月9日召開第一次會議。
該次會議討論的範圍包括：為實現無人駕駛的環境整備、自動駕駛技術的研發、普及與促進，以及為實現自動駕駛的實證與社會試驗。
會議結論則由國土交通大臣指示針對「車輛的技術基準」、「年長者事故對策」、「事故發生時的賠償規則」、「大卡車列隊行走」、「非平地道路間以車站為據點的自動駕駛服務」等議題速成立工作小組。
徐彪豪
法律研究員 編譯整理
〈自動走行ビジネス検討会 将来ビジョン検討ワーキンググループ （平成28年度第2回）-議事要旨〉，経済産業省，http://www.meti.go.jp/committee/kenkyukai/seizou/jido_soukou/vision/h28_02_giji.html（最後瀏覽日：2017/02/22）。
国土交通省，〈国土交通省自動運転戦略本部の設置について〉，2016/11/25， http://www.mlit.go.jp/common/001153686.pdf（最後瀏覽日：2017/02/22）。
2007年2月份美國加州聖地牙哥法院甫宣判，微軟公司必須支付約15億美元（折合新台幣近500億元）給阿爾卡特（Alcatel-Lucent）公司，以解決微軟公司產品使用MP3技術所引發的糾紛。不過在3月初，另一位聯邦法官Rudi Brewster做出一項裁定，駁回阿爾卡特公司所有的主張，因為阿爾卡特公司主張微軟公司侵害一項其所有之有關語音編碼的技術專利。 微軟與阿爾卡特的專利官司可追溯至2003年，當時未合併前的朗訊（Lucent，二公司於2006下半年合併）公司控告PC製造商Dell與Gateway使用其所擁有的MP3技術專利。微軟公司後來被捲入這場專利糾紛，與阿爾卡特（Alcatel-Lucent）公司專利官司的糾紛日益擴大。二家公司爭訟的結果，在2月份的判決，根據2003年5月以來微軟公司所賣出的每台Windows PC數目，來計算出可能造成的損失，所以微軟公司才必須付出約15億美元的天價。 但是3月的這項裁定，卻阻止阿爾卡特公司趁勝追擊。在知識經濟的時代中，專利訴訟的結果甚至可能影響一家公司的興亡，相信沒有多少家公司可以輕易付出15億美元的賠償，如何確保不侵犯他人的智慧財產是很重要的課題。此外，爭訟的雙方都是業界的重量級廠商，不論結果如何，後續的發展都值得大家關注。
智慧財產法院成立及運作的政策 正式啟動司法院於94年年終記者會時，正式發佈我國智慧財產法院即將成立及運作的政策。有鑒於國內外企業在台的專利、商標、著作權等紛爭越來越多，為了節省司法資源、快速釐清企業糾紛、不耗損社會資源等目的，智慧財產法院乃為司法現代化相當重要的一環。 我國的智財官司時，多是以刑事訴訟為主附帶民事官司，有別於歐美各國的智慧財產案件多以民事訴訟為主。未來智慧財產法院所管轄案件除了民事訴訟事件、刑事訴訟案件外，還包括有行政訴訟事件與強制執行事件，集中事權，專責審理智財權相關案件。此外，為了因應科技界日新月異的技術發展，在智慧財產法院扮演關鍵角色的「技術審理官」，主要負責輔助法官從事專業技術問題之判斷，因此除了由全職公務員－專利審查官或是商標審查官擔任外，亦可任用公私立大專院校之老師或專業研究機構之研究員。 另一方面，為避免大型企業利用資金優渥之優勢，打壓小型科技公司的發展，智慧財產訴訟中的「假處分」聲請規定，相較於現行民事訴訟法規定嚴格許多，假處分聲請人除提供擔保金外，還必須「強制釋明」理由，若是釋明不足者，法院可駁回其聲請。 目前司法院已研擬完成「智慧財產法院組織法草案」及「智慧財產案件審理法草案」的全部條文，並公布在司法院網站上，預定在立法院下會期提交立法。
歐盟資料保護工作小組修正通過個人資料侵害通報指引歐盟資料保護工作小組修正通過「個人資料侵害通報指引」 資訊工業策進會科技法律研究所 法律研究員 李哲明 2018年3月31日 壹、事件摘要 因應歐盟「通用資料保護規則」（The General Data Protection Regulation，或有譯為一般資料保護規則，下簡稱GDPR）執法即將上路，針對個人資料侵害之通報義務，歐盟資料保護工作小組（Article 29 Data Protection Working Party, WP29）特於本（2018）年2月6日修正通過「個人資料侵害通報指引」（Guidelines on Personal data breach notification under Regulation 2016/679），其中就GDPR所規範個資侵害之定義、對監管機關之通報、與個資當事人之溝通、風險及高風險評估、當責與紀錄保存及其他法律文件所規定之通報義務等，均設有詳盡說明與事例。 貳、重點說明 一、何謂個資侵害？個資侵害區分為哪些種類？ 依據GDPR第4條（12）之定義，個資侵害係指：「個人資料因安全性之侵害所導致意外或非法之毀損、喪失、修改、未經授權之揭露、存取、個資傳輸、儲存或其他處理。」舉例來說，個人資料之喪失包括含有控制者（controller）顧客資料庫的備份設備之遺失或遭竊取。另一例子則為整份個資的唯一檔案遭勒索軟體加密，或經控制者加密，但其金鑰已滅失。依據資訊安全三原則，個資侵害之種類區分為： 機密性侵害（Confidentiality breach）：未經授權、意外揭露或獲取個人資料。 完整性侵害（Integrity breach）：未經授權或意外竄改個人資料。 可用性侵害（Availability breach）：在意外或未經授權之情況下，遺失個人資料存取權限或資料遭銷燬。 二、何時應為通知？ 按GDPR第33條（1）之規定，當個資侵害發生時，在如果可行之情況下，控制者應即時（不得無故拖延）於知悉侵害時起72小時內，依第55條之規定，將個資侵害情事通報監管機關。但個資侵害不會對自然人之權利和自由造成風險者，不在此限。倘未能於72小時內通報監管機關者，應敘明遲延之事由。 三、控制者「知悉」時點之判斷標準為何？ 歐盟資料保護工作小組認為，當控制者對發生導致個人資料侵害的安全事件達「合理確信的程度」（reasonable degree of certainty）時，即應視為其已知悉。以具體事例而言，下列情況均屬所謂「知悉」： 在未加密個人資料的情況下遺失USB密鑰（USB Key），通常無法確定是否有未經授權者將獲致存取資料權限。即使控制者可能無法確定是否發生機密性侵害情事，惟仍應為通知，因發生可用性侵害之情事，且已達合理確信的程度。 故應以控制者意識到該密鑰遺失時起為其「知悉」時點。 第三人通知控制者其意外地收到控制者的客戶個人資料，並提供該揭露係未經授權之證據。當侵害保密性之明確證據提交控制者時，即為其「知悉」時點。如：誤寄之電子郵件，經非原定收件人通知寄件者之情形。 當控制者檢測到其網路恐遭入侵，並針對其系統進行檢測以確認個人資料是否遭洩漏，嗣後復經證實情況屬實，此際即屬「知悉」。 網路犯罪者在駭入系統後，聯繫控制者以索要贖金。在這種情況下，控制者經檢測系統並確認受攻擊後，亦屬「知悉」。 值得注意的是，在經個人、媒體組織、其他來源或控制者自我檢測後，控制者或將進行短暫調查，以確定是否發生侵害之事實。於此調查期間內所發現之最新侵害情況，控制者將不會被視為「知悉」。然而，控制者應儘速展開初步調查，以形成是否發生侵害事故之合理確信，隨後可另進行更詳盡之調查。 四、共同（聯合）控制者之義務及其責任分配原則 GDPR第26條針對共同控制者及其如何確定各自之法遵義務，設有相關規定，包括決定由哪一方負責遵循第33條（對主管機關通報）與第34條（對當事人通知）之義務。歐盟資料保護工作小組建議透過共同控制者間之契約協議，約明哪一方係居主要地位者，或須負責盡到個資侵害時，GDPR所定之通知義務，並載於契約條款中。 五、通報監管機關與提供資訊義務 當控制者通報監管機關個資侵害情事時，至少應包括下列事項 （GDPR第33條（3）參照）： 敘述個人資料侵害之性質，包括但不限於所涉之相關個資當事人、個資紀錄及其類別、數量。 傳達資料保護長（DPO）或其他聯絡人之姓名與聯絡方式，俾利獲得進一步資訊。 說明個資侵害可能之後果。 描述控制者為解決個資侵害業已採取或擬採行之措施，在適當情況下，酌情採取措施以減輕可能產生之不利影響。 以上乃GDPR要求通報監管機關之最基本事項，在必要時，控制者仍應盡力提供其他細節。舉例而言，控制者如認為其處理者係個資侵害事件之根因（root cause），此時通報並指明對象即可警示委託同一處理者之其他控制者。 六、分階段通知 鑒於個資事故之性質不一，控制者通常需進一步調查始能確定全部相關事實，GDPR第33條（4）爰設有得分階段通知（notification in phases）之規定。凡於通報時，無法同時提供之資訊，得分階段提供之。但不得有不必要之遲延。同理，在首次通報後之後續調查中，如發現該事件業已受到控制且並未實際發生個資侵害情事，控制者可向監管機關為更新。 七、免通報事由 依據GDPR第33（1）條規定，個資侵害不會對自然人之權利和自由造成風險者，毋庸向監管機關通報。如：該遭洩露之個人資料業經公開使用，故並未對個人資料當事人構成可能的風險。 必須強調的是，在某些情形下，未為通報亦可能代表既有安全維護措施之缺乏或不足。此時監管機關將可能同時針對未為通報（監管機關）或通知（當事人），以及安全維護措施之缺乏或不足，以違反第33條或（及）34條與第32條等獨立義務規定為由，而依第83條4（a）之規定，併予裁罰。 參、事件評析 一、我國企業於歐盟設有分支機構或據點者，宜指派專人負責法遵事宜 揆諸GDPR前揭規定，當個資侵害發生時，控制者應即時且不得無故拖延於知悉時起72小時內，將個資侵害情事通報監管機關。未能履踐義務者，將面臨最高達該企業前一會計年度全球營業額之2%或1千萬歐元，取其較高者之裁罰。我國無論金融業、航運業、航空運輸業、電子製造業及進出口貿易業者等，均或有於歐盟成員國境內或歐洲經濟區（European Economic Area）當地設立子公司或營業據點。因此，在GDPR法遵衝擊的倒數時刻，指派具瞭解GDPR規定、當地個資隱私法遵規範、擅長與隱私執法機構溝通及充要語言能力者專責法遵業務實刻不容緩。蓋此舉可避免我國企業母公司鞭長莫及，未能及時處置而致罹法典之憾。 二、全面檢視個資業務流程，完備個資盤點與風險評鑑作業，掌握企業法遵現況 企業應全面檢視業務流程，先自重要核心業務中析出個資作業流，搭配全面個資盤點，並利用盤點結果進行風險評鑑，再針對其結果就不同等級之風險採行相對應之管控措施。此外，於全業務流程中，亦宜採行最小化蒐集原則，避免蒐集過多不必要之個人資料，尤其是GDPR所定義之敏感個資（如：種族、民族血統、政治觀點、宗教信仰、哲學信仰、工會會員資格等個人資料，及遺傳資料的處理，用於識別特定自然人之生物識別資料、健康資料、性生活、性取向等）或犯罪前科資料，俾降低個人資料蒐集、處理、利用、檔案保存及銷燬之全生命週期流程中的風險。此舉亦契合我國個人資料保護法第5條所揭櫫之原則。 三、立法要求一定規模以上之企業須通過個資隱私法遵第三方認（驗）證，並建置認證資訊公開平台 鑒於國際法遵衝擊以及隱私保護要求之標準線日漸提升，我國企業除自主導入、建置並維運相關個資保護與管理制度以資因應，更有賴政府透過法令（如：修正個人資料保護法）強制要求一定規模以上之企業通過第三方專業驗證，俾消弭風險於日常準備之中。蓋我國具一定規模以上企業，無論其係屬何種業別，一旦違反國際法遵要求，遭致鉅額裁罰，其影響結果將不僅止於單一企業，更將嚴重衝擊該產業乃至於國家整體經貿發展。職是，採法律強制要求企業定期接受獨立、公正及專業第三方認（驗）證，咸有其實益性與必要性。
加州立法機關提出2020年加州消費者隱私法修正案，擴大對未成年消費者個人資料之保護2024年1月29日，加州立法機關提出2020年加州消費者隱私法（California Consumer Privacy Act of 2020）之修正案，限制企業出售、分享、使用及揭露18歲以下消費者的個人資料。 2020年加州消費者隱私法旨在保護消費者之個人資料相關權利。依現行條文，企業向第三方出售、分享消費者個資前，應向消費者發出通知。而消費者有權拒絕出售、分享其個資，即便消費者曾經同意，亦有權隨時要求企業停止出售、分享行為。現行條文尚禁止企業在明知消費者未滿16歲的情況下，出售或分享消費者個資。除非年滿13歲消費者本人授權，或未滿13歲消費者父母授權，企業方可為之。 然該法修正案調整了前述條文，改為禁止企業在明知消費者未滿18歲的情況下，出售或分享消費者個資，除非企業取得年滿13歲消費者本人之授權，或取得13歲以下消費者父母之授權。 加州消費者隱私法修正案亦針對未成年人個資的使用與揭露增設限制。依現行條文，消費者有權限制企業只能在提供商品、服務的必要範圍內使用其敏感個資。若企業欲對敏感個資為原定目的外之使用或揭露、或敏感個資可能被用於或揭露予第三方，企業應向消費者發出通知。而消費者有權限制或拒絕企業之使用、揭露行為。而後該法修正案在同條增加未成年人個資使用、揭露相關規範，規範企業不得使用、揭露18歲以下消費者個資。除非年滿13歲消費者本人同意，或是未滿13歲消費者父母同意企業為之。 若修正案通過，再配合現行條文於行政執行（Administrative Enforcement）章節之處罰規定，將能有效擴大該法對未成年人的保護。該修正案亦以條文要求加州隱私保護局（California Privacy Protection Agency）在2025年7月1日前，廣泛徵求公眾意見並調整相應法規，以進一步實現該法目的。