BS 10012：2017個人資訊管理系統新版標準已發布
BS 10012:2009個人資訊管理系統近期轉版，英國標準協會已於2017年3月31日發布BS 10012:2017新版標準，此次修改主要係為遵循歐盟一般資料保護規則GDPR (General Data Protection Regulation )之規定。為了讓企業組織能更有效率整合內部已導入之多項標準，新標準採用ISO/IEC附錄SL之高階架構（High Level Structure），該架構為通用於各管理系統的規範框架。
2017新版架構由原本的6章變為為10章，新架構如下：
- 第1章 範圍
- 第2章 引用規範
- 第3章 專有名詞與定義
- 第4章 組織背景
- 第5章 領導統御
- 第6章 規劃
- 第7章 支援
- 第8章 營運
- 第9章 績效指標
- 第10章 改善
新標準主要修改內容如下：
- 個資盤點單需增加「法規」盤點項目，且應載明個資流向(軌跡紀錄)。
- 風險管理架構參酌ISO 31000:2009修改。
- 組織增設資料保護官(Data Protection Officer, DPO)。
- 個資蒐集、處理及利用：
（1）蒐集前須先告知當事人並取得其同意。
（2）蒐集應有必要性且最小化。
（3）兒童個資蒐集、利用須先經監護人同意。
（4）若個資利用目的為開放資料（Open data）須作去識別化。 - 個資必須維持正確且最新。
- 個資保存不超過處理目的存在必要之期限(保存期限)。
- 增加個資完整性與機密性要求。
- 預先諮詢與授權，例如：網頁有使用cookies需明確告知瀏覽者。
- 個資管理目標與量測，包括欲導入範圍、現況評估等有效性目標。
- 增添文件管理規範。
BS 10012:2009版本將於2018年5月25日廢止，公司驗證轉版的過渡期為24個月，因此2019年3月未轉版者證書失效。
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 零售業個資法遵實務與資訊安全說明會（台中場）
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
- 商業服務業個資管理與資訊安全實務宣導說明會（高雄場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台南場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台中場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台北場）※如遇颱風假延期至7/16
- 【北部場1】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場2】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場3】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場4】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【南部場】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【中部場】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【上午場】通傳產業個資管理機制與資料加值運用座談會
- 【下午場】通傳產業個資管理機制與資料加值運用座談會
蔡馥如
法律研究員 編譯整理
British Standard Institution, BS 10012:2017 Data Protection - Specification for a Personal Information Management System (2017). Published the BS 10012:2017 on Personal Information Management System, VisiOn Platform, http://www.visioneuproject.eu/?p=710 (last visited Apr. 27, 2017).
BS 10012:2017, bsi. shop, http://shop.bsigroup.com/ProductDetail/?pid=000000000030339453 (last visited Apr. 27, 2017).
2020年7月澳洲競爭及消費者委員會(Australian Competition and Consumer Commission, ACCC)正式對Google提告，針對Google於2016年的一項個資改變政策的內容，以誤導的方式取得用戶同意，而擴大使用個資範圍的行為。 於2016年，Google希望透過在其帳戶中所取得的個資，連結到用戶在非Google網頁中的瀏覽紀錄，如此Google將能夠依據這些資訊，更準確的在其他網站中投放廣告，以提升廣告費收入。為結合用戶於Google及其他網站的資料，Google需更改原本的個資隱私政策，然而事實上Google並沒有實際取得用戶對於此項改變的同意，反而以類似服務改進的通知：「我們為您的帳戶加入了一些可選擇性的功能，讓您能更好掌控Google所蒐集的資訊及使用方式，同時允許Google向您展示相關的廣告」等文字，誤導用戶藉以徵得用戶對個資政策改變的同意。 雖然Google承諾於2022年後，逐步移除Chrome瀏覽器中第三方Cookie的啟用，此動作將會阻止其他網站透過網路，追蹤到Google用戶的瀏覽紀錄，但由於目前Google還是依據用戶的瀏覽紀錄，針對用戶的特定偏好投放廣告來賺取收益，因此這種廣告模式短期內不太可能有所改變。若ACCC在這次與Google的訴訟中勝訴，那表示未來業者對於取得客戶同意(包括收集使用個資)的方式，從原本習慣使用概括性描述並隱藏使用個資真正目的等用語，來取的客戶同意的模式將有所改變。
何謂防禦型聯盟（Defensive Patent Aggregator）?其是否為NPE的重要類型?防禦型專利聯盟係為NPE之一種重要類型，主要以抵制NPE侵擾為出發點，防禦型聯盟儘可能搶先攻擊型如NPE者去進行專利的授權或購買，加入防禦型聯盟者則可付出比與NPE進行和解所支付費用較少的金錢，成員其會員以取得不被NPE侵擾的地位。 NPE中屬於防禦型聯盟（Defensive Patent Aggregator）者，RPX（Rational Patent）之運作模式常可作為主要類型化參考對象之一。RPX為上市公司，其主要核心業務在於「緩和其會員被訴之可能」。RPX取得專利之資金主要來自會員年費，而各會員可取得RPX所有專利之「授權」，而收費結構不當然等於獲取專利之成本之分攤，以使會員已低於一般訴訟和解、或取得爭議專利等更為低的代價來防止被訴。在此同時，RPX本身也不會對他人起訴。 RPX所提供的防禦性聯盟策略，先行於其他NPE取得前那些潛在「危險性」的目標專利，甚至有可能向NPE取得專利，必要時，直接於訴訟仍在進行之時去取得專利。而在防禦以外，如其他非會員向會員起訴，會員也可以以RPX所有之專利進行反訴。 目前RPX會費在6萬5千美元至6900萬美元之間，依照會員本身營運規模之不同定之，但「會費等級」（rate card）會自加入之初鎖定不再更動，實際每年繳交費用則可能依據RPX所取得的所有專利價值增加而上昇 。而除此主要運作模式外，RPX也運用其廣泛取得專利之經驗，提供個別企業服務服務，得以較低的躉售價格取得專利（Syndicated Acquisitions），反之企業自行購買專利可能需要付出較高的「零售」價格 RPX的運作模式對於加入成為其「會員」者有兩項優勢：第一，減少「專利蟑螂」可取得的專利數量；其次，因可理解為全體會員合力進行防禦型專利取得故能減低這些專利取得之成本。
電子支付指令可望具有書面支付憑證的同等效力中國大陸為推動商業銀行電子支付業務健全發展、保障電子支付業務中當事人之權益、防範電子支付業務風險並確保銀行與客戶之資金安全， 繼 中國銀行業監督管理委員會 （銀監會）於 5 月 19 日發佈《電子銀行業務管理辦法（徵求意見稿）》（草案）之後，中國人民銀行 於 6 月 9 日公佈《電子支付指引（徵求意見稿）》 （草案）， 公開諮詢大眾的意見。該草案規定電子支付指令 ( Electronic Payment Instruction, EPI ) 與書面支付憑證可以相互轉換，兩者具有同等效力。 為達到安全控制，該草案不僅要求銀行採用規定的資訊安全標準、技術標準、業務標準，建立有效的管理制度，同時要求確保業務處理系統的安全性、交易資料的不可否認性、資料儲存的真實性、客戶身份的辨識性，以妥善管理安全認證資料。此外，該草案還對支付過程中所發生的錯誤與責任作了詳細規定。 在風險控制方面， 銀行亦應針對不同客戶，在電子支付業務類型、單筆支付金額和每日累計支付金額等方面作出合理限制。銀行通過網路提供網上支付業務，公司行號與個人客戶之單筆支付金額不得超過 5 萬元。 該草案所稱電子支付是指公司行號或個人通過電子終端機，直接或間接向銀行業金融機構發出支付指令，實現貨幣支付與資金轉移。 電子支付的業務類型分為網上支付（透過網路）、電話支付、移動支付（透過行動通訊設備）、銷售點終端 (point of sale) 交易、自動櫃員機 (ATM) 交易和其他電子支付。
淺談個人資料跨境傳輸之管理淺談個人資料跨境傳輸之管理 科技法律研究所 2013年04月03日 由於資訊科技與全球商務型態之快速發展，企業將個人資料為跨境處理或利用的情況已相當的普遍，例如因人員的調動而傳輸個人資料至位於他國境內的關係企業、因作業委外對象位於他國境內而將個人資料傳輸至境外…等。然而，企業將個人資料為跨境處理或利用時，時常因為各地法令之不一，而面臨阻礙，進而影響其商務活動的進行。我國為一海島型國家，長年倚賴國際通商，是以，有關於個人資料跨境傳輸之課題，為有關當局所不能忽視者。本文擬就世界主要國家及機構之個人資料跨境傳輸國際合作機制精要說明，並提出我國公務機關可能採取之作法建議。 壹、事件摘要 對於個人資料跨境傳輸議題的管理，涉及了多個面向的課題，其中包括了對於各國國家主權的尊重、各國個人資料法令的不一致對於商務活動的影響、個人資料保護與國家利益的平衡…等。觀察各國與國際組織之動態，其基於政治以及經濟上利益，皆致力推動與調和國際間個人資料保護原則。 以歐盟為例，因對於人權的尊重與個人隱私的重視，歐盟所建立的跨國個人資料傳輸規範較為嚴格，而此舉對企業為個人資料之跨境處理或利用造成困擾，阻礙個人資料的自由流動。為此，歐盟採納了個人資料跨境傳輸時所需遵守之標準契約條款，以及具有拘束力之合作規則，以克服個人資料難以自由流動之困難。另一方面，觀察APEC之個人資料保護指令的內容，可以發現個人資料保護之課題受到重視係為了促進區域內電子商務活動之發展。 上述之說明更彰顯了國際組織或其他國家對於個人資料國際傳輸之重視不外乎為了經濟利益的追求、商務活動的進行，故其作法或可為重視國際通商的我國所參考。 貳、重點說明 一、歐盟對於個人資料跨境傳輸議題的管理 （一）標準契約範本之提出 歐盟執委會依歐盟個人資料保護指令第26條第4項提出標準契約範本（the Contractual Model and Standard Contractual Clauses），此標準契約範本之起草精神為，會員國簽訂標準契約後，即可不需徵求該國個人資料保護機關之准許，增進個人資料跨國傳輸之效率以及速度。雖然，此標準契約範本仍有發展空間，但國際上已有相當多國家利用該標準契約處理個人資料跨境傳輸。 目前歐盟已發展三套標準契約範本供會員國於跨境傳輸個人資料時參考，分別是2001/497/EC、2004/915/EC及2010/87/EU之標準契約附錄。依標準契約範本之內容，資料傳送者將個人資料傳輸至第三國時，縱使個人資料接收國已經採取合適的個人資料保護措施，個人資料的傳輸國仍必須採取額外的個人資料保護措施。其中，2001/497/EC與2004/915/EC主要針對會員國之資料管理者將個人資料傳輸至非會員國之資料管理者，而2010/87/EU除了針對會員國之資料管理者將個人資料傳輸至設立於非會員國之資料處理者之情形外，亦賦予當事人更廣泛之契約求償權利，亦即個人資料受侵害之當事人可採取法律行動先向個人資料傳送者請求損害賠償，若個人資料傳送者無賠償能力或發生逃避損害賠償責任之情形時，當事人可以向受個人資料進口者委託者（sub-processor）提出請求，要求就其責任範圍負擔損害賠償責任。 標準契約範本的起草與形成其實就是歐盟隱私保護原則的契約化，是以，該契約範本所定之要件過於嚴格又缺乏彈性，同時增加個人資料跨境傳輸之行政費用負擔，故傳輸以及接收個人資料之雙方不願意以標準契約條款作為其約定之內容。對於跨國傳輸個人資料之跨國企業而言，造成標準契約條款缺乏彈性的主要原因為實務上企業跨國傳輸個人資料時，不見得會設立完整傳輸系統，時常運用郵件交換、內部資料庫查詢以及內部網路等工具跨國傳輸個人資料，而標準契約條款並無法完全因應現況，故產生難以適用之情形。 （二）共同約束條款（Binding Corporate Rules）之提出 如前所述，歐盟執委會已體認到模範契約範本適用上之問題。考量到企業營運之利益，歐盟執委會增加了共同約束條款（Binding Corporate Rule, BCR）機制。BCR為歐盟工作小組依循歐盟個人資料保護指令之精神所提出，為跨國企業、團體以及國際組織於跨境傳輸個人資料至其位於其他未設有妥善個人資料保護法制制度之國家的分公司或子機構時，得以遵循之規則。 BCR建立乃是為了減少跨國組織簽署契約條款之行政負擔支出，並可以更有效率地於其集團內跨境傳輸個人資料。但，BCR僅適用在組織內部跨境移轉個人資料之情形，若是不同公司、企業或組織跨國傳輸個人資料情形時，則不適用BCR。 （三）安全港協議之簽署 為了犯罪偵查機關執行公務之目的，政府間時有合作跨傳輸個人資料之需求。以美國與歐盟為例，二者間成立高度密切聯絡小組(the High Level Contact Group)以統合處理歐盟會員國與美國政府機關就協議事項之協調事宜，同時，亦設定個人資料跨境傳輸保護之相關標準，以供歐盟及美國政府遵循之。 對於個人資料的保護，美國採取分散式之法律規範模式，此與歐盟各會員國之作法不同。此外，因為美國並未被歐盟執委會認定為具備充分（adequate）之個人資料保護措施地區，因此於個人資料跨境傳輸時，依歐盟個人資料保護指令，歐盟內之個人資料似不能傳輸至美國，除非符合其他例外情形。對此，為了弭平兩區域間因個資法規範不同所造成個資無法跨國傳輸之情形，美國商務部與歐盟執委會協議採取安全港架構，此安全港架構提供欲跨境傳輸個人資料之組織可自行評估並決定是否加入安全港架構的機制。 二、APEC亞太經濟合作組織對於個人資料跨境傳輸議題的管理 （一）資訊隱私開路者合作計畫之提出 APEC透過亞太經濟合作組織資訊隱私開路者合作計畫（APEC Data Privacy Pathfinder Projects）建立多邊隱私保護認證機制。開路者計劃之內容包含了自我評估、承諾審查、互相承認與接受、爭議解決與執行…等九項子計畫，期能夠在符合APEC隱私保護綱領之原則下，推動APEC跨境隱私保護規則（Cross-Border Privacy Rules, CBPRs）。總結來說，開路者計劃透過設計一連串的制度，提供企業經營者得以建立其內部之跨境資料傳輸規則，並且透過認證機制（Accountability Agents）之建立，使企業得以提供消費者可信之標章。 （二）APEC跨境隱私執行機制之提出 為使會員經濟體間個人資料之跨境傳輸更為流通，並且調合各國因個人資料保護法令要件不同而產生扞格之情形，APEC跨境隱私執行機制（APEC Cross-Border Privacy Enforcement Arrangement, CPEA）因應而生，而目前己加入本機制之會員經濟體，包括澳洲、加拿大、香港、紐西蘭以及美國。 （三）與其他區域之合作與整合 APEC已開始思考除了亞太地區之個人資料跨境機制之加強外，也思考如何與其他區域之跨境隱私機制進行合作或者整合，以歐盟為例，APEC思考如何將CBPRs機制與歐盟之共同約束條款作調和，以促進全球間之個人資料跨境傳輸。 2012年，APEC將依透明化、流通化、以及低成本化之目標建置更為完善之跨境傳輸個人資料制度。除了加強區域內各國對於跨境隱私系統之認識外，也希望區域內之會員經濟體可踴躍參與跨境隱私機制。 三、經濟合作與發展組織對於個人資料跨境傳輸議題的管理 經濟合作與發展組織（Organization for Economic Co-operation and Development, OECD）於1980年公佈「個人資料保護準則以及跨國資訊傳輸準則」（Recommendations of the Council Concerning Guidelines Government the Protection of Privacy and Trans-Border Flows of Personal Data），列出七項原則，包括： （一）通知（Notice）：當個資被收集時，應通知當事人。 （二）目的（Purpose）：資料僅得以說明之目的為使用，不得作為其他目的之使用。 （三）同意（Consent）：未獲得當事人之同意時，不得揭露當事人之資訊。 （四）安全保障（Security）：需保障被蒐集之資料被濫用。 （五）揭露（Disclosure）：當事人應被告知誰在蒐集他們的資料。 （六）查閱（access）：當事人應可查閱其個人資料並且可改正任何不精確之個人資料。 （七）責任原則（Accountability）：當事人須被通知須負起個人資料蒐集使用以及管理責任者為何人。 個人資料保護準則以及跨國資訊傳輸準則表達各國整合個人資料保護原則之共識，亦可了解OECD各會員國對於消除各國間對於個人資料保護差異以及建立更有效率之跨國個人資料傳輸制度有一致性的想法。 參、事件評析 我國目前已加入APEC跨境隱私規則機制之實驗小組，希望能透過國際參與之方式，推動個人資料跨境傳輸活動，並符合國際組織之隱私保護要求。由於我國並未被歐盟執委會認定為具有合適個人資料保護措施之地區。因此，我國企業如欲從歐盟會員國之地區接收個人資料時，必須注意援用其他之機制，例如與資料傳輸者簽訂模範契約條款或者是使用共同約束條款。另外，我國可比照美國與歐盟間所建立之安全港模式，與歐盟會員國簽訂安全港協議，以符合歐盟隱私權保護指令之要求。 在國際間，我國政府除了持續參加APEC所建立之跨境傳輸機制外，對於非APEC會員經濟體之地區，建議公務機關可透過雙邊擬定安全港架構或者簽訂合作備忘錄之方式，建立與他國間之個人資料傳輸跨境合作。透過安全港架構以及合作備忘錄之簽訂，可確保雙邊之合作內容、擬定跨境傳輸之必要注意原則、建立聯絡窗口等相關機制之健全，亦可使國內須要進行個人資料跨境傳輸之企業、組織以及個人有明確之法規範可依循。