開放非銀行事業從事預付式行動付款服務法制議題之研究
全球商務人士最喜愛使用的智慧型手機「黑莓機」，在今年（2011）10月中旬出現全球大當機，手機用戶無法上網及收發簡訊，影響範圍從歐洲擴及北美與世界各地。手機製造商Research In Motion (RIM)的首席執行長Mike Lazaridis在官網上以視訊公開向全球用戶道歉，並提出可免費下載100美元的應用軟體作為補償。然而此舉無法平息用戶的怒火，許多使用者正打算對RIM提出訴訟求償，因為中斷服務害他們錯失許多訊息與會議時間。 加拿大魁北克的高等法院就收到使用者對RIM要求經濟補償的集體訴訟，因為RIM所提出的補償措施根本無法彌補中斷服務數天的損失。若法院認同訴訟主張，RIM遭求償的總額或許很高，不過使用者提出的訴求是中斷服務的1.5天，他們無法使用月付25元加幣的無線網路服務，因此按比例分攤每件可能僅1.25元。而在美國的消費訴訟律師，則考慮對RIM提出違約訴訟或是消費詐欺，前者是以RIM未依約盡到其提供服務的責任為主張；而後者消費詐欺的重點則是著眼於，RIM導致消費者誤信黑莓機的可靠性。然而使用者所面臨的困難是，要如何證明他們所受到的損害，高於原本應獲得的服務，而且因為是全區域的服務中斷，在跨州的集體訴訟中還有各州法律適用的問題。有法律專家言明，要證明因為不能使用智慧型手機的功能而造成的實際損害非常困難，畢竟在緊急時刻，溝通（communicate）還有其他選擇方式。
加拿大隱私專員與首席選舉官針對聯邦政黨發布個人資料保護指引加拿大隱私專員辦公室（Office of the Privacy Commissioner of Canada, OPC）與加拿大首席選舉官（Chief Electoral Officer of Canada, CEO）於2019年4月1日聯合針對聯邦政黨發布個人資料保護管理之指引（Guidance for federal political parties on protecting personal information）。目前加拿大選舉法（Canada Elections Act, CEA）僅概括規範政黨須制定隱私政策，以保護選民之個人資料，惟其卻未有具體法規制度落實。對此加拿大隱私專員辦公室認為政黨必須提出具體隱私政策來履行其法律義務。 現行加拿大選舉法規範聯邦政黨必須於其網站上公布隱私政策，並提交給加拿大選務局（Elections Canada）。若其隱私政策變更，必須通知首席選舉官，且即時更新網站上隱私政策版本。加拿大聯邦各政黨須於2019年7月1日前完成相關規範，為具體實踐政黨隱私保護制度，加拿大隱私專員辦公室提出幾點隱私政策之必要條件： 一、 聲明蒐集個人資料之類型與如何蒐集個人資料？ 二、 如何保護其蒐集之個人資料？ 三、 說明如何利用個人資料？是否會將個人資料給予第三方？ 四、 針對個人資料蒐集、利用之人員如何培訓？內部控管機制為何？ 五、 蒐集分析之資料為何？是否有利用cookie或相關應用程式蒐集？ 六、 設置處理個資隱私疑慮專責人員 除此之外，該辦公室更建議參採國際隱私保護作為，著重公平資訊原則，政黨於個資隱私保護上須有其問責制、目的明確性、透明化、限制性蒐集，且未經當事人明確同意不得蒐集政治觀點、宗教或種族等敏感性個資，並應建置保障性措施與合規性管理機制。
加拿大批准並加入《專利法條約》加拿大於2019年7月30日批准並正式加入國際智慧財產權組織（World Intellectual Property Organization，下稱WIPO）的《專利法條約》（Patent Law Treaty, PLT)。為加入《專利法條約》，加拿大智慧財產局2018年12月1日即公告新修正的專利法，而修正後的專利法和新的專利細則即將在2019年10月30日生效，而這些新修正的條文會確保加拿大落實《專利法條約》。專利權採屬地主義，亦即在一個國家授予的專利權，僅在該國法律管轄的範圍內有效，對其他國家沒有拘束力。原先，若在加拿大申請專利要再申請他國專利，僅有12個月的優先權（right of priority）；加入《專利法條約》後，在加拿大進行國際申請（international application），即可在其他會員國擁有國際申請期日（international filing date）起算至少30個月的優先權。 近年來，加拿大智慧財產權局積極規畫參與五項WIPO的智慧財產權條約，以減少繁瑣的行政負擔，包括：工業設計的《海牙協定》（Hague Agreement）、商標的《馬德里議定書》（Madrid Protocol）、《新加坡條約》（Singapore Treaty）、《尼斯協定》（Nice Agreement）和專利的《專利法條約》。《專利法條約》是加拿大計畫參與的WIPO智慧財產權條約中最晚完成的一項。加拿大希望透過加入《專利法條約》並修正國內專利行政流程以提升申請流程之效率，進而活絡商業活動；同時也確保《專利合作條約》（Patent Cooperation Treaty, PCT）締約國權利的完整性。2000年於日內瓦通過的《專利法條約》宗旨在於：協調並簡化國家和地區專利申請和專利維護的形式程序；1978年生效的《專利合作條約》則是提高締約國的專利申請程序一致性。儘管《專利法條約》締和《專利合作條約》是兩個獨立的條約，都是WIPO之協定，相輔相成，健全世界專利體系─《專利法條約》締約國在修改內國法規以符合要求後，會更趨近於《專利合作條約》改善專利申請程序的理想。
美國消費者金融保護局發布最終規則強化消費者金融資料控制權與隱私保護.Pindent{text-indent: 2em;} .Noindent{margin-left: 22px;} .NoPindent{text-indent: 2em; margin-left: 38px;} .No2indent{margin-left: 3em;} .No2Pindent{text-indent: 2em; margin-left: 3em} .No3indent{margin-left: 4em;} .No3Pindent{text-indent: 2em; margin-left: 4em} 美國消費者金融保護局發布最終規則強化消費者金融資料控制權與隱私保護 資訊工業策進會科技法律研究所 2024年12月10日 美國消費者金融保護局（Consumer Financial Protection Bureau, CFPB）於2024年10月22日發布最終規則以落實2010年《消費者金融保護法》（Consumer Financial Protection Act, CFPA）第1033條規定之個人金融資料權利[1]，該規則即通常所稱之「開放銀行」（Open Banking）規則。 壹、事件摘要 本次CFPB頒布最終規則旨在賦予消費者對其個人金融資料更大的權利、隱私與安全性。透過開放消費者金融資料，消費者得更自由地更換金融服務提供者以尋求最佳交易，從而促進市場競爭，並激勵金融機構精進其產品與服務[2]。 貳、重點說明 最終規則要求資料提供者在消費者及授權第三方之請求下，提供消費者金融產品或服務相關資料，並應以消費者及授權第三方可使用之電子形式提供。最終規則亦制定標準，以促進資料標準化格式（standardized formats）之發展和使用，同時規範第三方近用消費者資料義務，包括對資料之蒐集、利用及保留限制。相關重點如下： 一、受規範機構主體 最終規則規範對象為資料提供者（data provider），包含銀行、信用合作社等存款機構（depository institution）；發行信用卡、持有交易帳戶、發行用於近用帳戶設備或提供支付促進服務（payment facilitation service）等非存款機構[3]。值得注意者，最終規則將數位錢包（digital wallet）及支付應用程式（payment app）業者納入資料提供者範圍，亦即被廣泛使用的金融科技服務亦將受到開放銀行規範體系之約束。此外，資料提供者不得向消費者或第三方收取資料近用之費用。 二、受規範資料範圍 最終規則規範之資料範圍涵蓋：資料提供者控制或擁有之24個月內之歷史交易資訊、帳戶餘額、付款資訊、契約條款與條件、即將到期之帳單、以及基本帳戶驗證資訊（Basic account verification information）等[4]，消費者得授權第三方近用此類資料。至於機密商業資訊、蒐集資料僅用於防止詐欺、洗錢，或為偵測或報告其他非法及潛在非法行為，又或基於其他法律要求保密之資訊，以及在正常業務過程中無法檢索之資料，則豁免最終規則之適用[5]。 三、消費者與開發者介面 根據最終規則，資料提供者須建立及維護兩個獨立的介面以利資料之近用，包含：消費者介面，例如提供消費者近用其資料之入口網站，以及授權第三方之開發者介面（developer interface），例如應用程式介面（Application Programming Interface, API），雖最終規則不要求使用任何特定技術，然仍要求資料提供者須以標準化機器可讀格式（Standardized and Machine-Readable Format）提供資料，介面功能要求須達每月最低99.5%之回應率（response rate）[6]。此類資訊須在每月最末日前揭露於資料提供者網站上。此外，介面之設計須遵守《美國金融服務業現代化法》(The Gramm-Leach-Bliley Act, GLBA)」及聯邦貿易委員會（Federal Trade Commission, FTC）之《消費者資訊保障標準》(Standards for Safeguarding Customer Information)等消費者資料保護法規義務[7]。 四、授權第三方之行為義務 授權第三方（authorized third party）為代表消費者向資料提供者請求近用資料，藉以提供消費者產品或服務者。為解決隱私與資料安全問題，該規則對尋求近用消費者資料之第三方提出數項要求[8]，包含但不限於： （一）知情同意之取得 第三方須取得消費者明確知情同意（express informed consent），以便代表消費者近用資料。 （二）資料利用之限制 第三方須確保將其資料之蒐集、利用及保留限制在提供消費者所請求的產品或服務之合理必要範圍內。就此部分，精準廣告（targeted advertising）、交叉銷售（Cross-selling），以及銷售資料並非提供產品或服務之合理必要範圍。 （三）遵守聯邦法規 第三方須依GLBA第501條規定或FTC之《消費者資訊保障標準》確保在其系統中採用「資訊安全計畫」（information security program）。 （四）政策與程序文件要求 第三方應擁有合理書面政策和程序，以確保從資料提供者處準確接收資料，並提供於其他第三方，即資料正確性之確保。 （五）資料撤回權之確保 第三方應向消費者提供撤回第三方授權之方法，撤回過程須簡易明瞭。在第三方收到消費者撤回授權之請求時，應通知資料提供者以及已向其提供消費者資料之其他第三方。 （六）第三方監督義務 第三方應透過契約要求其他第三方在向其提供消費者資料前遵守特定第三方法定義務。 （七）資料保存期限 消費者資料之保存期限最長為一年。若繼續蒐集，第三方應取得消費者重新授權。若消費者不提供重新授權或撤回授權，第三方應停止資料之蒐集，並停止利用與保留先前蒐集之資料。 五、實施日期 最終規則將依機構資產規模分階段實施[9]，最大規模之機構（資產總額為2500億美元以上之存款機構資料提供者，以及在2023年或2024年任一年中，總收入達到100億美元以上之非存款機構資料提供者）須在2026年4月1日前遵守最終規則。對於規模最小之機構（資產總額低於15億美元但高於8.5億美元之存款機構資料提供者）須於2030年4月1日前遵守該規則。另總資產低於8.5億美元之存款機構不受該規則限制，以減輕小型銀行及信用合作社合規負擔。 參、事件評析 CFPB之CFPA第1033條最終規則將重塑美國金融市場之監理格局，由市場驅動之開放銀行框架走向由政府透過法規實質監理之管制措施，要求業者開放消費者資料。值得留意者，歐盟執委會（European Commission）2023年6月推出之「金融資料近用」（Financial Data Access, FiDA）草案[10]亦基於消費者賦權理念，強化消費者對其資料權利之控制權。由此可觀察國際間金融資料利用與監理規範逐漸走向以消費者資料自主為中心之法制架構，當代金融資料監理趨勢或值得我國主管機關及業者留意關注，除可作為我國金融資料法制與政策制定之參考，亦供我國企業布局全球化金融服務提前作好準備。 [1]Required Rulemaking on Personal Financial Data Rights, 89 Fed. Reg. 90838. [2]Consumer Financial Protection Bureau, CFPB Finalizes Personal Financial Data Rights Rule to Boost Competition, Protect Privacy, and Give Families More Choice in Financial Services, available at https://www.consumerfinance.gov/about-us/newsroom/cfpb-finalizes-personal-financial-data-rights-rule-to-boost-competition-protect-privacy-and-give-families-more-choice-in-financial-services/(last visited Dec. 5, 2024). [3]12 C.F.R. § 1033.111. [4]12 C.F.R. § 1033.211. [5]12 C.F.R. § 1033.221. [6]12 C.F.R. § 1033.311. [7]See id. [8]12 C.F.R. § 1033.421. [9]12 C.F.R. § 1033.121. [10]Proposal for a REGULATION OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL on a framework for Financial Data Access and amending Regulations (EU) No 1093/2010, (EU) No 1094/2010, (EU) No 1095/2010 and (EU) 2022/2554.