加拿大配合數位隱私法之推行，公告安全防護措施違反之規則草案
加拿大數位隱私法（Digital Privacy Act）於2015年6月18日獲得皇室御准，該法目的係為修訂規範私部門運用個人資料的聯邦個人資料保護及電子文件法（Personal Information Protection and Electronic Documents Act, PIPEDA）。該法有多個章節於公告時便即刻施行，但仍有部分章節需待日後其他行政機關公告配套之法規後始能正式施行，例如該法的重點章節之一：「安全防護措施之違反」（Breaches of Security Safeguards）。
歷經約莫兩年，加拿大創新、科學及經濟發展部（Innovation, Science and Economic Development Canada）於2017年9月2日公告安全防護措施違反之規則草案（Breaches of Security Safeguards Regulations），以及規則衝擊分析聲明（Regulatory Impact Analysis Statement）。草案自公告時起開放30天供相關利益關係人發表意見，未來將和數位隱私法的「安全防護措施之違反」同時生效施行。
草案制定目的在於確保加拿大本國人若遇有資料外洩且具有損害風險時，可收到精確的相關資訊。私部門對本人的通知應包含使本人可理解外洩的衝擊和影響的詳細資訊。草案確保加拿大個人資料保護公署（Office of the Privacy Commissioner of Canada）之專員亦能獲得有關資料外洩的確實且對等資訊，並可監督、確認私部門遵守法規並執行。草案詳載私部門於通報個人資料保護公署時應提交的資訊，以及通知本人時應提供的資訊，且不限制私部門額外提供其他資訊。遇有資料外洩情事而故意不即時通報個人資料保護公署或通知本人者，最高將可處十萬美金罰鍰。
- 零售業個資安全宣導暨安全維護計畫規劃說明會
- (已額滿)114年「企業營業秘密保護實務座談會」(北部場)–營業秘密因應數位環境之保護風險及管理對策
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(實體)
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(直播)
- 【台北場1】通訊傳播事業個資法遵教育訓練
- 【台中場】通訊傳播事業個資法遵教育訓練
- 【新北場】通訊傳播事業個資法遵教育訓練
- 【高雄場】通訊傳播事業個資法遵教育訓練
- 【台北場2】通訊傳播事業個資法遵教育訓練
- 114年「企業營業秘密保護實務座談會」（南部場）
- 114年「企業營業秘密保護實務座談會」（中部場）
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
蕭郁溏
法律研究員 編譯整理
Digital Privacy Act, S.C. 2015, c. 32 (Can.).
Proposed Breach of Security Safeguards Regulations, C. Gaz., Vol. 151, No. 35 (Can.).
Lisa R. Lifshitz, Ottawa's Draft PIPEDA Amendments Highlight the Importance of Security Safeguards, CANADIAN LAWYER, Sept. 18, 2017, http://www.canadianlawyermag.com/author/lisa-r-lifshitz/ottawas-draft-pipeda-amendments-highlight-the-importance-of-security-safeguards-13673/ (last visited Sept. 22, 2017).
韓國產學合作技術控股公司制度說明 科技法律研究所 法律研究員 曾文怡 101年7月24日 壹、事件摘要 韓國於於2012年5月14日修正其「技術控股公司成立申請程序規定」最新修正係，將共同成立技術控股公司之主體擴大到「研究機構」。韓國技術控股公司 (technology holding company) 制度係於2007年8月3日「產業教育振興及產學研合作促進法（以下簡稱產學研合作促進法）」修法所新增之制度。為落實產學研合作促進法，韓國教育科學技術部於2008年6月組成「產學研合作技術控股公司成立許可諮詢委員會」，同年8月，並依據「產業教育振興及產學研合作促進法施行規則」第3條第5項，制訂公告「技術控股公司成立申請程序規定」。截至2012年5月止，韓國已成立技術控股公司之大學共有17間，其所成立之子公司計有58間。 貳、重點說明 一、韓國技術控股公司成立條件及流程 (一)技術控股公司成立主體及條件 依韓國產學研合作促進法第2條第8款規定，所謂「技術控股公司」，係指大學之產學合作團 ( 類似我國大學技術移轉中心 ) 或研究機構，擁有總統令所規定之技術[1]，並以技術事業化為目的而成立公司，並持有其它公司之股份，以支配該公司。依韓國產學研合作促進法第36條之2，成立技術控股公司之主體得為大學之產學合作團本身，或由各大學之產學合作團、學校法人[2]、研究機構共同成立。且技術控股公司應符合下列4項要件： 1.股份公司 2.公司幹部須未符合「國家公務員法」第33條第1項各款[3]規定之喪失資格事由 3.產學合作團 ( 包含共同成立技術控股公司之其它機關 ( 構 )) 以技術出資須超過資本額之30%，且擁有超過發行股份總數之50% 4.其它由總統令規定須具備之標準 ( 即全職專業人力1名以上及擁有專用空間 ) 具備上述條件後，應取得韓國教育科學技術部長之許可，始得成立。 (二)技術控股公司成立流程 欲成立技術控股公司之產學合作團，應向教育科學技術部提出「技術控股公司設立許可申請書」，若是兩個以上機關 ( 構 ) 共同成立技術控股公司之情形，則應選定一個代表機關 ( 構 ) 提出申請。除了提出申請書外，亦須提出「技術控股公司成立計畫書」以及「公司幹部之履歷」各1份，其中技術控股公司成立計畫書內應包含成立目的、出資內容及比例、事業計畫書 ( 包含技術控股公司擁有之人力及設施等相關事項 ) 。 教育科學技術部受理許可申請書後，須在30日內處理，並將結果通知申請人。若許可該技術控股公司之成立，則應發予申請人1份「技術控股公司成立許可書」；反之，則應告知申請人不予許可之事由。而 技術控股公司成立後，仍可另外成立子公司，但必須持有該子公司之20%以上股份；子公司得為「股份公司」或「有限公司」。 (三)技術控股公司業務範圍 技術控股公司除了負責公司營運業務外，亦包括其子公司之經營管理及其相關業務，此外亦可從事「產業教育振興及產學研合作促進法施行令」第43條規定之下列業務： 1.對子公司之技術及經營諮詢 2.支援子公司之企業公開 3.子公司和其它公司間之合併、子公司股份之全部或一部之賣出、子公司營業之全部或一部讓與、子公司之分割等相關業務 4.支援子公司之資金籌措 5.將技術控股公司本身擁有之技術移轉或事業化後給子公司，及協助子公司將其技術移轉、事業化 6.子公司之宣傳、教育訓練、行銷 7.與創業育成中心、實驗室、產學研合作促進法第37條第1項之合作研究所、產業技術園區或校區內設置營運之企業及研究所之相互合作 8.技術控股公司將其擁有之技術移轉予企業 9.為將技術控股公司擁有之技術或出資予子公司之技術事業化，組成投資基金 10.中介該產業教育機構或研究機構擁有之技術移轉至企業並事業化 11.對該產業教育機構和子公司以外之其它產業教育機構及其它公司之技術經營及教育訓練之支援 (四)利潤分配之使用限制 大學之產學合作團應將從技術控股公司接受之利潤或其他收入，使用在其固有業務以及大學研究活動上；又，若技術控股公司係大學之產學合作團與研究機構共同成立的話，研究機構自技術控股公司接受之利潤或其他收入，應再投資於其研究開發活動或技術控股公司等與研究開發相關用途上。 二、韓國技術控股公司成立現況 截至2012年5月止，韓國已成立技術控股公司之大學共有17間[4]，其所成立之子公司計有58間。據了解，目前尚有成均館大學、韓國科學技術院 (Korea Advanced Institute of Science & Technology, KAIST) 、加圖立大學、首爾市立大學等大學正著手進行設立技術控股公司的申請準備。 參、事件評析 一、技術控股公司制度目的在於促進技術移轉及商品化，以控股收益再投資大學研發活動 韓國於2007年修訂產學研合作促進法，新增「技術控股公司」制度，賦予大學直接成立技術控股公司的法律依據。相較於大學之產學合作團，主要係將其研發之技術移轉至企業，從企業獲得單純之收益 ( 技轉費用及權利金 ) ，有所差別。因為技術控股公司設立目的在於促使其積極利用所有之技術，不僅從事技術移轉業務，更得將技術予以商品化，以創造控股收益並再投資於研發活動，使既有技術得予以追加開發。如此一來，技術控股公司不僅提高大學的研發能力，亦增加大學資金來源，藉以促進創新技術之研發，提升研究人員之創新意願。 二、韓國大學之產學合作團具有獨立法人格，得成立技術控股公司 依韓國產學研合作促進法規定，得設立技術控股公司之主體為大學之「產學合作團」，且被賦予法人資格。所稱產學合作團，依韓國產學研合作促進法規定，主要負責促進技術移轉及商品化、智慧財產權取得與管理、與企業簽訂授權契約等業務，業務範圍與我國大學之技術移轉中心相當。 依我國公司法第128條第3項第2款規定，法人以其自行研發之專門技術或智慧財產權作價投資時，得為發起人。但我國國立大學目前法律定位仍屬三級行政機關，且性質上屬於公營造物，未若私立大學屬於財團法人，並無獨立法人人格，遑論大學所設之技術移轉中心，僅為學校內部專責單位，因此國立大學不符合公司法第128條第3項規定之以其自行研發之專門技術或智慧財產權作價投資之法人之條件，國立大學無法透過公司法第128條第3項規定為發起人，設立技術控股公司。故若未協助其突破法令限制，仍無法仿效韓國大學具備法人格之產學合作團，依法得成立技術控股公司。 資料來源： 1.韓國教育科學技術部，http://www.mest.go.kr/，最後瀏覽日：2012年5月25日 2.〈2010大學產學合作白皮書 (2011年版本) 〉，韓國教育科學技術部，2012年4月4日，http://www.mest.go.kr/web/1011/ko/board/view.do?bbsId=87&boardSeq=28984，最後瀏覽日：2012年6月13日 3.iusm每日新聞，2012年5月24日，http://www.iusm.co.kr/news/articleView.html?idxno=248734，最後瀏覽日：2012年6月13日 [1]依產業教育振興及產學研合作促進法施行令第3條規定，作為事業化對象的技術範圍，係指符合下列其中一款者。 1.依「專利法」、「新型專利法」、「設計保護法」登記或申請中之發明專利、新型專利、設計專利及其它智慧財產 2.第1款技術累積之資本財 3.第1款或第2款之技術資訊 4.具移轉、商品化可能性之技術性、科學性或產業性Know how [2]此處限於該學校無產學合作團之情形。 [3]韓國國家公務員法第33條：「符合下列其中一款者，不得任用為公務員。 1.禁治產者或限制治產者 2.受破產宣告且未恢復權利者 3.接受拘役以上徒刑之宣告且執行完畢，或確定後尚未執行，不超過5年者 4.接受拘役以上徒刑之宣告，刑之執行猶豫期間結束之日起，不超過2年者 5.接受拘役以上徒刑之宣告猶豫，尚在宣告猶豫期間者 6.依法院判決或其它法律規定喪失或中止權利者 6之2公務員在職期間，與其職務相關，犯『刑法』第355條及第356條之罪，受300萬元以上之罰金刑，且其刑確定不超過2年者 7.因懲戒受到罷免處分時起，不超過5年者 8.因懲戒受到解職處分時起，不超過3年者」。 [4]依技術控股公司成立時間順序分別為：漢陽大學、首爾大學、三育大學、西江大學、江原地區大學聯合、慶熙大學、高麗大學、仁川大學、釜山大學、東國大學、檀國大學、東新大學、朝鮮大學、全南大學、延世大學、全北地區大學聯合、東亞大學。
新加坡物聯網產品網路安全防護之初探新加坡物聯網產品網路安全防護之初探 資訊工業策進會科技法律研究所 2023年06月30日 壹、事件摘要 近年物聯網（Internet of Things，簡稱IoT）產品蓬勃發展，伴隨著資通安全之威脅卻也日益加增，新加坡為此陸續訂定國內法規，以強化保障新加坡人民資訊流通之自由，並確立了網路安全標籤機制，藉以提高消費者對於物聯網產品資安的認識。另一方面，標籤制度能於消費者使用物聯網產品時，將產品受到不同層級之網路安全防護，或有別於一般用途使用等資訊，迅速傳達給消費者。據此，本文觀測新加坡近年主要的物聯網產品驗證制度與相關法規，供我國參考與借鏡。 貳、重點說明 一、新加坡物聯網網路安全法規 新加坡於2015年成立新加坡網路安全局[1]（CSA），陸續為新加坡建立完善之物聯網產品網路安全防護機制，且新加坡於2018年訂定《網路安全法》[2]，法案的第一部分已明示將「網路安全」列為實質保障內涵[3]，並明訂須透過識別與分析威脅，以有效降低網路安全威脅帶來的風險。另為提高物聯網安全性，首先於亞太地區推出物聯網產品等級評估機制，即新加坡網路安全標籤機制[4]（Cybersecurity Labelling Scheme, CLS），致力於保障新加坡的網路空間，並使消費者能夠識別符合網路安全規定之物聯網產品，以利消費者辨認選購。此外，CLS架構下設有驗證中心、通用標準以及標籤分級等措施，以強化物聯網產品資安防護為目的，也能落實《網路安全法》保障新加坡網路安全之精神。 （一）設置網路安全驗證中心[5]（Cybersecurity Certification Centre, CCC）：為驗證資安相關產品與服務之權責機關，透過CSA建置的驗證標準，成為新加坡企業採用資安產品之參考依據。 （二）建立通用標準（Common Criteria, CC）：最初是由加拿大、法國、德國、荷蘭、英國與美國等多個國家安全標準組織聯合提出，以國際標準ISO／IEC 15408（Common Criteria for Information Technology Security Evaluation）作為替代其現有安全評估標準的通用標準。由於通用標準已於國際上受多國承認，資訊服務業者若經過相關驗證時，較易被新加坡企業採用。 （三）建立網路安全標籤機制（Cybersecurity Labelling Scheme, CLS）：CSA針對智慧裝置推出網路安全標籤機制CLS，是以《網路安全法》做為上位精神而訂，但並不具強制力，而是以計畫推行之自願性認驗證機制。新加坡政府將物聯網設備根據其網路安全規定之級別進行評估分級，使消費者能夠識別符合較高等級網路安全規定的產品，並做出明智的決定。CLS共可分為4個等級（Level 1~4），第1級為產品滿足相關之基本要求（如密碼要求、提供軟體更新）；第2級為該產品係使用安全設計原則進行開發（如進行相關之威脅評估、審驗程序）；第3級為該產品經過第三方測試實驗室評估；第4級則經過第三方實驗室之滲透測試。此外，值得注意的是，新加坡亦與德國、芬蘭簽署備忘錄，以相互承認，也因此新加坡CLS網路安全標籤機制與德國的網路安全標籤制度（IT-Sicherheitskennzeichen）、芬蘭的網路安全標籤制度（Finnish Cybersecurity Label），可以進行互通使用。 參、事件評析 新加坡透對於物聯網產品之資安，透過訂定法規、成立權責機關與建立國際通用之標準與標籤機制，針對物聯網產品資安進行不同層次的保障。此外，採「驗證」方式保障人民生活不受網路威脅侵害，同時提高消費者對於物聯網產品資安之意識，可謂一舉數得之作法。而我國於物聯網產品發展以來，有政府以計畫支持「行動應用資安聯盟」提供相關物聯網產品之資安檢測認驗證標章，以供企業或消費者識別，物聯網產品經由實驗室檢測並由行動應用資安聯盟[6]審核通過後，核發合格證書及資安標章，並依照資安風險高低及安全技術實現複雜度，區分三個等級（L1~L3），分為適合一般家庭、商業用途與最高防護強度。於此認驗證機制下，已推出6項產品系列之驗證[7]，並且採消費者導向之標章，足見我國政府同樣致力於提高消費者對於物聯網產品資安防護識別之意識；但此認驗證機制或有優化空間，今後可以參考新加坡作法，擴增可進行驗證的產品項目，持續提升保障消費者選購物聯網產品之資訊知悉權，同時可參酌國際上其他重點國家之風險評估方式，以系統性建置物聯網產品資安之風險評估通用標準，以確保該制度未來有機會被其他國家直接或間接承認，為國際接軌做準備，作為今後精進物聯網產品資安之目標，方可促使我國與國際產業鏈、海外市場逐步銜接，提升產業競爭力。 [1]新加坡網路安全局CSA（Cyber Security Agency），隸屬於總理辦公室（Prime Minister’s Office, PMO），由新加坡通訊暨新聞部（Ministry of Communications and Information）管理，https://www.csa.gov.sg/，（最後瀏覽日：2023/6/30）。 [2]Cybersecurity Act 2018, Singapore Statutes Online, https://sso.agc.gov.sg/Acts-Supp/9-2018/Published/20180312?DocDate=20180312, (last visited June 30, 2023). [3]Cybersecurity Act 2018, Part 1 PRELIMINARY, 2.—(1), (i)providing advice in relation to cybersecurity solutions, including— (i) providing advice on a cybersecurity program; or (ii) identifying and analysing cybersecurity threats and providing advice on solutions or management strategies to minimise the risk posed by cybersecurity threats. [4]Cybersecurity Labelling Scheme (CLS), CSA, https://www.csa.gov.sg/our-programmes/certification-and-labelling-schemes/cybersecurity-labelling-scheme, (last visited June 30, 2023). [5]SINGAPORE CSA, Certification and Labelling Schemes, About the Cybersecurity Certification Centre (CCC), https://www.csa.gov.sg/our-programmes/certification-and-labelling-schemes, (last visited June 30, 2023). [6]行動應用資安聯盟（Mobile Application Security Alliance），關於我們〈推動架構〉，https://www.mas.org.tw/about/background，（最後瀏覽日：2023/6/30）。 [7]包含:影像監控系統、智慧巴士、智慧路燈、空氣品質微型感測裝置、消費性網路攝影機、門禁系統等項目。行動應用資安聯盟（Mobile Application Security Alliance），IoT Q&A〈聯盟負責的物聯網資安檢測認證項目有哪些？〉，https://www.mas.org.tw/iot/questAndAnswer，（最後瀏覽日：2023/6/30）。
英國資訊委員辦公室首次對違反資料保護案件開罰英國資訊委員辦公室（Information Commissioner’s Office，ICO）於今（2010）年11月24日首次對違反資料保護案件開罰。 賀福郡理事會（Hertfordshire County Council）員工在今年6月兩度將載有高度敏感性資料的文件傳真予錯誤的收件人。ICO經調查後認定，由於賀福郡理事會未能防止兩次資料外洩事件發生，導致嚴重損害，而在首次外洩事件發生後，亦未採取足夠的預防措施避免類似情況發生，因此裁定十萬英鎊之罰鍰。 另一家發生資料外洩事件的人力資源服務公司A4e，則是因其員工將含有兩萬四千筆個人資料的筆記型電腦帶回家後遭竊，且包括個人姓名、出生年月日、郵遞區號、薪資、犯罪紀錄等相關資料並未加密。ICO認為，A4e並未採取適當措施避免資料外洩，且A4e允許其員工將未加密的筆記型電腦帶回家時，已知內含個人資料種類及數量，因此裁定六萬英鎊之罰鍰。 ICO表示，希望本次處罰能對於處理個人資料的機構有所警惕。 ICO今年4月被賦予裁罰權，至於裁罰的標準，則有裁罰指引（fine guidance）可參考。根據裁罰指引，若資料控制者（data controller）故意違反資料保護法（Data Protection Act），或可得而知可能違法之情形，卻未採取適當措施預防之，而可能造成相當損害時，ICO得處以相當罰鍰。
芬蘭財政部通過《虛擬貨幣供應商法》，以防制洗錢及資恐行為近來虛擬貨幣已成為國際洗錢犯罪工具，為有效防制洗錢及打擊資助恐怖主義行為，芬蘭財政部（Ministry of Finance）宣布通過虛擬貨幣供應商法（The Act on virtual currency providers），於2019年5月1日生效，立法目的係為了將虛擬貨幣供應商納入洗錢防制監管範圍，並由芬蘭金融監管局（Financial Supervisory Authority, FIN-FSA）擔任虛擬貨幣供應商之註冊機構及監管機構。 根據該法案，虛擬貨幣交易所、託管錢包供應商及虛擬貨幣發行者皆須向芬蘭金融監管局進行註冊，以確保遵守相關法規要求，包括：（1）供應商應具可靠性；（2）保存和保護客戶資金；（3）須將客戶資金與自有資金隔離；（4）服務行銷規則；（5）遵守防制洗錢與打擊資助恐怖主義（AML / CFT）規定。虛擬貨幣供應商須符合法規要求才能在芬蘭營運，若未符合法規，將被禁止其業務活動，並依規定科以罰金。 另外，該法案之基本框架，是以2018年5月歐盟宣布通過之「第五號洗錢防制指令」（the Fifth Anti-Money Laundering Directive）為基礎，該指令要求所有歐盟成員國必須於2020年1月10日前，將虛擬貨幣相關服務納入國內AML / CFT監管框架中，以降低洗錢和恐怖主義融資風險。然而，芬蘭金融監管局表示，虛擬貨幣交易風險高，儘管制訂新法案，投資者保護問題仍無法完全解決，呼籲投資者仍須注意虛擬貨幣相關服務所涉及之風險，應謹慎為之。