德國新聯邦個人資料保護法將於2018年5月施行
德國聯邦議院在今年4月27日通過「個人資料保護調整和施行法」（Datenschutzanpassungs- und Umsetzungsgesetz, DSAnpUG），其中包含新的德國聯邦個人資料保護法（Bundesdatenschutzgesetz, BDSG）。在這部新的法案中，已施行40年的 BDSG進行大幅調整以符合歐盟個人資料保護規則（Datenschutzgrundverordnung , DSGVO）的標準。
所有歐盟成員國將於2018年5月25日開始適用DSGVO的規定。DSGVO希望能在歐盟成員國內，形成一套具有法律統一性、標準性與高水準的個人資料保護制度。這也意味著侵害個人資料保護的違法行為，如：未使用適當的加密技術以確保個人資料安全，可能受到更嚴重的處罰，最高可達2,000萬歐元或企業全年營業額的4%。
DSGVO的目的在確保歐盟成員國間個人資料保護的共同法制標準，但考量到各成員國間的區域差異，DSGVO也提供國家立法者約60條的開放性條款(Öffnungsklauseln)─允許許多地區的成員國在特定條件下可不依循DSVGO標準。德國聯邦政府在新的BDSG，也運用了這些開放性條款。但有批評者認為，部分新的BDSG規範內容已超越DSGVO的條文規範，如：個資保護專員(Datenschutzbeauftragten)的就業保障。因此，新的BDSG與歐盟法律不符的部分，很可能被宣布違反歐盟法律。另一方面，舊的BDSG僅有48條規定，而新的BDSG則超過85條規定，且更為複雜，這都提高了法律適用上的難度。
雖然新的BDSG其適法性仍有爭議，且是否能通過司法審查亦屬未知。但盡管如此，隨著DSAnpUG 及新的BDSG法律條文制定，未來德國個人資料處理的基本法律框架已確定。由於企業個人資料處理的基本原則已明訂於DSGVO中，且新的BDSG仍是依照DSGVO的規範而制定，因此企業應盡速審查和調整他們的契約和流程，以符合DSGVO的規範要求。
- Neues Bundesdatenschutzgesetz im Bundestag
- Neue Datenschutzverordnung EU-DSGVO Handeln gefordert
- Das Bundesdatenschutzgesetz wird europäisiert
- Gesetz zur Anpassung des Datenschutzrechts an die Verordnung (EU) 2016/679 und zur Umsetzung der Richtlinie (EU) 2016/680 (Datenschutz-Anpassungs- und -Umsetzungsgesetz EU DSAnpUG-EU), Bundesgesetzblatt Teil I 2017, Nr. 44 vom 05.07.2017, S. 2097~2132
李億誠
法律研究員 編譯整理
Neues Bundesdatenschutzgesetz im Bundestag, https://www.bitkom.org/Presse/Presseinformation/Neues-Bundesdatenschutzgesetz-im-Bundestag.html (last visited Sep. 28, 2017)
Das Bundesdatenschutzgesetz wird europäisiert, https://www.computerwoche.de/a/das-bundesdatenschutzgesetz-wird-europaeisiert,3330647 (last visited Sep. 28, 2017)
Neue Datenschutzverordnung EU-DSGVO Handeln gefordert, http://www.lanline.de/handeln-gefordert/ (last visited Sep. 28, 2017)
Gesetz zur Anpassung des Datenschutzrechts an die Verordnung (EU) 2016/679 und zur Umsetzung der Richtlinie (EU) 2016/680 (Datenschutz-Anpassungs- und -Umsetzungsgesetz EU DSAnpUG-EU), Bundesgesetzblatt Teil I 2017, Nr. 44 vom 05.07.2017, S. 2097~2132, https://www.bgbl.de/xaver/bgbl/start.xav?startbk=Bundesanzeiger_BGBl#__bgbl__%2F%2F*%5B%40attr_id%3D%27bgbl117s2097.pdf%27%5D__1506330970336 (last visited Sep. 25, 2017)
2015年11月3日德國杜塞道夫地方法院（以下稱德國法院）依據歐盟法院之《華為訴中興》案(Huawei v ZTE case, 16 July 2015, Case C- 170/13)的先決裁判發出第一例禁制令(Cases 4a O 144/14) (Nov. 3, 2015)。這個判決係義大利公司SISVEL公司認為青島海爾德國公司（以下稱海爾公司）侵害其有關GPRS及 UMTS無線網路專利組合之標準專利，並已經對海爾公司發出專利侵權通知，並發出授權要約，海爾公司則抗辯認為，SISVEL僅通知其母公司而未通知其分公司，且其授權要約不符合FRAND原則。 德國法院認為，SISVEL只要將足夠的專利侵權資訊及授權要約通知海爾母公司進而據以判斷是否與SISVEL展開授權協商即可，若要求專利權人亦須一一通知其分公司，則將流於形式。 其次，海爾公司雖因認為SISVEL要求之授權金過高，故拒絕SISVEL的授權要約並提出反向要約，但卻未在提出反向要約後之合理期間內依據歐盟法院在《華為訴中興》案先決裁判中之見解，對SISVEL提供保證金以擔保其授權協議尚未達成前對SISVEL專利之使用費用。故德國法院進一步對前述合理期間給予確切期間，即拒絕專利權人要約時起一個月內。 至於海爾公司主張SISVEL授權要約不符合FRAND原則之抗辯，德國法院認為因海爾公司未履行前述程序，故尚無須判斷SISVEL授權要約是否FRAND原則。故何種情形屬於符合FRAND原則，仍留由後續之實務見解加以補充。
美國聯邦上訴法院認定，美國政府不得強取境外伺服器資料微軟在美國政府索要用戶郵件的一起官司中獲得勝訴。美國政府第二巡迴上訴法院裁決，如果資料是儲存在美國境外伺服器，則不為美國聯邦政府的令狀效力所及。 這件訴訟案源於2013年的一起涉外毒品案件中，紐約區法院發布了一項搜查令，要求微軟提供公司一名用戶的郵件和相關訊息。然而因為有些資料是存放在微軟公司在愛爾蘭的伺服器，因此微軟爭辯說郵件本身是儲存在愛爾蘭的，因此不應受到美國政府令狀效力所及。2014年聯邦地方法院再次要求微軟提供郵件內容——但微軟上訴到了聯邦第二巡迴法院。 美國聯邦第二巡迴法院在判決中，認定基於《儲存通訊記錄法》（Stored Communications Act：SCA/下稱SCA）規定美國政府得以令狀要求連結網路使用者資料的規定並不適用於境外。法院所持理由為： 1. SCA規定搜索票/扣押票之核發應符合美國聯邦刑事訴訟法之相關規定，而美國聯邦刑事訴訟法第41條即規定搜索票/扣押票應由搜索/扣押標的物所在地之法院核發並交由該地或國內他地執法人員執行。 2. 法院曾於2010年之MORRISON ET AL. v. NATIONAL AUSTRALIA BANK LTD. ET AL.案判決理由中指明，如國會立法時認為某法規可能或必須有域外效力，應以明文定之，而SCA條文中並無任何規定寫明該法可於境外適用之。 3. SCA在第2703條所使用之搜索票/扣押票（warrant）一字，源自美國憲法增修條文第四條，即規定美國政府對其國內人民為搜索扣押時應以搜索票/扣押票（warrant）為之，且SCA更刻意以不同條款及不同強度區分搜索票/扣押票（warrant）與傳票（Subpoena），立法者之用意顯然是希望能以前者提供使用者更高度的隱私保護。 這是美國首例企業對獲取境外資料的政府搜查令提起上訴的案件，審判結果影響著美國法律界對於執法機關是否能就存放在世界上其他國家的美國用戶資料，進行合法調查。
新加坡物聯網產品網路安全防護之初探新加坡物聯網產品網路安全防護之初探 資訊工業策進會科技法律研究所 2023年06月30日 壹、事件摘要 近年物聯網（Internet of Things，簡稱IoT）產品蓬勃發展，伴隨著資通安全之威脅卻也日益加增，新加坡為此陸續訂定國內法規，以強化保障新加坡人民資訊流通之自由，並確立了網路安全標籤機制，藉以提高消費者對於物聯網產品資安的認識。另一方面，標籤制度能於消費者使用物聯網產品時，將產品受到不同層級之網路安全防護，或有別於一般用途使用等資訊，迅速傳達給消費者。據此，本文觀測新加坡近年主要的物聯網產品驗證制度與相關法規，供我國參考與借鏡。 貳、重點說明 一、新加坡物聯網網路安全法規 新加坡於2015年成立新加坡網路安全局[1]（CSA），陸續為新加坡建立完善之物聯網產品網路安全防護機制，且新加坡於2018年訂定《網路安全法》[2]，法案的第一部分已明示將「網路安全」列為實質保障內涵[3]，並明訂須透過識別與分析威脅，以有效降低網路安全威脅帶來的風險。另為提高物聯網安全性，首先於亞太地區推出物聯網產品等級評估機制，即新加坡網路安全標籤機制[4]（Cybersecurity Labelling Scheme, CLS），致力於保障新加坡的網路空間，並使消費者能夠識別符合網路安全規定之物聯網產品，以利消費者辨認選購。此外，CLS架構下設有驗證中心、通用標準以及標籤分級等措施，以強化物聯網產品資安防護為目的，也能落實《網路安全法》保障新加坡網路安全之精神。 （一）設置網路安全驗證中心[5]（Cybersecurity Certification Centre, CCC）：為驗證資安相關產品與服務之權責機關，透過CSA建置的驗證標準，成為新加坡企業採用資安產品之參考依據。 （二）建立通用標準（Common Criteria, CC）：最初是由加拿大、法國、德國、荷蘭、英國與美國等多個國家安全標準組織聯合提出，以國際標準ISO／IEC 15408（Common Criteria for Information Technology Security Evaluation）作為替代其現有安全評估標準的通用標準。由於通用標準已於國際上受多國承認，資訊服務業者若經過相關驗證時，較易被新加坡企業採用。 （三）建立網路安全標籤機制（Cybersecurity Labelling Scheme, CLS）：CSA針對智慧裝置推出網路安全標籤機制CLS，是以《網路安全法》做為上位精神而訂，但並不具強制力，而是以計畫推行之自願性認驗證機制。新加坡政府將物聯網設備根據其網路安全規定之級別進行評估分級，使消費者能夠識別符合較高等級網路安全規定的產品，並做出明智的決定。CLS共可分為4個等級（Level 1~4），第1級為產品滿足相關之基本要求（如密碼要求、提供軟體更新）；第2級為該產品係使用安全設計原則進行開發（如進行相關之威脅評估、審驗程序）；第3級為該產品經過第三方測試實驗室評估；第4級則經過第三方實驗室之滲透測試。此外，值得注意的是，新加坡亦與德國、芬蘭簽署備忘錄，以相互承認，也因此新加坡CLS網路安全標籤機制與德國的網路安全標籤制度（IT-Sicherheitskennzeichen）、芬蘭的網路安全標籤制度（Finnish Cybersecurity Label），可以進行互通使用。 參、事件評析 新加坡透對於物聯網產品之資安，透過訂定法規、成立權責機關與建立國際通用之標準與標籤機制，針對物聯網產品資安進行不同層次的保障。此外，採「驗證」方式保障人民生活不受網路威脅侵害，同時提高消費者對於物聯網產品資安之意識，可謂一舉數得之作法。而我國於物聯網產品發展以來，有政府以計畫支持「行動應用資安聯盟」提供相關物聯網產品之資安檢測認驗證標章，以供企業或消費者識別，物聯網產品經由實驗室檢測並由行動應用資安聯盟[6]審核通過後，核發合格證書及資安標章，並依照資安風險高低及安全技術實現複雜度，區分三個等級（L1~L3），分為適合一般家庭、商業用途與最高防護強度。於此認驗證機制下，已推出6項產品系列之驗證[7]，並且採消費者導向之標章，足見我國政府同樣致力於提高消費者對於物聯網產品資安防護識別之意識；但此認驗證機制或有優化空間，今後可以參考新加坡作法，擴增可進行驗證的產品項目，持續提升保障消費者選購物聯網產品之資訊知悉權，同時可參酌國際上其他重點國家之風險評估方式，以系統性建置物聯網產品資安之風險評估通用標準，以確保該制度未來有機會被其他國家直接或間接承認，為國際接軌做準備，作為今後精進物聯網產品資安之目標，方可促使我國與國際產業鏈、海外市場逐步銜接，提升產業競爭力。 [1]新加坡網路安全局CSA（Cyber Security Agency），隸屬於總理辦公室（Prime Minister’s Office, PMO），由新加坡通訊暨新聞部（Ministry of Communications and Information）管理，https://www.csa.gov.sg/，（最後瀏覽日：2023/6/30）。 [2]Cybersecurity Act 2018, Singapore Statutes Online, https://sso.agc.gov.sg/Acts-Supp/9-2018/Published/20180312?DocDate=20180312, (last visited June 30, 2023). [3]Cybersecurity Act 2018, Part 1 PRELIMINARY, 2.—(1), (i)providing advice in relation to cybersecurity solutions, including— (i) providing advice on a cybersecurity program; or (ii) identifying and analysing cybersecurity threats and providing advice on solutions or management strategies to minimise the risk posed by cybersecurity threats. [4]Cybersecurity Labelling Scheme (CLS), CSA, https://www.csa.gov.sg/our-programmes/certification-and-labelling-schemes/cybersecurity-labelling-scheme, (last visited June 30, 2023). [5]SINGAPORE CSA, Certification and Labelling Schemes, About the Cybersecurity Certification Centre (CCC), https://www.csa.gov.sg/our-programmes/certification-and-labelling-schemes, (last visited June 30, 2023). [6]行動應用資安聯盟（Mobile Application Security Alliance），關於我們〈推動架構〉，https://www.mas.org.tw/about/background，（最後瀏覽日：2023/6/30）。 [7]包含:影像監控系統、智慧巴士、智慧路燈、空氣品質微型感測裝置、消費性網路攝影機、門禁系統等項目。行動應用資安聯盟（Mobile Application Security Alliance），IoT Q&A〈聯盟負責的物聯網資安檢測認證項目有哪些？〉，https://www.mas.org.tw/iot/questAndAnswer，（最後瀏覽日：2023/6/30）。
歐洲專利局2019年專利指數歐洲專利局（EPO）於2020年3月12日公布「2019年專利指數」（EPO Patent Index 2019），歐洲專利局在2019年全年受理超過18萬件的專利申請案件量，達到歷史新高，其中以來自中國大陸的申請案件量成長29.2%為主要來源；在專利領域方面則以數位通訊及電腦科技兩大領域的申請案件量，分別較前一年度成長19.6%及10.2%最為顯著，反應全球積極布局數位轉型相關科技趨勢。 根據歐洲專利局的統計，數位通訊領域專利申請量的成長，在十年來首次超越醫學技術，主因為反應世界各國積極發展5G通訊技術的腳步，來自中國大陸的專利申請量在通訊技術領域帶頭成長了64.6%，在專利申請人則以華為居首，其次為愛立信，高通第三。而在電腦科技領域，則以AI相關技術包含機器學習、模式識別（pattern recognition）、圖像識別與生成、資料檢索等技術為大宗，專利申請量成長率由美國領軍為13.6%，在專利申請人則以Alphabet（Google母公司）居首，接著為微軟、三星，華為第四。 藉由「2019年專利指數」可以發現兩大趨勢，其一為數位通訊及電腦科技領域專利申請的快速增長，顯示各國布局數位轉型已蓄勢待發，並以5G與AI兩大技術為數位轉型核心；其二為在數位轉型科技領域的專利申請人中，中國大陸在數位科技的積極布局，特別是華為以3524項專利申請案位居全球專利申請人之首，反映中國在全球數位轉型浪潮中的積極布局。