香港公告金融科技監管沙盒2.0版、保險科技沙盒以及證監會監管沙盒
在香港金融管理局（Hong Kong Monetary Authority, HKMA）於2016年9月推出金融科技監管沙盒（Fintech Supervisory Sandbox, FSS）滿一年後，於今年9月29日再公布2.0升級版。而香港保險業監管局（Insurance Authority, IA）同時發布保險科技沙盒（Insurtech Sandbox），證券及期貨事務監察委員會（Securities and Futures Commission, SFC）亦公告證監會監管沙盒（SFC Regulatory Sandbox），初步完備香港金融領域沙盒制度之建立。
於金融科技監管沙盒2.0版中，香港金融管理局為加強金融科技公司與HKMA連繫機制，將成立金融科技監管聊天室（Fintech Supervisory Chatroom），改變最初金融科技公司僅能透過銀行窗口與HKMA進行試驗商品相關聯繫，造成程序不便、資訊不流通等問題，2.0版後金融科技公司可透過HKMA隸屬之金融科技監管聊天室進行意見回饋。並且由於香港針對金融科技、保險、證券及期貨領域推出三種沙盒機制，故推出「一點通」之一站式便民服務，提供企業選擇沙盒並得以和各機關進行相互協調，此次改革將於年底作業完成。
而IA為促進保險科技發展，推出保險科技沙盒，對於保險公司計畫在香港推出的創新技術不確定是否符合香港法規，給予受授權保險公司在沙盒機制內進行沙盒試驗，在沙盒試驗中，主管機關得隨時對保險公司之風險控管做查核，並且消費者有隨時退出試驗並給予補償機制，IA亦可針對不符合之試驗計劃宣告中止。
另外，SFC開放合資格之企業提供沙盒試驗，所謂「合資格之企業」是指經由香港《證券及期貨條例》規範而設立之持照企業或新創公司，同時該公司必須使用創新科技並為投資者帶來更多優質產品服務，並受惠於香港金融服務業者。並且為保護投資者權益，除申請公司應有給予投資者退出機制與提供賠償方式外，並應揭露潛在風險。若最後申請公司證明其試驗客體可靠且符合目的，可向SFC申請走出沙盒機制，並對外營運。
吳昌鴻
法律研究員 編譯整理
Hong Kong Monetary Authority, A New Era of Smart Banking, http://www.hkma.gov.hk/eng/key-information/press-releases/2017/20170929-3.shtml （last visited Oct. 25, 2017）.
Insurance Authority, Insurtech Corner, https://www.ia.org.hk/en/aboutus/insurtech_corner.html （last visited Oct. 25, 2017）.
Securities and Futures Commission, SFC Regulatory Sandbox, http://www.sfc.hk/web/EN/sfc-fintech-contact-point/sfc-regulatory-sandbox.html （last visited Oct. 25, 2017）
Klausner Technologies已結束2007年12月針對蘋果(Apple)與共同合作AT&T公司發起的專利訴訟案，並將專利技術以授權方式予Apple及AT&T。 Klausner Technologies具有視覺語音郵件(visual voice-mail)技術所衍生產品與服務，並在美國及其他國家申請並已獲得多項專利。Klausner Technologies認為Apple 所生產iPhone手機的觸摸屏介面設計，其視覺語音郵件功能，類似像電子郵件收發匣，可呈現所有已接收的語音郵件，並可讓使用者依個人喜好隨意指定郵件的排列順序與瀏覽方式，其功能與Klausner Technologies於2004-2006年間所申請專利技術雷同。故2007年底對Apple與AT&T發出專利訴訟，並請求3億6仟萬美元的賠償與預期未來使用權利金。本案最終在美國德州東區地方法院以和解方式結束，然而和解相關詳情尚未對外公布。 Klausner Technologies於控告Apple與AT&T前，已經與數家公司簽署視覺語音郵件技術授權合約，包括時代華納的AOL與VoIP網路提供商Aonage公司；亦對Comcast，Cablevision及eBay等三家公司提起訴訟，指出其VoIP產品，侵犯Klausner Technologies所申請關語音郵件的專利，並請求賠償與使用權利費用共計3億美元。依路透社報導，eBay已同意接受以授權方式取得語音郵件技術。
歐盟理事會修正《第428/2009號歐盟理事會規章》，提升歐洲軍民兩用出口管制力度歐盟理事會與歐洲議會於2020年12月14日，針對歐洲軍民兩用出口管制法規《第428/2009號歐盟理事會規章》（COUNCIL REGULATION (EC) No 428/2009）達成修正協議，並獲得歐盟理事會下設常駐代表委員會（Committee of Permanent Representatives, COREPER）認可後正式通過。《規章428/2009》用以規範歐盟軍民兩用出口管制，監管歐盟涉及「軍民兩用」敏感貨品、服務、軟體和技術的對外出口、內部轉口及過境貿易。因兩用貨品包含軍事用途及商用用途，故此次歐盟調整軍民兩用出口管制的相關規則，主要考量面向包括：英國脫歐對歐洲出口管制的影響；如何確保歐盟出口管制條例與國際反武器擴散制度相一致；以及解決網路監管和新興技術帶來的安全威脅等。本次歐洲軍民兩用出口管制修正重點如下： 提升出口管制力度，防止濫用網路監管等新興技術：管制項目具備監視、取得、蒐集或分析資通訊系統資料功能者，因涉及國家內部鎮壓或嚴重違反國際人權和國際人道法（International Humanitarian Law），即使未明列在歐盟軍民兩用法規的附件中，也應加強管制。 新增兩項歐盟一般出口許可證（EU General Export Authorisations, EU GEAs）：包括集團內部技術轉讓（EU007）及加密（EU008），允許軍民兩用貨品出口至特定目的地。 統一歐盟軍民兩用貨品規則：例如技術協助屬於特定軍事用途且與軍民兩用相關者須經授權，歐盟成員國得配合擴張軍民兩用貨品清單。 強化企業調查和報告義務，遵守並適用出口管制規則：實施出口及授權作業的出口商，應落實內部合規計劃，確保企業遵守出口管制的政策和程序。 歐盟成員國間加強合作機制：促進資訊交流、政策調整和執法行動。
2016年生物支付技術將可能取代傳統支付型態根據美國公共電視台在2016年1月6日的新聞，指出生物支付將可能成為新興支付工具。生物支付之定義為利用生物辨識(biometric)技術驗證個人生物特徵，諸如：指紋、虹膜等進行支付。採用生物支付技術，未來將無須使用信用卡或行動裝置，僅需要個人生物特徵之辨識即可完成交易。此轉變將使未來交易更加快速、便利，但同時，生物支付的安全性卻也不無疑義。 即便生物辨識屬於高層級的資訊安全保護機制，但水能載舟，亦能覆舟。生物辨識利用生物不可變之特性進行身分識別，涉及高度個人隱私，為妥善保護個人資訊安全，需訂立生物辨識相關規範加以管制，否則將衍生許多法律問題。 例如：在2015年6月，美國線上出版商Shutterfly公司被控訴違法蒐集個人資料。原告稱其並非Shutterfly公司之註冊使用者，也從未同意其生物辨識資訊被該公司蒐集，但其面紋(Face print)卻被上傳至該公司網站，並標註姓名，儲存在自動針對相片標記臉部辨識系統之資料庫。 依據BIPA針對生物辨識定義及蒐集規範： 1.第10條： 生物辨識之態樣，包含視網膜、虹膜掃描、指紋或是手部、臉部外觀之掃描，但不包括簽名、照片、用於科學檢測之人體樣本、頭髮顏色等。 2.第15條(a)： 規定公司蒐集個人生物特徵資訊應有相關規範供公眾查閱，並應提供生物辨識資訊之保管及銷毀日期及相關資訊。 3.第15條(b)(1)： 蒐集生物辨識資訊應告知當事人。 Shutterfly公司提出要求法院不受理之抗辯，主張BIPA規定之臉部外觀，其文意解釋應為物理上個人親自接受掃描所得之資訊，並非原告所主張以照片辨識之臉部外觀，但法院認為Shutterfly之主張並不合理，因此同意受理此案。 觀察該案可發現，儘管生物辨識提高資訊安全之保護，但相關法規範解釋仍待實務完備。另一方面，生物特徵資訊極易被他人蒐集，因此，如何建置蒐集個人辨識資訊及完善相關措施，也是推行生物支付措施所需突破的關口。
歐盟第29條工作小組發布「自動化個人決策和分析指引」處理個人資料自動化決策與資料剖析風險問題歐盟第29條工作小組於2017年10月3日為因應歐盟一般資料保護規則（GDPR）第22條規定發布「自動化個人決策和分析指引」（Guidelines on Automated individual decision-making and Profiling for the purposes of Regulation 2016/679，2018年2月6日進一步修正，下稱指引），處理對個人資料自動化決策（automated decision-making）和個人檔案剖析（Profiling）的建立。 指引分為五個部分與最佳實踐建議，旨在幫助資料控制者（controller）合乎GDPR對個人資料自動化決策和分析的要求，內容包括下幾點：1.定義自動化決策和分析，以及GDPR對這些概念的處理方法；2.對GDPR第22條中關於自動化決策的具體規定；3.對自動決策和分析的一般規定；4.兒童和個人檔案剖析（Profiling）的建立；5.資料保護影響評估。 指引的主要內容包括： 個人檔案剖析（Profiling），意謂收集關於個人（或一群個人）的資料，並分析他們的特徵或行為模式，加以分類或分群，放入特定的類別或組中，和/或進行預測或評估（例如，他們執行任務的能力，興趣或可能的行為）。 禁止對個人資料完全自動化決策，包括有法律上法或相類重大影響的檔案剖析，但規則也有例外。應有措施保障資料主體的權利，自由和合法利益。 GDPR第22條第二項a之例外規定，（履行契約所必需的），自動化個人決策時，應該作狹義解釋。資料控制者必須能夠提出分析、自動化個人決策的必要性，同時考慮是否可以採取侵害隱私較少之方法。 工作小組澄清，關於在要求提供有關自動化決策所涉及的邏輯上有意義的資料時，控制者應以簡單的方法，告訴資料主體其背後的理由或依據的標準，而不得總是以自動化決策所使用算法進行複雜的解釋或者公開完整的算法為之。所提供的資料應該對資料當事人有意義。 對資料主體提供關於處理自動化決策上有關重要性和預期後果的資料，其意義在於必須提供關於該資料之用途或資料未來處理以及自動化決策如何影響資料主體的重要訊息。例如，在信用評等的情況下，應有權知道其資料處理的基礎，資料主體並能對其作出正確與否的決定，而不僅僅是關於決策本身的資料。 「法律效果」是指對某人的法律權利有影響，或者影響到個人法律關係或者其契約上權利。 工作組並未將GDPR前言71段視為絕對禁止純粹與兒童有關的自動決定，指出僅在某些情況下才有其適用（例如，保護兒童的福利）。 在基於自動化處理（包括分析）以及基於哪些決策產生法律效應或類似顯著效果的基礎上對個人方面進行系統和廣泛評估的情況下，進行資料保護影響評估並不局限於「單獨」自動化處理/決定。