新加坡個人資料保護委員會針對企業蒐集、使用、揭露永久居留證(NRIC)號碼提出新的諮詢指引
考量各行各業的從業習慣及民眾對企業蒐集、使用、揭露永久居留證(National Registration Identification Card, NRIC)號碼之看法，新加坡個人資料保護委員會(Personal Data Protection Commission, PDPC)於2017年11月提議修改個人資料保護法的諮詢指引(Advisory Guidelines on the Personal Data Protection Act )，明確界定企業蒐集、使用、揭露NRIC及其號碼之範圍。
依據舊的諮詢指引，新加坡個人資料保護法允許企業在基於合理特定目的並依法獲得當事人有效同意之情況下，蒐集、使用或揭露NRIC號碼。因此，不少企業活動習慣蒐集利用民眾的NRIC號碼，包括零售商店所舉辦的抽獎活動。然而，在PDPC提出新的諮詢指引後，企業可蒐集利用NRIC號碼的情況受到大幅限縮。
由於NRIC號碼與個人資訊息息相關且具不可取代性，無差別地蒐集利用將增加資料被用以從事非法活動之風險，故新的諮詢指引闡明，原則上企業不應蒐集、使用或揭露個人NRIC號碼或複印NRIC，除非有下列兩種例外情況之一：(一)法律要求；(二)為確實證明當事人身分所必要。第一種例外情況，雖因法律要求無須取得當事人同意，但企業仍應踐行告知義務，使當事人知悉NRIC號碼被蒐集、使用或揭露之目的，並確保企業內已採行適當安全措施，防止NRIC號碼被意外洩漏。第二種例外情況則仍須就NRIC號碼的蒐集、使用或揭露取得當事人同意，除非符合個人資料保護法規定下毋庸取得當事人同意之例外(如急救等緊急狀況)。
此外，PDPC針對得蒐集、使用或揭露NRIC號碼或複印NRIC的情況，以情境案例方式於諮詢指引中說明供企業參考，另給予12個月的審視期間，使企業得修正組織內部政策並尋找可行替代方案。
- PERSONAL DATA PROTECTION COMMISSION SINGAPORE [PDPC], Proposed Advisory Guidelines on the Personal Data Protection Act for NRIC Numbers (2017)
- PERSONAL DATA PROTECTION COMMISSION SINGAPORE [PDPC], Advisory Guidelines on the Personal Data Protection Act for Selected Topics: NRIC Numbers (2017)
- Irene Tham, Watchdog Seeks Stricter Protection of NRIC Data, THE STRAITS TIMES, Nov. 8, 2017
- New Guidelines Proposed on Use of NRIC Numbers by Companies, CHANNEL NEWSASIA
張腕純
組長 編譯整理
PERSONAL DATA PROTECTION COMMISSION SINGAPORE [PDPC], Proposed Advisory Guidelines on the Personal Data Protection Act for NRIC Numbers (2017), https://www.pdpc.gov.sg/docs/default-source/public-consultation-6---nric/proposed-nric-advisory-guidelines---071117.pdf?sfvrsn=4 (last visited Nov. 20, 2017).
PERSONAL DATA PROTECTION COMMISSION SINGAPORE [PDPC], Advisory Guidelines on the Personal Data Protection Act for Selected Topics: NRIC Numbers (2017), https://www.pdpc.gov.sg/docs/default-source/advisory-guidelines---selected-topics/ch-6---nric-(20170328).pdf?sfvrsn=2 (last visited Nov. 20, 2017).
Irene Tham, Watchdog Seeks Stricter Protection of NRIC Data, THE STRAITS TIMES, Nov. 8, 2017, http://www.straitstimes.com/tech/watchdog-seeks-stricter-protection-of-nric-data (last visited Nov. 20, 2017).
New Guidelines Proposed on Use of NRIC Numbers by Companies, CHANNEL NEWSASIA, http://www.channelnewsasia.com/news/singapore/guidelines-on-nric-numbers-companies-9382290 (last visited Nov. 20, 2017).
日本政府於今（2023）年3月10日，閣議通過不正競爭防止法等一系列智財法律修正案，包括商標法、不正競爭防止法、意匠法（設計專利）、特許法（發明專利）、實用新案法（新型專利）、工業所有權特例法等智財相關六法修正案。5月11日送第211回國會（眾議院）審議中。 本次智財法律修正案，係為求智慧財產進行適當的保護與提升智慧財產制度的便利性，並確保國內外事業者間公平競爭，修法擴充他人商品型態的仿冒態樣，創設基於商標權人的同意下近似商標註冊制度；設計專利的新穎性喪失例外適用之證明手續的簡化、發明專利等國際申請優先權主張之手續電子化，另對外國公務員贈賄罪之罰金上限提高等措施。 為強化數位化多元事業品牌保護，除商標法修法以擴充可取得註冊商標，針對防止數位空間之仿冒行為，不正競爭防止法規定，自原始商品於日本首次銷售起三年內（不正競爭防止法第19條第1款第5項），禁止銷售與該商品非常近似的仿冒商品，然修法前前述行為態樣不適用於數位空間。本次修法為防止數位空間之仿冒行為，規定商品型態的仿冒行為，即使係發生於元宇宙等數位空間亦構成不正競爭行為，可行使侵害排除及侵害防止請求權（不正競爭防止法第2條第1款第3項）。 日本透過智財修法將商標保護觸角延伸入虛擬空間之作法，可作為我國未來政策推動與修法之借鑑。 本文同步刊登於TIPS網站（https://www.tips.org.tw）
歐盟通過「資料保存指令」「資料保存指令」（ Directive on the retention of data ，下稱本指令）已於 2006 年 2 月 21 日 經歐盟部長理事會（ European Council of Minister ）批可而正式生效。但部分歐盟國家，如愛爾蘭（ Irish ）與斯洛伐克（ Slovak ）仍認為，由於資料保存對於歐盟民眾權益影響甚鉅，故應透過更嚴格的立法程序，如由歐盟部長理事會（ European Council of Minister ）全體一致通過「決定」（ Decision ），而不應透過議會表決後再交由理事會批可指令（ Directive ）的方式生效。 本指令要求網路服務業者（ Internet service providers, ISPs ）與固定（ fixed-line ）及行動 (Mobile) 網路業者必須要保存客戶通聯之通聯日期、地點、通話時間等通聯資料等，保存期限從 6 個月到 2 年不等。而除了保存之責任以外，上述業者還必須要確保其保存之資料可隨時配合執法單位之調查，提供執法單位進行嚴重犯罪之調查與恐怖分子調查之參考與利用。 國際隱私權組織（ Privacy International ）表示，本指令的通過將對歐盟地區民眾之人權造成不可磨滅之影響。此外，歐盟地區之電信公司與 ISPs 則表示，本指令實施後，若政府單位未給予任何的補助，將大量增加業者在資料儲存之費用，進而影響市場競爭。 本指令最遲將於公布後隔年開始實施。
強化AI安全防線：八國連署AI與機器學習供應鏈風險管理指南日本國家網路安全辦公室（国家サイバー統括室）於2026年3月5日，代表日本連署了「AI、機器學習供應鏈風險與緩和措施」（Artificial intelligence and machine learning Supply chain risks and mitigations）之國際文書（下稱本文書），並公布本文書內容。本文書是由隸屬於澳洲訊號局（Australian Signals Directorate，簡稱ASD）之澳洲網路安全中心（Australian Cyber Security Centre，簡稱ACSC）主導訂定，主要針對有導入或開發 AI、機器學習系統與元件等需求的組織，揭示其可能存在供應鏈風險與提升整體網路安全之重要性，並就AI開發或採購階段，組織應留意相關風險與可採行之緩和措施。有關連署國家，除了日本與澳洲以外，也包括加拿大、紐西蘭、韓國、新加坡、英國與美國等共八個國家皆已完成連署。 本文書內容強調組織於管理 AI、機器學習等風險時，應將 AI 供應鏈視為整體網路安全戰略的一環，同時評估產品或服務之整體生命週期風險，不應著重於單一技術，而是組織需要掌握整體供應鏈的全貌，包括特定關係事業者、活用AIBOM（AI物料清單，主要用來記錄AI模型相關資產與資訊，提供快速定位與管控AI問題模型功能）或SBOM（軟體物料清單，主要記錄軟體相依元件，用於漏洞管理與供應鏈透明度）、意識到是否已針對AI、機器學習系統可能帶來的風險，進行漏洞管理，以及針對AI、機器學習系統所導致之網路安全事件建立應處機制等。 本文書將AI、機器學習供應鏈風險大致區分為五類：AI 數據、機器學習模型、AI 軟體、AI 基礎設施（含硬體），以及第三方服務，本文書指出AI、機器學習應用於供應鏈時可能產生之風險，其中包括數據品質不良、資料受竄改、模型遭植入惡意程式碼、軟體元件複雜導致難以保證其安全、硬體與韌體擴大攻擊面，以及導入第三方服務致使供應鏈產生弱點等。 此外，本文書也針對各類風險提出可行的因應方法，例如： 1.數據面：需做標準化搜集、外部資料檢疫、資料前處理與完整性驗證。 2.模型面：需從可信來源取得透明模型，實施性能驗證與惡意程式偵測。 3.軟體面：需做完整性驗證、元件審核，並透過 SBOM 掌握已知弱點。 4.硬體面：需確認設備無惡意內容，並在網路中適當分區。 5.第三方服務面：需持續評估與監控供應商的資安實務與脆弱性管理。 總結來說，日本已意識到國家網路安全治理下，針對AI、機器學習的安全，不單是模型安全，而是涉及整體性供應鏈安全。日本藉由與他國連署國際文書，不僅強化國際合作，同時建立供應鏈網路安全共識，因應AI對於國家供應鏈之網路安全挑戰，從資料、模型、軟體、硬體到第三方服務等視角提出具體因應方法，作為全面提升國家整體網路安全環境之參考指引。日本透過強化與他國合作，提升國家網路安全治理之作法，值得我國未來借鏡參考。
美國聯邦準備理事會、FDIC與OCC發布聯合聲明，提醒關於加密資產流動性風險有鑑於加密資產（crypto-asset）投資交易潛在風險與市場波動性，美國聯邦準備理事會（Federal Reserve Board）、聯邦存款保險公司（Federal Deposit Insurance Corporation, FDIC）與通貨監理局（Office of the Comptroller of the Currency, OCC）於2023年2月23日發布聯合聲明，提出加密資產增加銀行流動性風險情境，例如穩定幣因市場狀況之變動，導致銀行擠兌使大量存款流出，由於存款流入和流出的規模與時間的不可預測性，加密資產相關資金恐造成流動性風險提高，提醒銀行機構應用現有的風險管理原則審慎因應。 依據聲明內容，有效風險管理作法包括：（1）了解加密資產相關實體存款潛在行為的直接和間接驅動因素，以及這些存款易受不可預測波動影響的程度；（2）銀行機構應積極監控加密資產資金來源存在的流動性風險，並建立有效的風險管理控制措施；（3）應與加密資產存款相關的流動性風險納入應變計劃（contingency funding planning），例如流動性壓力測試；（4）評估加密資產相關實體存款之間關聯性。該聲明並強調銀行機構應建立風險管理機制及維持適當有效之內部控制制度，以因應加密資產高流動性風險，確保經濟金融穩健發展。