美國FCC廢除網路中立法規
2017年12月14日美國聯邦通信委員會(Federal Communications Commission, FCC)以3票對2票表決通過，廢止自2015年來所採取網路寬頻服務的高壓監管規定，並恢復了原來所採取低管制監管框架。支持者與反對者分別來自兩個不同的黨派。
經過詳細的分析以及對消費者和利益相關者的評論廣泛審查後，委員會認為自2015年來對網路寬頻服務採取的高壓規定，對整個網路生態系統施加了巨大的成本。為了取代這個嚴格的框架，FCC重新採用2015年之前的傳統低管制監管框架。
FCC 特別要求行動寬頻服務業者應公開揭露其網路管理政策例如:如何處理網路安全與壅塞問題、服務內容與商業條款等，以利於消費者與業者進行有效選擇，並促進政府對寬頻業者的行為進行有效的監督。此外 ，FCC恢復了聯邦貿易委員會（Federal Trade Commission, FTC）的管轄權，以便在寬頻業者從事反競爭、不公平或欺騙行為時採取行動。
在對消費者的影響方面，自由市場的支持者認為，付費優先的作法，意味在寬頻基礎建設上會有更多投資，使得上網和整體資料傳輸速度大為增加。
為達上述目標，委員會所採取之具體措施如下：
- 將寬頻接取服務（包括固定與行動寬頻服務）重新歸類為資訊服務。
- 將行動寬頻接取服務恢復歸類為私人行動服務。
- 將網路服務提供者有關隱私保護、不公平、詐欺和反競爭行為之管轄權回歸由聯邦貿易委員會負責。
- 要求網路服務提供者向消費者、企業和委員會揭露有關其做法的訊息，包括阻止，限制，支付優先次序或附屬優先次序。
此外FCC又禁止各州限制擴建寬頻網路服務的法律。據FCC統計，大約20個州有限制社區寬頻網路服務活動的法律，這些州的法律不公平地限制政府部門與有線電視和電信寬頻服務提供商的競爭。 FCC通過該案後引發不少如Google、Facebook及Netflix等科技公司，與消費者保護環體齊力撻伐，認為ISP業者在FCC力挺下，將可隨意限制民眾上網瀏覽的內容，大企業因此具優先權，不利新創網路公司生存發展，且投下反對票的政黨表示，將率領各州對聯邦傳播委員會這項決定提出法律挑戰，透過訴訟尋求翻盤機會。
陳昱凱
法律研究員 編譯整理
1. FCC, Takes Action to Restore Internet Freedom,(2017) http://transition.fcc.gov/Daily_Releases/Daily_Business/2017/db1214/DOC-348261A1.pdf. (last visited Jan 4, 2018).
2. The New York Times, F.C.C. Plans Net Neutrality Repeal in a Victory for Telecoms. https://www.nytimes.com/2017/11/21/technology/fcc-net-neutrality.html. (last visited Jan 4, 2018).
3. Techcrunch, New York attorney general announces a multi-state lawsuit challenging the net neutrality vote https://techcrunch.com/2017/12/14/new-york-attorney-general-announces-a-multi-state-lawsuit-challenging-the-net-neutrality-vote/.(last visited Jan 4, 2018).
美國FDA在七月間針對多家提供大眾基因檢測服務（direct-to-consumer genetic tests, DTI genetic tests）的公司發出通知函，表示將對該產業進行規管。FDA在各通知函中明白表示，其認為收信公司所提供的基因檢測服務，符合其主管之醫療器材管理法規對於體外診斷器材（in vitro diagnostics）之定義。根據美國聯邦法律，人類用醫療器材採用分級管理的概念，在上市前必須依其風險等級進行上市前通報或申請核准，以確保其分析與臨床之有效性。FDA認為，由於這些公司的基因檢測並未依法提出上市前通報或申請核准，涉有違法之嫌。 FDA採取此項措施，明顯是為了保護消費者，避免其受到未經臨床檢驗的檢測結果之誤導。然事實上國際間對於是否透過法令、以及如何規範大眾基因檢測服務，並無一致性看法。迄今，大眾基因檢測服務在許多國家都是在法令混沌未明的狀態下銷售，也引發了許多問題。對於FDA此一政策態度，有認為以法令方式規範此種服務，將會扼殺這個還在萌芽發展終的產業；也有認為，這算是對消費者遲來的保護。 大眾基因檢測服務的管理，顯示既有法令面對新興科技發展之管理窘迫性，也代表各國政府在保護消費大眾與促進新興產業發展之間，著實不易從中找到利益權衡之點，其科技管理面臨前所未有的新挑戰。
BSI公布個人資料管理系統標準之草案英國國家標準組織(British Standard Institution)於2009年1月8日公布個人資料保護管理系統標準(標準標號為DPC BS 10012)之草案，使組織在個人資料儲存管理工作上符合個人資料保護法(Data Protection Act 1998，DPA)之要求。 有鑑於利用個人資料管理系統(personal information management system，PIMS)管理業務上取得之資料之情形日益增多，而觀諸該資料之性質，通常多為DPA所規範定義的「個人資料」。因此，為使個人資料管理有其標準規範，並得以運用在任何規模之公私部門，使組織內之個人資料管理系統符合DPA之規範且具有一定程度之安全性，BSI試圖提出有關個人資料管理一致性之標準規範，以供組織在個人資料處理程序工作上之遵循。該標準規範如同BS EN ISO 9001:2000之品質管理系統(Quality Management System)及BS ISO/EC 27001:2005之資訊安全管理系統標準，以PDCA週期(Plan-Do-Check-Act)進行規劃，並透過執行所規範之流程落實個人資料之保護。 目前該草案已經公布，BSI於2009年3月31日前將接受各界對於該草案之諮詢及舉辦公聽會，以求標準規範之完善。
世界經濟論壇發布《贏得數位信任：可信賴的技術決策》世界經濟論壇（World Economic Forum, WEF）於2022年11月15日發布《贏得數位信任：可信賴的技術決策》（Earning Digital Trust: Decision-Making for Trustworthy Technologies），期望透過建立數位信任框架（digital trust framework）以解決技術開發及使用之間對數位信任之挑戰。 由於人工智慧及物聯網之發展，無論個人資料使用安全性還是演算法預測，都可能削弱人民對科技發展之信賴。本報告提出數位信任路線圖（Digital trust roadmap），說明建立數位信任框架所需的步驟，以鼓勵組織超越合規性，指導領導者尋求符合個人與社會期望之全面措施行動，以實現數位信任。路線圖共分為四步驟： 1.承諾及領導（commit and lead）：數位信任需要最高領導階層之承諾才能成功，故需將數位信任與組織戰略或核心價值結合，並從關鍵業務領域中（例如產品開發、行銷、風險管理及隱私與網路安全）即納入數位信任概念。 2.規劃及設計（plan and design）：透過數位信任差距評估（digital trust gap assessment）以瞭解組織目前之狀態或差距，評估報告應包括目前狀態說明；期望達成目標建議；治理、風險管理與合規性（governance, risk management and compliance, GRC）調查結果；將帶來之益處及可減輕之風險；計畫時程表；團隊人員及可用工具；對組織之影響等。 3.建立及整合（build and integrate）：實現數位信任需關注人員、流程及技術等三大面向。首先需確保人員能力、達成該能力所需之資源，以及人員溝通與管理；第二，定義組織數位信任流程，包括制定計劃所需時程、預算及優先實施領域，調整目前現有管理流程，並識別現有資料資產；最後，針對技術使用，可考慮使用AI監控、雲端管理系統以及區塊鏈等，以監測資料之使用正確性及近用權限管理。 4.監控及滾動調整（monitor and sustain）：建立數位信任框架後，需持續建構相關績效及風險評估程序，以確保框架之穩定，並根據不斷變化的數位信任期望持續改善，以及定期向董事會報告。
歐盟資料保護工作小組修正通過個人資料侵害通報指引歐盟資料保護工作小組修正通過「個人資料侵害通報指引」 資訊工業策進會科技法律研究所 法律研究員 李哲明 2018年3月31日 壹、事件摘要 因應歐盟「通用資料保護規則」（The General Data Protection Regulation，或有譯為一般資料保護規則，下簡稱GDPR）執法即將上路，針對個人資料侵害之通報義務，歐盟資料保護工作小組（Article 29 Data Protection Working Party, WP29）特於本（2018）年2月6日修正通過「個人資料侵害通報指引」（Guidelines on Personal data breach notification under Regulation 2016/679），其中就GDPR所規範個資侵害之定義、對監管機關之通報、與個資當事人之溝通、風險及高風險評估、當責與紀錄保存及其他法律文件所規定之通報義務等，均設有詳盡說明與事例。 貳、重點說明 一、何謂個資侵害？個資侵害區分為哪些種類？ 依據GDPR第4條（12）之定義，個資侵害係指：「個人資料因安全性之侵害所導致意外或非法之毀損、喪失、修改、未經授權之揭露、存取、個資傳輸、儲存或其他處理。」舉例來說，個人資料之喪失包括含有控制者（controller）顧客資料庫的備份設備之遺失或遭竊取。另一例子則為整份個資的唯一檔案遭勒索軟體加密，或經控制者加密，但其金鑰已滅失。依據資訊安全三原則，個資侵害之種類區分為： 機密性侵害（Confidentiality breach）：未經授權、意外揭露或獲取個人資料。 完整性侵害（Integrity breach）：未經授權或意外竄改個人資料。 可用性侵害（Availability breach）：在意外或未經授權之情況下，遺失個人資料存取權限或資料遭銷燬。 二、何時應為通知？ 按GDPR第33條（1）之規定，當個資侵害發生時，在如果可行之情況下，控制者應即時（不得無故拖延）於知悉侵害時起72小時內，依第55條之規定，將個資侵害情事通報監管機關。但個資侵害不會對自然人之權利和自由造成風險者，不在此限。倘未能於72小時內通報監管機關者，應敘明遲延之事由。 三、控制者「知悉」時點之判斷標準為何？ 歐盟資料保護工作小組認為，當控制者對發生導致個人資料侵害的安全事件達「合理確信的程度」（reasonable degree of certainty）時，即應視為其已知悉。以具體事例而言，下列情況均屬所謂「知悉」： 在未加密個人資料的情況下遺失USB密鑰（USB Key），通常無法確定是否有未經授權者將獲致存取資料權限。即使控制者可能無法確定是否發生機密性侵害情事，惟仍應為通知，因發生可用性侵害之情事，且已達合理確信的程度。 故應以控制者意識到該密鑰遺失時起為其「知悉」時點。 第三人通知控制者其意外地收到控制者的客戶個人資料，並提供該揭露係未經授權之證據。當侵害保密性之明確證據提交控制者時，即為其「知悉」時點。如：誤寄之電子郵件，經非原定收件人通知寄件者之情形。 當控制者檢測到其網路恐遭入侵，並針對其系統進行檢測以確認個人資料是否遭洩漏，嗣後復經證實情況屬實，此際即屬「知悉」。 網路犯罪者在駭入系統後，聯繫控制者以索要贖金。在這種情況下，控制者經檢測系統並確認受攻擊後，亦屬「知悉」。 值得注意的是，在經個人、媒體組織、其他來源或控制者自我檢測後，控制者或將進行短暫調查，以確定是否發生侵害之事實。於此調查期間內所發現之最新侵害情況，控制者將不會被視為「知悉」。然而，控制者應儘速展開初步調查，以形成是否發生侵害事故之合理確信，隨後可另進行更詳盡之調查。 四、共同（聯合）控制者之義務及其責任分配原則 GDPR第26條針對共同控制者及其如何確定各自之法遵義務，設有相關規定，包括決定由哪一方負責遵循第33條（對主管機關通報）與第34條（對當事人通知）之義務。歐盟資料保護工作小組建議透過共同控制者間之契約協議，約明哪一方係居主要地位者，或須負責盡到個資侵害時，GDPR所定之通知義務，並載於契約條款中。 五、通報監管機關與提供資訊義務 當控制者通報監管機關個資侵害情事時，至少應包括下列事項 （GDPR第33條（3）參照）： 敘述個人資料侵害之性質，包括但不限於所涉之相關個資當事人、個資紀錄及其類別、數量。 傳達資料保護長（DPO）或其他聯絡人之姓名與聯絡方式，俾利獲得進一步資訊。 說明個資侵害可能之後果。 描述控制者為解決個資侵害業已採取或擬採行之措施，在適當情況下，酌情採取措施以減輕可能產生之不利影響。 以上乃GDPR要求通報監管機關之最基本事項，在必要時，控制者仍應盡力提供其他細節。舉例而言，控制者如認為其處理者係個資侵害事件之根因（root cause），此時通報並指明對象即可警示委託同一處理者之其他控制者。 六、分階段通知 鑒於個資事故之性質不一，控制者通常需進一步調查始能確定全部相關事實，GDPR第33條（4）爰設有得分階段通知（notification in phases）之規定。凡於通報時，無法同時提供之資訊，得分階段提供之。但不得有不必要之遲延。同理，在首次通報後之後續調查中，如發現該事件業已受到控制且並未實際發生個資侵害情事，控制者可向監管機關為更新。 七、免通報事由 依據GDPR第33（1）條規定，個資侵害不會對自然人之權利和自由造成風險者，毋庸向監管機關通報。如：該遭洩露之個人資料業經公開使用，故並未對個人資料當事人構成可能的風險。 必須強調的是，在某些情形下，未為通報亦可能代表既有安全維護措施之缺乏或不足。此時監管機關將可能同時針對未為通報（監管機關）或通知（當事人），以及安全維護措施之缺乏或不足，以違反第33條或（及）34條與第32條等獨立義務規定為由，而依第83條4（a）之規定，併予裁罰。 參、事件評析 一、我國企業於歐盟設有分支機構或據點者，宜指派專人負責法遵事宜 揆諸GDPR前揭規定，當個資侵害發生時，控制者應即時且不得無故拖延於知悉時起72小時內，將個資侵害情事通報監管機關。未能履踐義務者，將面臨最高達該企業前一會計年度全球營業額之2%或1千萬歐元，取其較高者之裁罰。我國無論金融業、航運業、航空運輸業、電子製造業及進出口貿易業者等，均或有於歐盟成員國境內或歐洲經濟區（European Economic Area）當地設立子公司或營業據點。因此，在GDPR法遵衝擊的倒數時刻，指派具瞭解GDPR規定、當地個資隱私法遵規範、擅長與隱私執法機構溝通及充要語言能力者專責法遵業務實刻不容緩。蓋此舉可避免我國企業母公司鞭長莫及，未能及時處置而致罹法典之憾。 二、全面檢視個資業務流程，完備個資盤點與風險評鑑作業，掌握企業法遵現況 企業應全面檢視業務流程，先自重要核心業務中析出個資作業流，搭配全面個資盤點，並利用盤點結果進行風險評鑑，再針對其結果就不同等級之風險採行相對應之管控措施。此外，於全業務流程中，亦宜採行最小化蒐集原則，避免蒐集過多不必要之個人資料，尤其是GDPR所定義之敏感個資（如：種族、民族血統、政治觀點、宗教信仰、哲學信仰、工會會員資格等個人資料，及遺傳資料的處理，用於識別特定自然人之生物識別資料、健康資料、性生活、性取向等）或犯罪前科資料，俾降低個人資料蒐集、處理、利用、檔案保存及銷燬之全生命週期流程中的風險。此舉亦契合我國個人資料保護法第5條所揭櫫之原則。 三、立法要求一定規模以上之企業須通過個資隱私法遵第三方認（驗）證，並建置認證資訊公開平台 鑒於國際法遵衝擊以及隱私保護要求之標準線日漸提升，我國企業除自主導入、建置並維運相關個資保護與管理制度以資因應，更有賴政府透過法令（如：修正個人資料保護法）強制要求一定規模以上之企業通過第三方專業驗證，俾消弭風險於日常準備之中。蓋我國具一定規模以上企業，無論其係屬何種業別，一旦違反國際法遵要求，遭致鉅額裁罰，其影響結果將不僅止於單一企業，更將嚴重衝擊該產業乃至於國家整體經貿發展。職是，採法律強制要求企業定期接受獨立、公正及專業第三方認（驗）證，咸有其實益性與必要性。