英國資訊委員辦公室（ICO）發布企業自行檢視是否符合歐盟一般資料保護規則之12步驟
英國作為歐洲金融重鎮，不論各行業均有蒐集、處理、利用歐盟會員國公民個人資料之可能，歐盟一般資料保護規則（General Data Protection Regulation，簡稱GDPR）作為歐盟資料保護之重要規則，英國企業初步應如何自我檢視組織內是否符合歐盟資料保護標準，英國資訊委員辦公室（Information Commissioner's Office, ICO）即扮演重要推手與協助角色。
英國ICO於2017年4月發布企業自行檢視是否符合GDPR之12步驟（Preparing for the General Data Protection Regulation（GDPR）-12 steps to take now），可供了解GDPR的輪廓與思考未來應如何因應：
- 認知（Awareness）：認知GDPR帶來的改變，與未來將發生的問題與風險。
- 盤點資料種類（Information you hold）：盤點目前持有個人資料，了解資料來源與傳輸流向，保留處理資料的紀錄。
- 檢視外部隱私政策（Communicating privacy information）：重新檢視當前公告外部隱私政策，並及時對GDPR的施行擬定因應計畫。
- 當事人權利（Individuals' rights）：檢視資料處理流程，確保已涵蓋GDPR賦予當事人如：告知權、接近權、更正權、刪除權、製給複本權、停止處理權、不受自動決策影響等相關權利。
- 處理客戶取得資料請求（Subject access requests）：GDPR規定不能因為客戶提出取得資料請求而向其收費；限期於1個月內回覆客戶的請求；可對明顯無理或過度的請求加以拒絕或收費；如拒絕客戶請求則限期於1個月內須向其說明理由與救濟途徑等。
- 處理個人資料須立於合法理由（Lawful basis for processing personal data）：可利用文書記錄與更新隱私聲明說明處理個人資料之合法理由。
- 當事人同意（Consent）：重新檢視初時如何查找、紀錄與管理取得個人資料的同意，思考流程是否需要做出任何改變，如無法符合GDPR規定之標準，則須重新取得當事人同意。
- 未成年人（Children）保護：思考是否需要制定年齡驗證措施；對於未成年人保護，考慮資料處理活動是否需取得其父母或監護人的同意。
- 資料外洩（Data breaches）：有關資料外洩的偵測、報告與調查，確保已制定適當處理流程。
- 資料保護設計與影響評估（Data Protection by Design and Data Protection Impact Assessments）：GDPR使資料保護設計與影響評估明文化。
- 資料保護專責人員（Data Protection Officers）：須指定資料保護專責人員，並思考該專責人員於組織中的角色與定位。
- 跨境傳輸（International）：如執行業務需跨越數個歐盟會員國境域，企業則須衡量資料監管機關為何。
- 零售業個資安全宣導暨安全維護計畫規劃說明會
- 數位經濟時代的隱私保護與商機－CBPR跨境隱私規則體系解析
- 零售業個資安全宣導暨安全維護計畫說明會（高雄場）
- 零售業個資安全宣導暨安全維護計畫說明會（台中場）
- 【台北場1】通訊傳播事業個資法遵教育訓練
- 【台中場】通訊傳播事業個資法遵教育訓練
- 【新北場】通訊傳播事業個資法遵教育訓練
- 【高雄場】通訊傳播事業個資法遵教育訓練
- 【台北場2】通訊傳播事業個資法遵教育訓練
- 零售業個資法遵實務與資訊安全說明會
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 零售業個資法遵實務與資訊安全說明會（台中場）
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
陳靜怡
法律研究員 編譯整理
1. Preparing for the General Data Protection Regulation (GDPR) 12 steps to take now, ICO.ORG.UK, https://ico.org.uk/media/for-organisations/documents/1624219/preparing-for-the-gdpr-12-steps.pdf （last visited Dec 23,2017）
2. Guidance: what to expect and when, ICO.ORG.UK, https://ico.org.uk/about-the-ico/our-information/our-strategies-and-plans/guidance-what-to-expect-and-when/ （last visited Dec 20,2017）
歐盟有毒物質禁用指令（ RoHS ）已自今年 7 月起上路，國際間陸續有其他國家跟進：目前為止，美國約有半數的州已通過相關法令，加州從明年起亦將開始實施；至於亞洲的日本已與歐盟同步實施、韓國將於明年 7 月上路；澳洲草案也已經出爐，至於實施日期則未定。 為與國際接軌，環保署也正積極推動國內版 RoHS ，目前法案名稱尚未確定，不過內容將會與國際接軌，除限制電子電機等產品，不得含有鉛、汞、鎘、六價鉻、聚溴聯苯和聚溴二苯醚等六種有毒化學物質或限制其比率外，檢驗標準亦將比照歐盟，採用事後市場管理機制，亦即先放行產品進口，並採事後抽測方式檢驗，因為採事前市場管理，將造成貿易障礙，實施檢驗亦有困難。至於罰責方面則仍須商榷，環保署表示目前我國要先合併「廢棄物清理法」與「資源回收再利用法」的法源，預定在年底前召開公聽會並送行政院審查，最快也要等明年立法院第一會期通過後才會實施。
歐洲五大電信公司聯合呼籲歐盟建立Open RAN創新生態系統歐洲五大電信公司──德國電信（Deutsche Telekom）、法國Orange電信、義大利電信（Telecom Italia）、西班牙電信（Telefonica）與英國沃達豐電信（Vodafone）於2021年11月18日聯合發表聲明，呼籲歐盟執委會與成員國加速開放「開放式無線存取網路」（Open Radio Access Network, Open RAN）的技術應用，並提出「為歐洲建立Open RAN生態系統」（Building an Open RAN Ecosystem for Europe）研究報告。 本報告對Open RAN價值鏈和當前供應商進行分析，發現許多歐洲供應商正處於發展初期，未獲得Open RAN商業契約，且在Open RAN關鍵服務的部分類別（如雲端軟體）中，尚未有歐洲供應商。甚至綜觀Open RAN的各項關鍵服務分布，歐洲供應商僅有少數等。因此，本報告強調歐洲需迫切將Open RAN作為戰略重點，並提出以下五點建議： （一）歐盟的政策制定者應積極推動發展創新、開放及可互通之電信生態系統，並期望歐盟執委會、成員國與產業利害關係人，透過對話與討論，促使全歐洲對Open RAN生態系統之建立產生共識。 （二）執委會應成立下世代通訊基礎設施聯盟，如同過去其為雲端與半導體設立聯盟，作為推動該產業的關鍵力量。此外，為迎接Open RAN新興技術，應提倡如歐盟共同利益重要計畫（Important Projects of Common European Interest, IPCEI）的微電子和通訊技術、5G產業協會與共同承諾推動智慧網路服務多國計畫。 （三）政策制定者應降低歐盟供應商和新創企業之投資風險，並對歐洲未來具有戰略意義的技術領域，以資金與租稅等激勵措施，支持歐洲供應商合作。如由歐盟執委會和各國政府為財團提供資金，使歐洲公司建立穩固的合作關係，並成為Open RAN價值鏈中茁壯成長的供應商。 （四）O-RAN聯盟（O-RAN ALLIANCE）與第三代合作夥伴計劃（3rd Generation Partnership Project, 3GPP）及歐洲電信標準協會（European Telecommunications Standards Institute, ETSI）正式合作，支持採用O-RAN規範作為ETSI的自願性標準，可透過快速程序對現有3GPP規範進行補充。透過促進全球統一的Open RAN標準，確保開放性網路設備的互通性，如：全歐認證的品質與互通性，建立生態系統部署者的信心。 （五）歐盟應與國際合作，促進安全、多樣化及可持續的資訊與通訊技術供應鏈，如：利用七大工業國組織（Group of Seven, G7）、美歐貿易和技術委員會（EU-US Trade and Technology Council）與日歐資通訊技術對話（Japan-EU ICT Dialogue）促進發展和部署開放且可互通的網路架構。
新加坡個人資料保護委員會發布資料保護專員之職能與培訓準則新加坡個人資料保護委員會（Personal Data Protection Commission, PDPC）於2019年7月17日發布資料保護專員之職能與培訓準則。基於新加坡個人資料保護法（Personal Data Protection Act 2012, PDPA）明文規範非公務機關必須設立至少一名資料保護長（Data Protection Officer, DPO），負責個資保護政策之制定落實、風險評鑑及個資事故處理等工作。為了使資料保護專業人員增強能力並於企業組織有效履行其職責，新加坡個人資料保護委員會就此特別發布此準則，將資料保護專員分為三種工作職能，九項專業能力，進而規劃相關培訓課程。 此準則使企業組織能就工作職能聘僱合適之資料保護專員，亦使相關專業人員能掌握清晰之職業生涯，確定自我能力與培訓課程之落差，進而調整有效實施組織之個人資料保護管理政策與流程。其分為資料保護專員、資料保護長、區域資料保護長，依據工作職能與職責區分如下： 一、 資料保護專員 需監視與評估組織之個人資料保護管理政策與程序，並確保其遵循新加坡個人資料保護法。 識別個人資料之風險，並提出風險管控之措施。 提供組織個人資料保護政策之實施與實踐證據。 定期檢視審核，分析現況並矯正改善。 識別並規劃利害關係人之需求與利益。 二、 資料保護長 制定並審查個人資料管理計劃。 根據組織職能，視需求與流程，執行個人資料保護與風險評鑑，並解決相關業務風險。 制定培訓計劃，舉辦個人資料保護政策與流程之教育訓練。 確保組織內部個人資料保護之意識。 根據業務營運與個資法遵要求之落差評估，並建立合規性流程。 透過客戶對隱私與個人資料保護之要求，做為日後促進資料創新之實施。 三、 區域資料保護長 監督資料傳輸活動，並提供個人資料保護法之領導指南。 建立區域創新之資料保護策略。 減少區域內之個資事故。 於資料創新之運用提供戰略性，為組織創造業務價值。 評估新興趨勢與科技，如隱私增強技術、雲端運算、區塊鏈、網絡安全之風險與可行性。 針對上述工作職能與職責，結合所需之專業能力，包括個人資料管理、風險評鑑管理、個資事故緊急應變、利害關係人管理、個人資料稽核認證、個人資料治理、個人資料保護之倫理、資料共享與創新思維，規劃基礎個人資料保護相關課程與進階資料創新課程，使其個人資料保護制度更專業具有規模。目前我國對於資料保護專員並無相關立法規範，若未來修法新加坡個人資料保護委員會之做法亦值參酌。
加拿大法院命令ISP業者提供非法下載者資訊給著作權人加拿大聯邦法院在Voltage Pictures LLC v. Does一案中核發命令要求第三人ISP業者TekSavvy提供在該案中被控非法下載電影的2千多位使用者姓名與地址資訊給著作權人Voltage電影公司，此例在著作權、科技與隱私的微妙關係中投出一記變化球。在本案例中，法院需要對2件事進行判斷，一是是否核發該命令，二是若核發命令，法院如何降低對隱私權的侵害並確保權利人以正當的目的使用相關資訊。 在判斷是否核發命令時，法院考量到下列因素，包括：法院命令是唯一合理取得資訊的方式，TekSavvy擁有係爭資訊，且命令不會對其造成不當的花費與影響。同時，認定Voltage有真實的意圖向非法下載者提出侵權訴訟，且對於資訊的揭露並無不當的目的。此外，在本案所提供的證據上，也認定Voltage確為善意的主張（bona fide claim），因此其著作權比受影響的使用者隱私權利益來得重要等因素。 不過，法院仍然必須進一步決定Voltage在本案中，是否將以善意的方式（bona fide manner）使用其所取得之隱私資訊，法院考量英、美著作權蟑螂（copyright trolls）濫發警告信勒索使用者的案例，認為在命令中對Voltage聯繫接觸使用者的方式作了限制與要求是平衡著作權與隱私權，及同時抑制著作權蟑螂的最好作法，包括：法院有權檢視並要求修改Voltage寄給使用者的信件、信件中必須表明尚未有侵權的裁決、收件者未必有責、並提示收件者可尋求法律意見，同時要求該信件以法院命令做為附件，確保命令不會被濫用。 Voltage一例對於著作權人、ISP業者與使用人而言相當關鍵，著作權人只要有適當的證據就可以取得法院命令要求ISP業者提供侵權使用者資訊，不過法院也表明會透過命令內容的限制，平衡著作權與隱私權，抑制蟑螂類型的商業模式在加拿大蔓延。