英國資訊委員辦公室（Information Commissioner’s Office，ICO）認定英國電子零售業者Carphone Warehouse違反《Data Protection Act 1998》資料保護法
英國電子零售業者Carphone Warehouse在2015年遭到網路攻擊，造成逾300萬客戶及1000名員工的資料外洩，外洩的資料包括客戶的姓名、地址、電話號碼、出生日期、婚姻狀況及1.8萬名客戶的金融卡資訊。
英國資訊委員辦公室（Information Commissioner’s Office，ICO）認為涉及之個人資料嚴重影響個人隱私，使得個人資料有被誤用的風險。ICO進一步調查後並發現，駭客僅是透過有效的登入憑證，就能藉由WordPress軟體存取系統，此事件亦暴露該組織技術安全措施之不足，因受影響系統中使用的軟件的重要元素已過時，且公司未能執行例行的安全測試。ICO認為，像Carphone Warehouse此類規模龐大的公司，應積極評估其資料安全系統，確保系統穩健而避免類似的攻擊。
據此，ICO判定該公司缺乏妥善的安全措施保障使用者資訊，已嚴重違反《Data Protection Act 1998》資料保護法，判罰40萬英鎊。
從今年5月25日起，隨著GDPR的生效，法律將更加嚴格。對此，ICO亦發布了有用的指導，包括GDPR指南，現在採取的12個步驟和工具包。國家網絡安全中心（NCSC）也為組織為保護自己所採取的步驟提供了有用的指導。
- 零售業個資保護及資訊安全教育講習
- 零售業個資安全宣導暨安全維護計畫規劃說明會
- (已額滿)114年「企業營業秘密保護實務座談會」(北部場)–營業秘密因應數位環境之保護風險及管理對策
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(實體)
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(直播)
- 【台北場1】通訊傳播事業個資法遵教育訓練
- 【台中場】通訊傳播事業個資法遵教育訓練
- 【新北場】通訊傳播事業個資法遵教育訓練
- 【高雄場】通訊傳播事業個資法遵教育訓練
- 【台北場2】通訊傳播事業個資法遵教育訓練
- 114年「企業營業秘密保護實務座談會」（南部場）
- 114年「企業營業秘密保護實務座談會」（中部場）
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
耿黃瑄
法律研究員 編譯整理
1. Information Commissioner's Office, Carphone Warehouse fined £400,000 after serious failures placed customer and employee data at risk, https://ico.org.uk/about-the-ico/news-and-events/news-and-blogs/2018/01/carphone-warehouse-fined-400-000-after-serious-failures-placed-customer-and-employee-data-at-risk/ (last visited Apr. 25, 2018).
2. Data Protection Act 1998, http://www.legislation.gov.uk/ukpga/1998/29/contents (last visited Apr. 25, 2018).
2018年12月1日，加拿大智慧財產局公告了新專利法，並立2018年12月1日起至31日為公衆諮詢期，該法於2019年正式生效。 本次專利法修改多屬鬆綁權利人之期日限制，包括： 恢復優先權主張：在新專利法上路後，在非故意錯過了12個月的優先權期限的情況下，可允許將優先權期限延長至14個月； 更容易取得申請日：針對直接申請加拿大專利而非透過專利合作條約（Patent Cooperation Treaty，PCT）的申請案，即使尚未繳納申請費，或是相關申請文件非英文和法文，一樣可以取得申請日； 允許補交在主張優先權申請遺漏的內容； 獲核准通知後提出修改作業的程序順暢化； 採用電子送件，排序列表不會被徵收超頁費； 對特定的錯誤有更明確的修正截止日：移除因「行政作業」上疏失而提出修正請求的規定，在其他規定上增加了明確的截止日； 採PCT途徑進入國家階段已經不再有42個月的期限； 維持費用制度較為複雜，錯過實質審查期限影響也較嚴重； 如果已遞交之申請案並非英文或法文版本，那未來修改申請案必須要能自合理的從原本外語版本中合理推論而出； 需提出優先權證明文件：申請人必須向加拿大專利局遞交每一件先前申請的優先權證明文件，特殊情況下才能豁免提交； 部分申請期限變短：新專利制度縮短申請人部分申請程序及時間，例如申請實體審查期限從申請日起5年內降為4年等。
國際保險公司探討奈米保險機制可行性特定奈米科技經歷研發階段過後，所獲致的成熟技術產品，要邁向市場商業化階段，能否真正成功，取決於市場消費大眾能否具有信心願意採用。而奈米科技由於新興發展存有未知之不確定風險，所以有論者開始規劃研擬，引進責任保險機制，藉由責任風險分散之功能，期望解決面對不確定風險時，能夠足以妥適因應。 依據國際最具份量之瑞士再保公司（Swiss Re） 對於奈米科技之保險機制，2008年出版「奈米科技：微小物質，未知風險（Nanotechnology--Small Matter, Many Unknowns：The Insurers' Perspective）」研究報告 ，其中明文點出，保險業（Insurance Industry）之核心業務即為移轉風險（Transfer of Risk），由保險公司（Insurer）經過精算程序後收取一定費用，適時移轉相關風險，並產生填補功能。 然而，保險業對於可藉由保險機制所分散之風險，亦有其極限範圍，如果超過以下三原則者，則會被認為超出可承擔風險範圍，屬保險業無力去承擔者，所以保險機制之引進將不具可行性： （1）風險發生之可能機率與發生嚴重程度，現行實務沒有可行方式能加以評估者。 （2）當危害產生時，所造成之影響為同時擴及太多公司、太多產業領域、或太廣的地理區域者。 （3）有可能產生的巨大危害事件，已超過私領域保險業所能承受之範圍者。 此外，為確保未來得以永續經營，保險公司對於願意承保之可保險性（Insurability）端視對於以下各因素性質之評估： （1）可加以評估性（Accessibility）：對於所產生之損害係屬可評估，並得以加以計量化、允許訂出價格者（be Quantifiable to Allow Pricing）。 （2）無可事先安排者（Randomness）：對於保險事故之發生，必須是不可預測者，並且其所發生必須獨立於被保險者本身主觀意志（the Will of the Insured）之外。 （3）風險相互團體性（Mutuality）：相關保險者必須基於同時參加並組成共同團體性，藉以達到分擔分散相關風險性。 （4）經濟上可行性（Economic Feasibility）：必須使私人保險公司藉由收取適宜保費，便得以支付對等之賠償費用，可以確保業務經營得以永續持續下去。 綜上所述，可以明瞭並非所有風險，保險公司均願意承保而能達到分散風險者，對於風險必須是可預測性並有承保價值，保險公司本身具有商業機制，依據精算原則確定願意承保之費用，此才可謂實務上可行，對於奈米科技引進保險機制之衡量思考，也當是如此。
中國大陸改組成立「國家新聞出版廣播電影電視總局」簡評與說明中國大陸改組成立「國家新聞出版廣播電影電視總局」簡評與說明 科技法律研究所 法律研究員 劉得正 102年03月12日 壹、背景說明：組成依據與目的 中國大陸在第十八屆二中全會審議通過「國務院機構改革和職能轉變方案」(以下簡稱方案)後，日前(3/10)由國務院正式提交方案於第十二屆全國人民代表大會第一次會議審議[1]。預計通過後，除辦公廳外，國務院設置部門將縮編為25個。 其中將整併現有之國家新聞出版總署、國家廣播電影電視總局兩大機構，組成「國家新聞出版廣播電影電視總局」，並加掛「國家版權局」機關名稱，承接原國家新聞出版總署負責之著作物管理工作業務。 彙整中國大陸官方針對方案說明可知[2]，本次整併兩大機構之目的，係為統籌規劃新聞出版、廣播、電影、電視事業等產業之發展方向，集中監督、管理相關機構、業務及其作品內容。 其主要原因在於隨著數位科技、資訊技術的進步，不同媒體間相互結合，已衍生出許多非傳統之新媒體。在此等媒體多元發展之趨勢下，勢必須整合新聞出版總署、廣電總局的業務，始能避免管理權責疊床架屋，提高管理效率，進而有利於推動新媒體發展與整合，提高文化傳播力與競爭力。 貳、事件簡評 一、政府組織面－邁向文廣新合併 中國大陸長久以來針對文化推動、廣電影視、新聞出版三者間的管理工作，早有整併之呼籲。特別是地方上，基於組織編制考量與事件性質認定問題，由縣到省、市間，已有不少將三者工作合併於單一單位管理之實例。相對於地方發展，中國大陸中央政府卻仍以文化部、廣播電影電視總局、新聞出版總署分頭管理，造成「單一下級機關需同時對三個上級機關負責」之不合理情況[3]。因此，隨著中國國務院之組織調整，可視為解決此不合理情況的第一步。 考量廣播電影電視與新聞出版在內容性質與管制對象上較為相近，業務合併之可行性較高，因此，本次合併在影響最小之前提下，先試圖將國家新聞出版總署與廣電總局予以整併，組成「國家新聞出版廣播電影電視總局」，以期至少解決一部份重疊管制之問題。另一方面，也將透過國家新聞出版總署與廣電總局合併工作之歷程，可作為將來與中國文化部合併之借鏡，達成中央與地方文廣新組織編制一致之目標。 二、產業面－透過管制、審批程序簡化，幫助產業推動 根據方案之說明文件，除對於組織裁併(包括新聞出版總署與廣播電影電視總局合併)之理由作出個別說明外，針對國務院整體組織職能改變，更提出十大措施，作為未來改造方向、原則和重點，包括[4]：「（一）减少和下放投资审批事项；（二）减少和下放生产经营活动审批事项；（三）减少资质资格许可和认定；（四）减少专项转移支付和收费；（五）减少部门职责交叉和分散；（六）改革工商登记制度；（七）改革社会组织管理制度；（八）改善和加强宏观管理；（九）加强基础性制度建设；（十）加强依法行政。」 由此可知，「國家新聞出版廣播電影電視總局」之組成，除達到集中管理、避免行政資源浪費外，對於產業界更重要的意義在於，未來將配合方案所列目標，針對現有之相關審批程序進行整併、簡化，藉以降低企業進入市場門檻，及提高產業更新之動能。 因此，對於中國大陸國務院本次組織改造方案，後續應持續關注陸方對相關審批程序的調整方向，掌握數位內容相關審批規範、流程是否會有對應的調整，以利協助我國業者赴大陸投資之法律風險評估。 附件、「新聞出版總署」、「廣播電影電視總局」現行權責介紹 ●國家廣播電影電視總局主要職責介紹[5] （一） 擬訂廣播電影電視宣傳、創作的方針政策，把握正確的輿論導向和創作導向。 （二） 起草廣播電影電視和資訊網路視聽節目服務的法律法規草案，擬訂相關技術標準和部門規章，推進廣播電影電視領域的體制機制改革。 （三） 組織推進廣播電影電視領域的公共服務，組織實施廣播電影電視重大工程，扶助老少邊貧地區廣播電影電視建設和發展，指導、監管廣播電影電視重點基礎設施建設。 （四） 制訂廣播電影電視事業、產業發展規劃，指導、協調廣播電影電視事業、產業發展，管理全國性重大廣播電影電視活動。 （五） 負責廣播電影電視、資訊網路視聽節目服務機構和業務的監管並實施准入和退出管理，指導對從事廣播電影電視節目製作民辦機構的監管工作。 （六） 監管廣播電影電視節目、資訊網路視聽節目和公共視聽載體播放的視聽節目，審查其內容和品質。 （七） 指導廣播電影電視和資訊網路視聽節目服務的科技工作，負責監管廣播電影電視節目傳輸、監測和安全播出。 （八） 指導、管理廣播電影電視對外及對港澳臺的交流與合作，負責廣播電影電視節目的進口和收錄管理。 （九） 領導中央人民廣播電臺、中國國際廣播電臺和中央電視臺，對其宣傳、發展、傳輸覆蓋等重大事項進行指導、協調和管理。 （十） 承辦黨中央、國務院交辦的其他事項。 ●新聞出版總署（國家版權局）主要職責介紹[6] （一） 起草新聞出版、著作權管理的法律法規草案，擬訂新聞出版業的方針政策，制定新聞出版、著作權管理的規章並組織實施。 （二） 制定新聞出版事業、產業發展規劃、調控目標和產業政策並指導實施，制定全國出版、印刷、複製、發行和出版物進出口單位總量、結構、佈局的規劃並組織實施，推進新聞出版領域的體制機制改革。 （三） 監管出版活動，組織查處嚴重違規出版物和重大違法違規出版活動，指導對從事出版活動的民辦機構的監管工作。 （四） 負責對新聞出版單位進行行業監管，實施准入和退出管理。 （五） 負責出版物內容監管，組織指導黨和國家重要文件文獻、重點出版物和教科書的出版、印製和發行工作，制定國家古籍整理出版規劃並承擔組織協調工作。 （六） 負責對互聯網出版活動和開辦手機書刊、手機文學業務進行審批和監管。 （七） 擬訂出版物市場“掃黃打非”計畫並組織實施，組織查處非法出版物和非法出版活動的大案要案。 （八） 擬訂出版物市場的調控政策、措施並指導實施，指導對出版物市場經營活動的監管工作。 （九） 負責全國新聞單位記者證的監製管理，負責國內報刊社、通訊社分支機搆和記者站的監管，組織查處重大新聞違法活動。 （十） 負責印刷業的監管。 （十一） 負責著作權管理工作，組織查處有重大影響的著作權侵權案件和涉外侵權案件，負責處理涉外著作權關係和有關著作權國際條約應對事務。 （十二） 組織開展新聞出版和著作權對外交流與合作的有關工作，負責出版物的進口管理工作，協調、推動出版物的進出口。 （十三） 承辦黨中央、國務院交辦的其他事項。 [1]參照「關於國務院機構改革和職能轉變方案的説明—2013年3月10日在第十二屆全國人民代表大會第一次會議上國務委員兼國務院秘書長馬凱」，http://big5.gov.cn/gate/big5/www.gov.cn/2013lh/content_2350848.htm ( 最後瀏覽日：2013/03/12)。 [2]「中央編辦負責人就國務院機構改革和職能轉變答記者問」，http://news.xinhuanet.com/2013lh/2013-03/10/c_114967850.htm ( 最後瀏覽日：2013/03/12)。 [3]「新聞出版總署與廣電總局合併增強文化整體實力」，京華時報報導，2013年3月11日，http://www.chinadaily.com.cn/micro-reading/dzh/2013-03-11/content_8460858.html ( 最後瀏覽日：2013/03/12)。 [4]「国务院机构改革和职能转变方案（提交十二届全国人大一次会议审议）」，http://news.xinhuanet.com/2013lh/2013-03/10/c_114968104_2.htm ( 最後瀏覽日：2013/03/12) [5]中華人民共和國國家廣播電視電影總局網站，http://www.chinasarft.gov.cn/articles/2008/08/07/20070919194959740037.html ( 最後瀏覽日 2013/03/12) [6]中華人民共和國新聞出版總署（國家版權局）網站，http://www.gapp.gov.cn/govpublic/65/81278.shtml ( 最後瀏覽日 2013/03/12)
歐盟、中國第三方支付立法簡介歐盟、中國第三方支付立法簡介 科技法律研究所 2013年4月1日 壹、事件摘要 自2010年起，國內便不斷湧現訂立第三方支付專法的呼聲，希望主管機關開放第三方支付相關業務，並立法給予第三方支付明確的法律地位，以提升產業發展環境，滿足產業發展需求。事實上，第三方支付服務在國外已有多國立法規範，如中國、歐盟、日本、美國、新加坡、香港、泰國、馬來西亞等等。有將第三方支付定位為資金傳輸業者，或強調是「非銀行」的金融服務業者，著重於第三方支付服務的支付清算功能。多數國家的第三方支付主管機關為金融監理單位或者是中央銀行，如日本金融廳，英國金融服務局(Financial Service Authority，FSA)，新加坡金融管理局(Monetary Authority of Singapore，MAS)，中國、馬來西亞、泰國央行。礙於篇幅，本文以下僅就歐洲以及中國規範做介紹。 貳、重點說明 一、歐盟 第三方支付服務為歐盟2007年「支付服務指令(Payment Service Directive，簡稱PSD) 」所規範的「支付服務(payment service)」，第三方支付服務業者為指令所稱之「支付機構(payment institution)」。依照PSD第5條規定，支付機構欲進行營業必須要依照會員國國內法向會員國相關主管機關提出核准申請。以英國而言，英國的主管機關是「金融服務局(Financial Service Authority)」。 以下說明重要規範。 (一)創辦資本(initial capital)最低金額： 依照第6條，支付機構具有最低創辦資本額限制，網路支付機構的最低資本額限制為五萬歐元。 (二)資本維持義務(Own funds)： 依照第8條規定，支付機構必須要繼續持有一定數額的資金，至於應持有的金額，以下述三標準判定，如果下述三標準判定出的金額低於前述創辦資本的金額，則以創辦資本的金額為應持有資金的數目： 1.前一年度固定經常費用(overhead)的10%。 2.依照前年月平均處理金額的一定比率決定。 3.依照前一會計年度利息收入、利息支出、所收取的費用以及其他營運收入的總和，按比例提存之。如果實際無前一會計年度資料，可採取預估值。 (三)資金防護義務(safeguarding requirements)： 依照第9條規定，支付機構對於自消費者所收取的代收轉付資金，必須要提供下述防護措施，原則上只要滿足其一即可。對於個別支付金額超過600歐元的消費者，指令認為會員國的主管機關可以要求對於這類大額消費者單獨提供防護措施。 1.專用存款帳戶： 消費者的資金不得與其他資金混同，支付機構一旦收取代收轉付資金即須將之存入獨立的帳戶，或者是投資於由會員國指定的低風險、流動性佳的資產。 2.破產隔離： 應依照會員國的國內法，基於消費者的利益做好破產隔離工作，排除支付機構的其他債權人對代收轉付資金主張權利。 3.保險： 為消費者的代收轉付資金投保，或者是提供其他來自保險公司或者是信用機構同等效力的擔保，在支付機構無法履行其財務責任時進行理賠。 (四)資料保存義務(Record-keeping)： 依照第19條規定，會員國應要求支付機構妥善保存交易資料，保存義務期限至少五年。 (五)洗錢防制義務： 依照第5條規定，支付機構在申請核准時，需要提供公司治理以及內部控制規劃架構，其中第f款指出，支付機構須提出符合Directive 2005/60/EC以及Regulation (EC) No 1781/2006關於防制洗錢以及恐怖組織金融活動(terrorist financing)的內部控制機制。 (六)書面締約義務： 依照第41條規定，支付服務提供者必須要與支付服務使用者就第42條所規定的事項以紙本或者是其它可永久保存的媒體(durable medium)進行締約。第41條並要求支付服務提供者應在契約中使用淺顯易懂的文字，並以支付服務提供者所在國的官方語言或者是雙方同意使用的語言進行。第42條所規定的契約要項除了雙方的姓名之外，必要規定事項包含費用說明、支付服務使用所需的系統說明等等，除了必要規定事項，雙方也可以約定支付服務的支付金額限制，或者是依照第55條約定服務提供者得基於支付工具安全的理由限制支付工具的使用，例如發生可疑交易或詐欺事件而封鎖使用者，暫停其使用權限。 二、中國 中國人民銀行在2010年發布了「非金融機構支付服務管理辦法」，依照該法第2條規定，網路支付為該法所稱之非金融機構支付服務。非金融機構提供支付服務，應當向中國人民銀行申請取得「支付業務許可證」成為支付機構，未按規定申請者將被處以行政罰，嚴重者會被處以刑罰。支付業務許可證的有效期限五年，達五年期限者得於期滿前半年申請續展。 (一)最低資本額要求： 依照第9條規定，想要在中國全國境內提供支付服務者，最低註冊資本額為1億元人民幣；想要在中國單一省，或自治區、直轄市範圍內提供不跨境的支付服務者，最低註冊資本額應達3000萬元人民幣。最低註冊資本額為實繳貨幣資本，應於申請支付業務許可證時全數繳足。 (二)洗錢防制義務： 依照第8條規定，許可證申請人在申請時必須要提出符合相關法令要求的反洗錢措施。依照「非金融機構支付服務管理辦法實施細則」第4條規定，所謂的「反洗錢措施」，包括反洗錢內部控制、客戶身份識別、可疑交易報告、客戶身份資料和交易記錄保存等預防洗錢、恐怖融資等金融犯罪活動的措施。依照第44條規定，支付機構如果沒有履行反洗錢義務，中國人民銀行將可依據相關的反洗錢法規進行處罰，嚴重者得撤銷其支付業務許可證。 (三)服務使用者真實身分查核義務： 支付服務的使用者在註冊時必須要提供真實的身分資料。依照第31條規定，支付機構應該要對於客戶所提出的資料比對其有效的身分證件或者是其它的身分證明文件，並且進行登記。 (四)支付服務協議書面簽約義務： 支付機構應該與客戶就雙方之間的權利義務、糾紛處理原則以及違約責任等等事項簽訂協議。支付協議可以紙本也可以電子方式呈現，依照「非金融機構支付服務管理辦法實施細則」第32條規定，支付服務協議「包括符合法律法規要求、可供調取查用的紙質形式或數據電文形式的合同。」，與我國電子簽章法第四條關於以電子文件作為法律「書面」要件的規定相似。 (五)專用存款帳戶開立義務： 依照第26條規定，支付機構收受服務使用者的資金後，必須要將資金存入在商業銀行所開立的「備付金專用存款帳戶」。一個支付機構只能在一家商業銀行開立一個備付金專用存款帳戶。另外特別指出，依照第24條規定，客戶備付金非支付機構之自有財產，支付機構只能根據客戶的指示轉移備付金，不得自行挪作他用。 (六)資本維持義務： 依照第30條規定，支付機構的實際持有資本不能低於日處理金額的10%，日處理金額以90天內每日日中的平均餘額計之。 (七)資料保存義務： 依照第34條規定，支付機構應該要妥善保管客戶身分資料、支付業務資料以及會計檔案等資料。依照實施細則第39條，資料保存義務至少為五年。 (八)報表提交義務以及受查義務： 依照第20條，支付機構有義務向中國人民銀行提交支付業務統計報表以及財務會計報表。另外依照第35條，支付機構有義務配合中國人民銀行定期和不定期的現場檢查以及非現場檢查。 參、事件評析 綜整歐盟以及中國立法例，管制重點為確保業者具有償債能力和營運能力以及洗錢犯罪防制，要求經營需事先申請許可並另外輔以查核等機制。共通管制規範如下： (一)洗錢防制要求： 皆要求業者必須要具備內部洗錢防制措施，對外則需要與主管機關密切配合。 (二)償債能力備置要求： 要求服務提供者維持一定的資金水位，以避免服務提供者發生賠償責任時無償債能力。歐洲另輔以金融保證或保險，或是以其它方式進行風險隔離。 (三)專用存款帳戶： 歐盟與中國皆要求開立專用存款帳戶，避免與服務提供者的資金混同，明確帳務。 (四)代收資金運用限制： 業者收取之待轉資金限用於服務使用者指示之移轉，如准予用作投資，也僅限投資於低風險產品，且投資總額必須要依一般會計準則將資金水位維持在代收轉付資金的帳面價值之上。 (五)資料保存義務： 為了滿足洗錢防制追查的需求，要求業者對於交易資料進行保存的工作。無獨有偶，歐盟以及中國的保存義務年限都是至少五年。 (六)書面簽約義務： 為了保障消費者，要求業者以契約明確列出服務提供的要項以及雙方的權利義務關係。契約需為書面，以電子方式為之應符合各國以電子為書面的法律要件。