德國針對企業資訊安全及資料保護相關法律提出建議文件
德國經濟及能源部於2018年3月8日為企業資訊安全保護措施建議及資料保護、資料所有權相關法規提出建議文件，協助中小企業提升對於組織及特別領域中的資安風險之意識，並進一步採取有效防護檢測，包括基本安全防護措施、組織資安維護、及法規，並同時宣導德國資料保護法中對於資安保護的法定要求。
資通訊安全及其法規係為企業進行數位化時，涉及確保法的安定性（Rechtssicherheit）之議題。加強資安保護，除可增進銷售及生產力，並使商業貿易間有更大的透明度和靈活性，和創造新的合作信賴關係。因此相關網路內容服務提供商應符合法律要求，提供相關服務，並使共享資料得到完善的保護。例如：應如何保護處理後的資料？如何執行刪除個人資料權利？各方如何保護營業秘密？如果資料遺失，誰應承擔責任？唯有釐清上述相關等問題時，方能建立必要的信任。而在德國聯邦資料保護法，歐盟一般個人資料保護法、歐盟網路與資訊安全指令等規範及相關法律原則，係為數位創新企業執行資安基礎工作重要法律框架。但是，由於數位化的發展，新的法律問題不斷出現，目前的法律框架尚未全面解決。例如，機器是否可以處理第三方資料並刪除或保存？或是誰可擁有機器協作所產生的資料？因此，未來勢必應針對相關問題進行討論及規範。鑑於日益網路化和自動運作的生產設備，工業4.0的IT法律問題變得複雜。一方面，需要解決中、大型企業的營業祕密，資料所有權和責任主題之實際問題，以促進相關數位化創新。另一方面，為了能夠推導出現實的法律規範，需要更多具體實施案例討論。
據研究顯示，企業家對產品責任問題，人工智慧使用，外包IT解決方案，及雲端計算等核心問題的新法規以顯示出極大的興趣，並進一步列入既有或規劃中研究項目。未來，政府將協助為所有公司在安全框架下展開數位計畫合作的機會，並充分利用網路的潛力，而中小企業4.0能力中心也將為中小型公司在數位化目標上提供IT法問題方面的支持。
本文為「經濟部產業技術司科技專案成果」
潘俊良
高級法律研究員 編譯整理
Bundesministerium für Wirtschhft und Energie, IT-Sicherheit und Recht, https://www.bmwi.de/Redaktion/DE/Publikationen/Mittelstand/mittelstand-digital-it-sicherheit-und-recht.pdf?__blob=publicationFile&v=10
Bundesamt für Sicherheit in der Informationstechnik, Verantwortlichkeiten von IT-Herstellern, Nutzern und Intermediären, https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikationen/Studien/ITSicherheitUndRecht/Gutachten_pdf.pdf;jsessionid=3D18711FBEEEFA3F8BA5AABB54319CE0.1_cid351?__blob=publicationFile&v=3
世界經濟論壇（World Economic Forum, WEF）於2022年1月18日發布《2022年全球網路安全展望》（Global Cybersecurity Outlook 2022），以面對因COVID-19大流行所致之遠距辦公、遠距學習、遠距醫療等新形態數位生活模式快速發展，以及日漸頻繁之具破壞性網路攻擊事件。為考量國家應優先考慮擴展數位消費工具（digital consumer tools）、培育數位人才及數位創新，本報告說明今年度網路安全發展趨勢及未來所要面對之挑戰包括如下： COVID-19使得工作習慣轉變，加快數位化步伐：約有87%企業高階管理層計畫透過加強參與及管理第三方的彈性政策、流程與標準，提高其組織的網路韌性（cyber resilience）。 企業資安長（chief information security officers, CISO）及執行長（chief executive officers, CEO）之認知差異主要有三點：(1)92%的CEO認為應將網路韌性整合到企業風險管理戰略中，惟僅55%CISO同意此一作法；(2)由於領導層對網路韌性認知差異，導致安全優先等級評估與政策制定可能產生落差；(3)缺乏網路安全人才以面對網路安全事件。 企業最擔心之三種網路攻擊方式為：勒索軟體（Ransomware attacks）、社交工程（social-engineering attacks），以及惡意內部活動。惡意內部活動係指企業組織之現任或前任員工、承包商或業務合作夥伴，以對組織產生負面影響方式濫用其關鍵資產。 憂心中小企業數位化不足：本研究中有88%之受訪者表示，擔心合作之中小企業之數位化程度不足，導致供應鏈或生態系統中使其網路韌性受阻。 網路領導者認為建立明確有效的法規範，將有助於鼓勵資訊共享與促進合作。
日本修訂《數位行政推動法》，完善行政機關雲端服務之使用環境日本自2002年制定《活用資訊通信技術推動行政相關法律》（情報通信技術を活用した行政の推進等に関する法律，現簡稱《數位行政推動法》）以來，已歷經多次修正，旨在因應國家面臨數位轉型時代，持續調整法規以促使資訊通信技術有效應用於行政領域，並提升國家行政效率、改善國民使用政府服務之便利性為目的。日本數位廳（デジタル庁）於2024年12月9日向日本國會提出修正案，經通過後已於2025年3月8日開始施行。關於《數位行政推動法》本次修正重點簡要如下： 1. 增訂第18條第1項、第2項，要求中央（国家）與地方政府（地方公共団体）共用雲端服務環境之規章制度： 透過立法要求中央（国家）應採取相關必要措施，使地方政府（地方公共団体）能共用雲端服務，並促進公共資訊系統的有效利用，以及完善資訊系統之開發與維運，據以強化資訊共享基礎。 2. 增訂第18條第3項、第4項，使行政機關利用雲端服務之責任明確化： 明訂各行政機關，應提供行政事務專用的雲端服務，並開發符合服務需求之公共資訊系統，據以有效提升政府公共服務品質。 3. 增訂第19條第1項至第3項，要求中央（国家）與地方政府（地方公共団体）建立共同使用雲端服務之相關費用規章： 有關雲端服務提供者（Cloud Service Provider，簡稱CSP），包含AWS、Google Cloud、Microsoft Azure等，與行政機關簽訂相關之雲端服務合約，若地方或民間因使用同一雲端服務而須另支付CSP雲端使用費時，為強化公部門雲端服務基礎環境治理，依本條規定授權先由日本各府省廳、地方政府、行政法人等先向數位廳支付雲端服務使用費，再由數位廳統籌後向CSP支付款項，同時由數位廳訂下規格要求，以利公部門採購作業，促使行政機關與CSP之間的合約、雲端服務品質等得到一元化管理。 日本為了促進國家之行政事務能更有效率地推展，透過立法要求中央與地方間之行政機關應完善雲端服務基礎環境供行政事務專用，與建立相應之費用規章，以強化機關間資訊共享。不僅如此，依據本次修正之第18條「應採取必要措施」，其未來所採用之行政規則與具體實踐方式，如何有效提升行政資訊系統效率，仍可持續關注其發展情況。日本藉由持續完善法規與操作機制，打造中央與地方能夠共享、互通的公務體系雲端服務環境，提升人民使用數位化公共服務品質之作法，值得我國未來參考借鏡。
日本政府擬建構自動駕駛實驗資料收集和共享體制日本內閣下設之日本經濟再生本部(日本経済再生本部)，為實現2017年6月於「未來投資戰略2017」所提出之建立實驗資料共享體制政策，於2017年8月31日起舉辦自動駕駛官民協議會(自動走行に係る官民協議会)，邀請政府相關部門及民間專家等關係人士，檢討自動駕駛實驗結果、實驗資料之共享，以及根據民間需求進行實驗計畫之工程管理等制度的整備方向，預計於年內針對複雜的駕駛環境制定共通指標，以釐清哪些資料是應收集之實驗資料，建構自動駕駛實驗資訊共享、收集體制。自動駕駛官民協議會預計在未來幾次會議中，針對應收集之實驗資料、標準格式、體制、實驗計畫的進程管理、官民合作事項等進行討論，並將在未來投資會議中報告檢討結果，其結果將與明年度之成長戰略一同反映於「官民ITS‧構想藍圖」(官民ITS構想・ロードマップ)中。
歐盟資料治理規則提出資料利他主義制度以利於公益目的之利用歐盟於2022年5月30日正式簽署通過「資料治理規則」，同時引入（EU）2018/1724修正案（REGULATION (EU) 2022/868 OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL on European data governance and amending Regulation (EU) 2018/1724），針對資料中介組織及資料利他主義組織業務啟動、營運等註冊程序進行補充。 資料治理規則也通稱為資料治理法（Data Governance Act, DGA）。DGA以建立一個可信賴的資料流通環境，達成資料的可利用性，以促進資料可用於各項研究以及創新的商品和服務為目標。 DGA中，特別引人注意的是第四章「資料利他主義」（Data altruism）的提出。依據資料治理規則第二條，所謂的資料利他主義係指資料主體基於自願且無償的情況下，同意他人得處理或利用其所持有的個人資料；或資料持有者在不尋求補償的情況下允許他人得利用其所有的非個人資料（non-personal data）。而這些資料利用的目的是以實現公共利益為目標，例如醫療保健、解決氣候變化、改善交通、促進公部門統計資料的產製與應用、改善公共服務、制定公共政策，或是科學研究等。 為利於資料利他主義的落實，歐盟希望有明確的的制度設計，藉以促成更多資料主體或資料持有人，在有足夠信任的基礎下，願意將資料無償提供並進行公益目的之利用，進而實現改善生活的目標。 因此，DGA中提出以下作法： 制訂「歐洲資料利他主義同意書」（European data altruism consent form）：該法授權歐盟執委會應在諮詢過歐盟資料保護委員會（European Data Protection Board）以及考慮過DGA新設之歐盟資料創新委員會（European Data Innovation Board）的意見後，制定統一的「歐洲資料利他主義同意書表格」。以此增加資料主體對於資料授權的信任，提高資料主體同意將資料釋出與流通再利用之意願，並為授權或撤銷同意建立法遵明確性。 資料利他主義組織（data altruism organisations）管理機制： (1) 資料利他主義組織採自願註冊制度，而非許可制。在資料利他主義於符合形式登記要件後，並符合非營利、透明性以及滿足保障民眾權利等要求後，於其所屬會員國中註冊以成為公認（recognised）的資料利他主義組織。採自願註冊而非許可制的目的，是希望先以管制密度較低的方式，鼓勵更多組織投入資料利他主義的推動。 (2) 給予已註冊之資料利他主義組織識別標誌：透過相關的認可機制並授予識別標誌，藉此提高資料利他主義組織的可辨識度與信賴度，讓民眾在選擇合作的組織時有所依循。 (3) 透明度要求：為了增加資料主體或資料持有者對該組織的信任度，歐盟也將對資料利他主義組織進行一定程度的監督管理，例如年報編列與管理、是否以清晰易懂方式通知資料主體或資料持有者其資料被利用的目的、需保留資料利用之所有紀錄等。此外，也需要遵守DGA授權歐盟執委會未來訂定的相關補充規範。 整體而言，歐盟將資料利他主義的公益精神經由法制化的方式納入歐洲資料治理規則，透過歐洲資料利他主義同意書以及資料利他主義的相關管理規範，降低溝通成本以及建立信任基礎，以增加資料釋出的可能性，進而提升資料被利用的程度，最終達成改善人類福祉的目標。