德國針對企業資訊安全及資料保護相關法律提出建議文件
德國經濟及能源部於2018年3月8日為企業資訊安全保護措施建議及資料保護、資料所有權相關法規提出建議文件，協助中小企業提升對於組織及特別領域中的資安風險之意識，並進一步採取有效防護檢測，包括基本安全防護措施、組織資安維護、及法規，並同時宣導德國資料保護法中對於資安保護的法定要求。
資通訊安全及其法規係為企業進行數位化時，涉及確保法的安定性（Rechtssicherheit）之議題。加強資安保護，除可增進銷售及生產力，並使商業貿易間有更大的透明度和靈活性，和創造新的合作信賴關係。因此相關網路內容服務提供商應符合法律要求，提供相關服務，並使共享資料得到完善的保護。例如：應如何保護處理後的資料？如何執行刪除個人資料權利？各方如何保護營業秘密？如果資料遺失，誰應承擔責任？唯有釐清上述相關等問題時，方能建立必要的信任。而在德國聯邦資料保護法，歐盟一般個人資料保護法、歐盟網路與資訊安全指令等規範及相關法律原則，係為數位創新企業執行資安基礎工作重要法律框架。但是，由於數位化的發展，新的法律問題不斷出現，目前的法律框架尚未全面解決。例如，機器是否可以處理第三方資料並刪除或保存？或是誰可擁有機器協作所產生的資料？因此，未來勢必應針對相關問題進行討論及規範。鑑於日益網路化和自動運作的生產設備，工業4.0的IT法律問題變得複雜。一方面，需要解決中、大型企業的營業祕密，資料所有權和責任主題之實際問題，以促進相關數位化創新。另一方面，為了能夠推導出現實的法律規範，需要更多具體實施案例討論。
據研究顯示，企業家對產品責任問題，人工智慧使用，外包IT解決方案，及雲端計算等核心問題的新法規以顯示出極大的興趣，並進一步列入既有或規劃中研究項目。未來，政府將協助為所有公司在安全框架下展開數位計畫合作的機會，並充分利用網路的潛力，而中小企業4.0能力中心也將為中小型公司在數位化目標上提供IT法問題方面的支持。
本文為「經濟部產業技術司科技專案成果」
- 零售業個資安全宣導暨安全維護計畫規劃說明會
- (已額滿)114年「企業營業秘密保護實務座談會」(北部場)–營業秘密因應數位環境之保護風險及管理對策
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(實體)
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(直播)
- 【台北場1】通訊傳播事業個資法遵教育訓練
- 【台中場】通訊傳播事業個資法遵教育訓練
- 【新北場】通訊傳播事業個資法遵教育訓練
- 【高雄場】通訊傳播事業個資法遵教育訓練
- 【台北場2】通訊傳播事業個資法遵教育訓練
- 114年「企業營業秘密保護實務座談會」（南部場）
- 114年「企業營業秘密保護實務座談會」（中部場）
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
潘俊良
法律研究員 編譯整理
Bundesministerium für Wirtschhft und Energie, IT-Sicherheit und Recht, https://www.bmwi.de/Redaktion/DE/Publikationen/Mittelstand/mittelstand-digital-it-sicherheit-und-recht.pdf?__blob=publicationFile&v=10
Bundesamt für Sicherheit in der Informationstechnik, Verantwortlichkeiten von IT-Herstellern, Nutzern und Intermediären, https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikationen/Studien/ITSicherheitUndRecht/Gutachten_pdf.pdf;jsessionid=3D18711FBEEEFA3F8BA5AABB54319CE0.1_cid351?__blob=publicationFile&v=3
歐盟執委會於2020年12月16日針對未來十年歐盟數位發展，提出《歐盟數位十年網路安全戰略》（The EU's Cybersecurity Strategy for the Digital Decade），以支持塑造歐盟的數位未來（Shaping Europe's Digital Future）、歐洲復甦計畫（Recovery Plan for Europe）和歐洲安全聯盟（EU Security Union Strategy）。該戰略說明應如何加強歐盟共同抵禦面對網路攻擊的應變能力，並確保民眾及企業都能在可信賴的數位服務中受益。 由於COVID-19大流行，加速工作模式的變化，2020年歐盟約有40%的民眾遠距辦公，而同年網路犯罪對全球經濟造成的影響估計達到5.5億歐元。因此，為維護全球開放網路的穩定運作，在保護網路安全的同時，亦應保護歐盟的共同價值觀與人民的基本權利，在監管、投資與政策上提出三點建議： 韌性、技術主權和領導（Resilience, Technological Sovereignty and Leadership）：根據網路與資訊系統安全指令（Directive on Security of Network and Information Systems, NIS Directive）修訂更嚴格的監管措施，改善網路和資訊系統的安全。並建立由AI推動的資安監控中心（AI-enabled Security Operation Centres），及時避免網路攻擊。 建立防禦、嚇阻和應變能力（Building Operational Capacity to Prevent, Deter and Respond）：逐步建立歐盟聯合網路安全部門，加強歐盟各成員國之間的合作，以提高面對跨境網路攻擊時的應變能力。 透過加強合作促進全球開放網路空間（Advancing a Global and Open Cyberspace）：希望與聯合國等國際組織合作，透過外部力量共同建立全球網路安全政策，以維護全球網路空間的穩定及安全。
澳洲政府考量開放民事訴訟領域查閱網路服務商所保存之通訊資料澳洲政府於2014年推動電信（監察及查閱）法修正（資料保存）案（Telecommunications (Interception and Access)Amendment (Data Retention) Bill 2014），增訂資料保存規範，其目的在於打擊重大犯罪、恐怖主義、國際組織犯罪等，其措施為要求國內網路服務商須保留用戶之通訊資料，並保存期間至少2年，對此，當時情報及保安事務議會聯合委員會（下稱委員會）於評估該修正案時，卻發現一項爭議問題，即民事訴訟當事人亦得查閱通訊資料，但資料保存行為之正當性乃立基於維護國家安全，實與民事訴訟制度意義相悖，故委員會提出應排除民事訴訟領域得以查閱通訊資料之建議。 澳洲政府對於委員會所提出之建議採取全盤接受之態度，進而重新修訂2014年電信（監察及查閱）法修正（資料保存）案，且併同修正刪除1997年電信法令第280條，有關得以民事訴訟傳票或命令，向網路服務商查閱其所保存之通訊資料；至於網路服務商之通訊資料保存義務方面，仍須依1979年電信（監察及查閱）法為之。前述修正於2017年4月13日生效。 然而，澳洲政府方面時至今日卻有態度轉變之趨勢，起因於通訊部長與檢察總長於2016年12月20日公告，其認為資料保存措施對於特定類型之民事訴訟並非沒有實益，如：維護智慧財產權事件、家庭事件（如：離婚）或勞工權益事件（如：公司起訴勞工）等，故應視類型或個案情形予以開放查閱；因此，主管機關提出三項問題向社會大眾徵求意見：1、民事訴訟當事人在何種情形下可查閱通訊資料；2、倘若民事訴訟當事人不得查閱通訊資料者，對於民事訴訟會產生何種影響；3、是否有特定之民事訴訟類型，是排除1997年電信法第280條(1B)不適用。 實際觀察澳洲政府所推動之該項公告，在其國內爭議相當大，不僅該項公告已臨近前述修正生效日，且開放民事訴訟當事人得以查閱通訊資料之正當性疑慮仍未解除，甚且，亦與近期國際上國家安全與人民隱私權保障間之衝突日趨顯著，如：英國之調查權力法案（Investigatory Powers Act. 2016）不無關聯，因此，澳洲政府是否願意在社會輿論反對聲浪中，仍維持該項公告修正意向，值得後續觀察。
美國聯邦航空總署對外公布「無人機運行執法方針」近年來隨著科技進步，市面上無人飛行載具（Unmanned Aerial Vehicles, UAS，簡稱無人機）產品與相關應用蓬勃興起，為規範相關運行秩序，美國聯邦航空總署（the Federal Aviation Administration, FAA）於2015年1月8日公布了「無人機運行執法方針」（Law Enforcement Guidance for suspected unauthorized UAS Operations），並呼應美國眾議院所曾表達關切，建議應儘速公布美國無人機立法監管架構，以避免許多相關研發技術公司出走海外的不利發展。 FAA該執法方針，先指出實務上，目前以FAA為實際執法單位所面臨的困難，並徵募各州地方警力協助，以進行實際執法行動。由於FAA經常無法立即趕到並處理無人機事件發生地點，然而透過各州地方警力，對於攔阻未經授權或不安全的無人機活動，具有較佳的嚇阻、偵測、立即調查，以及採取適當執法行動的優勢。 因此，FAA執法方針指示州地方警力，應於未經授權的無人機活動事件發生處，採取以下措施：1. 認明並面詢目擊者；2. 鑑別操作可疑無人機活動者；3. 錄下其活動影像並繪製無人機使用之位置與情況；4. 辨識該區域限制航空範圍；5. 立即通知FAA；6. 蒐集證據。 目前美國有關無人機相關規範，僅有現代化及改革法（Modernization and Reform Act）第333條下，批准無人機具有豁免權之14項適用領域，如閉集錄影（closed-set filming）、空中調查工作、監控建築物地點、調查有關離岸鑽油平台、具農業目的等作業項目，並涵蓋相關具體應遵循之規範；所以美國後續亟待制訂更多相關遵守規範，以利產業界遵循，FAA預計於2015年底公布55磅以下無人機的規章制度，並受國會要求將於9月將無人機監管規章整合至美國領空管理系統（National Airspace System），相關規範內容待持續追蹤觀察。
合成資料（synthetic data）「合成資料」（synthetic data）的出現，是為了保護原始資料所可能帶有的隱私資料或機敏資料，或是因法規或現實之限制而無法取得或利用研究所需資料的情況下，透過統計學方法、深度學習、或自然語言處理等方式，讓電腦以「模擬」方式生成研究所需之「合成資料」並進行後續研究跟利用，透過這個方法，資料科學家可以在無侵犯隱私的疑慮下，使合成資料所訓練出來的分類模型（classifiers）不會比原始資料所訓練出來的分類模型差。 在合成資料的生成技術當中，最熱門的研究為運用「生成對抗網路」（Generative Adversarial Network, GAN）形成合成資料（亦有其他生成合成資料之方法），生成對抗網路透過兩組類神經網路「生成網路」（generator）與辨識網路（discriminator）對於不同真偽目標值之反覆交錯訓練之結果，使其中一組類神經網路可生成與原始資料極度近似但又不完全一樣之資料，也就是具高度複雜性與擬真性而可供研究運用之「合成資料」。 英國國防科技實驗室（Defense Science and Technology Laboratory, DSTL）於2020年8月12日發布「合成資料」技術報告，此技術報告為DSTL委託英國航太系統公司（BAE Systems）的應用智慧實驗室（Applied Intelligence Labs, AI Labs）執行「後勤科技調查」（Logistics Technology Investigations, LTI）計畫下「資料科學與分析」主題的工作項目之一，探討在隱私考量下（privacy-preserving）「合成資料」當今技術發展情形，並提供評估技術之標準與方法。 技術報告中指出，資料的種類多元且面向廣泛，包含數字、分類資訊、文字與地理空間資訊等，針對不同資料種類所適用之生成技術均有所不同，也因此對於以監督式學習、非監督式學習或是統計學方法生成之「合成資料」需要採取不同的質化或量化方式進行技術評估；報告指出，目前尚未有一種可通用不同種類資料的合成資料生成技術或技術評估方法，建議應配合研究資料種類選取合適的生成技術與評估方法。