加州法院判決刪除公司電腦之個人資訊非屬犯罪行為
美國加州北區聯邦地方法院，於去年（2017年）12月5日做出關於雇員刪除其由公司提供電腦中與公務無關資料是否屬電腦犯罪之判決（United States v. Zeng, 4:16-cr-00172（District Court, N.D. California. 2017）.）。
該案情為曾（Zeng）氏為避免其竊取自家公司商業機密行為被揭發，而逕自刪除其在公司提供筆記型電腦內之相關資料。而嗣後仍然被公司發現並報案，於此偵查單位FBI則以曾氏違反電腦詐欺及濫用法案（Computer Fraud and Abuse Act，下稱CFAA）中「未經授權而毀損他人電腦（18 U.S.C. § 1030（1984）.）.」以美國政府名義（下稱控方）起訴曾氏刪除其犯罪證據之行為。
對於該控訴，被告曾氏以被刪除之電子紀錄與其業務無關，非為公司所有財產為由作為抗辯。此外曾氏同時以其他判決主張毀損電腦之定義應係指由外部傳輸行為所致（如駭客行為），電腦使用者自己刪除行為應不包含之，以及控方未舉證其刪除行為將導致公司有不可回復或無法替代之損害作為抗辯。於此，控方則以刪除行為不應以內容而有所區分作為回應。
在審理期間，承審法官多納托（Donato）氏除參酌控辯雙方證詞外，並特別詢問控方律師指控內容是否會對一般大眾造成其在公用電腦中刪除同類資訊上之顧慮。而控方則以曾氏行為屬特殊情況作為答辯。最後，多納托氏則以控方主張將造成社會恐慌以及控方未提出被告刪除資料行為究竟對公司有何實際損害，判決被告無罪。
- United States v. Zeng, 4:16-cr-00172（District Court, N.D. California. Dec 5, 2017）
- Jaime Dorenbaum, Press Delete, Go Directly to Jail? The Scope of the Computer Fraud and Abuse Act's Damage Provision , The National Law Review
- 18 U.S.C. § 1030（1984） - Fraud and related activity in connection with computers
- 數位海盜時代來臨–抵禦海上資安威脅的實踐與挑戰
- 零售業個資保護宣導暨座談會
- 零售業個資保護及資訊安全教育講習
- 零售業個資保護及資訊安全教育講習
- 零售業個資安全宣導暨安全維護計畫規劃說明會
- (已額滿)114年「企業營業秘密保護實務座談會」(北部場)–營業秘密因應數位環境之保護風險及管理對策
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(實體)
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(直播)
- 【台北場1】通訊傳播事業個資法遵教育訓練
- 【台中場】通訊傳播事業個資法遵教育訓練
- 【新北場】通訊傳播事業個資法遵教育訓練
- 【高雄場】通訊傳播事業個資法遵教育訓練
- 【台北場2】通訊傳播事業個資法遵教育訓練
- 114年「企業營業秘密保護實務座談會」（南部場）
- 114年「企業營業秘密保護實務座談會」（中部場）
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
開放台資過半持股取得ICP經營許可證之初步評估-以遊戲產業為主- 科技法律研究所 2013年06月25日 壹、背景說明 根據海基會、海協會於102年6月21日共同簽署的兩岸服務貿易協議[1] ，其就電信服務類之增值電信服務，以「在線數據處理與交易處理(僅限於經營性電子商務網站)」為範圍，開放「允許臺灣服務提供者在福建省設立合資企業，提供在線數據處理與交易處理業務，臺資股權比例不超過 55%」。 貳、簽署前中國大陸對台遊戲業設置經營網站之限制說明 一、電子商務網站經營者皆須取得ICP證、SP證（本次開放重點） （一）互聯網信息服務增值電信業務經營許可證（ICP證） 依照中國大陸「互聯網信息服務管理規定」第3條、第4條規定，互聯網信息服務依照是否有償提供信息服務活動，區分為經營性互聯網信息服務及非經營性互聯網信息服務。並依照「互聯網信息服務管理規定」第7條規定，透過互聯網向互聯網上網用戶有償提供信息服務活動者，須向地方電信管理機構或工信部申請，取得「互聯網信息服務增值電信業務經營許可證」（大陸簡稱ICP證）[2]取得ICP經營許可證者，才能從事：網上廣告、代製作網頁、出租服務器內儲存空間、主機託管、有償提供特定信息內容、電子商務及其它網上應用服務等。 在外商申辦ICP證的情況中，依照中國大陸「互聯網信息服務管理規定」第17條規定，應事前經中國大陸國務院信息産業主管部門審查同意，且外商投資的比例應符合相關規定。對此，中國大陸在加入WTO後，僅承諾有限度地開放電信業務市場。 在中國大陸商務部發布的「外商投資產業指導目錄」中，電信公司增值電信業務屬於「限制外商投資」項目，包括組織型態、業務活動範圍、投資比例等投資條件與審批程序，皆有一定的規範。根據中國大陸國務院「外商投資電信企業管理規定」[3]第2條規定，外商投資電信企業，只能以「中外合資經營」形式[4]，共同投資經營電信業務。同時「外商投資電信企業管理規定」第6條規定，外商投資電信企業，在增值電信業務部分，外方投資者在企業中的出資比例，最終不得超過50%[5]。亦即，在一般外商投資電信企業的情況中，受限於股權比例上限，外商通常無法掌握企業經營權。 （二）增值電信業務經營許可證 在網站經營涉及增值電信業務時，根據中國大陸「電信業務經營許可管理辦法」[6]，亦需取得「增值電信業務經營許可證」（大陸簡稱SP證）[7]。其中業務覆蓋範圍在兩個以上省、自治區、直轄市的，須經國務院資訊產業主管部門審查批准，取得「跨地區增值電信業務經營許可證」。若業務覆蓋範圍在一個省、自治區、直轄市行政區域內的，須經省、自治區、直轄市電信管理機構審查批准，取得「增值電信業務經營許可證」[8]。且同樣地，依據「電信業務經營許可管理辦法」第9條第3項規定，外商投資電信企業申辦電信業務經營許可證亦須根據「外商投資電信企業管理規定」辦理。亦即，一般而言在外商投資者出資比例不得超過50%。 在本次兩岸服務貿易協議中，爭取到台資得以試點方式在福建地區以過半股權提供「在線數據處理與交易處理業務」，依據中國大陸「電信業務分類目錄(2003版)」規定，亦屬於增值電信業務一種。此業務是指「利用各種與通信網絡相連的數據與交易/事務處理應用平臺，通過通信網絡為用戶提供在線數據處理和交易/事務處理的業務」。簡言之，包括交易處理業務、電子數據交換業務和網絡/電子設備數據處理業務。 二、網路遊戲網站經營尚需取得其他經營許可證 在中國大陸除上述ICP證外，還必須經過相關主管機關審批，取得相對應的主體資格與許可證後，始得經營線上遊戲業務。也就是除ICP證外，還必須取得：「網絡文化經營許可證」、「互聯網出版許可證」。 （一）網絡文化經營許可證 有關「網絡文化經營許可證」，依據中國大陸文化部「互聯網文化管理暫行規定」，網路遊戲屬於一種互聯網文化產品，因此要經營網路遊戲前，就必須先申請設立「經營性互聯網文化單位」，通過審批同意設立後，方可領取「網絡文化經營許可證」（大陸簡稱文網文）。並依照「關於文化領域引進外資的若干意見（文辦發[2005]19號）」及「經營性互聯網文化單位申報指南」規定，除香港和澳門服務提供者可設立由中國大陸控股的經營性互聯網文化單位外，不受理外商投資互聯網信息服務提供者申請從事互聯網文化活動。亦即由台灣業者投資設立之企業無法取得網絡文化經營許可證。 （二）互聯網出版許可證 其次，根據中國大陸的「互聯網出版管理暫行規定」第5條規定，互聯網信息服務提供者將自己創作或他人創作的作品經過選擇和編輯加工，登載在互聯網上或者通過互聯網發送到用戶端，供公眾瀏覽、閱讀、使用或者下載的在線傳播行為稱為互聯網出版，包括，圖書、報紙、期刊、音像製品、電子出版物等出版物內容或者在其他媒體上公開發表的內容。對此，根據「互聯網出版管理暫行規定」第6條規定，需先經過新聞出版總署的批准，具備合法互聯網出版機構的資格，並領有「互聯網出版許可證」，方可從事網路遊戲的線上營運業務。同時，依據中國大陸新聞出版總署發出「關於貫徹落實國務院〈“三定”規定〉和中央編辦有關解釋，進一步加強網絡遊戲前置審批和進口網絡遊戲審批管理的通知」規定，外商禁止以獨資、合資、合作等方式在中國境內投資從事網絡遊戲運營服務，任何外商不得通過設立其他合資公司、簽訂相關協議或提供技術支持等間接方式實際控制和參與境內企業的網絡遊戲運營業務。亦即，由台灣業者投資設立之企業亦無法取得網絡文化經營許可證。 三、針對內容本身，亦須完成相關審批作業 台灣線上遊戲產品進口中國 ，除須向中國新聞出版總署提出「引進版互聯網遊戲出版物出版申請」審批同意、取得「中國標準書號（業界一般俗稱版號）」，版號每年有總量管制，核發過程容易受技術性操作而影響取得版號時間。另依據中國文化部「關於加強網絡遊戲產品內容審查工作的通知」（2004）第十點規定：「進口中國香港、澳門特別行政區和臺灣地區的網路遊戲產品參照外國網絡遊戲產品辦理相關手續」。也就是說，臺灣的線上遊戲上市前填具「文化部進口遊戲產品內容審查申請表」、「文化部進口網絡遊戲產品材料登記表」等，向中國文化部提出遊戲產品內容審查。 本次協商，線上遊戲業管機關在徵詢業者意見後，努力向陸方爭取其承諾「在申請材料齊全的情況下，對進口臺灣研發的網絡遊戲產品進行內容審查(包括專家審查)的工作時限為2個月」。 附件、遊戲出版相關審批 ‧電子出版物出版單位與境外機構合作出版物之審批：《外商投資產業指導目錄》，電子出版物（含電子遊戲、網路遊戲等產品）的出版、製作和進口屬於「禁止外商投資項目」，因此台灣遊戲業者要進入中國大陸市場，僅能透過與當地廠商以合作的方式出版遊戲產品，而合作案也須先經過新聞出版總署的審批程序，方可進行。 ‧電子出版物出版許可證：根據《出版管理條例》第41條與《電子出版物出版管理規定》第38條規定，出版遊戲的企業必須具備電子出版物出版單位的資格，並領有電子出版物出版許可證，才是合法的出版單位。 ‧電子出版物專用書號：根據中國大陸《出版管理條例》第29條規定，出版物須載明書號、刊號或版號等，此處所指「書號」係指「電子出版物專用書號」。遊戲產品亦屬於電子出版物一種，按規定必須要申請到「電子出版物專用書號」方可出版。 ‧出版物進口經營許可證：依據其《出版管理條例》第41條規定，只要是出版物（報紙、期刊、圖書、音像製品、電子出版物）之進口，都必須透過領有「出版物進口經營許可證」的出版物進口經營單位。 ‧文化部進口網絡遊戲產品內容審查：根據中國大陸文化部2004年發布《關於加強網絡遊戲產品內容審查工作的通知》規定，外國網路遊戲產品須經文化部之內容審查通過後，方可上線營運。因此，一款境外的網路遊戲產品應由具備《網絡文化經營許可證》及營業執照之互聯網文化單位，向文化部提出內容審查的申請。 ‧出版境外著作權人授權的互聯網遊戲作品審批：台灣的網路遊戲若要進口到中國大陸，除須經過其文化部有關網路遊戲的內容審查程序外，尚須經過向其新聞出版總署提出「引進版互聯網遊戲出版物出版申請」，通過「出版境外著作權人授權的互聯網遊戲作品審批」的審查程序。 ‧圖書、期刊、音像製品、電子出版物重大選題備案：根據2011年甫修訂之《出版管理條例》第20條規定，在中國大陸從事出版行為，若有涉及國家安全、社會安定的重大選題，一律向其中央新聞出版總署申請「重大選題備案」程序，待備案通過後，方允許出版含有該內容之出版物。 ‧複製經營許可證：根據《出版管理條例》、《電子出版物出版管理規定》，電子出版物的複製業務係採許可制度，即須向其新聞出版總署提出電子出版物複製單位的設立申請；且電子出版物亦應委託經領有《複製經營許可證》之複製單位複製。若屬於境外委託複製之出版物，尚須持著作權人授權書，向著作權行政部門進行登記。 ‧出版物經營許可證：臺灣業者若在中國大陸申請設立電子出版物發行單位，便須按照其預計從事的業務活動範圍（例如：總發行、批發、零售）提出審批申請，經批准許可後，皆領取《出版物經營許可證》，但會在證書上註明准予從事的業務活動範圍。 ‧出版境外著作權人授權的電子出版物審批：臺灣作者可將作品內容授權給中國大陸電子書業者置入電子書閱讀器出版，惟依據《電子出版物出版管理規定》，應由當地業者備妥相關文件，提出「出版境外著作權人授權的電子出版物審批」的申請程序。 [1]兩岸服務貿易協議，頁35，http://www.mac.gov.tw/public/Attachment/362114511675.pdf（最後瀏覽日102/06/22）。 [2]互聯網信息服務管理規定第7條：「从事经营性互联网信息服务，应当向省、自治区、直辖市电信管理机构或者国务院信息产业主管部门申请办理互联网信息服务增值电信业务经营许可证（以下简称经营许可证）。」 [3]《外商投资电信企业管理规定》(国务院令第333号2001.12.11)（2008.09.10修訂） [4]《中外合资经营企业法》第4條第1項（主席令第48号2001.03.15）：「合營企業的形式為有限責任公司」，故具有中國大陸法人資格。 [5]且根據《中外合资经营企业法》（主席令第48号2001.03.15），在「中外合资经营企业法」的註冊資本中，外國合資經營者的投資比例不得低於25%。 [6]《电信业务经营许可管理办法》（工业和信息化部令第5号2009.03.01） . [7]參考《电信条例》第9條（國務院令第291號2000.09.20）：「经营增值电信业务申请许可流程：业务覆盖范围在两个以上省、自治区、直辖市的，须经国务院资讯产业主管部门审查批准，取得『跨地区增值电信业务经营许可证』；业务覆盖范围在一个省、自治区、直辖市行政区域内的，须经省、自治区、直辖市电信管理机构审查批准，取得『增值电信业务经营许可证』。」 [8]參考《电信条例》第9條（國務院令第291號2000.09.20）：「经营增值电信业务申请许可流程：业务覆盖范围在两个以上省、自治区、直辖市的，须经国务院资讯产业主管部门审查批准，取得『跨地区增值电信业务经营许可证』；业务覆盖范围在一个省、自治区、直辖市行政区域内的，须经省、自治区、直辖市电信管理机构审查批准，取得『增值电信业务经营许可证』。」
歐盟提出通用型人工智慧模型的著作權管理合規措施建議歐盟提出通用型人工智慧模型的著作權管理合規措施建議 資訊工業策進會科技法律研究所 2025年07月23日 為推動以人為本且值得信賴之人工智慧（Artificial Intelligence, AI）應用，同時確保高度保護健康、安全及歐盟《基本權利憲章》所載之基本權利，包括民主、法治及環境保護，防止AI在歐盟境內造成有害影響，並依據歐盟《人工智慧法》（AI Act, AIA）第1條第1項支持創新。歐盟人工智慧辦公室(The European AI Office) 於2025年7月10日提出《人工智慧法案》關於通用型人工智慧的準則(The General-Purpose AI Code of Practice)[1]，以下簡稱「GPAI實踐準則」。 該準則由辦公室擬定計劃邀集通用型人工智慧(以下簡稱GPAI)模型提供商、下游提供商、公協會、權利人、專家學者、民間團體組成工作小組，進行討論與草擬。目的在協助GPAI模型的提供者符合AIA要求其應訂定模型技術文件，提供給下游提供者，並應制定著作權政策、發布訓練內容摘要的規定。預計將自 2025 年 8 月 2 日起適用。 壹、事件摘要 歐盟GPAI實踐準則包括透明度、著作權與安全維護(Transparency, Copyright, and Safety and Security)三大章節。為證明符合AIA第53條及第55條所規定義的指導文件（guiding document），並確保GPAI提供者（providers）遵守其在《人工智慧法》下之義務，於該準則於著作權章節提供適用AIA第53條第1項(c)款規定[2]的措施建議。 該準則強調採取相關措施可以證明符合前揭定之義務，但符合歐盟著作權及相關權利法規，並不以遵守該準則為要件，而且也不會影響歐盟著作權及相關權利法規的適用與執行，其權利最終歸屬法院。而著作權人依法保留的權利，以及針對文字與資料探勘（Text and Data Mining, TDM）的例外或限制 (EU 2019/790號指令第4條第1項)，仍應在合法條件下適用。 考量到一些GPAI提供者是新創企業，規模有別於一般企業，故該準則亦強調其所要求採取的是相稱措施（proportionate measures），應與提供者之規模相稱且合乎比例（commensurate and proportionate），並充分考量中小企業（SMEs），包括新創公司（startups）之利益。 貳、重點說明 該準則建議GPAI提供者，採取訂定著作權政策、合法重製、尊重權利保留、積極防止侵權、提供問責管道等五大著作權管理措施。 一、訂定、維持並實施著作權政策 為證明已符合AIA第53條第1項(c)款所負之義務，GPAI提供者針對其投放於歐盟市場之通用人工智慧模型，應制定政策以遵守歐盟著作權及相關權利法規。該準則建議提供者應將著作權章節所列措施納入於政策中，公開發布並維持最新狀態其著作權政策摘要，且在組織內部指派負責實施和監督。 二、獲取合法可存取之受著作權保護內容 GPAI提供者進行 EU 2019/790號指令第2條第2項之文字與資料探勘及訓練其通用人工智慧模型進行網際網路內容的重製並擷取時，例如使用網路爬蟲（web-crawlers）或授權他人使用網路爬蟲代其抓取（scrape）或以其他方式編譯資料，應防止或限制對作品及其他受保護標的物之未經授權行為，特別是應尊重訂閱模式（subscription models）或付費牆（paywalls）所施加之任何技術性拒絕或限制存取。而且在進行網路爬取時，應排除歐盟認定為持續且重複大規模商業侵犯著作權及相關權利之網站。 三、識別並遵守權利人的權利保留 GPAI提供者文字與資料探勘及訓練其通用人工智慧模型，其網路爬蟲應識別並遵守EU 2019/790號指第4條第3項的機器可讀（machine-readable）權利保留[3]，讀取並遵循機器人排除協議（Robot Exclusion Protocol, robots.txt）。 該協議包括任何經網際網路工程任務組(Internet Engineering Task Force，IETF)證明技術上可行且可由AI提供者和內容提供者（包括權利人）實施之版本，或經國際或歐洲標準化組織採納透過基於資產（asset-based）或基於位置（location-based）之詮釋資料（metadata）等其他方式的機器可讀協議。亦包括通常係透過在歐盟層級經由權利人、AI提供者及其他相關利害關係人參與討論所達成共識的識別方案。 GPAI提供者亦應透過公開該等資訊並提供受影響權利人可在該等資訊更新時自動獲得通知的適當措施，使受影響之權利人能夠取得相關資訊，包括所用的網路爬蟲、所採識別並遵守權利保留之措施。 四、降低著作權侵權輸出之風險 為降低整合GPAI模型的下游人工智慧系統（downstream AI system），生成可能侵害著作權或相關權利的作品或其他標的物GPAI提供者應實施適當且合乎比例之技術保障措施，防止其模型生成以侵權方式重製受歐盟著作權及相關權利法規保護之訓練內容。;同時，在使用政策、條款與條件或其他類似文件中禁止模型用於著作權侵權目的。對於以自由及開源授權（free and open source licenses）發布之GPAI模型，應在隨附文件中請使用者注意禁止模型用於著作權侵權用途。無論是將模型整合至其自身的人工智慧系統，或係依據契約關係提供給他人。 五、提供聯繫受理管道 GPAI提供者應提供與受影響權利人進行連繫的管道與資訊，讓受影響之權利人及其代理人（包括集體管理組織（collective management organizations））以電子方式進行投訴。同時，勤勉、非任意地並在合理時間內處理投訴，除非投訴明顯無根據，或已對同一權利人提出之相同投訴作出回應。 參、事件評析 美國先前於2025年6月23日曾由加州北區聯邦地方法院（United States District Court for the Northern District of California），威廉·阿爾斯法官（Judge William Alsup）針對Andrea Bartz、Charles Graeber、Kirk Wallace Johnson這三位美國作家，對Anthropic公司訓練大型語言模型（Large Language Model, LLM）時使用受其等著作權保護書籍一案，作出AI訓練行為可主張合理使用的簡易裁決(summary judgment)[4]。但法官仍然指出提供AI訓練的合理使用（Fair Use）不代表資料來源的適法性（Legality of Source）獲得合法認定，並不支持盜版一本本來可以在書店購買的書籍對於創建大型語言模型 (LLM) 是合理必要 (reasonably necessary) 的。 這次歐盟的準則更明確指出，GPAI提供者進行文字與資料探勘及訓練其通用人工智慧模型，以網路爬蟲（web-crawlers）進行網際網路內容的擷取，應尊重訂閱模式（subscription models）或付費牆（paywalls）所採取的技術性拒絕或限制存取。而且在進行網路內容爬取時，應排除歐盟認定為持續且重複大規模商業侵犯著作權及相關權利之網站，即訓練資料的取得必須是合法。而且必須積極使用可識別並遵守機器人排除協議（Robot Exclusion Protocol, robots.txt）的技術，更應透過公開該等資訊、提供受影響權利人可在該等資訊更新時自動獲得通知的適當措施，使受影響之權利人能夠及時知悉所用網路爬蟲、所採尊重權利保留之措施。 雖然前揭美國法院案件正在進行審理，但顯然與歐盟的GPAI實踐準則及美國著作權局的合理使用立場[5]一樣，均不認同迴避權利保護施、自盜版網站取得的資料之情況。我國日前發生七法與法源公司之間的著作權訴訟，七法以網路爬蟲爬取法源公司於使用條款限制存取的資料，並非技術創新撞上不合時宜的舊有法律框架，而是創新應用仍應在合理保護權利的前提下進行。 歐盟GPAI實踐準則所揭示的政策制訂、尊重權利保留、積極防止侵權、提供有效且給予合理回應的問責管道等AIA合規要求，已提示GPAI的開發、服務提供，應如何透過公開、揭露措施來配套降低科技創新應用過程對既有權利的影響，也指引其應建立的內部管理與外部溝通重點。對於開發、運用GPAI對外提供服務的企業而言，在爭執訓練資料應有合法空間的同時，或許應該思考是否應先採取歐盟GPAI實踐準則所建議的措施，以尊重既有權利的態度，積極降低權利人的疑慮，始有助於形成互利的合法利用空間。 本文為資策會科法所創智中心完成之著作，非經同意或授權，不得為轉載、公開播送、公開傳輸、改作或重製等利用行為。 本文同步刊登於TIPS網站（https://www.tips.org.tw） [1]The European AI Office, The General-Purpose AI Code of Practice, https://digital-strategy.ec.europa.eu/en/policies/contents-code-gpai。(最後閱覽日：2025/07/21) [2]該條款要求將通用人工智慧模型投放於歐盟市場（Union market）之提供者，必須制定政策以遵守歐盟著作權及相關權利法規，特別是透過最先進之技術，識別並遵守權利人依據《第2019/790號指令》（Directive (EU) 2019/790）第4條第3項所表達之權利保留。 [3]指不接受其著作被用於文字與資料探勘目的之利用。 [4]Bartz et al. v. Anthropic PBC, No. 3:24-cv-05417-WHA, Doc. 231, (N.D. Cal. June 23, 2025)，https://cdn.arstechnica.net/wp-content/uploads/2025/06/Bartz-v-Anthropic-Order-on-Fair-Use-6-23-25.pdf。(最後閱覽日：2025/06/25) [5]劉家儀，美國著作權局發布AI著作權報告第三部分：生成式AI訓練－AI訓練是否構成合理使用？https://stli.iii.org.tw/article-detail.aspx?no=0&tp=1&d=9352。
日本公布資料管理框架，促進資料加值應用日本經濟產業省2022年4月8日公布「協調性資料加值運用之資料管理框架-透過確保資料可信度創造資料價值之新路徑」（協調的なデータ利活用に向けたデータマネジメント・フレームワーク～データによる価値創造の信頼性確保に向けた新たなアプローチ），提示確保資料可信度之方法。經濟產業省於2019年7月31日設立「第3層︰網路空間信賴性確保之安全對策檢討工作小組」（『第3層：サイバー空間におけるつながり』の信頼性確保に向けたセキュリティ対策検討タスクフォース」，以下簡稱工作小組），討論確保資料可信度之要件，以利資料在網路空間內自由流通，並藉由資料創造出新的附加價值。 工作小組為確保資料可信度，首先定義資料管理為「將資料屬性依據其所涉之法令或組織規章，以及因蒐集、處理、利用、移轉等活動而改變之過程，視為一個生命週期加以管理」，並認為資料管理會受到屬性（資料性質，如內容、揭露範圍、利用目的、資料管理主體、資料權利者等）、場域（針對資料之特定規範，如各國、地區法令、組織內部規定、組織間契約等）及事件（產生、改變及維持資料屬性之事件，如生產、蒐集、處理、移轉、提供、儲存、刪除）等三大要素影響，並據此建立資料管理模型。 工作小組期待藉由上述三大要素，依序透過讓資料處理流程（事件）處於容易被觀察的狀態、整理所涉及之相關規範（場域），以及判斷資料屬性等步驟，讓利害關係人之間可更容易進行資料共享及資料治理。
歐盟數位身分框架政策之相關推動措施概要歐盟數位身分框架政策之相關推動措施概要 資訊工業策進會科技法律研究所 2021年8月30日 歐盟執委會（European Commission）於2021年6月3日公布關於建立歐盟數位身分框架的第910/2014號規則修正案（Proposal for a REGULATION OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL amending Regulation （EU） No 910/2014 as regards establishing a framework for a European Digital Identity）[1]，規劃於2022年9月前提供歐盟境內人民數位身分證明之服務。 壹、事件摘要 為落實歐盟「2030數位羅盤」（2030 Digital Compass）政策，實現「公共服務數位化」之核心願景，歐盟推行數位身分框架，規劃於2030年前歐盟全境須有80%民眾使用電子身分證，以強化歐盟境內所有民眾（包括身心障礙人士）公共服務之近用權（right of access）。執委會於2021年6月3日公布的數位身分框架修正案，主要係就2014年通過的「歐盟內部市場電子交易之電子身分認證及信賴服務規則」（簡稱eIDAS規則[2]），依據該規則第49條，對其運作情形進行評估（An evaluation of the functioning of the eIDAS Regulation was conducted as part of the review process required by Article 49 of the eIDAS Regulation），同步考量技術、市場發展，針對當中不合時宜之規定為增修，並於2020年7月24日至10月2日進行公眾意見徵詢。 根據修正案內容，會員國必須提供公民和企業數位身分錢包（Digital Identity Wallet），此可透過會員國認可的公務機關或私人企業提供，錢包能夠將國家數位身分識別（national digital identities）與其他個人身分證明（例如駕照、證照、銀行帳戶）進行連結，使歐盟公民和企業能夠經由使用數位錢包來進行身分識別，以方便近用線上服務，例如請求公共服務、開設銀行帳戶、填寫納稅申報表、入住酒店，租車或年齡證明等。該數位身分將在整個歐盟範圍內得到認可，使用者亦可依意願自行決定是否使用此身分識別服務[3]。 貳、重點說明 eIDAS規則作為歐盟境內電子身分識別（identities）、認證（authentication）和網站憑證（website certification）跨境使用的法律基礎架構[4]，此次修正案旨在使各會員國的數位身分（eID）計畫於歐盟境內具互操作性（interoperable），以促進近用線上服務。重點內容如下： 一、會員國所發行歐洲數位身分錢包，須通過歐洲網路安全認證框架內的強制性合規評估（compulsory compliance assessment）和自願認證（voluntary certification）。 二、歐盟數位身分將供歐盟境內所有公民、居民、與企業使用，使用者得以利用數位身分作為識別與驗證其身分之有效工具，以方便近用歐盟之公共與私人數位服務。使用者另可控管其資料分享之廣泛度，意即得以自主決定是否與第三方分享特定個人資料，並可追蹤其資料之後續利用。 三、賦予個人電子身分證明（electronic attestations of attributes），如醫療證書或專業資格等電子證書的法律效力，並確保對源自個人身分資料和個人電子身分證明的身分驗證和真實來源驗證，以防止欺詐。 四、擴大跨境eID計畫的相互承認，降低各會員國於電子身分識別服務的差距；並加強信賴服務提供的整體監管框架，針對信賴服務提供商（trust service providers），新增為管理遠端電子簽章和封條（seal）產製設備（creation devices）所建立的新合格信賴服務（Qualified Trust Service, QTS）類型。 五、新增電子帳本（electronic ledgers）的信賴服務框架；電子帳本可為用戶提供交易和資料紀錄排序的證明和不可竄改的稽核軌跡（audit trail），能保障資料完整性。資料完整性對於匯集來自分散來源的資料、自主身分解決方案（self-sovereign identity solutions）、將所有權歸屬於數位資產與記錄業務流程等具備重要性，此有助實現更加去中心化（decentralized）的治理模式，並使多方合作成為可能。 六、於數位服務法案（Digital Services Act）中所定義的超大型線上平台（very large online platforms），將被要求透過歐洲數位身分錢包驗證其線上服務使用者身分。 參、事件評析 歐盟數位身分框架修正案，旨在解決 eIDAS 規則部分瑕疵，以順應市場動態和技術發展，包含承認電子身分證明、電子帳本之法律效力，擴增新合格信賴服務類型等，並作為歐盟建立數位身分認證政策的基礎規範，確保使用者於近用私人或公共服務時，可透過具高度安全和具信賴性的信賴服務進行身分識別。歐盟數位身分框架修正案目前於歐洲議會（European Parliament）內已送交產業、研究暨能源委員會（Industry, Research and Energy Committee, ITRE）進行審議[5]，值得持續追蹤其未來發展。 近來受新冠肺炎（COVID-19）保持社交距離影響，推動企業朝數位轉型發展；執行遠距辦公政策，亦加速使用電子文件、電子簽章等數位工具。而我國電子簽章法作為促進電子商務領域發展之重要規範，自2002年4月1日起正式施行後至今未為修訂，實務上已有衍生相關適用疑義。如電子簽章法有針對電子簽章和數位簽章為層級化分類，並對於數位簽章之技術有一定規範，惟未賦予相異之法律效力，使得其區分不具太大效益。建議可參酌eIDAS規則中，對於信賴服務提供者區分為不同層級規範，並給予經主管機關審核通過之合格信賴服務提供者，所提供的信賴服務具有更高的法律效力。 此外，我國欲推行數位身分證（New eID）政策，提供我國人民網路上身分識別之證明，連結政府骨幹網路（T-Road）串接各類電子政府服務，提升民眾近用公共服務的便利性，惟後續因安全性、法源依據等爭議而暫緩推行[6]。故建議我國相關主管機關可參酌歐盟數位身分框架修正案，考量因應科技革新、商業模式創新等要素，對於身分識別相關規範進行修正與更新，以促進電子化政府及電子商務之發展，提供更具安全與信賴性的身分認證法律框架。 [1] Proposal for a REGULATION OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL amending Regulation （EU） No 910/2014 as regards establishing a framework for a European Digital Identity, EUROPEAN COMMISSION, https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX%3A52021PC0281 (last visited Aug. 24, 2021). [2] Regulation (EU) No 910/2014 of the European Parliament and of the Council of 23 July 2014 on electronic identification and trust services for electronic transactions in the internal market and repealing Directive 1999/93/EC, https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=uriserv%3AOJ.L_.2014.257.01.0073.01.ENG (last visited Aug. 24, 2021). [3] Commission proposes a trusted and secure Digital Identity for all Europeans, EUROPEAN COMMISSION, https://ec.europa.eu/commission/presscorner/detail/en/IP_21_2663 (last visited Aug. 24, 2021). [4] 李姿瑩，〈歐盟eIDAS對國內電子簽章和身分認證規範之可能借鏡〉，《科技法律透析》，第31卷第11期，25-32頁，（2019年11月）；謝明均，簡介〈歐盟提供合格信任服務者依循標準建議〉，科技法律研究所，https://stli.iii.org.tw/article-detail.aspx?no=64&tp=1&d=8687（最後瀏覽日：2021/08/24）。 [5] REVISION OF THE EIDAS REGULATION – EUROPEAN DIGITAL IDENTITY （EUID）, EUROPEAN PARLIAMENT, https://www.europarl.europa.eu/legislative-train/theme-a-europe-fit-for-the-digital-age/file-eid (last visited Aug. 24, 2021). [6]〈暫緩數位身分證發行計畫 蘇揆:完善法制後再推動〉，行政院新聞傳播處，2021/01/21，https://www.ey.gov.tw/Page/9277F759E41CCD91/e80e55a2-0102-4031-b6d3-a7c40f4cac6a （最後瀏覽日：2021/08/24）。