Facebook粉絲專頁管理者是否負有保護用戶個資隱私之控制者（Data Controller）責任
2018年6月5日歐盟法院針對Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein v Wirtschaftsakademie Schleswig-Holstein GmbH訴訟進行先訴裁定，擴大解釋《資料保護指令》（Directive 95/46/EC）之「資料控制者」範圍，認為Facebook和粉絲專頁管理者皆負有保護訪客資料安全的責任。由於「資料控制者」定義在《資料保護指令》與《一般資料保護規則》（GDPR）相同，因此裁定將影響未來使用社群媒體服務和平台頁面的個資保護責任。
本案起因德國Schleswig-Holstein邦獨立資料保護中心要求 Wirtschaftsakademie教育服務公司在Facebook經營之粉絲專頁必須停用，其理由認為Facebook和Wirtschaftsakademie進行之Cookie資料蒐集、處理活動並未通知粉絲成員且因此從中獲利，然Wirtschaftsakademie認為並未委託Facebook處理粉絲成員個資，當局應直接對Facebook要求禁止蒐集處理。歐盟法院認為Wirtschaftsakademie使用Facebook所提供之平台從中受益，即使未實際擁有任何個資，仍被視為負共同責任（jointly responsible）的資料控制者，應依具體個案評估每個資料控制者責任程度。
在原《資料保護指令》並未有「資料控制者需負共同責任」之規定，本案擴大解釋資料控制者範圍，對照現行GDPR屬於第26條「共同控制者」之規範主體，然而本案將資料控制者擴張到未實際處理資料之粉絲專頁管理者，是否過於嚴格？且未來如何劃分責任與義務，皆有待觀察。
林玉書
法律研究員 編譯整理
為建構政府雲發展的妥適環境，美國於今年度啟動「聯邦風險與認可管理計畫」（Federal Risk and Authorization Management Program, FedRAMP），由國家技術標準局（National Institute of Standards and Technology, NIST）、公共服務行政部(General Service Administration)、資訊長聯席會(CIO Council)及其他關連私部門團體、NGO及學者代表共同組成的跨部會團隊，針對外部服務提供者提供政府部門IT共享的情形，建構一個共同授權與持續監督機制。在歷經18個月的討論後，於今（2010）年11月提出「政府雲端資訊安全與認可評估」提案（Proposed Security Assessment & Authorization for U.S Government Cloud Computing），現正公開徵詢公眾意見。 在FedRAMP計畫中，首欲解決公部門應用雲端運算所衍伸的安全性認可問題，因此，其將研議出一套跨部門共通性風險管理程序。尤其是公部門導入雲端應用服務，終究會歸結到委外服務的管理，因此本計劃的進行，是希望能夠讓各部門透過一個機制，無論在雲端運算的應用及外部服務提供之衡量上，皆能依循跨機關的共通資訊安全評定流程，使聯邦資訊安全要求能夠協調應用，並強化風險管理及逐步達成效率化以節省管理成本。 而在上述「政府雲端資訊安全與認可評估」文件中，可分為三個重要範疇。在雲端運算安全資訊安全基準的部份，主要是以NIST Special Publication 800-535中的資訊安全控制項作為基礎；並依據資訊系統所處理、儲存與傳輸的聯邦資訊的敏感性與重要性，區分影響等級。另一部份，則著重在持續性的系統監控，主要是判定所部署的資訊安全控制，能否在不斷變動的環境中持續有效運作。最後，則是針對聯邦資訊共享架構，出示模範管理模式、方策與責任分配體系。
協助中小企業因應國際綠色產品輔導措施自 92 年歐盟公告「廢電機及電子設備指令」（ WEEE ）及「電機及電子設備使用某些危害物質限制指令」（ RoHS ）以來，國際大廠紛紛制訂各種綠色採購標準以要求供應鏈體系符合無毒性、可回收及省能源的目標。回顧 94 年台灣電機電子產品輸歐出口值為新台幣 2,334.27 億元，影響廠商家數為 31189 家，因此這兩項指令執行之後，對台灣產業的衝擊影響甚鉅。 為協助國內中小企業因應歐盟 RoHS 指令之執行，經濟部中小企業處自 93 年起即已開始進行相關輔導工作，解決中小企業在面對綠色採購要求所遭遇之問題，如：法規環境、客戶要求、管理制度、人力資源等，藉由綠色供應鏈輔導，提升中小企業對綠色產品的認知，塑造優質而有效率的綠色供應鏈環境，以強化中小企業綠色競爭力。 隨著歐盟指令的推行已逐漸從資訊產品等 3C 大廠擴散到小型家電、玩具運動器材及電動工具等中小型企業規模，因此經濟部中小企業處將持續辦理輔導中小企業進入綠色材料與供應鏈體系，以及清查限用物質診斷、成立網路顧問團提供諮詢、綠色材料及供應鏈人才培訓、建立綠色供應鏈稽核訓練系統、示範觀摩及成果擴散等工作。 綠色產品趨勢已是不可擋的潮流，隨著今年 7 月 1 日 RoHS 指令的執行，及後續 EuP 、 REACH 、 … 等一連串綠色指令法規要求，對我國企業是一波波嚴酷的挑戰，需要政府投入更多的資源，繼續協助企業符合客戶綠色採購要求，將環保貿易障礙轉換成企業發展的新契機，開發拓展綠色產品的商機，以提升我國企業之綠色競爭力。
美國對於聯網環境中「關鍵基礎設施」之資訊安全議題展開行動面對境外網路安全的風險，美國歐巴馬總統於2013年2月12日，正式簽署「改善關鍵基礎設施之網路安全」行政命令（Executive Order 13636–Improving Critical Infrastructure Cyber security），據該行政命令第二款，將「關鍵基礎設施」定義為，「對於美國至關重要，而當其無法運作或遭受損害時，將削弱國家安全、經濟穩定、公共健康或安全之有形或虛擬系統或資產」，遂採取相對廣義之解釋。該行政命令第七款，亦指示美國商務部「國家標準技術研究所」（National Institute of Standard and Technology, NIST），將研議ㄧ個提升關鍵基礎設施資通訊安全之架構（Framework to Improve Critical Infrastructure Cybersecurity），將美國聯邦憲法所保障的企業商業機密、個人隱私權和公民自由等法益納入考量。 針對關鍵基礎設施引發重要之法制議題，美國副司法部長Mr. James M. Cole表示，由於關鍵基礎設施影響所及者，乃人民在法律下的權益，公部門政府將在該項議題上與私部門共同合作（partnership），且未來將研議通過立法途徑（legislation），將隱私權和公民權保護（the incorporation of privacy and civil liberties safeguards）納入關鍵基礎設施資通訊安全法制之全盤考量，相關趨勢殊值注意。
美國高速公路運輸安全局（NHTSA）發佈針對車輛對車輛間溝通的研究報告國家高速公路運輸安全局（NHTSA）發佈即將針對車輛與車輛間通訊訂立規則的訊息，以管理車對車之間（V2V）通訊技術，V2V技術最主要著眼在於避免碰撞，根據調查百分之94的車禍事故都有人為因素牽涉其中，V2V技術可以讓車輛有效的認知碰撞的情況與潛在威脅。V2V技術仰賴的是鄰近車輛之間的通訊溝通並交換訊息，以警告駕駛潛在的導致碰撞安全威脅，例如：V2V可以警告駕駛前車正在煞停，所以候車必須隨之減速以免碰撞，或是警告駕駛在經過十字路口的時候處於不安全的情況，因為有一輛看不見的車輛正以高速朝路口靠近。V2V通訊技術使用精密的短距離通訊技術以交換車與車子之間的基本訊息，諸如：位置、速度、方向已決定是否要警告駕駛以避免碰撞。本項規則制訂的提案可謂是數十年來NHTSA與各部門間合作努力的成果，包含汽車產業界、各州運輸交通部門、學術機構以建立共識的標準。NHTSA的提案當中規制運用在所有輕型車輛V2V技術使用無線電傳輸協定與光譜頻寬總稱為精密短距通訊技術（DSRC）。這項立法規制要求所有的車輛都應該要透過標準化技術講共同的語言，並且要求所有車輛均要納入安全與隱私保護的措施。本次即將管制的車輛包括一般轎車、多功能車（MPV）、卡車、公車，車輛在4536公斤以下的車輛未來必須配備V2V的通訊系統。 ●交換資訊部分 僅交換基本安全訊息，其中包含車輛的動態訊息諸如行進方向、速度、位置。這些基本的安全訊息每秒交換高達10次，裝有V2V裝置的車輛將保留這些訊息，去評判是否有碰撞的威脅。如果系統覺得有必要，將立即發出訊息警告駕駛採取必要措施避免立即碰撞。 ●V2V未來可能應用 ■十字路口動態輔助：車輛進入十字路口前，如果會發生碰撞會加以警示。 ■左轉輔助：駕駛一旦左轉會撞上來車的時候，特別在於駕駛視線被擋住的情況下，會加以警示。 ■警急電子煞車燈：同方向行進車輛，前車忽然減速的情況下，V2V技術可以允許使經過透視前車的情況下，知道駕駛目前正在減速，所以可以針對視線外的急煞車預先因應。 ■前端碰撞警示：前端碰撞警示將警告駕駛即將到來的撞擊，避免撞擊前車。 ■盲點警示與變換車道警示：車輛變換車道的時候系統將警告位於盲點區域的車輛即將靠近，避免在變換車道的時候發生碰撞。 ■超車警示：警告駕駛超車並不安全，因為對向車道正有車輛往此方向前進。 ●面對網路攻擊 ■設計訊息認證方案，確保交換訊息時的安全性。 ■每一項交換的訊息均會經過偵測避免惡意攻擊。 ■惡意攻擊的回報機制：諸如身份錯誤配置的訊息、惡意車輛阻擋V2V訊息。 ●隱私保護 在設計最初期即導入V2V僅允許分享蒐集通用的安全資訊，對於個人或其他車輛的資訊不能加以蒐集與傳輸。 目前NHTSA將針對本項提案蒐集公眾意見（預計將進行九十天），並審核公眾所提交意見是否可行，在發佈最終的規則。