美國加州「對話機器人揭露法案」
美國加州議會於2018年9月28日通過加州參議院之對話機器人揭露法案（Bots Disclosure Act, Senate Bill No. 1001）。此一法案於美國加州商業及專門職業法規（Business and Professions Code）第七部（Division）第三篇（Part）下增訂了第六章（Part）「機器人」乙章，擬防範「利用對話機器人誤導消費者其為真人同時並誤導消費者進行不公平交易」之商業模式，本法案將於2019年7月1日正式生效。依此法案，企業如有使用對話機器人，則應揭露此一事實，讓消費者知悉自己是在與對話機器人溝通。
美國加州對話機器人揭露法案對於「機器人」之定義為全自動化之線上帳戶，其所包含之貼文、活動實質上並非人類所形成。對於「線上」之定義為，任何公眾所可連結上之線上網站、網路應用軟體、數位軟體。對於「人類」之定義為自然人、有限公司、合夥、政府、團體等其他法律上組織或擬制人格。如業者使用對話機器人進行行銷、推銷時，有揭露其為對話機器人之事實，將不被認定違反對話機器人揭露法案，但揭露之手段必須明確、無含糊且合理可讓消費者知悉其所對話之對象為非人類之機器人。值得注意者為，美國加州對話機器人揭露法案，針對「美國本土造訪用戶群在過去12月間經常性達到每月10,000,000人」之網站，可排除此規定之限制。
本法案僅課予業者揭露義務，至於業者違反本法之法律效果，依本法案第17941條，需參照其他相關法規予以決定。例如違反本法案者，即可能被視為是違反美國加州民法揭露資訊之義務者而需擔負相關民事賠償責任。最後值得注意者為，本法案於第17941條針對「利用對話機器人誤導公民其為真人同時影響公民投票決定」之行為，亦納入規範，亦即選舉人如有利用對話機器人影響選舉結果而未揭露其利用對話機器人之事實時，依本條將被視為違法。
本文為「經濟部產業技術司科技專案成果」
王柏霳
法律研究員 編譯整理
英國人類生殖及胚胎學管理局（Human Fertilisation and Embryology Authority）的執照委員會（Licence Committee）於2016年1月14日更新（renew）了法蘭西斯克利克研究中心（Francis Crick Institute）所持有的研究執照。該項更新的內容，成為全球首例由政府核准的人類胚胎基因體編輯研究。 本次更新的執照，是針對標號R0162實驗計畫（research project）所簽發的。該計畫全名是「人類剩餘胚胎幹細胞之研究：人類胚胎幹細胞之培養、維持多能性之因子特性以及形成可移植組織所需的特殊分化」（Derivation of stem cells from human surplus embryos: the development of human embryonic stem cell (hES) cultures, characterisation of factor necessary for maintaining pluripotency and specific differentiation towards transplantable tissues），該計畫的執照是在2005年時核准，有效期限至2016年3月26日。本次申請更新主要的變動有二，一是將計畫全名中的「剩餘」（surplus）二字拿掉，一是在執照內新增基因體編輯的研究技術──「CRISPR/Cas9」，並計劃將其運用在人類胚胎之上。 審查由人類生殖及胚胎學管理局所屬的執照委員會負責，該委員會由四位委員組成，有兩位行政機關人員負責行政事務，並有一名來自民間律師事務所的法律顧問負責提供法律意見諮詢的服務。 在審查的過程中，委員會依據申請人提交的計畫以及兩份同儕審查（peer review）的意見，審查了該計畫對人類胚胎進行人體試驗的可行性、必要性及合法性等議題。委員會確認該計畫的研究目的符合相關法令的要求，亦遵守規定不會使胚胎、卵子或精子置入女性身體或使其發育超過14天，同時該研究並確實為研究人類胚胎發育上所必要，也嚴格限制了使用的數量。 委員會僅對於其基因體編輯技術上未取得研究倫理委員會（Research Ethics Committee）的同意一事有所疑慮。委員會認為申請人應先取得研究倫理委員會的同意，才可申請執照。申請人解釋研究倫理委員會要求申請人要先取得執照更新後才願意開始審理，並承諾在通過倫理委員會同意後，才會開始相關實驗。在法律顧問的建議下，委員會最終通過了本次執照的更新，但在執照上加註相關實驗需待取得研究倫理委員會同意，並通知人類生殖與胚胎學管理局後，才可以實施。 委員會最終決定核發有效期限3年的執照給予該研究機關，於有效期限內，該研究機構可以保存、利用、儲藏胚胎。
資通安全管理法之簡介與因應資通安全管理法之簡介與因應 資訊工業策進會科技法律研究所 2019年6月25日 壹、事件摘要 隨著網路科技的進步，伴隨著資安風險的提升，世界各國對於資安防護的意識逐漸升高，紛紛訂定相關之資安防護或因應措施。為提升國內整體之資通安全防護能量，我國於107年5月經立法院三讀通過「資通安全管理法」（以下簡稱資安法），並於同年6月6日經總統公布，期望藉由資通安全管理法制化，有效管理資通安全風險，以建構安全完善的數位環境。觀諸資通安全管理法共計23條條文外，另授權主管機關訂定「資通安全管理法施行細則」、「資通安全責任等級分級辦法」、「資通安全事件通報及應變辦法、「特定非公務機關資通安全維護計畫實施情形稽核辦法」、「資通安全情資分享辦法」及「公務機關所屬人員資通安全事項獎懲辦法」等六部子法，建置了我國資通安全管理之法制框架。然而，資安法及相關子法於108年1月1日實施後，各機關於適用上不免產生諸多疑義，故本文擬就我國資通安全管理法之規範重點為扼要說明，作為各機關遵法之參考建議。 貳、重點說明 一、規範對象 資安法所規範之對象，主要可分為公務機關及特定非公務機關。公務機關依資安法第3條第5款之定義，指依法行使公權力之中央、地方機關（構）或公法人，但不包含軍事機關及情報機關。故公務機關包含各級中央政府、直轄市、縣（市）政府機關、依公法設立之法人（如農田水利會[1]、行政法人[2]）、公立學校、公立醫院等，均屬公務機關之範疇。惟考量軍事及情報機關之任務性質特殊，故資安法排除軍事及情報機關之適用[3]。 特定非公務機關依資安法第3條第6款之規定，指關鍵基礎設施提供者、公營事業及政府捐助之財團法人。關鍵基礎設施提供者另依該法第16條第1項規定，須經中央目的事業主管機關於徵詢相關公務機關、民間團體、專家學者之意見後指定，報請行政院核定，並以書面通知受核定者。須注意者為該指定行為具行政處分之性質，如受指定之特定非公務機關對此不服，則可循行政救濟程序救濟之。目前各關鍵基礎設施領域，預計將於108年下半年陸續完成關鍵基礎設施提供者之指定程序[4]。 此外，政府捐助之財團法人，依該法第3條第9項之規定，指其營運及資金運用計畫應依預算法第41條第3項規定送立法院，及其年度預算書應依同條第4項規定送立法院審議之財團法人。故如為地方政府捐助之財團法人，則非屬資安法所稱特定非公務機關之範圍。公營事業之認定，則可參考公營事業移轉民營條例第3條之規定，指（一）各級政府獨資或合營者；（二）政府與人民合資經營，且政府資本超過百分之五十者；（三）政府與前二款公營事業或前二款公營事業投資於其他事業，其投資之資本合計超過該投資事業資本百分之五十者。目前公營事業如臺灣電力股份有限公司、中華郵政股份有限公司、臺灣自來水股份有限公司等均屬之。 二、責任內容 資安法之責任架構，可區分為「事前規劃」、「事中維運」及「事後改善」等三個階段，分述如下： （一）事前規劃 就事前規劃部分，資安法要求各公務機關及特定非公務機關均應先規劃及訂定「資通安全維護計畫」及「資通安全事件通報應變機制」，使各機關得據此落實相關之資安防護措施，各機關並應依據資通安全責任等級分級辦法之規定，依其重要性進行責任等級之分級，辦理分級辦法中所要求之應辦事項[5]，並將應辦事項納入安全維護計畫中。 此外，在機關所擁有之資通系統[6]部分，各機關如有自行或委外開發資通系統，尚應依據分級辦法就資通系統進行分級（分為高、中、普三級），並就系統之等級採取相應之防護基準措施，以高級為例，從7大構面中，共須採取75項控制措施。 （二）事中維運 事中維運部分，資安法要求各機關應定期提出資通安全維護計畫之實施情形，上級或中央目的事業主管機關並應定期進行各機關之實地稽核及資通安全演練作業。各機關如有發生資通安全事件，應於機關知悉資通安全事件發生時，於規定時間內[7]，依機關訂定之通報應變機制採取資通安全事件之通報及損害控制或復原措施，以避免資通安全事件之擴大。 （三）事後改善 在事後改善部分，如各機關發生資通安全事件或於稽核時發現缺失，則均應進行相關缺失之改善，提出改善報告，並應針對缺失進行追蹤評估，以確認缺失改善之情形。 三、情資分享 為使資通安全情資流通，並考量網路威脅可能來自於全球各地，資安法第8條規定主管機關應建立情資分享機制，進行情資之國際合作。情資分享義務原則於公務機關間，就特定非公務機關部分，為鼓勵公私間之協力合作，故規定特定非公務機關得與中央目的事業主管機關進行情資分享。 我國已於107年1月將政府資安資訊分享與分析中心（G-ISAC）調整提升至國家層級並更名為「國家資安資訊分享與分析中心」（National Information Sharing and Analysis Center, N-ISAC）。透過情資格式標準化與系統自動化之分享機制，提升情資分享之即時性、正確性及完整性，建立縱向與橫向跨領域之資安威脅與訊息交流，以達到情資迅速整合、即時分享及有效應用之目的[8]。 四、罰則 為使資安法之相關規範得以落實，資安法就公務機關部分，訂有公務機關所屬人員資通安全事項獎懲辦法以資適用。公務機關應依據獎懲辦法之內容，配合機關內部之人事考評規定訂定獎懲基準，而獎懲辦法適用之人員，除公務人員外，尚包含機關內部之約聘僱人員。就特定非公務機關部分，資安法則另訂有相關之罰則，針對未依資安法及相關規定辦理應辦事項之特定非公務機關，中央目的事業主管機關得令限期改正，並按情節處10萬至100萬元之罰鍰。惟就資通安全事件通報部分，因考量其影響範圍層面較廣，故規定特定非公務機關如未依規定進行通報，則可處以30萬元至500萬元之罰鍰。 參、事件評析 公務機關及特定非公務機關為落實資安法之相關規範，勢必投入相關之資源及人力，以符合資安法之要求。考量公務機關或特定非公務機關之資源有限，故建議可從目前組織內部所採用之個人資料保護或資訊安全管理措施進行盤點與接軌，以避免資源或相關措施重複建置，以下則列舉幾點建議： 一、風險評估與安全措施 資安法施行細則第6條要求安全維護計畫訂定風險評估、安全防護及控制措施機制，與個人資料保護法施行細則第12條要求建立個人資料風險評估及管理機制之規定相似，故各機關於適用上可協調內部之資安與隱私保護機制，共同擬訂單位內部之風險評估方式與管理措施規範。 二、通報應變措施 資安法第18條要求機關應訂定資通安全事件通報應變機制，而個人資料保護法第12條亦規定有向當事人通知之義務，兩者規定雖不盡相同，惟各機關於訂定通報應變機制上，可將兩者通報應變程序進行整合，以簡化通報流程。 三、委外管理監督 資安法第9條要求機關負有對於委外廠商之監管義務，個人資料保護法施行細則第8條亦訂有委託機關應對受託者為適當監督之規範。兩者規範監督之內容雖不同，惟均著重對於資料安全及隱私之保護，故各機關可從資料保護層面著手，訂定資安與個人資料保護共同之檢核項目，來進行委外廠商資格之檢視，並將資安法及個人資料保護法之相關要求分別納入委外合約中。 四、資料盤點及文件保存 資安法施行細則第6條要求於建置安全維護計畫時，須先進行內部之資產盤點及分級，而個人資料保護法施行細則第12條中，則要求機關須訂有使用記錄、軌跡資料及證據保存之安全措施。故各機關於資產盤點時，可建立內部共同之資料盤點清單及資料管理措施，並增加資料使用軌跡紀錄，建置符合資安與個人資料之資產盤點及文件軌跡保存機制。 [1] 參水利法第12條。 [2] 參中央行政機關組織基準法第37條。 [3] 軍事及情報機關依資通安全管理法施行細則第2條規定，軍事機關指國防部及其所屬機關（構）、部隊、學校；情報機關指國家情報工作法第3條第1項第1款（包含國家安全局、國防部軍事情報局、國防部電訊發展室、國防部軍事安全總隊）及第2項規定之機關。另須注意依國家情報工作法第3條第2項規定，行政院海岸巡防署、國防部政治作戰局、國防部憲兵指揮部、內政部警政署、內政部移民署及法務部調查局等機關（構），於其主管之有關國家情報事項範圍內，視同情報機關。 [4] 羅正漢，〈臺灣資通安全管理法上路一個月，行政院資安處公布實施現況〉，iThome, 2019/02/15，https://www.ithome.com.tw/news/128789 （最後瀏覽日：2019/5/13）。 [5] 公務機關及特定非公務機關之責任等級目前分為A、B、C、D、E等五級，各機關應依據其責任等級應從管理面、技術面及認知與訓練面向，辦理相應之事項。 [6] 資通系統之定義，依資通安全管理法第3條第1款之規定，指用以蒐集、控制、傳輸、儲存、流通、刪除資訊或對資訊為其他處理、使用或分享之系統。 [7] 公務機關及特定非公務機關於知悉資通安全事件後，應於1小時內依規定進行資通安全事件之通報；如為第一、二級資通安全事件，並應於知悉事件後72小時內完成損害控制或復原作業，第三、四級資通安全事件，則應於知悉事件後36小時內完成損害控制或復原作業。 [8] 〈國家資安資訊分享與分析中心(N-ISAC)〉，行政院國家資通安全會報技術服務中心，https://www.nccst.nat.gov.tw/NISAC（最後瀏覽日：2019/5/14）。
溫室氣體減量法草案出爐 新廠成本支出大增京都議定書已於二月正式生效，本年底將開始討論新興國家的管制措施，環保署預期，台灣最快將在二 ○ 一二年後，與其他新興工業國家並列為下一波管制對象。為了因應京都議定書未來的要求，我國已完成溫室氣體減量法的立法草案。未來政府將啟動總量管制的強制措施，明定溫室氣體總量管制等多項強制規範；並賦予經濟部可依法禁止或限制高耗能產業設置，或限制高碳類燃料輸入。惟未來新設工廠排放量必須列為企業總量管制的應削減量，雖然允許企業可與其他部門或不同產業類別交易排放量，但因成本支出大增，企業界認為影響投資意願而反彈聲浪甚大。 根據這項法案，一定規模以上的溫室氣體排放源，應採用最佳防制設施，新增溫室氣體排放量須列為實施總量管制後的「應削減量」，並作為環境影響評估審查通過承諾事項。也就是說，石化、鋼鐵等高耗能產業新設廠房、生產線時，依法必須使用高效能技術或設備，因而產生的溫室氣體量，亦必須在企業總排放量內進行削減。 惟這項規定，產業界認為向市場或向能源服務公司購買排放權，對新設工廠將大幅增加成本支出，影響投資意願，在環保署內審議時反彈聲浪甚大。由於產業界反彈甚大，環保署不但延後送出法案審議，同時考慮明定以「基限年」作為新設工廠是否須先在企業總量管制內削減，而基限年則視國際對新興國家管制動作而定。 法案並規定當國際規範我國溫室氣體應削減量時，啟動總量管制措施，企業必須依法削減既存的排放量，企業可與其他住宅或運輸部門交易，也可在同一產業類別或跨產業類別進行抵換或交易。如果總量管制仍無法達到減量目標時，將進一步實施碳稅新制。
美國商務部工業暨安全局公布「確保聯網車輛資通訊技術及服務供應鏈安全」法規預告.Pindent{text-indent: 2em;} .Noindent{margin-left: 2em;} .NoPindent{text-indent: 2em; margin-left: 2em;} .No2indent{margin-left: 3em;} .No2Pindent{text-indent: 2em; margin-left: 3em} .No3indent{margin-left: 4em;} .No3Pindent{text-indent: 2em; margin-left: 4em} 美國商務部工業暨安全局（Bureau of Industry and Security, BIS）於2024年9月23日公布「確保聯網車輛資通訊技術及服務供應鏈安全」（Securing the Information and Communications Technology and Services Supply Chain: Connected Vehicles）法規預告（Notice of Proposed Rulemaking, NPRM），旨在透過進口管制措施，保護美國聯網車供應鏈及使用安全，避免國家受到境外敵對勢力的威脅。 相較於BIS於2024年3月1日公布的法規制定預告（Advanced Notice of Proposed Rulemaking, ANPRM），NPRM明確指出受進口管制的國家為中國及俄國，並將聯網車輛資通訊技術及服務之定義，限縮於車載資通訊系統、自動駕駛系統及衛星或蜂巢式通訊系統，排除資訊洩漏風險較小的車載操作系統、駕駛輔助系統及電池管理系統。NPRM定義三種禁止交易型態：（1）禁止進口商將任何由中國或俄國擁有、控制或指揮的組織（下稱「中俄組織」）設計、開發、生產或供應（下稱「提供」）的車輛互聯系統（vehicle connectivity system, VCS）硬體進口至美國；（2）禁止聯網車製造商於美國進口或銷售含有中俄組織所提供的軟體之聯網整車；（3）禁止受中俄擁有、控制或指揮的製造商於美國銷售此類整車。 NPRM亦提出兩種例外授權的制度：在特定條件下，例如年產量少於1000輛車、每年行駛公共道路少於30天等，廠商無須事前通知BIS，即可進行交易，然而須保存相關合規證明文件；不符前述一般授權資格者，可申請特殊授權，根據國安風險進行個案審查。其審查重點包含外國干預、資料洩漏、遠端控制潛力等風險。此外，為提升供應鏈透明度並檢查合規性，BIS預計要求VCS硬體進口商及聯網車製造商，每年針對涉及外國利益的交易，提交符合性聲明，並附軟硬體物料清單（Bill of Materials, BOM）證明。BIS針對此規範是否有效且必要進行意見徵詢，值得我國持續關注。