美國參議院提出「2019年物聯網網路安全促進法」草案
自2016年Mirai殭屍網路攻擊事件後，物聯網設備安全成為美國國會主要關注對象之一，參議院於2017年曾提出「2017年物聯網網路安全促進法」（Internet of Things Cybersecurity Improvement Act of 2017）草案，防止美國政府部門購買有明顯網路安全性漏洞之聯網設備，並制定具體規範以保護聯網設施之網路安全，然而該法案最終並未交付委員會審議。
2019年4月，美國參議員Mark Warner提出「2019年物聯網網路安全促進法」草案（Internet of Things Cybersecurity Improvement Act of 2019），再度嘗試建立物聯網網路安全監管框架。本法將授權主管機關建立物聯網設備所應具備之安全性條件清單，而該清單將由美國國家標準與技術研究院（National Institute of Standards and Technology）擬定，並由管理與預算局（Office of Management and Budget, OMB）負責督導後續各聯邦機關導入由美國國家標準與技術研究院所制定之網路安全指引。本法草案相較於2017年的版本而言雖較具彈性，惟網路安全專家指出，清單之擬定與執行管理分別交由不同單位主責，未來可能導致規範無法被有效執行，且聯邦各層級單位所需具備之資安防護等級不盡相同，如何制宜亦係未來焦點。
本文為「經濟部產業技術司科技專案成果」
- 【高雄場】通訊傳播事業個資法遵教育訓練
- 【台北場2】通訊傳播事業個資法遵教育訓練
- 114年「企業營業秘密保護實務座談會」（南部場）
- 114年「企業營業秘密保護實務座談會」（中部場）
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
- 商業服務業個資管理與資訊安全實務宣導說明會（高雄場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台南場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台中場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台北場）※如遇颱風假延期至7/16
余和謙
法律研究員 編譯整理
美國白宮在2015年2月27日發布了「消費者隱私權法」（Consumer Privacy Bill of Rights Act）草案，目的在於擴大消費者資料的保護範圍。 該草案的重點分列如下： 透明性：受規範主體必須提供資訊主體簡潔、明顯、易懂的公告，公告內容必須提供簡潔、明瞭及即時的隱私與安全運作，包含資訊保存、揭露以及個人資料存取機制。 個人控制：受規範主體應該在合理範圍內提供機制，讓資料主體能控制其個人資料之處理，同時也規範應讓消費者撤銷個人資料使用的同意。 注重資料蒐集與合理使用：受規範的公司機構必須依據其清楚、合理的說明規則來進行個人資料的蒐集、保存與利用。同時，在資料蒐集之特定目的完成後的合理時間內，必須針對所蒐集的個人資料進行刪除或是去識別化。 安全性的維護：為了維護個人資料之安全性，以防止其遺失、陷入危險、改變以及未經授權之使用或是揭露，公司機構必須進行安全風險評估，並且採取合理的資訊安全防護措施。 存取與正確性：受規範的公司機構必須提供資訊主體合理的存取權利，同時也應該採取合理的步驟，來維護資料的正確性。 擔負隱私維護的責任：受規範的公司機構必須針對員工實施資安教育訓練、進行隱私評估、隱私設計、遵守隱私保護義務以及採取適當的措施來遵循本草案之規定。 不受本草案規範之公司機構： 25名員工以下的小型公司，且其處理者僅限於員工與求職者之個人資料。 未刻意蒐集、處理、使用、保存或揭露個人病史、原生國籍、性傾向、性別、宗教信仰、資產狀況、精確的位置資訊、獨一無二的生物識別資料或是社會安全號碼，並符合以下要件之一者： 在12個月內蒐集個人資料筆數在10,000筆下； 5名員工以下。 除了要求產業發展處理消費者資料的標準或規則，該草案也要求「聯邦貿易委員會」（Federal Trade Commission, FTC）確認產業所制定的標準或規則必須符合「消費者隱私權法」的規定，包括提供消費者有關其資料如何被收集、使用與分享的明確通知。如果進行消費者資料收集的公司機構違反了「消費者隱私權法」，將會面臨FTC或是州檢察長所發起的法律行動。 該草案引起了產業界極大的反彈，隱私團體也批評該草案太過寬鬆，留給產業界太多自由空間，同時目前國會由共和黨所主導，因此後續立法工作的進行將會面臨極大的挑戰。
線上遊戲「Second Life」大筆玩家資料外洩線上遊戲新奇的聲光效果與眾多同儕參與的凝聚感，吸引全球玩家爭先投入此一新興娛樂領域之際，遊戲本身的安全性卻也格外值得重視。知名的線上遊戲「 Second Life 」驚傳個人資料外洩事件，遊戲營運商「 Linden Lab 」 9 月 10 號發布公開聲明，表示「 Second Life 」遊戲伺服器於同月 6 日遭到駭客入侵，總計約有 65 萬名玩家的個人資料遭竊。 廣受全球玩家青睞的多人線上角色扮演遊戲（ Massive Multiplayer Online Role Playing Game ； MMORPG ）「 Second Life 」採取全然的 3D 介面（ three-dimensional ），遊戲當中所有的虛擬物件，包括角色、道具與各式各樣的配件均由個別玩家設計與創造，玩家可在遊戲中從事虛擬土地及建築物的買賣並賺取遊戲虛擬貨幣（ Linden Dollars ）；玩家亦可將遊戲中獲取的虛擬貨幣於真實社會中進行現金交易。 營運商「 Linden Lab 」表示，此次駭客係利用「 Zero-Day Exploit 」技術滲透遊戲伺服器，外洩的個人資料包括了玩家姓名、住址、帳號密碼及其信用卡卡號等。 Linden Lab 除已要求所有的玩家立即更改密碼，並將在遊戲的部落格（ blog ）中提供新的安全方案。
Sandoz藥廠和Momenta藥廠將支付1.2億美金和解反托拉斯訴訟諾華（Novartis）旗下學名藥廠山德士（Sandoz）和美國學名藥廠Momenta，同意支付1.2億美金，使涉及其暢銷救命藥Enoxaparin之反托拉斯集體訴訟達成和解。本案原告為非營利醫院Nashville綜合醫院和紐約州公務員工會醫療計畫組織DC 37，於2014年美國田納西中區聯邦地方法院起訴。根據訴訟文件提到，Enoxaparin原是訴外人賽諾菲（Sanofi-Aventis）以Lovenox為品牌名販售的抗凝血劑，用於預防和治療深部靜脈血栓、肺栓塞及急性冠心症等症狀，2010年Momenta證明其學名藥Enoxaparin和Lovenox具相同療效，申請簡易新藥上市（Abbreviated New Drug Application，ANDA）獲准。 原告指稱2008年Momenta欺瞞美國藥典委員會（United States Pharmacopeial Convention，USP），使其開發之Enoxaparin檢測方法，成為美國食品藥品監督管理局（U.S. Food and Drug Administration，FDA）指定的檢測方法之一，但在此過程中未向藥典委員會揭露自己正為該檢測方法申請專利。隔年Momenta之檢測方法取得專利（No.7,575,886），因該檢測方法無法迴避，故其它欲生產Enoxaparin的學名藥廠皆可能侵害該專利，而難以進入市場。又Momenta和山德士早在2003年就簽有合作協議，Momenta將該專利授權給山德士，共同創造一個壟斷的學名藥市場，以抬高售價賺取暴利。 未來和解金將用於賠償醫院、保險公司、為員工支付醫療費用的公司，及田納西州其它29區受山德士和Momenta反競爭行為影響的人們。 「本文同步刊登於TIPS網站（https://www.tips.org.tw）」
英國通訊局Ofcom公布網路電話VOIP之新規範過去一年相關的VOIP服務以及對VOIP的需求大大的升高，產業也預估在今年底，英國將有超過三百萬的使用者。因此，Ofcom在2007年3月29日宣布了一項管制VOIP服務業者之新規範。該法將確保消費者取得使用VOIP服務該有的重要資訊，所有的服務業者也應從2007年6月起遵守相關對於消費者保護的相關要求。 這些規定包括業者應對消費者清楚解釋：一、服務內容是否包含緊急服務；二、該服務倚賴家用電源的程度；三、服務內容是否包含電話黃頁；四、如果消費者欲移轉業者，原有號碼是否可攜。如果消費者選擇的是沒有提供緊急電話或者倚賴外接電源的VOIP服務，該法也要求業者確保消費者在消費時，能確實瞭解選購VOIP服務之該項限制（例如在包裝盒外標記號）；透過在設備上貼實體標籤、抑或在電腦螢幕上顯示該項資訊；並在消費者每次嘗試撥打緊急電話時，宣告不提供緊急電話服務之聲明。 隨著VOIP使用者以及市場的不斷成長，Ofcom也將持續不斷檢視VOIP服務的相關規範，以期符合消費者的最大利益。