美國《雲端法》（CLOUD Act）
美國《雲端法》（CLOUD Act），全名為《釐清境外合法利用資料法》（Clarifying Lawful Overseas Use of Data Act），於2018年3月23日頒布生效，該法更新《1986年儲存通訊紀錄法》（Stored Communications Act of 1986），並釐清海外資料合法取得：無論資料儲存地在美國境內或境外，美國執法機構均可合法請求通訊紀錄的保存或揭露。
《雲端法》有兩大重點：首先，《雲端法》授權美國與其他值得信賴的國家進行雙邊協議，以取得重大犯罪之電子證據。其他國家必須擁有相應的完善法規、隱私、公民權利之保護，方具備與美國簽署雙邊協議的資格。透過雙邊協議，締約雙方可憑對方國家的搜索票等法律文件，直接對通訊服務提供者強制執行。其二，《雲端法》闡明美國與相當多國家長久以來的原則─假設一間公司在特定國家的司法管轄權範圍內，則其所產生的資料應接受該國的管制，資料儲存地為何，在所不問。
《雲端法》的立法背景可以追溯到2013年美國聯邦調查局（Federal Bureau of Investigation, FBI）進行緝毒受阻。當時，涉案美國公民的電子郵件存於微軟境外伺服器，FBI持有搜索令，但是微軟以《1986年儲存通訊紀錄法》管轄範圍不及於美國境外為由，拒絕提供系爭電子郵件。2016年聯邦第二巡迴上訴法院於Microsoft Corp. v. United States判決微軟勝訴─美國政府不得強制取得境外伺服器資料。然而，此訴訟存在相當多爭議，復有2018年《雲端法》之制定，微軟亦對《雲端法》表示支持。《雲端法》通過時，最高法院尚未做出判決；最終，最高法院於2018年4月17日撤銷Microsoft Corp. v. United States。2019年4月10日，美國司法部發布雲端法白皮書，匯集刑事和國家安全專業的律師之意見，並回答常見的問題，希望提升全球的公共安全、隱私及法治。
本文為「經濟部產業技術司科技專案成果」
- 零售業個資法遵實務與資訊安全說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 零售業個資法遵實務與資訊安全說明會（台中場）
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
- 【上午場】探索科技法律最前線：資策會科法所「114年成果」分享會暨簡報票選
- 【下午場】探索科技法律最前線：資策會科法所「114年成果」分享會暨簡報票選
- 商業服務業個資管理與資訊安全實務宣導說明會（高雄場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台南場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台中場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台北場）※如遇颱風假延期至7/16
- 【北部場1】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場2】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場3】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場4】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【南部場】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【中部場】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 美國聯網車監管制度與合規實務說明會
朱翊瑄
法律研究員 編譯整理
世界智慧財產權組織（World Intellectual Property Organization, WIPO）於2020年12月7日發布2020年世界智慧財產權指標報告（World Intellectual Property Indicators 2020, WIPI 2020）。WIPI年度報告蒐研分析150個國家及地區的智財統計資料，作為商務人士、投資者、學界和創業家參考指標。該份報告顯示，全球的商標與設計專利的申請活動成長約5.9%和1.3%，然而受到了中國專利申請量下降的影響，2019年全球專利申請下降3%，這也是近10年來首度下降；若扣除中國不計，2019年全球專利申請數量成長2.3%。 該份報告除了彙整國際整體數據以外，依專利、商標、工業設計、植物品種、地理標示等不同主題分別統計。在專利部分，中國大陸國家知識產權局、美國專利商標局分別為收到專利申請提交數量之前兩名；接續為日本、韓國和歐盟。這五大智財當局合計占全球總數之84.7%。其中韓國、歐盟和美國申請數量均有成長，中國大陸申請數量下降達9.2%，亦為中國大陸24年來首度下降，報告說明其因為中國大陸改善申請案結構和申請品質之故，致中國大陸國內公民之申請量減少10.8%，而國外申請量仍保持成長。 另外在商標部分，受理申請數量最多之前六個國家分別為中國、美國、日本和伊朗和歐盟；而2018年到2019年間受理申請增加幅度最多者為巴西、越南、伊朗、俄國和土耳其。據估計，2019年全球有效商標註冊量為5820萬，較2018年成長15.2%，且中國就囊括約2520萬，其次為美國的280萬和印度的200萬。針對中國大陸商標和專利申請數量為世界之冠，引起全球關注，美國專利商標局（USPTO）亦在2021年1月13日發布研究報告，指出中國大陸商標和專利申請案數量可能源自政府補貼或其他非市場因素的影響；其中又以政府補貼為刺激商標與專利申請案件數增長的最大可能原因。而這些非市場因素的商標及專利申請案件可能誤導世界對中國大陸創新能力的評估。 在工業設計（Industrial designs）方面，2019年全球提交136萬件設計專利申請，其中104萬件為工業設計；而中國大陸的工業設計申請量就囊括約71萬件。若以類型區分，和家具有關的設計專利比例為全球9.4%，其次是服裝（8.1%）以及包裝和容器（7.3%）。植物品種（Plant varieties）部分，中國大陸智財當局於2019年收到了7834種植物新品種申請，較2018年成長36%，同時也占全球植物品種申請的三分之一以上。地理標示（Geographical indications）部分，截至2019年和葡萄酒及烈酒有關的地理標示約為全球地理標示的56.6%，其次是農產品／食品（34.2%）和手工藝品（3.5%）。
愛爾蘭資料保護委員會發布《控制者資料安全指引》，提供資料控制者關於個人資料安全措施之依循指引愛爾蘭資料保護委員會（Ireland's Data Protection Commission）於今（2020）年2月公布控制者資料安全指引（Guidance for Controllers on Data Security），愛爾蘭資料保護委員會表示本指引亦適用於資料處理者。指引內針對17個面向說明控制者於資料處理時應考量之安全措施，分別為：（1）資料蒐集與留存政策（Data Collection and Retention Policies）；（2）存取控制（Access Controls）；（3）螢幕保護程式（Automatic Screen Savers）；（4）加密（Encryption）；（5）防毒軟體（Anti-Virus Software）；（6）防火牆（Firewalls）（7）程式修補更新（Software Patching）；（8）遠端存取（Remote Access）；（9）無線網路（Wireless Networks）；（10）可攜式設備（Portable Devices）；（11）檔案日誌及軌跡紀錄（Logs and Audit Trails）；（12）備份系統（Back-Up Systems）；（13）事故應變計畫（Incident Response Plans）；（14）設備汰除（Disposal of Equipment）；（15）實體安全（Physical Security）；（16）人為因素（The Human Factor）；（17）認證（Certification）。 此外，愛爾蘭資料保護委員會還強調，歐盟一般資料保護規則（General Data Protection Regulation, GDPR）第25條與第32條有關資料控制者之義務，可透過「從設計與預設機制著手資料保護（Data protection by design and by default）」，與適當的技術及組織措施等方式，並考量現有技術、執行成本、處理之本質、範圍、脈絡及目的與對當事人權利及自由之風險可能性與嚴重性等因素，以確保其安全措施符合相應資料風險之安全等級。 最後，愛爾蘭資料保護委員會表示資料控制者更應確保其組織內員工瞭解該等安全措施並確實遵守，資料控制者應於制定其資料安全政策時考量到本指引所列各項目，以履行其保護資料安全之義務。
G7發布金融機關因應勒索軟體危脅之基礎要點由於近年來勒索軟體對國際金融帶來重大影響，七大工業國組織G7成立網路專家小組CEG（Cyber Expert Group），並於2022年10月13日訂定了「金融機關因應勒索軟體危脅之基礎要點」（Fundamental Elements of Ransomware Resilience for the Financial Sector），本份要點是為因應勒索軟體所帶來之危脅，提供金融機關高標準之因應對策，並期望結合G7全體成員國已施行之政策辦法、業界指南以及最佳之實踐成果，建立處置應變之基礎，加強國際金融的韌性。該份要點內容著重於民營之金融機關（private sector financial entities），或關鍵之第三方提供商（critical third party providers），因其本身有遵守反洗錢和反恐怖主義之融資義務，但也可依要點訂定之原意，在減少自身受到勒索軟體之損害上，或在處置與應變上有更多的彈性。而日本金融廳於2022年10月21日公布該份要點之官方翻譯版本，要點所提列之重點如下： 1.網路安全策略與框架（Cybersecurity Strategy and Framework）： 將因應勒索軟體威脅之措施，列入金融機關整體的網路安全策略與框架之中。 2.治理（Governance）： 支付贖金本身可能於法不容許，也可能違背國家政策或業界基準，金融機關須在事件發生前，檢視相關法規，並針對潛在的被制裁風險進行評估。 3.風險及控制評估（Risk and Control Assessment）： 針對勒索軟體之風險，應建立控制評估機制並實踐之。因此可要求金融機關簽訂保險契約，填補勒索軟體造成的損害。 4.監控（Monitoring）： 針對潛在的勒索軟體，金融機關有監控其活動進而發現隱藏風險之義務，並向執法與資通安全機關提供該惡意行為之相關資訊。 5.因應處置、回覆（Response）： 遭遇勒索軟體攻擊之事件，就其處置措施，須依原訂定之計劃落實。 6.復原（Recovery）： 遭遇勒索軟體攻擊之事件，將受損之機能復原，須有明確的程序並加以落實。 7.資訊共享（Information Sharing）： 須與組織內外之利害關係人共享勒索軟體之事件內容、資訊以及知識。 8.持續精進（Continuous Learning）： 藉由過往之攻擊事件獲取知識，以提高應變勒索軟體之能力，建立完善的交易環境。 此要點並非強制規範，因此不具拘束力，且整合了2016年G7所公布的「G7網路安全文件之要素」（G7 Fundamental Elements of Cybersecurity document）之內容。綜上述CEG所提列重點，針對我國金融機關在抵禦網路攻擊之議題上，應如何完善資安體制，與日本後續因應勒索軟體之政策，皆值得作為借鏡與觀察。