美國《雲端法》（CLOUD Act）
美國《雲端法》（CLOUD Act），全名為《釐清境外合法利用資料法》（Clarifying Lawful Overseas Use of Data Act），於2018年3月23日頒布生效，該法更新《1986年儲存通訊紀錄法》（Stored Communications Act of 1986），並釐清海外資料合法取得：無論資料儲存地在美國境內或境外，美國執法機構均可合法請求通訊紀錄的保存或揭露。
《雲端法》有兩大重點：首先，《雲端法》授權美國與其他值得信賴的國家進行雙邊協議，以取得重大犯罪之電子證據。其他國家必須擁有相應的完善法規、隱私、公民權利之保護，方具備與美國簽署雙邊協議的資格。透過雙邊協議，締約雙方可憑對方國家的搜索票等法律文件，直接對通訊服務提供者強制執行。其二，《雲端法》闡明美國與相當多國家長久以來的原則─假設一間公司在特定國家的司法管轄權範圍內，則其所產生的資料應接受該國的管制，資料儲存地為何，在所不問。
《雲端法》的立法背景可以追溯到2013年美國聯邦調查局（Federal Bureau of Investigation, FBI）進行緝毒受阻。當時，涉案美國公民的電子郵件存於微軟境外伺服器，FBI持有搜索令，但是微軟以《1986年儲存通訊紀錄法》管轄範圍不及於美國境外為由，拒絕提供系爭電子郵件。2016年聯邦第二巡迴上訴法院於Microsoft Corp. v. United States判決微軟勝訴─美國政府不得強制取得境外伺服器資料。然而，此訴訟存在相當多爭議，復有2018年《雲端法》之制定，微軟亦對《雲端法》表示支持。《雲端法》通過時，最高法院尚未做出判決；最終，最高法院於2018年4月17日撤銷Microsoft Corp. v. United States。2019年4月10日，美國司法部發布雲端法白皮書，匯集刑事和國家安全專業的律師之意見，並回答常見的問題，希望提升全球的公共安全、隱私及法治。
本文為「經濟部產業技術司科技專案成果」
- 【台北場2】通訊傳播事業個資法遵教育訓練
- 114年「企業營業秘密保護實務座談會」（南部場）
- 114年「企業營業秘密保護實務座談會」（中部場）
- 零售業個資法遵實務與資訊安全說明會
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 零售業個資法遵實務與資訊安全說明會（台中場）
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
- 【上午場】探索科技法律最前線：資策會科法所「114年成果」分享會暨簡報票選
- 【下午場】探索科技法律最前線：資策會科法所「114年成果」分享會暨簡報票選
- 商業服務業個資管理與資訊安全實務宣導說明會（高雄場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台南場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台中場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台北場）※如遇颱風假延期至7/16
- 【北部場1】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場2】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場3】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場4】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【南部場】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【中部場】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
朱翊瑄
法律研究員 編譯整理
歐盟資料保護監督機關（European Data Protection Supervisor, EDPS）於2019年12月19日發布「評估限制隱私權和個人資料保護基本權利措施之比例指引」（EDPS Guidelines on assessing the proportionality of measures that limit the fundamental rights to privacy and to the protection of personal data），旨在協助決策者更易於進行隱私友善（privacy-friendly）之決策，評估其所擬議之措施是否符合「歐盟基本權利憲章」（Charter of Fundamental Rights of the European Union）關於隱私權和個人資料之保護。 該指引分為三大部分，首先說明指引的目的與如何使用；第二部分為法律說明，依據歐盟基本權利憲章第8條所保護個人資料的基本權利，並非絕對之權利，得於符合憲章第52條（1）之規定下加以限制，因此涉及處理個人資料的任何擬議措施，應進行比例檢驗；指引的第三部份則具體說明決策者應如何評估擬議措施之必要性和比例性之兩階段檢驗： 必要性檢驗（necessity test） （1） 步驟1：初步對於擬議措施與目的為詳細的事實描述（detailed factual description）。 （2） 步驟2：確定擬議措施是否限制隱私保護或其他權利。 （3） 步驟3：定義擬議措施之目的（objective of the measure），評估其必要性。 （4） 步驟4：特定領域的必要性測試，尤其是該措施應有效（effective）且侵害最小（the least intrusive）。 若前述評估認為符合必要性，則接續比例性檢驗，透過以下4步驟評估： 比例性檢驗（proportionality test） （1） 步驟1：評估目的正當性（legitimacy），擬議措施是否滿足並達到該目的。 （2） 步驟2：擬議措施對隱私和資料保護基本權的範圍、程度與強度（scope, extent and intensity）之影響評估。 （3） 步驟3：繼續進行擬議措施之公平對等評估（fair balance evaluation）。 （4） 步驟4：分析有關擬議措施比例之結果。 科技時代的決策者在立法和政策擬定時，面臨的問題愈趨複雜，需要全面性評估，擬議措施限制應符合歐盟法規，且具必要性並合於比例，隱私保護更是關鍵，參酌該指引搭配EDPS於2017年發布之「必要性工具包」（Necessity Toolkit），將使決策者所做出的決策充分保護基本權利。
強化AI安全防線：八國連署AI與機器學習供應鏈風險管理指南日本國家網路安全辦公室（国家サイバー統括室）於2026年3月5日，代表日本連署了「AI、機器學習供應鏈風險與緩和措施」（Artificial intelligence and machine learning Supply chain risks and mitigations）之國際文書（下稱本文書），並公布本文書內容。本文書是由隸屬於澳洲訊號局（Australian Signals Directorate，簡稱ASD）之澳洲網路安全中心（Australian Cyber Security Centre，簡稱ACSC）主導訂定，主要針對有導入或開發 AI、機器學習系統與元件等需求的組織，揭示其可能存在供應鏈風險與提升整體網路安全之重要性，並就AI開發或採購階段，組織應留意相關風險與可採行之緩和措施。有關連署國家，除了日本與澳洲以外，也包括加拿大、紐西蘭、韓國、新加坡、英國與美國等共八個國家皆已完成連署。 本文書內容強調組織於管理 AI、機器學習等風險時，應將 AI 供應鏈視為整體網路安全戰略的一環，同時評估產品或服務之整體生命週期風險，不應著重於單一技術，而是組織需要掌握整體供應鏈的全貌，包括特定關係事業者、活用AIBOM（AI物料清單，主要用來記錄AI模型相關資產與資訊，提供快速定位與管控AI問題模型功能）或SBOM（軟體物料清單，主要記錄軟體相依元件，用於漏洞管理與供應鏈透明度）、意識到是否已針對AI、機器學習系統可能帶來的風險，進行漏洞管理，以及針對AI、機器學習系統所導致之網路安全事件建立應處機制等。 本文書將AI、機器學習供應鏈風險大致區分為五類：AI 數據、機器學習模型、AI 軟體、AI 基礎設施（含硬體），以及第三方服務，本文書指出AI、機器學習應用於供應鏈時可能產生之風險，其中包括數據品質不良、資料受竄改、模型遭植入惡意程式碼、軟體元件複雜導致難以保證其安全、硬體與韌體擴大攻擊面，以及導入第三方服務致使供應鏈產生弱點等。 此外，本文書也針對各類風險提出可行的因應方法，例如： 1.數據面：需做標準化搜集、外部資料檢疫、資料前處理與完整性驗證。 2.模型面：需從可信來源取得透明模型，實施性能驗證與惡意程式偵測。 3.軟體面：需做完整性驗證、元件審核，並透過 SBOM 掌握已知弱點。 4.硬體面：需確認設備無惡意內容，並在網路中適當分區。 5.第三方服務面：需持續評估與監控供應商的資安實務與脆弱性管理。 總結來說，日本已意識到國家網路安全治理下，針對AI、機器學習的安全，不單是模型安全，而是涉及整體性供應鏈安全。日本藉由與他國連署國際文書，不僅強化國際合作，同時建立供應鏈網路安全共識，因應AI對於國家供應鏈之網路安全挑戰，從資料、模型、軟體、硬體到第三方服務等視角提出具體因應方法，作為全面提升國家整體網路安全環境之參考指引。日本透過強化與他國合作，提升國家網路安全治理之作法，值得我國未來借鏡參考。
美國紐約州通過《政府自動化決策監督法》規範州政府使用自動化決策系統紐約州州長於2024年12月21日簽署《政府自動化決策監督法》（Legislative Oversight of Automated Decision-making in Government Act, LOADinG Act），用以規範紐約州政府使用人工智慧自動決策系統的方式以及相關義務，成為美國第一個通過這類法律的州。 該法所定義之「自動化決策系統」係指任何使用演算法、計算模型或人工智慧技術，或其組合的軟體，用於自動化、支援或取代人類決策；這類系統亦包括應用預定義規則或機器學習演算法進行資料分析，並在自動產生結論、建議、結果、假設、預測。 針對政府使用自動化決策系統之情形，《政府自動化決策監督法》有三大重點：人類監督、影響評估以及資訊揭露。 一、人類監督 州政府在提供社會福利資源或其他可能實質影響人民權益與法定權利的業務時，除非是在「有意義的人工審查」下進行操作，否則不得使用自動化決策系統。同時，此法也強調，州政府亦應確保其員工現有權利不會受到自動化決策系統的影響，例如不得因此受到解雇、調職或減薪等。 前述有意義的人工審查，係指對自動化決策流程進行審查、監督及控制的工作人員，必須是受過訓練、對該系統有一定之了解且擁有權力干預、變更系統最終決策的人。 二、影響評估 州政府如欲使用自動化決策系統，應進行影響評估且每兩年應至少重新評估一次；系統在進行重大更新前，也應重新進行影響評估。若評估發現系統產生歧視性或有偏見的結果，機關必須停止使用該系統及其生成的資訊。 影響評估的項目除了性能、演算法及訓練資料外，亦應進行準確性、公平性、偏差歧視、以及個人資料安全等相關測試。 三、資訊揭露 影響評估需在系統實施前至少30天提交給州長與州議會，並在相關機關的網站上公布；僅機關在特殊情況下（例如涉及公共安全考量），州政府可針對報告揭露之資訊進行必要的刪改，但必須說明做出此決定的原因。此外，州政府亦需於本法通過後向州議會提交報告，說明包括系統描述、供應商資訊、使用開始日期、用途、人類決策的支持或取代情況、已進行的影響評估摘要等。 本法強調對人工智慧技術的審慎應用，特別關注其對勞工權益的影響。該法明確規定，禁止在無人類監督的情況下，使用自動化系統進行失業救濟或育兒補助等福利的審核決策，並保障州政府員工不因人工智慧的實施而減少工作時間或職責。此類規定在現行立法中較為罕見，顯示出立法者對勞工權益的高度重視。該法的實施效果及影響，值得未來持續保持關注。
巴西通過網際網路公民權法案2014年3月25日，巴西下議院通過編號2126/2011號法案，稱為網際網路公民權力法案（Marco Civil da Internet），是國際少見針對網際網路基本權利的立法例。該法律包含網際網路使用者權利、網路服務業者（ISP）責任、保障網際網路言論自由、保障隱私權、資料所有權及網際網路的普及化。 在數個月前，美國國家安全局被揭露監控全球網路流量的作法，引起國際間的軒然大波。許多國家均表達對於美國侵害其隱私及資訊安全，感到非常不滿。巴西政府自2011年以來，便逐步推動網路網路基本權利保障之立法，經過多年的程序，終於完成此次具代表意義的立法。該法律的規範對象涵蓋使用網際網路之個人、政府及企業，主要目的在保障網際網路的開放性、可接取集中立性。其主要規範重點在言論自由、網路中立性、隱私及個資保護、網路中介者責任等四部分。 在基本言論自由部分，該法律承諾保障言論及表達的自由，促進網路企業的競爭，維護公民使用網際網路的權利，促進網路服務的普及化；在網路中立性方面，則規範ISP不得對於網路內容及應用之傳輸有差別待遇，除非基於安全或技術支援的情形，而ISP進行差別待遇時，必須告知使用者；而在個人資料及隱私保護上，除了配合巴西既有的個資法處理資料收集、分析、處理及利用外，尚規範資訊保存與資訊所有權，對於ISP所保留有關使用者的資訊，除明訂各種隱私資料的保存期限外，也規範必須經過法院授權才能加以調閱，使用者對其資料也擁有所有權，ISP對於使用者資料必須嚴格保密；最後則是網路中介機構的責任，當發現網路上有侵害著作權之傳輸行為時，必須透過法院授權，ISP業者才能加以阻斷或刪除，而相對的，ISP業者只要遵守法院授權，便無需為網路上的侵權行為負擔連帶賠償責任，避免了業者因為用戶的侵權行為而連帶受到賠償責任。 巴西本次制訂的網際網路法律在國際上相對少見，例如其中的網路中立性規範也是屬於國際上少數將網路中立性加以明文規範的國家，對於網際網路上自由的維護可以說是非常的具有示範性。目前，國際上針對網際網路的規範模式也一直爭執未定，加強管制或放鬆管制的聲音也不斷的拉鋸，此次巴西的創新立法也可說相當具有參考性。