美國紐約州通過「防止非法侵入與加強電子資料安全法案」
2019年7月25日，紐約州州長Andrew Cuomo簽署「防止非法侵入與加強電子資料安全法案」（S.5575B/A.5635/Stop Hacks and Improve Electronic Data Security Act, 又稱SHIELD Act），目的在讓處理消費者個人資料的企業承擔更嚴格的責任。其核心精神在於，一旦發生與資料外洩相關的安全漏洞時，能及時進行適當的通知。同時，修改紐約州現有的資料外洩通知法，擴大個資蒐集適用範圍、個資定義 (例生物特徵、電郵資訊等)及資料洩漏定義、更新企業或組織之通知程序、建立合於企業規模之資料安全要求。此外，如違反通知義務，將處以最高5千美元或每次（未履行通知義務）20美元 （上限25萬美元）的民事賠償。且美國司法部長（The Attorney General） 亦得以紐約人民名義，代為起訴未實施資料安全規畫的企業，並按紐約民事執行法與規則（The Civil Practice Law And Rules）第63條進行初步救濟，依法強制禁止侵害行為繼續發生。該法預計將於2020年3月1日生效。
當天州長亦簽署「身份盜用預防措施和緩解服務修正案」（A.2374/S.3582），新增資料外洩安全保護措施，要求消費者信用機構，提供受安全漏洞影響的消費者「身份盜用預防措施」（Identity Theft Prevention ）與「緩解服務」（Mitigation Services），為消費者制定長期最低度的保護手段。其要求信用機構，通知消費者將有關社會安全號碼的資料洩漏事件進行信用凍結，並提供消費者無償凍結其信用的權利。該法預計將於2019年10月23日生效，並且溯及既往適用該法案生效之日前三年內所發生之任何違反消費者信用安全的行為。
本文為「經濟部產業技術司科技專案成果」
- 數位海盜時代來臨–抵禦海上資安威脅的實踐與挑戰
- 零售業個資保護宣導暨座談會
- 零售業個資保護及資訊安全教育講習
- 零售業個資保護及資訊安全教育講習
- 零售業個資安全宣導暨安全維護計畫規劃說明會
- (已額滿)114年「企業營業秘密保護實務座談會」(北部場)–營業秘密因應數位環境之保護風險及管理對策
- 數位經濟時代的隱私保護與商機－CBPR跨境隱私規則體系解析
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(實體)
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(直播)
- 零售業個資安全宣導暨安全維護計畫說明會（高雄場）
- 零售業個資安全宣導暨安全維護計畫說明會（台中場）
- 【台北場1】通訊傳播事業個資法遵教育訓練
- 【台中場】通訊傳播事業個資法遵教育訓練
- 【新北場】通訊傳播事業個資法遵教育訓練
- 【高雄場】通訊傳播事業個資法遵教育訓練
- 【台北場2】通訊傳播事業個資法遵教育訓練
- 114年「企業營業秘密保護實務座談會」（南部場）
- 114年「企業營業秘密保護實務座談會」（中部場）
- 零售業個資法遵實務與資訊安全說明會
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 零售業個資法遵實務與資訊安全說明會（台中場）
江敔菲
副法律研究員 編譯整理
今年(2008)4月2-3號，歐洲化學品管理署(ECHA)下，為社會經濟分析(Socio-economic)目的所設置之委員會，於赫爾辛基(Helsinki)舉行了首次的會議。歐洲化學品管理署執行長Geert Dancet在其公開聲明中提到：「對社會經濟分析委員會(SEAC)之挑戰，是因其被REACH法規範所引用而產生；而此種模式，亦將成為歐盟化學物質立法制度下的一項新工具。其還強調，應同時平等地考量並兼顧到產業、環境及健康等三方面因素，並以前三項因素皆已臻衡平之方式來進行交易」。 此外，於REACH法規範下，該委員會於限制與管理流程上，亦扮演著重要角色。其將掮負起為該署準備關於：申請管理、限制措施建議案提出、以及其他在REACH法規範下與化學物質管理有關之立法措施所將可能導致歐洲社會經濟方面之影響與衝擊等問題，提出相關意見。而目前，就於化學品範圍內，對可能之立法措施未來所將產生的衝擊進行社會經濟面之評估而言，此舉，實為一新且未知的一塊領域。 此外，透過此次會議，除決定了該委員會日後運作之模式外，也達成共識ㄧ致認為：透過此種模式，將能夠保障委員會運作之透明性；同時，還一併能兼顧到它的獨立性，及相關資料的隱密性。目前，該運作模式將待歐洲化學品管理署董事會議正式審核通過後，即開始生效。最後，社會經濟分析委員會於2008年間規畫，擬將舉行兩次會議，而下一次的會議則已預定將於10月份召開。
日本施行「資金結算法」修正，承認比特幣具有財產價值，得作為交易的支付手段。日本2017年4月施行「資金結算法（資金決済法）」修正，正式承認虛擬貨幣作為支付工具，其本身得為買賣（與法定貨幣為交換），具有財產價值得以電子方式移轉之電子資訊，但是不等於法定貨幣。依據該法第2條第5項之定義規定，具有以下性質之財產價值者為虛擬貨幣：(1)對於不特定人，得作為代金支付之使用，而且與法定貨幣（日圓或美元等）得為互相交易；(2)以電子數位技術為紀錄與移轉；(3)非為法定貨幣或法定貨幣所成立之資產（預付卡等）。 2014年以東京為據點世界最大比特幣交易所Mt.Gox發生破產，導致鉅額比特幣消失事件，為了保護消費者與防止洗錢而為法律制度之整備。該法對於虛擬貨幣交易所為管制，(1)要求提供虛擬貨幣交易服務之交易所必須為登記（必須為股份有限公司以及資本額1000萬日圓以上）；(2)對於利用者必須為適切之資訊提供；(3)為了適切管理利用者財產，業者必須將利用者之財產及虛擬貨幣與自身之財產分離管理；(4)為了防制洗錢，交易時必須為本人確認；(5)對於交易所為日常業務監督，必須作成帳冊書類及報告書，並提出具有會計師或監察法人簽證稽核之報告書，管制機關得為進入檢查、行使業務改善命令等之監督權。今年9月底，有11家完成登記程序，12月4日有5家完成登記，共16家目前為登記合法之比特幣交易所。 近來日本大型家電量販店等已有承認比特幣等虛擬貨幣可以作為支付手段，其他承認虛擬貨幣作為支付手段的商店也漸漸增加中，虛擬貨幣與一般民眾的生活漸為結合。但是虛擬貨幣仍有其風險，從國民或消費者保護觀點，政府也在相關處所加入明顯警語，提醒民眾虛擬貨幣並非法定貨幣，國家不保證其價值，而且虛擬貨幣之價值，會因買賣或經濟狀況等會有價值波動情形。利用虛擬貨幣交換業者之服務時，應注意僅得以在金融廳登記有案之業者為對象，同時此等業者負有說明義務，對於利用者有提供虛擬貨幣相關機制之資訊（包含交易內容與手續費），利用者應先聽取後，再決定是否為交易。利用者對於虛擬貨幣交易經歷或戶頭餘額應隨時確認，而業者至少3個月一次有提供利用者交易紀錄與餘額資訊之義務。
低軌通訊衛星發展及應用之法制觀察低軌通訊衛星發展及應用之法制觀察 資訊工業策進會科技法律研究所 2022年04月25日 壹、事件摘要 隨著太空領域的技術突破，國際間主要國家已將焦點轉向太空場域，未來各類型太空商業活動及軍事性部署將大幅增加。低軌衛星（Low Earth Orbit Satellite）商業化發展趨勢最為明確[1]，其所涉及的法制規範受到高度關注，對於國家如何承擔作為太空活動主體的國家責任，尤其是太空物體發射活動之風險控管、損害賠償責任問題，以及善盡減少太空碎片之國際義務等；此外，較為成熟的低軌衛星通訊服務，國際業者如SpaceX、OneWeb正積極於全球部署，則通訊傳播監管規範宜如何調適，亦為觀察重點。 本文以低軌通訊衛星發展及應用為核心，爬梳相關法制，面向涵蓋從火箭發射階段至衛星營運階段，說明其間涉及的活動規範之法制發展重點，以及供應鏈安全管理的議題，以供我國法規調適之參考。 貳、重點說明 一、發射階段 在衛星發射階段，主要涉及之國際太空法[2]為《登記公約》及《責任公約》，締約國必須遵守公約規定並善盡監管責任，是以美國、英國及日本對太空活動皆有嚴謹的許可審查制度[3]。一般而言，發射階段的審查通常分為「發射載具」及「太空載具」兩種，前者著重技術安全性的審查，避免發射過程中對他人造成損害，因此火箭發射業者必須盡可能採取相關安全措施，讓風險降至最低，而國家的角色則是評估該發射活動落於可接受的風險後，始可同意其施行。後者對於太空載具的審查，除了人造衛星本身的安全性之外，尚須說明該衛星之用途及設計，如是否會供軍事使用、若有核能之使用是否安全、是否符合國際無線電頻率秩序，以避免於外太空中造成危害或干涉到其他的人造衛星等。 除了太空五大公約之外，隨著太空活動的增加，尚有其他參考準則之提出，如2007年聯合國大會決議通過「太空碎片減緩指引」（Space Debris Mitigation Guidelines），該指引為自律性參考文件，並不具有國際法的法律拘束力，其建議在任務規劃、設計、製造發射火箭之飛行任務，應將太空碎片減緩措施納入考量[4]。美國聯邦通訊委員會（Federal Communications Commission, FCC）亦有提出其「太空碎片緩解政策與法令遵循指導」，以避免大量的低軌通訊衛星在結束任務後成為太空垃圾[5]。 我國已於2021年5月31日立法通過《太空發展法》，該法參照國際太空法規範，建立國家行政管理之法制基礎，特別是《登記公約》之太空載具登錄及許可規範；以及《責任公約》之太空事故損害賠償責任及保險制度等。至於太空活動之侵權案件，國際太空法係以國家為主體，無論是作為求償國或是被求償國，我國如何參與國際爭端解決，將有待實務觀察。 二、營運階段 （一）國際頻率協調 通訊衛星使用的無線電及微波的頻段較寬，為了避免訊號干擾，係由國際電信聯盟（International Telecommunication Union, ITU）依據無線電規則（Radio Regulation），協助無線電頻率分配及跨國頻率協調。 我國非ITU會員國，過往實務係以折衷方式參與國際頻率協調，如中華電信之中新一號及中新二號，採取與新加坡電信合作模式，爭取衛星通訊之營運機會；而科研用途之衛星可循專為科學研究及實驗之特殊保留頻段，可透過ITU下非官方機構組成的太空頻率協調小組（Space Frequency Coordination Group, SFCG）協調國際間科研使用頻段；或是透過國際業餘無線電聯盟（International Amateur Radio Union, IARU），取得頻率協調證明文件。 惟對於商用通訊衛星，因其需要供商業使用之專用頻譜，並且排除他人之干擾，仍必須透過ITU與他國進行頻率協調交涉並完成使用登記，始可提供衛星通訊服務。 （二）衛星通訊服務涉及之法規調適 通訊傳播服務屬於高度監管的行業，業者必須遵循電信管理法規之要求，始可於境內提供服務。我國已新增10.7-12.7GHz、13.75-14.5GHz、17.7-20.2GHz及27.5-30.0GHz等頻段供衛星通訊使用[6]，惟申請人資格必須符合外資持股上限，即外國人直接持有股份總數不得超過49%，直接及間接持有股份總數不得超過60%[7]。法制政策上若欲放寬外資持股限制，則必須加以修法。另一途徑，國際衛星業者亦可透過具有衛星業務執照之國內業者代理申請，目前實務上中華電信已於2021年8月宣布與Starlink展開合作，可能協助代理Starlink的衛星通訊服務並在臺販售[8]。 之後衛星通訊服務的討論焦點可能會是「衛星間鏈路」（Inter Satellite Links, ISL）的應用，即允許資料在衛星之間傳輸及交換，無需再另外設置地面閘道站（gateway），而讓境內資料直接傳輸至外國。我國現行制度係外國業者在提交經營許可之申請時，自行承諾、遵守我國通訊監察之要求及義務。一旦衛星通訊服務盛行，是否會對國家主權之通傳監理產生挑戰，如通訊監察之資料調取協助義務、資料落地管理等，有待持續觀察[9]。 三、系統及零組件之資安管理 目前國際間僅有美國訂定衛星通訊之網路安全要求，惟其係針對軍事應用之衛星通訊，並非全面性之要求[10]。我國亦未對衛星的資通安全有相關的強制性規範，實務上衛星供應鏈業者主要是因應品牌商代工規格之要求，進行生產。是以，對於商用性低軌衛星通訊服務，現階段或許能參考5G行動通訊之共通適用原則，如供應鏈安全、資通安全維護計畫等。 參、事件評析 為了掌握太空產業商機，特別是現階段可預期的低軌通訊衛星的發展，我國相關的法制政策宜迎合產業需要，並促進各種太空活動的創新應用，以厚植人才與技術能量。 首先，在發射階段部分，我國《太空發展法》對於太空活動之監管與權利義務分配，已建立了法制基盤，本文認為後續細部的法制監管密度宜配合產業成熟程度加以定之。申言之，在初期發展過程，太空活動之監管似不宜課予過高的義務及責任，避免商業性太空活動之利害關係人望之卻步，建議以軟性方式，例如透過獎勵或輔導等途徑，促進業者符合太空碎片減量或其他環境保護之要求，待國內發射能量累積後，再採取拘束性規範並執行嚴格管理。 其次，在營運階段部分，國內產學界皆希望我國商業性太空活動能在國際間有所突破，惟受限於ITU國際頻率協調之困境，建議短期內宜推廣與外國合作的模式，政策上宜協助媒合國內設備元件業者與外國衛星所有者，以進入國際太空產業供應鏈。長期而言，商用衛星服務的經營仍需要透過ITU進行國際頻率協調，因此仍需動員外交力量，協助商用衛星拓展可行的頻率協調途徑。至於國際低軌衛星業者於我國落地提供服務部分，必須符合現行通傳法制規範，如取得公眾電信網路之使用核准、頻譜使用申請等，後續電信主管機關宜觀察ISL技術的使用情況、國際間對於衛星數據傳輸之要求，以及是否要求於境內設置閘道站等，以掌握對衛星網路之監管。 最後，在系統及零組件資安管理部分，由於國際間對於衛星網路技術標準仍在討論中，宜待國際間衛星資安標準形成，再據以制定相關規範。值得注意的是，衛星通訊網路為電信業之一環，屬於我國關鍵基礎設施領域並為《資通安全管理法》納管範圍，故其仍需遵守該法課予之高規格的安全標準，即衛星服務營運商應盡可能使用安全供應鏈及避免高風險設備，並從設計面納入資安考量。 [1] 低軌衛星係指佈署於低軌道之衛星，一般而言距離地球高度約160至2,000公里，相對於中軌道衛星、地球同步軌道衛星，低軌衛星離地球距離較近，因此傳輸延遲較短、功率耗損較少，進而可有效實現全球網路覆蓋。參考自楊可歆，〈低軌衛星於行動通訊業務之應用場景分析〉，MIC產業研究報告，2020/05/18， https://mic.iii.org.tw/aisp/Reports.aspx?id=CDOC20200507001 （最後瀏覽日：2022/03/31）。 [2] 目前國際太空法包括五大公約，分別為1967年《外太空條約》（Outer Space Treaty）、1967年《營救協定》（Rescue Agreement）、1971年《責任公約》（Liability Convention）、1974年《登記公約》（Registration Convention）及1979年《月球協定》（Moon Treaty）。 [3] 美國規範於《商業太空發射法》（Commercial Space Launch Act），可見於https://uscode.house.gov/view.xhtml?path=/prelim@title51/subtitle5/chapter509&edition=prelim （最後瀏覽日：2022/03/15）；英國規範於《外太空法》（Outer Space Act），可見於https://www.legislation.gov.uk/ukpga/1986/38/contents （最後瀏覽日：2022/03/15）；日本規範於《太空活動法》（宇宙活動法），可見於https://www8.cao.go.jp/space/english/activity/documents/space_activity_act.pdf （最後瀏覽日：2022/03/15）。 [4] UNOOSA, Space Debris Mitigation Guidelines of the Committee on the Peaceful Uses of Outer Space, 2010, https://www.unoosa.org/pdf/publications/st_space_49E.pdf (last visited Apr. 06, 2022). [5] FCC, Mitigation of Orbital Debris in the New Space Age, IB Docket No. 18-313, Apr. 02, 2020, https://docs.fcc.gov/public/attachments/DOC-363486A1.pdf (last visited Apr. 06, 2022). [6] 彭慧明，〈低軌衛星頻譜 6月開放申請〉，經濟日報，2022/03/24，https://udn.com/news/story/7240/6187130 （最後瀏覽日：2022/04/14）。 [7] 《電信管理法》第36條第4項及第5項 [8] 張瑞益，〈中華電、Starlink攜手合作 搶低軌道衛星商機〉，經濟日報，2021/08/30，https://udn.com/news/story/7240/5708752 （最後瀏覽日：2022/03/14）。 [9] Larry Press, Are Inter-Satellite Laser Links a Bug or a Feature of ISP Constellations?, CIRCLEID, Apr. 03, 2019, https://circleid.com/posts/20190403_inter_satellite_laser_links_bug_or_feature_of_isp_constellations/?fbclid=IwAR2iQEgPCm-ACC8kwvRaMDZPxCxLehHKvWvAn8tkr0njn8TubUTM_cLsIc4 (last visited Mar. 31, 2022). [10] 謝宜庭，〈美國白宮頒布有關於太空系統的網路安全原則《太空政策第5號指令》〉，資策會科技法律研究所，2021年4月，https://stli.iii.org.tw/article-detail.aspx?no=64&tp=1&d=8629 （最後瀏覽日：2022/03/14）。
Ofcom對市內用戶迴路接取批發市場發布管制措施並徵求各界意見固定通信網路（以下稱固網）寬頻、電話服務通常倚賴市內電話交換機（local telephony exchange）與住宅或商辦間的固網連接才得以運作，而在多數區域，這樣的連接服務僅由一或兩個實體網路業者所提供。有鑑於此，英國通訊管理局（The Office of Communications，Ofcom）遂對市內用戶迴路接取批發（wholesale local access, WLA）市場的規範發布三份諮詢文件，其目的除希望能促進光纖網路的投資外，也要保障消費者免於支付高額的使用費。 為了達成這樣的願景，Ofcom要求英國電信（British Telecom, BT）旗下提供WLA服務之子公司Openreach需允許寬頻競爭業者得以使用其網路銷售寬頻服務予人民或企業。Openreach提供數種傳輸速率的服務方案，並依不同方案對服務提供者收取不同的批發價格。根據Ofcom的分析結果，Openreach在高速寬頻服務（superfast broadband service）各項方案中，最具影響力的即為提供下載速率40Mbps/上傳速率10Mbps之服務方案。截至目前為止，受限於人民可選擇較便宜的寬頻服務當作替代方案，故BT對於服務方案價格的調漲有限。然而，這樣的限制隨著人們對網速的需求與連線品質的日益增加而日趨式微，Openreach顯然有足夠的誘因對服務方案的價格進行操作。因此，Ofcom責成Openreach需就其40/10Mbps之服務方案逐年調降向服務提供者收取之費用，由2017年的每年88.80英鎊至2020/21年降為每年52.77英鎊。藉由對服務提供者營運成本的逐年遞減，達到消費者服務使用費也隨之降低的目的；對40/10Mbps方案設下價格上限（price cap）的做法，長遠來看，也提供BT的競爭對手有投資建設其自有超高速網路（ultrafast network）的誘因。 此外，Ofcom對於WLA連線過程中，屬於Openreach維護範圍之故障排除或線路建置時間等服務品質（quality of service）的要求也更趨嚴格，包括： 於收到通知後1至2個工作天內完成93%的報修（現為80%）； 6至7個工作天內完成97%的報修； 於收到新線路建置通知後10個工作天內安排90%的新線路建置預約（現為12個工作天內安排80%的新線路建置預約）； 於Openreach與電信供應商協議之日期前完成95%的連線建置（現為90%）。以上要求皆需於2020/21年完全實現。 Ofcom這些管制措施是WLA market諮詢文件的一部份，確切施行期間為2018年4月至2021年3月，意見諮詢預計於2017年6月9日結束。Ofcom預計於2018年初發表其最終決定，而定調後的規範將於2018年4月生效。