美國《聯邦採購規則》（FAR）
2019年8月7日，美國總務署（General Services Administration, GSA）、國防部（Department of Defense, DoD）及航空暨太空總署（National Aeronautics and Space Administration, NASA）共同發布一項暫行規定（interim rule），依據2019美國《國防授權法》（National Defense Authorization Act, NDAA）修正美國《聯邦採購規則》（Federal Acquisition Regulation, FAR），以公共及國家安全為由，禁止美國聯邦機構購買或使用包括華為、中興通訊、海康威視、海能達及大華科技等5家中國大陸企業、子公司與關係企業所提供之電信或視頻監控設備及服務。禁令並擴及經美國國防部長與國家情報局局長或聯邦調查局局長協商後，合理認為屬特定國家地區所擁有或控制之實體，或與該國家地區的政府有聯繫者。該暫行規定已於2019年8月13日生效，美國政府有權為不存在安全威脅的承包商提供豁免直至2021年8月13日。並預計在2020年8月，全面禁止美國聯邦機構與使用該中國大陸企業設備與服務之公司簽訂契約。
2019美國《國防授權法》第889（a）（1）（A）條，明文禁止美國聯邦機構採購或使用特定企業所涵蓋之電信設備或服務，並禁止將該類產品作為設備、系統、服務或關鍵技術的實質或必要組成。本次修正美國《聯邦採購規則》，即配合新增第4.21小節「禁止特定電信和視頻監控服務或設備的承包」，並於52.204-25中明訂「禁止簽訂與特定電信和視頻監視服務或設備契約」。故除非有例外或豁免，禁止承包商提供任何涵蓋特定中國大陸企業之電信設備或服務，作為設備、系統、服務或關鍵技術的實質或必要組成部分。承包商及分包商必須在契約履行過程中，報告有無發現任何使用此類設備、系統或服務之情形。
本文為「經濟部產業技術司科技專案成果」
許祐寧
專案經理 編譯整理
GDPR跨國執法新程序帶來的變革 資訊工業策進會科技法律研究所 2025年12月10日 隨著2025年12月12日歐盟官方公報（Official Journal, OJ）正式發布《一般資料保護規則》（General Data Protection Regulation, GDPR）跨境執法補充程序規則[1]（Regulation (EU) 2025/2518），表彰歐盟立法者在協調GDPR跨境執法邁出關鍵的一步。新規則規範各成員國個資監管機關（Supervisory Authorities, SAs）於執行跨境GDPR投訴與進行案件調查的應遵守程序規則。 壹、立法背景 個資監管機關在其成員領土範圍享有管轄權，惟控制者或處理者於多成員國設立據點或處理資料時，各監管機關必須合作並共享決策，此種方式稱為一站式機制（one-stop-shop mechanism）。營運者主要據點的個資監管機關應負責協調監督任務，該主責之個資監管機關稱為主導監督機關（Lead Supervisory Authority, LSA），與此相對的個資監管機關被稱為相關監督機關（Supervisory Authorities Concerned, CSA），兩者需合作過程中交換相關資訊。此種合作模式偏向分散式執法，而導致個人救濟的遲延、如企業主要據點變更須移轉SA管轄權導致執法程序延宕等諸多功能性缺陷，減損GDPR希望達到的執法一致性[2]。 於此背景下，歐盟執委會（European Commission）便提出了一項補充性規則提案[3]，企圖提高各盟成員個資監管機關跨境執法效率與一致性。這項提案於2025年6月16日達成協議[4]，於2025年10月21日由歐盟議會（European Parliament）宣布通過最終文本，並後續於同年11月17日由歐盟理事會（Council of the European）正式宣布通過，於同年12月12日正式發布於歐盟官方公報（Official Journal, OJ）。 貳、重點概覽 一、 統一的申訴規則 新補充規範適用之前提涉及跨境執法，其具體適用範圍主要有兩類，其一是基於申訴之調查（complaint-based）；第二類是基於職權之調查（ex officio）。此外，涉及跨境處理之案件進行申訴處理與調查，亦包括判定該案件是否屬於跨境處理。 新補充規則進一步調整以往各國不協調的申訴受理標準，建構統一的跨國申訴受理標準。依據新補充規則，提起跨境資料處理的申訴案件，應包含： 1.申訴人之姓名與聯絡資訊； 2.有助於識別被申訴對象（資料控制者或處理者）的資訊； 3.涉及違反GDPR行為之描述。 除前述資訊外，不得要求提供其他額外資訊作為其可受理之要件。監管機關應於2周內評估申訴是否可受理，受理申訴之個資監管機關如認定該申訴未包含前述資訊，應於收到該申訴之兩週內，宣告其為不可受理，並將其理由告知申訴人。 二、程序保障－意見陳述與行政檔案的資訊近用 對於受調查的組織，新補充規則提供相對應的程序保障，以確保個資監管機關做出最終決定前，組織能有意見陳述的機會，也就是意見陳述權（The right to be heard）。 當主導監督機關（Lead Supervisory Authority, LSA）初步認為存在違反GDPR的行為時，必須先擬定「初步調查結果」（preliminary findings）給受調查組織。該初步調查結果必須包含事實、證據和法律評估，以及擬採取的糾正措施（例如罰款）。 初步調查結果通知後，受調查的組織有少至三週時間，至多有六週時間以書面回應或申請聽證。 陳述意見權的配套是對行政檔案之近用權，被調查當事人與申訴人均有權近用行政檔案，但須排除： 1.監管機關內部資訊； 2.商業機密或其他機密資訊。 三、提升案件決策效率的機制 目前對GDPR執法的常見批評之一是決策速度緩慢。新補充規引入較嚴格的決策期限限制和提高效率的機制。 （一） 決策期限 原則上，主導監管機關應於其管轄權獲確認之日起十五個月內提出決定草案；該期間僅得於例外情形下延長一次。 （二） 早期解決程序 引入一套機制來快速處理申訴。如果GDPR違法行為已得到糾正，且投申訴不成立，在申訴人不提出異議的情況下，個資監管機構得逕行結案。 （三） 簡化合作程序 對於「情節明確、無合理疑義」之案件，個資監管機關得選擇採行簡化之合作程序，以避免行政官僚程序所造成之延宕。 參、結語 跨境執法補充程序規則，旨在解決過去跨境個資案件中程序延宕、不一致等長期性問題。具體而言，其措施包含進一步細化申訴可受理標準、明確化調查程序的陳述意見權、行政檔案近用與商業機密保護並提高決策效率。 這套補充規則透過更詳細的規範，補足既有一站式機制的不足，有機會使跨境資料處理申訴案件能更有效率且同時以兼顧透明度與正當程序之方式獲得解決。 [1] Regulation (EU) 2025/2518, O.J. L, 2025/2518, 12.12.2025, https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=OJ:L_202502518 [2] European Parliament [EP], Newly proposed GDPR procedural rules: Improving efficiency and consistency 4(2024). [3] COM(2023)0348 – C9-0231/2023 – 2023/0202(COD). [4] European Council [EC], Data protection: Council and European Parliament reach deal to make cross-border GDPR enforcement work better for citizens, https://www.consilium.europa.eu/en/press/press-releases/2025/06/16/data-protection-council-and-european-parliament-reach-deal-to-make-cross-border-gdpr-enforcement-work-better-for-citizens/ (last visited Dec.8, 2025)
英國與美國為人工智慧安全共同開發簽署合作備忘錄英國技術大臣（U.K. Secretary of State for Science）蜜雪兒·多尼蘭（Michelle Donelan）和美國商務部長（U.S. Secretary of Commerce）吉娜·雷蒙多（Gina Raimondo）於2024年4月1日在華盛頓特區簽署一份合作備忘錄（MOU），雙方將共同開發先進人工智慧（frontier AI）模型及測試，成為首批就測試和評估人工智慧模型風險等進行正式合作之國家。 此備忘錄之簽署，是為履行2023年11月在英國的布萊切利公園（Bletchley Park）所舉行的首屆人工智慧安全峰會（AI Safety Summit）上之承諾，諸如先進AI的急速進步及濫用風險、開發者應負責任地測試和評估應採取之適當措施、重視國際合作和資訊共享之必要性等等，以此為基礎羅列出兩國政府將如何在人工智慧安全方面匯集技術知識、資訊和人才，並開展以下幾項聯合活動： 1.制定模型評估的共用框架（model evaluations），包括基礎方法（underpinning methodologies）、基礎設施（infrastructures）和流程（processes）。 2.對可公開近用模型執行至少一次聯合測試演習（joint testing exercise）。 3.在人工智慧安全技術研究方面進行合作，以推進先進人工智慧模型之國際科學知識，並促進人工智慧安全和技術政策的一致性。 4.讓英、美兩國安全研究所（AI Safety Institute）間的人員互相交流利用其團體知識。 5.在其活動範圍內，依據國家法律、法規和契約規定來相互共享資訊。 換言之，兩國的機構將共同制定人工智慧安全測試之國際標準，以及適用於先進人工智慧模型設計、開發、部署、使用之其他標準。確立一套通用人工智慧安全測試方法，並向其他合作夥伴分享該能力，以確保能夠有效應對這些風險。就如英國技術大臣蜜雪兒·多尼蘭強調的，確保人工智慧的安全發展是全球性問題，只有通過共同努力，我們才能面對技術所帶來的風險，並利用這項技術幫助人類過上更好的生活。
英國劍橋大學技術移轉機制－Cambridge Enterprise Limited Company之介紹 以Apple Pay服務捲入營業秘密糾紛案為例，提醒企業合作應留意的機密管控作法2025年8月6日，行動支付技術開發公司Fintiv向喬治亞州北區聯邦地方法院亞特蘭大分院控訴Apple科技公司以詐欺手段竊取Fintiv公司的前身公司CorFire的專屬行動支付技術，違反《保護營業秘密法》（Defend Trade Secrets Act，DTSA）及《喬治亞州營業秘密法》（Georgia Trade Secrets Act，GTSA）等規定，向法院尋求賠償。 Fintiv公司主張Apple公司在2011年至2012年間，以行動支付技術之業務合作為由，與CorFire公司進行多次技術性洽談。Apple公司利用雙方簽訂之保密契約，取得CorFire公司的行動支付技術的詳細實施方案之接觸權限，並要求CorFire公司上傳部分機密資料至Apple公司管理的共享平臺，以促進合作交流關係，最終Apple公司放棄與CorFire公司的合作計畫，Apple公司卻將協商期間所獲技術內容整合，並應用於其在2014年推出的Apple Pay行動支付服務。Fintiv公司進一步主張Apple公司為將Apple Pay商業化，與信用卡處理商及銀行組成企業聯盟，並隱瞞其非法取得技術的真相，宣稱Apple公司自主研發Apple Pay。Fintiv公司指出，Apple公司此舉不僅損害Fintiv公司的合法權益，也嚴重破壞市場競爭秩序。此外，Fintiv公司表示，Apple公司多年來有系統地採取類似策略，如以合作名義獲取其他企業之機密，進而不當使用多項機密以進行商業化使用。 觀察前述實務案例可得知，即使雙方基於保密契約交換機密資料，仍存在終止合作衍生的機密外洩糾紛，如：機密資料歸屬不清、逾越授權範圍使用機密資料等風險。建議企業在「資料提供前」，應先透過「盤點」營業秘密與機密「分級」，確認合適揭露的機密資料，再藉由「審查」機制確認必要揭露的內容；在「資料提供後」，要求他方提供機密資料之「收受證明」以明確歸屬，並在合作關係結束後，要求他方「聲明返還或銷毀機密資料」，以降低他方不當使用機密資料的風險。 前述建議之管理作法已為資策會科法所創意智財中心於2023年發布之「營業秘密保護管理規範」所涵蓋，企業如欲精進系統化的營業秘密管理作法，可以參考此規範。 本文為資策會科法所創智中心完成之著作，非經同意或授權，不得為轉載、公開播送、公開傳輸、改作或重製等利用行為。 本文同步刊登於TIPS網站（https://www.tips.org.tw）