澳洲發布「健康隱私指引」以降低健康資料之隱私風險
澳洲隱私保護辦公室(Office of the Australian Information Commissioner, OAIC)於2019年9月發布「健康隱私指引」（Guide to health privacy）協助健康服務提供者了解及實踐相關規範所制定之隱私義務以確保個人資料安全。依據1988年澳洲隱私法（Privacy Act 1988）規定，健康服務指所有評估、維持、改善或管理個人健康狀況；或是診斷、治療或紀錄個人疾病或健康狀況之行為。而健康服務提供者除了醫院及醫療人員，更包含其他專業人員例如健身房及減肥診所、私立學校及托兒所、遠端醫療服務等所有涉及健康資料並提供健康服務之單位及人員。由於澳洲隱私法要求服務提供者必須積極建立、實施及維護隱私合法處理程序，為了協助所有健康服務提供者確實遵守法定義務，以減少健康資料之隱私風險問題，OAIC制定「健康隱私指引」提出八大步驟要求健康服務提供者確保遵守義務並保障所持有之個人資料：
- 制定並實施隱私管理計畫，確保遵守澳洲隱私原則（Australian Privacy Principles, APPs）。
- 制定明確的責任制以進行隱私管理，並及時提供員工幫助與指導。
- 建立個人資料檔案紀錄，以確認持有之個人資料。
- 了解法律規範之隱私義務並實施法定流程以履行義務。
- 定期舉辦員工隱私培訓課程以強化團隊基礎知識。
- 建立隱私權政策並於網頁上呈現或是提供手冊說明相關內容。
- 保護所持有之資料不被濫用、遺失或未經授權的修改及揭露等。
- 制定資料外洩因應措施，針對資料外洩進行危機處理。
- 零售業個資安全宣導暨安全維護計畫規劃說明會
- 數位經濟時代的隱私保護與商機－CBPR跨境隱私規則體系解析
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(實體)
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(直播)
- 零售業個資安全宣導暨安全維護計畫說明會（高雄場）
- 零售業個資安全宣導暨安全維護計畫說明會（台中場）
- 【台北場1】通訊傳播事業個資法遵教育訓練
- 【台中場】通訊傳播事業個資法遵教育訓練
- 【新北場】通訊傳播事業個資法遵教育訓練
- 【高雄場】通訊傳播事業個資法遵教育訓練
- 【台北場2】通訊傳播事業個資法遵教育訓練
- 零售業個資法遵實務與資訊安全說明會
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 零售業個資法遵實務與資訊安全說明會（台中場）
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
- 【上午場】探索科技法律最前線：資策會科法所「114年成果」分享會暨簡報票選
- 【下午場】探索科技法律最前線：資策會科法所「114年成果」分享會暨簡報票選
智慧財產權盡職調查（Intellectual Property Due Diligence, IP DD），又稱智慧財產權稽核（IP Audits）。所謂盡職調查（Due Diligence, DD）係指：即將進入投資或購買交易前，投資者或其委託人透過事實證據所進行與投資或購買相關的評估。評估內容包含公司結構、財務狀況、業務、稅務、人力資源等，亦涵蓋有形資產與無形資產。其主要目的在於釐清該投資或購買是否存在潛在的法律風險。隨智慧財產權的概念愈來愈成熟，智慧財產權盡職調查也益發重要。智慧財產權盡職調查的內容常會包含：財產權（如：註冊地域、質押或保全情形）、授權或轉授權限制、申請之時期、優先權效期、爭議或訴訟（如：是否存在專利權無效之風險）。智慧財產權盡職調查的資料蒐集方式除了調閱智慧財產權申請記錄（file wrapper）、保密契約、授權文件，常見調查方式亦包含訪談重要員工和審閱發明人的僱傭契約。 假若沒有善盡智慧財產權盡職調查，很可能會後續引發潛藏的風險，諸如：估值錯誤、交易可能會因為未提前排除繁冗細節而遲延進而影響投資人意願、可能會導致必須重新談判，最嚴重可能必須放棄整個交易。未善盡智慧財產權盡職調查著名的實例是蘋果（Apple）與唯冠的iPad商標爭議。2006年蘋果策畫平板電腦並希望以iPad為名，台灣的唯冠集團早在2000年起於多國註冊iPad電腦商標。2009年蘋果透過英國子公司以3.5萬英鎊收購唯冠的iPad全球商標，並於2010年推出iPad。因為蘋果的智慧財產權盡職調查疏漏，而未發現iPad於中國大陸之商標權屬於深圳唯冠公司而非台灣唯冠，所以不能進入中國大陸市場。最後，蘋果與深圳唯冠以6,000萬美元鉅額和解。從iPad案可窺知智慧財產權盡職調查之重要性。
印度宣布將推出數位印度法案取代過時的資訊科技法印度電子及資訊科技部（Ministry of Electronics and Information Technology, MeitY）於2023年3月展開了一次公開諮詢和協商，介紹了印度政府以創建印度數位技術生態系統為目的而建構的法律新框架，該框架以《數位印度法案》（Digital India Act）為核心，用來取代已有22年歷史的《資訊科技法》（Information Technology Act）。MeitY強調，現行資訊科技法的創立時代背景中不僅缺乏電子商務、社交媒體平台等現代網路服務，甚至印度還未進入數位化時代，因此有必要進行通盤的法規調整，以符合當代和未來的社會變遷和對法規範的需求。 目前《數位印度法案》的草案細節尚未公布，但是MeitY的介紹揭露印度在未來政策中所重視的幾個方向： 1.新的中介類別：重新定義數位經濟產業中的中介機構類別（如數位媒體、搜尋引擎、遊戲、人工智慧、OTT平台、電信服務業者……等），並依據未來的技術發展及產業轉型，適時的調整新的分類。 2.網路犯罪刑事化：將網路犯罪（如網路色情、詐騙、霸凌、身分冒用或未經授權散播個人資料）歸類為刑事犯罪；過去的資訊科技法僅對此類行為予以罰款。 3.問責機制：建立一個線上的民刑事檢舉、審判機構，並且提供方便使用者採取權利救濟措施的線上管道；另外印度政府也將涉及演算法透明度（algorithmic transparency）、人工智慧的定期風險評估（periodic risk assessments）等評估機制納入監管項目的考量中。以建立網路用戶的權利救濟措施及數位服務者提供服務過程中的責任釐清。 4.防壟斷機制：提出開放網路（Open Internet）的概念，認為網路服務應該是具有選擇性的、容許競爭的、多樣性的，在確保網路服務的多樣性和非歧視性及非壟斷性的前提下運作；印度政府希望能夠監理佔有主導地位的廣告平台和應用程式平台，防止市場力量過度集中造成壟斷。 5.年齡門檻：對於未成年人在社交平台、遊戲和賭博程式中的資訊蒐集、資訊安全和隱私保護加以規範，並且避免以鎖定未成年人為對象的資料蒐集機制。 除了以上五點外，MeitY在介紹《數位印度法案》時也表示為了應對現今數位化時代的發展，並且確保公民的權利保障延伸到數位世界中，將承認被遺忘權（right to be forgotten）、不受歧視權（right against discrimination）和數位繼承權（right to digital inheritance）等數位時代中發展出來的權利。另外，將「推動公私部門及個人於使用數位資訊時的相關規範」以及「保護個人資料的資料保護法案」等議題做為評量指標，以做為規劃印度國家數位治理時的重要考量。這些方針都揭示了印度正在試圖踏上更有規模、更安全且可信賴的數位生態系統建置之路，《數位印度法案》的相關發展細節值得再持續關注。
歐盟資料保護工作小組修正通過個人資料侵害通報指引歐盟資料保護工作小組修正通過「個人資料侵害通報指引」 資訊工業策進會科技法律研究所 法律研究員 李哲明 2018年3月31日 壹、事件摘要 因應歐盟「通用資料保護規則」（The General Data Protection Regulation，或有譯為一般資料保護規則，下簡稱GDPR）執法即將上路，針對個人資料侵害之通報義務，歐盟資料保護工作小組（Article 29 Data Protection Working Party, WP29）特於本（2018）年2月6日修正通過「個人資料侵害通報指引」（Guidelines on Personal data breach notification under Regulation 2016/679），其中就GDPR所規範個資侵害之定義、對監管機關之通報、與個資當事人之溝通、風險及高風險評估、當責與紀錄保存及其他法律文件所規定之通報義務等，均設有詳盡說明與事例。 貳、重點說明 一、何謂個資侵害？個資侵害區分為哪些種類？ 依據GDPR第4條（12）之定義，個資侵害係指：「個人資料因安全性之侵害所導致意外或非法之毀損、喪失、修改、未經授權之揭露、存取、個資傳輸、儲存或其他處理。」舉例來說，個人資料之喪失包括含有控制者（controller）顧客資料庫的備份設備之遺失或遭竊取。另一例子則為整份個資的唯一檔案遭勒索軟體加密，或經控制者加密，但其金鑰已滅失。依據資訊安全三原則，個資侵害之種類區分為： 機密性侵害（Confidentiality breach）：未經授權、意外揭露或獲取個人資料。 完整性侵害（Integrity breach）：未經授權或意外竄改個人資料。 可用性侵害（Availability breach）：在意外或未經授權之情況下，遺失個人資料存取權限或資料遭銷燬。 二、何時應為通知？ 按GDPR第33條（1）之規定，當個資侵害發生時，在如果可行之情況下，控制者應即時（不得無故拖延）於知悉侵害時起72小時內，依第55條之規定，將個資侵害情事通報監管機關。但個資侵害不會對自然人之權利和自由造成風險者，不在此限。倘未能於72小時內通報監管機關者，應敘明遲延之事由。 三、控制者「知悉」時點之判斷標準為何？ 歐盟資料保護工作小組認為，當控制者對發生導致個人資料侵害的安全事件達「合理確信的程度」（reasonable degree of certainty）時，即應視為其已知悉。以具體事例而言，下列情況均屬所謂「知悉」： 在未加密個人資料的情況下遺失USB密鑰（USB Key），通常無法確定是否有未經授權者將獲致存取資料權限。即使控制者可能無法確定是否發生機密性侵害情事，惟仍應為通知，因發生可用性侵害之情事，且已達合理確信的程度。 故應以控制者意識到該密鑰遺失時起為其「知悉」時點。 第三人通知控制者其意外地收到控制者的客戶個人資料，並提供該揭露係未經授權之證據。當侵害保密性之明確證據提交控制者時，即為其「知悉」時點。如：誤寄之電子郵件，經非原定收件人通知寄件者之情形。 當控制者檢測到其網路恐遭入侵，並針對其系統進行檢測以確認個人資料是否遭洩漏，嗣後復經證實情況屬實，此際即屬「知悉」。 網路犯罪者在駭入系統後，聯繫控制者以索要贖金。在這種情況下，控制者經檢測系統並確認受攻擊後，亦屬「知悉」。 值得注意的是，在經個人、媒體組織、其他來源或控制者自我檢測後，控制者或將進行短暫調查，以確定是否發生侵害之事實。於此調查期間內所發現之最新侵害情況，控制者將不會被視為「知悉」。然而，控制者應儘速展開初步調查，以形成是否發生侵害事故之合理確信，隨後可另進行更詳盡之調查。 四、共同（聯合）控制者之義務及其責任分配原則 GDPR第26條針對共同控制者及其如何確定各自之法遵義務，設有相關規定，包括決定由哪一方負責遵循第33條（對主管機關通報）與第34條（對當事人通知）之義務。歐盟資料保護工作小組建議透過共同控制者間之契約協議，約明哪一方係居主要地位者，或須負責盡到個資侵害時，GDPR所定之通知義務，並載於契約條款中。 五、通報監管機關與提供資訊義務 當控制者通報監管機關個資侵害情事時，至少應包括下列事項 （GDPR第33條（3）參照）： 敘述個人資料侵害之性質，包括但不限於所涉之相關個資當事人、個資紀錄及其類別、數量。 傳達資料保護長（DPO）或其他聯絡人之姓名與聯絡方式，俾利獲得進一步資訊。 說明個資侵害可能之後果。 描述控制者為解決個資侵害業已採取或擬採行之措施，在適當情況下，酌情採取措施以減輕可能產生之不利影響。 以上乃GDPR要求通報監管機關之最基本事項，在必要時，控制者仍應盡力提供其他細節。舉例而言，控制者如認為其處理者係個資侵害事件之根因（root cause），此時通報並指明對象即可警示委託同一處理者之其他控制者。 六、分階段通知 鑒於個資事故之性質不一，控制者通常需進一步調查始能確定全部相關事實，GDPR第33條（4）爰設有得分階段通知（notification in phases）之規定。凡於通報時，無法同時提供之資訊，得分階段提供之。但不得有不必要之遲延。同理，在首次通報後之後續調查中，如發現該事件業已受到控制且並未實際發生個資侵害情事，控制者可向監管機關為更新。 七、免通報事由 依據GDPR第33（1）條規定，個資侵害不會對自然人之權利和自由造成風險者，毋庸向監管機關通報。如：該遭洩露之個人資料業經公開使用，故並未對個人資料當事人構成可能的風險。 必須強調的是，在某些情形下，未為通報亦可能代表既有安全維護措施之缺乏或不足。此時監管機關將可能同時針對未為通報（監管機關）或通知（當事人），以及安全維護措施之缺乏或不足，以違反第33條或（及）34條與第32條等獨立義務規定為由，而依第83條4（a）之規定，併予裁罰。 參、事件評析 一、我國企業於歐盟設有分支機構或據點者，宜指派專人負責法遵事宜 揆諸GDPR前揭規定，當個資侵害發生時，控制者應即時且不得無故拖延於知悉時起72小時內，將個資侵害情事通報監管機關。未能履踐義務者，將面臨最高達該企業前一會計年度全球營業額之2%或1千萬歐元，取其較高者之裁罰。我國無論金融業、航運業、航空運輸業、電子製造業及進出口貿易業者等，均或有於歐盟成員國境內或歐洲經濟區（European Economic Area）當地設立子公司或營業據點。因此，在GDPR法遵衝擊的倒數時刻，指派具瞭解GDPR規定、當地個資隱私法遵規範、擅長與隱私執法機構溝通及充要語言能力者專責法遵業務實刻不容緩。蓋此舉可避免我國企業母公司鞭長莫及，未能及時處置而致罹法典之憾。 二、全面檢視個資業務流程，完備個資盤點與風險評鑑作業，掌握企業法遵現況 企業應全面檢視業務流程，先自重要核心業務中析出個資作業流，搭配全面個資盤點，並利用盤點結果進行風險評鑑，再針對其結果就不同等級之風險採行相對應之管控措施。此外，於全業務流程中，亦宜採行最小化蒐集原則，避免蒐集過多不必要之個人資料，尤其是GDPR所定義之敏感個資（如：種族、民族血統、政治觀點、宗教信仰、哲學信仰、工會會員資格等個人資料，及遺傳資料的處理，用於識別特定自然人之生物識別資料、健康資料、性生活、性取向等）或犯罪前科資料，俾降低個人資料蒐集、處理、利用、檔案保存及銷燬之全生命週期流程中的風險。此舉亦契合我國個人資料保護法第5條所揭櫫之原則。 三、立法要求一定規模以上之企業須通過個資隱私法遵第三方認（驗）證，並建置認證資訊公開平台 鑒於國際法遵衝擊以及隱私保護要求之標準線日漸提升，我國企業除自主導入、建置並維運相關個資保護與管理制度以資因應，更有賴政府透過法令（如：修正個人資料保護法）強制要求一定規模以上之企業通過第三方專業驗證，俾消弭風險於日常準備之中。蓋我國具一定規模以上企業，無論其係屬何種業別，一旦違反國際法遵要求，遭致鉅額裁罰，其影響結果將不僅止於單一企業，更將嚴重衝擊該產業乃至於國家整體經貿發展。職是，採法律強制要求企業定期接受獨立、公正及專業第三方認（驗）證，咸有其實益性與必要性。
加拿大「保護加拿大國民遠離網路犯罪法」生效，保障國民免受網路霸凌加拿大對於日益嚴重之網路霸凌及網路犯罪，甚至青少年因網路霸凌而自殺案件頻傳，為免此種悲劇再發生，加拿大政府擬訂之「保護加拿大國民遠離網路犯罪法」(Protecting Canadians from Online Crime Act，簡稱Bill C-13)，於2015年3月10日生效。 此項法案係修正刑法、競爭法及證據法，法案內容如下： 1.適用對象：不分是否成年，皆有適用。 2.增修內容： (1) 補充修訂非自願的親密圖片散佈法令，授權法官得從網路上移除這些圖像及收取回復費用，得以沒收財產及下達擔保命令，以限制加害人使用電腦或網路就此類圖像之散布。 (2)賦予保存請求權和命令之權力，強制保全電子證據。 (3)新訂法院可下達提供命令，強制相關義務人提供通訊傳輸、交易位置、個人及相關事物資訊。 (4)授權延長關於使用電信傳輸相關資料之調查權。 (5)授權與法律分配利害關係相關之交易、個人與事物等做為追蹤調查對象。 (6)簡化關於取得關於截取私人通訊之法官授權及命令程序。 (7)修訂加拿大證據法，以確保加害人之配偶得為被害人證人。 惟就本次修訂，有反對意見認為可能會擴張國家調查權，而侵害人民隱私。