中國要求互聯網企業隨著消費者擔憂程度提高應加強數據隱私
在越來越多消費者擔心部分企業以進行大數據研究名義竊取、交易或透露個人資料之行為，侵犯消費者隱私情況下，中國政府已要求互聯網企業加強對個人資料之保護；這並非中國當局第一次要求互聯網企業加強數據隱私保護，中國消費者協會(China Consumers Association, CCA）亦曾示警，中國大量智慧型手機應用程式正在蒐集過多個人資料，包括但不限於用戶位置、聯絡人清單及手機號碼。
中國互聯網金融協會(National Internet Finance Association of China, NIFA)於 11月初發表聲明提及：「未經消費者同意，會員組織不得蒐集、利用或向第三方提供消費者個人資料。」、「所有會員機構都應承擔保護個人資料之個人責任。如發生問題，應立即予以改善並報告給協會……消費者風險警示亦應加強。」，該協會亦向所有會員機構提出警告，對數據隱私之改善措施應承擔個人責任。
中國互聯網企業讚揚AI工具可使用海量數據以增強消費者體驗之優點，然它們不得不靈活應對消費者對如何蒐集與利用個人資料日益增長之焦慮，而中國政府目前正起草制定有關個人數據隱私保護法律，以解決日常生活伴隨著多方數位體驗而生之敏感問題。
- 零售業個資安全宣導暨安全維護計畫規劃說明會
- 數位經濟時代的隱私保護與商機－CBPR跨境隱私規則體系解析
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(實體)
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(直播)
- 零售業個資安全宣導暨安全維護計畫說明會（高雄場）
- 零售業個資安全宣導暨安全維護計畫說明會（台中場）
- 【台北場1】通訊傳播事業個資法遵教育訓練
- 【台中場】通訊傳播事業個資法遵教育訓練
- 【新北場】通訊傳播事業個資法遵教育訓練
- 【高雄場】通訊傳播事業個資法遵教育訓練
- 【台北場2】通訊傳播事業個資法遵教育訓練
- 零售業個資法遵實務與資訊安全說明會
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 零售業個資法遵實務與資訊安全說明會（台中場）
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
李宛臻
專案經理 編譯整理
China calls for data privacy improvements among internet companies, https://iapp.org/news/a/china-calls-for-data-privacy-improvements-among-internet-companies/ (last visited Nov. 24, 2019),
China requests internet companies to tighten data privacy as consumer anxiety rises, https://www.scmp.com/tech/policy/article/3038336/china-requests-internet-companies-tighten-data-privacy-consumer-anxiety (last visited Nov. 24, 2019),
China’s internet regulator warns app operators over data privacy and says more rectification is needed, https://www.scmp.com/tech/apps-social/article/3022795/chinas-internet-regulator-warns-app-operators-over-data-privacy (last visited Nov. 24, 2019).
2019年上半年我國互聯網網路安全態勢, https://www.cert.org.cn/publish/main/46/2019/20190813163941008331670/20190813163941008331670_.html (last visited Nov. 24, 2019).
八位美國眾議員於2007年2月6日連署提出新法案，擬賦予司法部門首長更大的權限要求網路服務提供者（ISP）記錄用戶的網路活動並留存特定的用戶資訊。草案提交眾議院審議後，隱私保護機構紛紛表達反對立場。 此次由德州眾議員Lamar Smith主導的新法案「the Internet Stopping Adults Facilitating the Exploitation of Today's Youth Act of 2007（簡稱SAFETY Act）」中，ISP業者必須保留的用戶資料，最低限度需包括用戶姓名、地址、電話及IP位址；至於用戶資料的留存期間，則將交由美國司法部決定。以現況而言，多數ISP業者所保存的用戶資訊均在半年以下；然而美國司法部部長Alberto Gonzales曾於2006年9月公開倡議ISP業者資料留存期間，應以兩年為宜。 此外，草案亦要求ISP業者發現其所提供的服務存在兒童色情情事時，應主動通報主管機關，否將面臨15至30萬美元的罰金；若其有意地助長兒童色情的流傳，更可能面臨最高10年的徒刑。 批評者如「民主及科技中心」（Center for Democracy and Technology；CDT）表示，此法案不啻為對憲法修正條文第一條的威脅，毫無限制的授權更可能肇致用戶資料的留存期間成為司法首長個人得以專擅決策之事項。
澳洲通過新修正之隱私法，大幅提高罰責以期遏止個資事故澳洲司法部長Mark Dreyfus於2022年10月26日提出聯邦《2022年隱私法修正案（執法及其他措施）》（Privacy Legislation Amendment (Enforcement and Other Measures) Bill 2022 (Cth) ），並於11月28日正式通過，顯示澳洲政府對於近期多起大型個資事故的重視，以及民眾對於個資保護之公民意識逐漸成熟。 近期澳洲發生之兩起大規模個資事故，其一為9月底澳洲第二大電信業者Optus表示受到網路攻擊，約有1,000萬人（約占澳洲人口40%）的個資遭到外洩，除了姓名、性別、生日等資料之外也包括用戶的住址、駕照和護照號碼等；無獨有偶，於十月底澳洲最大的私人健康保險公司Medibank亦公開聲明發生200GB的資料遭到竊取的個資事故，被竊資料中有大約970萬名現在或過去客戶的姓名、出生日期、地址、電話號碼和電子郵件地址等資料，因為此兩起大型個資事故的發生，促使澳洲政府不得不予以重視，在極短時間內通過新法修正。 此次修正案修改1988年《隱私法》（Privacy Act）、2010年《澳洲資訊委員法》（Australian Information Commissioner Act）和2005年《澳洲通訊及媒體管理局法》（Australian Communications and Media Authority Act 2005），修正重點包含加重裁罰、加強資訊委員執法權限及域外管轄權。 一、加重裁罰之部分，依修正《隱私法》第13G條，當嚴重或反覆侵犯他人隱私事件發生時，若行為人為「非法人」（a person other than a body corporate，即我國法之自然人）時，其由行政機關課予當事人之罰金（civil penalty）上限提高到250萬澳幣（約新台幣5,200萬）；若行為人為「法人」（body corporate）時，罰金上限增加到5,000萬澳幣（約新台幣10億）或其所得利益價值的三倍（兩者取其高）。如果法院無法確定利益的數額，則取法人違規期間或事故發生後12個月內（擇其時間較長者）調整型營收（adjusted turnover*）的30%。 二、關於資訊委員執法權限強化部分，其擴大資訊委員與他公私部門間交換及查閱資訊之權限，資訊委員得向嫌疑人進行調查或要求交付相關證據，且賦予資訊委員得不待法院裁判，逕對妨害查辦者課以民事制裁，甚至得將屢次妨害查辦之法人團體之行為定為刑事犯罪。 三、有關域外管轄權部分，原先僅適用於「未在澳洲設立登記，但有在澳洲境內蒐集個資且經營業務」之公司；現刪除「有在澳洲境內蒐集個資」之規定，故未在澳洲登記之公司往後即使未在澳洲境內蒐集個資，若有在澳洲境內經營業務即受有域外效力之管轄，其範圍甚至將比歐盟GDPR之域外管轄權更為寬廣。 至於提高裁罰金額能否提升資安及個資保護之效益仍有待商榷，惟提高罰鍰額度應能使持有個資業者採行較高之資料保護安全措施等級。我國近期亦發生2,300萬筆民眾戶政資料外洩事件，依我國《個人資料保護法》規定，個資事故發生時，若被害人不易或不能證明其實際損害額時，法院依侵害情節，以每人每一事件500以上至2萬元以下計算財產損害。且同一原因事實造成的事件，原則上其賠償最高總額以2億元為限。若我國將來修法適當調整金額，相信有望遏止類似事故不斷發生。 *調整型營收（adjusted turnover）：指公司（及相關企業）在違規期間內營業額扣除應調整之稅額例外項目後，所有商品及服務價值的總和。
新加坡個人資料保護委員會發布資料保護專員之職能與培訓準則新加坡個人資料保護委員會（Personal Data Protection Commission, PDPC）於2019年7月17日發布資料保護專員之職能與培訓準則。基於新加坡個人資料保護法（Personal Data Protection Act 2012, PDPA）明文規範非公務機關必須設立至少一名資料保護長（Data Protection Officer, DPO），負責個資保護政策之制定落實、風險評鑑及個資事故處理等工作。為了使資料保護專業人員增強能力並於企業組織有效履行其職責，新加坡個人資料保護委員會就此特別發布此準則，將資料保護專員分為三種工作職能，九項專業能力，進而規劃相關培訓課程。 此準則使企業組織能就工作職能聘僱合適之資料保護專員，亦使相關專業人員能掌握清晰之職業生涯，確定自我能力與培訓課程之落差，進而調整有效實施組織之個人資料保護管理政策與流程。其分為資料保護專員、資料保護長、區域資料保護長，依據工作職能與職責區分如下： 一、 資料保護專員 需監視與評估組織之個人資料保護管理政策與程序，並確保其遵循新加坡個人資料保護法。 識別個人資料之風險，並提出風險管控之措施。 提供組織個人資料保護政策之實施與實踐證據。 定期檢視審核，分析現況並矯正改善。 識別並規劃利害關係人之需求與利益。 二、 資料保護長 制定並審查個人資料管理計劃。 根據組織職能，視需求與流程，執行個人資料保護與風險評鑑，並解決相關業務風險。 制定培訓計劃，舉辦個人資料保護政策與流程之教育訓練。 確保組織內部個人資料保護之意識。 根據業務營運與個資法遵要求之落差評估，並建立合規性流程。 透過客戶對隱私與個人資料保護之要求，做為日後促進資料創新之實施。 三、 區域資料保護長 監督資料傳輸活動，並提供個人資料保護法之領導指南。 建立區域創新之資料保護策略。 減少區域內之個資事故。 於資料創新之運用提供戰略性，為組織創造業務價值。 評估新興趨勢與科技，如隱私增強技術、雲端運算、區塊鏈、網絡安全之風險與可行性。 針對上述工作職能與職責，結合所需之專業能力，包括個人資料管理、風險評鑑管理、個資事故緊急應變、利害關係人管理、個人資料稽核認證、個人資料治理、個人資料保護之倫理、資料共享與創新思維，規劃基礎個人資料保護相關課程與進階資料創新課程，使其個人資料保護制度更專業具有規模。目前我國對於資料保護專員並無相關立法規範，若未來修法新加坡個人資料保護委員會之做法亦值參酌。
歐盟資通安全局發布《物聯網安全準則－安全的物聯網供應鏈》歐盟資通安全局（European Union Agency for Cybersecurity, ENISA）於2020年11月發布《物聯網安全準則－安全的物聯網供應鏈》（Guidelines for Securing the IoT – Secure Supply Chain for IoT），旨在解決IoT供應鏈安全性的相關資安挑戰，幫助IoT設備供應鏈中的所有利害關係人，在構建或評估IoT技術時作出更好的安全決策。 本文件分析IoT供應鏈各個不同階段的重要資安議題，包括概念構想階段、開發階段、生產製造階段、使用階段及退場階段等。概念構想階段對於建立基本安全基礎非常重要，應兼顧實體安全和網路安全。開發階段包含軟體和硬體，生產階段涉及複雜的上下游供應鏈，此二階段因參與者眾多，觸及的資安議題也相當複雜。例如駭客藉由植入惡意程式，進行違背系統預設用途的其他行為；或是因為舊版本的系統無法隨技術的推展進行更新，而產生系統漏洞。於使用階段，開發人員應與使用者緊密合作，持續監督IoT設備使用安全。退場階段則需要安全地處理IoT設備所蒐集的資料，以及考慮電子設備回收可能造成大量汙染的問題。 總體而言，解決IoT資安問題，需要各個利害關係人彼此建立信賴關係，並進一步培養網路安全相關專業知識。在產品設計上則須遵守現有共通的安全性原則，並對產品設計保持透明性，以符合資安要求。