英國《海外犯罪資料提供請求法》(COPO Act）
英國《海外犯罪資料提供請求法》（Crime (Overseas Production Orders) Act 2019, COPO Act）於2019年2月12日由英國女王御准（royal assent）生效。
過去，英國請求海外證據法源依據僅有〈國際司法互助條約〉（Mutual Legal Assistance Treaties）支撐，且無明確的實施規範可作為依循。隨通訊網路科技日新月異，犯罪及犯罪證據的資料儲存地打破國界。《海外犯罪資料提供請求法》即是給予海外犯罪資料提請求程序一個明確的規範。在與他國簽署條約（designated international co-operation arrangement，指：司法互助條約或英國內閣大臣依法指定的條約）之前提下，《海外犯罪資料提供請求法》授權英國執法機構與相關單位（appropriate officer）可向法院聲請搜索票，並憑藉搜索票請求被搜索自然人或法人，提供儲存於英國境外的電子資料（electronic data）或特種電子資料（excepted electronic data）。本法所稱「電子資料」係指以電子儲存的資料；「特種電子資料」則是指法律專業人士與其客戶的通訊紀錄，或自然人與死者在具有保密義務之情況下所產生的紀錄。
在英格蘭、威爾斯和北愛爾蘭，可依《海外犯罪資料提供請求法》向法院聲請搜索令的相關單位包含：員警（constable）、英國稅務海關總署（Revenue and Customs）、英國嚴重詐欺辦公室（Serious Fraud Office, SFO）、特許金融調查人員（accredited financial investigator）、反恐金融調查人員（counter-terrorism financial investigator）、英國金融行為監理總署（Financial Conduct Authority）依法指定的調查人員或其他內閣大臣所公告之規則所指名的人員。在蘇格蘭則是檢察官（procurator fiscal）、員警、英國稅務海關總署、英國金融行為監理總署依法指定的調查人員或其他內閣大臣所公告之規則所指名的人員。海外犯罪資料提供請求之搜索票有效期間，係獲准當日起算三個月。
本文為「經濟部產業技術司科技專案成果」
- 零售業個資法遵實務與資訊安全說明會（台中場）
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
- 【上午場】探索科技法律最前線：資策會科法所「114年成果」分享會暨簡報票選
- 商業服務業個資管理與資訊安全實務宣導說明會（高雄場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台南場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台中場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台北場）※如遇颱風假延期至7/16
- 【北部場1】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場2】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場3】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場4】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【南部場】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【中部場】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【上午場】通傳產業個資管理機制與資料加值運用座談會
- 【下午場】通傳產業個資管理機制與資料加值運用座談會
- 長照系統相關資服業個資線上宣導說明會
朱翊瑄
法律研究員 編譯整理
與時俱進的新興科技法制－美國無人飛行器（UAS）管理法制初探 科技法律研究所 法律研究員 陳世傑 2015年07月30日 壹、事件摘要 因電子與無線傳輸科技的進步，俗稱Drone的無人飛行器（Unmanned Aerial Vehicles，UAV），自美國亞瑪遜公司（Amazon）擬採為運送網路購物商品的工具後，無人飛行器的運用，已逐步從單純娛樂用途跨向商業用途的應用。無人飛行器的廣泛運用，是否可能影響安全、隱私、甚至政府監視的警察國家爭議，已經引起美國各級政府的重視，也紛紛立法加以因應。聯邦議會與各州議會亟思如何在法規上妥善調適，以因應越來越多商用無人飛行器的用途需求與其他公益保護之考量，例如飛航安全、隱私安全、甚至國土安全等，美國已經採取相關法制規劃，以完善UAV之管理。 貳、重點說明 一、美國聯邦管理法規 無人飛行器在美國由其聯邦航空總署（Federal Aviation Administration，FAA）主管，2012年2月14日生效的FAA現代化及改革法（The FAA Modernization and Reform Act of 2012，FMRA），為美國聯邦法律主要的管理法源。 FMRA對無人飛行器所採正式名稱為無人飛行機（Unmanned Aircraft），依其第331節定義，UAS指，而小型UAS（Small unmanned aircraft）則指55磅以下之UAS。 FAA指出，無人飛行系統（Unmanned Aircraft Systems，UAS）依其用途區分為公務用（Public Operations）、民用（Civil Operations）、娛樂用（Model Aircraft）三種，並有不同的管理規定。 公務用無人飛行器使用管理相關聯邦法律，有49 U.S.C. § 40102(a)(41)及49 U.S. Code § 40125就「公務用飛行器」（Public Aircraft）使用範疇之相關規定。 法律規定之公務用無人飛行器，FAA得發給飛航許可（Certificate of Waiver or Authorization，COA），而在其許可之特定空間範圍、操作方式或使用目的下操作公務用無人飛行器。FAA發給公務用無人飛行器之COA時多會附加公共安全之要求，例如不得於人口密集區域使用、避免影響其他飛行器路權（right-of-way rules）的使用。 民用無人飛行器之使用，可向FAA申請兩種使用許可，一為FMRA第333節之特許（Section 333 Exemption），其次為FAA第8130.34號行政命令特別適航性許可（Special Airworthiness Certificate，SAC）。 FMRA第333節之特許規定要求，美國聯邦運輸部得經申請，在一定體積、重量、飛行速度、安全性等要求下，特許申請人以無人飛行器進行商業使用（Certificate of Waiver or Authorization，COA），文前所述Amazon所遞交之申請即為此種COA。 SAC特別適航性許可則是要求申請人，於檢具所申請之飛行系統之硬體結構與軟體開發、控制與其管理（configuration management）之設計、規劃、製造上具適航性之說明以進行SAC申請。 娛樂用無人飛行器之使用，依照FMRA第336節規定，毋須經主管機關許可，惟仍須符合以下規定，包括飛行高度須低於400呎且維持飛行區域之淨空，且飛行器應隨時處於使用者目視可及之範圍。 二、美國各州管理法規 在聯邦層級法律以外，除華盛頓特區已為無人機禁用區（No Drone Zone）外，美國各州對於無人飛行器之使用，也各自有不同的立法。至2015年6月為止，美國共有25州對無人飛行器之定義、使用、管理等已有相關法律施行。2015年美國已有45州計151個法案與無人飛行器之使用管理進行規定。阿肯色州等15州完成立法，阿拉斯加等4州通過提案交付審查，喬治亞洲決議交由州議會成立特別委員會進行無人飛行器法案研究、新墨西哥州則由州參眾兩院通過備忘錄就無人飛行器的使用對於野生動物保護之影響進行研究。 參、事件評析 美國自聯邦乃至各州法規對於UAS之管理密度與保護面向各有不同，惟就聯邦FAA受理申請之情形，與各州之立法進度，顯見UAS此一新興科技所帶來的法制調適已經如火如荼的展開。UAS的逐漸普及所帶來的法規相應調整或跟進的需求，已促使美國聯邦與州政府的重視。甚至除了使用的管制外，有關UAS的輸出，美國國務院亦於2015年2月發布有關軍事用途UAS的出口管制政策，其中也同時對商用無人機之出口進行一定程度之管理，可見無人機技術的進步，未來將逐步帶動法制面從使用管理、產品管理甚至朝向技術管理發展。
德國針對企業資訊安全及資料保護相關法律提出建議文件德國經濟及能源部於2018年3月8日為企業資訊安全保護措施建議及資料保護、資料所有權相關法規提出建議文件，協助中小企業提升對於組織及特別領域中的資安風險之意識，並進一步採取有效防護檢測，包括基本安全防護措施、組織資安維護、及法規，並同時宣導德國資料保護法中對於資安保護的法定要求。 資通訊安全及其法規係為企業進行數位化時，涉及確保法的安定性（Rechtssicherheit）之議題。加強資安保護，除可增進銷售及生產力，並使商業貿易間有更大的透明度和靈活性，和創造新的合作信賴關係。因此相關網路內容服務提供商應符合法律要求，提供相關服務，並使共享資料得到完善的保護。例如：應如何保護處理後的資料？如何執行刪除個人資料權利？各方如何保護營業秘密？如果資料遺失，誰應承擔責任？唯有釐清上述相關等問題時，方能建立必要的信任。而在德國聯邦資料保護法，歐盟一般個人資料保護法、歐盟網路與資訊安全指令等規範及相關法律原則，係為數位創新企業執行資安基礎工作重要法律框架。但是，由於數位化的發展，新的法律問題不斷出現，目前的法律框架尚未全面解決。例如，機器是否可以處理第三方資料並刪除或保存？或是誰可擁有機器協作所產生的資料？因此，未來勢必應針對相關問題進行討論及規範。鑑於日益網路化和自動運作的生產設備，工業4.0的IT法律問題變得複雜。一方面，需要解決中、大型企業的營業祕密，資料所有權和責任主題之實際問題，以促進相關數位化創新。另一方面，為了能夠推導出現實的法律規範，需要更多具體實施案例討論。 據研究顯示，企業家對產品責任問題，人工智慧使用，外包IT解決方案，及雲端計算等核心問題的新法規以顯示出極大的興趣，並進一步列入既有或規劃中研究項目。未來，政府將協助為所有公司在安全框架下展開數位計畫合作的機會，並充分利用網路的潛力，而中小企業4.0能力中心也將為中小型公司在數位化目標上提供IT法問題方面的支持。
日本經產省發布中小企業開發IoT機器之產品資安對策指引日本經濟產業省（下稱經產省）於2023年6月6日發布中小企業開發IoT機器之產品資安對策指引（IoT機器を開発する中小企業向け製品セキュリティ対策ガイド），本指引彙整企業應該優先推動IoT機器資安對策，經產省提出具體資安對策如下： 1.制定產品資安政策（セキュリティポリシー）並廣為宣導：由企業經營者率先制定資安政策，進行教育宣導，並依實際需求修正調整。 2.建立適當的資安政策體制：確立實施資安政策必要之人員及組織，明確其職務及責任。 3.指定IoT機器應遵守之資安事項，並預測風險：決定IoT機器的預設使用者及使用案例，並於釐清使用者需求後，指定IoT機器應遵守之資安事項，預測衍生風險。 4.考量IoT機器應遵守之資安事項及預測風險，進行設計與開發：以預設IoT機器應遵守之資安事項衍生風險為基礎，從設計與開發階段開始採取風險對策。 5.檢測是否符合資安相關要件：從設計與開發階段開始制定檢測計畫，檢測是否符合資安要件，並依據檢測結果進行改善。 6.於產品出貨後蒐集風險資訊，與相關人員溝通並適時提供支援：蒐集全球資安事故與漏洞資訊，並設置可適時與委外廠商以及用戶溝通之窗口。
歐盟執委會認可巴西資料保護能力，啟動適足性認定程序歐盟執委會（European Commission）於2025年9月4日提出對於巴西的適足性認定草案，並且開始啟動相關程序。根據《一般資料保護規則》第45條規定，如歐盟境內之個人資料將傳輸至第三國或國際組織時，須經由歐盟執委會認定該第三國、第三國內之特定部門或國際組織之資料保護水準與歐盟境內基本相同，使得為之。該認定即為「適足性認定」，目前包含日本、韓國、加拿大、阿根廷及烏拉圭皆已取得適足性認定。 本次歐盟執委會所提出之適足性認定草案中，審酌了巴西《一般資料保護法》（Lei Geral de Proteção de Dados, LGPD）當中的目的限制、必要性、透明性、安全性及問責機制等原則，以及個資監管與執法之獨立機構「巴西資料保護局」（Autoridade Nacional de Proteção de Dados, ANPD）之角色，認定巴西國內的個人資料保護水準已達到與GDPR所要保護水準相同。 此外，ANPD於2024年發布，旨在使巴西具有與GDPR等隱私框架相同之跨境傳輸規範之國際資料傳輸規則，ANPS正依照該規則進行對歐盟進行法律評估，認定歐盟屬於符合LGPD之適當司法管轄區。如巴西通過對歐盟評估，將建立起鞏固雙方之間的監管力度及法律承認的互相承認機制。 歐盟執委會提出對於巴西之適足性認定草案，後續須經由歐洲資料保護委員會（European Data Protection Board, EDPB）審查並提出意見，並經過成員國代表參酌EDPB提出之意見並審查批准後，始得由歐盟執委會通過適足性認定。通過適足性認定後，將促進國際資料流動，並加強巴西與歐盟之間資料保護與監管領域方面的合作。