美國國會議員提出「網路盾」草案
美國民主黨議員Ed Markey於2019年10月22日提出2019年「網路盾」草案（Cyber Shield Act of 2019），將設立委員會以建立美國物聯網網路安全標準。
雖由參議員MarkWarner所提出之2019年物聯網網路安全促進法（Internet of Things Cybersecurity Improvement Act of 2019）已通過並施行，惟該法僅適用於聯邦政府機構之設備採購。而「網路盾」草案之目的則係設立委員會並建立美國物聯網設備認證標章。依據該草案第3條，於該法通過並經總統簽署後90天內，美國國務卿必須建立網路盾諮詢委員會，該委員會之任務為擬定並建立美國網路盾標章。
另依據該草案第4條，物聯網產品之自願性認證程序與認證標章，內容必須符合特定產業之網路安全與資料保護標準。該標章應為數位標章，並標示於產品之上，且可劃分數個等級，以表彰其符合產業所需求之網路安全與資料安全等級。而針對標章之內容，該法要求美國國務卿於法律通過90天內應建立諮詢相關利益團體之程序，以確保其充分符合產業需求與利益。美國國務卿與各聯邦主管機關亦須合作以持續維護網路安全與資料安全標章之運作，且確保獲得該標章之產品，其資安與資料保護品質均優於未受認證之產品。
本文為「經濟部產業技術司科技專案成果」
- 零售業個資安全宣導暨安全維護計畫規劃說明會
- (已額滿)114年「企業營業秘密保護實務座談會」(北部場)–營業秘密因應數位環境之保護風險及管理對策
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(實體)
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(直播)
- 【台北場1】通訊傳播事業個資法遵教育訓練
- 【台中場】通訊傳播事業個資法遵教育訓練
- 【新北場】通訊傳播事業個資法遵教育訓練
- 【高雄場】通訊傳播事業個資法遵教育訓練
- 【台北場2】通訊傳播事業個資法遵教育訓練
- 114年「企業營業秘密保護實務座談會」（南部場）
- 114年「企業營業秘密保護實務座談會」（中部場）
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
余和謙
法律研究員 編譯整理
日本政府基於(1)行政的效率化(2)提升國民便利性及(3)實現公平、公正的社會等目的，於2015年10月以後開始分發記載國民姓名、住址、性別、個人編號等相關資訊的「通知卡（通知カード）」，日本民眾藉著通知卡至各地相關單位申辦正式「個人編號卡（マイナンバーカード）」，並於2016年01月正式開始實行。 然而此項制度在施行之初即爭議不斷，住在東京、大阪等地的156名居民於2015年12月01日向東京、仙台、新潟、金澤、大阪共五個地方法院提起民事訴訟，請求日本政府停止蒐集、利用並且刪除個人編號，同時要求給予每人十萬日圓的損害賠償。原告訴狀以日本年金機構受到網路攻擊而有125萬件個人資料流出為例，認為現今關於個人編號制度的行政機關及民間企業的安全防護對策並不充分，主張有極高洩漏「關於稅務及社會福利個人資料的危險性」，同時主張個人編號制度並未取得本人同意即蒐集個人資訊，侵害憲法第13條保障的「控制自我資訊的權利」，亦即隱私權及人格權。 2003年開始正式啟動的 「住民基本台帳網路系統（住民基本台帳ネットワーク）」先前也被提起類似訴訟，惟最高法院認定「制度或系統尚未不備、並沒有侵害隱私權」而認定合憲。本案原告律師團則認為住民基本台帳網路系統僅有行政機關接觸到個人資料，而個人編號制度則連民間企業都能接觸到個人資料，因此原告律師團的水永誠二律師即表示：「個人編號制度和住民基本台帳網路系統相比規模更大。就算住民基本台帳網路系統被認定合憲，也不構成個人編號制度合憲的理由。」 儘管本件訴訟的勝訴效力僅及於當事人，不會立刻決定個人編號制度存廢。惟若能動搖該制度適用於所有擁有住民票的人的前提，則日本政府將被迫重新檢討個人編號制度，本訴訟的後續發展值得繼續觀察。
日本發布資料素養指南之資料處理篇，旨在促使企業理解便於活用於數位技術與服務的資料管理方法日本獨立行政法人情報處理推進機構於2025年7月發布《資料素養指南（下稱《指南》）》，指南分為三大章，第一章為整體資料環境之變化；第二章為資料治理；第三章為資料、數位技術活用案例與工具利用。指南第二章中的資料處理篇，主要為促使企業理解有利活用於數位技術與服務的資料管理方法。 《指南》資料處理篇指出，資料的生命週期涵蓋資料設計、資料蒐集、外部資料連動、資料整合、資料處理、資料提供、資料累積以及資料銷毀等不同階段。《指南》建議在資料生命週期的各階段，盡可能的不要有人類的介入。舉例而言，資料蒐集可以透過感測器或系統進行。該建議的目的在於，人類介入資料生命週期，僅會引起輸入錯誤或是操作錯誤等風險。 此外，《指南》亦於資料處理篇中針對資料治理給出四點建議，分別如下： (一)資料是企業的重要資產，因此應重視其管理方式。管理方式涵蓋帳號密碼、透過生物辨識技術進行資料接觸管理、Log檔之取得、系統設定禁止使用USB等方式。 (二)資料治理的重點在於對人政策。除了向員工強調不要開啟不明網站及釣魚信件以外，企業亦應與員工建立堅實的信賴關係。 (三)資料公開或流通時應注意，如果不希望提供後的資料被二次利用，應於雙方間的資料利用契約中敘明。此外，由於資料具備易於複製及傳輸的特性，因此在公開或流通資料時，應考量適用諸如時戳技術等可確保資料原本性或使資料無法被竄改的數位技術。 (四)資料銷毀如果僅是單純的刪除資料，有透過數位技術找回資料的可能性。因此，除可評估委由專門進行資料銷毀服務的公司協助以外，由於銷毀資料經由個人電腦外洩之事件時有所聞，故亦應留意個人電腦之資料管理。 我國企業如欲將資料活用於數位技術或服務，除可參考日本所發布之《指南》資料處理篇以外，亦可參考資訊工業策進會科技法律研究所創意智財中心所發布之《重要數位資料治理暨管理制度規範》，以建立自身資料處理流程，進而強化資料管理能力。 本文為資策會科法所創智中心完成之著作，非經同意或授權，不得為轉載、公開播送、公開傳輸、改作或重製等利用行為。 本文同步刊登於TIPS網站（https://www.tips.org.tw）
歐盟針對體外診療器材提出新管制架構，預期將於2015年正式實施歐盟對於體外診療器材（In Vitro Diagnostic Medical Devices，以下簡稱IVDs）之管制，最早起始於1998年的體外診療器材指令（Directive 98/79/EC on In Vitro Diagnostic Medical Devices，以下簡稱「1998年IVDD指令」)，該指令依IVDs是否具有侵入性、接觸病人的時間長短及是否需要能源加以驅動等條件，進一步區分為四種風險等級：第1級（Class I）－低風險性、第2a級（Class IIa）－低至中風險性、第2b級（Class IIb）－中至高風險性、第3級（Class III）－高風險性。Class I因風險性最低，故1998年IVDD指令僅要求廠商建立品管系統、保留產品技術檔案、並自為符合性聲明後，即得於市場上流通；Class IIa與Class IIb則由於風險略高，所建立之品管系統需經過「符合性評鑑」；而Class III的風險最高，故其品管系統除須符合前述要求外，更應由經歐盟認證的代檢機構（Notified Body）進行審查，通過前述評鑑及審查後，始可於歐洲市場流通使用。 然而，隨著科學及技術的進步，市場上不斷出現創新性的產品，使得1998年IVDD指令已逐漸無法滿足管理需求，輔以各會員國對於指令的解釋和實施各有不同，致使歐盟內部在病患及公共健康的保護上有程度不一的落差，為歐盟單一市場的運作埋下隱憂。因此，歐盟執委會（European Commission）於2012年9月26日提出新的管制架構（Proposal for a Regulation of the European Parliament and of the Council on in vitro diagnostic devices），其主要變革包括： 1. 擴大IVDs的定義：將IVDs的範圍擴及用以獲取醫療狀況或疾病罹患傾向資訊（如基因檢測）的器材及醫療軟體（medical software）等。 2. 新的分類標準及評估程序：將診療器材重新分為A、B、C、D四類，A類為風險最低，D類為風險最高。A類維持原先1998年IVDD指令中的廠商自我管控機制，但當A類器材欲進行臨床測試（near-patient testing）、具備評量功能或用於殺菌者，須先由代檢機構就其設計、評量功能及殺菌過程進行驗證。B類器材因風險略高，故須通過代檢機構之品管系統審查；C類產品除品管系統審查外，需再提交產品樣本的技術文件；而D類由於風險最高，除前述品管系統審查外，需經過核准使能進入市場。至於A、B、C、D類產品進入市場後，代檢機構會定期進行上市後（the post-market phase）監控。 3. 導入認證人員（qualified person，簡稱GP）：診療器材製造商應於組織內導入GP人員，負責確保製造商組織內部的一切法令遵循事宜。 4. 落實提升透明度（transparency）之相關措施：為確保醫療器材的安全性和效能，要求：(1) 歐盟市場內之經濟經營商（economic operator）應能夠辨認IVDs的供應者及被供應者；(2) 製造商應將單一裝置辨識碼（Unique Device Identification）導入產品中，以利日後之追蹤；(3) 歐盟單一市場中的所有製造商及進口商，應將其企業及產品資訊於歐洲資料庫（European database）中進行註冊；(4) 製造商有義務向大眾公開高風險性裝置的安全性與效能等相關說明資訊。 歐盟執委會已提交新管制架構予歐洲議會，若順利通過將可望於2015年起正式實施，未來將對歐洲IVDs產業有何影響，值得持續觀察之。
智慧電表的陷阱美國及歐洲都開始引進附加通訊功能的電表（所謂智慧電表）。這一波動向也真正開始影響到日本。日本國內最大家的東京電力公司將於2010年10月開始進行智慧電表的實際驗證研究。 雖然至今只有關西電力公司與九州電力公司有引進智慧電表，但在10年之後，日本大半以上的電表會是智慧電表。 從短期來看，智慧電表就只具有使用電力的遠距抄表跟遠距截斷的功能。但是就只具有這樣的功能是不足以讓眾多目光聚焦的，它所具有的是期待在未來透過電表跟家電機器等所形成的資訊通信網絡。在目前許多企業打算就先透過網路蒐集使用電力的資訊，之後在提供新的附加服務。 這樣的動向不只是發生在電力公司，在瓦斯及自來水業界也正在發生。例如東京瓦斯公司將於2010年度起，開始實驗運作具有無限通訊功能的瓦斯表，快的話在2012年就會正式更換約1000萬台的瓦斯表。東京瓦斯公司還計畫在之後將用於瓦斯表上的通訊系統擴張到自來水表的抄表上。美國企業如IBM公司也積極投入自來水表的「智慧化」。 但是，在實際引進智慧電表時，美國發生了引進智慧電表的住戶的電費急速增加，產生了不少的訴訟，美國德州Oncor電力公司正面對這樣的訴訟，加州的PG＆E公司的顧客也正聲請相關的訴訟。 專家們指出一些會影響電費增加的原因，其中就指出因為引進智慧電表使得「正確測量出電力使用量」這也是因為美國至今所使用的電表太過老舊，無法正確的測量出正確的電力使用量，以致用戶都在付出比實際使用量要少的電費。所以在引進智慧電表測量出正確的電力使用量之後，就產生出「電費增加」的錯覺。 現在美國的電力公司主要把智慧電表用於自動抄表上，這只是利用智慧電表的第一步。若在初始階段無法得到消費者的支持，之後要推廣則會更為困難。使用電力的相關資訊在某種意義上可視為是個人資料的其中一種。隱私權的問題等與消費者保護汲汲相關的議題陸續都會出現。 美國眾議員Edward Markey在眾議院提出了電力公司要將智慧電表所測量的電力使用資訊即時提供給消費者，並有保護該資訊隱私權義務化的法案。在技術面上，有關重視資訊安全的通訊型式的討論亦蓬勃發展起來。