日本資訊信託功能認定指引第二版
日本於2018年6月公布「資料信託功能認定指引第一版」（情報信託機能の認定に係る指針ver1.0），期待藉此推動資料銀行發展，促進資料流通和利用。第一版指引係以資料銀行應具備之功能為中心，惟伴隨資料銀行業務發展，指引內除資料銀行基本功能外，亦應規範個人資料管理及向第三方提供資料之條件等內容，加上有論者認為第一版內有關資料銀行定義過於偏重功能描述，故總務省和經濟產業省於2019年1月起召開檢討會，重新檢討上開指引，最終於2019年10月8日公布「資料信託功能認定指引第二版」（情報信託機能の認定に係る指針ver2.0）。
第二版指引更新重點包括︰（1）修正資料銀行定義︰第一版指引僅強調資料銀行之功能，第二版則增加資料銀行之目的和資料銀行與個人間關係等內容；（2）重新定義並詳細說明資料種類和蒐集方法；（3）修正資料信託功能認定基準︰新增複數業者共同經營資料銀行，隱私保護對策以及確保資料銀行透明性和個人資料之自主控制等規定；（4）新增資料信託功能模範條款之應記載事項︰包括與限制行為能力人締結契約之程序，以及向第三方提供資料之條件等規定。為確保資料銀行透明性和個人資料之自主控制，第二版指引新增資料倫理審查會規定，要求資料銀行設置資料倫理審查會並定期向其報告，審查會則應就個人與資料銀行間契約、個資利用目的、向第三方提供資料之條件等事項提供建議。
本文為「經濟部產業技術司科技專案成果」
- 零售業個資安全宣導暨安全維護計畫規劃說明會
- 數位經濟時代的隱私保護與商機－CBPR跨境隱私規則體系解析
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(實體)
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(直播)
- 零售業個資安全宣導暨安全維護計畫說明會（高雄場）
- 零售業個資安全宣導暨安全維護計畫說明會（台中場）
- 【台北場1】通訊傳播事業個資法遵教育訓練
- 【台中場】通訊傳播事業個資法遵教育訓練
- 【新北場】通訊傳播事業個資法遵教育訓練
- 【高雄場】通訊傳播事業個資法遵教育訓練
- 【台北場2】通訊傳播事業個資法遵教育訓練
- 零售業個資法遵實務與資訊安全說明會
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 零售業個資法遵實務與資訊安全說明會（台中場）
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
周晨蕙
副主任 編譯整理
美國聯邦貿易委員會(Federal Trade Commission, FTC)於2013年8月29日對位於亞特蘭大的一家小型醫療測試實驗室LabMD提出行政控訴，指控LabMD怠於以合理的保護措施保障消費者的資訊（包括醫療資訊）安全。FTC因此依據聯邦貿易委員會法(Federal Trade Commission Act, FTC Act)第5條展開調查，並要求LabMD需強化其資安防護機制（In the Matter of LabMD, Inc., a corporation, Docket No. 9357）。 根據FTC網站揭示的資訊，LabMD因為使用了點對點（Peer to Peer）資料分享軟體，讓客戶的資料暴露於資訊安全風險中；有將近10,000名客戶的醫療及其他敏感性資料因此被外洩，至少500名消費者被身份盜用。 不過，LabMD反指控FTC，認為國會並沒有授權FTC處理個人資料保護或一般企業資訊安全標準之議題，FTC的調查屬濫權，無理由擴張了聯邦貿易委員會法第5條的授權。 本案的癥結聚焦於，FTC利用了對聯邦貿易委員會法第5條「不公平或欺騙之商業行為(unfair or deceptive acts)」的文字解釋，涉嫌將其組織定位從反托拉斯法「執法者」的角色轉換到（正當商業行為）「法規與標準制訂者」的角色，逸脫了法律與判例的約束。由於FTC過去曾對許多大型科技公司（如google）提出類似的控訴，許多公司都在關注本案後續的發展。
Amazon無法阻擋家居家飾用品零售商Williams-Sonoma對其提出之智財侵害訴訟，此訴訟案將持續進行…美國高端家居家飾用品零售商Williams-Sonoma於美國加州北區聯邦地方法院指控電商巨頭Amazon企圖誤導消費者，使消費者認為Amazon是Williams-Sonoma授權的經銷商。 2018年12月14日Williams-Sonoma向法院提起了智財侵權等訴，主張Amazon犯有下列行為，並請求損害賠償及禁制令： 侵害了Williams-Sonoma旗下West Elm品牌的Orb椅子設計專利，專利號為D815,452。 在Amazon網站上及行銷廣告中使用Williams-Sonoma的商標而有商標侵害及仿冒之行為。 在Amazon網站上及行銷廣告中使用Williams-Sonoma的商標而有商標淡化之侵害行為。 不公平競爭行為。 Williams-Sonoma指出就商標部分，Amazon未經授權，在其網站設立一Williams-Sonoma銷售網頁，並在廣告及該網頁中使用未經授權的Williams-Sonoma商標，且未標示清楚網頁中的商品並非直接由Williams-Sonoma提供；甚至於Amazon的搜尋引擎廣告及電子郵件廣告中誤導消費者，使消費者認為可以在Amazon網站上買到Williams-Sonoma授權的商品。 Amazon於今（2019）年2月提出動議主張該案與商標相關之部分應予駁回，辯稱其僅是提供一個平台，使在其他地方購買的Williams-Sonoma產品可以轉售給消費者，適用第一次銷售原則。但該地院法官表示：「就整體而言Amazon不僅是轉售Williams-Sonoma的產品，而是塑造錯誤的印象讓人誤以為在Amazon網站的這些銷售是經過授權，使一個合理謹慎的消費者（reasonably prudent consumer）會產生誤認混淆。」，因此裁定駁回被告Amazon提出的動議，本案將會進入法院審判。 Williams-Sonoma提出的訴訟案其實也是Amazon發展自有品牌衍生的抄襲問題以及與其他大型品牌商緊張關係的展現。Amazon扮演著既是合作夥伴也是競爭者的角色，使得一些大型品牌商陷入困境，若不在Amazon網站銷售，產品很有可能會銷售不佳，但若在Amazon網站銷售，則Amazon會蒐集銷售產品的資料並且製造類似但較便宜的自有品牌產品銷售。Amazon此種飽受爭議的營運模式所牽扯的智財爭議仍有待後續追蹤 。 圖片來源：COURT DOCUMENTS 「本文同步刊登於TIPS網站（https://www.tips.org.tw）」
日本與歐盟達成GDPR適足性認定之合意，預定於今年秋天完成相關程序日本個人情報保護委員會於5月31日與歐盟執行委員會，對於取得之個人資料跨境傳輸相互承認達成實質合意。歐盟今年5月施行之歐盟個人資料保護規則（European Union General Data Protection Regulation,GDPR）對於個人資料之跨境傳輸係採「原則禁止、例外允許」模式，因此只有在符合例外之情形下，個人資料才能進行跨境傳輸，而例外獲得許可的情形包括由企業自主採行符合規範的適當保護措施，或取得個資當事人明確同意等方式。此外，GDPR也規定對第三國或地區個人資料保護水平是否達到GDPR標準，為適足性認定制度，取得此一認定資格者，即可自由與歐盟間進行個人資料跨境傳輸。目前有瑞士等11個國家及地區取得認定，日本則尚未取得。 日本為了減輕企業的負擔，2016年7月個人情報委員會決定處理方針，以取得相互認定承認為目標；於2017年1月歐盟執行委員會政策文書發表，將日本列為適足性認定之優先國家，將持續進行雙方後續對話。自2016年4月自2018年5月為止累計對話協商53次。於2017年5月施行修正之個人資料保護法，新導入域外適用規定，並對於國外執行當局為必要資訊提供為相關規定。依據上述對話意見，今年2月14日審議擬定「個人資料保護法指引－歐盟適足性認定之個人資料傳輸處理編(個人情報の保護に関する法律についてのガイドラインーEU域内から十分性認定により移転を受けた個人データの取扱い編)」草案，於今年4月25日至5月25日完成草案預告及意見徵集程序，預定於今年7月上旬訂定發布。其後，將於今年秋天完成歐盟與日本間相互指定與認定程序。亦即，個人情報保護委員會基於個人資料保護法第24條規定，指定歐洲經濟區（EEA）為與日本有同等水準之個人資料保護制度之外國，而歐盟執行委員會依據GDPR第45條規定，認定日本為具備適足保護水準。相互認定後，日本與歐盟間得相互為個人資料傳輸，如有相互協力必要性發生時，個人情報保護委員會及歐洲執行委員會應相互協議以為解決。
WhatsApp因違反GDPR遭愛爾蘭資料保護委員會開罰2.25億歐元愛爾蘭資料保護委員會（Data Protection Commission，DPC）於今（2021）年9月宣告WhatsApp Ireland Limited（下稱WhatsApp）違反歐盟一般資料保護規則（General Data Protection Regulation，GDPR）並處以高額裁罰。 DPC自2018年12月起主動調查WhatsApp是否違反GDPR下的透明化義務，包括WhatsApp透過其軟體蒐集用戶與非用戶的個人資料時，是否有依GDPR第12條至第14條提供包括個資處理目的、法律依據等相關資訊，以及該資訊有無符合透明化原則等，其中又以WhatsApp是否提供「如何與其他關係企業（如Facebook）分享個資」之相關資訊為調查重點。 歷經長時間的調查，DPC作為本案領導監管機關（lead supervisory authority），於2020年12月依GDPR第60條提交裁決草案予其他相關監管機關（supervisory authorities concerned）審議。惟DPC與其他相關監管機關就該裁決草案無法達成共識，DPC復於今年6月依GDPR第65條啟動爭議解決程序，而歐洲資料委員會（European Data Protection Board）在同年7月對裁決草案中的疑義做出有拘束力之結論，要求DPC提高草案中擬定的罰鍰金額。 DPC最終在今年9月2日公布正式裁決，認定WhatsApp未依第12條至第14條提供資訊予「非軟體用戶」之資料主體，而「軟體用戶」的部分也僅有41%符合規範，嚴重違反GDPR第5(1)(a)條透明化原則。據此，以母公司Facebook全集團營業額作為裁罰基準，DPC對WhatsApp處2.25億歐元之罰鍰，為GDPR生效以來第二高的裁罰，並限期3個月改善。