新加坡國會於2020年11月通過個人資料保護法之修正案

  新加坡通訊暨資訊部(Ministry of Communications and Information, MCI)於2020年11月2日發布新聞稿表示,新加坡國家議會(Parliament of Singapore)通過個人資料保護法(Personal Data Protection Act, PDPA)修正案。主要由新加坡個人資料保護委員會(Personal Data Protection Commission, PDPC)擔任執行與管理機關,而新加坡個人資料保護法僅適用於私人企業、非公務機關。

  新加坡通訊暨資訊部特別強調,該個人資料保護法於2013年1月生效,而近年物聯網、人工智慧等新興科技瞬息萬變,隨著資料量急遽增長,企業組織利用個人資料進行創新,成為了社會、經濟和生活的一部分,此次修法意在因應新興科技的進步與新商業模式的發展,使該法可適應、接軌於複雜的數位經濟趨勢,同步維護消費者在數位經濟中的權益,更加符合國際框架,使總部位於新加坡的公司在擴展全球市場時,有助其調整和降低合規成本與風險。主要將加強消費者保護並支持企業業務創新,希望以最大程度提高私部門收益、減少蒐集和利用個人資料的風險,以取得平衡,修訂重點整理如下:

  1. 透過組織問責制度,加強消費者之信任;
  2. 加強組織使用個人資料開發創新產品,提供個人化服務、提高組織之營運效率;
  3. 資料外洩時的強制性通知規定、責任(可參見26A條以下);
  4. 提高企業造成資料外洩時的罰款最高額度,當企業組織年營業額超過1000萬美金者,可處以該組織在新加坡年營業額的10%,或100萬新加坡幣(約62萬歐元),以較高者為準(可參見48J條以下);
  5. 強化個人資料保護委員會的執法權限,提高執法效率;
  6. 為了強化消費者的自主權(consumer autonomy)、對其個資的控制權,規範資料可攜義務(data portability obligation),使個人能要求將其個人資料的副本傳輸到另一個組織(可參見26F條以下);
  7. 允許企業在特定合法利益(legitimate interests)、業務改善(business improvement purpose)之目的情況下,對於個資之蒐集、使用、揭露,得例外不經當事人同意,意即不需經當事人事先同意,即可蒐集、利用或揭露消費者個資,例如開發改善產品和進行市場調查研究、在支付系統中進行異常檢測以防止詐欺或洗錢、改善營運效率和服務等目的。(可參見附表一第三、第五部分)
  8. 允許關聯企業(related corporations)間,在基於「明確定義相關限制」(clearly defined limits)之相同目的前提下,例如透過具有拘束力的公司規則(binding corporate rules)施以一定限制時,可在彼此內部間蒐集、揭露個人資料。(可參見附表一第四部分)
  9. 針對「視為同意」(deemed consent)之相關規定,包含告知後同意(consent by notification)做進一步修訂,將允許企業組織在具契約必要性等特定情形下,在未明確徵得當事人同意之下,向另一個組織或外部承包商(contractors)揭露其個人資料,以利履行契約(fulfil contracts),但該組織與該當事人之間的契約中需有明示條款(express terms)。(可參見15A條以下)

相關連結
你可能會想參加
※ 新加坡國會於2020年11月通過個人資料保護法之修正案, 資訊工業策進會科技法律研究所, https://stli.iii.org.tw/article-detail.aspx?d=8580&no=64&tp=1 (最後瀏覽日:2026/03/13)
引註此篇文章
你可能還會想看
美國國會眾議院發布數位資產市場結構法案討論稿,期望建立明確監管框架

隨著加密資產與區塊鏈技術的迅速發展,美國國會眾議院於2025年5月5日提出《數位資產市場結構法案討論稿》(Digital Asset Market Structure Discussion Draft),旨在制定新法並同時修改多部美國聯邦金融法規,以建立數位資產的清晰監管框架,期促進美國數位資產市場創新、投資人保障與維護市場公平,其討論重點如下: 1. 數位資產定義與監管職權劃分:於證券法(Securities Act)與商品交易法(Commodity Exchange Act)新增大量關於數位資產的定義,並明確劃分證券交易委員會(Securities and Exchange Commission, SEC)與商品期貨交易委員會(Commodity Futures Trading Commission, CFTC)的監管界線。 2. 去中心化金融(Decentralized Finance, DeFi)、穩定幣與成熟區塊鏈系統的豁免機制:成熟區塊鏈系統、受核准的支付型穩定幣(Permitted Payment Stablecoins)與特定DeFi活動(如:驗證交易、提供用戶介面等)得排除法令適用,為區塊鏈項目提供更彈性的監管途徑。 3. 市場參與者註冊要求:規定數位商品交易所、經紀商、交易商之市場參與者,應向CFTC註冊之相關要求,遵循包含資本規範、客戶資金隔離、交易監控、報告義務等原則,以提升市場透明度和投資者保護。 4. 數位資產領域研究:要求SEC與CFTC應設立金融創新辦公室(Offices of Financial Innovation) 和創新實驗室(LabCFTC),進行多項關於數位資產領域的研究,包含DeFi、金融市場基礎設施之改善等,以提供監管機構新興技術資訊。

美國提出個人資料安全及外洩通報法草案

  華盛頓特區於今〈2010〉年8月5日由阿肯薩州及維及尼亞州參議院議員Pryor及John Rockefeller所倡議之「個人資料安全及外洩通報法」〈Data Security and Breach Notification Act of 2010〉,其旨趣,在於統一美國各州不同個資外洩通報法,並嘗試為消費者個人資料之安全及隱私設定全國性的標準。   Pryor法案曾於2007年提出,惟當時未能通過,其立法緣由係為處理美國各州、聯邦及國際間政府對個資安全與日俱增之重視。其規範內容,在要求處理及儲存消費者私人資訊,諸如「社會安全碼」〈social security numbers〉之企業,一旦發生資料外洩事件,需對國家提出通報,如該事件對消費者產生現實的「身分盜竊」〈identity theft〉或「帳戶詐欺」〈account fraud〉風險,則應於發現個資外洩六十日內通知受影響之消費者。   Pryor法案之適用對象甚廣,故有認為,該法一旦通過,其將成為繼美國金融服務法〈the Gramm-Leach-Bliley Act,簡稱GLBA〉後的模範法典,其適用對象包括受GLBA規範之金融機構及任何個人〈any individual〉、合夥〈partnership〉、公司〈corporation〉、信託〈trust〉、工地產產業〈estate〉、合作社〈cooperative〉、協會〈association〉、維持或傳送「敏感的會計資訊」或「敏感的個人資訊」之業主〈entity that maintains or communicates “sensitive account information” or “sensitive personal information”〉,但並不包括任何政府辦事處或其他聯邦、州政府單位、地方政府〈any agency or other unit of the federal,state, or local government〉或任何其下所再劃分之單位〈any subdivision thereof〉。   惟此一倡議中之資料安全立法不論法令遵循或執行皆有一定難度,因該法雖要求對超出「損害門檻」之資料外洩需對消費者通報,但對「損害門檻」並無明確定義。此外,受影響之企業似無實行適當風險評估之誘因,除需耗費大量成本評估外洩事件是否超過損害門檻外,尚需面臨企業名譽受損與客戶不滿之損失,在個資外洩要素風險指導原則付之闕如之情形下,企業恐無法客觀地評估自身個資外洩之風險。故有建議,解決之道,應明定損害門檻,並聘請外部專家或使用市場新工具,訂定客觀的指導原則,使企業在處理個資外洩問題時能減輕混亂及鼓勵評估結果的一致性並縮短風險評估的時間。   就資訊安全部分,此法案揭櫫於其通過一年內,美國商務、科學及交通委員會〈Committee on Commerce, Science, and Transportation〉應頒布規定,要求擁有或處理含有個人資料或契約之企業,必須建立並執行蒐集、使用、出售,及其他傳播、維持個人資訊之資訊安全政策,以達保護個人資料之目的。

美國Farmers Insurance Group在加州以竊取營業秘密為由控告前員工以及Automobile Club of Michigan

  2017年10月,美國知名保險公司Farmers Insurance Group(下稱Farmers)在加州法院提訴,控告前員工Venkatesh Kamath(下稱Kamath)、前資訊長Shohreh Abedi(下稱Abedi)和競爭對手American Automobile Association(下稱AAA協會)旗下的Automobile Club of Michigan(下稱Auto Club)竊取營業秘密。   Farmers聲稱,於2015年起使用Guidewire Software(下稱Guidewire),以更新其理賠處理和保險服務系統。Kamath因Guidewire業務,接觸到Farmers高度敏感與機密資訊。Abedi前為Kamath上司,曾監督Guidewire計畫初期階段。之後Abedi至Auto Club任職,協助Auto Club轉換使用Guidewire,並挖角包括Kamath在內許多Farmers員工。Kamath離職前,從Farmers電腦中拷貝超過6400份檔案,其中包括與Guidewire計畫及Famers核心業務相關的營業秘密資訊。   Farmers控訴Kamath、Abedi及Auto Club違反加州營業秘密法(California Trade Secret Act)、從事不公平競爭、違反忠實義務及其他事由,除訴請賠償外,也請求法院禁止被告使用其營業秘密。   本案非Farmers與AAA協會首次因營業秘密事宜而對訟。2010年間,Farmers曾控告AAA協會旗下Auto Club Group竊取其投保客戶機密資訊,惟該案當時經法院以Farmers未能證明有何損失或損害為由,駁回其訴。Farmers公司於2017年10月對Auto Club提起的本件訴訟,法院實務的發展為何,值得後續觀察。

美國參議員提案規範物聯網設備之資安漏洞

  美國參議員2017年08月01日提案立法,要求提供給美國政府的物聯網網路連結設備,須符合產業資訊安全標準,同時規範設備供應商,提供之設備必須可持續更新,不得含有無法更改參數的設定與不得具有任何已知安全漏洞。兩黨皆有參與提案參議員,共和黨為Cory Gardner和Steve Daines,以及民主黨的Mark Warner和Ron Wyden。   由於物聯網連結數持續成長,與物聯網相連的裝置與感應器,預計在2020年會超過200億台裝置,相關裝置的資料蒐集與傳輸,同時影響消費者與產業。當這些裝置在出廠時若預設無法更改的參數,即預設固定程式無法更新,則該裝置連接物聯網時,會因裝置無法更新程式,而可能產生資安漏洞,進而影響物聯網上其它連結設備之安全性。   2016至今,物聯網相關設備已被惡意阻斷服務攻擊(DDOS)影響相關網站、伺服器以及網路基礎設施提供者。   Warner等4位參議員提出的〈2017年物聯網資安改進法〉(Internet of Things (IoT) Cybersecurity Improvement Act of 2017)草案,主要關注: 聯邦政府採購的物聯網相關設備,須可持續更新、符合產業標準、不含無法更改內建參數的設定、以及不含已知安全漏洞。 行政管理和預算局(Direct the Office of Management and Budget ,OMB),須發展可供替代網路級(network-level)資安設備以供限制性資料處理。 國土安全部的國家保護和計畫局(National Protection and Programs Directorate)須向提供連線設備予聯邦政府的承包商,發布整合性的資安漏洞揭露指導原則。 免除資安研究人員基於誠實信用研究時,所揭露與資安漏洞有關之法規責任。 要求所有執行機構清點所有連結物聯網的設備。

TOP