加拿大聯邦上訴法院於Miller Thomson LLP v. Hilton Worldwide Holding LLP案指出,儘管企業在加拿大未設立實體店面,但如在加拿大有提供與該實體店相關聯的服務,仍可就其服務使用該企業之商標。
該案背景為希爾頓集團(Hilton Worldwide Holding)在加拿大未有華爾道夫酒店(Waldorf Astoria)的實體店,卻將WALDORF ASTORIA(下稱系爭商標)於加拿大註冊用於「酒店服務」。對造Miller Thomson欲在加拿大註冊「WALDORF」、「THE WALDORF」、「WALDORF HOTEL」等類此名稱的商標,遭希爾頓集團反對。Miller Thomson為此主張商標註冊官應命希爾頓集團依商標法第45條規定,提出有在加拿大使用系爭商標的證明。希爾頓集團指出,系爭商標有使用於全球預訂、付款服務,且加拿大客戶為忠誠會員亦有獎勵積分等。然而,商標註冊官以先前Motel 6 Inc. v. No. 6 Motel Ltd. [1982] 1 FC 638 (FCTD) (“Motel 6”)判決,與加拿大商標異議委員會(Trademarks Opposition Board,TMOB)Stikeman Elliott LLP v. Millennium & Copthorne International Ltd., 2015 TMOB 231 (“M Hotel”) and Maillis v Mirage Resorts Inc, 2012 TMOB 220等案,認為須由實際位於加拿大的酒店,始能提供酒店服務,遂撤銷系爭商標的註冊。
經希爾頓集團提起訴訟後,聯邦上訴法院認為商標法未有「服務」的定義,因此有無使用商標,認定方式應符合現代的商業慣例。聯邦上訴法院指出,無論企業提供的是主要服務、附帶服務或輔助服務,只要消費者從中獲得實質利益,即代表企業已實現其服務。準此,華爾道夫酒店在加拿大雖僅有預訂、付款服務,屬於附帶或輔助服務,但若消費者有因系爭商標的原因,而願意在加拿大利用華爾道夫酒店提供的附帶或輔助服務,並從中獲得利益,則可認定系爭商標有在加拿大被使用。
該判決的重要性在於確立即便在加拿大無實體存在,商標權人仍可將商標與其服務結合,但聯邦上訴法院提醒,僅在加拿大境外在網站上顯示商標,尚不足證明該商標有使用於所註冊的服務。此外,商標若結合於網路服務使用,則商標人與加拿大消費者間須有足夠程度的互動,因此,商標權人為了持續受商標法的保護,有必要詳細記錄業經註冊商標的使用情況,俾利在發生爭議時,有證據資料得以佐證。
美國總統歐巴馬於2009年2月26日提出的預算計畫書中(A New Era of RESPONSIBILITY: The 2010 Budge),提議增加無線頻譜收費(wireless spectrum fee)以幫助打銷1.7兆美元的財政赤字,該項提議預計在未來十年內,將為國庫帶來480億美元的財政收入,惟此提議卻遭質疑內容不夠清楚,且可能有礙原先政府提倡更有效率地使用頻譜之目的。 目前相關收費的細節不明。由於先前業者經由拍賣,以高昂價格取得頻譜執照主要係為提供語音及數據服務使用,因此外界推測此費用增加計劃可能針對電視與廣播頻譜收取頻率執照費。不過本案在送交眾議院審議前仍有改變之可能。 歐巴馬執政團隊於提出該項計畫後,Sprint Nextel與Verizon Wireless即刻提出問題,希望進一步了解其內容與相關規範,但白宮尚未針對該等問題做出回覆。收費標準設定勢必對現有現有廣電及電信業者,甚至頻譜交易市場造成影響,甚至影響頻譜使用的效益。 4月預算管理局(OMB)將提出的預算案中,會揭露更多有關該項收費增加的計劃說明。
日本推動智慧醫療照護與巨量資料應用之趨勢觀察 南韓率先啟動5G頻譜競標南韓率先啟動5G頻譜競標 資訊工業策進會科技法律研究所 法律研究員 陳芊儒 2018年11月25日 壹、事件摘要 2018年2月平昌冬奧期間,南韓為向全球展現5G超高速網路,南韓電信業者韓國電信(Korea Telecom, KT)透過英特爾(Intel)、Ericsson AB與三星電子之技術,聯合打造5G服務的應用場景[1]。在平昌冬奧的試驗以及多方經驗的累積下,南韓為進一步在起步中的5G產業享有話語權,其通訊主管機關「未來創造科學部」(Ministry of Science and ICT, MSIT)在5G的布局,與頻譜的釋照上更為積極,以令南韓成為全球第一個5G網路商用化國家[2]。 5G服務之使用與頻譜息息相關,為有利營運商打造5G應用,MSIT率先於2018年6月啟動3.5GHz與28GHz頻段之頻譜競標,並已於2018年6月18日順利結束[3]。由於我國通訊主管機關「國家通訊傳播委員會」(National Communications Commission, NCC)表示,台灣並非5G技術標準的制定者,而是「聰明的追隨者」[4],是以,南韓此次5G頻譜釋照似可作為我國未來之借鏡。 貳、重點說明 一、5G頻段之特性 5G未來之主要使用情境有三:更大頻寬(Enhanced Mobile Broadband, eMBB)、海量連結(Massive Machine Type Communication, mMTC)、超低時延(Ultra Reliable & Low Latency Communication, URLLC)[5]。採用頻段上,為應付5G時代多樣化的使用情境,其推動需同時借助多個頻段,以同時達到超廣泛覆蓋與超高速率之目標。 考量6GHz以下之頻段(sub-6GHz)與24-100GHz的毫米波頻段(Millimeter Wave, mmWave)過往較未受到使用,可較輕易被分割用於5G網路上,因此頻譜之選用上亦以此為主。其中,除了24GHz以上之高頻段外,sub-6GHz可進一步分為sub-2GHz的低頻段頻譜,以及2-6GHz之中頻段頻譜[6]。 覆蓋層(Coverage Layer):以sub-2GHz之低頻段為主(例如700MHz),以達到廣域與深度的室內網路覆蓋。 覆蓋與容量層(Coverage and Capacity Layer):介於2-6GHz之中頻段,尤以3.5GHz頻段為代表,該頻段能在網路容量和覆蓋範圍之間取得最佳平衡,為全球首個5G商用的頻段。 超大容量層(Super Data Layer):6GHz以上之高頻段(例如34.25-29.5GHz),用於滿足大容量、高速率的服務需求。 針對頻寬數額之分配,由於連續頻寬可降低載波聚合(Carrier Aggregation, CA)帶來的系統複雜性,還能提升能源效率,降低網路成本,因此營運商一般期望主管機關能釋出連續頻寬,以利5G網路之佈署。根據中國手機製造商華為2017年發布之「5G頻譜立場白皮書」(5G Spectrum: Public Policy Position),中頻段作為全球5G首商用的關鍵頻段,每個營運商應獲得至少100MHz的連續頻寬,毫米波方面,基於高頻度是為了進行大量的資料傳輸,對頻寬數額之要求更多,是以每個營運商應至少分配800MHz的連續頻段[7]。 二、南韓頻譜釋照政 (一)釋照政策之規劃 2018年3月,MSIT宣布於同年6月中進行首波5G頻譜拍賣,其後將日程訂於6月15日,標得之頻譜則會在拍賣後半年的12月1日正式生效,以順利於2019年3月推出5G商用[8]。在此背景下,南韓政府著手修訂基於《電波法》第45條所訂定的《電氣通信事業專用之無線設備技術基準》,由於上述無線設備基準僅規定4G,是以決議新設5G無線設備技術基準。藉由5G無線設備技術基準之規定,使得將來於南韓上市之5G無線設備,皆須符合南韓國家標準審議委員會(Korean Agency for Technology and Standards, KATS)訂定之國家標準統一標誌「KC認證」(Korea Certification Mark, KC Mark)[9],從而確保5G基地台與終端設備間的接取狀況[10]。 釋出頻段方面,MSIT在2018年4月19日「2018年行動通訊頻率分配計畫討論會」中,確認於3.5GHz頻段(3.42-3.7GHz)釋出280MHz頻寬、28GHz頻段(26.5-28.9GHz)釋出2400MHz頻寬。其中,MSIT將3.5GHz頻段的280MHz頻寬分為28個區塊(block),每個區塊10MHz,執照使用期限為10年;28GHz頻段的2400MHz頻寬則分成24個區塊,每個區塊100MHz,執照使用期限為5年[11]。 中頻段與高頻段執照使用期限之所以不同,除了MSIT認為毫米波頻段之穩定度尚嫌不足外[12],2019年的無線通訊大會(World Radiocommunication Conference 2019, WRC-19)預計將決定適合用於5G網路之毫米波頻段[13],推論MSIT為快速因應WRC-19之決議,設定之高頻段執照使用期限因此較短。 針對拍賣之底標金額(opening price),MSIT設定為3.3兆韓元(約合31億美元)。3.5GHz頻段之底標價額則參考2016年4G頻譜的底標金額2.6兆韓元,設定為2.65兆韓元(約合24.6億美元),每MHz為94.8億韓元(約合878萬美元)。28GHz頻段之底標價額為6,216億韓元(約合5.7億美元),每MHz之價格則為2.59億韓元(約合24萬美元)[14]。 表 1 南韓5G頻譜釋照規劃 頻段 3.5GHz 280MHz頻寬) 28GHz 2400MHz頻寬) 使用期限 10年 5年 競標方式 一區塊10MHz 共28區塊 一區塊100MHz 共24區塊 競標底價 2.65兆韓元 (每MHz 94.8億韓元) 6,216億韓元 (每MHz 2.59億韓元) 資料來源:本研究整理 (二)頻譜分配總量限制 頻段配置上,由於3.5GHz頻段僅釋出280MHz,然南韓電信市場主要由SK Telecom(SKT)、KT與LG U+三家電信業者組成,是以引發了頻寬可能分配不均之疑慮。KT與LG U+期望能公平分配頻譜,以將電信業者之間的頻段差異極小化;SKT則渴望取得大量頻段,以保持其於南韓電信產業之領導地位[15]。 MSIT為避免發生特定業者獨占頻寬之情形,因此分別對3.5GHz與28GHz的頻寬分配設置了「總量限制」[16]。針對3.5GHz頻段之分配,MSIT原先提出100MHz、110MHz、120MHz等三個級距。然若將總量限制設定為120MHz,可能會造成二家業者取得120MHz,另一家業者卻僅獲得40MHz,而難以開展5G相關應用之情形。考量頻寬之平均分配,MSIT最終決議將100MHz作為電信業者可於3.5GHz頻段取得之資源上限,28GHz之總量限制則定為1000MHz[17]。 參、事件評析 一、南韓5G頻譜競標結果 2018年6月18日,在南韓啟動頻譜競標三天後順利結束,整體競標金額達到3.6183兆韓元(約合32.6億美元),高於3.3兆韓元的底標價額[18]。3.5GHz頻段分配上,SKT支付1.222兆韓元,取得介於3.6-3.7GHz的100MHz頻寬;KT支付9,680億韓元,取得介於3.5-3.6GHz的100MHz頻寬;LG U+由於規模較小,因此僅取得剩餘的80MHz,競標金額則為8,095億韓元。28GHz頻段分配,SKT、KT與LG U+皆在支付2,072至2,078億兆韓元間不等之競標價額後,取得800MHz頻寬[19]。 考量未來5G頻譜之規劃與釋出,為形成連續頻寬,電信業者莫不期望盡可能地取得3.5GHz以上,以及28GHz以下的頻譜資源。SKT與KT雖同樣在3.5GHz頻段取得100MHz頻寬,惟SKT為持續於5G產業占有領導地位,因此積極參與競標,並標得MSIT釋出頻段中最高者,成為此次頻譜競標的最大贏家,花費之競標價金是以大幅高於KT。LG U+則取得較不利於組成連續頻寬的3.42-3.5GHz頻段[20]。然以28GHz而言,三家電信業者皆取得高達800MHz之頻寬,將有利於電信業者開展服務,衝刺傳輸速率,也與華為所發布之「5G頻譜立場白皮書」相符。 必須注意的是,此次競標結果較底標金額高了3000億韓元,可見頻譜資源爭奪之激烈。惟以現階段而言,三大電信業者每年須繳交之4G頻譜使用費已相當高昂,屆時5G頻譜使用費更可能會超過2兆韓元。在頻率使用費、網路建設成本、設備維護費用居高不下的情況下,或將影響南韓5G生態體系的發展,造成未來商用化後的成本轉嫁至消費端,導致通訊費用抬升,消費者福利下降之結果[21]。 表 2 南韓電信業者標得之5G頻段 3.5GHz 28GHz Total SKT 100MHz(3.6-3.7GHz) 1.222兆韓元 800MHz(28.1-28.9GHz) 2,073億韓元 1.43兆韓元 KT 100MHz(3.5-3.6GHz) 9,680億韓元 800MHz(26.5-27.3GHz) 2,078億韓元 1.18兆韓元 LG U+ 80MHz(3.42-3.5GHz) 8,095億韓元 800MHz(27.3-28.1GHz) 2,072億韓元 1.02兆韓元 資料來源:本研究整理 二、我國5G頻譜釋照政策 (一)法規調適與整備 考量全球5G發展受到高度關注,且我國行動通訊數據傳輸量自2015年Q1至2018年Q1,已成長四倍。NCC密切關注國際5G頻譜、技術之標準演進與制定,並於2018年9月19日的第822次委員會議中,聽取「5G整備計畫辦理進度」,已加強辦理中長期階段的5G頻譜,進行基礎環境法規之調適與整備[22]。 在因應5G基礎環境法規調適之部分,NCC一方面會積極研議有助5G時代網路建設之相關監理法規措施,包括促進基地台普及建設、鬆綁基地台設置管制等。另一方面,《電信管理法》(草案)則給予未來電信事業之頻率得出租出借,以及基礎網路建設可選擇自建或租用之彈性空間,以達鼓勵新創事業參進電信市場之效[23]。 (二)研擬釋出頻段與釋照規劃 NCC綜合考量接軌國際、設備生態成熟度、市場秩序及提升頻譜使用效率等面向,業就高、中、低頻段,初步整備出首波擬供5G應用服務之頻段,分別為28GHz、3.5GHz、1-2.4GHz間頻段。NCC在完成3.5GHz中頻段的實際量測評估,並進行頻段既有服務之盤點與研議後,規劃釋出200MHz以上之頻寬。毫米波之頻段相對單純,初步規劃於28GHz釋出2GHz之頻寬[24]。 對於釋照時程,NCC表示除了會配合各階段頻譜資源整備到位,與現行頻譜屆期重整外,頻譜資源之分配及管理尚應本於公平、效率及維持市場競爭之原則辦理。目前NCC已辦理釋照前置研析工作,初步規劃在政策確定我國首波5G頻譜後,於2020年進行釋照[25]。 肆、結語 有鑑於第三代合作夥伴計畫(3rd Generation Partnership Project, 3GPP)已於2018年6月正式完成5G 通訊規範之制定,各國莫不積極投入5G商用化,南韓為保持其於通訊領域的領先地位,更成為全球首個同時釋出中頻段與高頻段之國家。是以,我國在研擬進行5G釋照時,似可借鑑南韓之案例,以使我國能在完備相關調適與準備之下,迎向行動寬頻新未來。 [1]Bloomberg, The PyeongChang Winter Olympics are Testing 5G: to Ward Off Wild Boars, Fortune (Feb. 13, 2018), http://fortune.com/2018/02/13/winter-olympics-2018-5g-networks/ (last visited Oct. 16, 2018). [2]鍾曉君,〈主要國家5G頻譜競拍態勢分析〉,資策會MIC,2018/04,https://mic.iii.org.tw/AISP/ReportS.aspx?id=CDOC20180430001(最後瀏覽日:2018/10/16)。 [3]Cho Mu-Hyun, South Korea Completes 5G Spectrum Auction, ZDNet (June 19, 2018, 3:31a.m.), https://www.zdnet.com/article/south-korea-completes-5g-spectrum-auction/ (last visited Oct. 16, 2018). [4]林厚勳,〈NCC「要做聰明的追隨者」 決定緩發5G頻譜執照,但這樣做真的聰明嗎?〉,TechOrange科技報橘,2018/09/18,https://buzzorange.com/techorange/2018/09/18/taiwan-5g-turn-around/(最後瀏覽日:2018/010/16)。 [5]Arnd Sibila, 5G Overview: Mobile Technologies and the Way to 5G, Rohde & Schwarz, at 13 (2017), https://cdn.rohde-schwarz.com/it/seminario/hi_technology_forum/Sibila_5G_Mobile_Technologies_and_the_way_to_5G.pdf (last visited Oct. 16, 2018). [6]Huawei, 5G Spectrum: Public Policy Position, at 2 (2017), https://www-file.huawei.com/-/media/CORPORATE/PDF/public-policy/public_policy_position_5g_spectrum.pdf?la=en (last visited Oct. 16, 2018). [7]Id. at 6. [8]Monica Alleven, South Korea Wraps 5G Auction for 3.5, 28GHz, Fierce Wireless (June 20, 2018, 6:05 p.m.), https://www.fiercewireless.com/wireless/south-korea-wraps-5g-auction-for-3-5-28-ghz (last visited Oct. 17, 2018). [9] e나라 표준인증,〈국가통합인증마크(KC)〉,https://standard.go.kr/KSCI/crtfcPotIntro/crtfcMarkIntro.do?menuId=541&topMenuId=536(最後瀏覽日:2018/10/19)。 [10]한국방송통신전파진흥원,〈전기통신사업용 무선설비 기술기준 일부 개정〉,2018/04/23,https://www.kca.kr/open_content/bbs.do?act=detail&msg_no=217&bcd=propagation(最後瀏覽日:2018/10/19)。 [11]Seo Ji-Eun, Science Ministry Plans 5G Frequency Auction, Korea Joongang Daily (Apr. 20, 2018), http://koreajoongangdaily.joins.com/news/article/article.aspx?aid=3047170 (last visited Oct. 17, 2018). [12]Id. [13]Attila Matas, WRC-19 Agenda Items and Challenges, ITU, at 13, https://www.itu.int/en/ITU-D/Regional-Presence/AsiaPacific/Documents/Events/2017/Aug-ISS2017/PAPER_S2_Workshop_Attila_Matas.pdf (last visited Oct. 17, 2018). [14]Joseph Waring, Korea Reveals Cost of 5G Spectrum, Mobile World Live (Apr. 20, 2018), https://www.mobileworldlive.com/asia/asia-news/korea-reveals-cost-of-5g-spectrum/ (last visited Oct. 17, 2018). [15]顏思涵,〈南韓即將進行5G頻譜競標 頻寬縮減引發分配爭議〉,Digitimes,2018/04/17,https://www.digitimes.com.tw/tech/dt/n/shwnws.asp?cnlid=1&cat=235&id=0000529269_0pp3ixi35b0973lbjuzk4&ct=1&wpidx=10(最後瀏覽日:2018/10/18)。 [16]Cho Mu-Hyun, South Korea’s 5G Spectrum Auction to Start at $3 Billion, ZDNet (Apr. 20, 2018, 4:02 a.m.), https://www.zdnet.com/article/south-koreas-5g-spectrum-auction-to-start-at-3-billion/ (last visited Oct. 17, 2018). [17]Cho Jin-Young, Korean Mobile Carriers Expected to Wage ‘War of Money’ in Frequency Auction, Business Korea (Apr. 4, 2018, 01:45 a.m.), http://www.businesskorea.co.kr/news/articleView.html?idxno=21453 (last visited Oct. 18, 2018). [18]Cho Mu-Hyun, supra note 3. [19]TeleGeography, MSIT Announces Results of 5G Spectrum Auction (June 19, 2018), https://www.telegeography.com/products/commsupdate/articles/2018/06/19/msit-announces-results-of-5g-spectrum-auction/ (last visited Oct. 18, 2018). [20]鍾曉君,前揭註2,頁3。 [21]同前註,頁4。 [22]國家通訊傳播委員會,〈國家通訊傳播委員會第822次委員會議 議程〉,2018/09/19,https://www.ncc.gov.tw/chinese/files/18091/66_40492_180918_1.pdf(最後瀏覽日:2018/10/19)。 [23]國家通訊傳播委員會,〈全球5G發展受到高度關注,國家通訊傳播委員會從國際觀察及國內議題不同面向,就頻譜整備、法規環境整備、垂直場域應用之整合、釋照規劃等進行研析討論並報告階段性進度,促使5G提升台灣數位經濟能量目標〉,2018/09/19,https://www.ncc.gov.tw/chinese/news_detail.aspx?site_content_sn=8&cate=0&keyword=&is_history=0&pages=1&sn_f=40500(最後瀏覽日:2018/10/19)。 [24]國家通訊傳播委員會,〈邁入行動寬頻新世紀,國家通訊傳播委員會以資源整備、法規調適、促進網路建設及鼓勵創新應用等面向與策略持續完被我國5G發展基礎環境。詹婷怡主委並利用出席2018年監理者論壇及第49屆年會的機會,與美國聯邦通信委員會主委Ajit Pai就5G發展策略進行意見討論,也說明行政院相當重視5G發展,將於十月底召開5G SRB會議凝聚共識〉,2018/10/12,https://www.ncc.gov.tw/chinese/news_detail.aspx?site_content_sn=8&cate=0&keyword=&is_history=0&pages=0&sn_f=40574(最後瀏覽日:2018/10/19)。 [25]同前註。
美國各州逐步研議透過立法豁免企業資安事件賠償責任美國各州逐步研議透過立法豁免企業資安事件賠償責任 資訊工業策進會科技法律研究所 2024年06月10日 為鼓勵企業採用資安標準與框架,美國已有幾州開始透過立法限縮企業資安事件賠償責任,企業若能舉證證明已符合法令或遵循業界認可之資安框架和標準,則於資安攻擊事件所致損害賠償訴訟中,將無需承擔賠償責任。 壹、事件摘要 為避免有心人士於未取得經授權下近用網路和敏感資料,企業往往投入大量資源打造資安防護架構,惟在現今網路威脅複雜多變的環境下,仍可能受到惡意資安攻擊,導致資料外洩事件發生,導致企業進一步面臨訴訟求償風險,其中多數指控為未實施適當的資安措施。為此美國佛羅里達州和西維吉尼亞州研議透過立法限縮企業之資安事件賠償責任,以鼓勵企業採用資安標準、框架與資安相關法令。 貳、重點說明 繼美國俄亥俄州[1]、猶他州[2]和康乃狄克州[3]相繼頒布法令,讓已實施適當安全維護措施之企業,豁免資安攻擊所致資料外洩之損害賠償責任,佛羅里達州和西維吉尼亞州近期亦提出相似法案,以下介紹兩州法案之重點: 一、佛羅里達州 美國佛羅里達州於2023年11月公布《資安事件責任法案》 (H.B 473: Cybersecurity Incident Liability)[4],法案納入「安全港條款」(Safe Harbor),當企業遭受資安攻擊致生個資外洩事件,如可證明已遵循產業認可的資安標準或框架,實施適當的資安措施與風險控管機制,則可免於賠償責任,以鼓勵企業採納資安標準或框架。 為適用安全港條款,企業須遵循佛羅里達州資訊保護法(The Florida Information Protection Act),針對資料外洩事件,通知個人、監管機關和消費者,並建立與法案內所列當前產業認可的資安標準、框架,或是特定法令規範之內容具一致性的資安計畫(Cybersecurity Programs): (一)當前產業認可的資安標準、框架 1. 國家標準暨技術研究院(National Institute of Standards and Technology, NIST)改善關鍵基礎設施資安框架(Framework for Improving Critical Infrastructure Cybersecurity)。 2. NIST SP 800-171-保護非聯邦系統和企業中的受控非機密資訊。 3. NIST SP 800-53 和 SP 800-53A- 資訊系統和企業的安全和隱私控制/ 評估資訊系統和企業中的安全和隱私控制。 4. 聯邦政府風險與授權管理計畫(Federal Risk and Authorization Management Program, FedRAMP)安全評估框架。 5. 資安中心( The Center for Internet Security, CIS)關鍵安全控制。[5] 6. ISO/IEC 27000系列標準。 7. 健康資訊信任聯盟(The Health Information Trust Alliance, HITRUST)通用安全框架(Common Security Framework)[6]。 8. 服務企業控制措施類型二(Service Organization Control Type 2, SOC 2)框架。 9. 安全控制措施框架(Secure Controls Framework)。 10. 其他類似的產業標準或框架。 (二)特定法令規範 企業(entity)如受以下法令規範,亦得適用安全港條款,如法令有修訂,企業應在發布修訂後的一年內更新其資安計畫: 1. 健康保險可攜與責任法(The Health Insurance Portability and Accountability Act, HIPAA)之安全要求。 2. 金融服務現代化法(The Gramm-Leach-Bliley Act)第五章。 3. 2014 年聯邦資訊安全現代化法(The Federal Information Security Modernization Act of 2014)。 4. 健康資訊科技促進經濟和臨床健康法(The Health Information Technology for Economic and Clinical Health Act, HITECH)之安全要求。 5. 刑事司法資訊服務系統 (The Criminal Justice Information Services, CJIS)安全政策。 6. 州或聯邦法律規定的其他類似要求。 該法案雖於2024年3月5日經佛羅里達州參議院三讀通過,但於2024年6月26日遭州長否決[7],其表示法案對於企業的保障範圍過於廣泛,如企業採取基礎的資安措施與風險控管機制,便得主張適用安全港條款,將可能導致消費者於發生個資外洩事件時,無法受到足夠的保障。州政府鼓勵利害關係人與該州網路安全諮詢委員會(Florida Cybersecurity Advisory Council)合作,探求法案的替代方案,以保護消費者資料。 二、西維吉尼亞州 美國西維吉尼亞州於2024年1月29日提出眾議院第5338號法案[8],修訂西維吉尼亞法典(Code of West Virginia),增訂第8H章資安計畫安全港條款(Safe Harbor for Cybersecurity Programs),如企業符合業界認可的資安標準、框架或依特定法令建立與實施資安計畫,包含個人資訊和機敏資料的管理、技術和企業保障措施,將能夠於侵權訴訟中,主張適用避風港條款。 法令內明列評估企業所建立的資安計畫規模和範圍是否適當之要素,包含: 1. 企業的規模和複雜性; 2. 企業的活動性質和範圍; 3. 受保護資訊的敏感性; 4. 使用資安防護工具之成本和可用性; 5. 企業可運用的資源。 (一)當前產業認可的資安標準、框架 除與佛羅里達州法案所列舉業界認可的資安標準之前六項相同,另增加: 1 NIST SP 800-76-2個人身分驗證生物辨識規範(Biometric Specifications for Personal Identity Verification)[9]。 2. 資安成熟度模型認證(The Cybersecurity Maturity Model Certification, CMMC)至少達到第2級,並經外部驗證(external certification)。 (二)特定法令規範 除與佛羅里達州法案所列舉特定法令之前四項相同,另增加:由聯邦環境保護局(Environmental Protection Agency, EPA)、資安暨基礎設施安全局(Cybersecurity and Infrastructure Security Agency, CISA)或北美可靠性公司(North American Reliability Corporation)[10]所採用任何適用於關鍵基礎設施保護的規則、法規或指南。 惟目前法案已於2024年3月27日被西維吉尼亞州長否決[11],其表示透過安全港條款鼓勵企業實踐資安框架雖立意良好,但也可能遭濫用而帶來不當影響,例如TikTok等大型國際企業,如在違背公民意願情況下共享個人資料時,將免於訴訟,恐有損其公民權益,未來州政府將與利害關係人持續進行協商。 參、事件評析 佛羅里達州和西維吉尼亞州近期同步公布有關限制企業於資安事件之責任相關法案,內容亦為相似,西維吉尼亞州之法案目前已遭否決,主要係擔心該豁免條款遭到不當濫用;佛羅里達州之法案亦因對於企業保障過廣與無法保障消費者個資安全考量,而遭州長否決。 法案中明列受產業普遍認可的資安標準、框架與政府所頒布特定法令,有助企業明確遵循與採納,建立與實施資安計畫,惟如何舉證所建立之資安計畫或實施之資安措施,與法案所列之資安標準、框架,或是特定法令規範,具有實質上的一致性,仍不明確,將可能阻礙企業於訴訟上行使抗辯與主張責任豁免權。未來美國如何權衡產業穩健發展與民眾個資保障,仍有待持續觀察。 [1] Chapter 1354 - Ohio Revised Code, Ohio Laws, https://codes.ohio.gov/ohio-revised-code/chapter-1354 (last visited May 24, 2024). [2]Part 7 Cybersecurity Affirmative Defense Act, Utah StateLegislative, https://le.utah.gov/xcode/Title78B/Chapter4/78B-4-P7.html (last visited May 24, 2024). [3]Frederick Scholl, Connecticut’s New Breach Notification and Data Security Laws: Carrots and Sticks, Quinnipiac University, July,1,2021,https://www.qu.edu/quinnipiac-today/connecticuts-new-breach-notification-and-data-security-laws-2021-07-01/ (last visited May 24, 2024). [4]CSHB 473-Cybersecurity Incident Liability, The Florida Senate,https://www.flsenate.gov/Session/Bill/2024/473 (last visited Jun. 28, 2024). [5]資安中心( The Center for Internet Security, CIS)為美國非營利組織,負責推動CIS Controls,針對實際發生的資安攻擊行為提供防禦建議,作為企業保護 IT 系統和資料時可參考之最佳實務作法。資料來源:About us, Center for Internet Security, https://www.cisecurity.org/about-us (last visited Jun. 6, 2024). [6]What is HITRUST?, Schneider Downs,https://schneiderdowns.com/cybersecurity/what-is-hitrust/ (last visited May 24, 2024). [7]Governor of Florida, Vote letter for House Bill 473(2024), https://www.flgov.com/wp-content/uploads/2024/06/Veto-Letter_HB-473.pdf (last visited Jun. 28, 2024). [8]2024 REGULAR SESSION ENROLLED Committee Substitute for House Bill 5338, WEST VIRGINIA LEGISLATURE,https://www.wvlegislature.gov/Bill_Status/bills_text.cfm?billdoc=hb5338%20sub%20enr.htm&yr=2024&sesstype=RS&i=5338 (last visited May 24, 2024). [9]NIST SP 800-76-2 Biometric Specifications for Personal Identity Verification, National Institute of Standards and Technology, https://csrc.nist.gov/pubs/sp/800/76/2/final (last visited May 24, 2024). [10]北美電力可靠性公司(North American Electric Reliability Corporation, NERC),為一家非營利機構,致力推動關鍵基礎設施保護相關標準,以強化北美大規模電力系統(亦即電網)的可靠性和安全性,資料來源:https://www.nerc.com/Pages/default.aspx (last visited May 24, 2024). [11]Governor of West Virginia, Enrolled Committee Substitute for House Bill 5338(2024),https://www.wvlegislature.gov/Bill_Text_HTML/2024_SESSIONS/RS/veto_messages/HB5338.pdf (last visited May 24, 2024).