德國聯邦政府提出《資訊科技安全法2.0》草案
德國聯邦政府（Bundesregierung）於2020年12月16日通過「提升資訊科技系統安全性的第二版法律（Zweiten Gesetzes zur Erhöhung der Sicherheit informationstechnischer Systeme）」草案，又稱「資訊科技安全法2.0（IT-Sicherheitsgesetz 2.0）」，該草案概述如下：
(1)加強德國聯邦資訊安全局（Bundesamt für Sicherheit in der Informationstechnik, BSI）權限：
BSI可對聯邦行政事務行使控制與審查權、檢測資訊系統和公共電信網路相連的安全弱點、發展分析惡意軟體和攻擊的系統與程序，並擴張其對聯邦通訊技術紀錄資料的儲存期間至12個月。
(2)加強消費者保護：
導入IT安全標籤（IT-Sicherheitskennzeichen），製造商應於該標籤中置入產品安全性聲明與由BSI提供之IT安全性資訊；此外BSI有權要求電信服務業者和產品製造商提供其儲存資料與相關必要資訊。
(3)加強企業作為義務：
關鍵基礎設施提供者有報告及使用攻擊檢測系統檢測安全威脅的義務，該報告義務在草案中將擴張適用於具特定公共利益之公司，如與國防和保密資訊IT產業相關、具經濟上重要性的公司，以及受重大事故條例（Störfallverordnung, StöV）所規範者。
(4)加強國家保護功能：
國家應建立認證機制，並課予關鍵基礎設施的供應者通過該認證的義務，即供應者需確保其設施內的零件不具不適當的技術特性，尤其可能被間諜活動或恐怖主義用以破壞關鍵基礎設施的安全與功能之重要零件。
該草案目前於德國聯邦議院（Deutscher Bundestag）進行審查。
本文為「經濟部產業技術司科技專案成果」
- 【台北場1】通訊傳播事業個資法遵教育訓練
- 【台中場】通訊傳播事業個資法遵教育訓練
- 【新北場】通訊傳播事業個資法遵教育訓練
- 【高雄場】通訊傳播事業個資法遵教育訓練
- 【台北場2】通訊傳播事業個資法遵教育訓練
- 114年「企業營業秘密保護實務座談會」（南部場）
- 114年「企業營業秘密保護實務座談會」（中部場）
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
- 商業服務業個資管理與資訊安全實務宣導說明會（高雄場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台南場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台中場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台北場）※如遇颱風假延期至7/16
羅文妗
專案經理 編譯整理
潘俊良，〈德國聯邦網路局發布電信網路安全要求要點〉，資策會科技法律研究所，https://stli.iii.org.tw/article-detail.aspx?tp=5&i=180&d=8273&no=67（最後瀏覽日：2021/01/05）。
據2024年1月5日IAM報導（下稱IAM報導）依據Deloitte 2023年的研究報告（Deloitte IP 360 Survey）指出大部分的企業雖然有認知到營業秘密對於企業而言承載重大的價值，但仍通常缺乏管理的意識和具體措施，然而對於企業來說營業秘密管理卻是具有重要性的。 IAM報導綜整了一篇Deloitte 2023年的研究報告（Deloitte IP 360 Survey，下稱系爭報告），其針對橫跨15個國家、5大產業共57間公司的智慧財產管理成熟度進行調查分析，系爭報告指出大部分的企業針對專利、商標等註冊取得之智慧財產權多擁有成熟且全面的管理措施，但針對其他難以發現的無形資產（“hard-to-find” intangibles），如營業秘密、資料、know-how等，通常缺乏管理的意識和措施，例如：大約有29%的受訪者表示企業「未積極地捕獲」（原文為actively capture，大意指識別、管理和保護）營業秘密；約14%的受訪者表示企業未建立標準化流程或方針以識別營業秘密。並且，針對營業秘密的具體管理作法，IAM報導特別著重以下三點： 1.主動監測：僅僅只有25%的受訪者表示，企業有主動監測營業秘密之產出，並具有相關管制措施。 2.教育訓練：有42%的受訪者表示未受過營業秘密意識的訓練（trade secret awareness training）。IAM報導特別指出，若員工對於營業秘密的範圍以及重要性沒有概念，則營業秘密管理機制的建立也會失去其意義。 3.離職面談：即使有相當大比例的營業秘密訴訟源於離職員工，但在既有離職面談中是否有納入營業秘密意識訓練的調查上，僅有不到一半（47%）的受訪企業表示有做，24%的企業表示沒有做，還有29%的企業不確定是否有做。 綜上所述，系爭報告提出，許多企業在營業秘密的管理上仍有很大的進步空間，並提醒，在訴訟上只有營業秘密擁有者採取「合理保密措施」（包括建立標準化機制）來保護營業秘密時，在法律上才能獲得更大的保護以及獲得損害賠償的機會。 針對營業秘密管理制度建置，企業可參考資策會科法所發布之「營業秘密保護管理規範」，該規範從識別營業秘密開始，到營業秘密使用管理、員工管理（包含人員進用離職時應採取措施、教育訓練）等均有相關要求，可協助企業透過PDCA循環建置系統性營業秘密規範，補足缺乏的營業秘密管理意識和具體保密措施。 本文同步刊登於TIPS網（https://www.tips.org.tw）
紐約市實施《生物辨識隱私法》強化生物特徵保護伴隨人工智慧、大數據及雲端運算浪潮，生物辨識技術逐漸成為日常生活的一部分。所謂生物辨識技術，是指利用個人獨特之生物特徵辨識個人的技術。生物特徵包含任何人類生理或行為特徵，只要能夠滿足普遍性、獨特性、不變性及可蒐集性 ，即可作為生物辨識之資訊。由於生物辨識技術能利用生物特徵達到識別與驗證個人身分，因而引發公眾對隱私、資安等議題的關注。 對此，紐約市於2021年7月21日也開始正式施行《生物辨識隱私法》（biometric privacy act） ，期能藉由限制業者利用生物辨識技術以及賦予消費者訴訟權利作法，促成隱私權的週全保障。 該法主要有三大部分： 一、規範生物辨識資訊範圍，包含但不限於（1）視網膜或虹膜掃描（2）指紋或聲紋（3）手或臉部立體掃描或是其他可用於識別之特徵。就前開生物特徵，要求業者應在所有消費者入口處放置清晰顯眼的標誌，搭配簡單易懂方式揭露其蒐集、保留、儲存消費者生物辨識資訊行為。同時，也明文禁止業者將消費者生物辨識資訊以販賣、租賃、交易或是分享方式交換任何相關價值或利益。 二、提供受侵害之消費者訴訟權與法定賠償請求權。但是，就單純未符合揭露要求之業者，該法給予30天的補救期間，要求消費者應於起訴前30天通知業者改善，一經改善即不得再起訴。 三、闡明政府相關部門不適用本法。金融機構、業者與執法部門共享生物辨識資訊，以及單純以影像、圖像蒐集而未分析識別情形則豁免揭露規範。 綜上，紐約市於該法創設訴訟權、法定賠償數額及豁免事由，預料將會是紐約市企業隱私保護政策重要指標，而值得我們繼續關注其發展與影響。
國家技術標準之制定政策-由英國BSI觀國家技術標準制定政策國家技術標準之制定政策 -由英國BSI觀國家技術標準制定政策 科技法律研究所 法律研究員 徐維佑 2014年12月03日 壹、前言 所謂技術標準（standards），指透過法規、私人企業、或者產業慣例形成的統一技術或特定規格，包括重量、大小、品質、材料或技術特徵（technical specifications），以使商品、服務、製造或製造程序方法能有共通的設計或相容性[1]；由特定標準制定組織要求市場上商品或服務應符合一定品質者，亦為技術標準，例如確保農產品符合人體食用的健康安全標準。 制定技術標準不但具有降低生產成本、促進創新、加強消費者選擇性、增進公共健康及安全等優點，更是國際貿易的基礎。以技術日新月異的ICT資訊通信產業而言，標準更是搶佔市場的利器。 貳、英國國家標準制定政策 成立於西元1901年之英國標準協會（British Standards Institution，以下簡稱BSI）為英國標準制定組織，亦是全球第一個國家標準機構，專門提供企業解決方案，將最佳實務模式（best practice）轉換成日常表現標準。BSI非政府機構，但透過與英國政府商業、創新與技術部門（Department for Business, Innovation and Skills, BIS）簽訂備忘錄，BSI成為英國國家標準制定組織，而其特色與任務大致如下： 一、以整體產業為考量之標準制定機構 BSI標準制定業務範圍[2]，除國家、區域、國際標準外，亦為私人企業、企業聯盟制定企業內部或企業聯盟間私人標準。標準制定之作法，係由產業界提名各領域之專業人員，及少數之政府部會官員成立標準制定委員會，各委員並非代表公司立場，而係以整體產業最有利立場參與會議；而BIS政府官員功能僅為傳達目前政府部會投入發展方向；標準制定委員會下，則設有技術委員會，委員各為特定技術領域之專家。BSI的原則為取得各界意見的平衡，在技術委員會成員組成上會避免單一勢力獨大，並盡力避免標準中包含特定權利人之智慧財產。 二、協助技術發展之階段式標準制定工作 BSI對於英國國內之技術研究、發展活動，採階段式引導標準化制定工作： 1、基礎研究階段：即早整合各利害關係人共識，建立共同發展對話基礎； 2、驗證技術可行性階段：藉由建立專家小組，發展初期測試方法與安全管理之共同觀點； 3、技術整合階段：即早為市場作準備，統一規格與測試方法，以及日後之技術升級方法； 4、原型製作階段：建立產業間行為準則，同時廣納消費者觀點，提昇該技術於市場之接受度； 5、應用測試、系統驗證階段：連結該技術與市場上產品、或其他服務、亦或其他標準組織制定之標準。 值得強調的是，BSI於研究發展活動各階段制定之標準提案草案皆會公佈於網站上，提供平台予大眾針對草案表示意見。 三、快速形成產業標準之PAS共通規範 BSI設有「可公開獲得的規範（publicly available specification, PAS）[3]」，相較於一般國家標準、國際標準，開發PAS時程較短，其目的為在英國國家標準或國際標準形成前，作為提早提供市場參考、使用之共通規範，國際標準如ISO亦有此制度。當技術共通規範成為PAS後，每3年接受技術委員會確認是否延續，或轉將其提案為國際標準。 私人企業可向BSI付費委託發展PAS共通規範。BSI會派專業人員指導企業如何撰寫PAS共通規範提案相關文件，集合內部專家團隊協助完成PAS共通規範提案。完成後對外召集內外部專家檢視PAS提案，包括標準制定委員會成員、政府官員、相關產業人員與消費者團體，並將檢視結果建議回饋給BSI內部專家團隊決定最終版本，公佈予給各界參考使用，公佈後之成果亦作為日後發展國家標準、國際標準之基礎。 參、結論 英國國家標準制定組織BSI，不遺餘力的協助產業自願性形成共識作為國家標準主軸，由產業推舉之專業人員與政府各領域官員作為技術委員會成員，平衡各界意見以整體產業發展為考量。藉由研究發展各階段性標準化工作，公開標準草案廣納各界意見，並盡力避免標準包含特定人之智慧財產權。並且，BSI協助國內企業發展PAS共通規範，除加速國內產業共識的形成外，更建立發展國際標準之良好基礎，摃動英國產業發展，並保障社會、環境、消費者之權益，值得我國學習。 [1]Mark A. Lemley, Intellectual Property Rights and Standard-Setting Organizations, 90 Calif. L. Rev. 1889, 1910-1911 (2002), available at http://scholarship.law.berkeley.edu/cgi/viewcontent.cgi?article=1392&context=californialawreview (last visited Aug. 28, 2014) [2]筆者親自訪談Daniel Mansfield政策主任，BSI Group總部，英國倫敦（2014/10/15）。 [3]ISO, ISO/PAS Publicly Available Specification (2014), http://www.iso.org/iso/home/standards_development/deliverables-all.htm?type=pas (last visited: 2014/10/01)
歐盟發布新人工智慧規範，以風險程度判斷防止科技濫用歐盟執委會於2021年4月21日提出「人工智慧規則」（AI regulation）草案，成為第一個結合人工智慧法律架構及「歐盟人工智慧協調計畫」（Coordinated Plan on AI）的法律規範。規範主要係延續其2020年提出的「人工智慧白皮書」（White Paper on Artificial Intelligence）及「歐盟資料策略」（European Data Strategy），達到為避免人工智慧科技對人民基本權產生侵害，而提出此保護規範。 「人工智慧規則」也依原白皮書中所設的風險程度判斷法（risk-based approach）為標準，將科技運用依風險程度區分為：不可被接受風險（Unacceptable risk）、高風險（High-risk）、有限風險（Limited risk）及最小風險（Minimal risk）。 「不可被接受的風險」中全面禁止科技運用在任何違反歐盟價值及基本人權，或對歐盟人民有造成明顯隱私風險侵害上。如政府對人民進行「社會評分」制度或鼓勵兒童為危險行為的語音系統玩具等都屬於其範疇。 在「高風險」運用上，除了作為安全設備的系統及附件中所提出型態外，另將所有的「遠端生物辨識系統」（remote biometric identification systems）列入其中。規定原則上禁止執法機構於公眾場合使用相關的生物辨識系統，例外僅在有目的必要性時，才得使用，像尋找失蹤兒童、防止恐怖攻擊等。 而在為資料蒐集行為時，除對蒐集、分析行為有告知義務外，也應告知系統資料的準確性、安全性等，要求高度透明化（Transparency obligations）。不只是前述的不可被接受風險及高風險適用外，有限風險運用中的人工智慧聊天系統也需要在實際和系統互動前有充足的告知行為，以確保資料主體對資料蒐集及利用之情事有充足的認知。 在此新人工智慧規範中仍有許多部份需要加強與討論，但仍期望在2022年能發展到生效階段，以對人工智慧科技的應用多一層保障。