英國金融科技未來政策展望

  英國為眾多國家中致力發展金融科技的佼佼者,其相關政府部門-英國金融行為監理總署(Financial Conduct Authority, FCA)早於2016年即推出世界首例金融監理沙盒(Financial Regulatory Sandbox)制度,同時也與英格蘭銀行致力發展開放銀行業務、金融創新項目以及監管措施改革等等。也因為英國為金融科技提供了良好的環境以及養分,使目前英國金融科技佔全球市場總額10%,並有71%的英國公民至少接受一間金融科技公司提供服務;2020年金融科技為英國吸引了41億美元的投資,遠超德國、瑞典、法國、瑞士和荷蘭的總和。

  為使英國金融科技持續成長,英國財政大臣於2020年要求針對英國金融科技現況及未來發展進行獨立性研究,該研究並於2021年2月公布。根據研究報告指出,英國金融科技正面臨下述三大問題:

  1. 其他國家紛紛仿效英國之成功模式,致使英國金融科技不再具有獨占地位。
  2. 英國脫離歐盟導致監管措施的不確定性。
  3. 新冠肺炎的來襲,迫使各國均快速發展並靈活運用金融科技,導致英國金融科技優勢地位逐漸喪失。

  為了解決上述三大問題,研究報告提出了五項建議計畫:

  1. 針對政策以及監管方式之持續進步 雖然英國目前仍處於金融科技政策以及監管的領先地位,但隨著業務、科技等發展,必須確保政策以及監管方式繼續保護金融消費者,同時創造鼓勵創新和競爭的環境。因此建議的方案包含:實施新型態監理沙盒(Scalebox);建立一個數位經濟工作小組以確保政府各部門之一致性;確保金融科技成為貿易政策的一部分。
  2. 培養人才 英國需要確保金融科技擁有充足的國內和國際人才供應,以及因為預計在2030年,英國有90%勞動者需要學習新技能,因此也需要培訓和提升現有和未來勞動力技能的方案。因此建議的方案包含:辦理針對成年人進行再培訓和提高技能之短期課程;創建一個新的簽證類型,以提高獲得全球人才的機會;為學習金融科技的學生以及創業者建立媒合平台,設置金融科技人才管道。
  3. 建立友善的投資環境 英國雖然透過私募基金成功地為英國金融科技事業募資,但英國仍應該持續加強金融科技事業從初創到公開發行的一系列融資過程,尤其是融資的後期階段。因此建議的方案包含:擴大金融科技獎勵措施以及便利金融科技事業籌資(包含:擴大研發稅收抵免額度、企業投資計畫、風險投資信託);英國應該另行增設一個約10億英鎊之基金供金融科技發展使用;放寬英國上市公司限制(例如:雙層股權結構);創設一個全球金融科技指數以擴大金融科技事業知名度。
  4. 與國際合作 雖然英國目前取得金融科技的成功和未來數位貿易崛起的機會,但仍應採取更多的措施用以獲得更多國際支持,這將會成為英國在脫離歐盟後針對國際開放性作出的重大表態。因此建議的方案包含:針對金融科技提出國際行動方案;推動設立金融、創新和技術中心,並成立國際金融科技工作小組;推出國際金融科技認證組合。
  5. 英國國內整合 金融科技在國家的支持下,英國各地皆分布大量的金融科技人才。為了保持英國作為金融科技中心的地位,英國須注重規模和支持區域專業,尤其是大學正在創造的重要的智慧財產權。因此建議的方案包含:培育十大金融科技重鎮,而每個重鎮均應設置一個以強化金融科技、培養專家以及增加國家競爭力為目的的三年目標;通過金融、創新和技術中心協調國內金融科技發展策略;通過進一步的投資計畫加快金融科技重鎮的發展以及成長。

※ 英國金融科技未來政策展望, 資訊工業策進會科技法律研究所, https://stli.iii.org.tw/article-detail.aspx?d=8667&no=64&tp=1 (最後瀏覽日:2026/06/09)
引註此篇文章
你可能還會想看
中國大陸知識產權海關保護措施與因應對策

中國大陸知識產權海關保護措施與因應對策 資策會科技法律研究所 法律研究員 林宜臻 104年12月30日   中國大陸是仿冒品的產銷大國,仿冒品除了於中國大陸盛行之外,更有可能於中國大陸製造後出口至海外銷售。若仿冒品不慎從中國大陸市場擴散至海外市場,將增加企業監控打擊仿冒品的成本。中國大陸為因應仿冒品的進出口,設置了知識產權(台灣稱為智慧財產權,以下同)海關保護規範和配套措施。企業可透過海關保護的行政力量,達到監控、扣留(台灣稱為查扣,以下同)仿冒品進出口的效果。甚至當仿冒品案件的損害達到一定金額時,海關會主動將案件移送刑事公安部門,權利人可利用公安部門介入調查仿冒案件的契機,找出整個仿冒製假鏈,進而從製假源頭開始打擊仿冒品。建議企業可妥善利用知識產權海關保護措施,以達成降低仿冒品擴散海外的風險。 壹、事件摘要   企業啟動知識產權海關保護措施有兩種方式,其一為事先將欲受保護之知識產權於「知識產權海關保護系統」中備案,其二為由企業自行監控仿冒品進出口情形,針對個案提出扣留申請。   第一種方式,權利人將知識產權在海關備案系統中登錄後,海關在日常監控進出口貨物時會依照權利人的備案內容檢查進出口貨物。當海關發現有疑似侵權的產品欲通關時,會主動將貨物扣留並通報權利人,權利人可立即知悉有仿冒品欲進出口並派員處理。若確認貨物的確有侵權疑慮,再向海關申請扣留該批貨物。扣留後海關即會調查貨物是否構成侵權,若發現案件侵害情節重大,即會將案件移送公安部門進行刑事立案。   第二種方式,若企業未事先於知識產權海關保護系統中備案,則可於發現仿冒貨品進出口的資訊後,個案向海關提出扣留申請[1]。權利人申請海關扣留,應繳納與貨物等值的擔保金[2],提出申請書、證明文件[3]及足以證明侵權事實明顯存在的證據,證明貨物即將進出口且未經許可使用了其知識產權,始可向海關申請扣留貨物。海關依權利人的申請而扣留貨物後,不會調查該批貨品究竟侵權與否,而是留待權利人自行調查並該批仿冒品的相關業者起訴。若權利人在一定期限內沒有在法院起訴,則海關將放行貨物。   對企業而言,自行花時間成本監控是否有仿冒貨物進出口是較為困難且成效有限的。中國大陸各地關口甚多,可能因無法確切掌握仿冒品進出口的口岸和貨物進出口資訊而錯失申請查處的良機。根據中國海關總署的統計,查獲仿冒品的方式中,經權利人登錄備案而海關依職權扣留仿冒品的比例為99%,大幅超過依申請扣留的1%[4]。由此可知,有備案而海關主動依職權查緝扣留仿冒品的成效,遠超過企業自行查緝仿冒品進出口後申請扣留的成效。而若為海關依職權扣留,更有可能由海關移送公安部門而啟動刑事調查,降低企業自行蒐證調查的困難。   建議企業可積極執行知識產權海關備案,讓海關主動依職權查扣仿冒品,為企業減少日常監控所花費的人力資源等成本,並有效提升查扣成效。另外,即使於系統中完成備案,亦應於企業內部建立備案的相關因應機制,避免因未及達成海關扣留程序上的要求,而讓海關放行仿冒品,無法達成海關備案的目的。本文以下介紹企業執行備案採取知識產權海關保護措施時,企業內部應注意的事項及應建立的因應流程。 貳、重點說明 一、備案啟動海關知識產保護   在中國大陸註冊取得的商標權、專利權或符合著作權法中的著作權皆可登錄備案,有權登錄備案者為知識產權權利人。目前海關總署不接受知識產權的被許可人(台灣稱為被授權人,以下同)提出的備案申請,但是被許可人可以作為代理人代表權利人申請備案。中國大陸地區以外的權利人,則必須委託境內的自然人、法人或者其他組織(例如境外權利人在境內設立的辦事機構)向海關總署申請備案。備案系統為線上申請,於系統註冊成功後根據欄位填入對應資料[5]並隨附權利證明[6],填寫並上傳完成相關證明文件後,系統即會提交至海關總署審核。海關總署將在收到申請後的30個工作日內作出准駁決定。備案申請費用一案為人民幣800元[7],備案有效期為十年,於知識產權權利有效期限內可續展備案,每次續展十年。知識產權失效者或無續展者,海關備案失效。   因海關查緝仿冒品係依據備案內容審核進出口貨物,故備案時提供的資料與仿冒品查緝成效有相當程度的關聯,例如若備案時未詳細填寫合法授權人名單,將可能會導致合法經銷授權人進出口貨物遭海關扣留,延誤通關時間,或可能遭仿冒業者假冒為經銷授權人的名義進出口貨物,使海關誤認而放行。是故企業於備案系統中填寫資料時應力求詳盡完備,備案完成後若相關資料有所變更(例如經銷/代理商等授權名單變動),應及時於備案系統中更新。 二、扣留流程中的注意事項   海關在監控進出口貨物時,若發現貨物有侵犯備案知識產權疑慮者,將書面通知備案權利人。權利人自通知送達日起3個工作日內需提出確認扣留申請並繳納擔保金,始可扣留該批貨物。申請扣留需出具扣留申請書、侵權鑑定書,並繳納擔保金。易言之,自收到海關扣留通知起只有3個工作天的時間可準備申請書、鑑定書和籌措擔保金,假設企業內部事先未建立相關處理流程,很容易因時間延誤而無法提出扣留申請,平白喪失扣留仿冒品的機會。建議企業在收到海關通知後,盡快派員前往海關現場處理侵權鑑定事宜,並應事先作成鑑定侵權貨物時的侵權檢視要點,避免人員特地到現場鑑定卻無功而返,反而浪費寶貴的時間。有備案的情形下,扣留所需的擔保金上限為十萬元[8],建議企業可事先編列經費支付申請海關扣留擔保金的來源,避免無法在期限內籌措擔保金而錯過扣留機會。權利人逾期未提出申請或未提供擔保者,海關不得扣留貨物[9]。   海關扣留貨物後,自扣留之日起30個工作日內完成貨物侵權調查認定,不能認定是否侵權者亦會書面通知權利人[10]。海關調查時,若認定仿冒案件侵害情節重大[11],會將案件移送公安部門刑事立案,立案成功後公安即介入以刑事案件調查仿冒貨物。若仿冒貨物可藉由海關刑事移送而轉以刑事案件調查,將可藉由公安部門的刑事力量降低企業自行蒐證上的困難。故在海關調查的階段,建議企業可積極提供侵權事證給海關,並確認海關核算的侵害金額是否合理,以確保可達刑事移送的標準。海關扣留的同時,權利人應積極向法院起訴,否則若海關調查完畢認定不侵權或無法認定是否侵權,且又未收到法院發出的協助執行通知,即會放行該批貨物[12]。另外,待案件結束後可向海關請求返還擔保金,返還的金額應為繳納的擔保金金額扣除處理仿冒貨物所發生的倉儲或侵權貨物銷毀等費用。但因擔保金返還的時程並未明文規定於知識產權海關保護相關條文中,故建議企業在案件結束後可積極向海關跟催擔保金返還進度,以免因延宕過久而不了了之。 參、小結   企業妥善利用知識產權海關保護措施,可更及時地阻止仿冒品進出口,避免仿冒侵權損失進一步擴大至其他市場。啟動知識產權海關保護措施可分為事先備案,和企業自行監控發現仿冒品欲進出口後向海關個案申請扣留兩種方式。若企業有執行海關備案,不需自行監控仿冒品的進出口,海關即會根據備案資料針對進出口貨物進行侵權與否的比對,發現有疑似侵權的貨品欲通關,即會扣留該批貨品並通知權利人處理,確認扣留後海關更會主動調查貨物的侵權情形。而透過知識產權海關保護措施的執行,企業更有機會藉由海關行政查處或移送刑事部門立案後的調查,取得更多仿冒品的相關資訊和證據,進而有效且徹底的打擊整個仿冒產業鏈,降低仿冒再發的風險。   除了事先於海關備案系統登錄備案外,企業亦應於企業內部建立海關扣留仿冒品的因應流程,以確保知識產權海關保護措施可發揮最大的效益。權利人在海關備案系統登錄欲受保護的知識產權後,海關即會於日常審閱報關單時依據權利人在備案系統中登錄的資料扣留有侵權疑慮的貨品。建議企業應盡可能詳盡填寫備案系統中的欄位並提供相關佐證資料,若備案完成後資料有任何更動也應即時在系統中更新,以提升海關查緝扣留仿冒品的機率。收到海關扣留通知後因提出確認扣留申請的時間很短,建議應事先做成侵權檢視要點清單,提高現場人員的鑑定效率,並預先編列支付擔保金的預算,以免超過支付期限而無法扣留。海關調查期間則應積極提供仿冒貨物的侵權證據給海關,並確保仿冒貨品的侵害金額計算無誤,以促成海關將案件移送刑事公安部門立案。同時建議企業應盡快向法院提起訴訟,避免海關因誤判貨物未侵權而放行。案件結束後應注意積極跟催擔保金返還進度,以免擔保金石沉大海。除此之外,因從收到海關通知到企業提出扣留申請的期限很短,建議企業應提早在企業內部建立海關扣留應對處理流程(包含權責主管及人員、處理時限、經費來源、外部合作顧問單位等),以及時因應侵權案件的處理,使知識產權海關保護措施發揮最大效益,盡可能降低仿冒品擴散到海外市場的風險。 [1]中華人民共和國知識產權海關保護條例第12條:「知識產權權利人發現侵權嫌疑貨物即將進出口的,可以向貨物進出境地海關提出扣留侵權嫌疑貨物的申請。」 [2]中華人民共和國知識產權海關保護條例第14條:「知識產權權利人請求海關扣留侵權嫌疑貨物的,應當向海關提供不超過貨物等值的擔保,用於賠償可能因申請不當給收貨人、發貨人造成的損失,以及支付貨物由海關扣留後的倉儲、保管和處置等費用。」 未備案而依申請扣押的情形中,企業需負擔與貨物等值的擔保金金額,亦即擔保金金額無上限。而若有備案而依職權扣押,則擔保金支付最高上限為十萬元,大幅限縮了企業的負擔,是故此亦為建議企業事先備案的原因之一。 [3]中華人民共和國知識產權海關保護條例第13條:「知識產權權利人請求海關扣留侵權嫌疑貨物的,應當提交申請書及相關證明文件,並提供足以證明侵權事實明顯存在的證據。 申請書應當包括下列主要內容: (一)知識產權權利人的名稱或者姓名、註冊地或者國籍等; (二)知識產權的名稱、內容及其相關資訊; (三)侵權嫌疑貨物收貨人和發貨人的名稱; (四)侵權嫌疑貨物名稱、規格等; (五)侵權嫌疑貨物可能進出境的口岸、時間、運輸工具等。」 [4]海關總署政策法規司(2013),《中國海關知識產權保護狀況及備案名錄(2013)》,北京:中國海關出版社 [5]中華人民共和國知識產權海關保護條例實施辦法第6條:「知識產權權利人向海關總署申請知識產權海關保護備案的,應當向海關總署提交申請書。申請書應當包括以下內容: (一) 知識產權權利人的名稱或者姓名、註冊地或者國籍、通信地址、連絡人姓名、電話和傳真號碼、電子郵箱位址等。 (二) 註冊商標的名稱、核定使用商品的類別和商品名稱、商標圖形、註冊有效期、註冊商標的轉讓、變更、續展情況等;作品的名稱、創作完成的時間、作品的類別、作品圖片、作品轉讓、變更情況等;專利權的名稱、類型、申請日期、專利權轉讓、變更情況等。 (三)被許可人的名稱、許可使用商品、許可期限等。 (四)知識產權權利人合法行使知識產權的貨物的名稱、產地、進出境地海關、進出口商、主要特徵、價格等。 (五)已知的侵犯知識產權貨物的製造商、進出口商、進出境地海關、主要特徵、價格等。 知識產權權利人應當就其申請備案的每一項知識產權單獨提交一份申請書。知識產權權利人申請國際註冊商標備案的,應當就其申請的每一類商品單獨提交一份申請書。」 [6] 權利證明文件如商標註冊證、著作權自願登記證明或可證明為著作權人的資料、專利證書等。其他文件如授權他人使用的合約、權利人合法行使知識產權的貨物及包裝照片、已知侵權貨物進出口資訊等。 [7]費用以「權利」計案。例如,五個專利使用在一個商品上,需提出五件備案申請;一個專利用在五種商品上,只需提出一件備案申請。 [8]中華人民共和國知識產權海關保護條例實施辦法第23條:「有事先備案之知識產權權利人請求海關扣留侵權嫌疑貨物的,應當按照以下規定向海關提供擔保: (一)貨物價值不足人民幣2萬元的,提供相當於貨物價值的擔保; (二)貨物價值為人民幣2萬至20萬元的,提供相當於貨物價值50%的擔保,但擔保金額不得少於人民幣2萬元; (三)貨物價值超過人民幣20萬元的,提供人民幣10萬元的擔保。」 [9]中華人民共和國知識產權海關保護條例第16條 [10]中華人民共和國知識產權海關保護條例第20條 [11] 例如侵害金額達十五萬元以上、著作權盜版光碟達五百片以上者。 [12]中華人民共和國知識產權海關保護條例第24條:「有下列情形之一的,海關應當放行被扣留的侵權嫌疑貨物: (一)海關依照本條例第十五條的規定扣留侵權嫌疑貨物,自扣留之日起20個工作日內未收到人民法院協助執行通知的; (二)海關依照本條例第十六條的規定扣留侵權嫌疑貨物,自扣留之日起50個工作日內未收到人民法院協助執行通知,並且經調查不能認定被扣留的侵權嫌疑貨物侵犯知識產權的; (三)涉嫌侵犯專利權貨物的收貨人或者發貨人在向海關提供與貨物等值的擔保金後,請求海關放行其貨物的; (四)海關認為收貨人或者發貨人有充分的證據證明其貨物未侵犯知識產權權利人的知識產權的; (五)在海關認定被扣留的侵權嫌疑貨物為侵權貨物之前,知識產權權利人撤回扣留侵權嫌疑貨物的申請的。」

打開學校網路教學的潘朵拉盒子-談教師所開發數位教材的著作權歸屬

歐盟新提出之《數位服務法》將針對科技巨擘實施更加嚴格之規定

  歐盟委員會在2020年1月提出之工作計畫中,即表示2020年第四季度將會提出新的《數位服務法案》《Digital Services Act》,以因應新興數位時代下的歐洲。   2020年10月29日歐盟競爭事務專員表示,幾個科技巨擘針對每天蒐集大量訊息並加以過濾篩選,最後傳遞予公眾有限數量消息的過程,將必須採取更多措施以清除非法及有害的內容,此舉旨在解決與大型社交媒體平台相關之兩大問題,即仇恨言論之傳播以及傷害社會公共對話與民主之言論。   該法案將規範科技公司須針對其行為製作報告,並告知使用者,他們所看到的廣告是由誰付費進行投放、為什麼他們會成為這支廣告的目標對象。蓋因科技公司之數位平台先是無償蒐集使用者個人資料及偏好,再針對這些資料進行分析後,對使用者量身訂製廣告行銷策略,最後科技公司依靠此套方法賺進大量廣告收益,例如,臉書與Google在2018年的廣告收入佔據總收入百分之九十八及百分之八十五以上。   該法案亦將針對科技公司篩選訊息,最後有選擇性的發送特定訊息予社會大眾及量身訂製置入廣告之行為,設立明確規則,羅列應作為或是不作為之清單。例如禁止推銷自己的服務,蓋阻止競爭對手向消費者提供更好的交易服務,等同於變相阻止消費者享受自由競爭和創新的成果;故將先設立協調一致之調查框架,提供一套統一的規則以調查數位服務市場已存之結構性問題,而後在必要時可以採取相關行動,使市場更加具有競爭力。歐盟預計將於2020年12月2日宣布《數位服務法》草案,在正式立法之前,會再與歐盟國家取得一致共識。

美國各州逐步研議透過立法豁免企業資安事件賠償責任

美國各州逐步研議透過立法豁免企業資安事件賠償責任 資訊工業策進會科技法律研究所 2024年06月10日 為鼓勵企業採用資安標準與框架,美國已有幾州開始透過立法限縮企業資安事件賠償責任,企業若能舉證證明已符合法令或遵循業界認可之資安框架和標準,則於資安攻擊事件所致損害賠償訴訟中,將無需承擔賠償責任。 壹、事件摘要 為避免有心人士於未取得經授權下近用網路和敏感資料,企業往往投入大量資源打造資安防護架構,惟在現今網路威脅複雜多變的環境下,仍可能受到惡意資安攻擊,導致資料外洩事件發生,導致企業進一步面臨訴訟求償風險,其中多數指控為未實施適當的資安措施。為此美國佛羅里達州和西維吉尼亞州研議透過立法限縮企業之資安事件賠償責任,以鼓勵企業採用資安標準、框架與資安相關法令。 貳、重點說明 繼美國俄亥俄州[1]、猶他州[2]和康乃狄克州[3]相繼頒布法令,讓已實施適當安全維護措施之企業,豁免資安攻擊所致資料外洩之損害賠償責任,佛羅里達州和西維吉尼亞州近期亦提出相似法案,以下介紹兩州法案之重點: 一、佛羅里達州 美國佛羅里達州於2023年11月公布《資安事件責任法案》 (H.B 473: Cybersecurity Incident Liability)[4],法案納入「安全港條款」(Safe Harbor),當企業遭受資安攻擊致生個資外洩事件,如可證明已遵循產業認可的資安標準或框架,實施適當的資安措施與風險控管機制,則可免於賠償責任,以鼓勵企業採納資安標準或框架。 為適用安全港條款,企業須遵循佛羅里達州資訊保護法(The Florida Information Protection Act),針對資料外洩事件,通知個人、監管機關和消費者,並建立與法案內所列當前產業認可的資安標準、框架,或是特定法令規範之內容具一致性的資安計畫(Cybersecurity Programs): (一)當前產業認可的資安標準、框架 1. 國家標準暨技術研究院(National Institute of Standards and Technology, NIST)改善關鍵基礎設施資安框架(Framework for Improving Critical Infrastructure Cybersecurity)。 2. NIST SP 800-171-保護非聯邦系統和企業中的受控非機密資訊。 3. NIST SP 800-53 和 SP 800-53A- 資訊系統和企業的安全和隱私控制/ 評估資訊系統和企業中的安全和隱私控制。 4. 聯邦政府風險與授權管理計畫(Federal Risk and Authorization Management Program, FedRAMP)安全評估框架。 5. 資安中心( The Center for Internet Security, CIS)關鍵安全控制。[5] 6. ISO/IEC 27000系列標準。 7. 健康資訊信任聯盟(The Health Information Trust Alliance, HITRUST)通用安全框架(Common Security Framework)[6]。 8. 服務企業控制措施類型二(Service Organization Control Type 2, SOC 2)框架。 9. 安全控制措施框架(Secure Controls Framework)。 10. 其他類似的產業標準或框架。 (二)特定法令規範 企業(entity)如受以下法令規範,亦得適用安全港條款,如法令有修訂,企業應在發布修訂後的一年內更新其資安計畫: 1. 健康保險可攜與責任法(The Health Insurance Portability and Accountability Act, HIPAA)之安全要求。 2. 金融服務現代化法(The Gramm-Leach-Bliley Act)第五章。 3. 2014 年聯邦資訊安全現代化法(The Federal Information Security Modernization Act of 2014)。 4. 健康資訊科技促進經濟和臨床健康法(The Health Information Technology for Economic and Clinical Health Act, HITECH)之安全要求。 5. 刑事司法資訊服務系統 (The Criminal Justice Information Services, CJIS)安全政策。 6. 州或聯邦法律規定的其他類似要求。 該法案雖於2024年3月5日經佛羅里達州參議院三讀通過,但於2024年6月26日遭州長否決[7],其表示法案對於企業的保障範圍過於廣泛,如企業採取基礎的資安措施與風險控管機制,便得主張適用安全港條款,將可能導致消費者於發生個資外洩事件時,無法受到足夠的保障。州政府鼓勵利害關係人與該州網路安全諮詢委員會(Florida Cybersecurity Advisory Council)合作,探求法案的替代方案,以保護消費者資料。 二、西維吉尼亞州 美國西維吉尼亞州於2024年1月29日提出眾議院第5338號法案[8],修訂西維吉尼亞法典(Code of West Virginia),增訂第8H章資安計畫安全港條款(Safe Harbor for Cybersecurity Programs),如企業符合業界認可的資安標準、框架或依特定法令建立與實施資安計畫,包含個人資訊和機敏資料的管理、技術和企業保障措施,將能夠於侵權訴訟中,主張適用避風港條款。 法令內明列評估企業所建立的資安計畫規模和範圍是否適當之要素,包含: 1. 企業的規模和複雜性; 2. 企業的活動性質和範圍; 3. 受保護資訊的敏感性; 4. 使用資安防護工具之成本和可用性; 5. 企業可運用的資源。 (一)當前產業認可的資安標準、框架 除與佛羅里達州法案所列舉業界認可的資安標準之前六項相同,另增加: 1 NIST SP 800-76-2個人身分驗證生物辨識規範(Biometric Specifications for Personal Identity Verification)[9]。 2. 資安成熟度模型認證(The Cybersecurity Maturity Model Certification, CMMC)至少達到第2級,並經外部驗證(external certification)。 (二)特定法令規範 除與佛羅里達州法案所列舉特定法令之前四項相同,另增加:由聯邦環境保護局(Environmental Protection Agency, EPA)、資安暨基礎設施安全局(Cybersecurity and Infrastructure Security Agency, CISA)或北美可靠性公司(North American Reliability Corporation)[10]所採用任何適用於關鍵基礎設施保護的規則、法規或指南。 惟目前法案已於2024年3月27日被西維吉尼亞州長否決[11],其表示透過安全港條款鼓勵企業實踐資安框架雖立意良好,但也可能遭濫用而帶來不當影響,例如TikTok等大型國際企業,如在違背公民意願情況下共享個人資料時,將免於訴訟,恐有損其公民權益,未來州政府將與利害關係人持續進行協商。 參、事件評析 佛羅里達州和西維吉尼亞州近期同步公布有關限制企業於資安事件之責任相關法案,內容亦為相似,西維吉尼亞州之法案目前已遭否決,主要係擔心該豁免條款遭到不當濫用;佛羅里達州之法案亦因對於企業保障過廣與無法保障消費者個資安全考量,而遭州長否決。 法案中明列受產業普遍認可的資安標準、框架與政府所頒布特定法令,有助企業明確遵循與採納,建立與實施資安計畫,惟如何舉證所建立之資安計畫或實施之資安措施,與法案所列之資安標準、框架,或是特定法令規範,具有實質上的一致性,仍不明確,將可能阻礙企業於訴訟上行使抗辯與主張責任豁免權。未來美國如何權衡產業穩健發展與民眾個資保障,仍有待持續觀察。 [1] Chapter 1354 - Ohio Revised Code, Ohio Laws, https://codes.ohio.gov/ohio-revised-code/chapter-1354 (last visited May 24, 2024). [2]Part 7 Cybersecurity Affirmative Defense Act, Utah StateLegislative, https://le.utah.gov/xcode/Title78B/Chapter4/78B-4-P7.html (last visited May 24, 2024). [3]Frederick Scholl, Connecticut’s New Breach Notification and Data Security Laws: Carrots and Sticks, Quinnipiac University, July,1,2021,https://www.qu.edu/quinnipiac-today/connecticuts-new-breach-notification-and-data-security-laws-2021-07-01/ (last visited May 24, 2024). [4]CSHB 473-Cybersecurity Incident Liability, The Florida Senate,https://www.flsenate.gov/Session/Bill/2024/473 (last visited Jun. 28, 2024). [5]資安中心( The Center for Internet Security, CIS)為美國非營利組織,負責推動CIS Controls,針對實際發生的資安攻擊行為提供防禦建議,作為企業保護 IT 系統和資料時可參考之最佳實務作法。資料來源:About us, Center for Internet Security, https://www.cisecurity.org/about-us (last visited Jun. 6, 2024). [6]What is HITRUST?, Schneider Downs,https://schneiderdowns.com/cybersecurity/what-is-hitrust/ (last visited May 24, 2024). [7]Governor of Florida, Vote letter for House Bill 473(2024), https://www.flgov.com/wp-content/uploads/2024/06/Veto-Letter_HB-473.pdf (last visited Jun. 28, 2024). [8]2024 REGULAR SESSION ENROLLED Committee Substitute for House Bill 5338, WEST VIRGINIA LEGISLATURE,https://www.wvlegislature.gov/Bill_Status/bills_text.cfm?billdoc=hb5338%20sub%20enr.htm&yr=2024&sesstype=RS&i=5338 (last visited May 24, 2024). [9]NIST SP 800-76-2 Biometric Specifications for Personal Identity Verification, National Institute of Standards and Technology, https://csrc.nist.gov/pubs/sp/800/76/2/final (last visited May 24, 2024). [10]北美電力可靠性公司(North American Electric Reliability Corporation, NERC),為一家非營利機構,致力推動關鍵基礎設施保護相關標準,以強化北美大規模電力系統(亦即電網)的可靠性和安全性,資料來源:https://www.nerc.com/Pages/default.aspx (last visited May 24, 2024). [11]Governor of West Virginia, Enrolled Committee Substitute for House Bill 5338(2024),https://www.wvlegislature.gov/Bill_Text_HTML/2024_SESSIONS/RS/veto_messages/HB5338.pdf (last visited May 24, 2024).

TOP