英國發布出口軍用與軍民兩用技術定義與範圍之指南
英國國際貿易部（Department for International Trade, DIT）於2021年3月22日發布《出口軍用與軍民兩用技術定義與範圍之指南》（Exporting military or dual-use technology Guidance: definitions and scope），以協助使用者定義「技術」與「轉讓軍用或軍民兩用技術的法規範圍」。指南中說明，出口管制目的旨在防止出口技術及技轉可能導致開發或製造武器而危及國家安全，而非禁止合法貿易或知識傳播。任何管制技術的永久或暫時性出口或技轉（Technology transfer）均應取得出口許可證，包括展演、海外招標或投標、履約等行為。
首先在適用主體上，指南說明適用出口管制規範，為所有在英國國境內之人（不論國籍）和組織以及特定情況下的海外英國人，向外國人或海外地區為出口、技轉、或是使海外人員取得受管制技術之情況。
指南中所謂技術者，包含《英國戰略出口管制清單》（UK Strategic Export Control Lists）、《2008年出口管制命令》（The Export Control Order 2008）與歐盟理事會第428/2009號規則（Council Regulation No 428/2009）之內容。有些管制技術會以不同形式呈現，例如藍圖、計畫、模型、程式、指導手冊等，其呈現的形式亦屬管制範圍。此外，部分技術若與大規模破壞武器（Weapon of Mass Destruction, WMD）、武器貿易禁令（arms embargoes）以及未經授權的軍事出口有關者，亦可能屬於受管制之技術，因此定義上十分廣泛。因應科技和網路發展，出口和技轉亦會以不同方式呈現。指南中說明，技轉包含（1）以有形的物理文件或存載於媒體的方式技轉，例如隨身碟、硬碟、筆電或平板等；（2）以電子式等無形形式技轉，例如電子郵件傳送等。無論受管制技術之技轉是否加密，均需取得出口許可證。
針對前述定義之出口和技轉方式，指南中也例示技術移轉或出口的不同態樣，例如（1）電話會議及視訊會議；（2）電子郵件；（3）筆電、手機等可記憶之設備；（4）跨國公司內部傳送；（5）雲端儲存；（6）在國外下載使用管制技術；（7）員工在海外使用/存取內部網路；（8）第三方在海外使用/存取公司內部網路或雲端服務；（9）IT系統維護與測試。以上方式均應個別判斷是否需要申請出口許可證。此外，技術所有者應主導出口管制規範之法遵，故應了解客戶、供應商、分包商等第三方服務業者之詳細資訊，且於契約中明訂各方的出口管制責任及相關條款，並隨時確認接受者或第三方是否得自不同管道取得管制技術及相關訊息，並於可能出口和或技轉管制技術時，立即申請出口許可證。
本文為「經濟部產業技術司科技專案成果」
劉芷宜
法律研究員 編譯整理
Exporting Military or Dual-Use Technology Guidance: Definitions and Scope, GOV.UK, https://www.gov.uk/government/publications/exporting-military-or-dual-use-technology-definitions/export-of-technology-remote-access-and-the-use-of-cloud-computing-services (last visited Apr. 22, 2021)
許祐寧，〈歐盟理事會修正《第428/2009號歐盟理事會規章》，提升歐洲軍民兩用出口管制力度〉，資訊工業策進會科技法律研究所，https://stli.iii.org.tw/article-detail.aspx?tp=5&i=180&d=8606&no=67（最後瀏覽日：2021/4/22）。
許祐寧，〈美國商務部調整《出口管制規則》允許美國企業與華為合作制定5G標準〉，資訊工業策進會科技法律研究所，https://stli.iii.org.tw/article-detail.aspx?tp=1&i=180&d=8502&no=64（最後瀏覽日：2021/4/22）。
范晏儒，〈中國大陸商務部《不可靠實體清單規定》〉，資訊工業策進會科技法律研究所，https://stli.iii.org.tw/article-detail.aspx?tp=5&i=180&d=8548&no=67（最後瀏覽日：2021/4/22）。
.Pindent{text-indent: 2em;} .Noindent{margin-left: 22px;} .NoPindent{text-indent: 2em; margin-left: 38px;} .No2indent{margin-left: 54px;} .No2Pindent{text-indent: 2em; margin-left: 54px} .No3indent{margin-left: 4em;} .No3Pindent{text-indent: 2em; margin-left: 4em} 伊利諾伊州通過人權法修正案，致力解決人工智慧可能造成之就業歧視風險 資訊工業策進會科技法律研究所 2024年12月09日 伊利諾伊州人權法修正案（Amendment to the Illinois Human Rights Act）於2024年8月由伊利諾伊州州長簽署並通過，成為繼科羅拉多州人工智慧消費者保護法（Consumer Protections for Artificial Intelligence Act）之後美國第二部監管私部門使用人工智慧的法律。 本法規範重點在於解決人工智慧導入就業市場而衍生之就業歧視議題，伊利諾伊州透過修訂伊利諾伊州人權法，增加人工智慧（Artificial Intelligence）與生成式人工智慧（Generative Artificial Intelligence）之法律定義[1]，以及增加伊利諾伊州的雇主使用人工智慧的相關義務，使員工在就業法律方面獲得更完善之保障。 壹、事件摘要 近年來人工智慧大量被使用在就業市場，例如：雇主使用人工智慧自動篩選履歷、績效管理等等。[2]人工智慧所伴隨的就業歧視議題，遂成為美國聯邦政府與各州政府近年來之人工智慧法制重點。 2023年2月，伊利諾伊州眾議員Jaime M. Andrade, Jr.將伊利諾伊州人權法修正案提交給議會書記官（Clerk）[3]，伊利諾伊州人權法修正案在一系列的審議之後，終於在2024年5月通過參眾議院同意，並於2024年8月9日由伊利諾伊州州長簽署，使伊利諾伊州人權法案成為美國第二部監管私部門使用人工智慧的法律[4]，修正部分將於2026年1月1日生效。[5] 貳、重點說明 伊利諾伊州人權法（Illinois Human Rights Act，775 ILCS 5）由伊利諾伊州人權部（The Illinois Department of Human Rights，IDHR）負責執行。其宗旨為確保伊利諾伊州內之所有人免受歧視，並就主要領域訂定規範，包含「公平住宅」、「金融」、「公共場所」、「教育領域之性騷擾」以及「就業」[6]，其中有關就業歧視之議題為第5節所規範。 伊利諾伊州人權法修正案之目的為解決雇主使用人工智慧工具導致的就業歧視問題，因此主要修訂伊利諾伊州人權法案第5節有關「就業」之規定[7]。而有關本修正法案之執行細節，如通知方式、期限，由伊利諾伊州人權法授權伊利諾伊州人權部訂定並執行。[8] 一、法案修正內容 （一）增訂人工智慧與生成式人工智慧之定義 伊利諾伊州人權法修正案所修訂之範圍涵蓋人工智慧與生成式人工智慧之定義與使用，將新增於伊利諾伊州人權法第5節第2-101小節M款與N款： 1. 人工智慧（Artificial Intelligence）定義 伊利諾伊州人權法修正案將人工智慧定義為一種機器系統，該系統根據其接收之輸入資訊，為目標（不論明確或模糊）推論輸出結果，例如預測、內容、推薦或決策，這些輸出結果能夠影響真實與虛擬環境。[9]須注意此處所指人工智慧包含生成式人工智慧。[10] 2. 生成式人工智慧（Generative Artificial Intelligence）定義 新增之第5節第2-101小節N款將生成式人工智慧定義為一種自動化計算系統，當接受人類的提示、描述或問題，能生成模擬人類所創作之內容加以輸出，其生成內容包含且不限於文字、圖像、多媒體等。[11] （二）雇主不得因使用人工智慧導致員工權利受侵害 所謂「雇主」（Employer），根據伊利諾伊州人權法第5節第2-101小節B項之規定，係指在伊利諾伊州內雇用員工（Employee）者，其員工數目只要達一名即符合雇主之定義。[12]而依據伊利諾伊州人權法修正案之修訂內容，雇主所使用之人工智慧不得導致員工在招聘、僱用、晉升、續聘、培訓、解僱、紀律處分、任期或雇用條件等方面受到歧視。[13] 例如根據1964年《民權法》（Civil Rights Act of 1964）第七章，雇主在僱用、解雇、晉升等方面，不得因種族、膚色、國籍、性別或宗教信仰表現出就業歧視行為。[14]而民權法第七章所認定之歧視範圍包含了歧視性編碼（discriminatory coding），例如郵遞區號（Zip Codes），因為有許多少數族群會居住在特定區域。[15] 有鑑於此，伊利諾伊州人權法修正案也規範雇主於使用人工智慧時，不得使用郵遞區號作為本條款的替代指標[16]，避免因郵遞區號造成就業歧視。 （三）雇主負有主動通知員工使用人工智慧工具情形之義務 伊利諾伊州人權法修正案新增雇主之通知義務，凡有使用人工智慧從事招聘、僱用、晉升、續聘、培訓、解僱、紀律處分、任期或雇用條件者，不得於未通知員工的情況下使用人工智慧為上述目的。[17]意即雇主應該主動應告知其員工有使用人工智慧進行前述行為之情事，至於通知的方式與時限則有待伊利諾伊州人權部訂定。 二、違法效力與救濟方式 （一）雇主可能需要負擔損害賠償費用與民事罰款 違反伊利諾伊州人權法修正案有關就業歧視禁止規範者，等同違反伊利諾伊州人權法。根據伊利諾伊州人權法第8-108條與第8-109條，違反者需要負擔相應的損害賠償，包含財產與非財產上的損害賠償費用[18]，以及復職等補救措施。[19]除此之外，違反之雇主也可能面臨民事處罰。[20] （二）權利受侵害者得向伊利諾伊州人權部提起申訴或向法院提起訴訟 伊利諾伊州人權法案賦予民眾得以尋求救濟之權利，其方式大致有二，一為向伊利諾伊州人權部提出申訴，二則是直接向法院提起訴訟。 向伊利諾伊州人權部申訴者，將由人權部進行調查與調解[21]。調查後，伊利諾伊州人權部將提供申訴人調查報告[22]，該調查報告將就申訴人遭受違法權利侵害之實質證據提出建議。[23]在伊利諾伊州人權部完成調查後，申訴人仍可至法院提起訴訟。[24] 參、事件評析 一、人工智慧就業歧視為美國當前優先處理之法制議題，雇主應加強法遵意識 演算法偏見所導致的歧視問題，正是美國各州政府所欲立法解決之議題。雖然尚未出現聯邦層級之法律，但各州卻於今年陸續通過相關法案。例如科羅拉多州州長於今年5月17日所簽署之《科羅拉多州人工智慧消費者保護法》（Consumer Protections for Artificial Intelligence Act，Colorado AI Act）[25]、猶他州以及本文介紹之伊利諾伊州人權法修正案，皆已針對人工智慧就業歧視訂定相應規範。 在人工智慧的監管趨勢中，雇主應善加注意人工智慧之應用是否符合當地法規範，以避免遭受處罰。 二、立法方式採修訂既有法律，執行細節另行訂定 伊利諾伊州人權法修正案將有關使用人工智慧之規定增訂於《伊利諾伊州人權法》，其執行細節則授權伊利諾伊州人權部訂定，尤其伊利諾伊州人權法修正案之部分條文僅說明雇主使用的人工智慧不得導致員工在招聘、聘用、晉升、解僱、紀律或僱用條款、特權或條件等方面受到基於受保護類別的歧視，並未詳細規定雇主應以何方式避免之，因此仍有持續關注之必要。 三、本法賦予當事人申訴管道，較完整保障就業權利 伊利諾伊州人權法可以作為民眾權利之請求基礎，向伊利諾伊州人權部提出申訴或至法院訴訟。因此當伊利諾伊州雇主違反伊利諾伊州人權法時，其員工得依法主張權利，可以請求復職或損害賠償，而非只是由主管機關對雇主裁罰。故對於當事人之就業權利，有相對完整之保障。 [1]Illinois Human Rights Act, 775 ILCS §5/2-101 (2024). [2]Illinois Enacts New Law Regulating Employer Use of Artificial Intelligence, Lexology, https://www.lexology.com/library/detail.aspx?g=dfebd021-1398-41eb-92ee-9631183fa8ce (last visited Sep. 9, 2024). [3]IL HB3773 | 2023-2024 | 103rd General Assembly, Legiscan, https://legiscan.com/IL/bill/HB3773/2023 (last visited Sep.9, 2024). [4]IL HB3773 | 2023-2024 | 103rd General Assembly, Legiscan, https://legiscan.com/IL/bill/HB3773/2023 (last visited Sep.9, 2024). [5]IL HB3773 | 2023-2024 | 103rd General Assembly, Legiscan, https://legiscan.com/IL/bill/HB3773/2023 (last visited Sep.9, 2024). [6]Illinois Human Rights Act, 775 ILCS §§1-5(2024). [7]Illinois Human Rights Act, 775 ILCS §5 (2024). [8]Illinois Human Rights Act, 775 ILCS §5/2-102 (2024). The Department shall adopt any rules necessary for the implementation and enforcement of this subdivision, including, but not limited to, rules on the circumstances and conditions that require notice, the time period for providing notice, and the means for providing notice. [9]Illinois Human Rights Act, 775 ILCS §5/2-101 (2024). "Artificial intelligence" means a machine-based system that, for explicit or implicit objectives, infers, from the input it receives, how to generate outputs such as predictions, content, recommendations, or decisions that can influence physical or virtual environments. [10]Illinois Human Rights Act, 775 ILCS §5/2-101 (2024). "Artificial intelligence" includes generative artificial intelligence. [11]Illinois Human Rights Act, 775 ILCS §5/2-101 (2024). "Generative artificial intelligence" means an automated computing system that, when prompted with human prompts, descriptions, or queries, can produce outputs that simulate human-produced content, including, but not limited to, the following: (1) textual outputs, such as short answers, essays, poetry , or longer compositions or answers; (2) image outputs, such as fine art, photographs, conceptual art, diagrams, and other images; (3) multimedia outputs, such as audio or video in the form of compositions, songs, or short-form or long-form audio or video; and (4) other content that would be otherwise produced by human means. [12]Illinois Human Rights Act, 775 ILCS §5/2-101 (2024). "Employer" includes: (a) any person employing one or more employees within Illinois during 20 or more calendar weeks within the calendar year of or preceding the alleged violation. [13]Illinois Human Rights Act, 775 ILCS §5/2-102 (2024). [14]Civil Rights Act of 1964, title VII, 29 CFR Part 1601. [15]Civil Rights Act of 1964, title VII, 29 CFR Part 1601. [16]Illinois Human Rights Act, 775 ILCS §5/2-102 (2024). [17]Illinois Human Rights Act, 775 ILCS §5/2-102 (2024). [18]Illinois Human Rights Act, 775 ILCS §5/8-108 (2024). [19]Illinois Human Rights Act, 775 ILCS §5/8-109 (2024). [20]Illinois Human Rights Act, 775 ILCS §5/8A-104 (2024). [21]Illinois Department of Human Right, Procedures for Non-Housing Charges, https://dhr.illinois.gov/filing-a-charge/path-of-a-charge/procedures-for-non-housing-charges.html (last visited Oct. 22, 2024). [22]Illinois Department of Human Right, Procedures for Non-Housing Charges, https://dhr.illinois.gov/filing-a-charge/path-of-a-charge/procedures-for-non-housing-charges.html (last visited Oct. 22, 2024). [23]Illinois Department of Human Right, Charge Process, https://dhr.illinois.gov/filing-a-charge/legal-review.html (last visited Oct. 22, 2024). [24]Illinois Department of Human Right, Procedures for Non-Housing Charges, https://dhr.illinois.gov/filing-a-charge/path-of-a-charge/procedures-for-non-housing-charges.html (last visited Oct. 22, 2024). [25]Consumer Protections for Artificial Intelligence, Colorado General Assembly, https://leg.colorado.gov/bills/sb24-205 (last visited Oct. 22, 2024).
美國各州逐步研議透過立法豁免企業資安事件賠償責任美國各州逐步研議透過立法豁免企業資安事件賠償責任 資訊工業策進會科技法律研究所 2024年06月10日 為鼓勵企業採用資安標準與框架，美國已有幾州開始透過立法限縮企業資安事件賠償責任，企業若能舉證證明已符合法令或遵循業界認可之資安框架和標準，則於資安攻擊事件所致損害賠償訴訟中，將無需承擔賠償責任。 壹、事件摘要 為避免有心人士於未取得經授權下近用網路和敏感資料，企業往往投入大量資源打造資安防護架構，惟在現今網路威脅複雜多變的環境下，仍可能受到惡意資安攻擊，導致資料外洩事件發生，導致企業進一步面臨訴訟求償風險，其中多數指控為未實施適當的資安措施。為此美國佛羅里達州和西維吉尼亞州研議透過立法限縮企業之資安事件賠償責任，以鼓勵企業採用資安標準、框架與資安相關法令。 貳、重點說明 繼美國俄亥俄州[1]、猶他州[2]和康乃狄克州[3]相繼頒布法令，讓已實施適當安全維護措施之企業，豁免資安攻擊所致資料外洩之損害賠償責任，佛羅里達州和西維吉尼亞州近期亦提出相似法案，以下介紹兩州法案之重點： 一、佛羅里達州 美國佛羅里達州於2023年11月公布《資安事件責任法案》 （H.B 473: Cybersecurity Incident Liability）[4]，法案納入「安全港條款」（Safe Harbor），當企業遭受資安攻擊致生個資外洩事件，如可證明已遵循產業認可的資安標準或框架，實施適當的資安措施與風險控管機制，則可免於賠償責任，以鼓勵企業採納資安標準或框架。 為適用安全港條款，企業須遵循佛羅里達州資訊保護法（The Florida Information Protection Act），針對資料外洩事件，通知個人、監管機關和消費者，並建立與法案內所列當前產業認可的資安標準、框架，或是特定法令規範之內容具一致性的資安計畫（Cybersecurity Programs）： （一）當前產業認可的資安標準、框架 1. 國家標準暨技術研究院（National Institute of Standards and Technology, NIST）改善關鍵基礎設施資安框架（Framework for Improving Critical Infrastructure Cybersecurity）。 2. NIST SP 800-171－保護非聯邦系統和企業中的受控非機密資訊。 3. NIST SP 800-53 和 SP 800-53A－ 資訊系統和企業的安全和隱私控制/ 評估資訊系統和企業中的安全和隱私控制。 4. 聯邦政府風險與授權管理計畫（Federal Risk and Authorization Management Program, FedRAMP）安全評估框架。 5. 資安中心（ The Center for Internet Security, CIS）關鍵安全控制。[5] 6. ISO/IEC 27000系列標準。 7. 健康資訊信任聯盟（The Health Information Trust Alliance, HITRUST）通用安全框架（Common Security Framework）[6]。 8. 服務企業控制措施類型二（Service Organization Control Type 2, SOC 2）框架。 9. 安全控制措施框架（Secure Controls Framework）。 10. 其他類似的產業標準或框架。 （二）特定法令規範 企業（entity）如受以下法令規範，亦得適用安全港條款，如法令有修訂，企業應在發布修訂後的一年內更新其資安計畫： 1. 健康保險可攜與責任法（The Health Insurance Portability and Accountability Act, HIPAA）之安全要求。 2. 金融服務現代化法（The Gramm-Leach-Bliley Act）第五章。 3. 2014 年聯邦資訊安全現代化法（The Federal Information Security Modernization Act of 2014）。 4. 健康資訊科技促進經濟和臨床健康法（The Health Information Technology for Economic and Clinical Health Act, HITECH）之安全要求。 5. 刑事司法資訊服務系統 （The Criminal Justice Information Services, CJIS）安全政策。 6. 州或聯邦法律規定的其他類似要求。 該法案雖於2024年3月5日經佛羅里達州參議院三讀通過，但於2024年6月26日遭州長否決[7]，其表示法案對於企業的保障範圍過於廣泛，如企業採取基礎的資安措施與風險控管機制，便得主張適用安全港條款，將可能導致消費者於發生個資外洩事件時，無法受到足夠的保障。州政府鼓勵利害關係人與該州網路安全諮詢委員會（Florida Cybersecurity Advisory Council）合作，探求法案的替代方案，以保護消費者資料。 二、西維吉尼亞州 美國西維吉尼亞州於2024年1月29日提出眾議院第5338號法案[8]，修訂西維吉尼亞法典（Code of West Virginia），增訂第8H章資安計畫安全港條款（Safe Harbor for Cybersecurity Programs），如企業符合業界認可的資安標準、框架或依特定法令建立與實施資安計畫，包含個人資訊和機敏資料的管理、技術和企業保障措施，將能夠於侵權訴訟中，主張適用避風港條款。 法令內明列評估企業所建立的資安計畫規模和範圍是否適當之要素，包含： 1. 企業的規模和複雜性； 2. 企業的活動性質和範圍； 3. 受保護資訊的敏感性； 4. 使用資安防護工具之成本和可用性； 5. 企業可運用的資源。 （一）當前產業認可的資安標準、框架 除與佛羅里達州法案所列舉業界認可的資安標準之前六項相同，另增加： 1 NIST SP 800-76-2個人身分驗證生物辨識規範（Biometric Specifications for Personal Identity Verification）[9]。 2. 資安成熟度模型認證（The Cybersecurity Maturity Model Certification, CMMC）至少達到第2級，並經外部驗證（external certification）。 （二）特定法令規範 除與佛羅里達州法案所列舉特定法令之前四項相同，另增加：由聯邦環境保護局（Environmental Protection Agency, EPA）、資安暨基礎設施安全局（Cybersecurity and Infrastructure Security Agency, CISA）或北美可靠性公司（North American Reliability Corporation）[10]所採用任何適用於關鍵基礎設施保護的規則、法規或指南。 惟目前法案已於2024年3月27日被西維吉尼亞州長否決[11]，其表示透過安全港條款鼓勵企業實踐資安框架雖立意良好，但也可能遭濫用而帶來不當影響，例如TikTok等大型國際企業，如在違背公民意願情況下共享個人資料時，將免於訴訟，恐有損其公民權益，未來州政府將與利害關係人持續進行協商。 參、事件評析 佛羅里達州和西維吉尼亞州近期同步公布有關限制企業於資安事件之責任相關法案，內容亦為相似，西維吉尼亞州之法案目前已遭否決，主要係擔心該豁免條款遭到不當濫用；佛羅里達州之法案亦因對於企業保障過廣與無法保障消費者個資安全考量，而遭州長否決。 法案中明列受產業普遍認可的資安標準、框架與政府所頒布特定法令，有助企業明確遵循與採納，建立與實施資安計畫，惟如何舉證所建立之資安計畫或實施之資安措施，與法案所列之資安標準、框架，或是特定法令規範，具有實質上的一致性，仍不明確，將可能阻礙企業於訴訟上行使抗辯與主張責任豁免權。未來美國如何權衡產業穩健發展與民眾個資保障，仍有待持續觀察。 [1] Chapter 1354 - Ohio Revised Code, Ohio Laws, https://codes.ohio.gov/ohio-revised-code/chapter-1354 (last visited May 24, 2024). [2]Part 7 Cybersecurity Affirmative Defense Act, Utah StateLegislative, https://le.utah.gov/xcode/Title78B/Chapter4/78B-4-P7.html (last visited May 24, 2024). [3]Frederick Scholl, Connecticut’s New Breach Notification and Data Security Laws: Carrots and Sticks, Quinnipiac University, July,1,2021,https://www.qu.edu/quinnipiac-today/connecticuts-new-breach-notification-and-data-security-laws-2021-07-01/ (last visited May 24, 2024). [4]CSHB 473-Cybersecurity Incident Liability, The Florida Senate,https://www.flsenate.gov/Session/Bill/2024/473 (last visited Jun. 28, 2024). [5]資安中心（ The Center for Internet Security, CIS）為美國非營利組織，負責推動CIS Controls，針對實際發生的資安攻擊行為提供防禦建議，作為企業保護 IT 系統和資料時可參考之最佳實務作法。資料來源：About us, Center for Internet Security, https://www.cisecurity.org/about-us (last visited Jun. 6, 2024). [6]What is HITRUST?, Schneider Downs,https://schneiderdowns.com/cybersecurity/what-is-hitrust/ (last visited May 24, 2024). [7]Governor of Florida, Vote letter for House Bill 473(2024), https://www.flgov.com/wp-content/uploads/2024/06/Veto-Letter_HB-473.pdf (last visited Jun. 28, 2024). [8]2024 REGULAR SESSION ENROLLED Committee Substitute for House Bill 5338, WEST VIRGINIA LEGISLATURE,https://www.wvlegislature.gov/Bill_Status/bills_text.cfm?billdoc=hb5338%20sub%20enr.htm&yr=2024&sesstype=RS&i=5338 (last visited May 24, 2024). [9]NIST SP 800-76-2 Biometric Specifications for Personal Identity Verification, National Institute of Standards and Technology, https://csrc.nist.gov/pubs/sp/800/76/2/final (last visited May 24, 2024). [10]北美電力可靠性公司（North American Electric Reliability Corporation, NERC），為一家非營利機構，致力推動關鍵基礎設施保護相關標準，以強化北美大規模電力系統（亦即電網）的可靠性和安全性，資料來源：https://www.nerc.com/Pages/default.aspx (last visited May 24, 2024). [11]Governor of West Virginia, Enrolled Committee Substitute for House Bill 5338(2024),https://www.wvlegislature.gov/Bill_Text_HTML/2024_SESSIONS/RS/veto_messages/HB5338.pdf (last visited May 24, 2024).
歐盟通過化妝品上市與安全新規則，惟德國對內含奈米物質產品標示規範表達不同意見於去年(2009)年11月20日，歐盟會員國通過了一項關於化妝品上市與安全相關的新規則(REGULATION OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL on cosmetic products，以下簡稱化妝品規則)，該項規則也將歐盟過往用以規範化妝品的55項指令化整為零，成為一項單一且更具法律拘束力之規範。 化妝品規則中前言中也特別肯認奈米物質於化妝品之應用為未來趨勢，而有必要於消費者保護、貨物自由流通以及對於製造商之法律確定性之間取得一衡平作法。針對此種內含奈米物質化妝品之管理，該規則也十分重視對產品內含奈米物質之事實提供資訊之義務。以標示為例，化妝品規則第19條針對此等化妝品，要求以「nano」字樣標明於包裝上之成分標示。值得注意的是，德國針對是項條款於去年(2009)年11月17日於歐盟理事會之官方文件中表達不同意見。認為此種標示可能被消費者誤解為一警告標示，且亦強調市售的化妝品皆屬通過嚴格的安全測試者，此也表示對內含奈米級物質之化妝品不應再給予額外的檢視。其也認為消費者對於奈米物質所關切之重點，應為此等奈米物質對產品之特性所生之改變，而非產品中是否含有奈米物質。 在歐盟綠黨成員和環保遊說團體針對奈米科技刻正鼓吹「沒有數據，就不得上市」原則之際，該項原則將加重業者證明自身產品安全無虞之舉證責任，業者也擔心該項原則將導致市面上有數百種產品自市場中下架，而德國上述聲明的意見，似乎較傾向於業者以奈米物質之功能而非以物質本身作為標示基礎之意見。
美國衛生部門公布個人健康資訊外洩責任實施綱領美國健康與人類服務部（Secretary of Health and Human Services；以下簡稱HHS），於2009年4月17日公布「個人健康資訊外洩通知責任實施綱領」（Guidance Specifying the Technologies and Methodologies That Render Protected Health Information Unusable, Unreadable, or Indecipherable to Unauthorized Individuals for Purposes of the Breach Notification Requirements under Section 13402 of Title XIII (Health Information Technology for Economic and Clinical Health Act) of the American Recovery and Reinvestment Act of 2009; Request for Information；以下簡稱本綱領）。本綱領為美國迄今唯一聯盟層級之資料外洩通知責任實施細則，並可望對美國迄今四十餘州之個資外洩通知責任法制，產生重大影響。 本綱領之訂定法源，係依據美國國會於2009年2月17日通過之經濟與臨床健康資訊科技法（Health Information Technology for Economic and Clinical Health Act；以下簡稱HITECH），HITECH並屬於2009年「美國經濟復甦暨再投資法」（America Recovery and Reinvestment Act；簡稱ARRA）之部分內容。 HITECH將個人健康資訊外洩通知責任的適用主體，從「擁有」健康資訊之機構或組織，進一步擴大至任何「接觸、維護、保留、修改、紀錄、儲存、消除，或以其他任何形式持有、使用或揭露安全性不足之健康資訊」的機構或組織。此外，HITECH並規定具體之資料外洩通知方法，即必需向當事人（資訊主體）以「即時」（獲知外洩事件後60天內）、「適當」（書面、或輔以電話、網站公告形式）之方式通知。不過，由於通知之範圍僅限於發生「安全性不足之健康資訊」外洩，故對於「安全性不足」之定義，HITECH即交由HHS制定相關施行細則規範。 HHS本次通過之實施辦法，將「安全」之資料定義「無法為第三人使用或辨識」，至於何謂無法使用或辨識，本綱領明定有兩種情形，一是資料透過適當之加密，使其即使外洩亦無法為他人辨識，另一則是該外洩資訊之儲存媒介（書面或電子形式）已被收回銷毀，故他人無法再辨識內容。 值得注意的是，有異於美國各州法對於加密標準之不明確態度，本綱領已指明特定之技術標準，方為其認可之「經適當加密」，其認可清單包含國家標準與技術研究院（National Institute of Standards and Technology）公布之Special Publication 800-111，與聯邦資訊處理標準140-2。換言之，此次加密標準之公布，已為相關業者提供一可能之「安全港」保護，使業者倘不幸遭遇資料外洩事件，得主張資料已施行適當之加密保護，即無需承擔龐大外洩通知成本之衡平規定。