NHTSA要求自動駕駛系統及L2自動駕駛輔助系統回報意外事件
美國國家公路交通安全管理局（National Highway Traffic Safety Administration, NHTSA）2021年6月29日 「自駕車與配備等級2駕駛輔助系統車輛之意外事件回報命令（Standing General Order 2021-01：Incident Reporting for Automated Driving Systems and Level 2 Advanced Driver Assistance Systems）」，課予系統製造商與營運商意外事件回報義務，重點如下：
（1）適用範圍：全美境內公共道路上發生之車輛碰撞事件，事發前30秒至事件結束期間內曾經啟用等級2駕駛輔助系統或自動駕駛系統。
（2）意外事件定義：事件中任何一方有人員死亡或送醫治療、車輛必須拖吊、安全氣囊引爆或事件涉及弱勢用路人（vulnerable road user）。
（3）回報期限：須於知悉事件後隔日立即回報，知悉後10日傳送更新資料，如後續仍有發現新事證，應於每月15號傳送更新。自駕車發生碰撞，即使無人傷亡、無車輛拖吊或安全氣囊引爆，仍需於次月15號傳送事件回報。
（4）回報方式及項目：需至NHTSA指定網站註冊帳號，線上填寫制式通報表格。項目包含車籍資料、事件時間、地點、天候、路況、傷亡及財損情形等等。
NHTSA收到的回報資料，原則上會在將個人資料去識別化後對大眾公開，惟若系統製造上或營運商主張部分資訊為商業機密，可另行向NHTSA之諮詢辦公室通報審核。如逾期未報或隱匿資訊，可處每日最高22,992美元罰金，累計最高罰金為114,954,525美元。
本文為「經濟部產業技術司科技專案成果」
楊至善
法律研究員 編譯整理
NATIONAL HIGHWAY TRAFFIC SAFETY ADMINISTRATION, Standing General Order 2021-01：Incident Reporting for Automated Driving Systems and Level 2 Advanced Driver Assistance Systems (2021), https://www.nhtsa.gov/sites/nhtsa.gov/files/2021-06/Standing_General_Order_2021_01-digital-06292021.pdf (last visited Aug. 4, 2021)
劉彥伯，〈簡析自動駕駛巴士應用於我國上路營運所需面臨之法制預備方向〉，資訊工業策進會科技法律研究所，https://stli.iii.org.tw/article-detail.aspx?tp=1&i=180&d=8675&no=64（最後瀏覽日：2021/08/13）
劉彥伯，〈美國佛羅里達州於2021年07月正式開放低速自駕貨車得於道路上行駛〉，資訊工業策進會科技法律研究所，https://stli.iii.org.tw/article-detail.aspx?no=64&tp=1&d=8692（最後瀏覽日：2021/08/13）
柯亦儒，〈美國交通部提出自駕車全面性計畫，以促進自動駕駛系統規範環境之整合、透明性與現代化〉，資訊工業策進會科技法律研究所，https://stli.iii.org.tw/article-detail.aspx?no=64&tp=1&d=8638（最後瀏覽日：2021/08/13）
羅文妗，〈德國聯邦政府內閣通過自駕車草案〉，資訊工業策進會科技法律研究所，https://stli.iii.org.tw/article-detail.aspx?no=64&tp=1&d=8637（最後瀏覽日：2021/08/13）
為瞭解兒童及青少年透過行動裝置接取網路不當內容（inappropriate content）之情形，以及父母或監護人如何限制孩子使用網路設備等議題，英國通訊管理局（Office of Communications, Ofcom）委託英國第二大研究機構Ipsos MORI於2009年3-4月間，與797組7-16歲的兒童及青少年進行面對面的親子訪談，並於2009年9月公布該調查之研究結果。 根據該份兒童及青少年接取網路內容訪談的研究報告（Children’s and young people’s access to online content on mobile devices, games consoles and portable media players）顯示，分別有90%及74%的兒童及青少年透過遊戲裝置及行動電話使用接取網路，利用其他多媒體影音裝置上網的則占13%。另外有三分之二透過行動電話上網的使用者，可自由瀏覽及接取網路內容，而無任何內容分級或不當內容接取上的限制。該研究報告同時亦指出，對於使用行動電話上網的兒童及青少年，僅有10%的父母及監護人「非常關心」（major concerns）其瀏覽或接取不當網頁內容的問題；而使用遊戲裝置上網的兒童及青少年中，僅有11%的父母或監護人「非常關心」其對於接取或瀏覽不當內容之問題。對於兒童及青少年利用行動電話上網的管制議題上，父母及監護人多半透過通話及簡訊的使用量來限制兒童及青少年使用行動電話，而非直接要求兒童及青少年禁止其上網瀏覽不當的內容或教導其如何安全的使用網路。此外，就兒童及青少年本身使用網路所遇到的安全性問題上，介於11-16歲的青少年有54%表示，其需要有關如何維護隱私權及個人資料的建議與協助；而28%的青少年則提及，其需要資訊安全的建議，尤其是如何強化密碼及個人識別碼（personal identification numbers, PINs）；至於7-11歲的兒童則多以「不知道」來回答調查問卷上的問題。 藉由該份研究報告數據的公開，英國政府開始針對兒童及青少年透過行動裝置使用網路之安全性問題進行研議，期望透過更多的宣導與教育，使父母及監護人更為關心兒童及青少年網路內容帶來的身心健康影響，並提昇父母、監護人、兒童及青少年對於網路使用的安全意識，以建立兒童及青少年對於網路安全的正確觀念。
德國聯邦內政部提出「資訊科技安全法」(草案)，保障關鍵基礎設施及資訊安全德國聯邦內政部繼與德國聯邦經濟暨能源部與交通暨數位基礎設施部共同擬定之「數位議程2014 - 2017」(Digitale Agenda 2014 – 2017)政策裏，於本年8月19日提出資訊科技安全法(草案)(IT-Sicherheitsgesetz)。該草案的提出目的為保障德國公民與企業使用的資訊系統安全，特別是在全國數位化進程中，攸關國家發展的關鍵基礎設施。德國內政部長de Maizière在新聞發表會上，宣稱要讓德國成為全球資訊科技系統及數位基礎設施安全的先驅與各國的模範。除外，亦欲藉此強化德國資訊科技安全企業的競爭力，提升外銷實力。 該草案的主要對象係關鍵基礎設施營運者(Kritische Infrastrukturbetreiber)，例如在能源、資訊科技、電信、運輸和交通、醫療、水利、食品、金融與保險等領域的企業。「關鍵基礎設施」的定義並未涵蓋德國聯邦政府部門之間使用的數據通信系統。不過，究竟係在這些基礎設施領域的哪些企業該受到資訊科技法的約束，德國內政部將陸續與各相關部會研討後再以行政法規的方式明確表列出來。 關鍵基礎設施企業必須採取適當的保護措施以保障關鍵基礎設施的正常運行。所採取的保護措施可符合同業或同業公會裡所認可的最新資訊安全標準，且得符合一定的付出成本比例。不過衡量標準，最後還是得由德國聯邦資訊安全局(Bundesamt für Sicherheit in der Informationstechnik, BSI)〉做認定。上述之企業需兩年內完成安全防護措施的設置。為防止電信系統非法入侵，該草案也修增德國電信法(Telekommunikationsgesetz)為施予電信業者更高的資訊安全防護標準。針對網際網路服務提供者(Internet Service Providers, ISP)也特別施加設置防範駭客攻擊的尖端防護措施義務。 關鍵基礎設施業者的資訊安全系統均須透過德國聯邦資訊安全局(Bundesamt für Sicherheit in der Informationstechnik, BSI)每兩年定期審核，若沒通過則會被要求依德國聯邦資訊安全局的標準去處裡該安全漏洞。 若是上述業者的資訊安全系統有受損，並且可導致關鍵基礎設施的故障或損毀，該企業需通報德國聯邦資訊安全局，且該記錄可匿名化。但是，若是因駭客攻擊直接導致關鍵基礎設施的故障或損毀，該企業則需立即通報德國聯邦資訊安全局，不可匿名。
美國提出個人資料安全及外洩通報法草案華盛頓特區於今〈2010〉年8月5日由阿肯薩州及維及尼亞州參議院議員Pryor及John Rockefeller所倡議之「個人資料安全及外洩通報法」〈Data Security and Breach Notification Act of 2010〉，其旨趣，在於統一美國各州不同個資外洩通報法，並嘗試為消費者個人資料之安全及隱私設定全國性的標準。 Pryor法案曾於2007年提出，惟當時未能通過，其立法緣由係為處理美國各州、聯邦及國際間政府對個資安全與日俱增之重視。其規範內容，在要求處理及儲存消費者私人資訊，諸如「社會安全碼」〈social security numbers〉之企業，一旦發生資料外洩事件，需對國家提出通報，如該事件對消費者產生現實的「身分盜竊」〈identity theft〉或「帳戶詐欺」〈account fraud〉風險，則應於發現個資外洩六十日內通知受影響之消費者。 Pryor法案之適用對象甚廣，故有認為，該法一旦通過，其將成為繼美國金融服務法〈the Gramm-Leach-Bliley Act，簡稱GLBA〉後的模範法典，其適用對象包括受GLBA規範之金融機構及任何個人〈any individual〉、合夥〈partnership〉、公司〈corporation〉、信託〈trust〉、工地產產業〈estate〉、合作社〈cooperative〉、協會〈association〉、維持或傳送「敏感的會計資訊」或「敏感的個人資訊」之業主〈entity that maintains or communicates “sensitive account information” or “sensitive personal information”〉，但並不包括任何政府辦事處或其他聯邦、州政府單位、地方政府〈any agency or other unit of the federal,state, or local government〉或任何其下所再劃分之單位〈any subdivision thereof〉。 惟此一倡議中之資料安全立法不論法令遵循或執行皆有一定難度，因該法雖要求對超出「損害門檻」之資料外洩需對消費者通報，但對「損害門檻」並無明確定義。此外，受影響之企業似無實行適當風險評估之誘因，除需耗費大量成本評估外洩事件是否超過損害門檻外，尚需面臨企業名譽受損與客戶不滿之損失，在個資外洩要素風險指導原則付之闕如之情形下，企業恐無法客觀地評估自身個資外洩之風險。故有建議，解決之道，應明定損害門檻，並聘請外部專家或使用市場新工具，訂定客觀的指導原則，使企業在處理個資外洩問題時能減輕混亂及鼓勵評估結果的一致性並縮短風險評估的時間。 就資訊安全部分，此法案揭櫫於其通過一年內，美國商務、科學及交通委員會〈Committee on Commerce, Science, and Transportation〉應頒布規定，要求擁有或處理含有個人資料或契約之企業，必須建立並執行蒐集、使用、出售，及其他傳播、維持個人資訊之資訊安全政策，以達保護個人資料之目的。
techUK和UK Finance共同呼籲英國脫歐後應速採取行動保護英國和歐盟的企業和消費者資料跨境傳輸隨著資料多元應用，大量個資可能被企業、組織等從銀行、線上零售業者傳輸到雲端、學術機構等，因此在跨境傳輸基礎上需要共同的監管制度，以利資料保護和隱私標準。英國科技產業協會(techUK)和英國金融協會(UK Finance)共同於2017年11月30日呼籲英國政府和歐盟應迅速採取行動，以利於繼續保護消費者和企業在英國退出歐盟(Brexit)後兩地跨境傳輸個資。 另外，在Dentons國際律師事務所提出關於歐盟與英國未來資料共享關係之聯合報告(No Interruptions: options for the future UK-EU data sharing relationship)中，techUK和UK Finance說明英國和歐盟雙方如何達成適當保護協議(adequacy agreement)，英國政府亦於2017年8月發布個人資料交換和保護未來合作文件(The exchange and protection of personal data - a future partnership paper)，將持續依一般資料保護規則(General Data Protection Regulation, GDPR)調整，而在過渡期間為企業提供監管確定性，而公司亦需重新考慮GDPR於2018年5月實施後相關替代機制，如企業自我約束規則(Binding Corporate Rules, BCRs)、標準契約條款(Standard Contractual Clauses, SCCs)等。由於英國2019年3月脫歐後，將不會直接適用GDPR，因此除非有新的安排，個資在歐盟傳輸仍可能受限，而需昂貴複雜替代機制，故仍應速採取行動： 歐盟和英國應速開始適當保護評估程序(adequacy assessment processes)。 為避免個資傳輸之「懸崖邊緣」(“cliff-edge”)，應即為過渡期之安排。 英國應考慮實施其他措施，確保歐盟對英國資料保護框架之擔憂能獲解決，尤其是國家安全目的之資料處理。 英國應確保國際傳輸制度(包括美國在內)，與歐盟具相同保護水準，且此作為歐盟適當保護評估的關鍵。