美國財政部外國資產控制辦公室更新發布與勒索軟體支付相關之制裁風險諮詢
美國財政部外國資產控制辦公室（The US Department of the Treasury’s Office of Foreign Assets Control, OFAC）於2021年9月21日更新並發布了與勒索軟體支付相關之制裁風險諮詢公告（Updated Advisory on Potential Sanctions Risks for Facilitating Ransomware Payments）。透過強調惡意網絡活動與支付贖金可能遭受相關制裁之風險，期待企業可以採取相關之主動措施以減輕風險，此類相關之主動措施即緩減風險之因素（mitigating factors）。
該諮詢認為對惡意勒索軟體支付贖金等同於變相鼓勵此種惡意行為，故若企業對勒索軟體支付，或代替受害企業支付贖金，未來則有受到制裁之潛在風險，OFAC將依據無過失責任（strict liability），發動民事處罰（Civil Penalty制度），例如處以民事罰款（Civil Money Penalty）。
OFAC鼓勵企業與金融機構包括涉及金錢存放與贖金支付之機構，應實施合規之風險管理計畫以減少被制裁之風險，例如維護資料的離線備份、制定勒索事件因應計畫、進行網路安全培訓、定期更新防毒軟體，以及啟用身分驗證協議等；並且積極鼓勵受勒索病毒攻擊之受害者應積極聯繫相關政府機構，例如美國國土安全部網路安全暨基礎安全局、聯邦調查局當地辦公室。
蘇偉綸
副法律研究員 編譯整理
1. The US Department of the Treasury’s Office of Foreign Assets Control [OFAC], Updated Advisory on Potential Sanctions Risks for Facilitating Ransomware Payments(2021), https://home.treasury.gov/system/files/126/ofac_ransomware_advisory.pdf (last visited Oct. 19, 2021).
2. Publication of Updated Ransomware Advisory; Cyber-related Designation, U.S. DEPARTMENT OF THE TREASURY, https://home.treasury.gov/policy-issues/financial-sanctions/recent-actions/20210921 (last visited Oct. 19, 2021).
3. Alex Koskey and Matt White, Ransomware state of the union: regulations, trends and mitigation strategies, REUTERS, Oct.14,2021, https://www.reuters.com/legal/legalindustry/ransomware-state-union-regulations-trends-mitigation-strategies-2021-10-14/ (last visited Oct. 19, 2021).
美國明尼蘇達州通過的《明尼蘇達消費者個人資料保護法》（Minnesota Consumer Data Privacy Act, MNCDPA)規範組織應如何合規蒐集、處理及利用個人資料。主要內容有： 一、 適用對象：於明尼蘇達州內經營商業之營利組織（下簡稱企業或資料控制者），或生產製造商品、提供服務予該州居民之企業，且符合下列情形之一者： 1. 在前一年度控制或處理超過10萬筆消費者個人資料。 2. 控制或處理超過25,000筆消費者個人資料，且總營收超過百分之二十五係源自於銷售個人資料者。 3. 高等教育機構（postsecondary institutions）、非營利組織則自2029年7月31日起適用。 二、 消費者權利：賦予明尼蘇達州居民對個人資料的基本權利，且強調消費者不應因行使權利而受歧視。分別為： 1. 近用權：請求瀏覽企業對其所蒐集個人資料，但如導致企業商業機密洩露之虞者除外。 2. 修正權：請求企業修正不正確或不完整的個人資料。 3. 刪除權：請求企業刪除其個人資料。 4. 請求製給複製本：採取可便利取用格式，或資料可攜(Data Portability) 之方式。 5. 選擇退出權（opt out）：就個資利用行為，消費者得行使退出權： （1） 為精準行銷之目的（Targeted Advertising）； （2） 銷售個人資料； （3） 為資料剖析之目的處理個人資料。 6. 取得企業揭露或提供個資利用之對象清單。 7. 消費者得向企業請求基於特定決策所作成剖析結果之原因，以及消費者未來得據以採取確保不同決策之作為。 三、 企業主要責任與義務： 1. 企業應履行之義務除告知義務、透明度、資料最小化、安全維護措施外，尚須： （1） 依法回應當事人之請求：資料當事人向企業請求查詢、修改及刪除自己的資料，企業接到請求後，應於45天之期限內准駁其請求；必要時得於通知當事人合理事由後，展延一次。 （2） 保存所有申訴與回覆之紀錄至少24個月；除此之外，企業須建立並採行合規政策，包括識別主要負責人，如：首席隱私長(Chief Privacy Officer)。 明尼蘇達州《明尼蘇達消費者資料隱私法》的通過顯示社會對於資料隱私保護方面的重視，除了加強對消費者個人資料的保護，也賦予消費者的權利，使消費者不再屬於被動方，而能夠主動捍衛自己的個人資料隱私。
WTO判澳洲素面菸品包裝一案勝訴WTO爭端小組於2018年6月28日裁決澳洲「素面菸品包裝案」（Australia—Tobacco Plain Packaging）由澳洲勝訴，本案歷時長達5年，係由古巴、宏都拉斯、多明尼加共和國及印尼4個WTO成員針對澳洲2011年實施「素面菸品包裝法案」（Plain Packaging Act）向WTO爭端解決機構提出控訴。 澳洲系爭法案要求菸盒外觀應採統一規格之外觀，禁止使用具識別性鮮明的顏色，不得出現任何具有宣傳效果之商標或印記，僅能以單調的橄欖色為主色，品牌名稱需以小型標準字體印刷，健康警示圖片需占菸盒面積正面75%，背面90%，以達降低國內吸菸人口、保護國民健康之目的。 原告方認為法案侵害菸商使用商標權利，能否有效達到減緩菸害之目的仍有疑義，主張該法制造成不必要之貿易障礙。爭端小組檢視原被告主張與證據，認定澳洲法律係透過減少菸品使用、改善公眾健康目的，手段與目的之間具合理關聯性，駁回原告主張其他替代措施具同等效果的訴求、侵犯商標違反智慧財產權的論點。 此案被視為全球公共健康衛生政策與貿易衝突之指標性案件，目前法國、匈牙利、愛爾蘭、紐西蘭、挪威、斯洛維尼亞、英國均已通過此類包裝規定，而比利時、加拿大、哥倫比亞、印度、巴拿馬、土耳其、新加坡與馬來西亞等國亦有意比照辦理。惟國際菸草產業質疑此項裁定，將使其他欲實施嚴格管制菸品、酒類與垃圾食品的國家開先例，不利於商標權保護與發展。
Facebook支付5.5億美元解決涉及侵犯隱私的訴訟案使用過Facebook（臉書）上傳照片時，不難發現其內建功能可透過臉部辨識「自動標記」（tag）好友的功能，建議用戶標記照片內的人物，而自從該功能於2011年啟用後，始終存有侵害用戶隱私權的疑慮。本案訴訟自2015年開始，及針對臉書「自動標記」的標籤建議功能爭論。美國於2018年經美國聯邦法院裁定，該功能在未經用戶同意的情況下蒐集並存儲相關使用者的生物特徵資料（biometric data），違反美國伊利諾州（Illinois）生物識別資料隱私法（Biometric Information Privacy Act）。雖然臉書已開始公開與用戶說明其可選擇關閉其識別功能，並針對上述聯邦法院判決提出上訴，卻仍於2019年8月敗訴。因此臉書同意以5.5億美元和解，用於支付伊利諾州的用戶（符合條件的）及訴訟相關費用。
何謂拜杜法案「Bayh-Dole Act」？美國國會於1980年通過了拜杜法案(Bayh-Dole Act)，正式名稱為1980年大學與小型企業專利程序法(University and Small Business Patent Procedures Act of 1980, 35 U.S.C. 200 et seq.)。經濟學人(The Economis)曾對美國拜杜法評價為「可能是過去半世紀在美國所成立之最具創見之法律」，其目的是讓大學、中小企業等與聯邦機構締約，執行聯邦政府資助的研發計畫後仍能保有其研究成果之專利，亦即將此研究成果的專利申請權歸屬於受資助之大學或中小企業，而非聯邦政府。 拜杜法案(Bayh-Dole Act) 35 U.S.C. § 201(c)對立約人(contractors)定義為，任何簽署資助協議的自然人、小型企業、或非營利機構。而權利歸屬部分，規定於35 U.S.C. § 202，非營利機構、中小企業等與聯邦機構簽訂資助契約之承攬人可以選擇是否擁有受資助發明(elect to retain title to any subject invention)之權利。再者，立約人負責專利管理事務之人員，應於知悉受資助發明的合理期間內，向聯邦機構揭露該發明，若未於合理期間內揭露，則該發明歸屬於聯邦機構。並且，立約人應於揭露發明後2年內，以書面行使其選擇權，逾期則該發明權利歸屬於聯邦機構。另 35 USC § 203有介入權規定，聯邦機構認為有必要時，得要求立約人、其受讓人或其專屬被授權人將發明專屬、部分專屬(partially exclusive)或非專屬授權予申請人，聯邦機構得自行為之。