美國財政部外國資產控制辦公室更新發布與勒索軟體支付相關之制裁風險諮詢
美國財政部外國資產控制辦公室（The US Department of the Treasury’s Office of Foreign Assets Control, OFAC）於2021年9月21日更新並發布了與勒索軟體支付相關之制裁風險諮詢公告（Updated Advisory on Potential Sanctions Risks for Facilitating Ransomware Payments）。透過強調惡意網絡活動與支付贖金可能遭受相關制裁之風險，期待企業可以採取相關之主動措施以減輕風險，此類相關之主動措施即緩減風險之因素（mitigating factors）。
該諮詢認為對惡意勒索軟體支付贖金等同於變相鼓勵此種惡意行為，故若企業對勒索軟體支付，或代替受害企業支付贖金，未來則有受到制裁之潛在風險，OFAC將依據無過失責任（strict liability），發動民事處罰（Civil Penalty制度），例如處以民事罰款（Civil Money Penalty）。
OFAC鼓勵企業與金融機構包括涉及金錢存放與贖金支付之機構，應實施合規之風險管理計畫以減少被制裁之風險，例如維護資料的離線備份、制定勒索事件因應計畫、進行網路安全培訓、定期更新防毒軟體，以及啟用身分驗證協議等；並且積極鼓勵受勒索病毒攻擊之受害者應積極聯繫相關政府機構，例如美國國土安全部網路安全暨基礎安全局、聯邦調查局當地辦公室。
- 零售業個資安全宣導暨安全維護計畫規劃說明會
- (已額滿)114年「企業營業秘密保護實務座談會」(北部場)–營業秘密因應數位環境之保護風險及管理對策
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(實體)
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(直播)
- 【台北場1】通訊傳播事業個資法遵教育訓練
- 【台中場】通訊傳播事業個資法遵教育訓練
- 【新北場】通訊傳播事業個資法遵教育訓練
- 【高雄場】通訊傳播事業個資法遵教育訓練
- 【台北場2】通訊傳播事業個資法遵教育訓練
- 114年「企業營業秘密保護實務座談會」（南部場）
- 114年「企業營業秘密保護實務座談會」（中部場）
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
蘇偉綸
副法律研究員 編譯整理
1. The US Department of the Treasury’s Office of Foreign Assets Control [OFAC], Updated Advisory on Potential Sanctions Risks for Facilitating Ransomware Payments(2021), https://home.treasury.gov/system/files/126/ofac_ransomware_advisory.pdf (last visited Oct. 19, 2021).
2. Publication of Updated Ransomware Advisory; Cyber-related Designation, U.S. DEPARTMENT OF THE TREASURY, https://home.treasury.gov/policy-issues/financial-sanctions/recent-actions/20210921 (last visited Oct. 19, 2021).
3. Alex Koskey and Matt White, Ransomware state of the union: regulations, trends and mitigation strategies, REUTERS, Oct.14,2021, https://www.reuters.com/legal/legalindustry/ransomware-state-union-regulations-trends-mitigation-strategies-2021-10-14/ (last visited Oct. 19, 2021).
歐盟最近對CISAC公司的權利金收費行為，是否涉有不公平競爭之情事展開調查，此舉引發藝文界高度關注。CISAC乃是由作家及作曲家所組成的一個國際性聯盟組織（ International Confederation of Societies of Authors and Composers），會員來自於109個國家的207個社團（ member societies），代表超過兩百萬位以上的藝術家、作曲家及導演之權益。 在一封2月7日寄發給CISAC的信件中，執委會表示CISCA拒絕跨國授權的行為，已構成違反歐盟競爭法第81條。此外，執委會也表示，CISCA要求只有個別國員內的權利金收費社團可為會員收取權利金的約款，將迫使創作者無其他選擇，必須將其權利移轉給其國內之權利金收費社團，此種限制性約款亦為歐盟競爭法所不許。蓋CISCA本即擁有事實上之獨佔地位，此等約款將使其他潛在競爭者難以進入市場，故有限制競爭之疑慮。 2月21日，在與內部市場委員（Internal markets Commissioner）Charlie McCreevy的會面中，音樂作曲家代表對歐盟競爭總署近來的大動作，將可能危及文化多樣性（cultural diversity），扼殺廣大文化創作者的創意，毀掉歐盟在此一領域之利基，表達出高度疑慮。McCreevy 向作曲家保證，執委會的目的不在限制或詆毀創作者既有之權利，而是希冀能建立一個合法的數位環境，活絡歐盟地區的線上音樂服務。 目前，歐盟地區的跨國廣播公司如要播放音樂，必須在個別播放國家分別取得其權利金收費團體的授權。如果歐盟可藉由此次限制競爭的調查，迫使CISAC提供泛歐洲授權契約的服務，將使線上廣播公司受惠。
歐洲民間成立一聯盟，倡議資料主權之重要性在今（2021）年1月21日，歐洲數個科技公司、非營利組織與研究機構等民間單位共同發起「現今資料主權」聯盟（Data Sovereignty Now，DSN），宣布將向歐洲各級決策者施加壓力，以確保資料（data）之控制權掌握在生成資料的個人和組織手中。該聯盟認為歐盟執委會應採取決定性之措施，對於在歐洲所生成之資料，應以資料主權原則為基礎，以確保生成資料之個人和組織對其有控制權，以利數位經濟。 而在2020年12月初，澳洲政府首開全球先例提出一新法案，要求Google與Facebook等平台應向澳洲在地媒體支付新聞內容費用，要求雙方進行協商，商討在其平台上顯示之新聞內容所應支付之費用，倘無法達成協議，則由政府之仲裁員決定應支付之金額。此法案引發Google與Facebook高度反彈，不惜以不繼續在澳洲提供服務或停止連結（link）當地媒體之新聞報導作為反擊，要求澳洲政府撤回或修改該法案；然DSN聯盟則認為，Google與Facebook利用其市場主導地位來向澳洲政府施加壓力，正是濫用其資料壟斷權（data monopoly）與壟斷地位之典型例子，為防止科技巨擎將來繼續以此方式勒索政府之唯一方法，即是恢復使用者與平台間之「數位利益平衡」。而Google似有讓步之跡象，根據路透社報導，Google分別已與兩家當地媒體達成協議，將各支付每年3000萬澳幣之費用。該法案是否會如期通過，進而改變或影響此類大型平台與各國政府間資料主權之角力關係，值得持續關注。
美國明尼蘇達州制定《明尼蘇達消費者個人資料保護法》（Minnesota Consumer Data Privacy Act, MNCDPA)，將於2025年7月31日生效美國明尼蘇達州通過的《明尼蘇達消費者個人資料保護法》（Minnesota Consumer Data Privacy Act, MNCDPA)規範組織應如何合規蒐集、處理及利用個人資料。主要內容有： 一、 適用對象：於明尼蘇達州內經營商業之營利組織（下簡稱企業或資料控制者），或生產製造商品、提供服務予該州居民之企業，且符合下列情形之一者： 1. 在前一年度控制或處理超過10萬筆消費者個人資料。 2. 控制或處理超過25,000筆消費者個人資料，且總營收超過百分之二十五係源自於銷售個人資料者。 3. 高等教育機構（postsecondary institutions）、非營利組織則自2029年7月31日起適用。 二、 消費者權利：賦予明尼蘇達州居民對個人資料的基本權利，且強調消費者不應因行使權利而受歧視。分別為： 1. 近用權：請求瀏覽企業對其所蒐集個人資料，但如導致企業商業機密洩露之虞者除外。 2. 修正權：請求企業修正不正確或不完整的個人資料。 3. 刪除權：請求企業刪除其個人資料。 4. 請求製給複製本：採取可便利取用格式，或資料可攜(Data Portability) 之方式。 5. 選擇退出權（opt out）：就個資利用行為，消費者得行使退出權： （1） 為精準行銷之目的（Targeted Advertising）； （2） 銷售個人資料； （3） 為資料剖析之目的處理個人資料。 6. 取得企業揭露或提供個資利用之對象清單。 7. 消費者得向企業請求基於特定決策所作成剖析結果之原因，以及消費者未來得據以採取確保不同決策之作為。 三、 企業主要責任與義務： 1. 企業應履行之義務除告知義務、透明度、資料最小化、安全維護措施外，尚須： （1） 依法回應當事人之請求：資料當事人向企業請求查詢、修改及刪除自己的資料，企業接到請求後，應於45天之期限內准駁其請求；必要時得於通知當事人合理事由後，展延一次。 （2） 保存所有申訴與回覆之紀錄至少24個月；除此之外，企業須建立並採行合規政策，包括識別主要負責人，如：首席隱私長(Chief Privacy Officer)。 明尼蘇達州《明尼蘇達消費者資料隱私法》的通過顯示社會對於資料隱私保護方面的重視，除了加強對消費者個人資料的保護，也賦予消費者的權利，使消費者不再屬於被動方，而能夠主動捍衛自己的個人資料隱私。
歐盟支付服務指令(PSD)將進行翻修，然而進程延宕歐盟執委會於2013年7月24日提出支付服務指令(Payment Service Directive，簡稱PSD，Directive 2007/64/EC)修正案，簡稱PSD2。最新消息指出，PSD2將無法在本屆歐洲議會審議完成，需於五月歐洲議會改選後，在新一屆的議會中再行審議。 PSD公布施行於2007年，該法降低支付服務市場新参進者(也就是非銀行業者)進入市場的困難度，活絡支付市場的競爭，提供消費者更多的選擇，並強化消費者保護。PSD讓「支付」在歐盟內更快更方便。 本次歐盟提出修正案，其修正目標包含： 一、提高歐盟支付市場的整合以及效率。 二、提升支付服務提供者(包含新参進者)的營運範圍。 三、確保強化消費者保護以及資訊安全。 四、鼓勵支付服務的減價。 五、促進共通技術規範以及互用性(interoperability)的形成。 實際做法，PSD2大致有以下修正重點: 一、因應科技發展及時代變遷，擴大適用範圍： (一)提出「第三方支付服務提供人(third party payment provider，簡稱TPP)」之名詞定義，並量身打造規範。原本PSD的附件(Annex)中關於「支付服務」定義，第七款「透過電信、數位或IT設備接收支付服務使用者的指示執行支付交易，而支付的進行也是透過電信或IT系統或網路營運人，而且只是擔任服務使用者與商品或服務提供人的中間媒介。」已可包含目前我國俗稱的第三方支付服務。本次PSD2則在第14條第11項中提出「第三方支付服務提供者」此名詞，對照於附件一(Annex I)第七款中，係指： 基於存取其他支付服務提供人之支付帳戶而提供下述服務- 1.發動支付服務； 2.帳戶資訊服務。」 例如透過TPP與銀行帳戶界接，從銀行帳戶扣款進行支付；或者是與信用卡界接，進行扣款。 依照PSD2，TPP為支付服務提供者(Payment service providers, 簡稱PSPs)，因此也需要取得各國主管機關之許可方能進行營業。 (二)透過手機或者是其它IT裝置進行的行動支付，如果單筆支付金額超過50歐元，或者是月支付金額超過200歐元，也應適用PSD2。 二、強化資安要求： (一)歐盟將另提出「網路及資訊安全指令(Direvctive on Network and Information Security，簡稱NIS Directive)」，PSPs應遵循之。 (二)歐洲銀行管理局(European Banking Authority，簡稱EBA)將與歐洲央行(ECB)密切合作，提出資訊安全指導原則(guidelines)，以輔導PSPs建立並執行、監控資安以確保PSPs符合資安事件處理要求。 三、強化消費者保護： (一)PSD對於支付服務應揭露資訊的規定只適用於支付全部在歐盟境內發生者，PSD2則要求對於涉及第三國以及外幣之交易，只要有任一支付服務提供者是在歐盟境內，都要適用。 (二)只要支付未經授權，應立即退款給付款方。 (三)保障無條件退款權，但是如果商品或服務已經完成消費則不在此限，例如下載的影片已經被觀賞完畢。 (四)無需另外授權的交易(如免輸入帳密之交易)，額度從原本的150歐元下調為50歐元。 對於客訴爭議，PSPs應於15個工作日內以書面回覆。