美國財政部外國資產控制辦公室更新發布與勒索軟體支付相關之制裁風險諮詢
美國財政部外國資產控制辦公室（The US Department of the Treasury’s Office of Foreign Assets Control, OFAC）於2021年9月21日更新並發布了與勒索軟體支付相關之制裁風險諮詢公告（Updated Advisory on Potential Sanctions Risks for Facilitating Ransomware Payments）。透過強調惡意網絡活動與支付贖金可能遭受相關制裁之風險，期待企業可以採取相關之主動措施以減輕風險，此類相關之主動措施即緩減風險之因素（mitigating factors）。
該諮詢認為對惡意勒索軟體支付贖金等同於變相鼓勵此種惡意行為，故若企業對勒索軟體支付，或代替受害企業支付贖金，未來則有受到制裁之潛在風險，OFAC將依據無過失責任（strict liability），發動民事處罰（Civil Penalty制度），例如處以民事罰款（Civil Money Penalty）。
OFAC鼓勵企業與金融機構包括涉及金錢存放與贖金支付之機構，應實施合規之風險管理計畫以減少被制裁之風險，例如維護資料的離線備份、制定勒索事件因應計畫、進行網路安全培訓、定期更新防毒軟體，以及啟用身分驗證協議等；並且積極鼓勵受勒索病毒攻擊之受害者應積極聯繫相關政府機構，例如美國國土安全部網路安全暨基礎安全局、聯邦調查局當地辦公室。
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(實體)
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(直播)
- 【台北場1】通訊傳播事業個資法遵教育訓練
- 【台中場】通訊傳播事業個資法遵教育訓練
- 【新北場】通訊傳播事業個資法遵教育訓練
- 【高雄場】通訊傳播事業個資法遵教育訓練
- 【台北場2】通訊傳播事業個資法遵教育訓練
- 114年「企業營業秘密保護實務座談會」（南部場）
- 114年「企業營業秘密保護實務座談會」（中部場）
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
- 商業服務業個資管理與資訊安全實務宣導說明會（高雄場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台南場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台中場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台北場）
蘇偉綸
副法律研究員 編譯整理
1. The US Department of the Treasury’s Office of Foreign Assets Control [OFAC], Updated Advisory on Potential Sanctions Risks for Facilitating Ransomware Payments(2021), https://home.treasury.gov/system/files/126/ofac_ransomware_advisory.pdf (last visited Oct. 19, 2021).
2. Publication of Updated Ransomware Advisory; Cyber-related Designation, U.S. DEPARTMENT OF THE TREASURY, https://home.treasury.gov/policy-issues/financial-sanctions/recent-actions/20210921 (last visited Oct. 19, 2021).
3. Alex Koskey and Matt White, Ransomware state of the union: regulations, trends and mitigation strategies, REUTERS, Oct.14,2021, https://www.reuters.com/legal/legalindustry/ransomware-state-union-regulations-trends-mitigation-strategies-2021-10-14/ (last visited Oct. 19, 2021).
歐盟委員會與美國白宮於2022年3月25日發布聯合聲明，宣布雙方已就新的跨大西洋資料傳輸框架達成原則性協議。此舉旨在因應2020年7月歐盟法院（Court of Justice of the European Union）於Schrems II案的判決中宣告「歐盟—美國隱私盾協定」（EU-US Privacy Shield Framework）不符合歐盟一般資料保護規則（General Data Protection Regulation, GDPR）而無效。依照該聯合聲明，新的框架將在雙方間資料流動的可預測性、可監督性、可信賴性以及可救濟性等方面進行補強，以充分維護公民的隱私與自由權利。 目前，該框架仍處於原則性協議的階段，具體細節仍有待後續談判。聯合聲明指出，美國在下列三個方面做出了「重大承諾」： 加強控管美國的情報活動，以確保所追求國家安全目的適法，且所採取的手段係在必要範圍內，而未過度侵犯公民的隱私與自由。 建立具有約束力且獨立的多層次救濟機制，其中包含一個由非政府人員所組成的「個人資料保護審查法院」，並賦予該組織完全的審判權。 針對情報活動強化分層且嚴格的行政監督機制，以確保其合乎隱私與自由的新標準。 上述原則性協議的達成，表面上無疑是一項好消息，將有助於解決雙方跨境資料傳輸的法源爭議，並避免持續演變成嚴重的歐美貿易爭端。然而，美國政府能否順利將新框架轉化為具有約束力的國內行政命令，仍存在相當多的不確定因素。若結果為否，則最終亦難以達成取得歐盟根據GDPR所為「適足性認定」（adequacy decision）的政策目標。
澳洲競爭及消費者委員會（ACCC）就大型數位平臺對於消費者權益和市場競爭的問題提出建言澳洲競爭及消費者委員會（Australian Competition and Consumer Commission, ACCC）於2022年11月發佈了數位平臺第五份調查報告。該報告係ACCC受澳洲政府委託，於2020年起對數位平臺相關的消費者權益和市場競爭問題的調查，本次報告將重點放在監管如何改革。主要提供的建議和警示可分為五個方向： 1.反競爭行為 大型數位平臺擁有巨大的市場力量和重要的財政資源，佔據主導地位的數位平臺公司有能力和動機透過排他性行為和收購潛在競爭對手，以維持其在市場中的優勢地位。 2.消費者和中小企業保護不足 ACCC於2022年所發佈的最新報告與其自2017年開始進行數位平臺研究起所發布的其他報告一致，皆指出數位平臺的服務有以下潛在危害： ● 利用消費者偏見或引導消費者的方式向消費者提供服務。 ● 數位平臺上的詐騙明顯且持續增加。 ● 來自應用程式商店提供的不當和欺詐性應用程式的危害。 ● 創建、購買和銷售虛假評論以及以其他方式操縱評論的做法。 ● 欠缺救濟和爭議解決的途徑。 3.保護消費者的新措施 澳洲現有的競爭和消費者法律已難以因應數位平臺市場所面臨的消費者權益侵害和競爭危害等問題。該報告建議進行立法改革，具體如下： ● 商業市場中的消費者保護措施，包括禁止不公平交易行為和不公平契約條款。 ● 針對數位平臺的消費者爭議措施，包括強制規定內部和外部的爭議解決流程，以及平臺對詐騙、有害程式和虛假評論的預防和刪除義務。 ● 建立新的競爭框架，使受指定的數位平臺提供服務時受到適用於此一領域的強制性法規拘束。 ● 受指定數位平臺將應遵循之新框架和守則，以遵守競爭義務，避免其在市場中的反競爭行為，如競爭行為中的自我偏好（self-preference）等。 4.管轄 該調查報告亦指出適當且明確的管轄權限劃分對於新的監管框架來說非常重要，應在考慮到其專業知識和權責範圍的前提下，將監管責任分配給正確的管理機構，並且這些監管在流程中的各個環節都應受到適當的監督。 對於新的競爭框架及監管措施，ACCC建議可以參考英國當前的制度設計；英國政府成立了數位市場部門（Digital Markets Unit, DMU），該部門隸屬於競爭與市場管理局（Competition and Markets Authority），DMU負責監督受指定數位平臺，並在符合公平貿易、選擇開放、透明及信任等前提之下，DMU得視各個公司不同的情況對其進行特定的要求，如建立面對非法內容、對成人或未成年人有害內容時的應對措施等。 5.與國際方針的一致性 過去，澳洲在數位平臺監管策略採取了領先國際的創新行動，透過實施《新聞媒體議價法》（News Media Bargaining Code），要求數位平臺為新聞內容付費。但未來澳洲政府最終採用的策略將可能仿效他國經驗或是依循國際間共通模式，如英國推行中的《網路安全法》（Online Safety Bill）或歐盟的《數位市場法》（Digital Market Act）和《數位服務法》（Digital Services Act），而非獨樹一幟。 澳洲數位平臺監管策略之後續變化與進展值得持續追蹤，以做為我國數位平臺治理政策之借鏡。
歐盟法院判決釐清GDPR民事賠償不受損害最低程度限制歐盟法院（Court of Justice of the European Union, CJEU）於2023年12月14日對Gemeinde Ummendorf（C‑456/22）案作出判決。歐盟法院試圖釐清《歐盟一般個人資料保護規則》（General Data Protection Regulation, GDPR）第82條的民事求償規範中，資料主體受到非財產上的損害要到何種程度才可獲得賠償。 本案源自於兩位自然人原告與德國的烏門多夫市政府（Municipality of Ummendorf）之間的紛爭。2020年，烏門多夫市政府未經兩位原告同意情況下，在網路上公布市議會議程與行政法院判決，這些資訊內容均多次提及兩位原告的姓名與地址。兩位原告認為市政府故意違反GDPR，因此依據GDPR第82條請求市政府賠償，並進一步主張該條意義下的非財產損害，不需要任何損害賠償門檻。然而，市政府則持相反意見。 長久以來，德國法院傾向認為，GDPR的非財產上損害需要超過某個「最低損害門檻」才可獲得賠償。然而，承審法院決定暫停訴訟程序，並將是否應有「最低損害門檻」以及其基準為何的問題，提交給歐盟法院進行先訴裁定。 歐盟法院考慮到，GDPR的宗旨在於確保在歐盟境內處理個人資料時對自然人提供一致和高水準的保護，如要求損害必須達到一定的嚴重性閾值或門檻才可賠償，恐因為成員國法院認定的基準不同，進而破壞各國實踐GDPR 的一致性。因此，歐盟法院最後澄清，GDPR的民事賠償不需要「最低損害門檻」，只要資料主體能證明受有損害，不論這個損害有多輕微，都應獲得賠償。
歐盟執委會規劃制訂「2050能源發展藍圖」歐盟執委會（European Commission）於去（2011）年12月公布「2050能源發展藍圖（Energy Roadmap 2050: a secure, competitive and low-carbon energy sector is possible）」，主要係執委會承諾將推動歐盟於2050年前達成溫室氣體80-95%減量目標（相較於1990年排放基準），建立具競爭力之低碳經濟社會，所以規劃擬訂「2050能源發展藍圖」，期望能導引歐盟走向「無碳化目標（Decarbonisation Objective）」，同時並確保能源供應安全及保持國際競爭優勢。 並且，奠基於之前「歐洲2020發展策略（Europe 2020）」所設立推動「20-20-20」溫室氣體減量及能源效率目標，歐盟執委會認為進一步擬訂「後2020時期策略（Post-2020 Strategies）」是非常亟需的，並且認為以現有規劃持續推動，2050年僅將達成減少40％減量目標，對於歐盟建立成為無碳化社會之目標，是非常不足夠的，所以擬訂此一發展藍圖。 「2050能源發展藍圖」主要設定了五項無碳化發展願景（Scenarios）：包含提高能源效率（High Energy Efficiency）、多元化能源技術（Diversified Supply Technologies）、提昇再生能源比例（High Renewable Energy Sources）、 因應碳捕捉發展（Delayed CCS）、 降低核能發電（Low Nuclear）等，並對於「2020至2050發展規劃（Moving from 2020 to 2050）」，研析諸如提昇能源節省與管理需求（Energy Saving and Managing Demand）、移轉使用再生能源發電（Switching to Renewable Energy Sources）、天然氣過渡重要角色（Gas Plays a Key Role in the Transition）、智慧能源技術及儲存發展（Smart Technology, Storage and Alternative Fuels）、電力管理新思考（New Ways to Manage Electricity）、整合區域發電資源與集中系統（Integrating Local Resources and Centralised Systems）等重要議題。未來歐盟執委會如何進一步依據「2050能源發展藍圖」規劃制訂推動措施及配套機制，值得持續觀察研析。