美國財政部外國資產控制辦公室更新發布與勒索軟體支付相關之制裁風險諮詢
美國財政部外國資產控制辦公室（The US Department of the Treasury’s Office of Foreign Assets Control, OFAC）於2021年9月21日更新並發布了與勒索軟體支付相關之制裁風險諮詢公告（Updated Advisory on Potential Sanctions Risks for Facilitating Ransomware Payments）。透過強調惡意網絡活動與支付贖金可能遭受相關制裁之風險，期待企業可以採取相關之主動措施以減輕風險，此類相關之主動措施即緩減風險之因素（mitigating factors）。
該諮詢認為對惡意勒索軟體支付贖金等同於變相鼓勵此種惡意行為，故若企業對勒索軟體支付，或代替受害企業支付贖金，未來則有受到制裁之潛在風險，OFAC將依據無過失責任（strict liability），發動民事處罰（Civil Penalty制度），例如處以民事罰款（Civil Money Penalty）。
OFAC鼓勵企業與金融機構包括涉及金錢存放與贖金支付之機構，應實施合規之風險管理計畫以減少被制裁之風險，例如維護資料的離線備份、制定勒索事件因應計畫、進行網路安全培訓、定期更新防毒軟體，以及啟用身分驗證協議等；並且積極鼓勵受勒索病毒攻擊之受害者應積極聯繫相關政府機構，例如美國國土安全部網路安全暨基礎安全局、聯邦調查局當地辦公室。
- (已額滿)114年「企業營業秘密保護實務座談會」(北部場)–營業秘密因應數位環境之保護風險及管理對策
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(實體)
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(直播)
- 【台北場1】通訊傳播事業個資法遵教育訓練
- 【台中場】通訊傳播事業個資法遵教育訓練
- 【新北場】通訊傳播事業個資法遵教育訓練
- 【高雄場】通訊傳播事業個資法遵教育訓練
- 【台北場2】通訊傳播事業個資法遵教育訓練
- 114年「企業營業秘密保護實務座談會」（南部場）
- 114年「企業營業秘密保護實務座談會」（中部場）
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
- 商業服務業個資管理與資訊安全實務宣導說明會（高雄場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台南場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台中場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台北場）
蘇偉綸
副法律研究員 編譯整理
1. The US Department of the Treasury’s Office of Foreign Assets Control [OFAC], Updated Advisory on Potential Sanctions Risks for Facilitating Ransomware Payments(2021), https://home.treasury.gov/system/files/126/ofac_ransomware_advisory.pdf (last visited Oct. 19, 2021).
2. Publication of Updated Ransomware Advisory; Cyber-related Designation, U.S. DEPARTMENT OF THE TREASURY, https://home.treasury.gov/policy-issues/financial-sanctions/recent-actions/20210921 (last visited Oct. 19, 2021).
3. Alex Koskey and Matt White, Ransomware state of the union: regulations, trends and mitigation strategies, REUTERS, Oct.14,2021, https://www.reuters.com/legal/legalindustry/ransomware-state-union-regulations-trends-mitigation-strategies-2021-10-14/ (last visited Oct. 19, 2021).
英國政府於2021年11月24日，提出產品安全及電信基礎設施法案（Product Security and Telecommunications Infrastructure Bill，PSTI法案），要求物聯網供應商、提供網際網路連線服務之公司或其他數位科技產品之製造商、進口商，及經銷商符合新網路安全標準，並對未遵守規範者處以巨額罰款。 PSTI法案之通過將保護消費者免受資安攻擊，並使政府得以引入更加嚴格的安全標準。該法案之內容包含，禁止數位科技產品之業者使用單一且通用之預設密碼，產品之預設密碼都必須有所不同；供應商應具備漏洞揭露政策，並應向客戶公開公司正採取何種防禦作為，處理該安全漏洞；應公開相關聯繫資訊或建立聯繫平台，使安全研究人員或其他人發現產品缺陷及錯誤時，方便與其聯繫；另外，針對不符合要求之產品或服務，政府亦將有權阻止其於英國境內銷售。 在電信基礎設施改革方面，將促進營運商與電信託管設備之土地所有權人進行更快速有效之談判，減少相關冗長的法律爭訟事件，例如，要求電信營運商透過訴訟外紛爭解決機制（Alternative Dispute Resolution，ADR）解決紛爭，無須訴諸法院。亦加快續約之談判流程，讓根據舊有協議安裝基礎設施之營運商，得以按照類似條款進行續約，英國政府希望透過這些措施使95%國土擁有4G網路覆蓋，至2027年大多數人口能使用5G網路。 PSTI法案生效後，英國政府將指定監管機構，其有權限針對違反規範之企業處以最高1000萬英鎊罰鍰，或以其在全球之營業總額的4%作為罰款。
由AOL LLC and PLATFORM-A, INC. v. ADVERTISE.COM, INC. 案看網域名稱與商標名稱爭議2009年10月19日，美國線上公司AOL LLC and Platform-A, Inc. (American Online, 簡稱AOL)再次於美國聯邦加州中區地方法院 (US California Central Federal District Court)向一家提供美國線上行銷廣告的公司- ADVERTISE.COM公司，提出商標侵權訴訟。 本案原告- AOL早於2009年8月17日即向美國東維吉尼亞地方法院提出商標侵權訴訟，主張ADVERTISE.COM公司所使用advertise.com之網域名稱，除侵害AOL已註冊的Advertising.com，包含通用文字- advertising.com及設計過A之圖形，及申請中的AD.COM商標權外，也違反了不公平競爭法及維吉尼亞商事法。唯，10月初，東維吉尼亞地方法院法官提出有利於ADVERTISE.COM公司之意見，認為AOL企圖以其所註冊之商標- (A)dvertising.com，來阻止其他競爭公司在網路世界使用任何有關advertise文字的作法，係壟斷網路上所有線上廣告行銷市場；故，AOL被迫於10月將本件訴訟案轉向美國聯邦加州中區地方法院提出。 目前尚無對本案的意見，將待本案之後續發展，才能暸解商標權人所註冊的圖形商標中，若包含經設計的圖案及通用的文字時，是否就取得圖形當中通用文字的專用權，並可向其他競爭者主張，任何使用所註冊的商標的一部分，包含網域名稱中的文字，也是商標侵害的一種型態；如此，可能將導致擴張商標權的保障範圍。
英特爾將停用開源碼授權英特爾公司宣布，將廢止一項適用於部分自家軟體的開放原始碼授權辦法。這家晶片製造公司表示，已通知開放原始碼促進會 (Open Source Initiative ； OSI) 移除英特爾的開源碼授權許可，未來不再以 OSI 認可的授權形式繼續使用。 OSI 是一個非營利性機構，其宗旨在推廣使用開放原始碼軟體，並且在 OSI 網站上公布一份開放原始碼軟體授權清單。該公司希望把英特爾開放原始碼授權 (Intel Open Source License) 「移除，未來停用」，藉此降低授權協議日益增多的情形。 授權協議如雨後春筍般地孳生，已引起開放原始碼社群人士關切，因為授權版本大增之後，有意採用開放原始碼軟體的企業必須多花一些錢評估、管理各類型的授權，無形中導致成本增加。英特爾發言人表示，決定廢止開源碼授權，是發現公司內部數年來一直未使用，公司以外的使用頻率也不高。 Smith 說，英特爾不希望讓這項授權的「解除許可」效力回溯既往，以免迫使企業重新取得程式碼的使用授權。
法國CNIL認Google於Gmail中投放之偽裝廣告及個人化廣告因欠缺當事人有效同意而違法，開罰3.25億歐元法國國家資訊與自由委員會（Commission Nationale de l’Informatique et des Libertés, CNIL）於2025年9月1日針對一起由歐洲數位權利中心（noyb - The European Center for Digital Rights）提出的申訴做成決議，指Google未經Gmail使用者同意，將廣告偽裝為電子郵件進行「偽裝廣告」（Disguised Ads）投放，以及在對Gmail使用者投放個人化廣告前，未能於Gmail帳號申請流程中提供當事人提供較少cookies、選擇非個人化之通用廣告（generic ads）的選項，違反了《電子通訊法》（code des postes et des communications électroniques）與《資訊與自由法》（loi Informatique et Libertés）中關於歐盟《電子隱私指令》（ePrivacy Directive）之施行規定，對Google裁處了3.25億歐元的罰鍰，並要求改善。以下節錄摘要該裁決之重點： 一、 偽裝成電子郵件的偽裝廣告與電子郵件廣告均須獲當事人同意始得投放 歐盟《電子隱私指令》第13條1項及法國《電子通訊法》規定，電子郵件直接推銷（direct marketing）僅在其目標是已事先給予同意的使用者時被允許。CNIL，依循歐盟法院（CJEU）判例法（C-102/20）見解，認為若廣告訊息被展示在收件匣中，且形式類似真實電子郵件，與真實電子郵件相同位置，則應被認為是電子郵件直接推銷，須得到當事人之事前同意。因此，CNIL認定偽裝廣告即便技術上不是狹義的電子郵件，僅僅因其在通常專門用於私人電子郵件的空間中展示，就足以認為這些廣告是透過使用者電子郵件收件匣傳遞的廣告，屬於電子郵件廣告，而與出現在郵件列表旁邊且獨立分開的廣告横幅不同，後者非屬電子郵件廣告。 二、 Cookie Wall下當事人的有效同意：「廣告類型」的選擇、服務申請流程的隱私設計與資訊透明 CNIL參酌歐盟個人資料保護委員會（European Data Protection Board, EDPB）第2024/08號關於「同意與付費模式」意見，認為同意接受廣告在特定條件下得作為使用Gmail服務的條件。換言之，以「cookie wall」（註：拒絕cookie的蒐集即無法獲得服務之網站設計）取得之當事人「同意」，非當然不自由或無效。CNIL認為，在免費服務的框架下，cookie wall在維持提供服務與服務成本之間的經濟平衡上，要求服務申請者須接受投放廣告的cookie是合法的。惟CNIL認為，這不代表Google可以任意決定所蒐集的cookies和相應廣告模式的類型。 CNIL要求，當事人在cookie wall的框架內仍應享有選擇自由，才能取得蒐集為投放個人化廣告之cookies的當事人有效同意，亦即：在個人化廣告處理更多個資和對當事人造成更多風險的情況下，當事人應被給予機會選擇「等值的替代選項」，亦即通用廣告，並完全且清晰地了解其選擇的價值、範圍及後果。 然而，CNIL發現，Google將與廣告個性化相關的cookies拒絕機制設計得比接受機制更複雜，實際上阻礙了使用者拒絕隱私干預程度更高的cookies。這種拒絕途徑偏袒了允許個人化廣告的cookies的同意，從而影響了當事人的選擇自由。CNIL也發現，Google從未以明確方式告知使用者建立Gmail帳戶時面臨cookie wall，以及對此使用者享有甚麼選擇，而其提供的資訊更引導使用者選擇個人化廣告，導致選擇一般廣告的機會遭到犧牲。 三、 為何不是愛爾蘭資料保護委員會（Data Protection Commission, DPC）管轄？ GDPR設有「單一窗口機制」，依據該合作機制，對Google進行的GDPR調查，應由作為主任監管機關（Lead Supervisory Authority）的愛爾蘭DPC管轄。惟在本案，CNIL認為並不適用於單一窗口機制。因為與cookies使用及電子推銷相關的處理並非屬於GDPR範疇，而是適用電子隱私指令，CNIL對法國境內的cookies使用及電子推銷處理享有管轄權。此爭議反映出即便GDPR旨在確保標準化單一市場內的數位管制，但尚不足以弭平成員國間監管強度之差異。