英國提出產品安全及電信基礎設施法案
英國政府於2021年11月24日，提出產品安全及電信基礎設施法案（Product Security and Telecommunications Infrastructure Bill，PSTI法案），要求物聯網供應商、提供網際網路連線服務之公司或其他數位科技產品之製造商、進口商，及經銷商符合新網路安全標準，並對未遵守規範者處以巨額罰款。
PSTI法案之通過將保護消費者免受資安攻擊，並使政府得以引入更加嚴格的安全標準。該法案之內容包含，禁止數位科技產品之業者使用單一且通用之預設密碼，產品之預設密碼都必須有所不同；供應商應具備漏洞揭露政策，並應向客戶公開公司正採取何種防禦作為，處理該安全漏洞；應公開相關聯繫資訊或建立聯繫平台，使安全研究人員或其他人發現產品缺陷及錯誤時，方便與其聯繫；另外，針對不符合要求之產品或服務，政府亦將有權阻止其於英國境內銷售。
在電信基礎設施改革方面，將促進營運商與電信託管設備之土地所有權人進行更快速有效之談判，減少相關冗長的法律爭訟事件，例如，要求電信營運商透過訴訟外紛爭解決機制（Alternative Dispute Resolution，ADR）解決紛爭，無須訴諸法院。亦加快續約之談判流程，讓根據舊有協議安裝基礎設施之營運商，得以按照類似條款進行續約，英國政府希望透過這些措施使95%國土擁有4G網路覆蓋，至2027年大多數人口能使用5G網路。
PSTI法案生效後，英國政府將指定監管機構，其有權限針對違反規範之企業處以最高1000萬英鎊罰鍰，或以其在全球之營業總額的4%作為罰款。
- 零售業個資安全宣導暨安全維護計畫規劃說明會
- (已額滿)114年「企業營業秘密保護實務座談會」(北部場)–營業秘密因應數位環境之保護風險及管理對策
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(實體)
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(直播)
- 【台北場1】通訊傳播事業個資法遵教育訓練
- 【台中場】通訊傳播事業個資法遵教育訓練
- 【新北場】通訊傳播事業個資法遵教育訓練
- 【高雄場】通訊傳播事業個資法遵教育訓練
- 【台北場2】通訊傳播事業個資法遵教育訓練
- 114年「企業營業秘密保護實務座談會」（南部場）
- 114年「企業營業秘密保護實務座談會」（中部場）
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
蘇偉綸
副法律研究員 編譯整理
Product Security and Telecommunications infrastructure Bill, UK Parliament, https://bills.parliament.uk/bills/3069, (last visited Dec. 9, 2021).
UK Product Security and Telecommunications infrastructure Bill(PSTI) to protect people’s personal tech from hackers, SCC, Dec.1,2021, https://www.scconline.com/blog/post/2021/12/01/uk-product-security-and-telecommunications-infrastructure-bill-psti-to-protect-peoples-personal-tech-from-hackers/ (last visited Dec. 9, 2021).
Government introduces Product Security and Telecommunications infrastructure(PSTI) Bill 2021 to Parliament, wiggin, https://www.wiggin.co.uk/insight/government-introduces-product-security-and-telecommunications-infrastructure-psti-bill-2021-to-parliament/ (last visited Dec. 9, 2021).
澳洲雪梨聯邦法院於本月 24 日對分散式 P2P 業者 Kazaa 發出命令，要求 Kazaa 營運商 Sharman Networks 必須在 10 日內（ 12 月 5 日之前），在其提供下載的軟體中加入關鍵字過濾技術（ keyword filter system ），否則應立即停止營運。市場人士普遍認為 Kazaa 暫時停止營運的可能性相當地高。 源起於去年底澳洲當地唱片業者控告 Kazaa 一案，今年 9 月 5 日澳洲聯邦法院認定 Kazaa 營運商 Sharman Networks 構成著作權侵害，除判決唱片業者勝訴外，法院並判定 Kazaa 必須在 2 個月內修改其軟體程式，加入相關過濾技術，以避免使用者傳輸違法音樂檔案；另一方面，判決賦予唱片業界得提交 3000 個關鍵字名單 ( 包括了曲目及歌手姓名 ) 要求 Kazaa 加以過濾的權利，該名單並得每兩週加以更新。 直至本月 24 日， Kazaa 仍表示其無法控制高達 100 萬使用者的個人行為，拒絕修改其提供下載的 P2P 軟體，導致聯邦法院不得不下達最後通牒。 Kazaa 營運商 Sharman Networks 雖已提起上訴，但在現時關鍵字過濾技術實施不易之下，澳洲 Kazaa 恐將步上已於本月 7 日關閉的 Grokster 後塵。
日本健康保險擴大遠距醫療適用對象並提高支付標準日本厚生勞動省對於利用電話、視訊等資通訊機器所為之遠距醫療，因應明年修正健康保險診療報酬，提高遠距醫療服務給付項目及支付標準，為了明確適用健康保險之相關要件與規定，成立研究委員會以作成相關適用指引。隨著資通訊技術發展，利用資通訊機器所為之遠距醫療漸漸普及。在擔保醫療之安全性、必要性及有效性下，為了更進一步普及並推進適當之診療，有必要整備相關法令規定。厚生勞動省於11月設置研究委員會，預定在2018年3月底前訂定「遠距醫療適用指引（情報通信機器を用いた診療に関するガイドライン）」。 日本1948年制定之醫師法第20條規定醫師非親自診療，不得為治療等行為。此一規定迄今未修正，遠距醫療並非當時所能想像與規範。目前，厚生勞動省以函釋通知方式，對於該條之適用為相關通知與事務聯絡，以擴大遠距醫療適用之可能性。厚生勞動省於1997年第一次發出之通知（平成9年12月24日健政發第1057號厚生省健康政策局長通知），對於遠距醫療與醫師法第20條的適用關係提出基本見解，認為醫師法第20條親自診療原則規定，不一定等於直接見面診療，以代替方式而對於病患身心狀況得以獲得有用資訊下，使用遠距醫療並非違反本條親自診療規定。在本號通知「留意事項」中，對於遠距醫療之適用對象地區與病患，有以下規定：1. 初診原則上必須為面對面診療；2.直接面對面診療有困難之離島及偏遠地區；3. 對於病況穩定之病患，在確保緊急對應處理及聯絡體制下，以「別表」列舉適用之慢性疾病（例如：居家氧氣治療病患）為對象。但是本來只是例式規定的「非初診」「離島及偏遠地區」、「特定慢性疾病」，卻被解釋成限定列舉規定，導致遠距醫療適用範圍非常狹窄，變成原則禁止之情形。 直至2015厚生勞動省再發出通知（平成27年8月10日厚生勞動省事務連絡），明確非初診、離島及偏遠地區、「別表」所列舉之慢性疾病等，僅是例式規定，對象地區及病患不限於此，以及就算是初診，直接為親自診療有困難時，基於病患要求下充分考量病患有利條件下，依據醫師之判斷，活用各種可能之工具，結合社交網路服務（SNS）、視訊影像以及電子郵件等方式組合而為適當之遠距醫療。於「別表」列舉遠距醫療之九種病患對象為，居家氧氣治療病患、居家罕見疾病病患、居家糖尿病患、居家氣喘病患、居家高血壓病患、居家過敏性皮膚炎病患、褥瘡居家療養病患、居家腦血管病患以及居家癌症病患等。 2015年通知使得遠距醫療之適用對象範圍大為擴大，因此日本醫療院所積極整備資通訊設備環境。同時，厚生勞動省在2017年底提出之2018年度福祉預算中，明確修正健康保險診療報酬，提高遠距醫療之醫療服務給付項目與支付標準，使得利用遠距醫療為診療服務之利益大為提高，更加速提高遠距醫療之利用可能性。惟，前述2015年通知之內容，對於適用對象與診療內容，尚有不明確之處，因此邀集醫療、法學、遠距醫療專門等12名專家成立研究委員會，以訂定明確適用規則，防止未來對於病患造成不利益之判斷。
截圖也違法，日本著作權法擬擴大違法下載之態樣日本文化廳文化審議會著作權分科會於2018年2月13日，出具分科會報告書，內容說明著作權法修正之方向。書中提及「重新檢視並修正違法下載之態樣」一點，擬將違法下載之態樣及動作，由「影音」擴及到所有靜態圖文（如漫畫、照片、小說、雜誌及論文等），「下載」擴及「截圖」（スクショ，screenshot）。 此次修法，起因於近來日本大量出現線上盜版漫畫網站，推估其半年所造成之損失可達4000億日幣以上。該報告書公布後，隨即湧現大量反對之聲浪。反對者認為修法之弊大於利，日本漫畫學會對此發表反對聲明，會長竹宮惠子對於修法表示憂心，認為修法將導致以下問題： 阻礙創作研究（如二次創作）； 創作萎縮（日常下載及剪輯將被禁止）； 難以判斷網路靜態圖文是否為違法上傳； 即使「下載」違法化，仍然無法根除線上盜版漫畫流通平台。 報告書中亦提及，在個人部落格及需加入會員之社群網（SNS）上傳或下載未經著作權人同意而公開之著作，亦屬違法。倘若為全書掃描上傳等惡性重大之行為，應科以刑責。 針對上述疑慮，報告書中的確未排除修法後將造成著作物在網路上利用萎縮之可能，然仍強調應透過官民間之合作努力，傳達正確之修法内容。並由出版社端導入「ABJ Mark」，推動正版漫畫流通平台，透過科技推動盜版網頁近用警示制度，使大眾知悉其行為即將侵害著作權等。由於法令修正之内容，影響人民日常生活甚鉅，後續修法將在各團體間如何折衝，上述措施能否普及或啟發人民觀念，值得後續持續關注。
美國奧克拉荷馬州修正《個資事故通報法》，擴充個資定義範圍並強化通報機制美國奧克拉荷馬州修正《個資事故通報法》，擴充個資定義範圍並強化通報機制 資訊工業策進會科技法律研究所 2025年07月22日 現行我國關於非公務機關就個資事故進行通報之規定，散落於各中央目的事業主管機關制定之各業別個人資料檔案安全維護管理辦法或相關辦法中，且前揭各辦法對於通報之標準不盡相同。各國主管機關紛紛強化個資治理法制，而美國奧克拉荷馬州修正關於個人資料定義、適當防護措施及個資事故通報機制等事項，以建立更完善之規範。 壹、事件摘要 美國奧克拉荷馬州議會業於2025年5月20日通過第626號法案（Senate Bill 626）[1]，修正《個資事故通報法》（Security Breach Notification Act）[2]，其目的係為補充現行治理規範之不足，修正重點涵蓋：擴充法定用詞之定義，針對「個人資料」（Personal Information）與「適當防護措施」（Reasonable Safeguards）等條文予以補充與增列；強化個資事故（Breach of the security of a system）之通報機制與設立豁免條款，並釐清與其他法規間之適用關係；以及修訂違法情事之民事裁罰。此外，本次修法亦明定，若機構或個人已採取適當防護措施，得作為民事訴訟中之抗辯理由。本法將自2026年1月1日起正式生效，並適用於自該日起所發現、判定或通報之個資事故，相關單位應即早進行法遵準備，以確保制度落實。 貳、修法重點 本次修法主要包含三大核心面向，簡要說明如下： 一、擴充法定用詞之定義 （一）個人資料 於現行法規對個人資料之定義下，再增加新資料類別： 1.與驗證碼、存取碼或密碼結合使用時，可用以登入特定個人金融帳戶之專屬電子識別碼（Electronic Identifier）或路由代碼（Routing Code）； 2.用以辨識特定自然人之獨特生物特徵資料，例如指紋、視網膜或虹膜影像，或其他具體實體或數位形式之生物辨識資料。 （二）適當防護措施 適當防護措施係指，為確保個人資料安全而考量組織或機構之規模、產業別、以及保有之個資類別與數量所制定之政策及作業實務。此概念包括但不限於：進行風險評估、建立技術面及實體面之多層次保護機制、對人員實施教育訓練，及建立個資事故應變計畫等。 二、強化事故通報機制與設立豁免條款 本法要求於發現系統個資事故並已通知受影響之當事人後，應於60日內向州檢察總長（Attorney General）提交書面通報，載明涉及之個人資料類別、事故性質、受影響人數、預估之財務損失、所採行之適當防護措施等必要內容。惟若事故影響人數低於500名州民，或事故發生於徵信機構且影響人數未達1,000人，則可免除向檢察總長通報之義務。 此外，本法明確規範，若特定機構已依據其他法律，如《奧克拉荷馬州醫療資安保護法》（Oklahoma Hospital Cybersecurity Protection Act of 2023）或聯邦《健康保險可攜及責任法》（Health Insurance Portability and Accountability Act of 1996）等履行相關通報義務，則視為已符合本法之要求。 三、民事裁罰 本法明定，民事罰鍰之裁量將審酌事故規模、事故發生後組織之因應作為及是否履行事故通報義務等因素而定，以確保裁量之比例原則。裁量情形說明如下： 1.若機構已採行適當防護措施且依法進行事故通報者，得免除民事責任； 2.若未採取適當防護措施，惟仍依規定完成事故通報者，則須負擔實際損害賠償責任並處以最高75,000美元罰鍰； 3.未落實適當防護措施與事故通報法定義務者，最高處以150,000美元罰鍰。 參、事件評析 本次修法可見奧克拉荷馬州就數位時代資安威脅所採行之積極因應作為，其修正重點包含：擴充個人資料之定義並明定適當防護措施之內容，俾利降低企業法遵成本及法律適用之不確定性；強化事故通報機制並設置合理豁免條款，以確保資訊透明度；於罰則規範中明定民事罰鍰之裁量，應審酌事故規模及是否履行事故通報義務等因素，以符合比例原則。 有鑑於本法修正後所課予之法定義務，建議企業應採行下列因應措施：(1)全面盤點所保有之個人資料，尤應注意新增納管之電子識別碼及生物特徵等資料；(2)檢視並強化現有防護機制，確保符合適當防護措施之要求；(3)建立標準化通報應變程序；(4)強化教育訓練。此外，企業宜定期檢視法規動態，以確保持續符合法規要求。 [1] Bill Information for SB 626, OKLAHOMA STATE LEGISLATURE, http://www.oklegislature.gov/BillInfo.aspx?Bill=sb626&Session=2500 (last visited June 1, 2025). [2] BILL NO. 626, OKLAHOMA STATE LEGISLATURE, https://www.oklegislature.gov/cf_pdf/2025-26%20ENR/SB/SB626%20ENR.PDF (last visited June 2, 2025).