歐洲議會於2022年初通過數位服務法（DSA）
歐洲議會（European Parliament）於2022年1月20日通過數位服務法（Digital Services Act），該法旨在監管線上服務提供者（online service providers），為線上服務接受者提供更安全線上空間，包含要求線上平臺應（1）打擊線上非法服務或內容；（2）提供通知並刪除/下架（notice and action）機制，不得有差別性或任意性對待；（3）提供無廣告追蹤（tracking-free ad）選項，和禁止將未成年人資料用於定向廣告（targeting advertising）；（4）對於線上平臺課以行政責任，如：超大型線上平臺（very large online platforms, VLOP）若故意或過失違反義務，最高罰鍰可被處以前一會計年度總營業額6%，或按日連續處罰最高可處前一會計年度平均每日營業額5％。若可能致危害生命或人身安全，主管機關亦可勒令其停止提供服務；（5）強制性風險評估和提高演算法透明度，以打擊有害內容（harmful content）和虛假資訊。
數位服務法所規範的服務主要有四種類型，四種服務提供者負擔累計義務（cumulative obligation），其中VLOP被賦予最多責任，因其對於散布非法內容並造成社會危害具有特殊風險，須具備風險減緩、獨立稽核等機制。相關服務定義如下：
（1）中介服務提供（Intermediary Service）：提供網路基礎建設服務。
（2）託管服務提供（hosting service）：由服務接受者提供資訊並應其要求提供資訊儲存服務，例如：雲端儲存服務、網站主機代管等服務。
（3）線上平臺（online platform）：包含類型線上市集、應用程式商店、以及社群媒體平台。
（4）VLOP：每月平均歐盟境內活躍用戶達4500萬以上或人口10%之線上平臺。例如：Google、Facebook及YouTube。
此數位服務法草案最早在2019年年底提出，歐洲議會於今年投票通過後，尚待歐盟理事會（Council of the European Union）審查同意後，此法即正式發布施行。歐洲議會於審查所提出之修正建議，除針對前述五大重點外，還特別強調對於微中小型企業（MSMES）相關義務的免除，以及禁止線上平臺使用欺瞞（deceiving）或助推（nudging）方法影響消費者購物選擇。
- Digital Services Act: regulating platforms for a safer online space for users
- Proposal for a REGULATION OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL on a Single Market For Digital Services (Digital Services Act) and amending Directive 2000/31/EC, COM/2020/825 final
- REPORT on the proposal for a regulation of the European Parliament and of the Council on a Single Market For Digital Services (Digital Services Act) and amending Directive 2000/31/EC
- 歐盟新提出之《數位服務法》將針對科技巨擘實施更加嚴格之規定
李姿瑩
組長 編譯整理
Digital Services Act: regulating platforms for a safer online space for users, European Parliament, press room, 20/01/2022, 16:21, https://www.europarl.europa.eu/news/en/press-room/20220114IPR21017/digital-services-act-regulating-platforms-for-a-safer-online-space-for-users (last visited Jan. 24, 2022).
Proposal for a REGULATION OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL on a Single Market For Digital Services (Digital Services Act) and amending Directive 2000/31/EC, COM/2020/825 final, https://eur-lex.europa.eu/legal-content/en/TXT/?uri=COM%3A2020%3A825%3AFIN(last visited Jan. 24, 2022).
REPORT on the proposal for a regulation of the European Parliament and of the Council on a Single Market For Digital Services (Digital Services Act) and amending Directive 2000/31/EC, https://www.europarl.europa.eu/doceo/document/A-9-2021-0356_EN.html?redirect (last visited Jan. 24, 2022).
蘇偉綸，歐盟新提出之《數位服務法》將針對科技巨擘實施更加嚴格之規定，https://stli.iii.org.tw/article-detail.aspx?no=64&tp=1&d=8563 （最後瀏覽日：2022年2月14日）。
澳洲政府於2023年12月通過身分核驗法（Identity Verification Services Act 2023，以下稱IVS法）及其相應修正案（Identity Verification Services (Consequential Amendments) Act 2023，以下稱修正案）。聯邦政府考量IVS法案將影響既有法規，同時提交修正案，兩法案旨在建構身分核驗服務架構，促進驗證流程之監管與透明化。澳洲政府規劃之數位身分系統正逐步法制化，IVS法與同年11月通過之法定聲明修正案（Statutory Declarations Amendment Act 2023）將為該系統奠定基礎。修正案涉及2005年澳洲護照法，以下僅簡要介紹IVS法之驗證服務內涵。 該法規定三項聯邦政府部門可提供之身分驗證服務：文件核驗服務（Document Verification Service, DVS）、臉部核驗服務（Face Verification Service, FVS）與臉部識別服務（Face Identification Service, FIS），並授權相關部門發展對應之認證設施，以電子通訊方式確認身分核驗請求。請求身分驗證服務需獲個人明確同意並告知相關權利後方可進行，其驗證型態分為：核驗（Verification）與識別（Identification），前者涉及確認個人為所宣稱之身分的過程，以一對一比對回傳個人所稱是否為真；後者則為識別個人身分之過程，透由多人或多份文件逐一比對後回傳個人身分。文件核驗使用頻率及範圍最廣泛，公、私部門皆可申請使用；臉部核驗目前僅聯邦政府有使用權限，地方與州政府及私部門未來將可透過書面協議參與。臉部識別因其驗證方式涉及個資使用與隱私議題，請求者限於證人保護機構、執法或情報人員。 IVS法案及其相應修正案於2023年9月提送國會討論，同年12月經參、眾兩院通過。法案審議期間曾有倉促立法的爭議，有論者認為當局急於為公、私部門行之有年的身分核驗行為提供法規依據，並安排極短的法案辦論時間以限縮討論。
日本於2018年7月25日發布關鍵基礎設施資訊安全對策第4次行動計畫修正版日本內閣網路安全中心（内閣サイバーセキュリティセンター）於2018年7月25日發布關鍵基礎設施資訊安全策略第4次行動計畫修正版。此次修正重點，係將「機場（空港）」新增為關鍵基礎設施領域，其目的在於確保機場安全、提供機場乘客與相關人員快速且正確的資訊、避免飛機行李的檢查與運送停止或延遲。 而確保「機場」資安的關鍵基礎設施事故報告與服務維持的指南，則為2018年4月1日發布之「確保機場資訊安全的安全指南第1版（空港分野における情報セキュリティ確保に係る安全ガイドライン第1版）」。 該確保機場資訊安全的安全指南，係參考日本於2015年5月發布之關鍵基礎設施資訊安全對策優先順位參考指南（重要インフラにおける情報セキュリティ対策の優先順位付けに係る手引書第1版）制定，以規劃（Plan）—執行（Do）—查核（Check）—行動（Action）的觀點建立管理與應變對策，將IT障礙分為故意（接收可疑的郵件、內部員工的故意行為、偽造使用者ID、DDos攻擊、非法取得資訊等）、偶發（使用者操作錯誤、使用者管理錯誤、外部受託方的管理錯誤、機器故障、執行可疑的檔案、閱覽可疑的網站、系統的脆弱性、受到其他關鍵基礎設施事故的波及）、環境（災害、疾病）等三大原因，並訂定日本主要的機場與機場大樓業者的責任範圍、適用的個資保護制度、IT安全評估與認證制度、資安稽核制度、資安管理政策及資安控制措施的建議事項。
“Cookies”—餅乾或是毒藥？ 美國州隱私法要求企業揭露資訊 企業應如何平衡隱私法與營業秘密的衝突美國目前沒有聯邦的隱私法，由各州訂定州隱私法、產業隱私法，要求企業應揭露資訊以提升資訊透明度，然而隱私法要求企業揭露的資訊多涵蓋了企業的營業秘密。美國華盛頓州州長於2023年4月27日簽署《我的健康資料法（My Health My Data Act）》的州隱私法，其將消費者的健康資料廣義定義為「與消費者有關或具合理關聯的個人資料，可用於識別消費者過去、現在或未來的物理或心理健康狀況」，例如醫療相關資料、患者接受醫療服務的精確地理位置、透過非健康資料可推斷得出的資料。「非健康資料可推斷得出的資料」，如零售業者蒐集消費者近期採購的訂單內容（非健康資訊），並透過AI機器學習分析得出消費者可能懷孕的比例及預產期，藉此對該消費者投放零售業者的嬰幼產品的個人化廣告。 於《我的健康資料法》廣義定義「健康資料」下，導致消費者可要求企業提供的資料可能涵蓋了「企業長期累積之消費者使用資料、經演算法分析運用之消費者使用資料、共享消費者資料的第三方企業名單」等企業認為屬於其營業秘密的資料。 為平衡隱私法的資訊透明度及企業想保護其營業秘密，建議企業可先採取： 1.使公司的智財部門與資料保護部門合作，確保公司人員對公司營業秘密標的及範圍的認知一致，並盤點企業所有的營業秘密以製作、持續更新營業秘密清單。 2.企業在揭露受營業秘密保護的資料給消費者前，先與消費者簽訂保密契約，並參考前述營業秘密清單約定契約之保密範圍。 如企業欲採取更完備的營業秘密管理措施，建議參考資策會科法所創意智財中心發布的《營業秘密保護管理規範》。 本文同步刊登於TIPS網站（https://www.tips.org.tw）。