全球多個國家目前正在促進企業推動「環境、社會和公司治理」(Environment, Social Responsibility, Corporate Governance, ESG)事務,以瑞士為例,有關ESG的新法規於2022年1月1日正式生效。
在2022年1月1日生效的提案中,主要是對《瑞士債法典》(The Swiss Code of Obligations, CO)提出修正,包含「涉及公共利益(public interest)的企業應提出ESG事項報告」與「企業應就有無使用童工及衝突地區的礦物金屬進行盡職調查(Due Diligence)」,分別說明如下:
一、公共利益企業應提出ESG事項報告
依《瑞士債法典》第32章新增的第6節「非財務事項之透明度」(Transparency on Non-Financial Matters)規定,符合條件的上市公司或受監管實體等公共利益企業,每年應提出一份單獨的非財務事項報告,內容須涵蓋環境事項、社會問題、員工相關問題、尊重人權和打擊腐敗等議題,以及公司對該等議題所提出的政策措施、風險評估和實施績效等資訊。此報告經企業內部最高管理層與治理機構批准後,須立即於網路上公開,並確保至少十年內可供公眾存取。
二、企業應就有無使用童工及衝突地區的礦物金屬進行盡職調查
依《瑞士債法典》第32章新增的第8節「與來自受衝突影響地區的礦物金屬以及童工相關的盡職調查和透明度」(Due Diligence and Transparency in relation to Minerals and Metals from Conflict-Affected Areas and Child Labour)規定,所在地、總部或主要營業地點位於瑞士的企業,如在瑞士自由流通或加工來自受衝突影響和高風險地區(conflict-affected and high-risk areas)的特定礦物或金屬,抑或產品或服務被合理懷疑是使用童工製造或提供而成,原則上即須遵守供應鏈中的盡職調查義務,每年亦應將其遵守情況編制成報告。此報告應在會計年度結束後的六個月內於網路上發布,並確保至少十年內可供公眾存取。
為了便利經常透過網際網路與政府打交道的民眾,芬蘭人口登記中心 (The Finnish Population Register Centre) 推出了一項創新的方式,也就是利用行動電話提供網路服務的安全憑證。而 Elisa 是首家與芬蘭人口登記中心合作並提供行動電話使用者身分認證這項服務的電話公司。 由芬蘭第二大行動電話網路公司 Elisa 所推出的第一批載有行動簽章 (mobile signature) 所需之安全憑證的行動電話 SIM 卡正式問世,此種 SIM 卡是以國際高科技集團捷德公司 (Giesecke & Devrient, G&D) 的 UniverSIM 產品為基礎所研發,卡片上載有一張類似我國自然人憑證的公民憑證 (citizen certificate) ,具有簽章功能與加密機制。此種技術屬於行動安全建置 (mobile security architecture) -也就是公開金鑰基礎建設 (PKI) -的一部份,能夠確保身分辨識所需具備的安全性與獨特性。 想要利用這項透過行動電話之數位簽章享受政府服務的民眾 可以在當地警察局登記, 預計在 2005 年底前,芬蘭的 OKO 銀行、社會保險機構、稅務機關以及勞工局等都會利用這個新的行動公民憑證 (mobile citizen certificate) 來提供服務,這將會使芬蘭人民擁有一個全國性數位服務的電子身分證。此舉也使得芬蘭在行動通訊與電子化政府領域的領先地位更形穩固。
中國大陸國家新聞出版廣電總局重新建構網路服務管理規範 愛爾蘭資料保護委員會發布《控制者資料安全指引》,提供資料控制者關於個人資料安全措施之依循指引愛爾蘭資料保護委員會(Ireland's Data Protection Commission)於今(2020)年2月公布控制者資料安全指引(Guidance for Controllers on Data Security),愛爾蘭資料保護委員會表示本指引亦適用於資料處理者。指引內針對17個面向說明控制者於資料處理時應考量之安全措施,分別為:(1)資料蒐集與留存政策(Data Collection and Retention Policies);(2)存取控制(Access Controls);(3)螢幕保護程式(Automatic Screen Savers);(4)加密(Encryption);(5)防毒軟體(Anti-Virus Software);(6)防火牆(Firewalls)(7)程式修補更新(Software Patching);(8)遠端存取(Remote Access);(9)無線網路(Wireless Networks);(10)可攜式設備(Portable Devices);(11)檔案日誌及軌跡紀錄(Logs and Audit Trails);(12)備份系統(Back-Up Systems);(13)事故應變計畫(Incident Response Plans);(14)設備汰除(Disposal of Equipment);(15)實體安全(Physical Security);(16)人為因素(The Human Factor);(17)認證(Certification)。 此外,愛爾蘭資料保護委員會還強調,歐盟一般資料保護規則(General Data Protection Regulation, GDPR)第25條與第32條有關資料控制者之義務,可透過「從設計與預設機制著手資料保護(Data protection by design and by default)」,與適當的技術及組織措施等方式,並考量現有技術、執行成本、處理之本質、範圍、脈絡及目的與對當事人權利及自由之風險可能性與嚴重性等因素,以確保其安全措施符合相應資料風險之安全等級。 最後,愛爾蘭資料保護委員會表示資料控制者更應確保其組織內員工瞭解該等安全措施並確實遵守,資料控制者應於制定其資料安全政策時考量到本指引所列各項目,以履行其保護資料安全之義務。
智慧聯網基礎設施與應用服務之法制建構-資訊安全與車聯網之例