2022年日本公布平台資料處理規則實務指引1.0版
日本數位廳（デジタル庁）與內閣府智慧財產戰略推進事務局（内閣府知的財産戦略推進事務局）於2022年3月4日公布「平台資料處理規則實務指引1.0版」（プラットフォームにおけるデータ取扱いルールの実装ガイダンス ver1.0，簡稱本指引）。建構整合資料提供服務的平台，將可活用各種資料，並創造新價值（如提供個人化的進階服務、分析衡量政策效果等），為使平台充分發揮功能，本指引提出平台實施資料處理規則的六大步驟：
- 識別資料應用價值創造流程與確認平台角色：掌握從產生資料，到分析資料創造使用價值，再進一步提供解決方案的資料應用價值創造流程，以確認平台在此流程中扮演的角色。
- 識別風險：掌握利害關係人（如資料提供者與使用者等）顧慮的風險（如資料未妥適處理、遭到目的外使用等疑慮）。
- 決定風險應對方針：針對掌握的風險，決定規避、降低、轉嫁與包容等應對方針。
- 設定平台資料處理政策與對利害關係人說明之責任（アカウンタビリティ）：考量資料處理政策定位，擬定內容，並向利害關係人進行說明。
- 設計平台使用條款：依據「PDCA循環」重複執行規則設計、運作與評估，設計平台使用條款。
- 持續進行環境分析與更新規則：持續分析內部與外部因素可能面臨的新風險，並更新平台資料處理規則。
鄭岱宜
副法律研究員 編譯整理
〈プラットフォームにおけるデータ取扱いルールの実装ガイダンス ver1.0 〉，デジタル庁， https://www.digital.go.jp/assets/contents/node/basic_page/field_ref_resources/63d84bdb-0a7d-479b-8cce-565ed146f03b/20220304_policies_data_strategy_outline_01.pdf （最後瀏覽日期：2022/04/29）。
劉書妤，〈日本經產省發布《促進資料價值創造的新資料管理方法與框架（暫定）》之綱要草案徵求意見〉，科技法律研究所，2021/09，https://stli.iii.org.tw/article-detail.aspx?no=64&tp=1&d=8719 （最後瀏覽日期︰2022/04/29）。
劉純妤，〈日本公平交易委員會公布資料市場競爭政策檢討會報告書，提出建構資料市場公平競爭環境之政策建議〉，科技法律研究所，2021/11，https://stli.iii.org.tw/article-detail.aspx?tp=1&d=8743&no=64 （最後瀏覽日期︰2022/04/29）。
「數位轉型監視站（the Digital Transformation Monitor）」為歐盟執委會中小企業執行機構（Executive Agency for Small and Medium-sized Enterprise, EASME）所資助執行的一項計畫，主要是研析數位轉型發展與知識並提供政策提案，3D列印技術為其計畫知識庫鎖定的項目之一。去（2017）年11月23日歐洲議會法律事務委員會（the European Parliament’s Committee on Legal Affairs）公告一份關於3D列印技術之智財權及法律責任之意見書（Working Document on three-dimensional printing, a challenge in the fields of intellectual property rights and civil liability，下簡稱意見書），提出3D列印技術對產業界所帶來的影響，範圍包括：醫療、航太、以及汽車零組件、玩具、電器等產品製造，甚至涉及古文物之修復、考古等。 該意見書點出智財權與法律責任兩個關鍵議題，前者係考量當物品透過數位設計，其後續將可能產生無數次的調修或應用，為了從根本上預防仿製造成侵權，應發展合法之3D列印服務，確保作者得到公平報酬；後者則基於3D列印技術包括數位及實體兩層面，個人可透過線上編修檔案，而開啟了大眾參與創新之生產形式，然而當有人被3D列印產品侵害權益，該由產品製造者、3D列印機生產者、或者是軟體創作者負起責任？ 此意見書雖未提出具體解決方式，但試著勾勒出可能的緩解方案，包括：建置全球資料庫以使具著作權保護的3D物品受到重製管制；規範合法之私製3D物品次數以避免違法重製；施行3D列印稅以補償智財所有權人之損失等。儘管3D列印技術未使一般傳統製造業造成巨大影響，但其所衍生的相關問題，未來是否需要專為3D列印技術制定新歐盟法規或者在現行法規之下特例規範，仍值得持續觀察。 「本文同步刊登於TIPS網站（https://www.tips.org.tw）」
音樂出版業者控告LimeWire侵害著作權國家音樂出版組織(National Music Publishers’ Association，簡稱NMPA)中8家音樂出版業者在2010年6月16日對LimeWire提起著作權侵權訴訟。8家出版業者包含EMI Music Publishing, Sony/ATV Music Publishing, Universal Music Publishing Group(環球), Warner/Chappell Music, Inc.(華納), Bug Music, MPL Music Publishing, Peermusic and The Richmond Organization.等唱片公司，被告LimeWire是知名的檔案共享線上服務網站。原告指出被告大量的侵害原告的音樂著作，因此要求賠償。 NMPA表示本案和上個月13家音樂公司和美國唱片業協會(Recording Industry Association of American，簡稱RIAA)對LimeWire的著作權訴訟是相關聯的案件。美國地方法院法官於上個月就RIAA和LimeWire一案作出判決，法官認定LimeWire公司及負責人侵害著作權，且構成不公平競爭。13家公司要求凍結LimeWire的資產並且要負擔近十億美金賠償，RIAA要求LimeWire立即關掉網站，但法官於6/8說明LimeWire至少可持續營業兩週。 NMPA的負責人及執行長Israelite表示，LimeWire提供的網路平台有助於網路著作權侵害的產生。每首音樂產出的背後都有一群龐大的網路，包含出版者、作曲家、表演者、錄音者，唱片公司，並非無中生有的，LimeWire檔案分享網站利用提供販賣音樂平台，使他人可以接觸音樂，但拒絕支付合理的音樂授權金。 LimeWire釋出善意歡迎NMPA進行協商談判，並表示將有許多與出版業者、作曲家、表演者、唱片公司的會談，就如同LimeWire新的音樂服務機制與商
美國修正通過外國情報偵察法（FISA）美國近期通過「外國情報偵察法」（Foreign Intelligence Surveillance Act, FISA）之修正案，其中，原先於１月份到期的第七章（Title VII）702條款（Section 702），重新延長授權6年，直至2023年12月31日。 此法案於1978年生效，為美國第一個要求政府須先獲得法院許可，始能進行電子監視的法律。法案宗旨係為平衡國家安全以及人民權利，基於憲法第四修正案對人民的保障，使身處美國領土內的人民免於被恣意監視，國家在通常情況下，須獲得外國情報偵察法院（Foreign Intelligence Surveillance Court, FISC）搜索票（warrant）才可對人民進行搜查。 本次法案修正通過後，使聯邦調查局能夠持續使用情報數據資料庫，以獲取有關美國人的信息，但法案新增要求聯邦調查局在預測性刑事調查中（predicated criminal investigation）如要索取與國家安全無關的內容，必須事先經FISC法院審查許可（court order）。 因911恐攻事件後出現的反恐需要，2008年增訂第七章702條款為FISA的正式條款，原本在今年1月到期，法案修正通過後，此條款延長授權6年。目的為美國公民提供隱私保護，禁止政府針對美國公民和位於美國境內的外國人為監視對象；僅處於國外的外國人，涉及外國情報資訊才可被列為本條進行監視的目標。允許情報部門，在三個政府部門（外國情報偵察法院，行政部門和國會）的監督下，收集關於國際恐怖分子，武器散布者以及其他位於美國境外的重要外國情報。 此項修正案保留702條款的操作靈活性，並加入了一些增強隱私措施及要求。惟，受質疑且具爭議的是，702條款條文內容規範，允許美國政府的情報機構--國家安全局（National Security Agency, NSA）基於該條款，例外不需法院搜索票，可向Google、Apple、微軟、Facebook或電信業者等美國企業蒐集、調閱國外非美國人用戶的海外通訊內容（包含電子郵件、電話、其他私人信息等），當這些被監聽的國外用戶之通訊對象係涉及美國人時亦同；意即，若美國人曾接觸被鎖定的國外對象，也會被納入調查並取得通訊紀錄等個資，且禁止業者通知受影響的用戶。曾有國會參議員試圖修改此法案，加入隱私保護條款，但最終並未獲多數同意。
資通安全管理法之簡介與因應資通安全管理法之簡介與因應 資訊工業策進會科技法律研究所 2019年6月25日 壹、事件摘要 隨著網路科技的進步，伴隨著資安風險的提升，世界各國對於資安防護的意識逐漸升高，紛紛訂定相關之資安防護或因應措施。為提升國內整體之資通安全防護能量，我國於107年5月經立法院三讀通過「資通安全管理法」（以下簡稱資安法），並於同年6月6日經總統公布，期望藉由資通安全管理法制化，有效管理資通安全風險，以建構安全完善的數位環境。觀諸資通安全管理法共計23條條文外，另授權主管機關訂定「資通安全管理法施行細則」、「資通安全責任等級分級辦法」、「資通安全事件通報及應變辦法、「特定非公務機關資通安全維護計畫實施情形稽核辦法」、「資通安全情資分享辦法」及「公務機關所屬人員資通安全事項獎懲辦法」等六部子法，建置了我國資通安全管理之法制框架。然而，資安法及相關子法於108年1月1日實施後，各機關於適用上不免產生諸多疑義，故本文擬就我國資通安全管理法之規範重點為扼要說明，作為各機關遵法之參考建議。 貳、重點說明 一、規範對象 資安法所規範之對象，主要可分為公務機關及特定非公務機關。公務機關依資安法第3條第5款之定義，指依法行使公權力之中央、地方機關（構）或公法人，但不包含軍事機關及情報機關。故公務機關包含各級中央政府、直轄市、縣（市）政府機關、依公法設立之法人（如農田水利會[1]、行政法人[2]）、公立學校、公立醫院等，均屬公務機關之範疇。惟考量軍事及情報機關之任務性質特殊，故資安法排除軍事及情報機關之適用[3]。 特定非公務機關依資安法第3條第6款之規定，指關鍵基礎設施提供者、公營事業及政府捐助之財團法人。關鍵基礎設施提供者另依該法第16條第1項規定，須經中央目的事業主管機關於徵詢相關公務機關、民間團體、專家學者之意見後指定，報請行政院核定，並以書面通知受核定者。須注意者為該指定行為具行政處分之性質，如受指定之特定非公務機關對此不服，則可循行政救濟程序救濟之。目前各關鍵基礎設施領域，預計將於108年下半年陸續完成關鍵基礎設施提供者之指定程序[4]。 此外，政府捐助之財團法人，依該法第3條第9項之規定，指其營運及資金運用計畫應依預算法第41條第3項規定送立法院，及其年度預算書應依同條第4項規定送立法院審議之財團法人。故如為地方政府捐助之財團法人，則非屬資安法所稱特定非公務機關之範圍。公營事業之認定，則可參考公營事業移轉民營條例第3條之規定，指（一）各級政府獨資或合營者；（二）政府與人民合資經營，且政府資本超過百分之五十者；（三）政府與前二款公營事業或前二款公營事業投資於其他事業，其投資之資本合計超過該投資事業資本百分之五十者。目前公營事業如臺灣電力股份有限公司、中華郵政股份有限公司、臺灣自來水股份有限公司等均屬之。 二、責任內容 資安法之責任架構，可區分為「事前規劃」、「事中維運」及「事後改善」等三個階段，分述如下： （一）事前規劃 就事前規劃部分，資安法要求各公務機關及特定非公務機關均應先規劃及訂定「資通安全維護計畫」及「資通安全事件通報應變機制」，使各機關得據此落實相關之資安防護措施，各機關並應依據資通安全責任等級分級辦法之規定，依其重要性進行責任等級之分級，辦理分級辦法中所要求之應辦事項[5]，並將應辦事項納入安全維護計畫中。 此外，在機關所擁有之資通系統[6]部分，各機關如有自行或委外開發資通系統，尚應依據分級辦法就資通系統進行分級（分為高、中、普三級），並就系統之等級採取相應之防護基準措施，以高級為例，從7大構面中，共須採取75項控制措施。 （二）事中維運 事中維運部分，資安法要求各機關應定期提出資通安全維護計畫之實施情形，上級或中央目的事業主管機關並應定期進行各機關之實地稽核及資通安全演練作業。各機關如有發生資通安全事件，應於機關知悉資通安全事件發生時，於規定時間內[7]，依機關訂定之通報應變機制採取資通安全事件之通報及損害控制或復原措施，以避免資通安全事件之擴大。 （三）事後改善 在事後改善部分，如各機關發生資通安全事件或於稽核時發現缺失，則均應進行相關缺失之改善，提出改善報告，並應針對缺失進行追蹤評估，以確認缺失改善之情形。 三、情資分享 為使資通安全情資流通，並考量網路威脅可能來自於全球各地，資安法第8條規定主管機關應建立情資分享機制，進行情資之國際合作。情資分享義務原則於公務機關間，就特定非公務機關部分，為鼓勵公私間之協力合作，故規定特定非公務機關得與中央目的事業主管機關進行情資分享。 我國已於107年1月將政府資安資訊分享與分析中心（G-ISAC）調整提升至國家層級並更名為「國家資安資訊分享與分析中心」（National Information Sharing and Analysis Center, N-ISAC）。透過情資格式標準化與系統自動化之分享機制，提升情資分享之即時性、正確性及完整性，建立縱向與橫向跨領域之資安威脅與訊息交流，以達到情資迅速整合、即時分享及有效應用之目的[8]。 四、罰則 為使資安法之相關規範得以落實，資安法就公務機關部分，訂有公務機關所屬人員資通安全事項獎懲辦法以資適用。公務機關應依據獎懲辦法之內容，配合機關內部之人事考評規定訂定獎懲基準，而獎懲辦法適用之人員，除公務人員外，尚包含機關內部之約聘僱人員。就特定非公務機關部分，資安法則另訂有相關之罰則，針對未依資安法及相關規定辦理應辦事項之特定非公務機關，中央目的事業主管機關得令限期改正，並按情節處10萬至100萬元之罰鍰。惟就資通安全事件通報部分，因考量其影響範圍層面較廣，故規定特定非公務機關如未依規定進行通報，則可處以30萬元至500萬元之罰鍰。 參、事件評析 公務機關及特定非公務機關為落實資安法之相關規範，勢必投入相關之資源及人力，以符合資安法之要求。考量公務機關或特定非公務機關之資源有限，故建議可從目前組織內部所採用之個人資料保護或資訊安全管理措施進行盤點與接軌，以避免資源或相關措施重複建置，以下則列舉幾點建議： 一、風險評估與安全措施 資安法施行細則第6條要求安全維護計畫訂定風險評估、安全防護及控制措施機制，與個人資料保護法施行細則第12條要求建立個人資料風險評估及管理機制之規定相似，故各機關於適用上可協調內部之資安與隱私保護機制，共同擬訂單位內部之風險評估方式與管理措施規範。 二、通報應變措施 資安法第18條要求機關應訂定資通安全事件通報應變機制，而個人資料保護法第12條亦規定有向當事人通知之義務，兩者規定雖不盡相同，惟各機關於訂定通報應變機制上，可將兩者通報應變程序進行整合，以簡化通報流程。 三、委外管理監督 資安法第9條要求機關負有對於委外廠商之監管義務，個人資料保護法施行細則第8條亦訂有委託機關應對受託者為適當監督之規範。兩者規範監督之內容雖不同，惟均著重對於資料安全及隱私之保護，故各機關可從資料保護層面著手，訂定資安與個人資料保護共同之檢核項目，來進行委外廠商資格之檢視，並將資安法及個人資料保護法之相關要求分別納入委外合約中。 四、資料盤點及文件保存 資安法施行細則第6條要求於建置安全維護計畫時，須先進行內部之資產盤點及分級，而個人資料保護法施行細則第12條中，則要求機關須訂有使用記錄、軌跡資料及證據保存之安全措施。故各機關於資產盤點時，可建立內部共同之資料盤點清單及資料管理措施，並增加資料使用軌跡紀錄，建置符合資安與個人資料之資產盤點及文件軌跡保存機制。 [1] 參水利法第12條。 [2] 參中央行政機關組織基準法第37條。 [3] 軍事及情報機關依資通安全管理法施行細則第2條規定，軍事機關指國防部及其所屬機關（構）、部隊、學校；情報機關指國家情報工作法第3條第1項第1款（包含國家安全局、國防部軍事情報局、國防部電訊發展室、國防部軍事安全總隊）及第2項規定之機關。另須注意依國家情報工作法第3條第2項規定，行政院海岸巡防署、國防部政治作戰局、國防部憲兵指揮部、內政部警政署、內政部移民署及法務部調查局等機關（構），於其主管之有關國家情報事項範圍內，視同情報機關。 [4] 羅正漢，〈臺灣資通安全管理法上路一個月，行政院資安處公布實施現況〉，iThome, 2019/02/15，https://www.ithome.com.tw/news/128789 （最後瀏覽日：2019/5/13）。 [5] 公務機關及特定非公務機關之責任等級目前分為A、B、C、D、E等五級，各機關應依據其責任等級應從管理面、技術面及認知與訓練面向，辦理相應之事項。 [6] 資通系統之定義，依資通安全管理法第3條第1款之規定，指用以蒐集、控制、傳輸、儲存、流通、刪除資訊或對資訊為其他處理、使用或分享之系統。 [7] 公務機關及特定非公務機關於知悉資通安全事件後，應於1小時內依規定進行資通安全事件之通報；如為第一、二級資通安全事件，並應於知悉事件後72小時內完成損害控制或復原作業，第三、四級資通安全事件，則應於知悉事件後36小時內完成損害控制或復原作業。 [8] 〈國家資安資訊分享與分析中心(N-ISAC)〉，行政院國家資通安全會報技術服務中心，https://www.nccst.nat.gov.tw/NISAC（最後瀏覽日：2019/5/14）。