德國聯邦內政部提出2025年數位政策計畫，加強推動國家行政數位化
德國聯邦內政部（Bundesministerium des Innern und für Heimat, BMI）於2022年4月28日公布「數位德國－主權、安全性，及以公民為中心」（Digitales Deutschland – Souverän. Sicher. Bürgerzentriert.）政策文件。BMI作為確保網路與資訊安全，與政府機關數位轉型之聯邦主管機關，在「以公民和企業為數位行政之主要服務對象，並加強國家行政效率」之前提下，規劃2025年前預計達成之目標與具體措施，分述如下：
（1）以公民與企業為中心的國家服務數位化：政府應以使用者導向（Nutzerorientierung）作為行政數位化的指導原則，推動簡易、具透明度，且可隨時隨地使用之數位行政服務，包含制定如何提供良好數位化行政服務之指引、調修《網路近用法》（Onlinezugangsgesetz）等。
（2）國家現代化：未來聯邦法律應於立法程序中，確認數位化之可行性，並刪除其中有關書面形式之要求。另應加強聯邦政府內部之系統整合、促進行政工作數位化，並透過訓練計畫讓員工適應數位化環境。
（3）資訊安全架構的現代化：調整德國聯邦資訊安全局（Bundesamt für Sicherheit in der Informationstechnik, BSI）職權，強化BSI與資訊技術安全中央辦公室（Zentrale Stelle für Informationstechnik im Sicherheitsbereich, ZITiS）等資安主管機關之數位能力與技能。
（4）資料合法開放與使用：加強行政機關之資料能力與相關分析技能，並以歐盟「資料法案」（Data Act）為法律基礎，為資料品質與資料使用建立標準。
（5）強化數位主權（Digitalen Souveränität）與互通性：為確保國家在數位領域的長期能量，必須加強個人與公部門的數位能力，使其能在數位世界中獨立、自主與安全地發揮作用。與此同時，BMI亦與各邦及聯邦資訊技術合作組織（Föderale IT-Kooperation, FITKO）合作，建立可信賴之標準與介面，並借助開源軟體（Open-Source）、開放介面與開放標準，降低對個別技術供應商之依賴。
本文為「經濟部產業技術司科技專案成果」
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
- 【上午場】探索科技法律最前線：資策會科法所「114年成果」分享會暨簡報票選
- 【下午場】探索科技法律最前線：資策會科法所「114年成果」分享會暨簡報票選
- 商業服務業個資管理與資訊安全實務宣導說明會（高雄場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台南場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台中場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台北場）※如遇颱風假延期至7/16
- 美國聯網車監管制度與合規實務說明會
- 長照系統相關資服業個資線上宣導說明會
羅文妗
專案經理 編譯整理
Bundesinnenministerin Nancy Faeser: "Wir wollen unser Land moderner, bürgernäher und digitaler machen.", BUNDESMINISTERIUM DES INNERN UND FÜR HEIMAT, Apr. 28, 2022, https://www.bmi.bund.de/SharedDocs/pressemitteilungen/DE/2022/04/digitalprogramm.html (last visited June 5, 2022).
BUNDESMINISTERIUM DES INNERN UND FÜR HEIMAT, Digitales Deutschland – Souverän. Sicher. Bürgerzentriert. (2022), https://www.bmi.bund.de/SharedDocs/downloads/DE/veroeffentlichungen/themen/it-digitalpolitik/digitalprogramm.pdf;jsessionid=03DF8B54D823E3E5DB8906A4EFC912A4.1_cid295?__blob=publicationFile&v=3 (last visited June 5, 2022).
陳祺潔，〈歐洲五大電信公司聯合呼籲歐盟建立Open RAN創新生態系統〉，資策會科技法律研究所，https://stli.iii.org.tw/article-detail.aspx?no=64&tp=1&d=8822 （最後瀏覽日：2022/06/06）。
謝明均，〈歐盟正式通過資料治理法（DGA），歐盟資料共享發展跨出一大步〉，資策會科技法律研究所，https://stli.iii.org.tw/article-detail.aspx?no=64&tp=1&d=8829 （最後瀏覽日：2022/06/06）。
柏坤儀，〈數位主權新近政策與法制之發展趨勢〉，資策會科技法律研究所，https://stli.iii.org.tw/article-detail.aspx?no=64&tp=1&d=8684 （最後瀏覽日：2022/06/06）。
網路搜尋引擎的巨人 Google ，近來有一項計畫，即對圖書館中的書籍做掃瞄，然後讓使用者透過網際網路搜尋書籍的內容。由於 Google 計畫掃瞄供搜尋的書籍中，包括許多目前仍受到著作權保護的著作，因此 Google 此舉，是否造成對書籍著作權的侵害，便引發了相當的爭議。 在近日的一個討論會中，學者、作者與出版商群聚一堂，就 Google 此一計畫的合法性進行討論，並就是否對 Google 進一步提出訴訟做討論。 Google 宣稱，此一計畫是人類知識發展的一大進步，把人類的觀念與想法，做有系統的歸類整理，並讓大眾更容易接近與使用，對於人類知識的傳播與進步，有重大貢獻。 然而，作者與出版商方面，則認為 Google 此舉侵害的作者與出版商的著作權。就此，作者與出版商已做出回應。先前，美國出版商協會 (The Association of American Publishers, AAP) 已於 10 月 19 日對 Google 提起訴訟，希望經由法律的判決，認定 Google 的作法侵害著作權。從法律上來看， Google 此一計畫是否侵害著作權，確有爭議之處。從美國作者與出版商激烈的反應來看，將來有可能還會有其他的訴訟，甚至集體訴訟 (Class Action) 的產生，其後續效應，值得觀察。
日本國交省公布「基礎建設之數位轉型政策」，期望建構更有效率、安全之社會環境日本國土交通省（下稱「國交省」）於2021年2月9日公布「基礎建設之數位轉型政策（インフラ分野のデジタル・トランスフォーメーション施策）」。此報告係國土交通省基礎設施DX推進本部（国土交通省インフラ分野のDX推進本部）於2021年1月所舉行第三次會議所彙整之政策方針。 針對基礎設施數位轉型之政策實施主要分為四個面向：第一部分強調透過行政程序數位化及網路化，藉以提升效率並加強管理效能，並且提供運用數位生活中各項服務，以增加生活之便利與安全。第二部分說明為實現安全與舒適之勞動環境，減少人工作業之負擔，未來欲活用AI與機器人，使施工作業與技術建設達到無人化，並透過數位化提高專業技術學習效率以培育相關人才。第三部分聚焦於調查、監督檢查領域，如公路、鐵路、河川及機場之檢修，利用資料分析與自動化機械提升日常管理及檢修效率。最後，為順利推行以上數位轉型政策，必須建構能支援數位化的社會。因此，未來除須結合智慧城市（スマートシティ）等數位創新政策，利用資料以具體化社會課題之解決方針外，亦須針對作為數位轉型基礎之3D資料進行環境整備，以利數位轉型之推動。
Serenex控訴員工竊取癌症新藥商業機密資料美國公司Serenex，指控兩位離職的舊員工，竊取實驗用癌症藥物，並賣給中國公司。Serenex控訴先前聘僱的化學家黃雲生是國際商業間諜，黃雲生偷竊Serenex的商業機密，並用偷來的資料來提供給海外尋找專利的公司。員工竊取機密已經是個日趨嚴重的問題，尤其是對全球型的企業，以及智慧財產為主的公司。 Serenex擁有30個員工，目前正進行實驗性癌症藥物的人體測試。根據報告Serenex自2001年設立後，所募得的風險資本已從2千6百萬美元提升至8千1百萬美元。為此，Serenex在威克高等法院提起訴訟，同時也將北京國藥龍立科技公司、基爾生物科技公司以及負責人Tongxiang Zhang列為被告。 Serenex的律師Jonathan Sasser表示，Serenex以提出訴訟的方式來保護他們的產品，並且希望調查是被百分之百確信，沒有人會去提出偽造的主張，並在起訴書上陳述，黃雲生在竊取機密後，Serenex於二月時將他解雇，但是黃雲生的律師Walter Schmidlin抗辯說明黃雲生自願離職，並且否認有做任何不法情事。Schmidlin同時表示Serenex並不能提出任何證據證明黃雲生拿了商業機密資料。
淺談個人資料跨境傳輸之管理淺談個人資料跨境傳輸之管理 科技法律研究所 2013年04月03日 由於資訊科技與全球商務型態之快速發展，企業將個人資料為跨境處理或利用的情況已相當的普遍，例如因人員的調動而傳輸個人資料至位於他國境內的關係企業、因作業委外對象位於他國境內而將個人資料傳輸至境外…等。然而，企業將個人資料為跨境處理或利用時，時常因為各地法令之不一，而面臨阻礙，進而影響其商務活動的進行。我國為一海島型國家，長年倚賴國際通商，是以，有關於個人資料跨境傳輸之課題，為有關當局所不能忽視者。本文擬就世界主要國家及機構之個人資料跨境傳輸國際合作機制精要說明，並提出我國公務機關可能採取之作法建議。 壹、事件摘要 對於個人資料跨境傳輸議題的管理，涉及了多個面向的課題，其中包括了對於各國國家主權的尊重、各國個人資料法令的不一致對於商務活動的影響、個人資料保護與國家利益的平衡…等。觀察各國與國際組織之動態，其基於政治以及經濟上利益，皆致力推動與調和國際間個人資料保護原則。 以歐盟為例，因對於人權的尊重與個人隱私的重視，歐盟所建立的跨國個人資料傳輸規範較為嚴格，而此舉對企業為個人資料之跨境處理或利用造成困擾，阻礙個人資料的自由流動。為此，歐盟採納了個人資料跨境傳輸時所需遵守之標準契約條款，以及具有拘束力之合作規則，以克服個人資料難以自由流動之困難。另一方面，觀察APEC之個人資料保護指令的內容，可以發現個人資料保護之課題受到重視係為了促進區域內電子商務活動之發展。 上述之說明更彰顯了國際組織或其他國家對於個人資料國際傳輸之重視不外乎為了經濟利益的追求、商務活動的進行，故其作法或可為重視國際通商的我國所參考。 貳、重點說明 一、歐盟對於個人資料跨境傳輸議題的管理 （一）標準契約範本之提出 歐盟執委會依歐盟個人資料保護指令第26條第4項提出標準契約範本（the Contractual Model and Standard Contractual Clauses），此標準契約範本之起草精神為，會員國簽訂標準契約後，即可不需徵求該國個人資料保護機關之准許，增進個人資料跨國傳輸之效率以及速度。雖然，此標準契約範本仍有發展空間，但國際上已有相當多國家利用該標準契約處理個人資料跨境傳輸。 目前歐盟已發展三套標準契約範本供會員國於跨境傳輸個人資料時參考，分別是2001/497/EC、2004/915/EC及2010/87/EU之標準契約附錄。依標準契約範本之內容，資料傳送者將個人資料傳輸至第三國時，縱使個人資料接收國已經採取合適的個人資料保護措施，個人資料的傳輸國仍必須採取額外的個人資料保護措施。其中，2001/497/EC與2004/915/EC主要針對會員國之資料管理者將個人資料傳輸至非會員國之資料管理者，而2010/87/EU除了針對會員國之資料管理者將個人資料傳輸至設立於非會員國之資料處理者之情形外，亦賦予當事人更廣泛之契約求償權利，亦即個人資料受侵害之當事人可採取法律行動先向個人資料傳送者請求損害賠償，若個人資料傳送者無賠償能力或發生逃避損害賠償責任之情形時，當事人可以向受個人資料進口者委託者（sub-processor）提出請求，要求就其責任範圍負擔損害賠償責任。 標準契約範本的起草與形成其實就是歐盟隱私保護原則的契約化，是以，該契約範本所定之要件過於嚴格又缺乏彈性，同時增加個人資料跨境傳輸之行政費用負擔，故傳輸以及接收個人資料之雙方不願意以標準契約條款作為其約定之內容。對於跨國傳輸個人資料之跨國企業而言，造成標準契約條款缺乏彈性的主要原因為實務上企業跨國傳輸個人資料時，不見得會設立完整傳輸系統，時常運用郵件交換、內部資料庫查詢以及內部網路等工具跨國傳輸個人資料，而標準契約條款並無法完全因應現況，故產生難以適用之情形。 （二）共同約束條款（Binding Corporate Rules）之提出 如前所述，歐盟執委會已體認到模範契約範本適用上之問題。考量到企業營運之利益，歐盟執委會增加了共同約束條款（Binding Corporate Rule, BCR）機制。BCR為歐盟工作小組依循歐盟個人資料保護指令之精神所提出，為跨國企業、團體以及國際組織於跨境傳輸個人資料至其位於其他未設有妥善個人資料保護法制制度之國家的分公司或子機構時，得以遵循之規則。 BCR建立乃是為了減少跨國組織簽署契約條款之行政負擔支出，並可以更有效率地於其集團內跨境傳輸個人資料。但，BCR僅適用在組織內部跨境移轉個人資料之情形，若是不同公司、企業或組織跨國傳輸個人資料情形時，則不適用BCR。 （三）安全港協議之簽署 為了犯罪偵查機關執行公務之目的，政府間時有合作跨傳輸個人資料之需求。以美國與歐盟為例，二者間成立高度密切聯絡小組(the High Level Contact Group)以統合處理歐盟會員國與美國政府機關就協議事項之協調事宜，同時，亦設定個人資料跨境傳輸保護之相關標準，以供歐盟及美國政府遵循之。 對於個人資料的保護，美國採取分散式之法律規範模式，此與歐盟各會員國之作法不同。此外，因為美國並未被歐盟執委會認定為具備充分（adequate）之個人資料保護措施地區，因此於個人資料跨境傳輸時，依歐盟個人資料保護指令，歐盟內之個人資料似不能傳輸至美國，除非符合其他例外情形。對此，為了弭平兩區域間因個資法規範不同所造成個資無法跨國傳輸之情形，美國商務部與歐盟執委會協議採取安全港架構，此安全港架構提供欲跨境傳輸個人資料之組織可自行評估並決定是否加入安全港架構的機制。 二、APEC亞太經濟合作組織對於個人資料跨境傳輸議題的管理 （一）資訊隱私開路者合作計畫之提出 APEC透過亞太經濟合作組織資訊隱私開路者合作計畫（APEC Data Privacy Pathfinder Projects）建立多邊隱私保護認證機制。開路者計劃之內容包含了自我評估、承諾審查、互相承認與接受、爭議解決與執行…等九項子計畫，期能夠在符合APEC隱私保護綱領之原則下，推動APEC跨境隱私保護規則（Cross-Border Privacy Rules, CBPRs）。總結來說，開路者計劃透過設計一連串的制度，提供企業經營者得以建立其內部之跨境資料傳輸規則，並且透過認證機制（Accountability Agents）之建立，使企業得以提供消費者可信之標章。 （二）APEC跨境隱私執行機制之提出 為使會員經濟體間個人資料之跨境傳輸更為流通，並且調合各國因個人資料保護法令要件不同而產生扞格之情形，APEC跨境隱私執行機制（APEC Cross-Border Privacy Enforcement Arrangement, CPEA）因應而生，而目前己加入本機制之會員經濟體，包括澳洲、加拿大、香港、紐西蘭以及美國。 （三）與其他區域之合作與整合 APEC已開始思考除了亞太地區之個人資料跨境機制之加強外，也思考如何與其他區域之跨境隱私機制進行合作或者整合，以歐盟為例，APEC思考如何將CBPRs機制與歐盟之共同約束條款作調和，以促進全球間之個人資料跨境傳輸。 2012年，APEC將依透明化、流通化、以及低成本化之目標建置更為完善之跨境傳輸個人資料制度。除了加強區域內各國對於跨境隱私系統之認識外，也希望區域內之會員經濟體可踴躍參與跨境隱私機制。 三、經濟合作與發展組織對於個人資料跨境傳輸議題的管理 經濟合作與發展組織（Organization for Economic Co-operation and Development, OECD）於1980年公佈「個人資料保護準則以及跨國資訊傳輸準則」（Recommendations of the Council Concerning Guidelines Government the Protection of Privacy and Trans-Border Flows of Personal Data），列出七項原則，包括： （一）通知（Notice）：當個資被收集時，應通知當事人。 （二）目的（Purpose）：資料僅得以說明之目的為使用，不得作為其他目的之使用。 （三）同意（Consent）：未獲得當事人之同意時，不得揭露當事人之資訊。 （四）安全保障（Security）：需保障被蒐集之資料被濫用。 （五）揭露（Disclosure）：當事人應被告知誰在蒐集他們的資料。 （六）查閱（access）：當事人應可查閱其個人資料並且可改正任何不精確之個人資料。 （七）責任原則（Accountability）：當事人須被通知須負起個人資料蒐集使用以及管理責任者為何人。 個人資料保護準則以及跨國資訊傳輸準則表達各國整合個人資料保護原則之共識，亦可了解OECD各會員國對於消除各國間對於個人資料保護差異以及建立更有效率之跨國個人資料傳輸制度有一致性的想法。 參、事件評析 我國目前已加入APEC跨境隱私規則機制之實驗小組，希望能透過國際參與之方式，推動個人資料跨境傳輸活動，並符合國際組織之隱私保護要求。由於我國並未被歐盟執委會認定為具有合適個人資料保護措施之地區。因此，我國企業如欲從歐盟會員國之地區接收個人資料時，必須注意援用其他之機制，例如與資料傳輸者簽訂模範契約條款或者是使用共同約束條款。另外，我國可比照美國與歐盟間所建立之安全港模式，與歐盟會員國簽訂安全港協議，以符合歐盟隱私權保護指令之要求。 在國際間，我國政府除了持續參加APEC所建立之跨境傳輸機制外，對於非APEC會員經濟體之地區，建議公務機關可透過雙邊擬定安全港架構或者簽訂合作備忘錄之方式，建立與他國間之個人資料傳輸跨境合作。透過安全港架構以及合作備忘錄之簽訂，可確保雙邊之合作內容、擬定跨境傳輸之必要注意原則、建立聯絡窗口等相關機制之健全，亦可使國內須要進行個人資料跨境傳輸之企業、組織以及個人有明確之法規範可依循。