日本將數位廣告業者列入特定數位平台之透明性及公正性提升法適用對象
日本於2022年7月5日閣議決定修正政令將數位廣告（デジタル広告）的大型數位平台（デジタルプラットフォーム）業者列入「特定數位平台之透明性及公正性提升法」（特定デジタルプラットフォームの透明性及び公正性の向上に関する法律）適用對象，修正政令於2022年7月8日正式公布，並預計自2022年8月1日開始施行。
日本於2020年5月27日通過特定數位平台之透明性及公正性提升法（以下簡稱本法），要求特定數位平台業者公開提供服務條件，主動積極採取因應措施並進行自我評估，以提升特定數位平台透明性與公正性，促進國民經濟健全發展。隨著數位平台重要度與日俱增，數位廣告的數位平台企業影響力亦逐漸擴大，甚至將對媒體事業收益結構帶來重大改變。日本於2021年6月18日閣議決定「2021經濟財政營運及改革基本方針」（経済財政運営と改革の基本方針2021）與「成長戰略實行計畫」（成長戦略実行計画），均提出須關注數位市場競爭環境，因應新時代統整數位廣告市場規則，將數位廣告的大型數位平台業者列入本法適用對象，整合數位平台透明性與公平性規則。
本次修正政令列入本法適用對象的數位廣告業者包含：一、日本國內營業額在1000億日圓以上的媒體整合型廣告數位平台。二、日本國內營業額在500億日圓以上的廣告仲介型數位平台。日本期望能藉由統整數位廣告市場規則，解決數位廣告市場的垂直整合問題，同時強化消費者隱私保護。
鄭岱宜
法律研究員 編譯整理
〈「特定デジタルプラットフォームの透明性及び公正性の向上に関する法律第四条第一項の事業の区分及び規模を定める政令の一部を改正する政令」が閣議決定されました〉，経済産業省，https://www.meti.go.jp/press/2022/07/20220705002/20220705002.html（最後瀏覽日：2022/07/25）。
黃敏瑜，〈日本閣議通過《特定數位平台之透明性及公正性提升法案》，以改善電商交易環境〉，科技法律研究所，2020/07，>https://stli.iii.org.tw/article-detail.aspx?tp=1&d=8482&no=64（最後瀏覽日︰2022/07/25）。
李姿瑩，〈歐洲議會於2022年初通過數位服務法（DSA）〉，科技法律研究所，2022/03，>https://stli.iii.org.tw/article-detail.aspx?no=64&tp=1&d=8787（最後瀏覽日︰2022/07/25）。
醫療器材在美國上市所需依循的途徑，為申請510(k)審查或上市前審查(Premarket Approval, PMA)。順序上第一步，必須在90天前向美國食品藥物管理局(U.S. Food and Drug Administration, FDA)提出「上市前通知」(Premarket Notification, PMN)申請。所謂的510(K)，係指美國《食品、藥物及化妝品法》(Federal Food, Drug, and Cosmetic Act, FD&C Act)第510節之規定，在申請的流程中，FDA會審查廠商所提出的佐證，是否具備與已上市的相同器材一樣之「實質相等性」(Substantial Equivalence)，若不具備「實質相等性」，即必須進入PMA申請程序。 FDA指出過往機關接受許多不適當的501(K)審查申請，而必須要求這些不適當的申請廠商進一步補充文件，以進行實質審查。FDA指出這樣的程序，進行過度頻繁的審查，而浪費不少寶貴的資源及人力。FDA於2012年8月10發佈「拒絕接受510(K)審查申請之政策」指導文件草案。作為改善與加強501(K)申請流程之效率與有效性。新的指導文件草案之改善目標，係要求廠商必須提出傳統(Traditional)、特殊(Special)、簡略(Abbreviated)三種不同的申請所需之審查文件，FDA會先進行審查文件是否具備的預先審核，始進行實質審查。廠商必須依照指導文件草案內含的核對表(Checklist)所規定必須提交之審查文件，FDA有15天的時間回應廠商是否完成繳交，或要求廠商在新的15天之內補件，而承認 (Acceptance)形式審查完備，始進行實質審查。廠商亦可針對缺繳之文件，說明不提供之理由，並提出相關證明。指導文件草案提供以下幾個準則，提供審查機關審視核對表完備與否： 該產品是否為器材； 該項申請之對象是否正確； 是否為適當合法510(k)申請； 是否有相同的器材經PMA程序核准上市； 所提出的臨床數據，申請者是否受限於「申請規範政策」(Application Integrity Policy, AIP)。 FDA透過這樣預先審查之方式，檢視廠商所提出之申請，是否符合形式的要件，而決定是否進行實質審查，以避免浪費行政機關的資源與人力進行不適當的審查，希冀改善FDA目前501(k)審查申請制度之效率與有效性。
美國加州通過綠色化學法規由於完善控管機制迄今仍付之闕如，而市面上諸多含有危險化學物質的產品，尚無法立即要求廠商將之下架或提出解決方案，因此引起消費大眾、學界人士及公共健康倡議團體對於消費安全之關切；美國加州為有別於僅針對危險化學物質逐項管理的一般法令，轉而採取整體規範之包裹立法方式，於2008年9月底通過AB 1879與SB 509兩項綠色化學法規，增訂於「健康與安全法典(Health and Safety Code)」，促使商品在設計階段減少毒性物質之接觸。 根據AB 1879法令，由加州環保署(California Environmental Protection Agency) 所管轄之毒性物質控制部門(Department of Toxic Substances Control)，現行除具備管理危險材料之儲存、使用與廢棄等法定職責外，另新增計畫如下： (1) 應於2011年1月1日前修改法規，優先針對引發關切的危險化學物質進行生命週期評估，並將評估結果遞交加州環境政策議會(California Environmental Policy Council)；此外，毒性物質控制部門應研發潛在替代品，研擬減低或避免化學物質暴露之方法。 (2) 於2009年7月1日前成立綠絲帶科學小組(Green Ribbon Science Panel)，用以管理奈米科技、風險分析、公眾健康等十五項與危險性化學物質相關之題材，並為日後政策修訂提供具科學基礎之建議。 (3) 除非另有法規限制，應要求業界呈報管理化學物質之詳細資料，公開作為民眾參考之用；如涉及商業機密，應有程序上之保障。 再者，SB 509法令要求環境健康風險評估辦公室(Office of Environmental Health Hazard Assessment)彙整危險化學物質之特性，並由毒性物質控制部門建立線上資料庫，使民眾便於查詢危險化學物質之相關資訊。 綜上所述，綠色化學法規的訂立，係回應消費大眾對於市售產品之疑慮，因而植基於科學界與現實生活，著重危險化學物質運用及暴露時所為之風險評估，並期於2011年前得以有效掌握化學物質，進而維持勞動環境安全、減少處理毒性廢棄物之成本，達成保護生態與民眾健康之目標。
日本有關循環經濟新法規「塑膠資源循環促進法」將於2022年4月1日正式上路日本率先亞洲地區將於2022年4月1日實施「塑膠資源循環促進法」（プラスチック資源循環促進法），其係著重於產品設計階段至塑膠廢棄物排放、再利用等整個產品生命週期，來促進塑膠資源循環運用，主要措施內容包括： ①抑制塑膠廢棄物的排放、再資源化的環境設計（該法第1、2章） ②一次性利用塑膠產品的使用合理化（該法第3、4章） ③塑膠廢棄物的分類收集、自主回收、再資源化（該法第5、6、7章） 例如： 設計、製造階段，有明示塑膠製產品設計指導方針，可透過減少塑膠用量來製作產品、調整尺寸和形狀方式，進行塑膠製產品之設計，並創建國家優秀設計認定制度，被國家認定之產品，可獲得政府優先購買，會提供消費者資訊使其更容易選擇環保產品。 使用階段則要求企業經營者合理化提供免洗餐具等12種一次性塑膠製產品，其指導方針有是否採取有償方式提供、或是否有回饋措施予拒用免洗餐具之消費者等措施。 塑膠廢棄物處理階段，係指針對排出塑膠廢棄物之企業經營者有責任妥善處理塑膠廢棄物等，倘企業經營者在其選擇之措施中有顯著不足情形，國家會以勸告、命令方式命其改善。 回收、再利用階段，則是針對塑膠回收類型作最小限制，本制度設立了對該塑膠廢棄物進行再商品化的機制，重新修改分類規則，擴大塑膠資源的回收量，且針對回收自治體得補貼地方交付稅等部分費用，減輕其成本。
資通安全管理法之簡介與因應資通安全管理法之簡介與因應 資訊工業策進會科技法律研究所 2019年6月25日 壹、事件摘要 隨著網路科技的進步，伴隨著資安風險的提升，世界各國對於資安防護的意識逐漸升高，紛紛訂定相關之資安防護或因應措施。為提升國內整體之資通安全防護能量，我國於107年5月經立法院三讀通過「資通安全管理法」（以下簡稱資安法），並於同年6月6日經總統公布，期望藉由資通安全管理法制化，有效管理資通安全風險，以建構安全完善的數位環境。觀諸資通安全管理法共計23條條文外，另授權主管機關訂定「資通安全管理法施行細則」、「資通安全責任等級分級辦法」、「資通安全事件通報及應變辦法、「特定非公務機關資通安全維護計畫實施情形稽核辦法」、「資通安全情資分享辦法」及「公務機關所屬人員資通安全事項獎懲辦法」等六部子法，建置了我國資通安全管理之法制框架。然而，資安法及相關子法於108年1月1日實施後，各機關於適用上不免產生諸多疑義，故本文擬就我國資通安全管理法之規範重點為扼要說明，作為各機關遵法之參考建議。 貳、重點說明 一、規範對象 資安法所規範之對象，主要可分為公務機關及特定非公務機關。公務機關依資安法第3條第5款之定義，指依法行使公權力之中央、地方機關（構）或公法人，但不包含軍事機關及情報機關。故公務機關包含各級中央政府、直轄市、縣（市）政府機關、依公法設立之法人（如農田水利會[1]、行政法人[2]）、公立學校、公立醫院等，均屬公務機關之範疇。惟考量軍事及情報機關之任務性質特殊，故資安法排除軍事及情報機關之適用[3]。 特定非公務機關依資安法第3條第6款之規定，指關鍵基礎設施提供者、公營事業及政府捐助之財團法人。關鍵基礎設施提供者另依該法第16條第1項規定，須經中央目的事業主管機關於徵詢相關公務機關、民間團體、專家學者之意見後指定，報請行政院核定，並以書面通知受核定者。須注意者為該指定行為具行政處分之性質，如受指定之特定非公務機關對此不服，則可循行政救濟程序救濟之。目前各關鍵基礎設施領域，預計將於108年下半年陸續完成關鍵基礎設施提供者之指定程序[4]。 此外，政府捐助之財團法人，依該法第3條第9項之規定，指其營運及資金運用計畫應依預算法第41條第3項規定送立法院，及其年度預算書應依同條第4項規定送立法院審議之財團法人。故如為地方政府捐助之財團法人，則非屬資安法所稱特定非公務機關之範圍。公營事業之認定，則可參考公營事業移轉民營條例第3條之規定，指（一）各級政府獨資或合營者；（二）政府與人民合資經營，且政府資本超過百分之五十者；（三）政府與前二款公營事業或前二款公營事業投資於其他事業，其投資之資本合計超過該投資事業資本百分之五十者。目前公營事業如臺灣電力股份有限公司、中華郵政股份有限公司、臺灣自來水股份有限公司等均屬之。 二、責任內容 資安法之責任架構，可區分為「事前規劃」、「事中維運」及「事後改善」等三個階段，分述如下： （一）事前規劃 就事前規劃部分，資安法要求各公務機關及特定非公務機關均應先規劃及訂定「資通安全維護計畫」及「資通安全事件通報應變機制」，使各機關得據此落實相關之資安防護措施，各機關並應依據資通安全責任等級分級辦法之規定，依其重要性進行責任等級之分級，辦理分級辦法中所要求之應辦事項[5]，並將應辦事項納入安全維護計畫中。 此外，在機關所擁有之資通系統[6]部分，各機關如有自行或委外開發資通系統，尚應依據分級辦法就資通系統進行分級（分為高、中、普三級），並就系統之等級採取相應之防護基準措施，以高級為例，從7大構面中，共須採取75項控制措施。 （二）事中維運 事中維運部分，資安法要求各機關應定期提出資通安全維護計畫之實施情形，上級或中央目的事業主管機關並應定期進行各機關之實地稽核及資通安全演練作業。各機關如有發生資通安全事件，應於機關知悉資通安全事件發生時，於規定時間內[7]，依機關訂定之通報應變機制採取資通安全事件之通報及損害控制或復原措施，以避免資通安全事件之擴大。 （三）事後改善 在事後改善部分，如各機關發生資通安全事件或於稽核時發現缺失，則均應進行相關缺失之改善，提出改善報告，並應針對缺失進行追蹤評估，以確認缺失改善之情形。 三、情資分享 為使資通安全情資流通，並考量網路威脅可能來自於全球各地，資安法第8條規定主管機關應建立情資分享機制，進行情資之國際合作。情資分享義務原則於公務機關間，就特定非公務機關部分，為鼓勵公私間之協力合作，故規定特定非公務機關得與中央目的事業主管機關進行情資分享。 我國已於107年1月將政府資安資訊分享與分析中心（G-ISAC）調整提升至國家層級並更名為「國家資安資訊分享與分析中心」（National Information Sharing and Analysis Center, N-ISAC）。透過情資格式標準化與系統自動化之分享機制，提升情資分享之即時性、正確性及完整性，建立縱向與橫向跨領域之資安威脅與訊息交流，以達到情資迅速整合、即時分享及有效應用之目的[8]。 四、罰則 為使資安法之相關規範得以落實，資安法就公務機關部分，訂有公務機關所屬人員資通安全事項獎懲辦法以資適用。公務機關應依據獎懲辦法之內容，配合機關內部之人事考評規定訂定獎懲基準，而獎懲辦法適用之人員，除公務人員外，尚包含機關內部之約聘僱人員。就特定非公務機關部分，資安法則另訂有相關之罰則，針對未依資安法及相關規定辦理應辦事項之特定非公務機關，中央目的事業主管機關得令限期改正，並按情節處10萬至100萬元之罰鍰。惟就資通安全事件通報部分，因考量其影響範圍層面較廣，故規定特定非公務機關如未依規定進行通報，則可處以30萬元至500萬元之罰鍰。 參、事件評析 公務機關及特定非公務機關為落實資安法之相關規範，勢必投入相關之資源及人力，以符合資安法之要求。考量公務機關或特定非公務機關之資源有限，故建議可從目前組織內部所採用之個人資料保護或資訊安全管理措施進行盤點與接軌，以避免資源或相關措施重複建置，以下則列舉幾點建議： 一、風險評估與安全措施 資安法施行細則第6條要求安全維護計畫訂定風險評估、安全防護及控制措施機制，與個人資料保護法施行細則第12條要求建立個人資料風險評估及管理機制之規定相似，故各機關於適用上可協調內部之資安與隱私保護機制，共同擬訂單位內部之風險評估方式與管理措施規範。 二、通報應變措施 資安法第18條要求機關應訂定資通安全事件通報應變機制，而個人資料保護法第12條亦規定有向當事人通知之義務，兩者規定雖不盡相同，惟各機關於訂定通報應變機制上，可將兩者通報應變程序進行整合，以簡化通報流程。 三、委外管理監督 資安法第9條要求機關負有對於委外廠商之監管義務，個人資料保護法施行細則第8條亦訂有委託機關應對受託者為適當監督之規範。兩者規範監督之內容雖不同，惟均著重對於資料安全及隱私之保護，故各機關可從資料保護層面著手，訂定資安與個人資料保護共同之檢核項目，來進行委外廠商資格之檢視，並將資安法及個人資料保護法之相關要求分別納入委外合約中。 四、資料盤點及文件保存 資安法施行細則第6條要求於建置安全維護計畫時，須先進行內部之資產盤點及分級，而個人資料保護法施行細則第12條中，則要求機關須訂有使用記錄、軌跡資料及證據保存之安全措施。故各機關於資產盤點時，可建立內部共同之資料盤點清單及資料管理措施，並增加資料使用軌跡紀錄，建置符合資安與個人資料之資產盤點及文件軌跡保存機制。 [1] 參水利法第12條。 [2] 參中央行政機關組織基準法第37條。 [3] 軍事及情報機關依資通安全管理法施行細則第2條規定，軍事機關指國防部及其所屬機關（構）、部隊、學校；情報機關指國家情報工作法第3條第1項第1款（包含國家安全局、國防部軍事情報局、國防部電訊發展室、國防部軍事安全總隊）及第2項規定之機關。另須注意依國家情報工作法第3條第2項規定，行政院海岸巡防署、國防部政治作戰局、國防部憲兵指揮部、內政部警政署、內政部移民署及法務部調查局等機關（構），於其主管之有關國家情報事項範圍內，視同情報機關。 [4] 羅正漢，〈臺灣資通安全管理法上路一個月，行政院資安處公布實施現況〉，iThome, 2019/02/15，https://www.ithome.com.tw/news/128789 （最後瀏覽日：2019/5/13）。 [5] 公務機關及特定非公務機關之責任等級目前分為A、B、C、D、E等五級，各機關應依據其責任等級應從管理面、技術面及認知與訓練面向，辦理相應之事項。 [6] 資通系統之定義，依資通安全管理法第3條第1款之規定，指用以蒐集、控制、傳輸、儲存、流通、刪除資訊或對資訊為其他處理、使用或分享之系統。 [7] 公務機關及特定非公務機關於知悉資通安全事件後，應於1小時內依規定進行資通安全事件之通報；如為第一、二級資通安全事件，並應於知悉事件後72小時內完成損害控制或復原作業，第三、四級資通安全事件，則應於知悉事件後36小時內完成損害控制或復原作業。 [8] 〈國家資安資訊分享與分析中心(N-ISAC)〉，行政院國家資通安全會報技術服務中心，https://www.nccst.nat.gov.tw/NISAC（最後瀏覽日：2019/5/14）。