英國數位、文化、媒體暨體育部公布「應用程式商店經營者與開發者實踐準則」，強化消費者隱私與資安保護
英國數位、文化、媒體暨體育部（Department for Digital, Culture, Media & Sport, DCMS）於2022年12月9日公布「應用程式商店經營者與開發者實踐準則」（Code of practice for app store operators and app developers），並規劃在未來九個月內要求Apple、華為、Microsoft等公司採行，以加強對消費者的隱私與資安保護。
根據該實踐準則之內容，APP商店經營者和開發者須滿足以下要求：
（1）以友善使用者的方式與消費者共享資安和隱私資訊，如APP何時將無法在商店中取得、APP最近一次更新的時間、APP儲存與處理使用者資料的位置等。
（2）即便消費者禁用部分可選的功能與權限（如不允許APP使用麥克風或追蹤使用者位置），該APP仍可正常執行。
（3）制定穩定且具透明性的APP審查程序，以確保滿足實踐準則中資安與隱私最低要求的APP方能在商店內上架。
（4）當APP因資安或隱私原因無法於商店內上架時，向開發者提供明確的反饋。
（5）制定妥適的弱點揭露程序如聯絡表單（contact form），使軟體缺陷可在非公開（避免受駭客利用）的情況下被報告及解決。
（6）確保開發者即時更新其APP，以減少APP中的安全弱點數量。
總體而言，實踐準則要求APP必須具備相關程序，使安全專家能夠向開發者報告軟體弱點、確保安全性更新對消費者足夠醒目，以及將資安與隱私資訊透過明確易懂的方式提供給消費者。
本文為「經濟部產業技術司科技專案成果」
- 零售業個資安全宣導暨安全維護計畫說明會（台中場）
- 【台北場1】通訊傳播事業個資法遵教育訓練
- 【台中場】通訊傳播事業個資法遵教育訓練
- 【新北場】通訊傳播事業個資法遵教育訓練
- 【高雄場】通訊傳播事業個資法遵教育訓練
- 【台北場2】通訊傳播事業個資法遵教育訓練
- 114年「企業營業秘密保護實務座談會」（南部場）
- 114年「企業營業秘密保護實務座談會」（中部場）
- 零售業個資法遵實務與資訊安全說明會
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 零售業個資法遵實務與資訊安全說明會（台中場）
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
- 商業服務業個資管理與資訊安全實務宣導說明會（高雄場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台南場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台中場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台北場）
- 【北部場1】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場2】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場3】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場4】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【南部場】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【中部場】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
羅文妗
專案經理 編譯整理
New rules for apps to boost consumer security and privacy, GOV.UK, https://www.gov.uk/government/news/new-rules-for-apps-to-boost-consumer-security-and-privacy (last visited Dec. 10, 2022).
Code of practice for app store operators and app developers, GOV.UK, https://www.gov.uk/government/publications/code-of-practice-for-app-store-operators-and-app-developers/code-of-practice-for-app-store-operators-and-app-developers (last visited Dec. 10, 2022).
盧秉羲，〈美國NIST發布更新《網路安全資源指南》提升醫療領域的網路安全及隱私風險管理〉，資訊工業策進會科技法律研究所，2022/9，https://stli.iii.org.tw/article-detail.aspx?tp=1&d=8883&no=64（最後瀏覽日：2022/12/10）。
英國傳播、電信、科技及媒體相關領域業者及團體於 2006 年 4 月聯合發表一份意見書，反對歐盟提出的新視聽媒體服務指令（ Audiovisual Media Services Directive ）草案。同時英國政府也正關注這項草案並與其他會員國進行討論。 自 2005 年 9 月起，歐盟開始針對電視無國界指令（ Television without Frontiers Directive ）的修正進行討論。歐盟考慮將該指令修改為視聽媒體服務指令，擴大其規範範圍，使其包括各種與電視相似（ TV-like ）的服務，並將所有視聽媒體服務區分成線性（ linear ）及非線性（ no-linear ）服務，分別給予不同程度的管制。 不過英國有許多業者及團體對於這項新指令的制訂深表不贊同，其認為： (1) 就非線性服務（例如隨選視訊）而言，目前既有法規以及業者自律規範已足以保障消費者； (2) 線性及非線性的分類方式可能不適宜作為法律定義的基礎； (3) 新指令將可能阻礙新進業者參與市場的意願，甚至導致投資者轉向其他國家發展。所以希望透過連署，要求歐盟重新檢視這項新指令。
從美國PayPal經驗與歐盟支付服務指令論我國第三方支付服務之現狀與未來 英國上議院正逐條審議資料保護和數位資訊法案，期展現脫歐新格局英國科學、創新和技術部（Department for Science, Innovation & Technology）提出之《資料保護和數位資訊法案》（The Data Protection and Digital Information Bill，以下稱DPDI法案）於2023年11月經下議院三讀後移交上議院，並於2024年3月20日起逐條審議。DPDI法案旨在調整由英國《一般資料保護規則》（UK General Data Protection Regulation, 下稱UK GDPR）、《資料保護法》（Data Protection Act, DPA 2018）與《隱私與電子通訊規則》（Privacy and Electronic Communications (EC Directive) Regulations 2003）建構之資料保護框架，形塑有別於歐盟典範的資料保護制度。 下議院三讀通過之DPDI法案包含：個人資料保護、數位核驗服務、消費者與商業等各類數據使用以及監管制度等，期能增加資料使用彈性、衡平保護與運用之衝突。該法案將釐清與重新定義資料保護之一般性通則，以下就部分變革與爭議簡要說明： 一、資料使用限制放寬：藉擴大正當利益（legitimate interest）意涵與科學研究範圍，擴大個人資料使用的正當性基礎，如國安、犯罪預防、公共衛生及商業與非商業性科學研究。 二、組織資料治理層級轉變：取消資料保護長設置，改為指派高階管理層之一人專任或多人兼任高階負責人。 三、監管機構變換：將現行資訊專員辦公室（Information Commissioner’s Office, ICO）獨立機構監管模式，轉換為政府任命之委員會。 四、資料傳輸規範可能不足：英國脫歐後，其與歐盟間的資料傳輸經認可而獲維繫。若DPDI法案通過並調整且簡化資料傳輸規範，英國可能需證明新程序及規範持續具有保護適足性。 就DPDI法案內容觀之，該法案主要建構於UK GDPR及相關規範之刪修，象徵英國政府對脫歐前資料保護制度之檢討，並期藉改革減輕企業合規成本。然，部分團體認為資料使用放寬與保護制度之變革，可能導致演算法歧視以及英國與歐盟間資料流動困難。雖DPDI法案尚在上議院委員會討論階段，可能因各方磋商而修改條文內容，但仍可見英國政府積極重新伸張國家主權之作為。
何謂拜杜法案「Bayh-Dole Act」？美國國會於1980年通過了拜杜法案(Bayh-Dole Act)，正式名稱為1980年大學與小型企業專利程序法(University and Small Business Patent Procedures Act of 1980, 35 U.S.C. 200 et seq.)。經濟學人(The Economis)曾對美國拜杜法評價為「可能是過去半世紀在美國所成立之最具創見之法律」，其目的是讓大學、中小企業等與聯邦機構締約，執行聯邦政府資助的研發計畫後仍能保有其研究成果之專利，亦即將此研究成果的專利申請權歸屬於受資助之大學或中小企業，而非聯邦政府。 拜杜法案(Bayh-Dole Act) 35 U.S.C. § 201(c)對立約人(contractors)定義為，任何簽署資助協議的自然人、小型企業、或非營利機構。而權利歸屬部分，規定於35 U.S.C. § 202，非營利機構、中小企業等與聯邦機構簽訂資助契約之承攬人可以選擇是否擁有受資助發明(elect to retain title to any subject invention)之權利。再者，立約人負責專利管理事務之人員，應於知悉受資助發明的合理期間內，向聯邦機構揭露該發明，若未於合理期間內揭露，則該發明歸屬於聯邦機構。並且，立約人應於揭露發明後2年內，以書面行使其選擇權，逾期則該發明權利歸屬於聯邦機構。另 35 USC § 203有介入權規定，聯邦機構認為有必要時，得要求立約人、其受讓人或其專屬被授權人將發明專屬、部分專屬(partially exclusive)或非專屬授權予申請人，聯邦機構得自行為之。