世界經濟論壇發布《贏得數位信任：可信賴的技術決策》
世界經濟論壇（World Economic Forum, WEF）於2022年11月15日發布《贏得數位信任：可信賴的技術決策》（Earning Digital Trust: Decision-Making for Trustworthy Technologies），期望透過建立數位信任框架（digital trust framework）以解決技術開發及使用之間對數位信任之挑戰。
由於人工智慧及物聯網之發展，無論個人資料使用安全性還是演算法預測，都可能削弱人民對科技發展之信賴。本報告提出數位信任路線圖（Digital trust roadmap），說明建立數位信任框架所需的步驟，以鼓勵組織超越合規性，指導領導者尋求符合個人與社會期望之全面措施行動，以實現數位信任。路線圖共分為四步驟：
1.承諾及領導（commit and lead）：數位信任需要最高領導階層之承諾才能成功，故需將數位信任與組織戰略或核心價值結合，並從關鍵業務領域中（例如產品開發、行銷、風險管理及隱私與網路安全）即納入數位信任概念。
2.規劃及設計（plan and design）：透過數位信任差距評估（digital trust gap assessment）以瞭解組織目前之狀態或差距，評估報告應包括目前狀態說明；期望達成目標建議；治理、風險管理與合規性（governance, risk management and compliance, GRC）調查結果；將帶來之益處及可減輕之風險；計畫時程表；團隊人員及可用工具；對組織之影響等。
3.建立及整合（build and integrate）：實現數位信任需關注人員、流程及技術等三大面向。首先需確保人員能力、達成該能力所需之資源，以及人員溝通與管理；第二，定義組織數位信任流程，包括制定計劃所需時程、預算及優先實施領域，調整目前現有管理流程，並識別現有資料資產；最後，針對技術使用，可考慮使用AI監控、雲端管理系統以及區塊鏈等，以監測資料之使用正確性及近用權限管理。
4.監控及滾動調整（monitor and sustain）：建立數位信任框架後，需持續建構相關績效及風險評估程序，以確保框架之穩定，並根據不斷變化的數位信任期望持續改善，以及定期向董事會報告。
許嘉芳
法律研究員 編譯整理
World Economic Forum [WEF], Earning Digital Trust: Decision-Making for Trustworthy Technologies (Nov. 15, 2022), https://www3.weforum.org/docs/WEF_Earning_Digital_Trust_2022.pdf (last visited Jan. 3, 2023).
Earning Digital Trust: Decision-Making for Trustworthy Technologies, World Economic Forum (Nov. 15, 2022), https://www.weforum.org/reports/earning-digital-trust-decision-making-for-trustworthy-technologies/ (last visited Jan. 3, 2023).
蔡毓華、林玉書，〈促進數位資產流通機制建立之法制初探〉，2021年3月，https://stli.iii.org.tw/article-detail.aspx?tp=1&d=8617&no=64（最後瀏覽日：2023/01/03）。
科法觀點
MySpace.com在2006年12月宣布與ID認證公司Sentinel Tech Holding合作建立一套可過濾全國性侵害犯之資料的資料庫，將有效隔絕這些罪犯利用其網站為非作歹。美國一州檢察長組織曾發表公開信，對於性侵害犯利用MySpace引誘兒童與其會面，和進行其他危險活動表達關切，要求MySpace 移交有關於在其網站上的相關註冊以及信件往來資料。但MySpace.com最初引用聯邦以及州相關規範隱私權的法律，包括1986年的電子通訊隱私法（Electronic Communications Privacy Act），以該請求不合法為由拒絕合作。 不過MySpace.com日前（2007年6月）已同意向賓州法院尋求相關規範指引(guidance)，以期能在合法且不影響具潛在證據能力的定罪證據的前提下，包括提供50州中已註冊在案的性侵犯資料，移交所有於網站中已被定罪的性侵害犯的相關資料。事實上，MySpace與檢方已私下達成協議，該公司在不違反聯邦與各州法律的情況下，與檢方分享名為Sentinel Safe的資料庫，並由檢方將資料交由執法官員利用。
Adidas再次出擊！積極捍衛三斜線商標世界第二大運動用品製造商 Adidas 於2012年5月15日對滑板運動鞋製造商 Word Industries與體育用品零售商Big 5 提出商標侵權告訴，同時向U.S. District Court in Portland, Ore.請求金錢損害賠償與定暫時狀態處分。 Adidas 主張Word Industries設計於鞋身的三平行斜條紋與他們的三斜線商標太像了， 易使消費者產生混淆誤認，有欺騙消費者之嫌，並將淡化與損害Adidas的品質。 Word Industries 總裁則主張公司描繪的”W”是一個新的式樣且使用多年，有別於Adidas的三斜線。 Word Industries 於鞋身設計的”W”樣式，頂端帶著箭頭的形狀延伸至鞋緣，側身望去似乎只剩下三斜線，便因此落入與Adidas商標近似之爭議。 Adidas 積極捍衛商標，紛紛對於疑似模仿其三斜線標誌的業者採取法律途徑尋求救濟，像是控告Payless ShoeSource販售二至四條紋的運動鞋，侵犯其商標權，更因此判賠 6億5千萬美元，達成和解；甚至台灣本土品牌Jump運動鞋面設計的”遞減三斜線” 也在其中。
歐盟隱私工作小組支持擴大通知義務之業者範圍歐盟隱私權工作小組(working party)日前公布其對「隱私與電子通訊指令」(Directive on Privacy and Electronic Communications, 2002/58/EC)之修正意見，藉此重申支持個人資料外洩通知責任立法之立場，並建議擴大適用通知責任之業者範圍至涉及線上交易之電子商務之服務提供者。此項建議隨即遭到歐盟理事會及委員會之反對，認為通知責任應僅限於電信公司，而不應擴及其他電子商務服務提供者。 歐盟隱私權工作小組於2009年2月初提出的報告指出，個人資料外洩通知責任法制(Data Breach Notification Law)之建立對於資訊社會服務(Information Society Service)之發展是必要的，其有助於個人資料保護監督機構(Data Protection Authorities)執行其職務，以確認受規範之服務提供者是否採取適當的安全措施。再者，亦可間接提高民眾對於資訊社會相關服務使用之信心，保護其免於身份竊盜(identity theft)、經濟損失以及身心上之損害。 然而，歐盟理事會及歐洲議會則反對該項修正建議，其一方面認為不應擴張資料外洩通知責任制度適用之業者，另一方面則認為對於是否透過法制規範課予業者通知之義務，應由各國立法者決定是否立法，甚或由業者依資料外洩情形嚴重與否，來判斷是否通知其各國個人資料保護相關組織及客戶。此外，參考外國實施之成效，美國雖有多數州別採用資料外洩通知責任制度，但並非所有的隱私權團體皆肯認該項制度；英國資訊委員會對於該制度之成效則仍存質疑，因從過去為數眾多的個人資料外洩事件看來，其效果已逐漸無法彰顯。 雖然歐盟個人資料保護官(European Data Protection Supervisor)與歐盟隱私權工作小組之看法一致，但其與歐洲議會與歐盟理事會仍存有歧見，對於個人資料外洩通知責任制度之建立，似乎仍有待各方相互協商尋求共識，方能決定是否納入歐盟隱私及電子通訊指令之規範。
歐盟資通安全局（ENISA）提出資通安全驗證標準化建議歐盟資通安全局（European Union Agency for Cybersecurity, ENISA）（舊稱歐盟網路與資訊安全局European Union Agency for Network and Information Security）於2020年2月4日發布資通安全驗證標準化建議（Standardisation in support of the Cybersecurity Certification: Recommendations for European Standardisation in relation to the Cybersecurity Act），以因應2019/881歐盟資通安全局與資通安全驗證規則（簡稱資通安全法）（Regulation 2019/881 on ENISA and on Information and Communications Technology Cybersecurity Certification, Cybersecurity Act）所建立之資通安全驗證框架（Cybersecurity Certification Framework）。 受到全球化之影響，數位產品和服務供應鏈關係複雜，前端元件製造商難以預見其技術對終端產品的衝擊；而原廠委託製造代工（OEM）亦難知悉所有零件的製造來源。資通安全要求與驗證方案（certification scheme）的標準化，能增進供應鏈中利害關係人間之信賴，降低貿易障礙，促進單一市場下產品和服務之流通。需經標準化的範圍包括：資訊安全管理程序、產品、解決方案與服務設計、資通安全與驗證、檢測實驗室之評估、資通安全維護與運作、安全採購與轉分包程序等。 ENISA認為標準化發展組織或業界標準化機構，在歐盟資通安全之協調整合上扮演重要角色，彼此間應加強合作以避免重複訂定標準。目前有三組主要國際標準可構成資通安全評估之基礎： ISO/IEC 15408/18045–共通準則與評估方法：由ISO/IEC第1共同技術委員會（JTC1）及第27小組委員會（SC27）進行重要修訂。 IEC 62443-4-2–工業自動化與控制系統之安全第4-2部分：作為工業自動化與控制系統元件的技術安全要求。 EN 303-645–消費性物聯網之資通安全：由歐洲電信標準協會（ETSI）所建立，並與歐洲標準委員會（CEN）、歐洲電工標準化委員會（CENELEC）協議共同管理。 然而，資通訊產品、流程與服務種類繁多，實際需通過哪些標準檢驗才足以證明符合一定程度的安全性，則有賴驗證方案的規劃。為此，ENISA亦提出資通安全驗證方案之核心構成要件（core components）及建構方法論，以幫助創建歐盟境內有效的驗證方案。