美國證券交易委員會發布指引要求公司進一步揭露加密資產之潛在影響
美國證券交易委員會（United States Securities and Exchange Commission，下稱SEC）於2022年12月8日發布「致公司有關近期加密資產市場發展之樣本函（Sample Letter to Companies Regarding Recent Developments in Crypto Asset Markets）」指引文件（下稱本指引），指導公司應針對自身業務涉及近期加密資產市場動盪事件（如虛擬貨幣交易所破產等），進行直接或間接影響之風險揭露，以符合聯邦證券法規之資訊揭露（如風險及風險暴露等）義務。SEC轄下之企業金融處（Division of Corporation Finance，以下簡稱金融處）認為公司應向投資者提供具體且量身訂製之市場動盪事件報告、揭露公司在動盪事件中之狀況以及可能對投資者造成之影響。爰此，本負有常態報告義務的公司應據此考量現有的揭露內容是否須進行更新。
金融處說明，為加強並監督公司對資訊揭露要求之遵守狀況，爰依據1933年證券法（Securities Act of 1933）及1934年證券交易法（Securities Exchange Act of 1934）內涵，要求公司亦須針對應作出聲明的實際狀況，進一步揭露相關重大訊息，且不得進行誤導。本指引所要求公司明確揭露加密資產市場發展的重大影響，包括公司對競爭對手及其他市場參與者之風險暴露；與公司流動資金及獲取融資能力相關的風險；及與加密資產市場法律程序、調查或監管影響相關的風險等。
值得注意的是，本指引並未列出公司應考量問題的詳細清單，個別公司應視自身情況評估已存在之風險，或是否可能受到潛在風險事項的影響。由於公司所揭露之文件事前通常不會經過金融處審查，因此金融處也敦促各公司應自主依循本指引進行相關文件準備。
魏徹
副法律研究員 編譯整理
Sample Letter to Companies Regarding Recent Developments in Crypto Asset Markets, U.S. Securities and Exchange Commission, https://www.sec.gov/corpfin/sample-letter-companies-regarding-crypto-asset-markets (last visited Jan. 4, 2023)
Chelsey Cox, SEC issues new guidance requiring companies to disclose cryptocurrency risks, CNBC, DEC. 8, 2022, https://www.cnbc.com/2022/12/08/sec-issues-new-guidance-requiring-companies-to-disclose-digital-currency-risks.html (last visited Jan. 4, 2023)
美國聯邦通訊委員會FCC於2010年7月20 日發布第六次寬頻建設調查報告（Sixth Broadband Deployment Report），指稱「仍有1400萬到2400萬的美國人仍無法接取下載4Mbps、上載1Mbps的寬頻網路服務，並且幾乎沒有可能立即為這些人裝設寬頻網路。」從而FCC在報告中做出了「寬頻網路並未以合理、符合時代需求的方式對全民推廣佈建」（Broadband deployment to all Americans is not reasonable and timely）的結論。 自1996年通訊法（第706節）要求FCC應每年針對「寬頻普及」的狀況進行評估以來，FCC是第六次針對此議題發布調查報告。報告指出，雖然寬頻建設在過去10年中已有顯著的成長，但在如北卡羅萊納州、德州、密西西比州等地的鄉村地區，仍有不成比例的多數民眾並無法接取寬頻網路，因為網路服務提供者在這些區域中看不到佈建寬頻網路的經濟利益。 目前只有65%的美國民眾能在家中接取高速寬頻服務。今年3月公布的「國家寬頻計畫（National Broadband Plan）」，FCC則設定目標，希望利用教育方案和公私合作伙伴策略（public-private partnerships）來推動網路的基礎建設，在2020年前達到90%美國民眾可在家接取高速寬頻服務的目標。為此，FCC將重整普及服務基金，引進創新策略釋出新的行動寬頻頻譜、除去對基礎建設（包括路權與電線桿等的接取權）的投資障礙。 值得注意者，這份報告同時將家戶寬頻接取網路的基本速率從2Mbps提升到下載4Mbps、上傳1Mbps。
美國藥品學會建議調整HIPAA隱私權規範以兼顧醫療研究及隱私保護隸屬美國科學院（National Academy of Sciences）之藥品學會（Institute of Medicine）於2009年2月4日發表一份研究報告，指出美國醫療保險可攜及責任法的隱私權規範（HIPAA, Privacy Rule），對於醫療研究中有關個人健康資訊之取得及利用的規定未盡周全，不僅可能成為進行醫療研究時的障礙，亦未能完善保障個人健康資訊。 在目前的規範架構下，是否允許資訊主體概括授權其資料供後續研究利用，並不明確；另外，在以取得資料主體之授權為原則，例外不需取得授權但必須由審查委員會判斷其妥適性的情況下，亦未有足夠明確的標準可資審查委員會判斷依循，此些問題不僅使得醫療研究中之資料取得及運用，產生若干疑慮，亦突顯個人相關健康資料保護之不足。 該報告建議國會應立法授權主管機關制訂一套新的準則，將個人隱私、資料安全及資訊運用透明化等標準，一體適用於所有醫療相關研究的資料取得及利用上；在未來的新準則中，應促進去名化醫療資訊之運用，同時對於未取得資料主體授權的資料逆向識別（re-identification）行為，應增設罰則；此外，審查委員會在判斷得否不經資料主體授權而以其資料進行研究之妥適性時，亦應納入道德考量因素，倘若研究係由聯邦層級的組織所主導，則研究團隊應先證明其已採取充分保護資料隱私及安全的措施，藉以平衡隱私權保護與醫療研究的拉鋸。
美國各州逐步研議透過立法豁免企業資安事件賠償責任美國各州逐步研議透過立法豁免企業資安事件賠償責任 資訊工業策進會科技法律研究所 2024年06月10日 為鼓勵企業採用資安標準與框架，美國已有幾州開始透過立法限縮企業資安事件賠償責任，企業若能舉證證明已符合法令或遵循業界認可之資安框架和標準，則於資安攻擊事件所致損害賠償訴訟中，將無需承擔賠償責任。 壹、事件摘要 為避免有心人士於未取得經授權下近用網路和敏感資料，企業往往投入大量資源打造資安防護架構，惟在現今網路威脅複雜多變的環境下，仍可能受到惡意資安攻擊，導致資料外洩事件發生，導致企業進一步面臨訴訟求償風險，其中多數指控為未實施適當的資安措施。為此美國佛羅里達州和西維吉尼亞州研議透過立法限縮企業之資安事件賠償責任，以鼓勵企業採用資安標準、框架與資安相關法令。 貳、重點說明 繼美國俄亥俄州[1]、猶他州[2]和康乃狄克州[3]相繼頒布法令，讓已實施適當安全維護措施之企業，豁免資安攻擊所致資料外洩之損害賠償責任，佛羅里達州和西維吉尼亞州近期亦提出相似法案，以下介紹兩州法案之重點： 一、佛羅里達州 美國佛羅里達州於2023年11月公布《資安事件責任法案》 （H.B 473: Cybersecurity Incident Liability）[4]，法案納入「安全港條款」（Safe Harbor），當企業遭受資安攻擊致生個資外洩事件，如可證明已遵循產業認可的資安標準或框架，實施適當的資安措施與風險控管機制，則可免於賠償責任，以鼓勵企業採納資安標準或框架。 為適用安全港條款，企業須遵循佛羅里達州資訊保護法（The Florida Information Protection Act），針對資料外洩事件，通知個人、監管機關和消費者，並建立與法案內所列當前產業認可的資安標準、框架，或是特定法令規範之內容具一致性的資安計畫（Cybersecurity Programs）： （一）當前產業認可的資安標準、框架 1. 國家標準暨技術研究院（National Institute of Standards and Technology, NIST）改善關鍵基礎設施資安框架（Framework for Improving Critical Infrastructure Cybersecurity）。 2. NIST SP 800-171－保護非聯邦系統和企業中的受控非機密資訊。 3. NIST SP 800-53 和 SP 800-53A－ 資訊系統和企業的安全和隱私控制/ 評估資訊系統和企業中的安全和隱私控制。 4. 聯邦政府風險與授權管理計畫（Federal Risk and Authorization Management Program, FedRAMP）安全評估框架。 5. 資安中心（ The Center for Internet Security, CIS）關鍵安全控制。[5] 6. ISO/IEC 27000系列標準。 7. 健康資訊信任聯盟（The Health Information Trust Alliance, HITRUST）通用安全框架（Common Security Framework）[6]。 8. 服務企業控制措施類型二（Service Organization Control Type 2, SOC 2）框架。 9. 安全控制措施框架（Secure Controls Framework）。 10. 其他類似的產業標準或框架。 （二）特定法令規範 企業（entity）如受以下法令規範，亦得適用安全港條款，如法令有修訂，企業應在發布修訂後的一年內更新其資安計畫： 1. 健康保險可攜與責任法（The Health Insurance Portability and Accountability Act, HIPAA）之安全要求。 2. 金融服務現代化法（The Gramm-Leach-Bliley Act）第五章。 3. 2014 年聯邦資訊安全現代化法（The Federal Information Security Modernization Act of 2014）。 4. 健康資訊科技促進經濟和臨床健康法（The Health Information Technology for Economic and Clinical Health Act, HITECH）之安全要求。 5. 刑事司法資訊服務系統 （The Criminal Justice Information Services, CJIS）安全政策。 6. 州或聯邦法律規定的其他類似要求。 該法案雖於2024年3月5日經佛羅里達州參議院三讀通過，但於2024年6月26日遭州長否決[7]，其表示法案對於企業的保障範圍過於廣泛，如企業採取基礎的資安措施與風險控管機制，便得主張適用安全港條款，將可能導致消費者於發生個資外洩事件時，無法受到足夠的保障。州政府鼓勵利害關係人與該州網路安全諮詢委員會（Florida Cybersecurity Advisory Council）合作，探求法案的替代方案，以保護消費者資料。 二、西維吉尼亞州 美國西維吉尼亞州於2024年1月29日提出眾議院第5338號法案[8]，修訂西維吉尼亞法典（Code of West Virginia），增訂第8H章資安計畫安全港條款（Safe Harbor for Cybersecurity Programs），如企業符合業界認可的資安標準、框架或依特定法令建立與實施資安計畫，包含個人資訊和機敏資料的管理、技術和企業保障措施，將能夠於侵權訴訟中，主張適用避風港條款。 法令內明列評估企業所建立的資安計畫規模和範圍是否適當之要素，包含： 1. 企業的規模和複雜性； 2. 企業的活動性質和範圍； 3. 受保護資訊的敏感性； 4. 使用資安防護工具之成本和可用性； 5. 企業可運用的資源。 （一）當前產業認可的資安標準、框架 除與佛羅里達州法案所列舉業界認可的資安標準之前六項相同，另增加： 1 NIST SP 800-76-2個人身分驗證生物辨識規範（Biometric Specifications for Personal Identity Verification）[9]。 2. 資安成熟度模型認證（The Cybersecurity Maturity Model Certification, CMMC）至少達到第2級，並經外部驗證（external certification）。 （二）特定法令規範 除與佛羅里達州法案所列舉特定法令之前四項相同，另增加：由聯邦環境保護局（Environmental Protection Agency, EPA）、資安暨基礎設施安全局（Cybersecurity and Infrastructure Security Agency, CISA）或北美可靠性公司（North American Reliability Corporation）[10]所採用任何適用於關鍵基礎設施保護的規則、法規或指南。 惟目前法案已於2024年3月27日被西維吉尼亞州長否決[11]，其表示透過安全港條款鼓勵企業實踐資安框架雖立意良好，但也可能遭濫用而帶來不當影響，例如TikTok等大型國際企業，如在違背公民意願情況下共享個人資料時，將免於訴訟，恐有損其公民權益，未來州政府將與利害關係人持續進行協商。 參、事件評析 佛羅里達州和西維吉尼亞州近期同步公布有關限制企業於資安事件之責任相關法案，內容亦為相似，西維吉尼亞州之法案目前已遭否決，主要係擔心該豁免條款遭到不當濫用；佛羅里達州之法案亦因對於企業保障過廣與無法保障消費者個資安全考量，而遭州長否決。 法案中明列受產業普遍認可的資安標準、框架與政府所頒布特定法令，有助企業明確遵循與採納，建立與實施資安計畫，惟如何舉證所建立之資安計畫或實施之資安措施，與法案所列之資安標準、框架，或是特定法令規範，具有實質上的一致性，仍不明確，將可能阻礙企業於訴訟上行使抗辯與主張責任豁免權。未來美國如何權衡產業穩健發展與民眾個資保障，仍有待持續觀察。 [1] Chapter 1354 - Ohio Revised Code, Ohio Laws, https://codes.ohio.gov/ohio-revised-code/chapter-1354 (last visited May 24, 2024). [2]Part 7 Cybersecurity Affirmative Defense Act, Utah StateLegislative, https://le.utah.gov/xcode/Title78B/Chapter4/78B-4-P7.html (last visited May 24, 2024). [3]Frederick Scholl, Connecticut’s New Breach Notification and Data Security Laws: Carrots and Sticks, Quinnipiac University, July,1,2021,https://www.qu.edu/quinnipiac-today/connecticuts-new-breach-notification-and-data-security-laws-2021-07-01/ (last visited May 24, 2024). [4]CSHB 473-Cybersecurity Incident Liability, The Florida Senate,https://www.flsenate.gov/Session/Bill/2024/473 (last visited Jun. 28, 2024). [5]資安中心（ The Center for Internet Security, CIS）為美國非營利組織，負責推動CIS Controls，針對實際發生的資安攻擊行為提供防禦建議，作為企業保護 IT 系統和資料時可參考之最佳實務作法。資料來源：About us, Center for Internet Security, https://www.cisecurity.org/about-us (last visited Jun. 6, 2024). [6]What is HITRUST?, Schneider Downs,https://schneiderdowns.com/cybersecurity/what-is-hitrust/ (last visited May 24, 2024). [7]Governor of Florida, Vote letter for House Bill 473(2024), https://www.flgov.com/wp-content/uploads/2024/06/Veto-Letter_HB-473.pdf (last visited Jun. 28, 2024). [8]2024 REGULAR SESSION ENROLLED Committee Substitute for House Bill 5338, WEST VIRGINIA LEGISLATURE,https://www.wvlegislature.gov/Bill_Status/bills_text.cfm?billdoc=hb5338%20sub%20enr.htm&yr=2024&sesstype=RS&i=5338 (last visited May 24, 2024). [9]NIST SP 800-76-2 Biometric Specifications for Personal Identity Verification, National Institute of Standards and Technology, https://csrc.nist.gov/pubs/sp/800/76/2/final (last visited May 24, 2024). [10]北美電力可靠性公司（North American Electric Reliability Corporation, NERC），為一家非營利機構，致力推動關鍵基礎設施保護相關標準，以強化北美大規模電力系統（亦即電網）的可靠性和安全性，資料來源：https://www.nerc.com/Pages/default.aspx (last visited May 24, 2024). [11]Governor of West Virginia, Enrolled Committee Substitute for House Bill 5338(2024),https://www.wvlegislature.gov/Bill_Text_HTML/2024_SESSIONS/RS/veto_messages/HB5338.pdf (last visited May 24, 2024).
日本IT總合戰略本部提出數位程序修正法案，簡化行政流程並提高使用便利性日本IT總合戰略本部於2019年3月18日公告提出「數位程序法案（デジタル手続法案）」，本法案係集結多部法律修正案之包裹法案，包含行政程序網路化法（行政手続オンライン化）、居民基本簿冊法（住民基本台帳法）、官方個人認證法（公的個人認証法）、及個人編號法（マイナンバー法）。該法案的目的，在於應用資通訊技術簡化行政運作並提高使用便利性，藉此增進行政效率，因此在相關法令中明文擬定行政數位化的基本原則，增修推動行政程序線上辦理的共通規定與配套措施，賦予行政機關應履行的各項法定義務，同時為落實各領域推展行政數位化的規劃，制定個別具體規範。 於制定行政數位化基本原則、與增訂推動行政程序線上辦理的共通規定與配套措施之部分，主要為修正原「行政程序網路化法」，更名為「數位行政推進法（デジタル行政推進法）」，定位該法目標與功能為促進社會整體數位化，使國家、地方公共團體、民間業者、國民與其他人於從事各種社會活動時，均能享受到資通訊技術帶來的便利性。該法要求的基本原則，包含數位優先（digital first， 藉由數位手段一體化完成各項手續或服務）、免去重複提供資訊（once only，曾提供的資訊得被保留供再次使用）以及一步到位（connected one-step，謀求複數的程序或服務簡化為一步到位）。至於推動行政程序線上辦理的共通規定與配套措施，則包含要求地方公共團體須致力於達成行政程序線上辦理的目標，授權主管機關訂定得辦理網路身分認證與支付手續費等數位化法定程序、要求行政機關提出實現行政程序線上辦理與廢除紙本附件流程的資訊系統整備計畫等。 另一方面，針對各領域推展行政數位化的具體規範，該法案預備修正「居民基本簿冊法」、「官方個人認證法」以及「個人編號法」，主要內容包含：1. 保存個人電子認證資訊等相關官方服務的適用對象擴及旅外國民，同時得發行旅外國民之官方個人認證之電子證明書與個人編號卡，使其得透過網路使用相關的行政電子化服務；2. 長期且確實保存本人過去的居住遷徙紀錄，增設住民票註銷後原有相關記錄仍予以保留的「除票」制度，使國民過去的居住地紀錄，不會因為變更戶籍、依法註銷原戶籍地的住民票而消失；3. 過去使用官方個人認證之電子證明書與個人編號卡時須輸入密碼，官方個人認證法修正案則授權主管機關增設其他不需輸入密碼的使用方式，以呼應擴大電子證明書使用範圍的政策規劃；4. 賦予個人編號IC卡（マイナンバーカード）作為獨立有效之身分證明文件的地位，廢止原依法需和個人編號IC卡併用的紙本通知卡（通知カード）制度，免去個人住所等基本資料變更時，需同步更正通知卡紙本登載資訊的行政程序，減輕主管機關負擔。