美國聯邦貿易委員會（FTC）持續開鍘違約揭露用戶個資的業者
美國聯邦貿易委員會（Federal Trade Commission，FTC）根據《健康違規通知規則》（Health Breach Notification Rule，HBNR），於2023年2月1日和3月2日分別對GoodRx Holdings Inc.公司和BetterHelp, Inc.公司提出擬議命令（Proposed order）。擬議命令指經由行政機關調查案件後提出的改善建議，且經聯邦法院批准後對被調查公司生效。這兩件案例是FTC於2021年後擴大《健康違規通知規則》適用範圍從傳統的健康產業及於網路行業後的首次執法。GoodRx Holdings Inc.公司提供藥物資訊平台與折扣訊息；而BetterHelp, Inc.公司提供遠距醫療服務。兩者在2017到2020年間均向他們的消費者聲明，將妥善保護所蒐集之個資，然而卻轉手將取得個資揭露給Facebook、Snapchat和Google等第三方公司，用來進行目標式廣告的投放。
FTC對GoodRx的擬議命令要求其停止向第三方揭露使用者的個人資料，並處以支付150萬美元的罰鍰。對BetterHelp, Inc.的命令除要求其停止共享使用者的個人資料外，更要求BetterHelp, Inc.向網站的使用者進行退款，退款總額上限高達780萬美元。FTC在擬議命令中建議：涉及敏感性健康資料的事業負責人，除了需要重新檢視目前持有資料的隱私和安全性外，最好能建立一套完整的資料管理流程。流程包括對當事人充分說明蒐集利用目的、取得當事人完整的知情同意、制定完整的個人資料管理及保存銷毀程序、限制員工對資料的存取權限等等。最後也最重要的是要「信守承諾」，這兩個案例中的業者都是違反了自己當初對使用者的承諾，最終才導致被處罰的結果。
- Freshfields Bruckhaus Deringer, FTC Regulatory Enforcement Ramps Up for Digital Health Companies, LEXOLOGY, Apr. 6, 2023
- FTC to Ban BetterHelp from Revealing Consumers’ Data, Including Sensitive Mental Health Information, to Facebook and Others for Targeted Advertising, Federal Trade Commission
- On Breaches by Health Apps and Other Connected Devices, Federal Trade Commission
- (已額滿)114年「企業營業秘密保護實務座談會」(北部場)–營業秘密因應數位環境之保護風險及管理對策
- 數位經濟時代的隱私保護與商機－CBPR跨境隱私規則體系解析
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(實體)
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(直播)
- 零售業個資安全宣導暨安全維護計畫說明會（高雄場）
- 零售業個資安全宣導暨安全維護計畫說明會（台中場）
- 【台北場1】通訊傳播事業個資法遵教育訓練
- 【台中場】通訊傳播事業個資法遵教育訓練
- 【新北場】通訊傳播事業個資法遵教育訓練
- 【高雄場】通訊傳播事業個資法遵教育訓練
- 【台北場2】通訊傳播事業個資法遵教育訓練
- 114年「企業營業秘密保護實務座談會」（中部場）
- 零售業個資法遵實務與資訊安全說明會
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 零售業個資法遵實務與資訊安全說明會（台中場）
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
- 【上午場】探索科技法律最前線：資策會科法所「114年成果」分享會暨簡報票選
- 【下午場】探索科技法律最前線：資策會科法所「114年成果」分享會暨簡報票選
- 商業服務業個資管理與資訊安全實務宣導說明會（高雄場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台南場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台中場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台北場）
黃昱揚
副法律研究員 編譯整理
Freshfields Bruckhaus Deringer, FTC Regulatory Enforcement Ramps Up for Digital Health Companies, LEXOLOGY, Apr. 6, 2023, https://www.lexology.com/library/detail.aspx?g=47c93bcd-1dd7-423d-be37-56b04f877450 (last visited Apr. 12, 2023).
FTC to Ban BetterHelp from Revealing Consumers’ Data, Including Sensitive Mental Health Information, to Facebook and Others for Targeted Advertising, Federal Trade Commission, https://www.ftc.gov/news-events/news/press-releases/2023/03/ftc-ban-betterhelp-revealing-consumers-data-including-sensitive-mental-health-information-facebook (last visited Apr. 12, 2023).
On Breaches by Health Apps and Other Connected Devices, Federal Trade Commission, https://www.ftc.gov/system/files/documents/rules/health-breach-notification-rule/statement_of_the_commission_on_breaches_by_health_apps_and_other_connected_devices.pdf (last visited Apr. 12, 2023).
「國內廠商陷個資外洩風暴 消基會：TPIPAS驗證制度保護個資安全」，中央社，2023.02.08，https://www.cna.com.tw/Postwrite/Chi/334659/（最後瀏覽日：2023/05/24）。
翁芊儒，「亞太個資治理規範CBPR也有臺灣在地認證機構了！資策會建議瞄準跨國市場的企業，可建立個資法遵並自願認證」，iThome，2021.07.12，https://www.ithome.com.tw/news/145331（最後瀏覽日：2023/05/24）。
盧秉羲，〈美國NIST發布更新《網路安全資源指南》提升醫療領域的網路安全及隱私風險管理〉，資訊工業策進會科技法律研究所，2022/9，https://stli.iii.org.tw/article-detail.aspx?tp=1&d=8883&no=64（最後瀏覽日：2023/05/24）。
FTC Proposes Amendments to Strengthen and Modernize the Health Breach Notification Rule, Federal Trade Commission, https://www.ftc.gov/news-events/news/press-releases/2023/05/ftc-proposes-amendments-strengthen-modernize-health-breach-notification-rule (last visited Apr. 24, 2023).
FTC says online counseling service BetterHelp pushed people into handing over health information – and broke its privacy promises, Federal Trade Commission Blog, https://www.ftc.gov/business-guidance/blog/2023/03/ftc-says-online-counseling-service-betterhelp-pushed-people-handing-over-health-information-broke (last visited Apr. 24, 2023).
在專利領域，歐盟層級目前尚未有任何整合全體會員國內國專利法之有效法規， 1973 年訂定之歐洲專利公約（ European Patent Convention, EPC ）並非歐盟層級的法律，且 EPC 僅就歐洲專利的申請、審核及取得予以規定，至於專利權之保護，專利權人仍必須在受侵害國家自行尋求救濟，故自 1972 年起，歐盟即一直試圖整合共同體之專利規定，持續催生「共同專利規則」（草案）（ Proposal for a Council Regulation on the Community Patent ），目的是希望在歐洲層級，除了可以有統一受理及發給共同體專利之機制外，關於涉及共同體專利實體法上之解釋，亦能予以統一審理、解釋。 目前歐盟各國紛歧的專利制度，使產業維護與保護其專利權益之成本極高，且受到嚴重影響的往往是那些中小型的新創與研發行公司，若再加上其他必要費用及語言隔閡（當前翻譯費用占歐洲專利的所有申請成本的比率可能高達 20 ％）等因素一起比較，即可發現歐洲中小型企業處於競爭劣勢；相較於此，美國對雇用員工少於 300 人的企業的專利申請費用，提供高達 80 ％的補助。 由於生技產業多為中小型規模的企業，為確保這些企業的競爭力，歐洲生技產業協會（ EuropaBio ）建議歐盟參考去（ 2005 ）年 12 月 15 日 通過的「歐盟醫藥品管理局協助中小型公司發展之規則」（ Commission Regulation (EC) No 2049/2005 ）減免中小型生技製藥公司新藥上市申請規費的方式，對中小型企業之專利申請費用，亦給予折扣。 這項建議獲得歐盟執委會的支持，執委會並打算在 10 月重新提出的共同體專利規則（ Regulation on Community Patent － London Protocol ）中納入考量根據 London Protocol ，未來歐洲專利得僅以三種語言（英文、德文及法文）提出，該 Protocol 必須至少有八個國家簽署，包括法國、德國及英國，始能生效 截至目前為止，已經有十個國家（包括德國及英國）的國會同意接受該協議，其中七國並已經相關文件交存，因此一般認為 London Protocol 通過的機率極大。
英國政府宣佈將內化歐盟電子通訊隱私指令，訂定cookie相關規範歐盟電子通訊隱私指令（Directive 2002/58/EC on Privacy and Electronic Communications, e-Privacy Directive）針對cookie（即業者為辨別使用者身份而儲存在用戶端上的資料）設置的規範，於2009年修正，將在今年在5月25日之前全面施行。歐盟跟據該項規定，要求業者，當其使用cookie追蹤網路使用者的使用行為時，必須取得網路使用者的「明示同意」，且每隔一年，業者皆必須重新取得該項「同意」，網路使用者亦得隨時撤回。實務上對於該項同意究竟應由業者「主動」要求，亦或「被動」等待網路使用者以允許cookie設置方式而直接視為同意，仍有爭議。 儘管如此，英國政府仍已決定內化該指令，制定其國內cookie設置規範。英國資訊委員會（Information Commission）將提出指導原則，協助業者遵循該規範。相關政府單位，亦已開始著手協助業者重新設定網頁瀏覽器。有關當局表示，英國政府將會在歐盟限定的期限內推動此規範，不過，該歐盟指令係強制規範，業者是否能在短期內完成該規範遵循仍有疑議。針對此點，英國政府已通令其資訊委員會，對於已著手改正其隱私規範並重新設置瀏覽器的業者，即便未於期限內完成該規範遵循，亦不受罰。英國未來實施的cookie設置規範究竟會如何發展，仍待觀察。
歐盟通過網路與資訊系統安全指令歐盟於2016年7月6日公布了網路與資訊系統安全指令（Directive on Security of Network and Information Systems, NIS Directive），該指令目的是希望歐盟內之關鍵基礎服務營運商及數位服務提供者就資訊交換、合作及共通安全要求上有建立及規劃之基本能力，以提高歐盟內部市場之功能。 故至2018年11月前，各會員國須確認境內的關鍵基礎服務營運商並建立一份清單，包含能源、運輸、銀行、金融市場基礎建設、衛生部門、飲水供應及分配、數位基礎設施等部分，其判斷標準為（a）提供維持社會重要或經濟活動之服務；（b）倚賴網路或資訊系統供應之服務；（c）該服務之提供易受顯著破壞影響者。該指令之適用範圍亦納入數位服務，如線上市場、搜尋引擎及雲端服務之數位服務提供者，而上述兩者所適用之規範略有不同，如數位服務提供者在規劃資訊安全措施及資安事件發生之通知義務時，另需將其系統及設施之安全性、事件處理、業務管理之持續性、監測、稽核及測試、符合國際標準等因素列入考量。 此外，為了促進會員國間之策略合作及資訊交換，歐盟將會設立一個合作小組，亦將建立電腦安全事件因應小組（Computer Security Incident Response Teams, CSIRTs），主要負責監測國家資安事件、並對資安風險為預警、因應及分析等，另為確保各會員國彼此間在運作上之迅速與效率，並建立電腦安全事件因應小組網路（CSIRTs network），提供各會員國交換資安風險或事件相關資訊之平台。 該指令於今年8月生效，會員國須於指令生效後21個月內即2018年5月，將指令之內容適用至本國法並公布之，該指令之內容可做為我國訂定資安法規之參考。
歐盟網路與資訊安全局發布「行動支付與電子錢包安全防護」報告為因應探討並強化網路安全環境，歐盟網路與資訊安全局（European Union Agency for Network and Information Security , ENISA）2016年12月發布「行動支付與電子錢包安全防護」研究報告（Security of Mobile Payments and Digital Wallets）。歐盟網路與資訊安全局ENISA主要係因，近來行動支付興起，利用行動支付方式買賣貨品，係象徵著朝向數位化轉換趨勢，消費者希望透過更便捷的方式購物避免帶著實體錢包和一堆卡片，增加購物的不便。但是使用電子錢包和行動支付並非全然沒有安全疑慮，根據2015年的一項調查，有百分之20的美國消費者對於行動支付的過程中可能遭到有心人士擷取個人資料，這就表示此乃使用行動支付的主要擔心重點，有13%使用者擔心自己的電話遭到駭客入侵。此外根據另一項調查，針對九百名資安專家所做的調查顯示，僅有23%的的人員認為目前現有的安全機制足以防範個資外洩，但有47%的人員認為現有的機制缺乏安全性，但當中也有百分之30的回覆認為現在的安全機制是否安全不能確定。因此，目前而言，安全防護可謂是消費者最關心的重點，且對於安全的疑慮亦使得行動支付沒有辦法大量推行採用。 因此歐盟網路與資訊安全局ENISA於此報告提出了目前經確認的主要威脅有： 行動用戶的安全威脅：任意裝設惡意軟體、釣魚軟體、社交工程軟體。 行動設備威脅：行動設備遭竊或遺失與不當近用。 行動支付與電子錢包威脅：逆向工程、竄改支付軟體、使用在滲透到系統之後，會隱藏登錄項目、檔案或處理序等資源的一種軟體。 消費者威脅：POS惡意軟體、MiTM、重放攻擊。 付款服務提供者威脅：付款系統與資料連結崩潰的疑慮。 支付網路提供者威脅：代碼服務崩潰、拒絕服務。 發行商威脅：付款授權流程崩潰與代碼資料崩潰。 行動支付軟體提供者威脅：機敏個資外洩、雲端客戶資訊管理遭到入侵、代碼服務拒絕。 因此有鑑於行動支付產業目前仍在新興階段，欠缺明確標準，業者間的自主管理顯得相當重要，所以網路與資訊安全局ENISA提出了一些得以遵循的建議與標準： 消費者在使用行動支付的服務軟體時，必須採取多項最低安全防護措施。 行動主機提供業者應該確保軟體定時更新，並且修補安全上的漏洞，針對安全性與近用用戶資料的可能性部分加強。 行動支付的應用程式提供者，應該再提供服務給消費者時，同時提供消費者資訊，本應用軟體做了何種安全防護，供消費者知悉。 行動支付業者應當建立詐騙監控機制。 網路與資訊安全局ENISA提出上述建議與標準，主要係希望業者採用這樣的標準或好習慣的建議後，可以對於消費者、零售商、銀行等業者產生益處。