印度隱私權制度下兒童資料安全的保護現狀
印度電子資訊產業技術部（MeitY）2022年11月在網站上公布了個人資料資訊保護法草案（Digital Personal Data Protection Bill,以下簡稱該法案），並於2023年7月提交議會審查。目前印度民法不承認未成年人(未滿18歲者)具有自主簽訂契約的能力。因此，取得的兒童同意不具有法律效力，必須徵得父母或是監護人的同意才能合法蒐集兒童個人資料。
根據印度2022年個人資料資訊保護法案草案，任何未滿18歲的人都被歸類為「兒童」。該法案中同時限制專門向兒童發送的廣告，並且監管任何追蹤兒童行為的情況。目前國際隱私法(例如：歐盟通用資料保護條例 (GDPR)、加州消費者隱私法(CCPA)等)的兒童定義多在13至17歲之間。但考慮到兒童個人資訊的敏感性和潛在危害，印度政府採取了較保守嚴謹的路線。政府也已被授權制定有關處理兒童個人資訊的細則，特别是確保資料使用人不可使用可能對兒童造成傷害的個人資料。
根據社會發展狀況，兒童若每次在網路平台上進行活動時都需經過父母或是監護人同意不甚妥適，且根據前述說明，兒童界定年齡為18歲以下，若依照統一年齡範圍進行控管，實際執行上面臨窒礙難行之處。故修法者在對於該法案修改意見中，引用了其他國家隱私法中的不同年齡分類限制，以求降低年齡門檻限制，或是根據用戶的年齡制定差異化的授權要求。
另一個產生的爭議為，該如何驗證父母或是監護人的同意表示。法條中目前無明確規範何為「有效之同意表示」，現行各平台使用不同的方法獲得父母或是監護人的同意，目前有兩種方式，包括點選「同意」按鈕，或是在用戶條款中表示若使用服務等同於監護人同意。
關於兒童年齡之界定，是否將參考其他國家規範進行差異化設定，目前暫無明確定論(包括如何調整、年齡級距設定)，根據資訊使用的普及，兒童年齡的界定可以預期的將會進行調整；關於如何有效驗證父母或是監護人的同意表示，目前在技術上大多服務商都偏好透過會員註冊時的同意按鈕或是用戶條款中列明若使用服務即代表同意這兩種方式認定，在這兩種方式之後，系統是否有設定驗證機制，以及需要何種驗證方式才可以認定父母或是監護人的同意表示是符合法律效力的，都需後續再進行研擬。
- 零售業個資安全宣導暨安全維護計畫規劃說明會
- 數位經濟時代的隱私保護與商機－CBPR跨境隱私規則體系解析
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(實體)
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(直播)
- 零售業個資安全宣導暨安全維護計畫說明會（高雄場）
- 零售業個資安全宣導暨安全維護計畫說明會（台中場）
- 【台北場1】通訊傳播事業個資法遵教育訓練
- 【台中場】通訊傳播事業個資法遵教育訓練
- 【新北場】通訊傳播事業個資法遵教育訓練
- 【高雄場】通訊傳播事業個資法遵教育訓練
- 【台北場2】通訊傳播事業個資法遵教育訓練
- 零售業個資法遵實務與資訊安全說明會
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 零售業個資法遵實務與資訊安全說明會（台中場）
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
陳玉婷
副法律研究員 編譯整理
Privacy Week Series: Status of children's data under the Indian Privacy Regime, https://www.lexology.com/library/detail.aspx?g=8f274e5c-b564-41f9-8781-944f92731cf3 (Last visited Mar. 01, 2023)
Digital Personal Data Protection Bill: What rights does it give individuals, https://economictimes.indiatimes.com/wealth/legal/will/digital-personal-data-protection-bill-what-rights-does-it-give-individuals/articleshow/96535688.cms (Last visited Mar. 01, 2023)
The Digital Personal Data Protection Bill, 2022 – MeitY, https://pib.gov.in/PressReleasePage.aspx?PRID=1881402 (Last visited Mar. 01, 2023)
新加坡物聯網產品網路安全防護之初探 資訊工業策進會科技法律研究所 2023年06月30日 壹、事件摘要 近年物聯網（Internet of Things，簡稱IoT）產品蓬勃發展，伴隨著資通安全之威脅卻也日益加增，新加坡為此陸續訂定國內法規，以強化保障新加坡人民資訊流通之自由，並確立了網路安全標籤機制，藉以提高消費者對於物聯網產品資安的認識。另一方面，標籤制度能於消費者使用物聯網產品時，將產品受到不同層級之網路安全防護，或有別於一般用途使用等資訊，迅速傳達給消費者。據此，本文觀測新加坡近年主要的物聯網產品驗證制度與相關法規，供我國參考與借鏡。 貳、重點說明 一、新加坡物聯網網路安全法規 新加坡於2015年成立新加坡網路安全局[1]（CSA），陸續為新加坡建立完善之物聯網產品網路安全防護機制，且新加坡於2018年訂定《網路安全法》[2]，法案的第一部分已明示將「網路安全」列為實質保障內涵[3]，並明訂須透過識別與分析威脅，以有效降低網路安全威脅帶來的風險。另為提高物聯網安全性，首先於亞太地區推出物聯網產品等級評估機制，即新加坡網路安全標籤機制[4]（Cybersecurity Labelling Scheme, CLS），致力於保障新加坡的網路空間，並使消費者能夠識別符合網路安全規定之物聯網產品，以利消費者辨認選購。此外，CLS架構下設有驗證中心、通用標準以及標籤分級等措施，以強化物聯網產品資安防護為目的，也能落實《網路安全法》保障新加坡網路安全之精神。 （一）設置網路安全驗證中心[5]（Cybersecurity Certification Centre, CCC）：為驗證資安相關產品與服務之權責機關，透過CSA建置的驗證標準，成為新加坡企業採用資安產品之參考依據。 （二）建立通用標準（Common Criteria, CC）：最初是由加拿大、法國、德國、荷蘭、英國與美國等多個國家安全標準組織聯合提出，以國際標準ISO／IEC 15408（Common Criteria for Information Technology Security Evaluation）作為替代其現有安全評估標準的通用標準。由於通用標準已於國際上受多國承認，資訊服務業者若經過相關驗證時，較易被新加坡企業採用。 （三）建立網路安全標籤機制（Cybersecurity Labelling Scheme, CLS）：CSA針對智慧裝置推出網路安全標籤機制CLS，是以《網路安全法》做為上位精神而訂，但並不具強制力，而是以計畫推行之自願性認驗證機制。新加坡政府將物聯網設備根據其網路安全規定之級別進行評估分級，使消費者能夠識別符合較高等級網路安全規定的產品，並做出明智的決定。CLS共可分為4個等級（Level 1~4），第1級為產品滿足相關之基本要求（如密碼要求、提供軟體更新）；第2級為該產品係使用安全設計原則進行開發（如進行相關之威脅評估、審驗程序）；第3級為該產品經過第三方測試實驗室評估；第4級則經過第三方實驗室之滲透測試。此外，值得注意的是，新加坡亦與德國、芬蘭簽署備忘錄，以相互承認，也因此新加坡CLS網路安全標籤機制與德國的網路安全標籤制度（IT-Sicherheitskennzeichen）、芬蘭的網路安全標籤制度（Finnish Cybersecurity Label），可以進行互通使用。 參、事件評析 新加坡透對於物聯網產品之資安，透過訂定法規、成立權責機關與建立國際通用之標準與標籤機制，針對物聯網產品資安進行不同層次的保障。此外，採「驗證」方式保障人民生活不受網路威脅侵害，同時提高消費者對於物聯網產品資安之意識，可謂一舉數得之作法。而我國於物聯網產品發展以來，有政府以計畫支持「行動應用資安聯盟」提供相關物聯網產品之資安檢測認驗證標章，以供企業或消費者識別，物聯網產品經由實驗室檢測並由行動應用資安聯盟[6]審核通過後，核發合格證書及資安標章，並依照資安風險高低及安全技術實現複雜度，區分三個等級（L1~L3），分為適合一般家庭、商業用途與最高防護強度。於此認驗證機制下，已推出6項產品系列之驗證[7]，並且採消費者導向之標章，足見我國政府同樣致力於提高消費者對於物聯網產品資安防護識別之意識；但此認驗證機制或有優化空間，今後可以參考新加坡作法，擴增可進行驗證的產品項目，持續提升保障消費者選購物聯網產品之資訊知悉權，同時可參酌國際上其他重點國家之風險評估方式，以系統性建置物聯網產品資安之風險評估通用標準，以確保該制度未來有機會被其他國家直接或間接承認，為國際接軌做準備，作為今後精進物聯網產品資安之目標，方可促使我國與國際產業鏈、海外市場逐步銜接，提升產業競爭力。 [1]新加坡網路安全局CSA（Cyber Security Agency），隸屬於總理辦公室（Prime Minister’s Office, PMO），由新加坡通訊暨新聞部（Ministry of Communications and Information）管理，https://www.csa.gov.sg/，（最後瀏覽日：2023/6/30）。 [2]Cybersecurity Act 2018, Singapore Statutes Online, https://sso.agc.gov.sg/Acts-Supp/9-2018/Published/20180312?DocDate=20180312, (last visited June 30, 2023). [3]Cybersecurity Act 2018, Part 1 PRELIMINARY, 2.—(1), (i)providing advice in relation to cybersecurity solutions, including— (i) providing advice on a cybersecurity program; or (ii) identifying and analysing cybersecurity threats and providing advice on solutions or management strategies to minimise the risk posed by cybersecurity threats. [4]Cybersecurity Labelling Scheme (CLS), CSA, https://www.csa.gov.sg/our-programmes/certification-and-labelling-schemes/cybersecurity-labelling-scheme, (last visited June 30, 2023). [5]SINGAPORE CSA, Certification and Labelling Schemes, About the Cybersecurity Certification Centre (CCC), https://www.csa.gov.sg/our-programmes/certification-and-labelling-schemes, (last visited June 30, 2023). [6]行動應用資安聯盟（Mobile Application Security Alliance），關於我們〈推動架構〉，https://www.mas.org.tw/about/background，（最後瀏覽日：2023/6/30）。 [7]包含:影像監控系統、智慧巴士、智慧路燈、空氣品質微型感測裝置、消費性網路攝影機、門禁系統等項目。行動應用資安聯盟（Mobile Application Security Alliance），IoT Q&A〈聯盟負責的物聯網資安檢測認證項目有哪些？〉，https://www.mas.org.tw/iot/questAndAnswer，（最後瀏覽日：2023/6/30）。
加州立法機關提出社群媒體青少年成癮法草案，促進兒童身心福祉社群媒體是溝通資訊之重要工具。但部分社群媒體向用戶投放易使人成癮的資訊，對兒童和青少年福祉形成重大風險。據此緣由，美國加州立法機關於2024年1月29日提出社群媒體青少年成癮法草案（Social Media Youth Addiction Law），規定社群媒體除非能合理確定用戶非未成年人，或取得未成年用戶家長同意，否則不得向用戶提供易使人成癮的資訊。 該草案將網路或應用程式中，依用戶特徵或習慣，優先顯示的多片段資訊，定義為易使人成癮的資訊（addictive feed）。除非該資訊符合以下例外條件： (1) 用戶用以搜尋資訊的關鍵字不會被使用的設備記憶，且該資訊與用戶過去的社群媒體使用行為無關。 (2) 是因用戶隱私設定、設備規格、未成年人限制而呈現的資訊。 (3) 是因用戶明確要求而提供，且不易使人成癮的資訊。 (4) 是用戶間直接且非公開之通訊組成的資訊。 (5) 是同一資訊來源，且在音檔或影片形式下，不會自動連續播放的資訊。 該草案亦規定投放易使人成癮資訊的社群媒體，不得在深夜至凌晨時段、上學至放學時段，以及開學期間的週一到週五，向未成年用戶發送通知，除非已取得未成年用戶家長同意。 最後，該草案規定投放易使人成癮資訊的社群媒體每年向公眾揭露未成年用戶總數量、家長同意接收易成癮資訊的未成年用戶數量等資訊。該規定有利大眾監督社群媒體對法規之遵循情況，並促進社會對兒童、青少年身心健康的關心。
英國數位、文化、媒體暨體育部公布「家用智慧裝置消費者指引」英國數位、文化、媒體暨體育部於2018年10月14日公布「家用智慧裝置消費者指引」（Consumer guidance for smart devices in the home）。該指引之目的係因應家用之智慧及聯網設備（例如：智慧電視、音樂播放器、聯網玩具或智慧廚房等）日益普及，以及可能發生之侵害消費者個人資料之風險。 本指引提出以下方向，供消費者參考： 一. 智慧裝置之設定 (一) 應閱讀與遵循智慧設備之設定指示。 (二) 確認設備指示是否要求使用者須至製造商網站設定帳號。 (三) 若所設備預設之密碼過於簡單(例如，0000)，則應更換成較複雜之密碼。 二. 帳號管理 (一) 確保密碼複雜性。 (二) 若設備提供雙重驗證功能，消費者應使用之。 (三) 特定產品可能提供遠端存取功能，消費者應於不再家時考慮將該功能關閉。 三. 持續更新應用軟體與Apps (一) 消費者應檢查其設備是否可設定自動更新。 (二) 應安裝最新版本的軟體與Apps。 四. 若接到資安事件之通知，應採取行動 (一) 於接到資安事件通知後，應訪問製造商網站以確認其是否提供後續因應措施等資訊。 (二) 定時確認國家安全網路中心以及資訊保護委員會辦公室網站是否公布相關網路安全指引。
FCC釋出頻段供骨幹傳輸使用現行微波通訊頻段（microwave services）為固定及移動廣播輔助服務業者（Fixed and Mobile Broadcast Auxiliary Service, BAS）及有線電視中繼服務業者（Cable TV Relay Service）於新聞採訪時節目傳輸使用。 而一般基地台與核心網路間的傳輸係藉由銅線或光纖。在FCC解除法規管制後，將可允許固定服務業者（fixed service）於未有執照之區域使用此頻段，而不會造成既有業者的干擾。可使用6875-7125 MHz及12700-13100 MHz頻段，總計達650Mhz。固定服務業者可用於基地台中程傳輸（middle mile）使用，並可加快4G網路佈建目標。FCC估計此範圍涵蓋50%國土面積及10%之人口。 FCC放寬之管制內容如下︰ 1.取消「最後連結」（final link）規範-使業者得以微波通訊來進行內容傳輸，且可減少設施的重複佈建。 2.允許適性調變（Adaptive Modulation）-允許固定服務業者在訊號不良時可減慢傳輸速度，以維持通訊連線。 3.不得架設輔助式基地台（Auxiliary station）-因FCC尚未有明確證據顯示當輔助式基地台與主要基地台共存時，是否造成干擾。因此不得架設輔助式基地台。