加州針對18歲以下兒童通過兒童隱私保護法
加州州長Gavin Newsom 早先簽署了《加利福尼亞州適齡設計法》（California Age-Appropriate Design Code Act AB 2273，以下簡稱該法），2023年4月28日，倡議團體與聯邦政府官員提交一份意見陳述以支持該法，預計於2024年7月1日生效；針對提供線上服務、產品給18歲以下加州兒童的企業進行管制。
該法的適用範圍：
1. 倘若企業提供的線上服務、產品或功能符合以下條件，則受該法所規範：
(1) 提供服務的對象為兒童（年齡於13歲以下的孩童）之網路服務商。
(2) 所提供之服務包括兒童經常瀏覽的網站，或者確定是廣泛被兒童使用的線上服務、產品或功能。
2. CPRA（California Privacy Rights Act）所規範之「企業」，是位於加州並蒐集加州居民個人資料的營利性組織，其須滿足以下條件之一：
(1) 年度總收入超過 25,000,00美元，或是每年單獨或聯合購買、出售或共享100,000名以上加州居民或家庭的個人資料，或者年收入的50％以上來自出售或共享加州居民的個人資料。
(2) 該法不適用於網路寬頻服務、電信服務或實體買賣行為。
一. 規範內容
1. 資料保護影響評估：企業針對所營事業須完成資料保護評估，且必須每兩年自主進行資料安全確認。
2. 最高級別隱私權設置：企業對於兒童使用者，須預設最高等級之隱私權設置及保護。
3. 隱私政策和條款：企業必須簡明的提供隱私政策、服務條款和明確標準，並使用與兒童年齡相符的清晰語言，以便兒童理解語意。
(1) 將兒童依據年紀分為：0至5歲為「早期識字階段」、6至9歲為「核心小學階段」、10至12歲為「過渡階段」、13歲以上為「早期成年階段」。
(2) 定位服務：要求企業在兒童的活動或位置受到父母、監護人或其他消費者的監控或追蹤時，向兒童明確提醒。
該法針對兒童制定嚴謹的法規予以保護，確保兒童個人資料不會在沒有認知的情況下，因使用服務而被蒐集、處理及利用。該法特殊的地方為，對於未成年人進一步區分不同年齡段，若有明確區分出並針對各年齡段進行不同的告知事項設計，將更易使閱讀之未成年人明確了解個資告知內容，應值贊同。
- 零售業個資安全宣導暨安全維護計畫規劃說明會
- 數位經濟時代的隱私保護與商機－CBPR跨境隱私規則體系解析
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(實體)
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(直播)
- 零售業個資安全宣導暨安全維護計畫說明會（高雄場）
- 零售業個資安全宣導暨安全維護計畫說明會（台中場）
- 【台北場1】通訊傳播事業個資法遵教育訓練
- 【台中場】通訊傳播事業個資法遵教育訓練
- 【新北場】通訊傳播事業個資法遵教育訓練
- 【高雄場】通訊傳播事業個資法遵教育訓練
- 【台北場2】通訊傳播事業個資法遵教育訓練
- 零售業個資法遵實務與資訊安全說明會
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 零售業個資法遵實務與資訊安全說明會（台中場）
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
陳玉婷
副法律研究員 編譯整理
California Passes Another Privacy Law, this Time for Children Under 18, https://www.lexology.com/library/detail.aspx?g=5137b2a1-5933-463f-88f9-2296f2d5b56a (Last visited Mar. 01, 2023 )
California Consumer Privacy Act (CCPA), https://oag.ca.gov/privacy/ccpa (Last visited Mar. 01, 2023 )
California Privacy Rights Act (CPRA), https://www.cookiebot.com/en/cpra/ (Last visited Mar. 01, 2023 )
Children's Online Privacy Protection Rule (COPPA), https://www.ftc.gov/legal-library/browse/rules/childrens-online-privacy-protection-rule-coppa (Last visited Mar. 01, 2023 )
迪士尼、20世紀福克斯、環球影城、哥倫比亞和華納兄弟於2011年2月向美國佛羅里達州南部法院起訴，控告Hotfile網站非法、大規模侵害其享有的著作權。美國電影協會（the Motion Picture Association of America, MPAA）於新聞稿中聲明，Hotfile以數位方式大規模的侵害他人著作權，而其經營人亦未馬上有效處理該侵權爭議。 Hotfile係近二年來提供電腦檔案寄存最熱門的網路空間（cyberlocker）服務業者之一，主要的業務在提供民眾一藏塞夾（stash box）儲存其私人影片。網路空間（cyberlocker）服務業者擁有龐大的儲存設備，並提供有限上傳檔案空間、檔案寄存時間及下載速度之免費服務，為雲端服務之一種形式，其主要收入是廣告或用戶付費，以維持營運。跟BitTorrent不同的是，cyberlocker無需下載任何軟體即可資訊共享，用戶只要上cyberlocker網站即可直接觀賞影片或電視節目。 MPAA在聲明中表示，Hotfile以支付費用之獎勵方式，鼓勵其會員上傳並散布受著作權保護之最熱門的電影或電視節目到Hotfile網站，任何人均可透過網路連結，到Hotfile網站下載受著作權保護之電影或電視節目。Hotfile並向下載該電影或電視節目之會員收取費用，卻未向所上述電影公司支付任何費用。原告（電影公司）因此對被告Hotfile訴請損害賠償及禁制令。 Hotfile提供上傳空間的網站用戶和流量近幾個月迅速增加，但該網站是否會因為原告（電影公司）向法院訴請損賠及禁制令，而支付巨額賠款或停止網路服務，則需視該案訴訟之發展情況。
美國發布防止特定國家存取大量敏感個人資料與政府相關資料之行政命令美國總統拜登於2024年2月28日簽署了防止特定國家存取美國人大量敏感個人資料與美國政府相關資料之第14117號行政命令（Executive Order on Preventing Access to Americans’ Bulk Sensitive Personal Data and United States Government-Related Data by Countries of Concern，E.O. No. 14117），目的是為了防止敏感個人資料與政府資料大規模轉移至「受關注國家」或其所涉人員，主要以「受關注國家」、「受規範對象」、「資料類型」、「禁止行為」與相關豁免規定等項目，進一步授權司法部訂定規範，而美國司法部已於2024年3月5日在〈聯邦公報〉公布行政命令之擬制法規制定預告（Advance Notice of Proposed Rulemaking，下稱ANPRM），並於公布後45日內蒐集意見，內容簡述如下： 1.受關注國家：中國（包括香港及澳門）、俄羅斯、伊朗、北韓、古巴、委內瑞拉等可能造成美國國家安全重大風險之國家。 2.受規範對象：由受關注國家所掌控之實體及具有契約關係之人或實體，或以該等國家為主要居住地之外國人等皆屬之。 3.資料類型：本次ANPRM定義了大量敏感個人資料與政府相關資料，並公布「大量」（bulk）之參考值，將受規範個人識別指標、地理位置和相關感測器數據、生物特徵識別指標、基因組資料、個人健康資料、個人金融資料等6大類資料，用以詮釋敏感個人資料；而資料涉及美國聯邦政府（含軍方）所控制之敏感位置皆屬政府相關資料。 4.禁止行為：涉及受關注國家、受規範對象以及符合上述資料類型之資料交易行為，皆被列為禁止行為，例如：透過簽訂服務或投資協議、供應或僱傭契約而進行之資料交易行為等情形，但也由於適用範圍較廣，因此訂有豁免規定，例如：美國政府為履行公務而由僱員、承包商因公務所為之資料交易行為則可受豁免。 我國作為全球重要的高科技產業供應鏈之一員，因地緣關係與部分受關注國家進行產品製造供應或貿易往來，故可能受此行政命令之影響，ANPRM未來修訂方向值得我國持續關注其後續發展。
全球Open Data成功及挑戰之關鍵報告根據全球資訊網基金會（World Wide Web Foundation）及英國開放資料協會（Open Data Institute）指出，全球77個國家正進行Open Data政府開放資料政策，但實際運作上，各國政府提供公眾近用之資料集佔不到全世界政府資料的10%，呈現各國Open Data政策實行還有很大進步空間。 全球資訊網基金會與英國開放資料協會所合作的網絡平台－政府開放資料研究網絡（Open Data Research Network），針對各國政府開放資料執行狀況進行評比並提出Open Data Barometer研究報告。此報告指出，英國政府開放資料執行及成效排名第一，其次排名陸續為美國、瑞典、紐西蘭、丹麥、挪威。除此之外，專以倡導開放知識、資料、內容的國際非政府組織，開放知識基金會（Open Knowledge Foundation），則提出基於Open Data可用性及近用性進行70個國家的排名，英國仍是第一名，其次為美國、丹麥、挪威、荷蘭。從上述兩項研究報告中，英國在Open Data政策落實的成效受到高度肯定，而歐美地區仍在Open Data政策實行上領先世界其他地區的國家。 Open Data Barometer研究報告指出，目前各國政府傾向不提供具潛在爭議性的政府資料，但此類資料往往具再利用價值，例如政府財政預算及交易資料、公司登記、土地登記等相關資料。全球資訊網創始人Berners Lee表示，政府及企業不應考量提供資料集而無法收取費用，或有意掩蓋政治敏感之資料來保護政治利益，而對於公布會造就人民生活的重大進步但具爭議性之資料集，感到卻步。 目前多數國家開放資料之機器可讀性資料與資料集之免費授權（Open License）皆少於7%，報告中說明全球資料集實際可用性仍偏低，亦發現各國提供資料之收費不僅沒有效率，資料再利用授權關係也不明確，使得企業及使用者處在法律不確定之風險中。 全球面對開放資料的進展雖已有初步成效，但成功經驗仍集中在歐美國家，世界上其他國家在開放資料的可用性及近用性，仍與歐美國家有顯著差距，為能促進全球人民生活福祉及活絡商機，各國政府應更積極地執行開放資料政策，並持續改進。
歐盟、中國第三方支付立法簡介歐盟、中國第三方支付立法簡介 科技法律研究所 2013年4月1日 壹、事件摘要 自2010年起，國內便不斷湧現訂立第三方支付專法的呼聲，希望主管機關開放第三方支付相關業務，並立法給予第三方支付明確的法律地位，以提升產業發展環境，滿足產業發展需求。事實上，第三方支付服務在國外已有多國立法規範，如中國、歐盟、日本、美國、新加坡、香港、泰國、馬來西亞等等。有將第三方支付定位為資金傳輸業者，或強調是「非銀行」的金融服務業者，著重於第三方支付服務的支付清算功能。多數國家的第三方支付主管機關為金融監理單位或者是中央銀行，如日本金融廳，英國金融服務局(Financial Service Authority，FSA)，新加坡金融管理局(Monetary Authority of Singapore，MAS)，中國、馬來西亞、泰國央行。礙於篇幅，本文以下僅就歐洲以及中國規範做介紹。 貳、重點說明 一、歐盟 第三方支付服務為歐盟2007年「支付服務指令(Payment Service Directive，簡稱PSD) 」所規範的「支付服務(payment service)」，第三方支付服務業者為指令所稱之「支付機構(payment institution)」。依照PSD第5條規定，支付機構欲進行營業必須要依照會員國國內法向會員國相關主管機關提出核准申請。以英國而言，英國的主管機關是「金融服務局(Financial Service Authority)」。 以下說明重要規範。 (一)創辦資本(initial capital)最低金額： 依照第6條，支付機構具有最低創辦資本額限制，網路支付機構的最低資本額限制為五萬歐元。 (二)資本維持義務(Own funds)： 依照第8條規定，支付機構必須要繼續持有一定數額的資金，至於應持有的金額，以下述三標準判定，如果下述三標準判定出的金額低於前述創辦資本的金額，則以創辦資本的金額為應持有資金的數目： 1.前一年度固定經常費用(overhead)的10%。 2.依照前年月平均處理金額的一定比率決定。 3.依照前一會計年度利息收入、利息支出、所收取的費用以及其他營運收入的總和，按比例提存之。如果實際無前一會計年度資料，可採取預估值。 (三)資金防護義務(safeguarding requirements)： 依照第9條規定，支付機構對於自消費者所收取的代收轉付資金，必須要提供下述防護措施，原則上只要滿足其一即可。對於個別支付金額超過600歐元的消費者，指令認為會員國的主管機關可以要求對於這類大額消費者單獨提供防護措施。 1.專用存款帳戶： 消費者的資金不得與其他資金混同，支付機構一旦收取代收轉付資金即須將之存入獨立的帳戶，或者是投資於由會員國指定的低風險、流動性佳的資產。 2.破產隔離： 應依照會員國的國內法，基於消費者的利益做好破產隔離工作，排除支付機構的其他債權人對代收轉付資金主張權利。 3.保險： 為消費者的代收轉付資金投保，或者是提供其他來自保險公司或者是信用機構同等效力的擔保，在支付機構無法履行其財務責任時進行理賠。 (四)資料保存義務(Record-keeping)： 依照第19條規定，會員國應要求支付機構妥善保存交易資料，保存義務期限至少五年。 (五)洗錢防制義務： 依照第5條規定，支付機構在申請核准時，需要提供公司治理以及內部控制規劃架構，其中第f款指出，支付機構須提出符合Directive 2005/60/EC以及Regulation (EC) No 1781/2006關於防制洗錢以及恐怖組織金融活動(terrorist financing)的內部控制機制。 (六)書面締約義務： 依照第41條規定，支付服務提供者必須要與支付服務使用者就第42條所規定的事項以紙本或者是其它可永久保存的媒體(durable medium)進行締約。第41條並要求支付服務提供者應在契約中使用淺顯易懂的文字，並以支付服務提供者所在國的官方語言或者是雙方同意使用的語言進行。第42條所規定的契約要項除了雙方的姓名之外，必要規定事項包含費用說明、支付服務使用所需的系統說明等等，除了必要規定事項，雙方也可以約定支付服務的支付金額限制，或者是依照第55條約定服務提供者得基於支付工具安全的理由限制支付工具的使用，例如發生可疑交易或詐欺事件而封鎖使用者，暫停其使用權限。 二、中國 中國人民銀行在2010年發布了「非金融機構支付服務管理辦法」，依照該法第2條規定，網路支付為該法所稱之非金融機構支付服務。非金融機構提供支付服務，應當向中國人民銀行申請取得「支付業務許可證」成為支付機構，未按規定申請者將被處以行政罰，嚴重者會被處以刑罰。支付業務許可證的有效期限五年，達五年期限者得於期滿前半年申請續展。 (一)最低資本額要求： 依照第9條規定，想要在中國全國境內提供支付服務者，最低註冊資本額為1億元人民幣；想要在中國單一省，或自治區、直轄市範圍內提供不跨境的支付服務者，最低註冊資本額應達3000萬元人民幣。最低註冊資本額為實繳貨幣資本，應於申請支付業務許可證時全數繳足。 (二)洗錢防制義務： 依照第8條規定，許可證申請人在申請時必須要提出符合相關法令要求的反洗錢措施。依照「非金融機構支付服務管理辦法實施細則」第4條規定，所謂的「反洗錢措施」，包括反洗錢內部控制、客戶身份識別、可疑交易報告、客戶身份資料和交易記錄保存等預防洗錢、恐怖融資等金融犯罪活動的措施。依照第44條規定，支付機構如果沒有履行反洗錢義務，中國人民銀行將可依據相關的反洗錢法規進行處罰，嚴重者得撤銷其支付業務許可證。 (三)服務使用者真實身分查核義務： 支付服務的使用者在註冊時必須要提供真實的身分資料。依照第31條規定，支付機構應該要對於客戶所提出的資料比對其有效的身分證件或者是其它的身分證明文件，並且進行登記。 (四)支付服務協議書面簽約義務： 支付機構應該與客戶就雙方之間的權利義務、糾紛處理原則以及違約責任等等事項簽訂協議。支付協議可以紙本也可以電子方式呈現，依照「非金融機構支付服務管理辦法實施細則」第32條規定，支付服務協議「包括符合法律法規要求、可供調取查用的紙質形式或數據電文形式的合同。」，與我國電子簽章法第四條關於以電子文件作為法律「書面」要件的規定相似。 (五)專用存款帳戶開立義務： 依照第26條規定，支付機構收受服務使用者的資金後，必須要將資金存入在商業銀行所開立的「備付金專用存款帳戶」。一個支付機構只能在一家商業銀行開立一個備付金專用存款帳戶。另外特別指出，依照第24條規定，客戶備付金非支付機構之自有財產，支付機構只能根據客戶的指示轉移備付金，不得自行挪作他用。 (六)資本維持義務： 依照第30條規定，支付機構的實際持有資本不能低於日處理金額的10%，日處理金額以90天內每日日中的平均餘額計之。 (七)資料保存義務： 依照第34條規定，支付機構應該要妥善保管客戶身分資料、支付業務資料以及會計檔案等資料。依照實施細則第39條，資料保存義務至少為五年。 (八)報表提交義務以及受查義務： 依照第20條，支付機構有義務向中國人民銀行提交支付業務統計報表以及財務會計報表。另外依照第35條，支付機構有義務配合中國人民銀行定期和不定期的現場檢查以及非現場檢查。 參、事件評析 綜整歐盟以及中國立法例，管制重點為確保業者具有償債能力和營運能力以及洗錢犯罪防制，要求經營需事先申請許可並另外輔以查核等機制。共通管制規範如下： (一)洗錢防制要求： 皆要求業者必須要具備內部洗錢防制措施，對外則需要與主管機關密切配合。 (二)償債能力備置要求： 要求服務提供者維持一定的資金水位，以避免服務提供者發生賠償責任時無償債能力。歐洲另輔以金融保證或保險，或是以其它方式進行風險隔離。 (三)專用存款帳戶： 歐盟與中國皆要求開立專用存款帳戶，避免與服務提供者的資金混同，明確帳務。 (四)代收資金運用限制： 業者收取之待轉資金限用於服務使用者指示之移轉，如准予用作投資，也僅限投資於低風險產品，且投資總額必須要依一般會計準則將資金水位維持在代收轉付資金的帳面價值之上。 (五)資料保存義務： 為了滿足洗錢防制追查的需求，要求業者對於交易資料進行保存的工作。無獨有偶，歐盟以及中國的保存義務年限都是至少五年。 (六)書面簽約義務： 為了保障消費者，要求業者以契約明確列出服務提供的要項以及雙方的權利義務關係。契約需為書面，以電子方式為之應符合各國以電子為書面的法律要件。