歐洲議會全體會議投票通過《資安韌性法》草案，以提高數位產品安全性
歐洲議會於2024年3月12日全體會議投票通過《資安韌性法》（Cyber Resilience Act）草案，後續待歐盟理事會正式同意後，於官方公報發布之日起20天後生效。該草案旨於確保具有數位元件之產品（products with digital elements, PDEs）（下簡稱為「數位產品」）具備對抗資安威脅的韌性，並提高產品安全性之透明度。草案重點摘要如下：
一、數位產品進入歐盟市場之條件
課予數位產品之製造商及其授權代理商、進口商與經銷商法遵義務，規定產品設計、開發與生產須符合資安要求（cybersecurity requirements），且製造商須遵循漏洞處理要求，產品始得進入歐盟市場。
二、數位產品合規評估程序（conformity assessment procedures）
為證明數位產品已符合資安及漏洞處理要求，依數位產品類別，製造商須對產品執行（或委託他人執行）合規評估程序：重要（無論I類或II類）數位產品及關鍵數位產品應透過第三方進行驗證，一般數位產品得由製造商自行評估。通過合規評估程序後，製造商須提供「歐盟符合性聲明」（EU declaration of conformity），並附標CE標誌以示產品合規。
三、製造商數位產品漏洞處理義務
製造商應識別與記錄數位產品的漏洞，並提供「安全更新」（security updates）等方式修補漏洞。安全更新後，應公開已修復漏洞之資訊，惟當製造商認為發布相關資訊之資安風險大於安全利益時，則可推遲揭露。
四、新增開源軟體管理者（open-source software steward）之義務
開源軟體管理者應透過可驗證的方式制定書面資安政策，並依市場監管機關要求與其合作。當開源軟體管理者發現其所參與開發的數位產品有漏洞，或遭受嚴重事故時，應及時透過單一通報平臺（single reporting platform）進行通報，並通知受影響之使用者。
- Cyber Resilience Act: MEPs adopt plans to boost security of digital products, European Parliament (2024)
- European Parliament legislative resolution of 12 March 2024 on the proposal for a regulation of the European Parliament and of the Council on horizontal cybersecurity requirements for products with digital elements and amending Regulation (EU) 2019/1020 (COM(2022)0454 – C9-0308/2022 – 2022/0272(COD)), European Parliament (2024)
- 零售業個資安全宣導暨安全維護計畫規劃說明會
- (已額滿)114年「企業營業秘密保護實務座談會」(北部場)–營業秘密因應數位環境之保護風險及管理對策
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(實體)
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(直播)
- 【台北場1】通訊傳播事業個資法遵教育訓練
- 【台中場】通訊傳播事業個資法遵教育訓練
- 【新北場】通訊傳播事業個資法遵教育訓練
- 【高雄場】通訊傳播事業個資法遵教育訓練
- 【台北場2】通訊傳播事業個資法遵教育訓練
- 114年「企業營業秘密保護實務座談會」（南部場）
- 114年「企業營業秘密保護實務座談會」（中部場）
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
柯郁萱
副法律研究員 編譯整理
Cyber Resilience Act: MEPs adopt plans to boost security of digital products, European Parliament (2024), https://www.europarl.europa.eu/news/en/press-room/20240308IPR18991/cyber-resilience-act-meps-adopt-plans-to-boost-security-of-digital-products (last visited Mar. 29, 2024).
European Parliament legislative resolution of 12 March 2024 on the proposal for a regulation of the European Parliament and of the Council on horizontal cybersecurity requirements for products with digital elements and amending Regulation (EU) 2019/1020 (COM(2022)0454 – C9-0308/2022 – 2022/0272(COD)), European Parliament (2024), https://www.europarl.europa.eu/doceo/document/TA-9-2024-0130_EN.html#title2 (last visited Mar. 29, 2024).
Cyber Resilience Act - Questions and Answers*, European Commission (2023), https://ec.europa.eu/commission/presscorner/detail/en/qanda_22_5375 (last visited Mar. 29, 2024).
陳政陽，〈新加坡物聯網產品網路安全防護之初探〉，資策會科技法律研究所，2023年6月30日，https://stli.iii.org.tw/article-detail.aspx?tp=1&d=9061&no=64（最後瀏覽日：2024/03/29）。
張瀠心，〈歐盟推出《網路韌性法案》補充歐盟網路安全框架〉，資策會科技法律研究所，2022年12月，https://stli.iii.org.tw/article-detail.aspx?tp=1&d=8915&no=64（最後瀏覽日：2024/03/29）。
新加坡智財爭議解決中心發展與評析 科技法律研究所 法律研究員 羅育如 2015年05月07日 壹、前言 在全球化競爭的趨勢下，各國若僅憑國家資本與生產力作為基礎，已難在國際上殺出重圍、嶄露頭角。由此可知，「創意」與「創新」是激化國家競爭力之泉源，而「智慧財產權」則是此泉源之力量匯集，更是提升國家競爭力之強效手段 。 新加坡政府於2013年3月份提出IP (Intellectual Property) Hub Master Plan 10年期計畫[1]，目標是成為亞洲智慧產權中心。計畫設有六大策略，本文以下針對【策略四：透過強化智財法院以及智財紛爭解決替代方案之能力，打造新加坡成為智財爭議解決中心】進行觀察。目的在於了解新加坡如何透過提高智財法庭行政效率以及推動智財爭議解決替代方案，以吸引權利人選擇新加坡做為智財爭議解決地點。 貳、智財爭議解決中心重點說明 發生智財爭議時，權利人大多會依據產品主要銷售市場或是智財權申請地來選擇爭議解決地點，從而目前智財訴訟多以美國與中國大陸為重點戰場，新加坡智財法院所承受案件相對稀少[2]。對此，新加坡政府認為，新加坡司法制度擁有具透明度、效率與中立的國際名聲，加上許多跨國企業皆在新加坡設立分部，使得法院之判決有在新加坡執行之機會[3]，因此只要提升新加坡智財法院的能力，新加坡就有機會成為智財爭議解決中心。 為了達成目標，新加坡從兩個面向切入，一是強化新加坡智財法院能力，以吸引更多智財訴訟在新加坡進行；二是強化新加坡執行智財爭議解決替代方案的能力，以吸引更多爭議解決替代能在新加坡執行，以下分別說明。 一、強化新加坡智財法院能力 (一)建立更有效率的行政流程 2013年9月新加坡最高法院註冊處(Registrar of the Supreme Court)公布智財法院方針(IP Court Guide)[4]，內容包括法官將會參與所有的中間上訴程序(interlocutory appeals)、審前會議(pre-trial conference；PCTs)以及責任審訊(the trial on liability)。 在排期審訊之前，需要完成的審前會議(PCTs)包括：1.當事人之首席律師必須親自向IP法官說明本案關鍵爭議點。2.每個案件設立專門管理的資深助理主簿(senior assistant registrar)負責其他的PCTs聽審，而助理主簿(assistant registrar)則會負責這個IP案件所有的中間上訴申請。 另外，智財法院也提供技術專業意見的技術鑑定專家（assessors）以及可提供法律專業意見的法庭之友（amicus curiae）名單，當事人可提出自己的候選者，以便法官諮詢技術上與法律上的專業意見[5]。 這樣的法院審理流程修改，對當事人而言，將被分配到專屬的主簿負責案件資訊，可提供當事人方便追蹤審理流程及進度。對審理法官而言，在進入真正審理之前，也已經透過PCTs的幫助，了解整個案件內容、各方說法以及提具的證據資料。法官將能盡早熟悉案件，增進審理效率，並透過法庭之友與技術鑑定專家取得專業意見，整體提升效率及審理品質。 (二)設立亞洲唯一國際商業法庭(SICC) 新加坡律政部於2014年10月向新加坡國會提出新加坡憲法修正案和最高法院司法權法案，為2015年1月成立之國際商業法庭（Singapore International Commercial Court，SICC）奠定法律正當性。 SICC是亞洲唯一的國際商業法庭，隸屬於新加坡高等法院下，其判決效力與新加坡最高法院相同，主要工作目標在於解決來自亞洲的跨境貿易和投資產生的國際商業訴訟糾紛，包括商業糾紛及專利訴訟等。 SICC相較於新加坡最高法院以及新加坡國際仲裁中心(SIAC)的主要區別包括： 1.由新加坡法官及外國資深法官共同組成審判團隊 SICC審判團隊不僅包括新加坡高等法院的法官，還包括定期合約的助理法官(Associate Judges)[6]，這些助理法官可以來自新加坡也可來自其他國家的外國法官，外國法官通常是其他國家具有豐富經驗且有名望的資深法官[7]。 2.可委託國外合格律師[8]出庭 新加坡高等法院只能由新加坡有執業資格的律師出庭，但在SICC法庭，各當事方可委託並由外國律師代表出庭。 若該糾紛為離岸案件[9]，各當事方可以委託註冊外國律師代理，而無需新加坡當地律師的任何參與。相反地，若所涉糾紛並非離岸案件，註冊外國律師則僅有權代表當事方，就外國法部分提供意見。在非離案案件中，仍可在新加坡當地律師處於主導地位前提下，外國律師仍可以共同代理人（而非僅是外國法專家身分）出庭。 此新規定因首次允許外國律師代表客戶在新加坡法院出庭而極具突破性。 3.外國法的選擇與證據法則的適用 SICC不受新加坡證據法則的約束，可依當事方的申請，選用其他國家之證據法則。 二、強化新加坡執行智財爭議解決替代方案的能力 新加坡1991年成立新加坡仲裁與調解中心(Singapore International Arbitration Centre；SIAC)，為了更積極的提升仲裁能力，於2001年與世界智慧財產權組織(WIPO)協議在新加坡設立亞洲唯一辦事處及新加坡WIPO仲裁與調解中心(The WIPO Arbitration and Mediation Center Singapore Office)，以協助提升新加坡智財仲裁能力。 在此基礎上，2014年11月新加坡政府再增設國際調解中心(Singapore International Mediation Centre；SIMC)，SIMC的特色在於除了調解業務(mediation)之外，新增「仲裁中調解(arbitration-mediation-arbitration；Arb-Med-Arb)」的服務，豐富新加坡智財爭議解決替代方案之多樣化選擇性。 「仲裁中調解」流程為，當事人為解決爭議，先啟動仲裁程序，在仲裁程序進行過程中，仲裁員對案件進行調解，調解不成或調解成功後，再恢復進行仲裁程序。爭議雙方可以透過「調解」建立和解共識，再透過「仲裁」使得雙方和解共識有法律效力。相較於單獨使用「仲裁」，將更節省金錢與時間成本；相較於單獨使用「調解」，則有法律執行效力。 參、評析 新加坡目前由SIMC與SIAC共同執行調解服務、仲裁中調解服務、仲裁服務，提供更多元的爭議解決替代方案及能力；再由SICC與新加坡智財法院提供執行智財訴訟審理，已建立完整的智財爭議解決服務流程。 在實踐的過程中，新加坡勇於突破現況，提出憲法修憲案以及司法修改案，讓SICC能有法律正當性地位。並建立新加坡智財爭議解決中心完整服務範疇，包括新加坡國際調解中心的調解服務以及仲裁中調解服務；新加坡國際仲裁中心的仲裁服務；新加坡最高法院之智財法院訴訟服務以及國際商業法庭提供之外國律師、依據外國證據法則、外國法官審理的國際商業爭議訴訟服務。 但是，SICC缺點為其作出的判決可能難以跨境執行，SICC作出的判決為新加坡高等法院的判決，可能因為缺少類似《承認和執行外國仲裁裁決公約(紐約公約)》的立法而無法像新加坡國際仲裁中心(SIAC)作出的仲裁裁決那樣易於執行。 綜上所述，新加坡政府改革態度是確定發展方向並評估執行障礙後，就進行修法及設定專責單位負責專責工作事項，這是大刀闊斧的行政效率，但相對而言，市場是否已經跟上政府的行政效率，或是政府的行政方向是否符合市場實際的趨勢，則還有待時間考驗。 [1] IP HUB MASTER PLAN：Developing Singapore as a Global IP Hub in Asia http://www.ipos.gov.sg/Portals/0/Press%20Release/IP%20HUB%20MASTER%20PLAN%20REPORT%202%20APR%202013.pdf [2] 2014年(直至10/17)新加坡智財法院結案12件案件、2013年智財法院結案8件案例、2012結案7件、2011年21件案例、2010年15件案例。以上的案例皆為商標爭議案例。http://www.ipos.gov.sg/Services/HearingsandMediation/LegalDecisions.aspx(最後瀏覽日2014/10/17) [3] 劉孔中，2014/10/16至資策會科法所創智中心演講內容。 [4] New IP Court Guide from 6 September 2013 http://www.allenandgledhill.com/pages/publications.aspx?list=LBulletinAreas&pub_id=409&topic=Legal+Bulletin+September+2013 [5] 兩造於審理開始前便需要同意共同負擔技術或法律專家提供專業意見之相關費，然針對勝訴的一方要求敗訴一方支付錢術相關費費用的權利仍得以保留。 [6]助理法官的合約是固定時間的，且不享有終身職，並根據需要特定的工作天數計算報酬，為了建構這個制度，新加坡政府甚至修改憲法Article 94(4) of the Constitution。 [7]任何由新加坡國際商業法庭管轄的案件均將由獨任法官或三名法官進行審理，SICC首任11位國際法官的任期為三年，其中涵蓋大陸法系的法官以及英美法系的法官，包括Bernard Rix（英國和威爾士）和Anselmo Reyes （香港），他們都是各自法域下享有頗高威望且經驗相當豐富的海事海商法官。 [8]外國合格律師是指未取得新加坡律師執業資質，但已在世界任一其他法域取得律師執業資質（並獲得其執業法域相關部門頒發的證書），並符合從事出庭律師職業滿五年；且可熟練運用英語進行訴訟所有條件的律師。 [9]所謂離岸案件是指該案件由於下列原因之一與新加坡無任何實質性聯繫，即：新加坡法律並不適用於該糾紛，且糾紛的標的不受新加坡法律規範，也不由新加坡法律管轄；或者該糾紛與新加坡唯一的連接點在於，各當事方選擇新加坡法律為糾紛適用法律，並將糾紛提交新加坡國際商業法庭管轄。
南韓個資保護委員會發布人工智慧（AI）開發與服務處理公開個人資料指引南韓個資保護委員會（Personal Information Protection Commission, PIPC）於2024年7月18日發布《人工智慧（AI）開發與服務處理公開個人資料指引》（인공지능(AI) 개발·서비스를 위한 공개된 개인정보 처리 안내서）（以下簡稱指引）。該指引針對AI開發與服務處理的公開個人資料（下稱個資）制定了新的處理標準，以確保這些資料在法律上合規，且在使用過程中有效保護用戶隱私。 在AI開發及服務的過程中，會使用大量從網路上收集的公開資料，這些公開資料可能包含地址、唯一識別資訊（unique identifiable information, UII）、信用卡號等個資。這些公開的個資是指任意人可藉由網路抓取技術自公開來源合法存取的個資，內容不限於個資主體自行公開的資料，還包括法律規定公開的個資、出版物和廣播媒體中包含的個資等。由於公開資料眾多，在現實中很難在處理這些公開個資以進行AI訓練之前，取得每個個資主體的單獨同意及授權，同時，南韓對於處理這些公開個資的現行法律基礎並不明確。 為解決上述問題，PIPC制定了該指引，確認了蒐集及利用公開個資的法律基礎，並為AI開發者和服務提供者提供適用的安全措施，進而最小化隱私問題及消除法律不確定性。此外，在指引的制定過程中，PIPC更參考歐盟、美國和其他主要國家的做法，期以建立在全球趨勢下可國際互通的標準。 指引的核心內容主要可分為三大部分，第一部分：應用正當利益概念；第二部分：建議的安全措施及保障個資主體權利的方法；及第三部分：促進開發AI產品或服務的企業，在開發及使用AI技術時，注意可信任性。 針對第一部分，指引中指出，只有在符合個人資料保護法（Personal Information Protection Act, PIPA）的目的（第1條）、原則（第3條）及個資主體權利（第4條）規定範圍內，並滿足正當利益條款（第15條）的合法基礎下，才允許蒐集和使用公開個資，並且需滿足以下三個要求：1.目的正當性：確保資料處理者有正當的理由處理個資，例如開發AI模型以支持醫療診斷或進行信用評級等。2.資料處理的必要性：確保所蒐集和利用的公開資料是必要且適當的。3.相關利益評估：確保資料處理者的正當利益明顯超越個資主體的權利，並採取措施保障個資主體的權利不被侵犯。 而第二部分則可區分為技術防護措施、管理和組織防護措施及尊重個資主體權利規定，其中，技術防護措施包括：檢查訓練資料來源、預防個資洩露（例如刪除或去識別化）、安全存儲及管理個資等；管理和組織防護措施包括：制定蒐集和使用訓練資料的標準，進行隱私衝擊影響評估（PIA），運營AI隱私紅隊等；尊重個資主體權利規定包括：將公開資料蒐集情形及主要來源納入隱私政策，保障個資主體的權利。 最後，在第三部分中，指引建議AI企業組建專門的AI隱私團隊，並培養隱私長（Chief Privacy Officers, CPOs）來評估指引中的要求。此外，指引亦呼籲企業定期監控技術重大變化及資料外洩風險，並制定及實施補救措施。 該指引後續將根據PIPA法規修訂、AI技術發展及國際規範動向持續更新，並透過事前適當性審查制、監管沙盒等途徑與AI企業持續溝通，並密切關注技術進步及市場情況，進而推動PIPA的現代化。
美國能源關鍵基礎設施議題觀察 美國國家標準與技術研究院「隱私框架1.0版」美國國家標準與技術研究院（NIST）於2020年1月16日發布「隱私框架1.0版」（NIST Privacy Framework Version 1.0），為促進資料的有效利用並兼顧對隱私權的保障，以風險管理（risk management）的概念為基礎建構企業組織隱私權管理框架。本隱私框架依循NIST於2018年所提出的「健全關鍵基礎設施資安框架1.1版」（Framework for Improving Critical Infrastructure Cybersecurity Version 1.1）架構，包含框架核心（Core）、狀態評估（Profile）與實施層級（Implementation Tier），以利組織能夠同時導入隱私與資安兩種框架。由隱私框架核心所建構的風險管理機制，透過狀態評估來判斷當前與設定目標的實施層級，進而完成組織在隱私保護上的具體流程與資源配置。 NIST基於透明、共識、兼顧公私利害關係人的程序訂定本隱私框架，用以促進開發者導入隱私設計思維（privacy by design），以及協助組織保護個人隱私，其目標包含透過支持產品或服務設計中的倫理決策（ethical decision-making）及最小化對隱私的侵害來建立客戶的信任；在當前與未來的產品或服務中，因應持續變化的技術與政策環境遵守對隱私的保護義務；以及促進個人、企業夥伴、稽核者（assessor）與監管者（regulator）在隱私權保護實踐上的溝通與合作。 本隱私框架並非法律或法規，亦不具備法律效果，而是做為數位時代下NIST協助企業導入隱私權管理制度的參考工具，企業或組織將能基於本隱私框架靈活應對多樣化的隱私需求，掌握其產品或服務所隱含的隱私權侵害風險，並識別隱私權相關法律規範，包含加州消費者隱私法（California Consumer Privacy Act）與歐盟一般資料保護規則（General Data Protection Regulation, GDPR）等，提出更具創新性與有效性的解決方案，並有效因應AI與物聯網技術的發展趨勢。