美國發布防止特定國家存取大量敏感個人資料與政府相關資料之行政命令
美國總統拜登於2024年2月28日簽署了防止特定國家存取美國人大量敏感個人資料與美國政府相關資料之第14117號行政命令（Executive Order on Preventing Access to Americans’ Bulk Sensitive Personal Data and United States Government-Related Data by Countries of Concern，E.O. No. 14117），目的是為了防止敏感個人資料與政府資料大規模轉移至「受關注國家」或其所涉人員，主要以「受關注國家」、「受規範對象」、「資料類型」、「禁止行為」與相關豁免規定等項目，進一步授權司法部訂定規範，而美國司法部已於2024年3月5日在〈聯邦公報〉公布行政命令之擬制法規制定預告（Advance Notice of Proposed Rulemaking，下稱ANPRM），並於公布後45日內蒐集意見，內容簡述如下：
1.受關注國家：中國（包括香港及澳門）、俄羅斯、伊朗、北韓、古巴、委內瑞拉等可能造成美國國家安全重大風險之國家。
2.受規範對象：由受關注國家所掌控之實體及具有契約關係之人或實體，或以該等國家為主要居住地之外國人等皆屬之。
3.資料類型：本次ANPRM定義了大量敏感個人資料與政府相關資料，並公布「大量」（bulk）之參考值，將受規範個人識別指標、地理位置和相關感測器數據、生物特徵識別指標、基因組資料、個人健康資料、個人金融資料等6大類資料，用以詮釋敏感個人資料；而資料涉及美國聯邦政府（含軍方）所控制之敏感位置皆屬政府相關資料。
4.禁止行為：涉及受關注國家、受規範對象以及符合上述資料類型之資料交易行為，皆被列為禁止行為，例如：透過簽訂服務或投資協議、供應或僱傭契約而進行之資料交易行為等情形，但也由於適用範圍較廣，因此訂有豁免規定，例如：美國政府為履行公務而由僱員、承包商因公務所為之資料交易行為則可受豁免。
我國作為全球重要的高科技產業供應鏈之一員，因地緣關係與部分受關注國家進行產品製造供應或貿易往來，故可能受此行政命令之影響，ANPRM未來修訂方向值得我國持續關注其後續發展。
- Executive Order on Preventing Access to Americans’ Bulk Sensitive Personal Data and United States Government-Related Data by Countries of Concern, THE WHITE HOUSE
- Preventing Access to Americans' Bulk Sensitive Personal Data and United States Government-Related Data by Countries of Concern, Executive Order 14117 of February 28, 2024, FEDERAL REGISTER
- National Security Division; Provisions Regarding Access to Americans' Bulk Sensitive Personal Data and Government-Related Data by Countries of Concern, Advance notice of proposed rulemaking, FEDERAL REGISTER
- 〈進/出口趨勢〉，台經院產經資料庫
- 零售業個資安全宣導暨安全維護計畫規劃說明會
- 數位經濟時代的隱私保護與商機－CBPR跨境隱私規則體系解析
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(實體)
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(直播)
- 零售業個資安全宣導暨安全維護計畫說明會（高雄場）
- 零售業個資安全宣導暨安全維護計畫說明會（台中場）
- 【台北場1】通訊傳播事業個資法遵教育訓練
- 【台中場】通訊傳播事業個資法遵教育訓練
- 【新北場】通訊傳播事業個資法遵教育訓練
- 【高雄場】通訊傳播事業個資法遵教育訓練
- 【台北場2】通訊傳播事業個資法遵教育訓練
- 零售業個資法遵實務與資訊安全說明會
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 零售業個資法遵實務與資訊安全說明會（台中場）
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
陳政陽
法律研究員 編譯整理
Executive Order on Preventing Access to Americans’ Bulk Sensitive Personal Data and United States Government-Related Data by Countries of Concern, THE WHITE HOUSE, https://www.whitehouse.gov/briefing-room/presidential-actions/2024/02/28/executive-order-on-preventing-access-to-americans-bulk-sensitive-personal-data-and-united-states-government-related-data-by-countries-of-concern/, (last visited Mar. 21, 2024).
Preventing Access to Americans' Bulk Sensitive Personal Data and United States Government-Related Data by Countries of Concern, Executive Order 14117 of February 28, 2024, FEDERAL REGISTER, https://www.federalregister.gov/documents/2024/03/01/2024-04573/preventing-access-to-americans-bulk-sensitive-personal-data-and-united-states-government-related, (last visited Mar. 21, 2024).
National Security Division; Provisions Regarding Access to Americans' Bulk Sensitive Personal Data and Government-Related Data by Countries of Concern, Advance notice of proposed rulemaking, FEDERAL REGISTER, https://www.federalregister.gov/documents/2024/03/05/2024-04594/national-security-division-provisions-regarding-access-to-americans-bulk-sensitive-personal-data-and, (last visited Mar. 21, 2024).
〈進/出口趨勢〉，台經院產經資料庫，https://tie.tier.org.tw/number_db/twnio/dbmain.aspx，（最後瀏覽日：2024/03/21）。
2018年5月，英國資訊專員辦公室（Information Commissioner’s Office, ICO）針對歐盟GDPR有關資料自動化決策與資料剖析之規定，公布了細部指導文件（detailed guidance on automated decision-making and profiling），供企業、組織參考。 在人工智慧與大數據分析潮流下，越來越多企業、組織透過完全自動化方式，廣泛蒐集個人資料並進行剖析，預測個人偏好或做出決策，使個人難以察覺或期待。為確保個人權利和自由，GDPR第22條規定資料當事人應有權免受會產生法律或相類重大效果的單純自動化處理決策（a decision based solely on automated processing）之影響，包括對個人的資料剖析（profiling），僅得於三種例外情況下進行單純自動化決策： 為簽訂或履行契約所必要； 歐盟或會員國法律所授權； 基於個人明示同意。 英國2018年新通過之資料保護法（Data Protection Act 2018）亦配合GDPR第22條規定，制定相應國內規範，改變1998年資料保護法原則上容許資料自動化決策而僅於重大影響時通知當事人之規定。 根據指導文件，企業、組織為因應GDPR而需特別留意或做出改變的事項有： 記錄資料處理活動，以幫助確認資料處理是否符合GDPR第22（1）條單純自動化決策之定義。 倘資料處理涉及資料剖析或重大自動化決策，應進行資料保護影響評估（Data Protection Impact Assessment, DPIA），判斷是否有GDPR第22條之適用，並及早了解相關風險以便因應處理。 提供給資料當事人的隱私權資訊（privacy information），必須包含自動化決策之資訊。 應確保組織有相關程序能接受資料當事人的申訴或異議，並有獨立審查機制。 指導文件並解釋所謂「單純自動化決策」、「資料剖析」、「有法律效果或相類重大影響」之意義，另就可進行單純自動化決策的三種例外情況簡單舉例。此外，縱使符合例外情況得進行單純自動化決策，資料控制者（data controller）仍必須提供重要資訊（meaningful information）給資料當事人，包括使用個人資料與自動化決策邏輯上的關聯性、對資料當事人可能產生的結果。指導文件亦針對如何向資料當事人解釋自動化決策處理及提供資訊較佳的方式舉例說明。
英國ISP業者主動揭露網路速度資訊2011年5月英國電信主管機關Ofcom（Office of communications）對英國境內寬頻網路速率現況進行調查，寬頻網路平均下載速度從去年11月的6.2Mbits/s增為6.8Mbits/s，且有近半（47%）的使用者可享受到超過10Mbit/s的速度。 但廣告速度與真實速度間的差距擴大，今年5月業者平均廣告速度為15Mbit/s,，較真實速度6.8Mbits/s差距為8.2Mbit/s，而2010年11月平均廣告速度13.8Mbit/s真實速度6.2Mbit/s，差距為7.6Mbit/s。上述的差距主要發生於ADSL網路，英國有近75%的使用者仍用ADSL，此種傳輸方式將受到距離、纜線品質的影響。因此大多數業者所宣稱的20Mbit/s下載速度，僅能達到6.6 Mbit/s。有超過1/3的使用者速度為4 Mbit/s或更低。 F英國今年7月正式實施之寬頻速度自律規則（Voluntary Code of Practice on Broadband Speeds），為業者自願加入。除提供消費者「典型的速度範圍」（Typical Speed Range, TSR）資訊外，若消費者可使用速度小於業者宣稱之速度範圍，且業者無法解決問題時，在3個月內使用者可更換其他業者而無須罰款。目前已有BT、O2、Virgin Media等17家ISP業者加入自律規則中。
歐洲法院裁定銷售二手電子書侵害著作權Tom Kabinet為荷蘭之公司，其從個人及零售商處購得電子書後，再於網路轉售，遭為保護荷蘭出版商利益而成立之Nederlands Uitgeversverbond（NUV）及Groep Algemene Uitgevers（GAU）二協會提起侵害著作權訴訟。 Tom Kabinet公司主張，當書籍以有形體的形式出售時，該作品之著作權業已耗盡（exhausted），換言之，購買者可自由出售，而不會侵害作者或出版者的智慧財產權，此原則亦應適用於數位重製（digital copies）。NUV及GAU則認為Tom Kabinet公司轉售電子書的行為，構成著作權指令（Directive 2001/29/EC）所指在未經授權的情形下，向大眾傳播受著作權保護的標的。 歐洲法院近日針對雙方的爭議做出了裁決，法院援引世界智慧財產權組織（World Intellectual Property Organization）的著作權條約（Copyright Treaty），認為著作權的耗盡原則僅適用在著作權指令第4條的散布權（Distribution right），且是散布實體物，例如有形的書籍。而著作權指令第3條所指「向大眾公開（作者的）作品權利」（Right of communication to the public of works），係賦予作者有授權向大眾公開其作品的專屬權，此權利無耗盡的問題。本案所爭執向大眾轉售經下載且得永久使用的電子書之行為，並非散布權，而是向大眾傳播的概念，即符合著作權指令第3條所規範之範疇，因此，Tom Kabinet公司在轉售電子書前，須先取得作者的同意。 針對歐盟法院此一裁定，GAU發表聲明表示，法院的決定讓電子書的著作權議題有了結果，且此決定亦會影響音樂和電影產業，讓音樂和電影的下載拷貝版本同樣也無法再轉售。
美國能源關鍵基礎設施議題觀察