美國、日本、韓國舉辦「顛覆性技術保護網路高峰會」，簽署技術保護及出口管制合作意向書
美國、日本、韓國於2024年4月25日舉辦首屆「顛覆性技術保護網路高峰會」（Disruptive Technology Protection Network Summit，下稱高峰會），就顛覆性技術保護展開正式合作。
此高峰會係為履行三國於2023年8月18日「大衛營」（Camp David）峰會作出之「未來每年度應至少舉行一次三方國家會談」承諾。美國積極利用此高峰會，深化美國顛覆性技術打擊小組（Disruptive Technology Strike Force）與日本、韓國相應執法單位的資訊交換機制或經驗分享，加強技術保護及打擊相關犯罪活動。有關本次高峰會進展，簡要彙整如下：
一、經驗與案例分享：三國執法單位各自說明其技術保護工具、政策之最新舉措，並進行執法案例分享。
二、相關執法單位簽署合作意向書：
(一)美國司法部（The Department of Justice）、日本警察廳（警察庁）和韓國法務部（법무부）共同簽署「深化技術外洩執法資訊分享合作意向書」（Letter of intent on deepening information sharing for tech leak law enforcement）。
(二)美國商務部（The Department of Commerce）、日本經濟產業省（経済産業省）和韓國產業通商資源部（산업통상자원부）共同簽署「實施出口管制合作意向書」（Letter of intent for cooperation on export control implementation）。
三國共識非法出口貨品或移轉技術行為，已對國家安全、經濟安全構成威脅，除持續優化相關法規外，有必要強化三國「執法面」連結，進行較即時的打擊犯罪跨國合作，防範民族國家境外勢力（Nation-state adversaries）以不正當手段獲取先進技術，並建立更全面的國際「顛覆性技術保護網路」（Disruptive Technology Protection Network）。
本文為「經濟部產業技術司科技專案成果」
- Readout of Disruptive Technology Protection Network Summit with Japan and the Republic of Korea, Office of Public Affairs, Department of Justice, Apr. 26, 2024
- Korea, U.S., and Japan to deepen cooperation on export controls and technology protection, The Ministry of Trade, Industry, and Energy, Apr. 26, 2024
許廷瑄
副法律研究員 編譯整理
Readout of Disruptive Technology Protection Network Summit with Japan and the Republic of Korea, Office of Public Affairs, Department of Justice, Apr. 26, 2024, https://www.justice.gov/opa/pr/readout-disruptive-technology-protection-network-summit-japan-and-republic-korea (Last visited Jun. 13, 2024).
Korea, U.S., and Japan to deepen cooperation on export controls and technology protection, The Ministry of Trade, Industry, and Energy, Apr. 26, 2024, https://english.motie.go.kr/eng/article/EATCLdfa319ada/1808/view (Last visited Jun. 13, 2024).
陳奕夫，〈美國商務部、財政部以及司法部發布遵循美國出口管制與制裁規範聯合指引〉，資訊工業策進會科技法律研究所，2024/04，https://stli.iii.org.tw/article-detail.aspx?no=64&tp=1&d=9155（最後瀏覽日：2024/06/13）。
劉心妍，〈歐盟通過經濟安全關鍵技術領域建議，以利會員國進行關鍵技術風險評估〉，資訊工業策進會科技法律研究所，2023/12，https://stli.iii.org.tw/article-detail.aspx?no=64&tp=1&d=9089（最後瀏覽日：2024/06/13）。
美國奧克拉荷馬州修正《個資事故通報法》，擴充個資定義範圍並強化通報機制 資訊工業策進會科技法律研究所 2025年07月22日 現行我國關於非公務機關就個資事故進行通報之規定，散落於各中央目的事業主管機關制定之各業別個人資料檔案安全維護管理辦法或相關辦法中，且前揭各辦法對於通報之標準不盡相同。各國主管機關紛紛強化個資治理法制，而美國奧克拉荷馬州修正關於個人資料定義、適當防護措施及個資事故通報機制等事項，以建立更完善之規範。 壹、事件摘要 美國奧克拉荷馬州議會業於2025年5月20日通過第626號法案（Senate Bill 626）[1]，修正《個資事故通報法》（Security Breach Notification Act）[2]，其目的係為補充現行治理規範之不足，修正重點涵蓋：擴充法定用詞之定義，針對「個人資料」（Personal Information）與「適當防護措施」（Reasonable Safeguards）等條文予以補充與增列；強化個資事故（Breach of the security of a system）之通報機制與設立豁免條款，並釐清與其他法規間之適用關係；以及修訂違法情事之民事裁罰。此外，本次修法亦明定，若機構或個人已採取適當防護措施，得作為民事訴訟中之抗辯理由。本法將自2026年1月1日起正式生效，並適用於自該日起所發現、判定或通報之個資事故，相關單位應即早進行法遵準備，以確保制度落實。 貳、修法重點 本次修法主要包含三大核心面向，簡要說明如下： 一、擴充法定用詞之定義 （一）個人資料 於現行法規對個人資料之定義下，再增加新資料類別： 1.與驗證碼、存取碼或密碼結合使用時，可用以登入特定個人金融帳戶之專屬電子識別碼（Electronic Identifier）或路由代碼（Routing Code）； 2.用以辨識特定自然人之獨特生物特徵資料，例如指紋、視網膜或虹膜影像，或其他具體實體或數位形式之生物辨識資料。 （二）適當防護措施 適當防護措施係指，為確保個人資料安全而考量組織或機構之規模、產業別、以及保有之個資類別與數量所制定之政策及作業實務。此概念包括但不限於：進行風險評估、建立技術面及實體面之多層次保護機制、對人員實施教育訓練，及建立個資事故應變計畫等。 二、強化事故通報機制與設立豁免條款 本法要求於發現系統個資事故並已通知受影響之當事人後，應於60日內向州檢察總長（Attorney General）提交書面通報，載明涉及之個人資料類別、事故性質、受影響人數、預估之財務損失、所採行之適當防護措施等必要內容。惟若事故影響人數低於500名州民，或事故發生於徵信機構且影響人數未達1,000人，則可免除向檢察總長通報之義務。 此外，本法明確規範，若特定機構已依據其他法律，如《奧克拉荷馬州醫療資安保護法》（Oklahoma Hospital Cybersecurity Protection Act of 2023）或聯邦《健康保險可攜及責任法》（Health Insurance Portability and Accountability Act of 1996）等履行相關通報義務，則視為已符合本法之要求。 三、民事裁罰 本法明定，民事罰鍰之裁量將審酌事故規模、事故發生後組織之因應作為及是否履行事故通報義務等因素而定，以確保裁量之比例原則。裁量情形說明如下： 1.若機構已採行適當防護措施且依法進行事故通報者，得免除民事責任； 2.若未採取適當防護措施，惟仍依規定完成事故通報者，則須負擔實際損害賠償責任並處以最高75,000美元罰鍰； 3.未落實適當防護措施與事故通報法定義務者，最高處以150,000美元罰鍰。 參、事件評析 本次修法可見奧克拉荷馬州就數位時代資安威脅所採行之積極因應作為，其修正重點包含：擴充個人資料之定義並明定適當防護措施之內容，俾利降低企業法遵成本及法律適用之不確定性；強化事故通報機制並設置合理豁免條款，以確保資訊透明度；於罰則規範中明定民事罰鍰之裁量，應審酌事故規模及是否履行事故通報義務等因素，以符合比例原則。 有鑑於本法修正後所課予之法定義務，建議企業應採行下列因應措施：(1)全面盤點所保有之個人資料，尤應注意新增納管之電子識別碼及生物特徵等資料；(2)檢視並強化現有防護機制，確保符合適當防護措施之要求；(3)建立標準化通報應變程序；(4)強化教育訓練。此外，企業宜定期檢視法規動態，以確保持續符合法規要求。 [1] Bill Information for SB 626, OKLAHOMA STATE LEGISLATURE, http://www.oklegislature.gov/BillInfo.aspx?Bill=sb626&Session=2500 (last visited June 1, 2025). [2] BILL NO. 626, OKLAHOMA STATE LEGISLATURE, https://www.oklegislature.gov/cf_pdf/2025-26%20ENR/SB/SB626%20ENR.PDF (last visited June 2, 2025).
英國通過「隱私及電子通訊規範」英國於今年5月26日通過「隱私及電子通訊規範」（The Privacy and Electronic Communications Regulations），實現隱私監督之責，以管控cookies或是侵害個人資料之行為。 新法納入歐盟於2009年e隱私指令中所決定之改變，旨在讓網路使用者自行決定資訊服務業或其他事業能儲存多少使用者之紀錄。但業者對此項新要求表示困惑，因此英國之隱私權主管監督機關資訊專員公署（Information Commissioner's Office，ICO）最近出版一份指引，指導網站如何遵守新法使用cookies功能之規定及履行告知義務之要求。然而指引中並未強制規定告知內容與方式，因此業者仍可自行決定如何最有效地履行告知義務。 ICO本週表示新法尚有一年之緩衝期間，讓業者調整使用cookies功能之方式。政府表示目前仍在與瀏覽企業者討論，如何透過瀏覽器頁面之設置取得當事人之同意，而此部分尚未規定在新法中。 「政府的指引太晚公布了，並且缺乏明確性，又無法確定新法是否能允許以瀏覽器技術作為解決之方法，這樣會讓業界無所適從」，任職於Pinsent Masons法律事務所的科技法律專家Clarie McCracken說，「此種非決定性之指引會使業者無法找到標準作法以避免觸犯新法。」。 ICO認為企業在新法正式施行前，最好趕快表明其如何使用cookies功能並制定相關規定以遵守新法。 新法同時要求特定企業當其所蒐集之個人資料遭受駭客攻擊或外洩時，其必須要告知消費者。根據新法，個人資料遭受侵害之定義為：某種安全狀態遭受攻擊，導致與公共電子通訊服務有關之個人資料被故意或不法毀損、滅失、竄改、越權揭露或存取、傳遞、儲存或其他相關利用。當上述情事發生時，公司必須通報ICO，說明大致情況及可能產生之結果，並提出公司將採取之因應措施，同時告知受害之消費者。
日本內閣府公布最新科學技術基本計畫草案，期以智慧聯網服務平台實現超智能社會日本內閣府2015年12月10日於「綜合科學技術創新會議」上公布最新「科學技術基本計畫」草案，預計將投入26兆日圓，約占GDP1%的資金。該計畫之法源基礎係1995年公布之《科學技術基本法》第9條第1項，要求政府自1996年開始制定以五年為期，整體、宏觀且跨部會之科技發展計畫，目前最新之「第五期科學技術基本計畫」將於2016年開始施行。 「第五期科學技術基本計畫」共計七章，作為本期計畫核心之第二至第五章，揭櫫四大原則及相應規畫： 一、 以未來產業創新及社會變革為方向創造新價值(第二章) 旨在發展對未來產業創新及社經變遷具有前瞻性之技術及服務，如智慧聯網、巨量資料、人工智慧等，並以此為基礎實現領先世界之「超智能社會」。 二、 因應經濟社會新課題(第三章) 1. 確保能源、資源及糧食供應穩定。 2. 因應超高齡化、人口減少等問題，打造永續發展的社會。 3. 提高產業競爭力及地區活力。 4. 確保國家安全及國民安全。 5. 因應全球範圍內發生的社經問題，並對世界發展做出具體貢獻。 三、 強化科技創新基礎能力(第四章) 企圖打破產官學界間障壁，加速人才流動及人才多樣化，對造成障礙之制度進行改革，此外，將增加青年及女性研究者比例，及提升學術論文品質。 四、 構築人才、知識、資金三要素的良性循環制度以朝向創新發展(第五章) 將透過產官學界合作，打造創新人才培育及適其發展之環境，強化國際知識產權及標準化之運用，並依國內各區域特性推動相關創新措施。 在這當中，「實現超智能社會」為本期計畫最重要之發展目標，由於資通訊技術高度發展帶動生產、交通、醫療、金融、公共服務等各方面之巨大變革，創造出新產品、新服務，卻也相應帶來新挑戰及社會問題，日本政府計畫打造「智慧聯網服務平台」(IoTサービスプラットフォーム)，將內閣府2015年6月19發布之「科學技術創新綜合戰略2015」中所列舉的11個系統分階段完成串連整合，以推動跨系統間之數據應用，達成各科學領域巨量資料之流通使用，同時兼顧資訊安全保障的「超智能社會」。