2024年保護美國人資料免受外國對手侵害法案即將於2024年6月生效，為美中資料傳輸增加限制
2024年保護美國人資料免受外國對手侵害法案（Protecting Americans’ Data from Foreign Adversaries Act of 2024, PADFA）於2024年6月生效。該法案為美國國家安全補充法案（H.R. 815, the National Security Supplemental）的一部分。美國總統拜登在2024年4日24日簽署通過國家安全補充法案以及該法案所包含的PADFA，而PADFA將於簽署日後60天發生效力。
PADFA禁止資料經紀人將美國人民的敏感個資（personally identifiable sensitive data）傳輸到指定的外國對手國家，以及由這些國家控制的實體，如公司等。
PADFA所指之資料經紀人（data broker），是指以出售、授權、租賃、交易、轉讓、發布、揭露、提供存取權或其他方式，將個人資料提供給特定實體，並收取對價者。而該法所稱之敏感個資，定義則相當廣泛，從個人日常活動資料如行事曆資訊、電子郵件，到個人醫療、財務資料皆包含在內。
目前PADFA指定之外國對手國家，是引用自美國法典第十編4872（d）（2）條（4872（d）（2）of title 10, United States Code.），包含中華人民共和國、朝鮮民主主義人民共和國、俄羅斯聯邦、伊朗伊斯蘭共和國。而外國對手國家控制的實體則包含以下幾類 :
1.前述國家擁有20%以上所有權的實體。
2.主要營業據點、總部、住所位於前述國家的實體。
3.依前述國家法律建立的實體。
4.受前述國家指導、控制之人。
由於PADFA適用範圍廣泛，未來美中兩國資料傳輸將受更多限制。該法案生效後將由美國的聯邦貿易委員會（Federal Trade Commission）執行，該委員會將有權對違規者進行民事處罰。
- H.R.815 - Making emergency supplemental appropriations for the fiscal year ending September 30, 2024, and for other purposes,
- H.R.7520 - Protecting Americans’ Data from Foreign Adversaries Act of 2024
- Remarks by President Biden on the Passage of H.R. 815, the National Security Supplemental, THE WHITE HOUSE
- 零售業個資法遵實務與資訊安全說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 零售業個資法遵實務與資訊安全說明會（台中場）
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
- 【上午場】探索科技法律最前線：資策會科法所「114年成果」分享會暨簡報票選
- 商業服務業個資管理與資訊安全實務宣導說明會（高雄場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台南場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台中場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台北場）※如遇颱風假延期至7/16
- 【北部場1】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場2】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場3】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場4】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【南部場】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【中部場】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 美國聯網車監管制度與合規實務說明會
李思萱
副法律研究員 編譯整理
H.R.815 - Making emergency supplemental appropriations for the fiscal year ending September 30, 2024, and for other purposes, Congress.Gov, https://www.congress.gov/bill/118th-congress/house-bill/815/text#toc-H8A6F028CF82F488A974B9159A0CFBE01 (last visited May 09, 2024).
H.R.7520 - Protecting Americans’ Data from Foreign Adversaries Act of 2024, Congress.Gov, https://www.congress.gov/bill/118th-congress/house-bill/7520/text (last visited May 09, 2024).
Remarks by President Biden on the Passage of H.R. 815, the National Security Supplemental, THE WHITE HOUSE, https://www.whitehouse.gov/briefing-room/speeches-remarks/2024/04/24/remarks-by-president-biden-on-the-passage-of-h-r-815-the-national-security-supplemental/ (last visited May 09, 2024).
10 U.S. Code § 4872 - Acquisition of sensitive materials from non-allied foreign nations: prohibition, Cornell Law School, https://www.law.cornell.edu/uscode/text/10/4872 (last visited May 09, 2024).
一家擁有美國網路上國際貿易相關專利的小公司起訴個人電腦巨頭戴爾公司(Dell Inc., DELL)侵權。這家名為DE Technologies Inc.的公司向一家美國聯邦地區法院提起了上述訴訟。DE Technologies的專利於1996年申請，並於2002年被授予。該公司首席執行長Ed Pool表示，他們的最終目的是將其專利授權給跨國公司並收取這些公司網路上貿易額的一小部分作為特許費。但這些費用全部累積起來可能高達數十億美元。 戴爾是首家遭DE起訴的公司。戴爾對上述訴訟未予置評。截至今年1月30日的財政年度，戴爾414億美元的銷售額中有36%來自美國以外地區，該公司向個人及小型企業的銷售中，大部分是通過網路進行的。 DE Technologies擁有的是一個商業模式專利。此類專利涉及的是流程及方法，而不是構造或化學成份。美國上訴法院於1998年判決擁有此類專利是合法的以後，許多公司開始申請此類專利。但批評人士認為許多商業模式不應被授予專利，專利應被授予那些新穎及非顯而易見的發明。
美國產政研單位聯名向SEC請願，促請訂定企業應揭露其與氣候變遷有關的財務風險根據美國證券法規，上市公司、申請上市公司以及特定證券發行公司，應將其為符合美國聯邦、各州及地方環境法規所衍生，可能與公司之資本支出、營收與競爭地位有關之資料，向SEC提出並揭露予投資大眾；因為遵守相關環境法規而涉訟者，公司亦應揭露此等事實。除此之外，SEC規則亦要求，公司為符合環境法規所為之大規模資本支出，若可能對公司的清償能力產生重大影響，公司對於任何與之相關的已知發展趨勢、承諾的義務、事件或不確定性，亦應揭露之。 最近美國紐約州檢察長Andrew Cuomo向該州內五家能源公司發出傳票（subpoenas），要求這五家公司應各自分析其公司經營的氣候變遷風險，並將相關資訊揭露予投資大眾。此外，全美多個投資團體、十個州的財政官員以及環保團體亦聯名向美國證券交易委員會（Securities Exchange Commission, SEC）請願，促請SEC要求企業應該評估並揭露與氣候變遷有關的財務風險。請願者認為，氣候變遷相關資訊影響投資意願，亦為重要的公司資訊，故SEC應釐清，根據既有法規（即1934制定年的證券交易法）中的公司資訊揭露規定，公司亦應有揭露氣候變遷資訊之義務。 以上兩件事例的發展，隱含一個重要的跡象值得觀察，亦即未來美國SEC對於公司資訊揭露的管理，極可能涵蓋氣候變遷的風險資訊。雖然SEC目前尚未對請願事宜做出具體的表示，但有鑑於決策者已有越來越大的壓力必須正視全球氣候變遷問題，故SEC未來對於請願團體的回應及可能採取的措施，將代表公司應如何揭露氣候變遷風險資訊，始為適當。 此外，面對全球變遷所帶來的挑戰，美國許多州均積極提出或通過因應氣候變遷的法案，可預期企業經營者為遵循新一代的環境法規，未來將會有一波波的資金投入於法規遵循，目前企業經營者多將重心放在如何化挑戰為機會，然而公司在其中所為的投入，意味一定的財務風險，根據當前的發展，SEC極可能要求公司必須清楚地揭露此等氣候變遷相關資訊，值得企業經營者與投資人注意。雖然能源產業是氣候變遷風險最主要的揭露者，但氣候變遷風險實關乎所有的產業，目前已有許多保險公司也開始揭露其因為氣候變遷涉及的財務風險（如因颶風、水災、乾旱、火災或其他險惡的氣候現象所導致的財務損失）。
何謂「工業4.0」？所謂工業4.0(Industrie 4.0)乃係將產品用最先進的資訊和通訊技術緊密結合。其發展背後的原動力是快速增長的經濟和社會的數位化。在德國，它不斷地在改變未來產品的生產及加工方式：自蒸汽機、生產線、電子和電腦技術之後，現在確認了「智慧工廠」(Smart Factories)乃是第四次工業革命。 德國「工業4.0」一詞源於2011年德國教育與研究部(BMBF)在其高科技策略(Hightech-Strategie)下的研發計畫。而如何落實工業4.0，則可從德國科學技術院(Deutsche Akademie der Technikwissenschaften, acatech) 與德國高科技策略之研究聯盟顧問委員會(Forschungsunion, Wirtschaft und Wissenschaft begleiten die Hightech-Strategie)共同提出之「工業4.0：實踐建議報告書」 (Umsetzungsempfehlungen für das Zukunftsprojekt Industrie 4.0)窺見整體計畫。 它的技術基礎是資訊科技、數位化的網路系統，藉由該系統，可以實現超強的自行組織運作的生產流程：人、機器、設備、物流和產品在工業4.0中，得以在同一個平台上相互溝通協作。不同企業間的生產及運送過程可以更聰明地以資訊科技技術相互地溝通，更為有效和彈性地生產。 如此一來將有助於產生智慧型新創價值的供應鏈，其囊括產品生命週期的各階段-從開發、生產、應用和維修一直到回收產品階段。藉此，一方面相關的服務可從客戶對產品想法一直到產品的回收都包括在內。因此，企業能夠更容易地根據個別客戶的要求生產定制產品。客製化的產品生產和維修可能會成為新的標準。另一方面，雖然是生產個性化商品但生產成本仍可以降低。藉由新創價值供應鏈相關企業的相互串聯，使產品不再只是各個流程得以優化，而係整體的創新價值鍊的整體最適化。如果所有資訊都能即時提供，一個公司可以儘早快速回應的某些原材料的短缺，生產過程可以跨企業地調整控制，使其更節省原料和能源。總體而言，生產效率能夠提高，加強企業的競爭力和提高生產彈性。
日本與歐盟達成GDPR適足性認定之合意，預定於今年秋天完成相關程序日本個人情報保護委員會於5月31日與歐盟執行委員會，對於取得之個人資料跨境傳輸相互承認達成實質合意。歐盟今年5月施行之歐盟個人資料保護規則（European Union General Data Protection Regulation,GDPR）對於個人資料之跨境傳輸係採「原則禁止、例外允許」模式，因此只有在符合例外之情形下，個人資料才能進行跨境傳輸，而例外獲得許可的情形包括由企業自主採行符合規範的適當保護措施，或取得個資當事人明確同意等方式。此外，GDPR也規定對第三國或地區個人資料保護水平是否達到GDPR標準，為適足性認定制度，取得此一認定資格者，即可自由與歐盟間進行個人資料跨境傳輸。目前有瑞士等11個國家及地區取得認定，日本則尚未取得。 日本為了減輕企業的負擔，2016年7月個人情報委員會決定處理方針，以取得相互認定承認為目標；於2017年1月歐盟執行委員會政策文書發表，將日本列為適足性認定之優先國家，將持續進行雙方後續對話。自2016年4月自2018年5月為止累計對話協商53次。於2017年5月施行修正之個人資料保護法，新導入域外適用規定，並對於國外執行當局為必要資訊提供為相關規定。依據上述對話意見，今年2月14日審議擬定「個人資料保護法指引－歐盟適足性認定之個人資料傳輸處理編(個人情報の保護に関する法律についてのガイドラインーEU域内から十分性認定により移転を受けた個人データの取扱い編)」草案，於今年4月25日至5月25日完成草案預告及意見徵集程序，預定於今年7月上旬訂定發布。其後，將於今年秋天完成歐盟與日本間相互指定與認定程序。亦即，個人情報保護委員會基於個人資料保護法第24條規定，指定歐洲經濟區（EEA）為與日本有同等水準之個人資料保護制度之外國，而歐盟執行委員會依據GDPR第45條規定，認定日本為具備適足保護水準。相互認定後，日本與歐盟間得相互為個人資料傳輸，如有相互協力必要性發生時，個人情報保護委員會及歐洲執行委員會應相互協議以為解決。