2024年保護美國人資料免受外國對手侵害法案即將於2024年6月生效，為美中資料傳輸增加限制
2024年保護美國人資料免受外國對手侵害法案（Protecting Americans’ Data from Foreign Adversaries Act of 2024, PADFA）於2024年6月生效。該法案為美國國家安全補充法案（H.R. 815, the National Security Supplemental）的一部分。美國總統拜登在2024年4日24日簽署通過國家安全補充法案以及該法案所包含的PADFA，而PADFA將於簽署日後60天發生效力。
PADFA禁止資料經紀人將美國人民的敏感個資（personally identifiable sensitive data）傳輸到指定的外國對手國家，以及由這些國家控制的實體，如公司等。
PADFA所指之資料經紀人（data broker），是指以出售、授權、租賃、交易、轉讓、發布、揭露、提供存取權或其他方式，將個人資料提供給特定實體，並收取對價者。而該法所稱之敏感個資，定義則相當廣泛，從個人日常活動資料如行事曆資訊、電子郵件，到個人醫療、財務資料皆包含在內。
目前PADFA指定之外國對手國家，是引用自美國法典第十編4872（d）（2）條（4872（d）（2）of title 10, United States Code.），包含中華人民共和國、朝鮮民主主義人民共和國、俄羅斯聯邦、伊朗伊斯蘭共和國。而外國對手國家控制的實體則包含以下幾類 :
1.前述國家擁有20%以上所有權的實體。
2.主要營業據點、總部、住所位於前述國家的實體。
3.依前述國家法律建立的實體。
4.受前述國家指導、控制之人。
由於PADFA適用範圍廣泛，未來美中兩國資料傳輸將受更多限制。該法案生效後將由美國的聯邦貿易委員會（Federal Trade Commission）執行，該委員會將有權對違規者進行民事處罰。
- H.R.815 - Making emergency supplemental appropriations for the fiscal year ending September 30, 2024, and for other purposes,
- H.R.7520 - Protecting Americans’ Data from Foreign Adversaries Act of 2024
- Remarks by President Biden on the Passage of H.R. 815, the National Security Supplemental, THE WHITE HOUSE
- 零售業個資法遵實務與資訊安全說明會
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 零售業個資法遵實務與資訊安全說明會（台中場）
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
- 【上午場】探索科技法律最前線：資策會科法所「114年成果」分享會暨簡報票選
- 商業服務業個資管理與資訊安全實務宣導說明會（高雄場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台南場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台中場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台北場）※如遇颱風假延期至7/16
- 【北部場1】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場2】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場3】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場4】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【南部場】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【中部場】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 美國聯網車監管制度與合規實務說明會
李思萱
副法律研究員 編譯整理
H.R.815 - Making emergency supplemental appropriations for the fiscal year ending September 30, 2024, and for other purposes, Congress.Gov, https://www.congress.gov/bill/118th-congress/house-bill/815/text#toc-H8A6F028CF82F488A974B9159A0CFBE01 (last visited May 09, 2024).
H.R.7520 - Protecting Americans’ Data from Foreign Adversaries Act of 2024, Congress.Gov, https://www.congress.gov/bill/118th-congress/house-bill/7520/text (last visited May 09, 2024).
Remarks by President Biden on the Passage of H.R. 815, the National Security Supplemental, THE WHITE HOUSE, https://www.whitehouse.gov/briefing-room/speeches-remarks/2024/04/24/remarks-by-president-biden-on-the-passage-of-h-r-815-the-national-security-supplemental/ (last visited May 09, 2024).
10 U.S. Code § 4872 - Acquisition of sensitive materials from non-allied foreign nations: prohibition, Cornell Law School, https://www.law.cornell.edu/uscode/text/10/4872 (last visited May 09, 2024).
英國衛生部(Department of Health)於5月21日公布新的國家衛生政策，政策中指出，未來將建立資料庫，透過建設完善醫藥資訊之流通分享機制可改善對於病患之醫療服務以及促進學術研究之發展，當局承諾將採取適當之保護措施以妥善保護當事人之個人資料。然而，該政策同時亦承認對於病患資料匿名化之措施仍可能侵害當事人之隱私權。 當局指出，為了保護當事人之權益，將個人資料匿名化實屬必要，然而，對於醫療院所而言，縱使已經將個人資料匿名化，但透過其他相關資訊包含年齡、性別、血型、身高或者體重等，仍可能間接識別出當事人之個人資料。 衛生部重申建立資料庫分享當事人之個人醫療資料將可有效促進學術研究之發展，但將會透過當事人同意以及確實匿名化之機制保護當事人之個人資料。另外，衛生部於該政策中指出未來將要求英國之醫療機構必須於內部建立系統，使患者、當事人可有管道查詢其留存於資料庫之資料。 英國之隱私保護專員指出，由於此政策涉及敏感性個人資料之蒐集，所以其針對衛生部之政策規畫將持續關注，以確保當事人之隱私權。
問題在號碼？（下）---談網路電話服務（VoIP）號碼核配與網路互連管制問題 歐盟數位經濟公平稅負指令草案無共識，法國與奧地利將先行交付立法2018年3月21日，歐盟執行委員會（European Commission）發布數位經濟公平課稅（Fair Taxation of the Digital Economy）指令草案，指出在數位經濟模式中，由於創造利益的用戶資料地並不受限於營業處所，因此銷售貨物與提供勞務之增值發生地，與納稅主體之納稅地點分離，而無法為現行來源地原則所評價，嚴重侵蝕歐盟境內稅基。對此，該草案分別提出了數位稅（Digital Tax）與顯著數位化存在（Significant Digital Presence）兩份提案，用以針對特定數位服務利潤制定共同性數位稅制，以確保數位服務業者與傳統的實體公司立於平等的市場競爭地位。 值得關注的是，該草案之長遠解決提案以「顯著數位化存在」（Significant Digital Presence）修正國際間課稅權歸屬之重要人事（Significant People function）功能判斷，並認為建立利潤分配原則時，應參考經濟合作暨發展組織（Organization for Economic Cooperation and Development）稅基侵蝕與利潤移轉（BEPS，Base Erosion and Profit Shifting）行動計劃中DEMPE模式（Development Enhancement Maintenance Protection Exploitation function），決定獲利之分配，作為未來增值利益的認定。 然而不少持反對意見的國家認為，數位經濟只是傳統公司面對數位化，利用無形資產的商業模式改變而已，而此種新興模式並不足以作為開徵數位稅收新稅種。縱使數位經濟下無形資產產生之價值必須重新界定，現行稅收歸屬與國際間租稅協定本身並無不妥，而應強調各國稅捐機關之租稅資訊之合作。愛爾蘭已與捷克共和國、芬蘭、瑞典發表反對聲明，表示數位經濟課稅的方案不應背離BEPS行動計畫之期中報告，並應考慮到國際間因租稅引起的貿易戰爭，以及避免對數位經濟的扼殺。對此，歐盟監管審查委員會（Regulatory scrutiny Board）亦認為，草案並未針對數位稅的有效稅率進行量化分析，嚴重忽略了數位稅對於區域內經濟的衝擊。 由於未能獲得歐盟會員國的共識，法國為了回應黃背心運動（Mouvement des gilets jaunes）的要求， 12月17日法國財政部長已公開表示2019年3月前，將自行針對數位廣告所得與數位資料所得稅收法案送交國內立法程序，該法案將直接以境內網路社群利潤推估大型數位企業之應稅所得，並支持「顯著數位化存在」的認定原則。同時奧地利財政部長也表示，會跟進數位稅收的立法並於2019年1月底公布稅收草案。
美國參議院提出「2019年物聯網網路安全促進法」草案自2016年Mirai殭屍網路攻擊事件後，物聯網設備安全成為美國國會主要關注對象之一，參議院於2017年曾提出「2017年物聯網網路安全促進法」（Internet of Things Cybersecurity Improvement Act of 2017）草案，防止美國政府部門購買有明顯網路安全性漏洞之聯網設備，並制定具體規範以保護聯網設施之網路安全，然而該法案最終並未交付委員會審議。 2019年4月，美國參議員Mark Warner提出「2019年物聯網網路安全促進法」草案（Internet of Things Cybersecurity Improvement Act of 2019），再度嘗試建立物聯網網路安全監管框架。本法將授權主管機關建立物聯網設備所應具備之安全性條件清單，而該清單將由美國國家標準與技術研究院（National Institute of Standards and Technology）擬定，並由管理與預算局（Office of Management and Budget, OMB）負責督導後續各聯邦機關導入由美國國家標準與技術研究院所制定之網路安全指引。本法草案相較於2017年的版本而言雖較具彈性，惟網路安全專家指出，清單之擬定與執行管理分別交由不同單位主責，未來可能導致規範無法被有效執行，且聯邦各層級單位所需具備之資安防護等級不盡相同，如何制宜亦係未來焦點。