歐盟委員會發布NIS 2實施條例以定義資安重大事件
歐盟委員會於2024年10月17日通過了歐盟第2022/2555號《於歐盟實施高度共通程度之資安措施指令》（Directive (EU) 2022/2555 on measures for a high common level of cybersecurity across the Union，下稱NIS 2）的第一個實施條例（下稱「實施條例」）。NIS 2要求企業發生重大事件（Significant incident）後24小時內，應向會員國主管機關通報，依實施條例之規定，符合以下任一條件會被視為重大事件：
1. 造成超過50萬歐元或上一年度營業額5%以上的直接財務損失。
2. 造成商業機密洩漏。
3. 已造成或能造成自然人死亡。
4. 對自然人健康已造成或能造成大量傷害。
5. 疑似惡意且未經授權的存取網路和資訊系統造成嚴重運作中斷。
6. 反覆發生的事件。
7. 符合第5條至第14條特定資訊服務的事件。
實施條例主要在於補充上述條件的第6項及第7項。第6項規定於實施條例的第4條，定義「反覆發生」的要件，包含：(1)6個月內發生兩次；(2)有相同的根本原因；(3)大致符合超過50萬歐元或年營業額5%以上的直接財務損失。第7項則在實施條例的第5條至第14條列舉特定資訊服務提供者的重大事件條件，而其他資訊服務則包含DNS（domain name system）服務、TLD（top-level domain）網域註冊管理、雲端運算服務、資料中心服務、內容交換網路、託管服務、網路商城、搜尋引擎、社群網路服務、信託服務等，對於不同服務可能造成的影響各別列舉視為重大事件的條件。
歐盟委員會發布該實施條例確立何謂重大事件，並依歐盟考量資訊安全威脅所制定的NIS 2，將公共電子通訊網路或服務、會員國等進行連結，要求會員國設置資訊安全主管機關、危機管理機構、資訊安全聯絡點等義務，建立資訊安全通報機制，確保歐盟有整體的資訊安全戰略及框架，阻止潛在危機擴散。我國於2018年已制定《資通安全事件通報及應變辦法》並建立四級資通安全事件的標準，其標準以機敏或業務資訊遭洩漏對機密性的影響、資通系統遭竄改對完整性的影響，以及資通系統運作遭中斷對可用性的影響為依據，但並未對不同類型服務有制定更精細的定義。歐盟實施條例中有關重大事件之定義，可做為我國相關主管機關參考對象，研擬更準確的資通安全事件標準。
- EUROPEAN COMMISSION, COMMISSION IMPLEMENTING REGULATION (EU) …/...of 17.10.2024 (2024)
- Directive (EU) 2022/2555 of the European Parliament and of the Council of 14 December 2022 on measures for a high common level of cybersecurity across the Union, amending Regulation (EU) No 910/2014 and Directive (EU) 2018/1972, and repealing Directive (EU) 2016/1148 (NIS 2 Directive) (Text with EEA relevance), European Union
- 零售業個資安全宣導暨安全維護計畫規劃說明會
- (已額滿)114年「企業營業秘密保護實務座談會」(北部場)–營業秘密因應數位環境之保護風險及管理對策
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(實體)
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(直播)
- 【台北場1】通訊傳播事業個資法遵教育訓練
- 【台中場】通訊傳播事業個資法遵教育訓練
- 【新北場】通訊傳播事業個資法遵教育訓練
- 【高雄場】通訊傳播事業個資法遵教育訓練
- 【台北場2】通訊傳播事業個資法遵教育訓練
- 114年「企業營業秘密保護實務座談會」（南部場）
- 114年「企業營業秘密保護實務座談會」（中部場）
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
毛定瑜
副法律研究員 編譯整理
EUROPEAN COMMISSION, COMMISSION IMPLEMENTING REGULATION (EU) …/...of 17.10.2024 (2024),https://ec.europa.eu/newsroom/dae/redirection/document/109217 (last visited Nov. 07, 2024).
Directive (EU) 2022/2555 of the European Parliament and of the Council of 14 December 2022 on measures for a high common level of cybersecurity across the Union, amending Regulation (EU) No 910/2014 and Directive (EU) 2018/1972, and repealing Directive (EU) 2016/1148 (NIS 2 Directive) (Text with EEA relevance), European Union, https://eur-lex.europa.eu/legal-content/EN/ALL/?uri=CELEX:32022L2555 (last visited Nov. 07, 2024).
2016年10月27日，FCC依據傳播法案(Communication Act)第222條通過《寬頻用戶隱私保護規則》(Rules to Protect Broadband Consumer Privacy, 下稱2016 Privacy Order)。2016 Privacy Order主要包含以下三點： 選擇加入（Opt-in）：當使用或分享消費者之「敏感資訊」，須事先取得消費者明確之同意。「敏感資訊」包括精確的地理定位資訊、財務資訊、健康資訊、孩童資訊、社會安全號碼(Social Security Number, SSN)、網站瀏覽與應用程式使用紀錄，以及通訊內容。 選擇退出（Opt-out）：對於符合消費者期待的「非敏感資訊」，除非客戶Opt-out，ISP業者皆能在未取得消費者事先同意之情況下自由使用與分享。例如電子郵件位址與服務介面資訊(service tier information)。 例外：推定客戶會同意之資訊，例如在客戶與ISP業者建立關係後，不須額外取得寬頻服務或計費之同意。 2016 Privacy Order通過後受到ISP業者大力抨擊，尤其是網站瀏覽與應用程式使用紀錄亦須取得消費者事先同意之部分，其認為如此可能扼殺電子商務發展，消費者亦可能被不必要的警示轟炸。由於2016 Privacy Order引起諸多不平，因此通過後半年，美國參議院與眾議院分別於2017年3月投票廢止，總統並於4月3日正式簽署此份國會審查法案(Congressional Review Act)。 廢止《寬頻用戶隱私保護規則》之原因為，消費者之個人資料雖可受到保護，但該規則僅適用於寬頻服務提供者與其他電信供應商，並不包含網站與前端服務(edge services)。是以僅ISP業者受到較嚴厲之管制，其餘網路服務則由FTC管轄，而FTC對隱私權之規範較為寬鬆，因此可能發生提供不同服務的兩家業者使用同一份客戶資料，受到的管制程度卻不同之情形。 贊成2016 Privacy Order之議員與消費者自助組織(consumer-advocacy groups)表示ISP業者應受到較嚴厲之規範，因消費者能輕易在網站間轉換，卻不能輕易更換ISP，且ISP得以取得消費者在所有網站上之瀏覽資料，但如Google與Facebook等大廠雖非ISP業者，卻亦能取得不限於自身網站的客戶瀏覽資料。 由於《寬頻用戶隱私保護規則》已正式廢止，FCC將不得再通過其他相同或實質上相同之規範，對ISP業者之管制回歸《傳播法案》第222條，亦即，對於網站瀏覽與應用程式使用紀錄之使用或分享，不須取得客戶之事先同意。
美國國會通過《2022年保護美國智慧財產法》，加強營業秘密保護力道美國國會於2022年12月22日通過《2022年保護美國智慧財產法》（Protecting American Intellectual Property Act of 2022），經美國總統拜登（Joe Biden）於2023年1月5日簽署後正式生效。鑒於近年來美國營業秘密外洩事件頻傳，中國大陸和駭客透過各類方式竊取美國的智慧財產，對美國的經濟和國家安全產生重大危害。因此，共和黨參議員Ben Sasse與民主黨參議員Chris Van Hollen於2020年6月共同提出本法，並於2021年4月提出修正版本，期待美國政府進一步採取保護美國營業秘密的具體措施。 本法授權美國政府對涉及營業秘密重大竊盜的外國人及外國實體（foreign entity）實施制裁。重點包含： 1.要求美國總統每年應向國會提出報告，且第一份報告應於本法正式施行後6個月內提出，報告應列出符合以下條件之外國人、外國實體名稱及外國實體的執行長或董事會成員： (1)故意竊取美國營業秘密，且其行為很可能或已經對美國國家安全、外交、經濟、金融構成重大威脅者； (2)對上述故意竊取美國營業秘密之行為提供重要的財務、物質、技術、商品、服務等支援，或從中獲得利益者。 2.實施制裁 (1)針對外國實體，本法授權美國政府得實施的制裁手段有12項，包含根據國際緊急經濟權力法（International Emergency Economic Powers Act）凍結其資產、將該實體列入美國商務部的出口管制名單（Entity List）、禁止美國金融機構對該實體提供貸款、拒絕向該實體採購、禁止該實體的外匯交易、禁止美國人投資該實體的股票或債券、限制該實體成員入境、將該實體成員驅逐出境等。美國總統應針對名單中的對象實施至少5項制裁，並可對該外國實體之高層實施上述制裁。 (2)針對外國人，制裁手段包含凍結資產、拒絕入境、撤銷簽證等 3.豁免 總統若認為符合美國國家利益，得豁免對外國人及外國實體之制裁，但應於15天內向國會提交豁免的理由。 本法施行後，美國除了既有的《保護營業秘密法》（Defend Trade Secrets Act of 2016）外，將透過上述的制裁手段強化營業秘密的保護力道。 本文同步刊登於TIPS網站（https://www.tips.org.tw）
台灣、美國與日本對歐盟所徵收三項高科技產品進口關稅向WTO爭端解決小組（Panel）提出成立一個爭端解決小組台灣、美國與日本因為歐盟所徵收進口機頂盒、平板顯示器以及多功能列印三項科技產品的高進口關稅，於8月19日正式向世界貿易組織（WTO）爭端解決小組（Panel）提出成立一個爭端解決小組的請求。 WTO會員國於1996年針對特定的高科技產品簽署禁止課稅的「資訊科技協議」（WTO Information Technology Agreement，簡稱ITA），歐盟也同意依WTO關稅時程表取消「資訊科技協定」中所約定產品的關稅。然而，歐盟目前對進口的機頂盒課徵13.9%、平板顯示器14%以及對多功能列印機6%的高進口關稅。美國的貿易談判代表Susan Schwab表示，歐盟對所承諾事項相悖的行為，不僅違反1994年關稅及貿易總協定第2條，並有礙資訊科技產業的技術創新發展。該不公平的進口關稅，事實上也影響相關業者與消費者的權益。 依照複邊簽定而在次年生效的ITA協定，該協定下產品應為零關稅。但歐盟自前年起，以稅則附註等法規，將部分平面顯示器、具硬碟的機上盒及多功能事務機等新技術科技產品，以功能增強或有新功能為由，歸類為家電產品，排除適用同一協定。WTO爭端解決機構（The WTO dispute settlement body，簡稱DSB）將會於 8 月29日召開會議時對本爭端案件進行討論。
Google宣佈提供無線路由器擁有者可將其定位資料退出Google資料庫之機制全球搜尋引擎龍頭Google被發現於2008年3月至2010年5月間，透過其街道定位服務，違法蒐集位於荷蘭360萬個無線路由器（Wi-Fi routers）之資料。Google因其違法蒐集資料之行為，面臨140萬歐元之罰款。 由於荷蘭相當重視隱私保護之概念，因此Google之作法引起社會之爭議，在荷蘭社會反彈之壓力下，Google於11月15日宣布，同意提供民眾將其住家地點或公司行號之無線路由器識別碼資料退出Google資料庫之機制。路由器之擁有者可透過更改服務設定識別碼（Service Set Identifier, SSID）之方式，退出Google定位服務之資料庫。荷蘭個人資料保護主管機關首長Jacob Kohnstamm認為，Google之舉對於消費者隱私之保護具有正面之幫助。 Google所提供的定位服務主要是透過所蒐集之資訊，提供其開發的Android手機定位服務，利用所蒐集的定位資料使行動電話或者行動裝置之用戶得以定位其所在之位置，並且提供用戶當地氣象以及地圖資訊。除此之外，定位服務也增加Google對鄰近商號之廣告收益。Google實施退出資料庫之機制後，其必須另外以GPS系統進行定位，定位服務可能將發生不精確之情形，另外，也將使得行動裝置因需搜尋衛星訊號而耗費較多電力。Google全球隱私顧問Peter Fleischer指出，事實上Google的定位服務無法辨識個人資料，但Google認為提供退出資料庫機制更增進對於個人隱私之保護。 歐洲各國對於Google所蒐集之無線存取資料皆有隱私保護之疑慮，因此，除了荷蘭外，目前Google也在法國公告提供此項退出機制，未來將進一步於全球實施。