英國、新加坡領導全球發布供應鏈勒索軟體防護指引
在勒索軟體攻擊快速進化、供應鏈弱點成為主要攻擊途徑的背景下，英國於10月24日發布「全球性供應鏈勒索軟體防護指引」（Guidance for Organisations to Build Supply Chain Resilience Against Ransomware），該指引係由英國與新加坡共同領導的「反勒索軟體倡議」（Counter Ransomware Initiative, CRI）框架下推動，旨在協助各國企業降低勒索軟體事件的發生率與衝擊。該指引獲得CRI 67個成員國與國際組織的支持，標誌國際社群在供應鏈資安治理上的最新進展。
國內政部（UK Home Office）指出，勒索軟體已成全球關鍵基礎設施與企業最主要的威脅之一。根據IBM發布之2025年資料外洩報告（Cost of a Data Breach Report 2025）估計，單一勒索攻擊的全球平均成本高達444萬美元。隨著攻擊手法演進，勒索攻擊已由單點入侵擴大為透過供應鏈滲透，攻擊者常以第三方服務供應商為跳板，一旦供應商遭入侵，即可能向上或向下影響整體產業鏈。英國2024年醫療檢驗服務供應商Synnovis遭勒索軟體攻擊事件，即造成數千次門診與手術延誤，凸顯供應鏈風險的實質衝擊。
該指引從供應鏈角度提出四大防護方向，英國政府與CRI強調，企業應在營運治理、採購流程與供應商管理中系統性導入相關措施，包括：
一、理解供應鏈風險的重要性
在高度互聯的數位環境中，供應鏈已成為勒索軟體攻擊的主要目標，企業應將供應鏈資安視為營運韌性與組織治理的核心要素。
二、辨識關鍵供應商與其資安成熟度
企業應建立完整的供應商清冊，評估其資安控管措施、過往資安事件紀錄、營運與備援能力、保險安排，以及其可存取之系統與資料範圍。
三、在採購與合約中落實資安要求
企業應要求供應商具備基本資安控制措施，包括多因素驗證、系統更新與修補管理、網路分段、安全設定及惡意程式防護等。
同時，合約中應納入資安事件通報義務、稽核權限、營運復原計畫及違規處置機制，並鼓勵供應商採用國際資安標準，例如Cyber Essentials與ISO/IEC27001。
四、持續檢討並更新防護措施
企業應與供應商共同檢討已發生事件及未實際造成損害但已暴露潛在風險之情形（Near Miss，即近乎事故），不論是否構成正式資安事件，均應納入檢討範圍；並定期進行資安演練、共享威脅情資，依攻擊趨勢滾動修正合約與內部規範。
指引同時指出，供應鏈常見弱點包括過度依賴少數供應商、缺乏供應鏈可視性，以及資安稽核與驗證機制不足。英國政府與CRI亦強調，雖然網路保險可作為風險管理工具之一，但無法取代基本且持續的資安防護措施。
該指引適用範圍涵蓋科技、資訊服務、能源、公用事業、媒體與電信等多個產業，顯示供應鏈資安已成全球營運安全的共同課題。英國與新加坡呼籲企業及早建立制度化的供應鏈資安治理架構，以強化全球數位經濟的整體韌性，降低勒索軟體攻擊帶來的系統性風險。
- 零售業個資安全宣導暨安全維護計畫規劃說明會
- (已額滿)114年「企業營業秘密保護實務座談會」(北部場)–營業秘密因應數位環境之保護風險及管理對策
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(實體)
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(直播)
- 【台北場1】通訊傳播事業個資法遵教育訓練
- 【台中場】通訊傳播事業個資法遵教育訓練
- 【新北場】通訊傳播事業個資法遵教育訓練
- 【高雄場】通訊傳播事業個資法遵教育訓練
- 【台北場2】通訊傳播事業個資法遵教育訓練
- 114年「企業營業秘密保護實務座談會」（南部場）
- 114年「企業營業秘密保護實務座談會」（中部場）
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
日本網路販售藥品爭議 科技法律研究所 2013年12月31日 壹、事件摘要 網路販售藥品的爭議，日本從早期未明文規定，但於2006年時，日本修正藥事法，將藥品區分為第一類、第二類、第三類藥品，並限制得販賣各類藥品之資格；2009年6月，日本厚生勞動省進一步公布修正日本藥事法施行細則，禁止於網路上販售第一類及第二類藥品，此一修正，引起日本網路商家的反對，認為施行細則禁止網路販售第一、二類藥品之規定已超出藥事法之授權範圍，並據以提起行政訴訟。歷經各審級的訴訟後，東京最高法院於2013年1月判決厚生勞動省敗訴確定，確認得於網路販藥品。 另一方面，2013年6月，日本內閣所提出的「日本經濟再興戰略」亦確認將網路販售藥品的解禁作為重要原則。在經過一連串的公聽會及檢討會議之後，日本於2013年12月通過新修正的藥事法(下稱新法)，依新法之規定，除經厚生勞動省認定為危險性極高之劇藥或毒藥外，99.8%的一般用藥品已經可以合法於網路上販售。 以下，本文首先簡單說明日本2006年藥事法以及2009年厚生勞動省所公布的藥事法施行細則中針對藥品之分類與藥品販售等相關限制規定，並整理東京最高法院判決厚生勞動生敗訴之理由，最後再介紹2013年12月所修正之藥事法內容，盼能透過日本對於網路販售藥品之處理歷程，促使我國能夠重新思考網路販售藥品之管制及其容許性。 貳、重點說明 一、日本藥事法規 （一）藥事法（2006年） 2006年所通過之藥事法，對於藥品分類及販售限制等，其規定如下： 1.藥品分類 藥品可分為「醫療用藥品」及「一般用藥品」，「醫療用藥品」需有醫師處方箋始可取得；「一般用藥品」則可在一般店鋪或藥局自行購買。一般用藥品，以對人體之副作用及風險之等級作區分，分為高風險之第一類藥品、風險較次之第二類藥品、以及低風險之第三類藥品（藥事法第36條之3）。 2.藥品販售 藥事法第36條之5規定，藥局開設者、店鋪販售業者或配製販售業者，對於一般藥品，應依照厚生勞動省令之規定進行販售或交付，第一類藥品須由藥劑師為之，而第二類及第三類藥品則得由藥劑師或登錄販售者為之。 3.資訊提供義務 第一類藥品之販售，須使用記載厚生勞動省所定事項之書面，提供適切服用之必要資訊（藥事法第36條之6第1項）。相對於第一類藥品之情報提供義務，藥事法對於第二類藥品之販售則係課予「努力義務」（藥事法第36條之6第2項）。 4.販售方式限制 藥局開設者或店鋪販售業者，不得透過店鋪販售或交付以外的方法，而配置販售業者（配置販售業係日本特有的藥品販賣行業，其業務型態是以將各項藥品裝箱後配送到需求單位，而在經過一段時間後依照需求單位之使用量來計算收費金額）不得透過配置以外方法，販售、交付藥品、或基於販售或交付目的而儲藏或陳列藥品（藥事法第37條）。 （二）藥事法施行細則（2009年） 2009年厚生勞動省所公布之藥事法施行細則，對於網路販售藥品之相關限制規定如下： 1. 禁止通信販售 藥事法施行細則第15條之4規定，除第三類藥品外，不得進行通信販售，即對於未親臨藥局之消費者，不得以郵寄等方式進行藥品之交付，亦不得以網路販售。 2.面對面販售原則 藥事法施行細則第159條之14規定，藥局開設者、店鋪販售業者或配置販售業者，為販賣各類藥品，應設有符合藥事法第36條之5所定資格之藥劑師或登錄販售者，並由其於販售現場與消費者面對面進行販售（面對面販售原則）。但是，如為第三類藥品之通信販售，則不在此限。 3.資訊提供義務的履行方式 藥事法第36條各項之情報提供義務或努力義務之履行，須於藥品販售時與消費者面對面進行之（藥事法施行細則第159條之15至第159條之17）。因為施行細則規定了面對面販售之原則，而網路販售藥品因無法符合面對面販售原則，故第一類及第二類藥品被認定為禁止於網路販售。 二、東京最高法院判決 2009年藥事法施行細則禁止網路販售第一、二類藥品後，相繼對網路販售藥品之業者開罰，其中二家業者認為藥事法施行細則之規定已超出藥事法所授權的範圍，並據此提起行政訴訟。如前所述，東京最高法院判決厚生勞動省敗訴確定，其理由如下： （一）對於藥品販售方式之限制須遵守法律保留原則 為確保藥品安全性，避免不良藥品侵害國民之生命、健康，藥事法對於藥品之製造、販售等設有各種規制，有其必要。對於藥品的販售方式是否限定須於「店舖內為之」或必須符合「面對面販售原則」，涉及到憲法第22條所保障之職業活動自由，若欲為限制，須以法律或授權命令為之。 （二）厚生勞動省所定之施行細則逾越法律授權範圍 藥事法第36條之5規定，販售第一類藥品必須由藥劑師，第二類、第三類藥品由藥劑師或登錄販售者進行販售，所限制者為販售藥品之資格，施行細則第159條之14要求藥劑師或登錄販賣者須在藥局、店鋪或配置場所等進行面對面販售，已超出藥事法第36條之5的授權範圍。 藥事法第36條之6規定藥品資訊提供之義務等，而應提供之資訊則由厚生勞動省定之，且藥事法第36條之6並未規定不得以電磁紀錄方式為之；施行細則第159條之15至第159條之17規定必須面對面進行，亦已超出藥事法第36條之6的授權範圍。 （三）立法者無限制網路販售之意 從立法體系觀之，藥事法第35條之5規定藥品販售資格；藥事法第36條之6則規定資訊提供義務；而對於藥品販售方式的限制，於藥事法第37條另有規定，故藥事法若對網路販售藥品進行限制，應於藥事法第37條規定。再從立法沿革觀之，藥事法於修正前並未針對網路販售藥品進行限制，而藥事法在2006年修正後亦無此限制。且參考修法討論之部會檢討報告書及厚生勞動大臣於國會審議時之答辯，均未表明禁止網路販售藥品之旨趣。故此，可推知立法者並無限制網路販售之意思，因此，厚生勞動省以施行細則限制網路販售藥品，已逸脫藥事法之立法意旨。 （四）自文義解釋無法得到禁止網路販售之意旨 藥事法第37條之文義，並無法看出明文禁止網路販售之意旨，其所稱「店鋪販售」，應指須在營業地點為之，而非僅得於店鋪進行販售。若解為僅得於實體店面交易，則藥事法施行細則第15條之4及第159條之14另規定第三類藥品得網路販售，豈非自相矛盾。 三、新藥事法（2013年） （一）要指導藥品 新藥事法第4條第5項增設「要指導藥品」，包括毒藥、劇藥、以及從醫療用藥品轉為一般用藥品後而未超過厚生勞動省所定評估期間之藥品等。對於「要指導藥品」之販售，必須讓藥劑師依面對面販售原則，將相關資訊提供給消費者。 （二）資訊提供義務 新藥事法第36條之10亦分別對於第一類及第二類藥品課予資訊提供義務及努力義務，與舊法不同之處在於使用記載厚生勞動省所定事項之書面，提供適切服用之必要資訊時，增設「電磁紀錄」之提供方式。亦即，網路販售藥品，以電磁紀錄方式履行資訊提供義務，只要該電磁紀錄包含厚生勞動省所定之事項及表示方法，亦符合法規範之要求。因此，無論第一、二、三類藥品，自新藥事法施行後，已經可以合法地進行網路販售。 參、事件評析 隨著電子商務的蓬勃發展，網路購物對於消費者而言已經從一個新鮮未知的事物變成了日常生活的一部分，而透過網路買賣一般用藥品，在替消費者帶來了莫大便利的同時，也為藥品販售業者帶來極大的商機。然而，在促進生活便利性以及網購商機的同時，國民健康的保護亦為政府所關心之課題。為保障國民服用藥品之安全，藥品販售者應使消費者充分瞭解藥品的正確服用方式、劑量以及服用之注意事項及風險等。 網路販售藥品的爭議，日本從早期未明文規定，歷經2006年藥事法修正、2009年厚生勞動省公布藥事法施行細則限制網路販售第一類及第二類藥品、2013年1月東京最高法院判決厚生勞動省敗訴確定、2013年6月「日本再興戰略」確認開放網路販售藥品之原則、一直到2013年12月再度修正藥事法，明文規定除了經厚生勞動省認定之劇藥、毒藥等「要指導藥品」（目前約有28項藥品）需由藥劑師依對面販售原則，面對面向消費者說明藥品資訊外，一般用藥品可藉由網路以電磁紀錄方式履行資訊提供義務。從此，網路販售藥品已成為合法的藥品販售方式之一。 網路販售藥品究竟應予開放或禁止，涉及到國民健康、國民生活便利性的保障、以及業者職業自由的限制，如何在三者間找到平衡點。一直為各界所爭執，而我國對於網路販售藥品之問題，一向採取嚴格禁止之作法，新聞時事亦常見到民眾因於網路販售隨處可見之一般藥品而遭受處罰之案例。然而，此種於一般商店亦可販售之藥品，其禁止於網路販售之理由何在？其依據為何？對照日本之處理歷程，我國未來是否仍要全面禁止網路販售藥品，值得吾人重新思考。
日本2017年5月30日修正施行之個人資料保護法，對於家長會蒐集、處理、利用個人資料之影響依日本2017年5月30日修正施行之個人資料保護法的最新規定，家長會、同學會、管委會等，就個人資料的蒐集、處理、利用，應與以蒐集、處理、利用個人資料為業之公司行號，在法律上承擔相當之責任、義務。 因此自2017年5月30日起，家長會蒐集、處理、利用個人資料，需要注意以下四點： 一、經當事人請求，應刪除其個人資料。 修正後的個人資料保護法施行後，明知未經或不確定是否經學生監護人同意，而取得其個人資料，都是違法的行為。但目前已經取得的個人資料，即使明知未經或不確定是否經學生監護人同意，也不需要立即刪除。惟若當事人請求刪除，則必須立即刪除。 二、學校應善盡告知之義務，取得學生監護人之同意後，方得將其個人資料轉交家長會蒐集、利用、處理，。 修正後的個人資料保護法允許由學校取得學生監護人之同意後，將其個人資料轉交家長會蒐集、利用、處理。但如果校方未充分盡到告知義務，則有違法之虞。實務上在九州的熊本曾經發生過這樣的案例，由於家長會未依法蒐集、處理、利用其個人資料，監護人提起告訴，最後雙方在二審達成和解。 三、經過監護人同意，方得將其個人資料造冊並刊登照片 由於須明確取得學生監護人之同意，方得將其個人資料造冊並刊登照片。因此為避免學校未善盡告知義務，建議家長會直接請監護人填妥加入家長會之同意書，並於同意書上載明授權蒐集、處理、利用其個人資料之範圍。 四、遵從個人情報保護委員會的指導 若家長會有非法蒐集、利用、處理個人資料之虞，個人情報保護委員會可以檢查並限期改正。屆期如未改正，可裁處罰金或懲役。
EDPS發布「評估限制隱私權和個人資料保護基本權利措施之比例指引」歐盟資料保護監督機關（European Data Protection Supervisor, EDPS）於2019年12月19日發布「評估限制隱私權和個人資料保護基本權利措施之比例指引」（EDPS Guidelines on assessing the proportionality of measures that limit the fundamental rights to privacy and to the protection of personal data），旨在協助決策者更易於進行隱私友善（privacy-friendly）之決策，評估其所擬議之措施是否符合「歐盟基本權利憲章」（Charter of Fundamental Rights of the European Union）關於隱私權和個人資料之保護。 該指引分為三大部分，首先說明指引的目的與如何使用；第二部分為法律說明，依據歐盟基本權利憲章第8條所保護個人資料的基本權利，並非絕對之權利，得於符合憲章第52條（1）之規定下加以限制，因此涉及處理個人資料的任何擬議措施，應進行比例檢驗；指引的第三部份則具體說明決策者應如何評估擬議措施之必要性和比例性之兩階段檢驗： 必要性檢驗（necessity test） （1） 步驟1：初步對於擬議措施與目的為詳細的事實描述（detailed factual description）。 （2） 步驟2：確定擬議措施是否限制隱私保護或其他權利。 （3） 步驟3：定義擬議措施之目的（objective of the measure），評估其必要性。 （4） 步驟4：特定領域的必要性測試，尤其是該措施應有效（effective）且侵害最小（the least intrusive）。 若前述評估認為符合必要性，則接續比例性檢驗，透過以下4步驟評估： 比例性檢驗（proportionality test） （1） 步驟1：評估目的正當性（legitimacy），擬議措施是否滿足並達到該目的。 （2） 步驟2：擬議措施對隱私和資料保護基本權的範圍、程度與強度（scope, extent and intensity）之影響評估。 （3） 步驟3：繼續進行擬議措施之公平對等評估（fair balance evaluation）。 （4） 步驟4：分析有關擬議措施比例之結果。 科技時代的決策者在立法和政策擬定時，面臨的問題愈趨複雜，需要全面性評估，擬議措施限制應符合歐盟法規，且具必要性並合於比例，隱私保護更是關鍵，參酌該指引搭配EDPS於2017年發布之「必要性工具包」（Necessity Toolkit），將使決策者所做出的決策充分保護基本權利。
「自動駕駛車(self-driving car)」可否合法上路?「自動駕駛車(self-driving car)」一般而言係指於汽車安裝感測器(sensors)以及軟體以偵測行人、腳踏車騎士以及其他動力交通工具，透過控制系統將感測到的資料轉換成導航道路，並以安全適當的方式行駛。其目前可分為兩類：「全自動駕駛車(full autonomous)」以及「半自動駕駛車(fully autonomous)」，全自動駕駛車係指可於指定地點出發後不需駕駛人(driver)在車上而到達目的地者之謂。全自動駕駛車又可為「用戶操作(user-operated)」與「無人駕駛車(driverless car)」。 目前包含賓士(Mercedes)、BMW、特斯拉(Tesla)等公司均預期於不久將來會發布一些具備自動駕駛特徵的車種，科技公司如Google亦對於自動駕駛車的科技研發不留餘力。 而從2012年開始，美國有17州以及哥倫比亞特區便開始在討論允許自動駕駛車上路的相關法規，而只有加利福尼亞州(California)、佛羅里達州(Florida)、內達華州(Nevada)及華盛頓哥倫比亞特區(Washington, D.C.)有相關法律的施行，其他州則尚未表態。而大部分的州傾向認為應由人類來操控(operating)汽車，但對於具體上到底有多少比例之汽車任務需由人類操控而多少比例可交由機器則尚有模糊空間。而是否肯認「人工智慧操控」符合法規之「人類操控」亦不明朗。不過在法律存有這樣灰色地帶時刻，Google搶先於加利福尼亞州進行測試其自動控制系統，期望之後於自動駕駛車逐漸上市普及後能搶占商機。