歐盟NIS 2指令生效，為歐盟建構更安全與穩固的數位環境
歐盟第2022/2555號《於歐盟實施高度共通程度之資安措施指令》（Directive (EU) 2022/2555 on measures for a high common level of cybersecurity across the Union, NIS 2 Directive）於2023年1月16日正式生效，其於《網路與資訊系統安全指令》（Directive on Security of Network and Information Systems, NIS Directive）之基礎上，對監管範圍、成員國協調合作，以及資安風險管理措施面向進行補充。
（1）監管範圍：
NIS 2納入公共電子通訊網路或服務供應、特定關鍵產品（如藥品與醫療器材）製造、社交網路平台與資料中心相關數位服務、太空及公共行政等類型，並以企業規模進行區分，所有中大型企業皆須遵守NIS 2之規定，而個別具高度安全風險之小型企業是否需要遵守，則可由成員國自行規範。
（2）成員國協調合作：
NIS 2簡化資安事件報告流程，對報告程序、內容與期程進行更精確的規定，以提升成員國間資訊共享的有效性；建立歐洲網路危機聯絡組織網路（European cyber crisis liaison organisation network, EU-CyCLONe），以支持對大規模資安事件與危機的協調管理；為弱點建立資料庫及揭露之基本框架；並引入更嚴格的監督措施與執法要求，以使成員國間之裁罰制度能具有一致性。
（3）資安風險管理措施：
NIS 2具有更為詳盡且具體之資安風險管理措施，包含資安事件回報與危機管理、弱點處理與揭露、評估措施有效性的政策與程序、密碼的有效使用等，並要求各公司解決供應鏈中的資安風險。
本文為「經濟部產業技術司科技專案成果」
- Directive on measures for a high common level of cybersecurity across the Union (NIS2 Directive), European Commission
- Directive on measures for a high common level of cybersecurity across the Union, European Commission
- Directive (EU) 2022/2555 of the European Parliament and of the Council of 14 December 2022 on measures for a high common level of cybersecurity across the Union, amending Regulation (EU) No 910/2014 and Directive (EU) 2018/1972, and repealing Directive (EU) 2016/1148 (NIS 2 Directive), EUR-Lex
- 製造業及技術服務業個資保護及資安落實－經濟部工業局112年企業個人資料保護暨資訊安全宣導說明會
- 【已額滿】2023科技研發法制推廣活動—科專個資及反詐騙實務講座
- 供應鏈資安國際法制與政策趨勢分享會
- 【實體】數位發展部數位經濟相關產業個資安維辦法說明會（南部場）
- 【線上】數位發展部數位經濟相關產業個資安維辦法說明會（南部場）
- 商業服務業個資保護宣導說明會
- 【實體】2024科技研發法制推廣活動— 科專個資及反詐騙實務講座
- 【直播】2024科技研發法制推廣活動— 科專個資及反詐騙實務講座
- 數位發展部數位產業署113年資訊服務業者個資安維辦法宣導說明會
- 電商零售業法制宣導說明會暨產學研座談會
- 數位海盜時代來臨–抵禦海上資安威脅的實踐與挑戰
- 零售業個資保護宣導暨座談會
- 零售業個資保護及資訊安全教育講習
羅文妗
副法律研究員 編譯整理
Directive on measures for a high common level of cybersecurity across the Union (NIS2 Directive), European Commission, https://digital-strategy.ec.europa.eu/en/faqs/directive-measures-high-common-level-cybersecurity-across-union-nis2-directive (last visited Mar. 1, 2023).
Directive on measures for a high common level of cybersecurity across the Union, European Commission, https://digital-strategy.ec.europa.eu/en/library/directive-measures-high-common-level-cybersecurity-across-union-0?pk_source=ec_newsroom&pk_medium=email&pk_campaign=dae%20Newsroom (last visited Mar. 1, 2023).
Directive (EU) 2022/2555 of the European Parliament and of the Council of 14 December 2022 on measures for a high common level of cybersecurity across the Union, amending Regulation (EU) No 910/2014 and Directive (EU) 2018/1972, and repealing Directive (EU) 2016/1148 (NIS 2 Directive), EUR-Lex, https://eur-lex.europa.eu/eli/dir/2022/2555 (last visited Mar. 1, 2023).
施弘文，〈歐盟通過網路與資訊系統安全指令〉，資訊工業策進會科技法律研究所，https://stli.iii.org.tw/article-detail.aspx?no=55&tp=1&d=7531（最後瀏覽日：2023/03/01）。
楊至善，〈美國國家公路交通安全管理局公布車輛網路安全最佳實踐，呼籲業界遵循〉，資訊工業策進會科技法律研究所，https://stli.iii.org.tw/article-detail.aspx?no=64&tp=1&d=8909（最後瀏覽日：2023/03/01）。
張瀠心，〈歐盟推出《網路韌性法案》補充歐盟網路安全框架〉，資訊工業策進會科技法律研究所，https://stli.iii.org.tw/article-detail.aspx?no=64&tp=1&d=8915（最後瀏覽日：2023/03/01）。
羅文妗，〈英國數位、文化、媒體暨體育部公布「應用程式商店經營者與開發者實踐準則」，強化消費者隱私與資安保護〉，資訊工業策進會科技法律研究所，https://stli.iii.org.tw/article-detail.aspx?no=64&tp=1&d=8921（最後瀏覽日：2023/03/01）。
日本外包法，正式名稱為外包價金給付遲延等防止法（下請代金支払遅延等防止法，又簡稱下請法），其制定目的在於確保大型企業外包其業務予中小型企業時之交易公正性，防止外包業者濫用其相對於承包業者之優勢地位，並保護承包之小型業者的利益，而該法的主管機關為公平交易委員會（公正取引委員会）。 依該法規定，於以下情形有本法之適用：（1）業者發包委託承包業者製造、修理物品與委託承包商提供該法授權行政命令訂定列舉的資訊成果產品（製作程式）或服務（運送、將貨品保管在倉庫、資訊處理），且發包之大型企業資本額 3億日圓以上、承包之小型企業資本額3億日圓以下，或發包企業資本額於3億元以下1000萬日圓以上、承包企業資本額在1000萬日圓以下時；或（2）業者發包委託承包業者作成非屬上述行政命令所列舉之資訊成果產品（如製作電視節目或廣告、設計商品、產品之使用說明書等）、或提供非屬行政命令列舉之服務（如維修建物或機械、提供客服中心服務等），且發包業者資本額5000萬日圓以上、承包業者資本額在5000萬日圓以下，或發包業者資本額在5000萬日圓以下1000萬日圓以上、承包業者資本額於1000萬日圓以下。 符合上開法定要件時，發包業者應訂定契約價金之給付期日，不得遲延給付價金，若給付遲延則有義務支付遲延之利息等，同時禁止發包業者拒絕受領承包業者交付的履約標的，禁止無故減少契約價金、退貨、或對承包業者採取報復性措施。若發包業者違反上述規定，則由日本中小企業廳或該發包業者之事業主管機關請求日本公平交易委員會（公正取引委員会）採取相應措施，該會則得據此針對該違反行為向發包業者作出書面勸告，同時對外公開該發包業者之公司名稱、其違反行為之事實概要、以及勸告內容的概要。此外，為防止口頭約定造成日後衍生交易糾紛，發包業者於下單時，應以書面明確約定並記載例如承包業者的履約標的、契約價金數額等法定應記載事項，並在下單後立即交付該書面予承包業者，如違反，得對該發包業者課予50萬日圓以下罰金。
日本經產省公布「伊藤報告3.0版」和「價值協創指南2.0版」，強調企業永續發展重要性日本經濟產業省於2022年8月31日公布「伊藤報告3.0版」（伊藤レポート3.0）和「為協力創造價值之綜合揭露、對話指南2.0版」（価値協創のための統合的開示・対話ガイダンス2.0，簡稱價值協創指南），強調企業永續轉型重要性。所謂永續轉型，係指社會永續發展與企業永續發展必須「同步」，及企業為此需要在經營面和產業面進行之改革。 「伊藤報告3.0版」整理企業推動永續轉型應採取之措施，包括必須根據社會永續性擘畫未來方向，並制定可實現長期價值之企業戰略、關鍵績效指標（Key Performance Indicators, KPI）、治理目標等。此外，伊藤報告也指出供應鏈全體（包含中堅、中小企業和新創企業等）和投資鏈上之參與者，都需要推動企業永續轉型。 為強化企業經營以實現永續轉型，經濟產業省同步修正「價值協創指南2.0版」，調整企業資訊揭露及對話方式，讓過程可以更有效率及建設性。指南修正重點包括：（1）全部項目都強調為實現永續社會，企業長期且持續提供價值的重要性及因應方向；（2）新設長期戰略項目；（3）確保「氣候相關財務揭露（Task Force on Climate-related Financial Disclosures, TCFD）」所提出之治理、戰略、風險管理、指標與目標之揭露架構與整合性；（4）於項目「實施戰略（中期經營戰略等）」中，強調人才戰略和人才投資重要性；（5）新設實質對話、約定項目。
科技計劃研發成果之讓與及終止維護-科技部審查程序所生疑義-科技計劃研發成果之讓與及終止維護 -科技部審查程序所生疑義- 資策會科技法律研究所 法律研究員 林思妤 105年04月28日 壹、前言 科技部目前提供產學合作計劃補助類型相當多元，有為產業發展前瞻技術的先導型計劃、為產業開發核心應用創新技術的開發型計劃，以及培育人才的應用型計劃[1]，但補助的目的均係期待產學合作的研發成果以授權方式，廣泛為社會大眾使用，發揮其最大之效益。 惟部分研發成果或有可能經執行單位評估後，認為將該研發成果讓與給廠商或是企業可達更大運用效益而進行的讓與，抑或是在運用效益不高的情況下擬終止繳納該研發成果的維護費用。當研發成果有讓與或終止維護需求的情況下，其程序如何進行、實質要件如何審查，在法規適用上非無疑義。本文將以現行「科技部研究成果歸屬及運用辦法」（下稱科技部成果歸屬辦法）中「讓與」、「終止維護」的程序及審查流程為主要對象，就其規定內容與所面臨之適用問題，進行研析並提出調修之建議。 貳、各部會成果歸屬辦法讓與、終止維護規定有差異 根據科學技術基本法第6條第3項[2]，行政院於2000年訂定「政府科學技術研究發展成果歸屬及運用辦法」，以供所屬各部會遵循。在主管機關階層，目前經濟部、農委會、國防部、原能會等也都有各自的成果歸屬辦法[3]，而科技部亦於2011年制定了「科技部科學技術研究發展成果歸屬及運用辦法[4]」。各部會之所以針對研發成果的運用方式給予規範，乃是由國家給予該研發成果補助的立場出發，希望能夠以授權的方式，尤其是非專屬授權的方式作為研發成果的運用，讓社會大眾有廣泛使用、享受該研發成果的機會[5]。因此，在政府的立場上，由各部會給予補助的研發成果要進行讓與或是走向終止維護，須根據其規範實行之。 科技部成果歸屬及運用辦法第9條至第11條為其科技計畫研發成果讓與、終止維護的程序進行方式以及審查項目之規範，其要求包括研發成果專利權在經過一定合理期間推廣之後若無授權使用，始得公告讓與該研發成果予第三人[6]，公告三個月後，無人請求受讓時，始得終止繳納該研發成果的維護費用[7]。 綜觀各部會成果歸屬辦法，科技部的規定和其他部會規範讓與、終止維護的目的相同，但在法條文字或是審查項目上則有所差異[8]： 一、在讓與、終止維護標的部分的比較，科技部是唯一一個將標的範圍限縮於研發成果專利權的單位。經濟部、國防部、衛福部、原能會以及農委會僅廣泛明文研發成果，而勞動部則是強調為研發成果智慧財產權。可見現行科技部成果歸屬辦法適用範圍之狹隘。 二、各部會在讓與、終止維護的審查規定上，大方向是一致的，皆規定了該研發成果必須是公開的，例如經過推廣（科技部）、公告（經濟部、衛服部、原能會），或是取得智慧財產權逾五年（國防部、農委會、勞動部）；以及須以授權為優先原則，諸如該研發成果無授權使用（科技部）、無運用價值（經濟部、國防部、原能會）、未商品化（衛福部）、未有實際應用（農委會、勞動部）。但究竟應如何推廣並未說明，公告時間則有三年、五年，差異甚大。 三、研發成果經過了一定時間的公開推廣並符合授權優先原則之後，其讓與評估的進行方式並未說明。在認定可否為讓與的部分，經濟部交由研發執行單位自行認定，其它部會並未明文；在公告讓與執行部分，有由研發執行單位自行公告，有由部會公告，亦有未明文者。 四、每個部會皆一致的將讓與、終止維護兩個不同的研發成果運用方式使其在同一個程序上進行，規定該研發成果公告讓與三個月之後，若無受讓對象，即可停止繳交該研發成果的維護費用[9]，是一個讓與、終止維護的連續性程序。 就上述各部會之間針對讓與、終止維護在規範上的比較，可觀察出，或許是各部會之間因研發成果性質相異而有不同考量所致，在類似的規範上仍存有前提條件上的差異；在審查項目上，要求也不一致。但各部會皆是讓與、終止維護的連續性程序，且審查項目亦皆有規範不明確的地方，例如推廣的方式。接下來，本文將就科技部讓與、終止維護的規範在適用上所產生的疑義作一分析，也期待此分析可提供其他部會在類似問題上作參考。 參、科技部研發成果讓與及終止之審查作業芻議 一、研認研發成果讓與之範圍 雖現行條文僅將研發成果限於「研發成果專利權[10]」，惟本文建議可放寬至所有研發成果，讓產學合作的研發成果能有更大的運用空間，類型能夠更加多元化，尤其是專利申請權的部分。建議納入專利申請權成為讓與標的，因為在實務上研發執行單位有礙於經費問題，無法在其研發成果的特定市場（例如國外）進行專利佈局。故建議可納入專利申請權讓與企業申請，使研發成果發揮其更大效益。 二、讓與、終止維護程序疑義 (一) 讓與、終止維護無法各自依其目的審查 目前科技部成果歸屬辦法規定是由研發執行單位就其欲讓與的研發成果先行評估是否適合讓與，再進行公告尋求受讓對象，也就是在尚未確定受讓對象時，先行評估讓與條件。這樣的程序規定並無法讓研發執行單位針對受讓對象作具體評估，也使得科技部無法就雙方條件進行有效實質審查。再者，研發成果公告讓與三個月後，若無受讓對象，即終止維護。這樣的連續性程序將有可能使尚有運用價值的研發成果走向終止維護，甚是可惜。 (二) 建議讓與、終止維護程序分軌 針對上述在程序上的兩個問題，本文建議無論是在讓與或是終止維護方面，都應在確定推廣一定合理期間、確無授權使用情形後，就先行公告讓與，待有受讓對象時，再就該讓與研發成果及受讓對象之間作具體評估。相信在確有受讓對象之後作的讓與條件評估，會比現行在沒有受讓對象時作的一般性讓與條件評估更有實質效益。 另外，欲終止維護的研發成果也應該在公告讓與一定時間之後，設有專屬的審查程序，就其運用效益、價值進行評估，而非如現行規範接續著讓與評估程序，在公告三個月後無受讓人時，即終止繳納維護費用。簡而言之，讓與或是終止維護均應該先行公告，再就其公告結果（有無受讓對象）作讓與、終止維護的評估，以避免有運用價值的研發成果落入終止維護的風險。 三、讓與、終止維護審查重點 就實質審查部分，不管是讓與或是終止維護，研發執行單位都應該先就該研發成果標的範圍進行說明，並針對經過一定合理期間推廣、確無授權使用情形提出自評結果及其相關佐證文件，再交由科技部審查。基於讓與、終止維護程序分軌的建議，兩者在部分審查項目上亦應有不同的判斷標準，例如讓與之前提即不宜以無技術服務之效益及運用價值為條件[11]。因此，本文認為其審查重點應有如下調整： (一) 一定合理期間推廣該研發成果至全國周知平台 就一定合理期間部分，現行法並未明文規定具體期間，慮及科技發展日新月異，研發成果之市場競爭力究竟可以維持多久，抑或是在多少時間之內可能被其他技術取代，不同的研發成果都不盡相同，實難具體規定所謂一定合理期間，故維持現行法之文字應無不妥。 惟就推廣方式或是宣傳平台，本文擬對現行規範以及實務上的作法提供建議。在規範部分，比較各部會之間針對讓與、終止維護的規範後，發現僅國防部有具體訂定公告方式：「前項公告，執行單位應以刊登網際網路、全國性報紙、函告業界相關公會 或辦理說明會等方式為之[12]」。另外，行政程序法第一五四條第二項「行政機關除為前項之公告外，並得以適當之方法，將公告內容廣泛周知。」強調了全國性能見度。在實務上，部分大學技轉中心也提供了推廣平台（例如交大專利推廣平台[13]）。又如英國牛津大學技轉中心Isis，目前在國際專利申請（PCT[14]）的數量排名全球第16名，截至2015年3月為止，已完成75件專利授權案件[15]。由國內外的例子看來，不管是規範上，或是實務運作上，皆可看出推廣平台的重要性。故本文建議推廣平台應有必要限於全國周知的平台[16]。 (二) 市場價值的判斷 科技部成果歸屬辦法第9條第1項提及「技術服務之效益及運用價值者」，在此，本文以市場價值稱之。而即將讓與或是終止維護的研發成果的市場價值在審查上自有其不同的判斷標準。就讓與部分，本文建議在讓與、終止維護程序分軌、先行公告讓與、確有受讓對象後，研發執行單位在自行評估讓與條件時，可請受讓對象提出針對該研發成果的預期發展效益，例如：產品研發進度、預計銷售量、讓與條件，作為讓與標的市場價值的說明。至於終止維護的部分，除了研發執行單位必須說明沒有運用價值以外，尚有一種情況是因為該研發成果維護費用過高，以至於與運用價值不合比例，因此走向終止維護。 肆、結語 科技部以及各部會基於期待其所補助的研發成果能夠廣泛被社會大眾使用，而以授權為研發成果的優先運用方式，並對讓與、終止維護部分加以規範。然後現行程序規範中，未將讓與、終止維護兩個不同的研發成果處理程序分別處理，造成兩者無法各自依其目的審查，甚至使尚有運用價值的研發成果走向終止維護，故本文建議應對讓與、終止維護程序進行分軌。又為了讓產學合作的運用更有彈性，建議放寬現行條文讓與標的的範圍由「研發成果專利權」擴大至「所有研發成果」。 本文就推廣該研發成果至全國周知平台以及市場價值在讓與、終止維護之間不同的判斷標準提供淺見，目的在於是讓研發執行單位在研發成果的運用上有更明確具體的法規遵循，使我國產學合作發展能夠日趨順利。但如何在希望達到社會大眾廣泛使用與適合該研發成果的運用方式之間，像是廠商或是企業往往偏向實質獲得研發成果所有權，取得一個平衡點，值得思考。 [1] 科技部產學及園區業務司產學合作計劃，http://web1.most.gov.tw/spu/ch/list?menu_id=03dbe285-8784-4be5-a5c9-1520f63676f5&view_mode=listView（最後瀏覽日，2016/4/14）。 [2]科學技術基本法第6條第3項：「前二項智慧財產權及成果之歸屬及運用，應依公平及效益原則，參酌資本 與勞務之比例及貢獻，科學技術研究發展成果之性質、運用潛力、社會公 益、國家安全及對市場之影響，就其目的、要件、期限、範圍、全部或一 部之比例、登記、管理、收益分配、迴避及其相關資訊之揭露、資助機關 介入授權第三人實施或收歸國有及相關程序等事項之辦法，由行政院統籌 規劃訂定；各主管機關並得訂定相關法規命令施行之。」。 [3] 王立達，「我國學術機構技術移轉法制現況、問題與探討」，全國律師13卷1期，2009年1月，47-59頁。 [4] 「科技部科學技術研究發展成果歸屬及運用辦法」，2011年7月1日，https://tw.news.yahoo.com/%E6%98%8E%E5%B9%B4%E9%80%A3%E7%BA%8C4%E5%A4%A9%E5%81%87%E6%9C%894%E5%80%8B-215005744.html（最後瀏覽日，2016/4/8）。 [5] 現行研發成果的運用、商品化的方式主要有授權、讓與或是以該技術成立新創公司等方式，若從商業化、市場競爭力的角度考量，一個研發成果的運用方式自是依其性質判斷。一般來說，廠商或是企業並不願意以授權，尤其是非專屬授權的方式，運用該研發持果，因為非專屬授權的方式通常商業價值不高。 [6]「科技部科學技術研究發展成果歸屬及運用辦法」第9條第1項：「研發成果專利權經執行研究發展之單位推廣一定合理期間後，評估無授權使用或技術服務之效益及運用價值者，基於符合公益之目的或為促進整體產業發展、提升研發成果運用效益等原則，執行研究發展之單位循內部行政程序辦理研發成果讓與相關評估後，得備函檢具相關文件向本部申請讓與第三人；文件不全或不符規定者，不予受理。」 [7]] 「科技部科學技術研究發展成果歸屬及運用辦法」第10條：「執行研究發展之單位依前條評估原則及處理程序申請讓與，並經本部同意讓與後，始得公告讓與之，三個月內無人請求受讓時，得終止繳納研發成果維護費用」。 [8] 各部會成果歸屬及運用辦法在讓與、終止維護的條號： 科技部科學技術研究發展成果歸屬辦法，100年7月1日發布，104年6月11日修正：第9、10、11條 經濟部科學技術研究發展成果歸屬辦法，89年5月19日發布，103年8月13日修正：第22條 國防部科學技術研究發展成果歸屬辦法，96年4月19日發布，103年5月7日修正：第24條 衛福部科學技術研究發展成果歸屬辦法，99年1月20日發布，105年2月25日修正：第24條 勞動部科學技術研究發展成果歸屬辦法，100年7月12日發布，104年6月16日修正：第2條第1項 行政院原子能委員會科學技術研究發展成果歸屬辦法，93年7月7日發布，103年2月18日修正：第26條 行政院農業委員會科學技術研究發展成果歸屬辦法，90年9月14日發布，102年2月6日修正：第20、27條 [9] 「科技部科學技術研究發展成果歸屬及運用辦法」第10條：「執行研究發展之單位依前條評估原則及處理程序申請讓與，並經本部同意讓與後，始得公告讓與之，三個月內無人請求受讓時，得終止繳納研發成果維護費用」。 [10] 「科技部科學技術研究發展成果歸屬及運用辦法」第9條第1項：「研發成果專利權經執行研究發展之單位推廣一定合理期間後， ⋯⋯。」 [11] 「科技部科學技術研究發展成果歸屬及運用辦法」第9條第1項：「研發成果⋯，評估無授權使用或技術服務之效益及運用價值者，⋯。」 [12] 國防部成果歸屬辦法第24條：「執行單位取得一般研發成果已逾五年而經其評估認定不具運用價值者，除法令另有規定外，得發布讓與之公告。自公告之日起，三個月內無人請求受讓者，得經本部核准後，終止繳納維護智慧財產權相關之費用。前項公告，執行單位應以刊登網際網路、全國性報紙、函告業界相關公會 或辦理說明會等方式為之。」 [13] 交大專利授權暨拍賣平台，http://patent.nctu.edu.tw/bid（最後瀏覽日：2016/04/22）。 [14] PCT-the International Patent System，http://www.wipo.int/pct/en/（最後瀏覽日：2015/04/22） [15] Isis Innovation Limited, http://isis-innovation.com/（最後瀏覽日：2016/04/22）。 [16] 像是I-ACE鏈結產學媒合平台，https://iace.stpi.narl.org.tw/search;jsessionid=9992E4BD21C8959EAF83F1F6D8AD47F3，政府研究資訊系統GRB，https://www.grb.gov.tw/，（最後瀏覽日：2016/04/25）。
美國提出個人資料安全及外洩通報法草案華盛頓特區於今〈2010〉年8月5日由阿肯薩州及維及尼亞州參議院議員Pryor及John Rockefeller所倡議之「個人資料安全及外洩通報法」〈Data Security and Breach Notification Act of 2010〉，其旨趣，在於統一美國各州不同個資外洩通報法，並嘗試為消費者個人資料之安全及隱私設定全國性的標準。 Pryor法案曾於2007年提出，惟當時未能通過，其立法緣由係為處理美國各州、聯邦及國際間政府對個資安全與日俱增之重視。其規範內容，在要求處理及儲存消費者私人資訊，諸如「社會安全碼」〈social security numbers〉之企業，一旦發生資料外洩事件，需對國家提出通報，如該事件對消費者產生現實的「身分盜竊」〈identity theft〉或「帳戶詐欺」〈account fraud〉風險，則應於發現個資外洩六十日內通知受影響之消費者。 Pryor法案之適用對象甚廣，故有認為，該法一旦通過，其將成為繼美國金融服務法〈the Gramm-Leach-Bliley Act，簡稱GLBA〉後的模範法典，其適用對象包括受GLBA規範之金融機構及任何個人〈any individual〉、合夥〈partnership〉、公司〈corporation〉、信託〈trust〉、工地產產業〈estate〉、合作社〈cooperative〉、協會〈association〉、維持或傳送「敏感的會計資訊」或「敏感的個人資訊」之業主〈entity that maintains or communicates “sensitive account information” or “sensitive personal information”〉，但並不包括任何政府辦事處或其他聯邦、州政府單位、地方政府〈any agency or other unit of the federal,state, or local government〉或任何其下所再劃分之單位〈any subdivision thereof〉。 惟此一倡議中之資料安全立法不論法令遵循或執行皆有一定難度，因該法雖要求對超出「損害門檻」之資料外洩需對消費者通報，但對「損害門檻」並無明確定義。此外，受影響之企業似無實行適當風險評估之誘因，除需耗費大量成本評估外洩事件是否超過損害門檻外，尚需面臨企業名譽受損與客戶不滿之損失，在個資外洩要素風險指導原則付之闕如之情形下，企業恐無法客觀地評估自身個資外洩之風險。故有建議，解決之道，應明定損害門檻，並聘請外部專家或使用市場新工具，訂定客觀的指導原則，使企業在處理個資外洩問題時能減輕混亂及鼓勵評估結果的一致性並縮短風險評估的時間。 就資訊安全部分，此法案揭櫫於其通過一年內，美國商務、科學及交通委員會〈Committee on Commerce, Science, and Transportation〉應頒布規定，要求擁有或處理含有個人資料或契約之企業，必須建立並執行蒐集、使用、出售，及其他傳播、維持個人資訊之資訊安全政策，以達保護個人資料之目的。