RFID系统中的安全和隐私管理教案解析.pptVIP

电子权利法草案 美国华盛顿州议员Jeff Morris提出的电子权利法草案 (Electronic Bill of Rights)，主张禁止在未告知消费者的情况下收集、储存和公开通过RFID技术获得的资讯，内容主要规范： 使用主动或被动RFID设备的所有公司应关闭这些设备，或者事先徵得消费者的同意 禁止厂商在服务和退款时要求RFID标签 电子权利法草案（续） 禁止厂商或个人在没有事先征求消费者同意的情况下扫描或读取RFID设备 使用从RFID设备取得之资讯的厂商，必须使用产业标准来确保资讯安全 RFID权利法草案 美国麻省理工学院之学者Simson Garfinkel所提出的RFID权利法草案 (RFID Bill of Rights)，主要提出消费者在商家使用RFID的情况下应享有的权利，内容包含： 消费者有权知道商品是否含有RFID标签 商品结帐后消费者有权要求商家将商品上之RFID标签移除或使其失效 RFID权利法草案（续） 即使消费者移除RFID标签，仍应享有购买产品之售后服务权利 消费者有权知道RFID标签上储存的资讯 消费者有权知道标签在何时、何地以及为何被读取 标签资料拥有权之探讨 RFID标签记载之资料是否足够导致个人资料有揭露的危险？ RFID标签记载之资料如包含姓名、电话、地址、身分证字号及出生年月日等，均应属于特定人之个人资料，此等资料非经当事人同意，不得记载于RFID标签上；但较有疑问的是下列资讯是否属于个人资料： 就诊记录、病史及使用药物资讯：此部分依多数国家之立法案例，亦属于个人资料之范畴，故非经当事人同意，不得记载于RFID标签上 标签资料拥有权之探讨（续） 地点追踪：如产品位置等，通常不属于个人资料，但产品离开消费场所（结帐后）或进入私人场域时，RFID标签是否可以持续追踪并定位，应持否定见解 使用记录：如产品或场所使用记录等，如管理委员会设置之门禁管制进出社区记录，或学校图书馆进出或借阅书籍记录，是否属于个人资料，实务倾向否定 关于消费者购买产品时之购物品牌、种类、金额、购买地点及日期是否属于特定人之个人资料？显有疑义；按该资讯通常不足以识别该个人之资料，但经蒐集整理分析后，可能归纳出个人购物特性及习惯 标签资料拥有权之探讨（续） RFID标签记载之资料属于何人所拥有？ RFID标签记载资料之所有权在RFID使用人使用区域，应属于RFID使用人所有，但产品移转所有权时，RFID标签记载资料应属于消费者所有，并有自行删除RFID标签记载资料之权利；如Wal-Mart就准备广发手册告诉消费者，只要结完帐，就可以撕下标签 标签资料拥有权之探讨（续） 第三者是否有利用或拦截标签资料之权利？ RFID使用者使用RFID时，应该已经先考虑RFID标签记载资料具有公开传输之特性，并有期待他人使用之可能性；但第三者在使用这类资料是否需取得当事人同意，则应视是否属于个人资料而定。 法律面的解决方式 部分美国隐私权保护相关团体及消费者团体已发起抵制行动 CASPIAN(Consumers Against Supermarket Privacy Invasion and Numbering)等，甚至于2003年推动「2003年RFID受告知权法案」（RFID Right to Know Act of 2003） 美国电子隐私资讯中心（Electronic Privacy Information Center, EPIC）于2004年6月提出一份关于消费者与私人企业使用RFID的纲领 使用RFID时 应告知RFID的存在 在产品销售完成前即应关闭RFID，除非因个人需要，否则使之永久失去效用 RFID应使用最简单的可移除方式装置 指定专人遵守这些纲领 消费者权利 有权获取透过RFID包含个人资讯的所有资讯，并有权更正 有权移除RFID标签 针对未遵守或违反RFID使用责任与义务的私人企业，有权提出诉讼 欧洲的规范 欧洲国家对于RFID应用一向比较消极，在2005年初针对二千多名，包括英国、法国、德国与荷兰的网友所作一意见调查，被调查者皆认为RFID可以提升“反盗窃”能力 不过，对于购买标有RFID标签的产品，59%的欧洲人担心这项技术是不是会持续跟踪他们。另外，52%欧洲人则担心自己可能会成为直销活动的目标。 未来打算应用RFID厂商必须提出其个别的隐私权及安全性上的考量，因为民众无法看到或感受到RFID，而多数的RFID标签也不记载着资料是何时、被何人所读取入的。 美国的规范 2003年由隐私权保护团体所推动「2003年RFID受告知权法案」（RFID