國際推動綠色科技發展重要法制政策研析
本文為「經濟部產業技術司科技專案成果」
李科逸
副主任 編譯整理
美國華盛頓州《我的健康我的資料法》（My Health, My Data，以下簡稱該法）於2024年3月31日生效，該法係於2023年4月27日通過。目標在於保護華盛頓州消費者的健康資料，特別是生殖健康相關資料（data related to reproductive healthcare）。所拘束對象並不在HIPAA之監管範圍內，包括穿戴式裝置（wearables）、特定零售購物和非HIPAA 所規範之遠距醫療服務（telehealth services）所蒐集之資料。 該法最繁瑣合規要求之一為，受監管對象必須在其主頁上公佈消費者健康資料相關隱私權政策（下統稱隱私權政策）連結，連結必須為獨立、特定且不得包含該法所未要求之額外資訊。另針對小型企業，則設有三個月之緩衝時間，即應於 2024 年 6 月 30 日前遵循該要求。 隱私權政策必須清楚且醒目地揭露以下內容： 1. 所蒐集之健康資料類別和蒐集目的，包括將如何使用這些資料； 2. 所蒐集健康資料來源及類別； 3. 共享之健康資料類別； 4. 共享消費者健康資料的第三方或相關企業之類別；以及 5. 消費者如何行使該法所賦予之權利，包括撤銷同意和要求刪除之權利。 最重要的是，除特殊情形外（即1.已揭露其他特定目的2.取得消費者對其他特定目的所為蒐集、使用、揭露之明確同意），受監管對象不得基於隱私權政策中未明確揭露之任何其他目的，蒐集、使用或共享消費者健康資料。 若違反該法相關規定，即被視為違反《華盛頓州消費者保護法》（the Washington Consumer Protection Act），可由華盛頓州總檢察長提出強制執行。另該法為美國第一部保護大量健康資料之法律，顯現對消費者資料保護監管逐漸嚴格之趨勢。
澳大利亞政府擬修正《支付系統管理法》將數位支付，如Apple Pay、Google Pay納入法律規範中澳大利亞國庫部（Department of the Treasury）於2023年10月11日發布《支付系統管理法》（Payment Systems（Regulation）Act 1998）修正草案，擬擴張法案適用主體，將Apple Pay、Google Pay等數位支付或提供此項支付服務事業納入規範，其目的在於提升企業的開放性及責任，並關注大型科技企業在其中扮演的角色。 本次修正案中，將修改現行支付系統的定義及適用主體，擴大至提供支付服務平臺企業，將被視為金融機構受到拘束，並授權澳大利亞準備銀行（the Reserve Bank of Australia，下稱RBA）監管數位支付平臺。修正草案內容整理如下： 1.重新定義「支付系統」。現行法定義為「透過任何形式或方式促進貨幣流通的系統」，草案則納入非貨幣（non-monetary，如數位貨幣）及提供便利支付服務的支付平臺系統。 2.擴大「參與者」定義。現行法規中參與者僅包含管理、運作支付系統的企業，草案則擴張至與支付價值鏈（payments value chain）具直接或非直接相關連之所有企業。 3.現行規範中，僅RBA在可能涉及使用者財務安全及公共利益（下述）考量時，有指定支付系統的職權，並有權監管該支付系統，包含決定新參與者的加入、訂定制度內參與者應遵守的標準及指引、對相關爭議問題進行仲裁等。修法後國庫部部長（Minister）將擁有相同權力。規範所稱之「公共利益」，指有助提升財務安全、高效率並具有競爭性，且不會導致金融體系風險增加。 4.提高法案中刑事處罰的罰金金額。現行法規授權RBA訂定支付制度之相關標準及指引，若制度內參與者未依標準或指引行事，RBA會提出要求企業為特定行為或不行為之指示，仍未依循可能會科處澳幣5,500元的罰金（約臺幣11萬3千元），修法後將提高至2倍，惟罰金之處罰權最終仍須法院審判決定。 我國針對電子支付產業有電子支付機構管理條例、金融消費者保護法規範，並要求第三方支付服務業者落實洗錢防制法規定，避免淪為洗錢或地下匯兌工具，未來可持續觀察澳大利亞及其他國家對於支付平臺議題之討論及發展趨勢，作為我國評估相應治理措施及手段參考基礎。
俄羅斯聯邦政府發布第299號法令，得不經授權利用「不友好國家」的專利權俄羅斯聯邦政府於2022年3月7日發布第299號法令（Постановление Правительства Российской Федерации № 299，下稱本法令），規定於有國家利益考量之情況下，得不經授權利用「不友好國家」的專利權。而我國也在前述「不友好國家」名單之列。 具體而言，本法令之解釋脈絡應從俄羅斯民法（Гражданский кодекс Российской Федерации）第1360條談起，該條規定在確保國家安全或保護公民生命與健康之極端必要情況下，俄羅斯聯邦政府有權決定，未經專利權人同意，使用相關發明、新型和工業品外觀設計，惟需儘快通知專利權人，並支付相應之補償金。 2021年10月18日，俄羅斯聯邦政府按民法第1360條第2項規定，頒布第1767號法令（Постановление Правительства Российской Федерации № 1767）確定補償數額為受專利保護之商品與服務所產生實際收益之0.5%。 然而，因烏俄戰爭持續延燒致俄羅斯聯邦政府採取反西方制裁措施之故，其發布第299號法令，針對第1767號法令再次增修補償數額之認定方法，規定：「倘專利權人來自『不友好國家』，則俄羅斯實體或個人未經專利權人同意，使用相關發明、新型或工業設計進行生產、銷售商品、提供勞務及服務時，須向權利人支付權利金為前述活動所產生實際收益之0%」。 基此，第299號法令應限縮在有國家利益考量之情況下（如：與國家安全或保護俄羅斯公民的生命、健康相關），針對使用特定的專利或商品，可免支付專利強制授權的補償金。換言之，本法令不應解讀為，任何專利在俄羅斯都可恣意利用，而無需經權利人同意或支付適當補償。惟因無法預期未來俄羅斯聯邦政府對「不友好國家」會否有其他強制授權情事，故我國經濟部智慧財產局發函通知專利權人，應密切關注相關議題，並預作準備以降低風險。
歐盟個資保護委員會公布GDPR裁罰金額計算指引歐盟個人資料保護委員會 （European Data Protection Board, EDPB）在徵詢公眾意見後，於今（2023）年5月24日通過了「歐盟一般資料保護規則行政裁罰計算指引04/2022」（Guidelines 04/2022 on the calculation of administrative fines under the GDPR）。此一指引，旨在協調各國資料保護主管機關（Data Protection Authorities, DPAs）計算行政罰鍰的方法，以及建立計算《歐盟一般資料保護規則》(General Data Protection Regulation, GDPR )裁罰金額的「起點」（Starting Point）。 時值我國於今（2023）年5月29日甫通過《個人資料保護法》之修法，將違反安全措施義務的行為提高裁罰數額至最高1500萬，金額之提高更需要一個明確且透明的定裁罰基準，因此該指引所揭露的裁罰計算步驟值得我國參考。指引分為五個步驟，說明如下： 1.確定案件中違反GDPR行為的行為數以及各行為最高的裁罰數額。如控管者或處理者以數個行為違反GDPR時，應分別裁罰；而如以一行為因故意或過失違反數GDPR規定者，罰鍰總額不得超過最嚴重違規情事所定之數額（指引第三章）。 2.確定計算裁罰金額的起點。EDPB將違反GDPR行為嚴重程度分為低度、中度與高度三個不同的級別，並界定不同級別的起算金額範圍，個案依照違反GDPR行為嚴重程度決定金額範圍後，尚需考量企業的營業額度以定其確切金額作為裁罰數額起點（指引第四章）。 3.控管者/處理者行為對金額的加重或減輕。評估控管者/處理者過去或現在相關行為的作為加重或減輕的因素而相應調整罰鍰金額（指引第五章）。 4.針對各違反行為，參照GPDR第83條第4項至第6項確定行政裁罰上限。GDPR並沒有對具體的違反行為設定固定的罰款金額，而是對不同違反行為規範了裁罰最高額度上限，EDPB提醒，適用第三步驟或下述第五步驟所增加的額度不能超過GDPR第83條第4至第6項度對不同違反行為所訂的最高額度限制（指引第六章）。 5.有效性、嚇阻性與比例原則的考量。個資保護主管機關應針對具體個案情況量以裁罰，必須分析計算出的最終額度是否有效、是否發揮嚇阻以及是否符合比例原則，而予以相應調整裁罰額度，而如果有客觀證據表明裁罰金額可能危及企業的生存，可以考慮依據成員國法律減輕裁罰金額（指引第七章）。 EDPB重申其將不斷審查這些步驟與方法，其亦提醒上述所有步驟必須牢記，罰鍰並非簡單數學計算，裁罰金額的關鍵因素應取決具體個案實際情況。