美國東德州聯邦地方法院的法官於今年2月5日,對Dell指稱Alcatel-Lucent侵害其所有之兩項線上管理顧客及產品資料的電腦製造方法專利乙案作出判決。判決指出,因為Dell無法向陪審團證明Alcatel-Lucent有引誘或侵害Dell專利權的事實,而Alcatel-Lucent亦無法以明確且具說服力的證據證明系爭案件中Dell所有的專利為無效,所以本案亦無任何損害賠償問題。Dell於訴訟中所主張的兩項專利權,主要為關於加速促進顧客線上下單購物的技術,其美國專利權號碼分別為6,182,275及6,038,597。關於本判決結果,原告Dell方面尚未表示是否會對本判決提起上訴,然被告法商Alcatel-Lucent則對此判決結果表示則肯定。
Alcatel-Lucent與Dell之間的專利訴訟並未就此結束, Alcatel-Lucent在加州之前起訴Dell, Gateway及Microsoft專利侵權之訴訟,主要為影像解碼及選擇影像播放模式技術之專利,專利號碼分別為4,958,226; 4,383,272; 4,763,356;5,347,295及 4,439,759.,該專利訴訟自2003年開始在加州纏訴。Alcatel-Lucent主張被告三家公司應給付專利侵權之損害賠償一共超過美金30億的天價,本案業已上訴,審理的法院已訂期將於近日展開審判。然而,由於Gateway去年被宏碁(Acer)併購後,已積極地與Alcatel-Lucent進行談判,雙方並於今年2月中達到庭外和解的協議。所以,Dell在東德州敗訴的消息,是否會影響其未來在加州是否會繼續訴訟或尋求庭外和解的態度,將是市場人士專注的焦點。
英國數位文化媒體暨體育部(Department for Digital, Culture, Media and Sport, DCMS)2020年9月1日發布「數位身分:政府諮詢回應」(Digital Identity: Call for Evidence Response)文件,以回應過去英國政府曾於2019年7月向各界蒐集如何為成長中的數位經濟社會建立數位身分系統之意見。依據諮詢意見之成果,英國政府計畫調修現行法規,使相關身分識別流程以最大化容許數位身分之使用,並發展有關數位身分之消費者保護立法;立法中將特別規範個人之權利、如何賠償可能產生的侵害,以及設定監督者等相關內容。數位身分策略委員會(Digital Identity Strategy Board)並提出六項原則,以加強英國之數位身分布建與政策: 隱私:當個人資料被使用時,應確保具備相關措施以保障其保密性與隱私; 透明性:當個人身分資訊於使用數位身分產品而被利用時,必須確保使用者可了解其個資被誰、因何原因,以及在何時被利用; 包容性:當人們希望或需要數位身分時即可取得。例如不備有護照或駕照等紙本文件時,對於其取得數位身分不應產生障礙; 互通性(interoperability):應設定英國之技術與運作標準,使國際與國內之使用上可互通; 比例性:使用者需求與其他因素(如隱私與安全)之考量應可平衡,使數位身分之使用可被信賴; 良好監理:數位身分標準將與政府政策與法令連結,未來之相關規範將更加明確、一致並可配合政府對於數位管制之整體策略。
歐盟資料保護工作小組修正通過個人資料侵害通報指引歐盟資料保護工作小組修正通過「個人資料侵害通報指引」 資訊工業策進會科技法律研究所 法律研究員 李哲明 2018年3月31日 壹、事件摘要 因應歐盟「通用資料保護規則」(The General Data Protection Regulation,或有譯為一般資料保護規則,下簡稱GDPR)執法即將上路,針對個人資料侵害之通報義務,歐盟資料保護工作小組(Article 29 Data Protection Working Party, WP29)特於本(2018)年2月6日修正通過「個人資料侵害通報指引」(Guidelines on Personal data breach notification under Regulation 2016/679),其中就GDPR所規範個資侵害之定義、對監管機關之通報、與個資當事人之溝通、風險及高風險評估、當責與紀錄保存及其他法律文件所規定之通報義務等,均設有詳盡說明與事例。 貳、重點說明 一、何謂個資侵害?個資侵害區分為哪些種類? 依據GDPR第4條(12)之定義,個資侵害係指:「個人資料因安全性之侵害所導致意外或非法之毀損、喪失、修改、未經授權之揭露、存取、個資傳輸、儲存或其他處理。」舉例來說,個人資料之喪失包括含有控制者(controller)顧客資料庫的備份設備之遺失或遭竊取。另一例子則為整份個資的唯一檔案遭勒索軟體加密,或經控制者加密,但其金鑰已滅失。依據資訊安全三原則,個資侵害之種類區分為: 機密性侵害(Confidentiality breach):未經授權、意外揭露或獲取個人資料。 完整性侵害(Integrity breach):未經授權或意外竄改個人資料。 可用性侵害(Availability breach):在意外或未經授權之情況下,遺失個人資料存取權限或資料遭銷燬。 二、何時應為通知? 按GDPR第33條(1)之規定,當個資侵害發生時,在如果可行之情況下,控制者應即時(不得無故拖延)於知悉侵害時起72小時內,依第55條之規定,將個資侵害情事通報監管機關。但個資侵害不會對自然人之權利和自由造成風險者,不在此限。倘未能於72小時內通報監管機關者,應敘明遲延之事由。 三、控制者「知悉」時點之判斷標準為何? 歐盟資料保護工作小組認為,當控制者對發生導致個人資料侵害的安全事件達「合理確信的程度」(reasonable degree of certainty)時,即應視為其已知悉。以具體事例而言,下列情況均屬所謂「知悉」: 在未加密個人資料的情況下遺失USB密鑰(USB Key),通常無法確定是否有未經授權者將獲致存取資料權限。即使控制者可能無法確定是否發生機密性侵害情事,惟仍應為通知,因發生可用性侵害之情事,且已達合理確信的程度。 故應以控制者意識到該密鑰遺失時起為其「知悉」時點。 第三人通知控制者其意外地收到控制者的客戶個人資料,並提供該揭露係未經授權之證據。當侵害保密性之明確證據提交控制者時,即為其「知悉」時點。如:誤寄之電子郵件,經非原定收件人通知寄件者之情形。 當控制者檢測到其網路恐遭入侵,並針對其系統進行檢測以確認個人資料是否遭洩漏,嗣後復經證實情況屬實,此際即屬「知悉」。 網路犯罪者在駭入系統後,聯繫控制者以索要贖金。在這種情況下,控制者經檢測系統並確認受攻擊後,亦屬「知悉」。 值得注意的是,在經個人、媒體組織、其他來源或控制者自我檢測後,控制者或將進行短暫調查,以確定是否發生侵害之事實。於此調查期間內所發現之最新侵害情況,控制者將不會被視為「知悉」。然而,控制者應儘速展開初步調查,以形成是否發生侵害事故之合理確信,隨後可另進行更詳盡之調查。 四、共同(聯合)控制者之義務及其責任分配原則 GDPR第26條針對共同控制者及其如何確定各自之法遵義務,設有相關規定,包括決定由哪一方負責遵循第33條(對主管機關通報)與第34條(對當事人通知)之義務。歐盟資料保護工作小組建議透過共同控制者間之契約協議,約明哪一方係居主要地位者,或須負責盡到個資侵害時,GDPR所定之通知義務,並載於契約條款中。 五、通報監管機關與提供資訊義務 當控制者通報監管機關個資侵害情事時,至少應包括下列事項 (GDPR第33條(3)參照): 敘述個人資料侵害之性質,包括但不限於所涉之相關個資當事人、個資紀錄及其類別、數量。 傳達資料保護長(DPO)或其他聯絡人之姓名與聯絡方式,俾利獲得進一步資訊。 說明個資侵害可能之後果。 描述控制者為解決個資侵害業已採取或擬採行之措施,在適當情況下,酌情採取措施以減輕可能產生之不利影響。 以上乃GDPR要求通報監管機關之最基本事項,在必要時,控制者仍應盡力提供其他細節。舉例而言,控制者如認為其處理者係個資侵害事件之根因(root cause),此時通報並指明對象即可警示委託同一處理者之其他控制者。 六、分階段通知 鑒於個資事故之性質不一,控制者通常需進一步調查始能確定全部相關事實,GDPR第33條(4)爰設有得分階段通知(notification in phases)之規定。凡於通報時,無法同時提供之資訊,得分階段提供之。但不得有不必要之遲延。同理,在首次通報後之後續調查中,如發現該事件業已受到控制且並未實際發生個資侵害情事,控制者可向監管機關為更新。 七、免通報事由 依據GDPR第33(1)條規定,個資侵害不會對自然人之權利和自由造成風險者,毋庸向監管機關通報。如:該遭洩露之個人資料業經公開使用,故並未對個人資料當事人構成可能的風險。 必須強調的是,在某些情形下,未為通報亦可能代表既有安全維護措施之缺乏或不足。此時監管機關將可能同時針對未為通報(監管機關)或通知(當事人),以及安全維護措施之缺乏或不足,以違反第33條或(及)34條與第32條等獨立義務規定為由,而依第83條4(a)之規定,併予裁罰。 參、事件評析 一、我國企業於歐盟設有分支機構或據點者,宜指派專人負責法遵事宜 揆諸GDPR前揭規定,當個資侵害發生時,控制者應即時且不得無故拖延於知悉時起72小時內,將個資侵害情事通報監管機關。未能履踐義務者,將面臨最高達該企業前一會計年度全球營業額之2%或1千萬歐元,取其較高者之裁罰。我國無論金融業、航運業、航空運輸業、電子製造業及進出口貿易業者等,均或有於歐盟成員國境內或歐洲經濟區(European Economic Area)當地設立子公司或營業據點。因此,在GDPR法遵衝擊的倒數時刻,指派具瞭解GDPR規定、當地個資隱私法遵規範、擅長與隱私執法機構溝通及充要語言能力者專責法遵業務實刻不容緩。蓋此舉可避免我國企業母公司鞭長莫及,未能及時處置而致罹法典之憾。 二、全面檢視個資業務流程,完備個資盤點與風險評鑑作業,掌握企業法遵現況 企業應全面檢視業務流程,先自重要核心業務中析出個資作業流,搭配全面個資盤點,並利用盤點結果進行風險評鑑,再針對其結果就不同等級之風險採行相對應之管控措施。此外,於全業務流程中,亦宜採行最小化蒐集原則,避免蒐集過多不必要之個人資料,尤其是GDPR所定義之敏感個資(如:種族、民族血統、政治觀點、宗教信仰、哲學信仰、工會會員資格等個人資料,及遺傳資料的處理,用於識別特定自然人之生物識別資料、健康資料、性生活、性取向等)或犯罪前科資料,俾降低個人資料蒐集、處理、利用、檔案保存及銷燬之全生命週期流程中的風險。此舉亦契合我國個人資料保護法第5條所揭櫫之原則。 三、立法要求一定規模以上之企業須通過個資隱私法遵第三方認(驗)證,並建置認證資訊公開平台 鑒於國際法遵衝擊以及隱私保護要求之標準線日漸提升,我國企業除自主導入、建置並維運相關個資保護與管理制度以資因應,更有賴政府透過法令(如:修正個人資料保護法)強制要求一定規模以上之企業通過第三方專業驗證,俾消弭風險於日常準備之中。蓋我國具一定規模以上企業,無論其係屬何種業別,一旦違反國際法遵要求,遭致鉅額裁罰,其影響結果將不僅止於單一企業,更將嚴重衝擊該產業乃至於國家整體經貿發展。職是,採法律強制要求企業定期接受獨立、公正及專業第三方認(驗)證,咸有其實益性與必要性。
論複數決標之廠商競爭關係論複數決標之廠商競爭關係 資訊工業策進會科技法律研究所 108年5月3日 壹、事件摘要 甲機關為共同供應契約採購的訂約機關,負責辦理某財物共同供應契約採購招標事宜。考量廠商供貨能力不同,甲機關將供貨區域區分「全國各公部門」及「特定縣市公部門」,由廠商依其供貨能力擇一型式投標,並在同一採購案之招標程序分為兩個期程辦理。該採購案投標須知重點說明如下: 一、第一期程: 本期程先由供貨予「全國各公部門」的廠商投標,廠商如選擇投標本期程,則不得參與第二期程。由於本採購案採最低標及複數決標,由最低價廠商得標,其餘廠商可選擇是否跟進該最低標併列得標,惟本期程可跟進之廠商有家數限制,依廠商報價由低到高排列,取前80%。 二、第二期程: 本期程待第一期程決標後,再由有意願供貨予「特定縣市公部門」的廠商參與,廠商至多可選擇五個縣市供貨。第一期程之決標品項及該品項的決標金額,為本期程的採購品項及決標金額,故參與本期程之廠商無庸提出報價,選擇欲跟進併列得標之品項即可。廠商如選擇參與本期程,則不得參與第一期程。本期程可跟進之廠商無家數限制。 A廠商及B廠商分別參與本採購案第一期程、第二期程之投標,甲機關審查彼等遞交之投標文件時,發現其上所載聯絡人、傳真、電話號碼相同,投標區域與品項亦有重複,似為同一廠商備標,遂請兩家廠商說明。A廠商及B廠商均表示,兩家廠商為多年合作夥伴,B廠商因廠址遷移致人手不足,而委請A廠商作為聯繫窗口,故記載相同的聯絡資訊。甲機關認為A、B廠商之說明,無法澄清為同一廠商備標疑慮,爰依政府採購法(以下簡稱採購法)第31條第2項第8款、第50條第1項第5款及本案投標須知規定,不決標予A、B廠商,且不予發還押標金。 A、B廠商不服,提起異議及申訴。是本案應探究者為,於同一採購案參與不同期程投標的相異廠商,彼等投標文件所載之聯絡人、傳真、電話號碼相同,甲機關是否可認定屬採購法第50條第1項第5款所訂「不同投標廠商間之投標文件內容有重大異常關聯者」?又,因本案係同一採購案區分兩期程投標,且投標須知規定(1)廠商僅得選擇一個期程投標;(2)第二期程的決標金額係依第一期程決標之結果;(3)未限制第二期程可跟進之廠商家數,則本案廠商無法釐清非屬同一廠商備標時,甲機關之處理是否會有不同? 貳、重點說明 行政院公共工程委員會(以下簡稱工程會)民國91年11月27日工程企字第09100516820號令[1]曾就前述採購法第50條第1項第5款所稱「重大異常關聯」,說明「機關辦理採購有下列情形之一者,得依政府採購法第五十條第一項第五款『不同投標廠商間之投標文件內容有重大異常關聯者』處理:……四、廠商地址、電話號碼、傳真機號碼、聯絡人或電子郵件網址相同者。五、其他顯係同一人或同一廠商所為之情形者。」故不同投標廠商間之投標文件倘有聯絡資訊相同,顯係同一人或同一廠商所為之情形,即構成投標文件內容有重大異常關聯,屬影響採購公正之違反法令行為。 本案A、B廠商之投標文件有聯絡人、傳真、電話號碼記載相同情形,且該等廠商未能合理說明其緣由,似已符合「重大異常關聯」要件。然採購申訴審議委員會指出本案無採購法第50條第1項第5款規定之適用,其理由為: 一、投標廠商間未有競爭情形存在時,無適用採購法第50條第1項第5款之餘。 採購法第50條第1項第5款規定「投標廠商有下列情形之一,經機關於開標前發現者,其所投之標應不予開標;於開標後發現者,應不決標予該廠商:……五、不同投標廠商間之投標文件內容有重大異常關聯者。」該條款係91年2月6日增訂,依立法院交通委員會審查會通過送院會二讀之條文對照表說明欄記載「第1項增訂第5款,以防止假性競爭行為,例如不同廠商間之投標文件內容筆跡相同、押標金由同一人繳納、掛號信連號、地址相同、電話號碼相同之情形……」,復參工程會96年6月25日96工程企傳字第F961354號函(以下簡稱工程會96年函)揭示「關於政府採購法50條第1項第5款規定,係為防止假性競爭之情形。依來函所述個案採分項決標,且地址、傳真、電話相同之二家廠商各投不同項目,尚非彼此互相競爭,自無上開條款之適用」[2],是採購申訴審議委員會認為,採購法第50條第1項第5款立法目的係為防止假性競爭之行為,倘投標廠商間無須有競爭情形存在時,即無條款之適用。 二、本案第一期程與第二期程之廠商間,以及第二期程之廠商間無須競爭,故無採購法第50條第1項第5款適用。 採購申訴審議委員會指出,本採購案採二期程招標方式辦理,投標須知規定:「第二期程之招標於第一期程採購決標後再公告」、「曾參加第一期程投標之廠商,不論是否合格或得標或併列得標,均不得參加第二期程之投標」、「第一期程決標品項即為第二期程之採購項目。第一期程採購各項之決標金額即為第二期程採購之決標金額,廠商僅得就招標機關……公告第一期程決標金額及對應之品項中選擇適合者投標(跟進),不得報列公告之決標金額以外之價格及非屬第一期程所公告之決標品項」、「第一期程決標項目之決標價格及合格品項,俟決標後本局將另行於第二期程之招標文件公告」、「本案競標機制,……以投標廠商最低價者得標並採複數決標,得跟進最低價併列得標之廠商家數依第一期程全區廠商依報價由低至高排列取前80%為上限,第二期程單區廠商不設上限」。 是以,A廠商係參加本案第一期程投標之廠商,不論其是否合格或得標或併列最低標得標,均不得參加第二期程之投標,而參與第二期程之B廠商,係按甲機關公告之第一期程決標品項及金額跟進,且第二期程得標廠商之家數並無限制,故參與第二期程與參與第一期程之廠商彼此間,以及參與第二期程之廠商彼此間,均無須競爭,爰本案無採購法第50條第1項第5款之適用。 參、事件評析 就本案申訴審議委員會提出之理由及所為之結論,筆者以為有下述二點得再為細部討論: 一、本案第二期程雖可跟進最低標併列得標廠商之家數未設上限,惟廠商於履約階段與相同供貨區域之其他得標廠商仍具有競爭關係,自有適用採購法第50條第1項第5款規定必要。 查,採購申訴審議委員會以採購法第50條第1項第5款立法理由,以及工程會96年函內容,認為廠商間有競爭情形始得適用該條款,此見解固屬正確,然採購申訴審議委員會認為B廠商不適用採購法第50條第1項第5款規定,係因第二期程之廠商彼此間無須競爭,實有討論空間。蓋本案爭議應為參與不同期程之廠商間,如彼等投標文件有聯絡資訊記載相同情形,甲機關得否以採購法第50條為處理。故採購申訴審議委員會就本案B廠商不適用上開法條所提理由,似未解決本案爭執之點。 次查,採購申訴審議委員會以採購法第50條第1項第5款立法理由,以及工程會96年函文,似認為僅在投標階段始禁止廠商彼此間假性競爭,而本案投標須知既然未限制第二期程之得標廠商家數,第二期程之廠商彼此間自無競爭問題。惟本案第二期程之廠商間,是否確無競爭關係,以及是否僅需於投標階段討論競爭關係,筆者均認有待商榷。 觀諸採購申訴審議委員會援引之採購法第50條第1項第5款立法理由及工程會96年函文,並未排除履約階段之適用。甚且,由政府採購法第1條規定「為建立政府採購制度,依公平、公開之採購程序,提升採購效率與功能,確保採購品質,爰制定本法」,以及採購法施行細則第33條第1項前段規定「同一投標廠商就同一採購之投標,以一標為限」可知,政府採購各程序均應維持公平、公正之秩序,故無論於投標、開標、決標乃至履約階段,自應防止廠商間有假性競爭可能,廠商不得利用人頭在同一採購案分別投標,以維護各個投標廠商及得標廠商間之平等,始為恰當。 經查,因本案第二期程可跟進最低標併列得標廠商之家數未設上限,當同一採購項目之得標廠商愈多,各廠商於該項目獲得訂單之機會將被稀釋。則某一廠商為了使其有更多適用機關之訂單,而利用多數人頭參與第二期程投標,且均跟進成為得標廠商,自難謂未牴觸政府採購要求之公平及公正。而此競爭關係存在於履約階段,如將之排除於採購法第50條第1項第5款之適用範圍,即可能成為法規漏洞而導致廠商有投機行為,自非採購法所允許。 準此,尚不得以本案可跟進最低標併列得標廠商之家數未設上限,即可逕認第二期程投標廠商間無須競爭,蓋本案第二期程廠商之競爭關係存在於履約階段,為確保採購程序公平、公正秩序,本案第二期程仍應適用採購法第50條第1項第5款規定。 二、參與本案第一期程及第二期程投標廠商間有競爭關係,適用採購法第50條第1項第5款規定。 本案雖區分二種投標型式,然均屬同一採購案;無論是第一期程之「全國各公部門」或第二期程之「特定縣市公部門」,皆允許有二家以上之得標廠商;參與第一期程「全國各公部門」之得標廠商可供貨至全國各縣市,自會與第二期程「特定縣市公部門」之供貨區域重疊,是若第一期程之廠商與第二期程之廠商於本案之投標品項重複時,於彼此相同供貨區域即屬相互競爭關係。 再者,本案針對第一期程「全國各公部門」設有跟進廠商家數上限,復規定參與第一期程投標之廠商不得參與第二期程,是參與第一期程之廠商如為避免無法跟進,或為增加取得適用機關訂單之機會,自有可能與第二期程廠商透過共謀投標文件而營造假性競爭之可能,確保其能進入本採購案。 準此,本案第一期程之A廠商與第二期程之B廠商因供貨區域及投標品項有重複情形,故A、B廠商於履約階段具有競爭關係,倘彼等無正當理由釐清投標文件何以所載聯絡人、傳真、電話號碼相同,投標區域均相同,甲機關自得依採購法第50條第1項第5款規定處理。末查,前述採購法施行細則第33條第1項前段規定同一投標廠商就同一採購以投一標為限,依此法理,自須禁止參與第一期程廠商以人頭方式再參與第二期程投標,以迂迴手法規避上揭規定而於同一採購案投標二次,併此敘明。 [1] 〈行政院公共工程委員會令 工程企字第○九一○○五一六八二○號〉,政府採購法規解釋函令及相關函文,http://plan3.pcc.gov.tw/gplet/mixac.asp?num=1673(最後瀏覽日:2019/04/11)。 [2] 〈行政院公共工程委員會令 96工程企傳字第F961354號〉,政府採購法規解釋函令及相關函文,http://plan3.pcc.gov.tw/gplet/mixac.asp?num=2516(最後瀏覽日:2019/04/11)。
澳洲政府考量開放民事訴訟領域查閱網路服務商所保存之通訊資料澳洲政府於2014年推動電信(監察及查閱)法修正(資料保存)案(Telecommunications (Interception and Access)Amendment (Data Retention) Bill 2014),增訂資料保存規範,其目的在於打擊重大犯罪、恐怖主義、國際組織犯罪等,其措施為要求國內網路服務商須保留用戶之通訊資料,並保存期間至少2年,對此,當時情報及保安事務議會聯合委員會(下稱委員會)於評估該修正案時,卻發現一項爭議問題,即民事訴訟當事人亦得查閱通訊資料,但資料保存行為之正當性乃立基於維護國家安全,實與民事訴訟制度意義相悖,故委員會提出應排除民事訴訟領域得以查閱通訊資料之建議。 澳洲政府對於委員會所提出之建議採取全盤接受之態度,進而重新修訂2014年電信(監察及查閱)法修正(資料保存)案,且併同修正刪除1997年電信法令第280條,有關得以民事訴訟傳票或命令,向網路服務商查閱其所保存之通訊資料;至於網路服務商之通訊資料保存義務方面,仍須依1979年電信(監察及查閱)法為之。前述修正於2017年4月13日生效。 然而,澳洲政府方面時至今日卻有態度轉變之趨勢,起因於通訊部長與檢察總長於2016年12月20日公告,其認為資料保存措施對於特定類型之民事訴訟並非沒有實益,如:維護智慧財產權事件、家庭事件(如:離婚)或勞工權益事件(如:公司起訴勞工)等,故應視類型或個案情形予以開放查閱;因此,主管機關提出三項問題向社會大眾徵求意見:1、民事訴訟當事人在何種情形下可查閱通訊資料;2、倘若民事訴訟當事人不得查閱通訊資料者,對於民事訴訟會產生何種影響;3、是否有特定之民事訴訟類型,是排除1997年電信法第280條(1B)不適用。 實際觀察澳洲政府所推動之該項公告,在其國內爭議相當大,不僅該項公告已臨近前述修正生效日,且開放民事訴訟當事人得以查閱通訊資料之正當性疑慮仍未解除,甚且,亦與近期國際上國家安全與人民隱私權保障間之衝突日趨顯著,如:英國之調查權力法案(Investigatory Powers Act. 2016)不無關聯,因此,澳洲政府是否願意在社會輿論反對聲浪中,仍維持該項公告修正意向,值得後續觀察。