美國記憶體設計司Rambus1月25日向美國北加州地方法院提出侵權告訴,指控Hynix、南亞科技、華亞科技、英飛凌等四家DRAM廠,涉嫌侵犯Rambus的DDR2記憶體、GDDR2及GDDR3繪圖卡用記憶體等共18項專利。南亞科副總經理白培霖表示,還不了解Rambus實際的指控內容,一切仍在了解中。
Rambus三年前推出RDRAM並獲得英特爾支持成為次世代主流產品,但因當時DRAM廠基於成本考量,決定支持DDR規格,所以Rambus後來不得不被迫退出標準型DRAM市場。然因Rambus擁有多項記憶體專利,目前主要產品獲得新力PS遊戲機採用,所以大部份營收來源均來自於權利金收入,去年Rambus營收約1億4500萬美元,其中的1億2000萬美元就是權利金收入。
由於Rambus前年就宣佈研發出DDR2產品,隨著今年英特爾力推新款支援DDR2晶片組,全球DRAM廠均投入DDR2生產,因此Rambus再度興訟,控告Hynix、南亞科技、華亞科技、英飛凌等四家DRAM廠,侵犯其 DDR2及GDDR2、GDDR3等記憶體共18項專利。
對於被Rambus控告一事,南亞科技及華亞科技提出說明。白培霖說,南亞科及Rambus一直就二家製程技術洽談相互授權事宜,內容包括DDR2及繪圖卡用記憶體GDDR3等,但目前為止雙方還沒有達成相互授權協議,自然也沒有權利金支付問題,由於南亞科目前還沒收到起訴書,不知道Rambus提出的控訴內容為何,因此一切有待再進一步了解後再行說明。除了此次的Rambus控告南亞科侵權,去年日本半導體大廠瑞薩科技(Renesas)也三度對南亞科技提出侵權控告,瑞薩除了指出南亞科技侵犯其記憶體製程、設計、封裝等專利權外,去年十月底還向東京地方法院提出申請,將對南亞科技日本子公司進口、銷售DRAM行為進行假處份(Preliminary Injunction)。
對於國際大廠不斷針對南亞科提出侵權告訴,南亞科技表示,與瑞薩在日本、美國的專利權官司,至今還在上訴審理階段,南亞科已經提出資料證明,至於Rambus此次提出的侵權告訴,現在還在了解中,但南亞科的立場,會尊重每家半導體廠的專利權,不會有任何侵權的行為。
本文為「經濟部產業技術司科技專案成果」
近年來,人臉辨識(Face recognition)技術迅速發展,增加便利性的同時,也伴隨了種種隱憂,如:對隱私權的侵害、公部門權力濫用等,是以加州舊金山市(San Francisco)和麻薩諸塞州薩默維爾市(Somerville)分別在今年(2019)5月和6月發布公部門使用人臉辨識技術的相關禁令,加州奧克蘭市(Oakland)並於7月16日跟進,成為美國第三個禁止公部門使用人臉辨識技術的城市。 2018年麻省理工學院曾針對人臉辨識技術的正確率做過研究,其研究結果報告顯示黑人女性辨識錯誤率超過30%,遠不如白人男性;美國公民自由聯盟(American Civil Liberties Union, ACLU)也針對Amazon人臉辨識軟體Rekognition做過測驗,結果該系統竟誤將28名美國國會議員顯示為嫌疑犯,這兩項研究顯示,人臉辨識技術存有極高錯誤率且對種族間存有很大的偏見與歧視。對此奧克蘭市議會主席卡普蘭(Rebecca Kaplan)一項聲明中表示:「當多項研究都指出一項新興技術具有缺陷,且造成寒蟬效應的時候,我們必須站出來」。 卡普蘭並表示:「建立社區和警察間信任與良好關係以及導正種族偏見是很重要的,人臉辨識技術卻反而加深此問題」、「對於隱私權和平等權的保護是最基本的」,故奧克蘭市通過禁止公部門使用人臉辨識技術的法令,原因如下: 人臉辨識系統所依賴的資料集,具高度不準確性。 對於人臉辨識技術的使用與共享,尚缺乏標準。 這項技術本身具有侵犯性,如:侵犯個人隱私權。 政府如果濫用該技術所得之資訊,可導致對弱勢族群的迫害。 雖然目前美國僅有三個城市通過政府機關禁止使用人臉辨識技術的法令,但依照目前的發展狀態,其他的城市甚至州在未來也可能會跟進頒布禁令。
歐盟個人資料保護小組提出智慧電錶隱私指導原則由於近年來運算技術的成熟,使得許多仰賴高運算技術的產業有重新發展的契機,智慧電網正是其中一例;而智慧電網所涉及的資訊繁多,例如個人資產的位址資訊可能會被納入電網中作定位與分析,因此其所衍伸的個人資料與隱私保護議題,近來備受重視。 歐盟個人資料保護小組(Article 29 Data Protection Working Party)於今年四月針對智慧電錶的隱私議題,提出指導建議(Opinion 12/2011 on Smart Metering),並明確指出,電網中的電錶會有一組獨特的識別碼(Meter Identification Number),此可連結至特定用戶,因此由電錶蒐集到的資訊,大部分都符合歐盟個人資料保護指令(Directive 95/46/EC)中的「個人資料」(Personal Data)。 倘若要對透過電錶所蒐集的資料進行處理,必須要基於充分告知(Fully-informed),取得用戶同意;也應該讓用戶依照意願自主行使同意或撤銷該同意,此會涉及電錶設計的方式,該小組建議可在用戶端電錶的控制鑲板上設置「按鈕」(Push Button),讓用戶得隨時選擇同意與否。另外,智慧電錶亦具有設定資料傳輸頻率的功能,此攸關資料被蒐集之範圍是否妥適,舉例言之,倘若用戶與電網服務提供者之契約,是全天以同一個費率計算電價,則其電錶會把整日用電量讀成一筆資料,反之倘若用戶是採用一天分不同時段不同費率的方式,則該電錶會每日分成數個時段讀取用電量;惟在供應端可遠端遙控這些電錶讀取頻率的情況下,應確保這些資料僅於系統運行所需,方傳輸至供應端供讀取。 其他的電表資訊處理細節,事實上類似於電信事業處理交通資訊或位址資訊的作法,例如不再用到的電錶資訊,應盡速刪除之;供應端也必須訂定書面的資料保存政策、評估所需電錶資訊之目的、並在該目的範圍內以最小限度原則保存之。
從日本山崎案談營業秘密不法取得之管理從日本山崎案[1]談營業秘密不法取得之管理 資策會科技法律研究所 法律研究員 駱玉蓉 105年05月25日 壹、前言 為強化營業秘密的保護,日本從2003年開始,於不正競爭防止法(以下稱本法)中導入刑事保護的相關條文,爾後經過多次修法,在2011年調整刑事訴訟程序的同時,於本法導入了即使行為者不使用或揭露所示的營業秘密,但只要以獲取不當利益為目的,且「以複製」等方式「取得營業秘密」,亦為刑事處罰的對象[2]。2014年名古屋地院的日本山崎Mazak案件(ヤマザキマザック事件,以下稱本案)則是在此修法背景中,於少數公開判決中最先單獨引用該法條的案件。 面對層出不窮的營業秘密侵害案件,為遏止及處罰不法取得、使用或洩漏他人營業秘密的行為,我國營業秘密法亦於2013年的修法中增訂侵害營業秘密的刑事責任,將「知悉或持有營業秘密,未經授權或逾越授權範圍而重製、使用或洩漏該營業秘密」的行為[3]納入刑罰範疇,以期可有效遏阻營業秘密侵害案件。 有鑒於營業秘密外洩情形與不法取得手法的多變,本文將先從本案營業秘密侵害行為、存取/接觸權限控管的漏洞出發,接著探討應如何從控管員工的接觸/存取權限以強化營業秘密的保護,最後從落實營業秘密管理的面向,彙整本案受法院判決肯定之營業秘密保護措施及可進一步強化之配套,期給予我國企業營業秘密管理的省思。 貳、事件概要 中國大陸籍的被告Y,於2006年4月進入工具機大廠山崎Mazak(以下簡稱原告公司)任職,於2011年8月轉調連結業務部門與研發部門的業務技術部,於2012年3月因獲得其他公司聘書而提出離職申請,預定離職日為同年4月20日。 檢察官於一審的起訴內容提到,被告Y在無業務需求的狀況下,將三萬件以上的設計圖面等由公司內部伺服器下載至私人硬碟中,更於提出離職的當月,下載約一萬件與轉職企業相關機種的設計圖面等技術資料。雖然被告Y辯稱取得該等資料的目的在於工作上的學習需求,但根據被告Y與其中國大陸友人的往來訊息可知被告Y亟欲脫手所取得的技術資料以換取現金。 原告公司在本案當時,對技術資料的權限控管為將技術資料儲存在公司內部伺服器的資料夾內,僅業務上有需要的員工才能進行存取、下載,此外,原告公司配發給員工的業務用電腦亦設定有員工個人的帳號、密碼來進行認證,並藉由IP位址來辨識存取網路資料的員工所屬部門及該員工的存取權限。有關前述IP位址的分配,為一個部門配發255個IP位址對應255台電腦,當一部門未達255台電腦時,將會有未被電腦對應的IP位址存在,被告Y便是將自己電腦的IP位址切換成未被電腦對應的IP位址,再進行檔案的存取與複製。經由上述一連串的證據與事實證明,一審法院認定被告Y以不當得利為目的而複製(取得)原告公司的營業秘密,處以拘役兩年、併科罰金50萬日幣的判決。 參、判決評析 從本案可知,原告為保護其營業秘密,針對存取/接觸營業秘密者設有相關限制管理。亦即,藉由IP位址辨識存取網路資料的員工所屬部門及存取權限,再透過存取權限的帳號、密碼進行認證管理,該種管理方式立意良好,但在實施時,卻因為有未被電腦對應的IP位址存在,而讓被告Y取巧以切換IP位址的方式逾越權限接觸並取得原告公司的營業秘密。此外,雖然原告公司有留存電腦log紀錄,因而最後能證明被告Y曾進行六千次以上的資料存取,但若能在事前做好防備,強化管理措施,例如禁止濫用IP位址越權存取或限定存取次數等方式,增加意圖竊取營業秘密者的取得困難,相信能更遏阻潛在或食髓知味的不法行為。 以下從本案原告公司對於員工接觸權限的控管為啟發,例示限制員工存取/接觸營業秘密,可採取的強化對策。 一、適當賦予一定範圍之存取/接觸權。 例如在企業的研發單位,可依專案或產品線而拆分成多個範圍,依據範圍設定可存取/接觸的權限,藉此可避免出現如本案中,僅限定存取/接觸權、卻未區分範圍,導致一人手持帳號密碼便可通行無阻存取/接觸全部資料,造成外洩時損害程度的提高。 二、在上述對策一的基礎上,於資訊系統中註冊存取/接觸權者的帳號。 除了落實一帳號一密碼的原則,針對單一帳號的存取/接觸權限來限制其可閱覽、存取的資料範圍或內容外,若是員工有離職、轉調等情況時,亦要配合以刪除ID、更改存取/接觸權限的方式來應對,避免如本案因作業方便而導致有空的IP位址等開後門的情況,而造成營業秘密管理功虧一簣。 三、以區分保管來限制對營業秘密的存取/接觸權限。 區分保管可大分為「空間分離保管」以及「資料區分保管」。以空間分離保管為例,可依進出人員區分為訪客可進入的區域、持有門禁卡員工均可進入的區域、僅限定該部門員工才可進入的區域、針對保管高機密性資訊區域,實施指紋等生物認證的門禁管制。而以資料區分保管為例,常見的做法有高機密性文件與一般文件區分保管。 例如在本案中,隸屬於業務技術部的人員,便不應該擁有自由存取/接觸其他部門—研發部門之研發資料的權限,建議企業可透過前述的空間分離保管、資料區分保管,兩種方式雙管齊下,實施跨部門資料存取權限的控管。 四、禁用私人紀錄媒體、落實紀錄媒體的使用及保管。 嚴禁使用外接式的私人紀錄媒體,企業除了須備足員工所需的紀錄媒體之外,更需制訂與落實紀錄媒體的使用及保管措施。在本案中,即因原告公司當時的業務技術部部長(下稱部長Q)發現到部門內的紀錄媒體使用不受控管,導致私人紀錄媒體濫用的現象,便於其轄下部門制定如:建立可攜式紀錄媒體管理清單及使用規定,落實借出/返還管理、以及明訂禁止攜入或使用私人的外接式紀錄媒體的規範等,法院因而認定原告公司已採取合理保密措施。 然而,除了明定紀錄媒體的禁止使用或限制使用等規定外,還應透過週會、組會、課程宣導等方式周知可攜式紀錄媒體的使用規則,同時透過定期稽核確保該使用規則的確實執行,避免徒有管理規範卻未落實控管。 肆、結論 本案原告公司雖明定營業秘密相關的管理規定,例如權限設定、禁用私人紀錄媒體、公司紀錄媒體使用及保管等各種管理措施,而在本案獲得勝訴判決。但除了管理措施有可強化之處外,主要的原因仍發生於管理機制於實際運作上未嚴格落實,而有部門員工長期持有企業配置的硬碟與USB隨身碟而未歸還,甚或違反禁止使用私人可攜式紀錄媒體的規定,使用私人硬碟等的狀況,造成被告Y有機可乘使用私人硬碟儲存原告公司上萬筆設計圖面等資料。 從此可知,即便企業已建立各種營業秘密相關的管理措施,仍須定期追蹤掌握管理機制的落實,例如定期內部檢視和外部稽核、不定期抽查員工電腦使用紀錄等,確保營業秘密的有效管理。同時間,企業亦應隨時預警任何不符規定的異常警報,透過log異常行為的警示設定,提早發現問題並採取證據保全措施,將營業秘密外洩風險或損害降至最低。 企業歷經營業秘密的盤點、分級、達成管理措施共識,到形成各部門遵循的管理制度等繁複流程,始確認營業秘密保護標的及合法合理的管理措施,若是未落實執行管理,除了增加營業秘密外洩的風險,於後續訴訟階段也難以處於有利舉證的立場。所謂魔鬼藏在細節裡,無論是何種對策,確實落實而不流於形式,更是保護營業秘密的不二法則。 本文同步刊登於TIPS網站(http://www.tips.org.tw) [1] 名古屋地裁平成26年8月20日判決。 [2] 2011年日本《不正競爭防止法》第21條第1項第3款。 [3] 2013年我國《營業秘密法》第13條之1第1項第3款。
落實完善數位資料管理機制,有助於降低AI歧視及資料外洩風險落實完善數位資料管理機制, 有助於降低AI歧視及資料外洩風險 資訊工業策進會科技法律研究所 2023年07月07日 近年來,科技快速發展,AI(人工智慧)等技術日新月異,在公私部門的應用日益廣泛,而且根據美國資訊科技研究與顧問公司Gartner在2023年5月發布的調查指出,隨著由OpenAI開發的ChatGPT取得成功,更促使各領域對於AI應用的高度重視與投入[1],與此同時,AI歧視及資料外洩等問題,亦成為社會各界的重大關切議題。 壹、事件摘要 目前AI科技發展已牽動全球經濟發展,根據麥肯錫公司近期發布的《生成式人工智慧的經濟潛力:下一個生產力前沿(The next productivity frontier)》研究報告指出,預測生成式AI(Generative AI)有望每年為全球經濟增加2.6兆至4.4兆的經濟價值[2]。同時在美國資訊科技研究與顧問公司Gartner對於超過2500名高階主管的調查中,45%受訪者認為ChatGPT問世,增加其對於AI的投資。而且68%受訪者認為AI的好處大於風險,僅有5%受訪者認為風險大於好處[3]。然而有社會輿論認為AI的判斷依賴訓練資料,將可能複製人類偏見,造成AI歧視問題,而且若程式碼有漏洞或帳戶被盜用時,亦會造成資料外洩問題。 貳、重點說明 首先,關於AI歧視問題,以金融領域為例,近期歐盟委員會副主席Margrethe Vestager強調若AI用於可能影響他人生計的關鍵決策時,如決定是否能取得貸款,應確保申請人不受性別或膚色等歧視[4],同時亦有論者認為若用於訓練AI的歷史資料,本身存有偏見問題,則可能導致系統自動拒絕向邊緣化族群貸款,在無形之中加劇,甚至永久化對於特定種族或性別的歧視[5]。 其次,關於資料外洩問題,資安公司Group-IB指出因目前在預設情況下,ChatGPT將保存使用者查詢及AI回應的訊息紀錄,若帳戶被盜,則可能洩露機敏資訊。據統計在2022年6月至2023年5月間,在亞太地區有近41000個帳戶被盜,而在中東和非洲地區有近25000個帳戶被盜,甚至在歐洲地區也有近17000個帳戶被盜[6]。另外在2023年3月時,ChatGPT除了發生部分用戶能夠檢視他人聊天紀錄標題的問題外,甚至發生個人資料外洩問題,即用戶可能知悉他人的姓名、電子郵件,付款地址,信用卡到期日及號碼末四碼等資料[7]。 參、事件評析 對於AI歧視及資料外洩等問題,應透過落實完善數位資料治理與管理機制,以降低問題發生的風險。首先,在收集訓練資料時,為篩選適合作為模型或演算法基礎的資料,應建立資料評估或審查機制,減少或避免使用有潛在歧視問題的資料,以確保分析結果之精確性。 其次,不論對於訓練資料、分析所得資料或用戶個人資料等,均應落實嚴謹的資料保密措施,避免資料外洩,如必須對於資料進行標示或分類,並依照不同標示或分類,評估及採取適當程度的保密措施。同時應對於資料進行格式轉換,以無法直接開啟的檔案格式進行留存,縱使未來可能不慎發生資料外洩,任意第三人仍難以直接開啟或解析資料內容。甚至在傳送帳戶登入訊息時,亦應採取適當加密傳送機制,避免遭他人竊取,盜取帳戶或個人資料。 財團法人資訊工業策進會科技法律研究所長期致力於促進國家科技法制環境完善,於2021年7月發布「重要數位資料治理暨管理制度規範(Essential Data Governance and Management System,簡稱EDGS)」,完整涵蓋數位資料的生成、保護與維護,以及存證資訊的取得、維護與驗證的流程化管理機制,故對於不同公私部門的AI相關資料,均可參考EDGS,建立系統性數位資料管理機制或強化既有機制。 本文同步刊登於TIPS網站(https://www.tips.org.tw) [1]Gartner, Gartner Poll Finds 45% of Executives Say ChatGPT Has Prompted an Increase in AI Investment (May 3, 2023), https://www.gartner.com/en/newsroom/press-releases/2023-05-03-gartner-poll-finds-45-percent-of-executives-say-chatgpt-has-prompted-an-increase-in-ai-investment (last visited June 30, 2023). [2]McKinsey, The economic potential of generative AI: The next productivity frontier (June 14, 2023), https://www.mckinsey.com/capabilities/mckinsey-digital/our-insights/the-economic-potential-of-generative-AI-the-next-productivity-frontier#introduction (last visited June 30, 2023). [3]Gartner, supra note 1. [4]Zoe Kleinman, Philippa Wain & Ashleigh Swan, Using AI for loans and mortgages is big risk, warns EU boss (June 14, 2023), https://www.bbc.com/news/technology-65881389 (last visited June 30, 2023). [5]Ryan Browne & MacKenzie Sigalos, A.I. has a discrimination problem. In banking, the consequences can be severe (June 23, 2023), https://www.cnbc.com/2023/06/23/ai-has-a-discrimination-problem-in-banking-that-can-be-devastating.html (last visited June 30, 2023). [6]Group-IB, Group-IB Discovers 100K+ Compromised ChatGPT Accounts on Dark Web Marketplaces; Asia-Pacific region tops the list (June 20, 2023), https://www.group-ib.com/media-center/press-releases/stealers-chatgpt-credentials/ (last visited June 30, 2023). [7]OpenAI, March 20 ChatGPT outage: Here’s what happened (Mar. 24, 2023),https://openai.com/blog/march-20-chatgpt-outage (last visited June 30, 2023).