網路廣告商標侵權爭議之最新實務發展趨勢介紹
郭戎晉
副主任兼應研組組長 編譯整理
歐盟資料保護工作小組修正通過「個人資料侵害通報指引」 資訊工業策進會科技法律研究所 法律研究員 李哲明 2018年3月31日 壹、事件摘要 因應歐盟「通用資料保護規則」（The General Data Protection Regulation，或有譯為一般資料保護規則，下簡稱GDPR）執法即將上路，針對個人資料侵害之通報義務，歐盟資料保護工作小組（Article 29 Data Protection Working Party, WP29）特於本（2018）年2月6日修正通過「個人資料侵害通報指引」（Guidelines on Personal data breach notification under Regulation 2016/679），其中就GDPR所規範個資侵害之定義、對監管機關之通報、與個資當事人之溝通、風險及高風險評估、當責與紀錄保存及其他法律文件所規定之通報義務等，均設有詳盡說明與事例。 貳、重點說明 一、何謂個資侵害？個資侵害區分為哪些種類？ 依據GDPR第4條（12）之定義，個資侵害係指：「個人資料因安全性之侵害所導致意外或非法之毀損、喪失、修改、未經授權之揭露、存取、個資傳輸、儲存或其他處理。」舉例來說，個人資料之喪失包括含有控制者（controller）顧客資料庫的備份設備之遺失或遭竊取。另一例子則為整份個資的唯一檔案遭勒索軟體加密，或經控制者加密，但其金鑰已滅失。依據資訊安全三原則，個資侵害之種類區分為： 機密性侵害（Confidentiality breach）：未經授權、意外揭露或獲取個人資料。 完整性侵害（Integrity breach）：未經授權或意外竄改個人資料。 可用性侵害（Availability breach）：在意外或未經授權之情況下，遺失個人資料存取權限或資料遭銷燬。 二、何時應為通知？ 按GDPR第33條（1）之規定，當個資侵害發生時，在如果可行之情況下，控制者應即時（不得無故拖延）於知悉侵害時起72小時內，依第55條之規定，將個資侵害情事通報監管機關。但個資侵害不會對自然人之權利和自由造成風險者，不在此限。倘未能於72小時內通報監管機關者，應敘明遲延之事由。 三、控制者「知悉」時點之判斷標準為何？ 歐盟資料保護工作小組認為，當控制者對發生導致個人資料侵害的安全事件達「合理確信的程度」（reasonable degree of certainty）時，即應視為其已知悉。以具體事例而言，下列情況均屬所謂「知悉」： 在未加密個人資料的情況下遺失USB密鑰（USB Key），通常無法確定是否有未經授權者將獲致存取資料權限。即使控制者可能無法確定是否發生機密性侵害情事，惟仍應為通知，因發生可用性侵害之情事，且已達合理確信的程度。 故應以控制者意識到該密鑰遺失時起為其「知悉」時點。 第三人通知控制者其意外地收到控制者的客戶個人資料，並提供該揭露係未經授權之證據。當侵害保密性之明確證據提交控制者時，即為其「知悉」時點。如：誤寄之電子郵件，經非原定收件人通知寄件者之情形。 當控制者檢測到其網路恐遭入侵，並針對其系統進行檢測以確認個人資料是否遭洩漏，嗣後復經證實情況屬實，此際即屬「知悉」。 網路犯罪者在駭入系統後，聯繫控制者以索要贖金。在這種情況下，控制者經檢測系統並確認受攻擊後，亦屬「知悉」。 值得注意的是，在經個人、媒體組織、其他來源或控制者自我檢測後，控制者或將進行短暫調查，以確定是否發生侵害之事實。於此調查期間內所發現之最新侵害情況，控制者將不會被視為「知悉」。然而，控制者應儘速展開初步調查，以形成是否發生侵害事故之合理確信，隨後可另進行更詳盡之調查。 四、共同（聯合）控制者之義務及其責任分配原則 GDPR第26條針對共同控制者及其如何確定各自之法遵義務，設有相關規定，包括決定由哪一方負責遵循第33條（對主管機關通報）與第34條（對當事人通知）之義務。歐盟資料保護工作小組建議透過共同控制者間之契約協議，約明哪一方係居主要地位者，或須負責盡到個資侵害時，GDPR所定之通知義務，並載於契約條款中。 五、通報監管機關與提供資訊義務 當控制者通報監管機關個資侵害情事時，至少應包括下列事項 （GDPR第33條（3）參照）： 敘述個人資料侵害之性質，包括但不限於所涉之相關個資當事人、個資紀錄及其類別、數量。 傳達資料保護長（DPO）或其他聯絡人之姓名與聯絡方式，俾利獲得進一步資訊。 說明個資侵害可能之後果。 描述控制者為解決個資侵害業已採取或擬採行之措施，在適當情況下，酌情採取措施以減輕可能產生之不利影響。 以上乃GDPR要求通報監管機關之最基本事項，在必要時，控制者仍應盡力提供其他細節。舉例而言，控制者如認為其處理者係個資侵害事件之根因（root cause），此時通報並指明對象即可警示委託同一處理者之其他控制者。 六、分階段通知 鑒於個資事故之性質不一，控制者通常需進一步調查始能確定全部相關事實，GDPR第33條（4）爰設有得分階段通知（notification in phases）之規定。凡於通報時，無法同時提供之資訊，得分階段提供之。但不得有不必要之遲延。同理，在首次通報後之後續調查中，如發現該事件業已受到控制且並未實際發生個資侵害情事，控制者可向監管機關為更新。 七、免通報事由 依據GDPR第33（1）條規定，個資侵害不會對自然人之權利和自由造成風險者，毋庸向監管機關通報。如：該遭洩露之個人資料業經公開使用，故並未對個人資料當事人構成可能的風險。 必須強調的是，在某些情形下，未為通報亦可能代表既有安全維護措施之缺乏或不足。此時監管機關將可能同時針對未為通報（監管機關）或通知（當事人），以及安全維護措施之缺乏或不足，以違反第33條或（及）34條與第32條等獨立義務規定為由，而依第83條4（a）之規定，併予裁罰。 參、事件評析 一、我國企業於歐盟設有分支機構或據點者，宜指派專人負責法遵事宜 揆諸GDPR前揭規定，當個資侵害發生時，控制者應即時且不得無故拖延於知悉時起72小時內，將個資侵害情事通報監管機關。未能履踐義務者，將面臨最高達該企業前一會計年度全球營業額之2%或1千萬歐元，取其較高者之裁罰。我國無論金融業、航運業、航空運輸業、電子製造業及進出口貿易業者等，均或有於歐盟成員國境內或歐洲經濟區（European Economic Area）當地設立子公司或營業據點。因此，在GDPR法遵衝擊的倒數時刻，指派具瞭解GDPR規定、當地個資隱私法遵規範、擅長與隱私執法機構溝通及充要語言能力者專責法遵業務實刻不容緩。蓋此舉可避免我國企業母公司鞭長莫及，未能及時處置而致罹法典之憾。 二、全面檢視個資業務流程，完備個資盤點與風險評鑑作業，掌握企業法遵現況 企業應全面檢視業務流程，先自重要核心業務中析出個資作業流，搭配全面個資盤點，並利用盤點結果進行風險評鑑，再針對其結果就不同等級之風險採行相對應之管控措施。此外，於全業務流程中，亦宜採行最小化蒐集原則，避免蒐集過多不必要之個人資料，尤其是GDPR所定義之敏感個資（如：種族、民族血統、政治觀點、宗教信仰、哲學信仰、工會會員資格等個人資料，及遺傳資料的處理，用於識別特定自然人之生物識別資料、健康資料、性生活、性取向等）或犯罪前科資料，俾降低個人資料蒐集、處理、利用、檔案保存及銷燬之全生命週期流程中的風險。此舉亦契合我國個人資料保護法第5條所揭櫫之原則。 三、立法要求一定規模以上之企業須通過個資隱私法遵第三方認（驗）證，並建置認證資訊公開平台 鑒於國際法遵衝擊以及隱私保護要求之標準線日漸提升，我國企業除自主導入、建置並維運相關個資保護與管理制度以資因應，更有賴政府透過法令（如：修正個人資料保護法）強制要求一定規模以上之企業通過第三方專業驗證，俾消弭風險於日常準備之中。蓋我國具一定規模以上企業，無論其係屬何種業別，一旦違反國際法遵要求，遭致鉅額裁罰，其影響結果將不僅止於單一企業，更將嚴重衝擊該產業乃至於國家整體經貿發展。職是，採法律強制要求企業定期接受獨立、公正及專業第三方認（驗）證，咸有其實益性與必要性。
美國聯邦法官裁決AI「訓練」行為可主張合理使用美國聯邦法官裁決AI「訓練」行為可主張合理使用 資訊工業策進會科技法律研究所 2025年07月07日 確立我國資料創新利用的法制基礎，建構資料開放、共享和再利用的各項機制，滿足民間及政府取得高品質、可信任且易於利用資料的需求，以資料提升我國數位發展的價值，並強化民眾權利的保障，我國於2025年6月16日預告「促進資料創新利用發展條例」，擬推動資料基礎建設，促進更多資料的釋出。 AI發展領先國際的美國，近日首次有聯邦法院對AI訓練資料表達肯定合理使用看法，引發各界關注[1]。我國已開始著力於AI發展所需的資料流通與有效利用，該判決將有助於啟示我國個人資料、著作資料合法使用之法制因應研析。 壹、事件摘要 2025年6月23日美國加州北區聯邦地方法院（United States District Court for the Northern District of California），威廉·阿爾斯法官（Judge William Alsup）針對Andrea Bartz、Charles Graeber、Kirk Wallace Johnson這三位美國作家，對Anthropic公司訓練大型語言模型（Large Language Model, LLM）時使用受其等著作權保護書籍一案，作出指標性的簡易裁決(summary judgment)[2]。 此案被告掃描所購買的實體書籍，以及從盜版網站複製取得的受著作權保護的書籍，儲存在其數位化、可搜尋的檔案中，用來訓練其正在開發的各種大型語言模型。原告主張被當開發Claude AI模型，未經授權使用大量書籍作為訓練資料的行為，為「大規模未經授權利用」。法院則以四要素分析架構，支持合理使用抗辯（Fair Use Defense），強調AI訓練屬於技術發展過程中不可或缺的資料利用，AI公司於模型訓練階段使用著作權書籍，屬於「合理使用」（Fair Use），且具「高度轉化性」（Highly Transformative），包括將購買的實體圖書數位化，但不包括使用盜版，也不及於建立一個永久性的、通用目的的「圖書館(library)」(指訓練資料集)。 貳、重點說明 依美國著作權法第107條（17 U.S.C. § 107）規定，合理使用需綜合考量四要素，法官於本案中認為： 一、使用的目的與性質—形成能力具高度轉化性 AI模型訓練的本質在於學習語言結構、語意邏輯，而非單純複製或重現原著作。AI訓練過程將大量內容作為輸入，經由演算法解析、抽象化、向量化，最終形成轉個彎創造出不同的東西 (turn a hard corner and create something different) 的能力，屬於一種「學習」與「再創造」過程。AI訓練的目的並非為了重現原著作內容，而是為了讓模型具備生成新內容的能力。這種「轉化性」（transformative use）極高，與單純複製或替代原著作的行為有明顯區隔[3]。 另外訓練過程對資料做格式變更本身並未增加新的副本，簡化儲存並實現可搜尋性 (eased storage and enabled searchability)，非為侵犯著作權人合法權益目的而進行，亦具有轉化性 (transformative)。原告就所購買的紙本圖書，有權按其認為合適的方式「處置 (dispose)」，將這些副本保存在其資料集中，用於所有一般用途[4]。 二、受保護作品的性質--高度創作性非關鍵因素 法院認同原告所主張的書籍是具有高度創意（creative）的作品理應享有較強的保護。但法院亦認為合理使用的四個要素，須為整體衡量，儘管作品本身具有較高的創意性，但由於使用行為的高度轉化性以及未向公眾直接重製原作表達，整體而言，法院認定用於訓練 LLM 的行為構成合理使用[5]。 三、使用的數量與實質性--巨大數量係轉化所必要 法院認為AI模型訓練需大量內容資料，甚至必須「全書」輸入，看似「大量使用」，但這正是AI技術本質所需。AI訓練是將內容進行抽象化、數據化處理，最終在生成新內容時，並不會原封不動重現原作。所以，雖然訓練過程涉及全部作品，但AI模型的輸出並不會重現原作的具體表達，這與單純複製、重製作品的行為有本質區別[6]。 四、對潛在市場或價值的影響 本案法院明確指出，人工智慧模型（特別是原告的Claude服務）的輸出內容，通常為全新生成內容，並非原作的精確重現或實質模仿冒，而且Claude服務在大型語言模型（LLM）與用戶之間加入額外功能，以確保沒有侵權輸出提供予用戶。因此，此類生成內容不構成對原作的替代，不會削弱原作的銷售市場，也不會造成市場混淆，而且著作權法保護的是原創而非保護作者免於競爭[7]。 不過即便法院支持被告的合理使用主張，肯定AI訓練與著作權法「鼓勵創作、促進知識流通」的立法目的相符。但仍然指出提供AI訓練的合理使用（Fair Use）不代表資料來源的適法性（Legality of Source）獲得合法認定。沒有任何判決支持或要求，盜版一本本來可以在書店購買的書籍對於撰寫書評、研究書中的事實或創建大型語言模型 (LLM) 是合理必要 (reasonably necessary) 的。此類對原本可(合法)取得的圖書進行盜版的行為，即使用於轉化性使用並立即丟棄，「本質上」、「無可救藥地」(inherently、irredeemably)構成侵害[8]。 參、事件評析 一、可能影響我國未來司法判決與行政函釋 我國於現行著作權法第65條規定下，須於個案交予我國法院認定合理使用主張是否能成立。本案判決為美國首個AI訓練行為可主張合理使用的法院見解，對於我國法院未來就對AI訓練資料取得的合法使用看法，顯見將會產生關鍵性影響。而且，先前美國著作權局之報告認為AI訓練過程中，使用受著作權保護作品可能具有轉化性，但利用結果(訓練出生成式AI)亦有可能影響市場競爭，對合理使用之認定較為嚴格，而此裁定並未採取相同的見解。 二、搜取網路供AI訓練資料的合理使用看法仍有疑慮 依據本會科法所創智中心對於美國著作權法制的觀察，目前美國各地法院中有多件相關案件正在進行審理，而且美國著作權局的合理使用立場較偏向有利於著作權利人[9]。相同的是，均不認同自盜版網站取得的資料可以主張合理使用。然而AI訓練所需資料，除來自於既有資料庫，亦多來自網路搜取，如其亦不在可主張範圍，那麼AI訓練的另一重要資料來源可能會受影響，後續仍須持續觀察其他案件判決結果。 三、有效率的資料授權利用機制仍是關鍵 前揭美國著作權局報告認為授權制度能同時促進產業發展並保護著作權，產業界正透過自願性授權解決作品訓練之方法，雖該制度於AI訓練上亦尚未為一完善制度。該裁決也指出，可合理使用資料於訓練AI，並不代表盜版取得訓練資料可以主張合理使用。這對於AI開發而言，仍是須要面對的議題。我國若要發展主權AI， 推動分散串接資料庫、建立權利人誘因機制，簡化資料查找與授權流程，讓AI訓練資料取得更具效率與合法性，才能根本打造台灣主權AI發展的永續基礎。 本文為資策會科法所創智中心完成之著作，非經同意或授權，不得為轉載、公開播送、公開傳輸、改作或重製等利用行為。 本文同步刊登於TIPS網站（https://www.tips.org.tw） [1]相關新聞、評論資訊，可參見：Bloomberg Law, "Anthropic’s AI Book-Training Deemed Fair Use by US Judge", https://news.bloomberglaw.com/ip-law/ai-training-is-fair-use-judge-rules-in-anthropic-copyright-suit-38；Anthropic wins a major fair use victory for AI — but it’s still in trouble for stealing books, https://www.theverge.com/news/692015/anthropic-wins-a-major-fair-use-victory-for-ai-but-its-still-in-trouble-for-stealing-books；Anthropic Scores a Landmark AI Copyright Win—but Will Face Trial Over Piracy Claims, https://www.wired.com/story/anthropic-ai-copyright-fair-use-piracy-ruling/；Anthropic Wins Fair Use Ruling In Authors' AI Copyright Suit, https://www.thehindu.com/sci-tech/technology/anthropic-wins-key-ruling-on-ai-in-authors-copyright-lawsuit/article69734375.ece., (最後閱覽日：2025/06/25) [2]Bartz et al. v. Anthropic PBC, No. 3:24-cv-05417-WHA, Doc. 231, (N.D. Cal. June 23, 2025)，https://cdn.arstechnica.net/wp-content/uploads/2025/06/Bartz-v-Anthropic-Order-on-Fair-Use-6-23-25.pdf。(最後閱覽日：2025/06/25) [3]Id. at 12-14. [4]Id. at 14-18. [5]Id. at 30-31. [6]Id. at 25-26. [7]Id. at 28. [8]Id. at 18-19. [9]劉家儀，美國著作權局發布AI著作權報告第三部分：生成式AI訓練－AI訓練是否構成合理使用？https://stli.iii.org.tw/article-detail.aspx?no=0&tp=1&d=9352。
WHO公布實施遠距醫療綜合指引COVID-19大流行對公共衛生保健服務施加了巨大壓力，同時限制了實體醫療服務的近用，引起人們對實施或擴大實施遠距醫療（Telemedicine）的極大興趣。為了對應全球對遠距醫療服務的增長，世界衛生組織（World Health Organization , WHO）於今（2022）年11月9日發布《實施遠距醫療綜合指引》（Consolidated Telemedicine Implementation Guide），以幫助政策制定者、決策者與實行者設計與監管遠距醫療之實施。 遠距醫療，涉及使用數位科技來克服公衛服務的距離障礙，具有改善臨床管理和擴大醫療服務覆蓋範圍之潛力。遠距醫療已證明的好處包含減少不必要的臨床就診、提供更及時的醫護和擴大醫療服務的覆蓋率。 這份指引建議政策決策者以及設計和監管遠距醫療之實施人員，實施遠距醫療應分為三個階段，其詳細步驟重點如下： 階段一：評估情況 1.組建團隊，並確立目標：確定應參與遠距醫療設計、管理和實施的利害關係人。 2.定義衛生計畫的背景與目標：確定遠距醫療的服務計畫與其地理範圍。 3.對作業環境進行分析：對應用軟體（Software Applications）與通信平台的訊息傳遞通道（Channel）進行作業環境分析、評估應用軟體是否可符合硬體之需求。 4.評估有利環境：包含評估數位成熟度以確定基礎設施與組織需求、審查公衛工作者的能力、評估監管與政策之顧慮、考慮資訊跨域流動之影響、探討財政機制。 階段二：實施之規劃 1.確定遠距醫療系統將如何運作：定義功能性和非功能性需求、因應需求更新之工作流程、進行廣泛的用戶測試、變更管理計畫。 2.實施病人與衛生系統工作者之安全與保護機制：包含建立個資隱私、近用和保護病人個資的系統、實施公衛人員身分驗證之方式、決定並揭露是否會進行錄音錄影等事項。 3.建立標準操作程序（Standard Operating Procedures, SOP）：確定遠距醫療適用的案例與潛在責任、決定培訓方式與支持管道、建立確定身分之流程、建立明確的同意文件、討論是否需改變公衛人員的薪酬、建立聯網醫療器材（Connected Medical Devices）的管理計畫。 4.強化客戶/病人參與以及性別、公平與利害關係人權利：決定遠距醫療之推廣機制（Mechanisms for Outreach）、評估遠距醫療之公平性、對利害關係人權利的影響與確保殘疾人士的可近用性。 5.制定預算：確定總成本預算、計畫如何將遠距醫療服務整合到常態醫療服務和採購安排之中。 階段三：監測和評估（Monitoring and Evaluation, M&E）與持續改善 1.確定監測和評估目標：定義績效評估和影響指標。 2.計畫持續改善和適應性管理：加入日常監管和持續改善機制、降低潛在風險。 WHO最後提醒遠距醫療是對於醫療服務的補充而非取代，並提供一個確保病人安全、隱私、追溯性、問責制的可監督環境。 本文同步刊載於stli生醫未來式網站（https://www.biotechlaw.org.tw）
歐盟將推出「數位綠色證書」，促進疫情期間成員國內人員之安全入出境為防止新冠肺炎之傳播，欲入境歐盟的旅客被要求提供各式健康證明文件，然而在判斷該文件的真實性時，缺乏標準化的格式，導致旅客在入出境歐盟時產生各種問題，也容易產生欺詐或偽造文件的風險。為解決上述問題，歐盟委員會於2021年3月17日表示將推出「數位綠色證書」（Digital Green Certificate），證書分為三種，分別是：「已接種新冠肺炎疫苗證書」、「新冠肺炎檢測結果呈陰性證書」及「已從新冠肺炎痊癒證書」。透過綠色數位證書，希望能解決歐盟在疫情期間，各成員國人員入出境之安全問題。此證書預計將於所有歐盟成員國間通用，並對冰島、列支敦斯登、挪威和瑞士開放。 證書將免費以數位或紙本兩種形式提供，證書上之QR碼中將包含旅客必要個人資訊：姓名，出生日期，簽發日期，有關疫苗、檢測、恢復等等，並含有數位簽名，以確保證書之真實性及安全性。歐盟委員亦將成立一項計畫，使成員國開發特定的驗證軟體，以驗證某證書是否為歐盟所核發。 數位綠色證書不具強制性，將由成員國各自決定具體執行措施，且各成員國對持有數位綠色證書之旅客應公平待之，例如：成員國若接受某非數位綠色證書之疫苗接種證明而得免除某些檢疫或隔離，在相同條件下，成員國亦應接受數位綠色證書發出之疫苗接種證書而同樣免除該項檢疫或隔離。然而，歐盟目前僅接受下列四種被歐盟許可之疫苗：輝瑞（BioNTech Pfizer）、莫德納（Moderna）、AZ（AstraZeneca），及楊森製藥（Janssen Pharmaceutica），其他疫苗目前不被認可。此外，委員會並保證，持證人之個資並不會被成員國所留存。