美國專利標示不實之罰金計算
美國聯邦巡迴上訴法院在2009年底於The Forest Group Inc. v. Bon Tool Co. 一案中將美國專利法35 U.S.C. § 292中關於不實專利標示(false patent marking)的懲罰金計算方式認定為罰金之計算是以每一個標示錯誤專利資訊的產品為基礎。美國專利法35 U.S.C. § 292中要求法院對專利資訊標示不實或錯誤之產品或包裝處以最高美金$500的罰金。在此案之前，許多地方法院將35 U.S.C. § 292解釋為罰金之計算是以每一次被告”決定”將產品標示不實專利資訊為基礎 (single penalty for each “decision” to falsely mark products)，不論此決定是包含一個或一整批產品。在本案中，聯邦巡迴上訴法院同意地方法院的看法認定被告Forest Group意圖藉不實專利標示企圖欺騙大眾但撤銷地方法院將罰金定為$500之判定，而將目前專利法35 U.S.C. § 292 解釋為罰金是以”每一個”標示錯誤專利資訊的產品為基礎 (penalty for false marking on a per article basis)。
為了防範日後因此案罰金計算方式而造成所謂”標示流氓”(marking trolls) 之興起，聯邦法院於其判決中特別說明其解釋並非要求法院必須將每一標示錯誤專利資訊的產品處以$500美元的罰金。因法條中之罰金是以美金$500為上限，法院有權利權衡各案例背景決定罰款金額。例如，針對大量製造但價錢低廉的產品， 法院可對每一個產品處以極少的罰金。
The Forest Group 一案是美國聯邦巡迴上訴法院第一次針對不實專利標示之罰金提出解釋，直得關注其後續引發反應。廠商也應重新檢視其產品專利標示是否有不實或錯誤之狀況以避免被控標示不實專利資訊而被處以罰款。
有鑒於智慧聯網IoT環境下，許多智慧型手持裝置及行動通訊裝置，大量蒐集消費者資訊之隱私權暨資訊安全考量，美國國會於2013年5月10日提出「應用軟體隱私暨資訊安全保護法草案」（Application Privacy, Protection, and Security Act of 2013, APPS Act of 2013, H.R. 1913）進行審議。「應用軟體隱私暨資訊安全保護法草案」草案針對應用軟體（Application）在蒐集消費者資訊前，如何落實「同意」機制，乃強制行動通訊裝置應用軟體開發商（developer）應：（1）提供使用者個人資料蒐集、使用、儲存及公開之通知（notice），而該通知含括所蒐集個人資料之種類、使用目的、有償公開第三者之類別及資料儲存等；（2）取得使用者之同意（consent）；消費者依據該草案亦有權撤銷其「同意」（withdrawal of consent）。此外，草案乃強制要求該行動通訊裝置應用軟體開發商，就非法近取之個人資料及經去識別化應用軟體蒐集之個人資料，應採取合理及適當之防衛措施（security measures on personal data and de-identified data）。 並且，針對網路環境下隱私權保護議題，更早之前，美國國會於2013年2月28日提出「線上禁止追蹤法草案」（Do-Not-Track Online Act of 2013） 進行審議。「線上禁止追蹤法草案」草案乃要求聯邦貿易委員會（FTC），就透過個人線上活動追蹤，以蒐集、使用個人資料之行為態樣，進行管制。該管制模式謹據以要求如下：（1）被搜集資料個人應收到簡單、明確、並載明資料使用目的之通知（clear, conspicuous and accurate notice and use of such information），而個人就該通知應予明白之同意（affirmative consent）；（2）FTC未來在訂定標準規範時，應（shall）考量所被搜集之資料，是否在匿（隱）名基礎上處理之，遂該資料無法有效被聯結（指認）到特定個人或裝置上；此外，消費者當享有資料不被蒐集的權利（expressed preference by individual not to have personal information collected）。該草案並就違反之個人，設定最高15,000,000美元損害賠償規定。
美國奧克拉荷馬州修正《個資事故通報法》，擴充個資定義範圍並強化通報機制美國奧克拉荷馬州修正《個資事故通報法》，擴充個資定義範圍並強化通報機制 資訊工業策進會科技法律研究所 2025年07月22日 現行我國關於非公務機關就個資事故進行通報之規定，散落於各中央目的事業主管機關制定之各業別個人資料檔案安全維護管理辦法或相關辦法中，且前揭各辦法對於通報之標準不盡相同。各國主管機關紛紛強化個資治理法制，而美國奧克拉荷馬州修正關於個人資料定義、適當防護措施及個資事故通報機制等事項，以建立更完善之規範。 壹、事件摘要 美國奧克拉荷馬州議會業於2025年5月20日通過第626號法案（Senate Bill 626）[1]，修正《個資事故通報法》（Security Breach Notification Act）[2]，其目的係為補充現行治理規範之不足，修正重點涵蓋：擴充法定用詞之定義，針對「個人資料」（Personal Information）與「適當防護措施」（Reasonable Safeguards）等條文予以補充與增列；強化個資事故（Breach of the security of a system）之通報機制與設立豁免條款，並釐清與其他法規間之適用關係；以及修訂違法情事之民事裁罰。此外，本次修法亦明定，若機構或個人已採取適當防護措施，得作為民事訴訟中之抗辯理由。本法將自2026年1月1日起正式生效，並適用於自該日起所發現、判定或通報之個資事故，相關單位應即早進行法遵準備，以確保制度落實。 貳、修法重點 本次修法主要包含三大核心面向，簡要說明如下： 一、擴充法定用詞之定義 （一）個人資料 於現行法規對個人資料之定義下，再增加新資料類別： 1.與驗證碼、存取碼或密碼結合使用時，可用以登入特定個人金融帳戶之專屬電子識別碼（Electronic Identifier）或路由代碼（Routing Code）； 2.用以辨識特定自然人之獨特生物特徵資料，例如指紋、視網膜或虹膜影像，或其他具體實體或數位形式之生物辨識資料。 （二）適當防護措施 適當防護措施係指，為確保個人資料安全而考量組織或機構之規模、產業別、以及保有之個資類別與數量所制定之政策及作業實務。此概念包括但不限於：進行風險評估、建立技術面及實體面之多層次保護機制、對人員實施教育訓練，及建立個資事故應變計畫等。 二、強化事故通報機制與設立豁免條款 本法要求於發現系統個資事故並已通知受影響之當事人後，應於60日內向州檢察總長（Attorney General）提交書面通報，載明涉及之個人資料類別、事故性質、受影響人數、預估之財務損失、所採行之適當防護措施等必要內容。惟若事故影響人數低於500名州民，或事故發生於徵信機構且影響人數未達1,000人，則可免除向檢察總長通報之義務。 此外，本法明確規範，若特定機構已依據其他法律，如《奧克拉荷馬州醫療資安保護法》（Oklahoma Hospital Cybersecurity Protection Act of 2023）或聯邦《健康保險可攜及責任法》（Health Insurance Portability and Accountability Act of 1996）等履行相關通報義務，則視為已符合本法之要求。 三、民事裁罰 本法明定，民事罰鍰之裁量將審酌事故規模、事故發生後組織之因應作為及是否履行事故通報義務等因素而定，以確保裁量之比例原則。裁量情形說明如下： 1.若機構已採行適當防護措施且依法進行事故通報者，得免除民事責任； 2.若未採取適當防護措施，惟仍依規定完成事故通報者，則須負擔實際損害賠償責任並處以最高75,000美元罰鍰； 3.未落實適當防護措施與事故通報法定義務者，最高處以150,000美元罰鍰。 參、事件評析 本次修法可見奧克拉荷馬州就數位時代資安威脅所採行之積極因應作為，其修正重點包含：擴充個人資料之定義並明定適當防護措施之內容，俾利降低企業法遵成本及法律適用之不確定性；強化事故通報機制並設置合理豁免條款，以確保資訊透明度；於罰則規範中明定民事罰鍰之裁量，應審酌事故規模及是否履行事故通報義務等因素，以符合比例原則。 有鑑於本法修正後所課予之法定義務，建議企業應採行下列因應措施：(1)全面盤點所保有之個人資料，尤應注意新增納管之電子識別碼及生物特徵等資料；(2)檢視並強化現有防護機制，確保符合適當防護措施之要求；(3)建立標準化通報應變程序；(4)強化教育訓練。此外，企業宜定期檢視法規動態，以確保持續符合法規要求。 [1] Bill Information for SB 626, OKLAHOMA STATE LEGISLATURE, http://www.oklegislature.gov/BillInfo.aspx?Bill=sb626&Session=2500 (last visited June 1, 2025). [2] BILL NO. 626, OKLAHOMA STATE LEGISLATURE, https://www.oklegislature.gov/cf_pdf/2025-26%20ENR/SB/SB626%20ENR.PDF (last visited June 2, 2025).
以Apple Pay服務捲入營業秘密糾紛案為例，提醒企業合作應留意的機密管控作法2025年8月6日，行動支付技術開發公司Fintiv向喬治亞州北區聯邦地方法院亞特蘭大分院控訴Apple科技公司以詐欺手段竊取Fintiv公司的前身公司CorFire的專屬行動支付技術，違反《保護營業秘密法》（Defend Trade Secrets Act，DTSA）及《喬治亞州營業秘密法》（Georgia Trade Secrets Act，GTSA）等規定，向法院尋求賠償。 Fintiv公司主張Apple公司在2011年至2012年間，以行動支付技術之業務合作為由，與CorFire公司進行多次技術性洽談。Apple公司利用雙方簽訂之保密契約，取得CorFire公司的行動支付技術的詳細實施方案之接觸權限，並要求CorFire公司上傳部分機密資料至Apple公司管理的共享平臺，以促進合作交流關係，最終Apple公司放棄與CorFire公司的合作計畫，Apple公司卻將協商期間所獲技術內容整合，並應用於其在2014年推出的Apple Pay行動支付服務。Fintiv公司進一步主張Apple公司為將Apple Pay商業化，與信用卡處理商及銀行組成企業聯盟，並隱瞞其非法取得技術的真相，宣稱Apple公司自主研發Apple Pay。Fintiv公司指出，Apple公司此舉不僅損害Fintiv公司的合法權益，也嚴重破壞市場競爭秩序。此外，Fintiv公司表示，Apple公司多年來有系統地採取類似策略，如以合作名義獲取其他企業之機密，進而不當使用多項機密以進行商業化使用。 觀察前述實務案例可得知，即使雙方基於保密契約交換機密資料，仍存在終止合作衍生的機密外洩糾紛，如：機密資料歸屬不清、逾越授權範圍使用機密資料等風險。建議企業在「資料提供前」，應先透過「盤點」營業秘密與機密「分級」，確認合適揭露的機密資料，再藉由「審查」機制確認必要揭露的內容；在「資料提供後」，要求他方提供機密資料之「收受證明」以明確歸屬，並在合作關係結束後，要求他方「聲明返還或銷毀機密資料」，以降低他方不當使用機密資料的風險。 前述建議之管理作法已為資策會科法所創意智財中心於2023年發布之「營業秘密保護管理規範」所涵蓋，企業如欲精進系統化的營業秘密管理作法，可以參考此規範。 本文為資策會科法所創智中心完成之著作，非經同意或授權，不得為轉載、公開播送、公開傳輸、改作或重製等利用行為。 本文同步刊登於TIPS網站（https://www.tips.org.tw）
資通安全法律案例宣導彙編 第2輯