哥本哈根會議後，歐盟討論實行碳關稅的可能
聯合國於哥本哈根舉行之氣候變遷綱要公約（UNFCCC）第15次締約國會議（COP15）會議後，對於較未有嚴格的管制工廠分布與二氧化碳排放（此情形又稱之為碳洩漏風險，risk of carbon leakage）的國家，由於該些國家的貨品進入，將對歐盟境內工業造成不公平競爭（unfair competition）結果，歐盟因而就如何保護會員國內工業生產者的措施進行討論。
近來像中國等未有過多法律規範以落實減少碳排放的國家，爲抵制此類國家貨品的進口影響歐盟境內工業生產者，歐盟正重新審視討論法國所提出的對進口至歐盟的貨品實施碳關稅（carbon tariff）的政策。
法國總統薩科奇曾表示，對於不尊重京都議定書（Kyoto Protocol）的國家，歐盟應對其進口產品課徵碳關稅，以保護歐盟境內因執行碳排放交易機制（Emission Trading Scheme, ETS）而必須額外負擔成本之工業生產者經濟利益，並消除國外貨品進口所導致的不公平競爭。
碳關稅在歐盟之實行，非只有法國提出，其實早在哥本哈根會議之前，法國與德國即共同向聯合國秘書長潘基文以書面（joint letter）表達於歐盟實施稅捐調整機制（border-adjustment measure）的想法，以抵制其他未落實國際環境保護規範國家。
今年（2010）三月，歐盟機構重新對於法國所提出的碳關稅進行討論，由於此措施將影響WTO對關稅之調降，身為歐盟最大工業國的德國，基於保護國內工業生產者，仍對碳關稅政策表示支持，惟WTO所制定的關稅相關規定，身為WTO會員國的德國也認為應遵循，以避免引起損失更大的貿易爭端。
在強調綠色經濟的時代，各國要作的不只是落實國際環保規範，對於國內業者的利益也應適當關注。現今歐盟刻正討論的碳關稅，因我國非為京都議定書締約國，一旦實施對我國衝擊不小，所以此政策發展值得我們持續觀察。
本文為「經濟部產業技術司科技專案成果」
日本依據2013年6月發布之「智慧財產政策願景」，目前正由智慧財產戰略本部所屬之「檢證/評價/企畫委員會」，著手制定2015年度之智慧財產推進計畫。 此外，委員會並針對產業財產權領域下的「地方智財活用促進」和「智財紛爭處理」兩項課題設置專案小組，將分別就促進地方中小企業的智財活用、管理工作，以及創造有利於妥善設定、保護、活用專利權之專利紛爭處理機制等議題進行集中的檢討，作為智財戰略本部制定2015年度智財推進計畫之參考和依據。 而依日本智慧財產基本法第29條之規定，組成智財戰略本部之本部員，除包括總理大臣在內之內閣全體均為當然成員外，還將另由總理大臣任命對智財創造、保護和活用有優秀見識之民間專門人士擔任成員。就此，日本於2015年3月19日已公布2015年度之智財戰略本部成員名單，十位民間專門人士當中除了前日本專利師會會長奧山尚一、東京大學理事長五神真等人外，同時納入身兼京都精華大學校長身份的漫畫家竹宮惠子、總合科學技術創新會議議員原山優子、專精於智財及競爭法的律師宮川美津子以及東北電子產業股份有限公司總經理山田理惠等四位女性部員，成員背景囊括產業財產權和內容著作權之產業、學研、實務界專門人士。
德國聯邦內政部對歐盟部長會議「資料保護基本規則」(Datenschutz-Grundverordnung)發表意見書，並提出修法建議德國聯邦內政部資料保護與資訊自由委員會於2015年8月15日針對歐盟部長會議於6月15日所確立對歐盟資料保護基本規則(Datenschutz-Grundverordnung)的基本立場，若依該立場則(1)資料處理目的之變更理由將變得更寬泛(2)對資訊保有機構所提出的申請程序以有償為原則(3)蒐集個人資料應遵循之規範過於簡略等，該委員會提出批評與建議。 該委員會會議認為有必要改進歐盟「資料保護基本規則」，令其更周延，更呼籲對資料保護基本規則的修正，應循以下重點及原則進行： 1.資訊節約原則應該堅持 多年來在德國法已確立的資訊節約原則(Datensparsamkeit)和資訊避免原則(Datenvermeidung)，應予維持。因此資料保護基本規則中，須清楚詳盡地規定節約原則和資訊避免原則。 2.目的明確性原則的要求不能退縮 目的明確性原則(der Grundsatz der Zweckbindung)之功能，係為資料處理之透明性和可預見性，該原則亦強化了當事人的資訊自主權，使其得以信賴個人資料之處理，僅限於所申請之目的內進行。 故若依理事會建議之規範，使資料處理目的之變更，得以更寬泛的理由進行，將背棄歐盟基本權利憲章中之目的明確性原則。 3.即令個人同意書亦不得拋棄資訊主權 資訊自決權，意謂原則上個人可以用同意的方式，決定個人資訊的使用和拋棄。但即使有清楚明確的意思表示，該同意亦僅係保障資訊主權的重要因素之一。另就同意書而言，若如歐盟部長理事會所建議者，只需清楚明確即可，則這種方式於保護上是不夠充分的。 4.個人資料建檔必須有效地限制 該會議重申，嚴格規範對個人資料的蒐集有其必要性。為個人檔案之整合與充分使用設置嚴格的界限，現有規定太過簡略而遭到批評。 5.有效的資訊保護需要歐盟層級的企業與官署的資料保護專員 對於資訊保護監督的有效性，在德國已確立之官方與私人企業的資訊保護專員制度係重要之一環。應致力於歐盟層級公/私機構資訊保護專員制度在整個歐洲的推動。 6. 資訊傳輸第三國官署和法院需要更嚴格的監督 近期的隱私醜聞之後，目前亟需對歐洲公民個人資料給予更妥善的保護，以對抗來自第三國的機構。此意見書贊同歐盟議會的建議，即以第三國法院的判決和行政機關的決議，要求對個人資訊的披露，在歐盟之中僅能基於國際公約中機關互助和法律協助之規定，原則上予以承認與執行。
歐盟資料保護工作小組修正通過個人資料侵害通報指引歐盟資料保護工作小組修正通過「個人資料侵害通報指引」 資訊工業策進會科技法律研究所 法律研究員 李哲明 2018年3月31日 壹、事件摘要 因應歐盟「通用資料保護規則」（The General Data Protection Regulation，或有譯為一般資料保護規則，下簡稱GDPR）執法即將上路，針對個人資料侵害之通報義務，歐盟資料保護工作小組（Article 29 Data Protection Working Party, WP29）特於本（2018）年2月6日修正通過「個人資料侵害通報指引」（Guidelines on Personal data breach notification under Regulation 2016/679），其中就GDPR所規範個資侵害之定義、對監管機關之通報、與個資當事人之溝通、風險及高風險評估、當責與紀錄保存及其他法律文件所規定之通報義務等，均設有詳盡說明與事例。 貳、重點說明 一、何謂個資侵害？個資侵害區分為哪些種類？ 依據GDPR第4條（12）之定義，個資侵害係指：「個人資料因安全性之侵害所導致意外或非法之毀損、喪失、修改、未經授權之揭露、存取、個資傳輸、儲存或其他處理。」舉例來說，個人資料之喪失包括含有控制者（controller）顧客資料庫的備份設備之遺失或遭竊取。另一例子則為整份個資的唯一檔案遭勒索軟體加密，或經控制者加密，但其金鑰已滅失。依據資訊安全三原則，個資侵害之種類區分為： 機密性侵害（Confidentiality breach）：未經授權、意外揭露或獲取個人資料。 完整性侵害（Integrity breach）：未經授權或意外竄改個人資料。 可用性侵害（Availability breach）：在意外或未經授權之情況下，遺失個人資料存取權限或資料遭銷燬。 二、何時應為通知？ 按GDPR第33條（1）之規定，當個資侵害發生時，在如果可行之情況下，控制者應即時（不得無故拖延）於知悉侵害時起72小時內，依第55條之規定，將個資侵害情事通報監管機關。但個資侵害不會對自然人之權利和自由造成風險者，不在此限。倘未能於72小時內通報監管機關者，應敘明遲延之事由。 三、控制者「知悉」時點之判斷標準為何？ 歐盟資料保護工作小組認為，當控制者對發生導致個人資料侵害的安全事件達「合理確信的程度」（reasonable degree of certainty）時，即應視為其已知悉。以具體事例而言，下列情況均屬所謂「知悉」： 在未加密個人資料的情況下遺失USB密鑰（USB Key），通常無法確定是否有未經授權者將獲致存取資料權限。即使控制者可能無法確定是否發生機密性侵害情事，惟仍應為通知，因發生可用性侵害之情事，且已達合理確信的程度。 故應以控制者意識到該密鑰遺失時起為其「知悉」時點。 第三人通知控制者其意外地收到控制者的客戶個人資料，並提供該揭露係未經授權之證據。當侵害保密性之明確證據提交控制者時，即為其「知悉」時點。如：誤寄之電子郵件，經非原定收件人通知寄件者之情形。 當控制者檢測到其網路恐遭入侵，並針對其系統進行檢測以確認個人資料是否遭洩漏，嗣後復經證實情況屬實，此際即屬「知悉」。 網路犯罪者在駭入系統後，聯繫控制者以索要贖金。在這種情況下，控制者經檢測系統並確認受攻擊後，亦屬「知悉」。 值得注意的是，在經個人、媒體組織、其他來源或控制者自我檢測後，控制者或將進行短暫調查，以確定是否發生侵害之事實。於此調查期間內所發現之最新侵害情況，控制者將不會被視為「知悉」。然而，控制者應儘速展開初步調查，以形成是否發生侵害事故之合理確信，隨後可另進行更詳盡之調查。 四、共同（聯合）控制者之義務及其責任分配原則 GDPR第26條針對共同控制者及其如何確定各自之法遵義務，設有相關規定，包括決定由哪一方負責遵循第33條（對主管機關通報）與第34條（對當事人通知）之義務。歐盟資料保護工作小組建議透過共同控制者間之契約協議，約明哪一方係居主要地位者，或須負責盡到個資侵害時，GDPR所定之通知義務，並載於契約條款中。 五、通報監管機關與提供資訊義務 當控制者通報監管機關個資侵害情事時，至少應包括下列事項 （GDPR第33條（3）參照）： 敘述個人資料侵害之性質，包括但不限於所涉之相關個資當事人、個資紀錄及其類別、數量。 傳達資料保護長（DPO）或其他聯絡人之姓名與聯絡方式，俾利獲得進一步資訊。 說明個資侵害可能之後果。 描述控制者為解決個資侵害業已採取或擬採行之措施，在適當情況下，酌情採取措施以減輕可能產生之不利影響。 以上乃GDPR要求通報監管機關之最基本事項，在必要時，控制者仍應盡力提供其他細節。舉例而言，控制者如認為其處理者係個資侵害事件之根因（root cause），此時通報並指明對象即可警示委託同一處理者之其他控制者。 六、分階段通知 鑒於個資事故之性質不一，控制者通常需進一步調查始能確定全部相關事實，GDPR第33條（4）爰設有得分階段通知（notification in phases）之規定。凡於通報時，無法同時提供之資訊，得分階段提供之。但不得有不必要之遲延。同理，在首次通報後之後續調查中，如發現該事件業已受到控制且並未實際發生個資侵害情事，控制者可向監管機關為更新。 七、免通報事由 依據GDPR第33（1）條規定，個資侵害不會對自然人之權利和自由造成風險者，毋庸向監管機關通報。如：該遭洩露之個人資料業經公開使用，故並未對個人資料當事人構成可能的風險。 必須強調的是，在某些情形下，未為通報亦可能代表既有安全維護措施之缺乏或不足。此時監管機關將可能同時針對未為通報（監管機關）或通知（當事人），以及安全維護措施之缺乏或不足，以違反第33條或（及）34條與第32條等獨立義務規定為由，而依第83條4（a）之規定，併予裁罰。 參、事件評析 一、我國企業於歐盟設有分支機構或據點者，宜指派專人負責法遵事宜 揆諸GDPR前揭規定，當個資侵害發生時，控制者應即時且不得無故拖延於知悉時起72小時內，將個資侵害情事通報監管機關。未能履踐義務者，將面臨最高達該企業前一會計年度全球營業額之2%或1千萬歐元，取其較高者之裁罰。我國無論金融業、航運業、航空運輸業、電子製造業及進出口貿易業者等，均或有於歐盟成員國境內或歐洲經濟區（European Economic Area）當地設立子公司或營業據點。因此，在GDPR法遵衝擊的倒數時刻，指派具瞭解GDPR規定、當地個資隱私法遵規範、擅長與隱私執法機構溝通及充要語言能力者專責法遵業務實刻不容緩。蓋此舉可避免我國企業母公司鞭長莫及，未能及時處置而致罹法典之憾。 二、全面檢視個資業務流程，完備個資盤點與風險評鑑作業，掌握企業法遵現況 企業應全面檢視業務流程，先自重要核心業務中析出個資作業流，搭配全面個資盤點，並利用盤點結果進行風險評鑑，再針對其結果就不同等級之風險採行相對應之管控措施。此外，於全業務流程中，亦宜採行最小化蒐集原則，避免蒐集過多不必要之個人資料，尤其是GDPR所定義之敏感個資（如：種族、民族血統、政治觀點、宗教信仰、哲學信仰、工會會員資格等個人資料，及遺傳資料的處理，用於識別特定自然人之生物識別資料、健康資料、性生活、性取向等）或犯罪前科資料，俾降低個人資料蒐集、處理、利用、檔案保存及銷燬之全生命週期流程中的風險。此舉亦契合我國個人資料保護法第5條所揭櫫之原則。 三、立法要求一定規模以上之企業須通過個資隱私法遵第三方認（驗）證，並建置認證資訊公開平台 鑒於國際法遵衝擊以及隱私保護要求之標準線日漸提升，我國企業除自主導入、建置並維運相關個資保護與管理制度以資因應，更有賴政府透過法令（如：修正個人資料保護法）強制要求一定規模以上之企業通過第三方專業驗證，俾消弭風險於日常準備之中。蓋我國具一定規模以上企業，無論其係屬何種業別，一旦違反國際法遵要求，遭致鉅額裁罰，其影響結果將不僅止於單一企業，更將嚴重衝擊該產業乃至於國家整體經貿發展。職是，採法律強制要求企業定期接受獨立、公正及專業第三方認（驗）證，咸有其實益性與必要性。
美國商務部取消對來自敏感國家之外國科學家使用部分研究設備之限制911 恐怖攻擊以來，美國持續加強國土安全保護，而為保障國家安全及科技競爭力，美國商務部（ US Department of Commerce ）原本打算制定安全管制規定， 對來自敏感國家之外國科學家， 限制其 使用部分的實驗研究設備。所謂敏感國家（ countries of concern ），包括巴基斯坦、印度、俄羅斯及中國，來自於這些國家的科學研究人員若要在美國境內的從事特定實驗研究，因而需要使用特定設施設備者（主要是可用於軍事用途者），不論研究設施設備是屬於聯邦或民間所有，在開始操作、進行安裝、維護與修繕等之前，必須先向美國政府提出申請始可近用。 現行美國有關技術管制規定主要係針對敏感科技的出口，商務部自 2004 年起，即打算推動修正此等規定，進一步將部分可用於軍事用途之研究設施設備予以立法管制，從美國政府所公布的管制清單來看，其涵蓋範圍甚廣，從化學、雷射到細菌培養等各領域之研究設施設備，均涵蓋在內，故商務部此項修法計畫一經公開，立即震撼外界，除學術界及產業界強烈外抨擊，就連聯邦實驗室也大表反對。反對意見多認為，預計的修正規定將會破壞大學校園中之開放精神，影響科學自由的研究環境；而研究設施設備近用之事前許可制，亦將造成學界與業界的負擔；甚至可能阻礙未來大學或業界延攬外國科技人才參與研究計畫之進行，長期而言，實將會戕害美國的國際競爭力。 面對各界反對聲浪，為避免降低研究型企業之生產力，美國商務部在今年 5 月底宣布取消原來的立法管制計畫，不過，商務部將會召集產學研各界專家，組成一個十二人的委員會，持續就實驗室安全管制的問題交換意見，期能獲致更有效之解決之道。