以法制工具支援文化創意產業之發展與推動－文化創意產業發展法及相關配套子法
歐盟GDPR保護適足性審核與因應作為 資訊工業策進會科技法律研究所 法律研究員 吳柏凭 2018年04月10日 壹、事件摘要 歐盟於 1995 年頒布個人資料保護指令(95/46/EC)[1]，對歐洲各國甚至全世界個人資料保護法制發展有極大影響力。然隨著資通訊技術發展變化迅速，網際網路與各項應用興起，既有歐盟個人資料保護指令面對這些變化已經難以為繼，歐盟執委會(European Commission) 出新的資料保護規則（General Data Protection Regulation, GDPR），於2016年4月27日通過，5月4日公布，正式成為歐盟第2016/679號規則（Regulation (EU) 2016/679）[2]。由於歐盟原則上禁止個人資料跨境傳輸，只有在被認可具有保護適足性(Adequate level of protection)的國家或地區才能例外許可傳輸，因此如何獲得歐盟保護適足性認可，就成為能否跨境傳輸歐盟個資的關鍵。 貳、重點說明 一、個人資料保護指令保護適足性審查規定 1995年的個人資料保護指令，就有禁止會員國將個人資料跨境傳輸至對資料保護不具有保護適足性之國家[3]。在第25條第2項中，對於保護適足性的審查，包括資料的性質、處理目的和期間、資料的發生地及最終目的地、該國家施行的普通法及特別法規範、以及安全措施等，透過個案綜合判斷是否具有保護適足性[4]。而關於具體的判斷標準，則依照第29條規定資料保護工作小組（Article 29 Data Protection Working Party）的指導文件[5]，其中對於法律規範審查，除了內容外，更重視個資保護的執行面。 二、GDPR保護適足性審查規定 GDPR延續了個人資料保護指令的規定，原則上禁止資料跨境傳輸至對資料保護不具有適足性之國家[6]。根據第45條第2項規定，適足性的評估包括以下要素： 法治、對人權與基本自由之尊重、一般與部門之相關立法，包括有關公共安全、防衛、國家安全及刑法、公務機關對個人資料之接近使用權、及該等立法、資料保護規則、專業規則及安全措施之執行。 有一個或以上獨立監管機關之存在及有效運作，或對象為國際組織時，確保及執行資料保護規則之遵守，包括充足之執行權，以協助及建議資料主體行使其權利，並與會員國之監管機關合作； 個人資料向其他第三國或國際組織進一步移轉，該其他第三國或國際組織之規則、判例法、及有效且可執行之資料主體權利及個人資料受移轉之資料主體有效之行政與司法救濟；第三國或國際組織所加入之國際協定，或其他因具法律拘束力之合約或辦法、及從其參與多邊或區域體系而生之義務，尤其關於個人資料保護者。 以上規定與個人資料保護指令最大不同在於將保護適足性的判斷標準明文化，同時補充個人資料向第三地再傳輸應注意的規範、具有獨立性監管機關等規定，填補原本個人資料保護指令的漏洞。 三、保護適足性認可程序與現況 保護適足性認可的程序[7]為： 來自歐盟執委會的提案。 得到由歐盟各國資料保護機關組成之作業會議(European Data Protection Board)的意見。 得到歐盟各國代表的承認。 歐盟執委會合意認可。 縱然取得認可，之後也會每四年檢驗一次[8]，如果被判定不具保護適足性，則仍會取消原本的認可[9]。 現階段已通過保護適足性審核的國家地區包括：安道爾、阿根廷、加拿大（民間機構）、法羅群島、根西島、以色列、馬恩島、澤西島、紐西蘭、瑞士及烏拉圭，另有美國限於「隱私盾」框架(Privacy Shield framework)方可傳輸。 參、事件評析 （一）保護適足性認可的效益 除了取得適足性認可外，個別企業可以透過1.標準契約條款(Standard Contractual Clauses, SCC)；2.拘束企業準則(Binding Corporate Rules, BCR)；或3.取得同意方式進行跨境傳輸[10]。但是取得適足性認可不但可以節省企業在個資跨境傳輸的成本，減輕企業負擔，同時也有助於整體產業突破歐盟貿易壁壘。 （二）通過保護適足性審核的困難 雖然現行通過適足性審核的國家地區有11個，惟需注意的是，根西島、馬恩島、以及澤西島都是英國屬地，法羅群島是丹麥屬地，而安道爾和瑞士都是在歐洲境內，這些國家地區的法規範本來就與歐盟差距不大，加上美國及加拿大國家本身不被認可具適足性，實際上不屬於歐盟法體系而通過適足性審核的國家地區非常有限。而且包括以色列、烏拉圭或紐西蘭在申請認可都花超過三年的時間，因此也不能作為短期的因應措施。 此外，在要件方面，規範上雖然我國個資保護規範與GDPR未有極大歧異，但只要存有差異，要取得認可就有極高困難度，這些都需要與歐盟執委會溝通。而在監管機關要求方面，雖然沒有要求單一機關，但對於機關的「獨立性」仍有要求。關於機關的獨立性目前歐盟並沒有明確的標準，但在歐盟法院判決中，有因為德國的州對州層級的資料監管機關進行調查的權力，而被認為不具獨立性[11]。 （三）通過適足性審核的具體作為 以日本為例，為了取得歐盟適足性認可，在2015年9月就其個人資料保護法（個人情報保護法）進行修正，其中設立個人資料保護委員會（個人情報保護委員会）即是為了符合適足性要求中「獨立監管機關」規定，而第24條跨境傳輸的規定更是重要。 日本個人資料保護委員會在2016年就與歐盟執委會溝通三次[12]，同時在2017年發出共同聲明[13]。在不修正法律的狀況下，日本個人資料保護委員會頒布一指導方針來消除差異，並於於2018年2月9日先揭示調適方向[14]，包括： 將歐盟視為敏感性個人資料而日本未明文規定者，解釋上一律視為敏感性個人資料。 歐盟不管個人資料保管期間，一律可以主張權利，而日本則限保管期間6個月以上方可主張權利。指導方針對於歐盟跨境傳輸的個資，不管保管期限一律許其主張權利。 對歐盟跨境傳輸的個資將要求揭露特定利用目的。 對於歐盟跨境傳輸的個資再移轉，必需要透過契約等規制，確保資料受保護水準。 關於歐盟跨境傳輸的個資，在去識別化一定要確認無法再識別，以與歐盟去識別化資料定義相符。 肆、結語 歐盟GDPR已施行在即，如何因應以突破其跨境傳輸的限制將不只是單純避免業者受罰，更是跨越歐盟貿易壁壘的重要關鍵，而在眾多例外許可跨境傳輸的方法中，又以取得保護適足性認可為最根本因應之道。雖然現在取得認可的難度極高，但仍有許多能努力的空間，目前我國也著手申請適足性認可的準備，未來能得到何種程度的回應，值得後續觀察。 [1] Directive 95/46/EC of the European Parliament and of the Council of 24 October 1995 on the Protection of Individuals with regard to the Processing of Personal Data and on the Free Movement of Such Data. [2] Reform of EU data protection rules, European Commission, http://ec.europa.eu/justice/data-protection/reform/index_en.htm (last visited Apr.10, 2018). [3] Data Protection Directive, art. 25(1). [4] Data Protection Directive, art. 25(2). [5] European Commission, Working Party on Protection of Individuals with regard to the Processing of Personal Data, Working Documents Transfers of personal data to third countries: Applying Articles 25 and 26 of EU data protection directive, July 24, 1998. [6] General Data Protection Regulation, art. 45. [7] Adequacy of the protection of personal data in non-EU countries, https://ec.europa.eu/info/law/law-topic/data-protection/data-transfers-outside-eu/adequacy-protection-personal-data-non-eu-countries_en (last visited Apr.10, 2018). [8] General Data Protection Regulation, art. 45(3). [9] General Data Protection Regulation, art. 45(5). [10] General Data Protection Regulation, art. 46. [11]European Commission v. Federal Republic of Germany(C-518/07). [12]個人情報保護委員会，個人情報保護委員会の国際的な取組について，https://www.kantei.go.jp/jp/singi/keizaisaisei/miraitoshikaigi/4th_sangyokakumei_dai2/siryou3.pdf (last visited Apr.10, 2018). [13]JETRO，個人データ保護の「十分性認可」取得の好機に－日EU首脳が共同声明－，https://www.jetro.go.jp/biznews/2017/07/845f14ec50674c94.html (last visited Apr.10, 2018). [14]個人情報保護委員会，EU 域内から十分性認可により移転を受けた個人データの取扱いに関するガイドラインの方向性について ，https://www.ppc.go.jp/files/pdf/300209_siryou1.pdf (last visited Apr.10, 2018).
論ENUM服務推動與應用之法制議題 澳洲通過智慧財產權法修正案，廢除創新專利制度澳洲通過智慧財產權法修正案，廢除創新專利制度 資訊工業策進會科技法律研究所 2020年6月10日 澳洲政府發布2020年《智慧財產權法修正案（生產力委員會回應第2部分及其他措施）》（Intellectual Property Laws Amendment (Productivity Commission Response Part 2 and Other Measures) Act 2020），針對澳洲2003年《設計專利法》、1990年《專利法》及1995年《商標法》進行修正，於2020年2月26日正式成為法律，而本次修法重點係自2021年8月26日起廢除創新專利制度，並開始啟動相關廢除程序。 壹、修法背景概述 澳洲原先的專利制度分為標準專利（standard patent）以及創新專利（innovation patent）兩種專利，兩者主要區別在於，創新專利類似我國新型專利，其適用門檻較低且保護期間較短。該制度政策目的係為了透過門檻較低的專利制度提供智慧財產權保護，以鼓勵澳洲中小企業進行研發創新。 然而，澳洲智慧財產局2015年所進行的研究資料顯示，創新專利雖然對於鼓勵中小企業研發創新具有一定積極作用，但仍遠遠不及標準專利更有影響力。大型企業甚至透過創新專利作為產業競爭的戰略工具，利用門檻低的優勢建立專利叢林（patent thickets），有效阻礙中小企業進行研發創新，造成中小企業無法在市場上競爭。此外，低門檻且未經審查的創新專利為中小企業經營自由產生不確定性，創新專利本身與中小企業的產品銷售並無關聯，也無法影響整體產業市場，更可能面臨外國專利不認可的窘境，由此可知創新專利長期下來實施效果不彰，並無法確實達成澳洲政府支持中小企業發展的政策目標[1]。 因此，澳洲政府決定廢除創新專利制度，在18個月的過渡期間也將啟動各種配套措施協助中小企業優化智慧財產權制度，例如提供中小企業快速審查服務（SME fast track），或是專案管理服務（SME case management），或是輔導推廣計畫等方式，以政府力量支持提供中小企業成長計畫與教育，協助中小企業更能輕鬆進行多元化智慧財產權策略布局，並符合澳洲智慧財產權法規範體系之要求[2]。 貳、主要修法內容 澳洲政府於2018年曾發布《智慧財產權法修正案（生產力委員會回應第1部分及其他措施）》（Intellectual Property Laws Amendment (Productivity Commission Response Part 1 and Other Measures) Act 2018），主要針對《商標法》及《著作權法》進行調整，例如明訂真品平行輸入不違反澳洲註冊商標權之規定；而本修正案主要針對《專利法》進行修正，於《專利法》加入目的條款[3]（object clause），闡明專利制度之根本目的，係通過技術創新以及技術移轉等方式促進經濟福祉。專利制度會隨著時間的流逝平衡技術、生產者、擁有者以及公眾之間的利益，並減少因時代的演進所導致法規運作的不確定性，在法規條文有不確定概念的情況下，幫助法院進行法律解釋。目的條款不會改變法規的原意，也不會推翻現有的判例法和既定的先例，並對《專利法》立法目的提供明確指引及指導原則[4]。 另一個主要修正為頗受爭議的廢除創新專利修正條文，逐步淘汰的過渡期從12個月延長至18個月，自2021年8月26日起，澳洲智慧財產局即不再接受創新專利申請。此外，在創新專利制度廢除前所提交的申請案，也就是在2021年8月25日以前申請之創新專利案件，在持續繳納專利維護費用下，其效力至期滿為止，並保留提交分割或轉換為標準專利申請的權利，屆時所有已核准的澳洲創新專利將維持有效至專利期滿失效。 參、修法簡析 澳洲創新專利制度目的原為降低中小企業在專利申請與取得的門檻，因此費用較低、保護時間較短，由於費用便宜又可以快速取得專利，若由大型企業大量申請，反而造成中小企業創新研發動力薄弱。澳洲創新專利與我國新型專利雖同樣採取形式審查，但實質內容上仍有部分差異，澳洲創新專利目的在於降低中小企業創新研發成本，因此對於進步性要求較低，使得大型企業反而透過大量申請創新專利扼殺中小企業創新空間。反觀我國新型專利在制度配套措施較為完善，除設有舉發機制外，另設有新型專利技術報告之規範，以降低形式審查之新型專利權對公眾第三人的影響[5]。 澳洲廢除創新專利制度的政策目的，主要是為了解決中小企業在從事研發創新活動與大型企業市場競爭的困境，搭配廢除創新專利制度的因應措施，以降低中小企業經營自由產生不確定性。然而，以形式審查方式的專利制度究竟能否確實有效保障發明人權利，達到促進創新研發的政策目的，仍需以各國對於智慧財產權保護之態度，與政府在司法與行政資源的運作之間取得衡平。目前仍有不少國家仍保留類似的形式審查制度，而澳洲廢除創新專利實質效益仍有待持續觀察，未來將可供我國新型專利制度參考與評估，以利我國建立更有效益的智慧財產權體系。 [1]IP AUSTRALIA, The economic impact of innovation patents, IP Australia Economic Research Paper 05, https://www.ipaustralia.gov.au/sites/default/files/reports_publications/economic_impact_of_innovation_patents.pdf (last visited June 10, 2020) [2]IP AUSTRALIA, Innovation Patents Harm Small Business Innovation, https://www.ipaustralia.gov.au/sites/default/files/innovation_patent_fact_sheet_2019.pdf (last visited June 10, 2020) [3]Patents Act 1990 Article 2A: “The object of this Act is to provide a patent system in Australia that promotes economic wellbeing through technological innovation and the transfer and dissemination of technology. In doing so, the patent system balances over time the interests of producers, owners and users of technology and the public.” [4]IP AUSTRALIA, Intellectual Property Laws Amendment (Productivity Commission Response Part 2 and Other Measures) Act 2020, https://www.ipaustralia.gov.au/about-us/public-consultations/intellectual-property-laws-amendment-productivity-commission-response (last visited June 10, 2020) [5]周光宇，各國新型專利制度之比較與分析，智慧財產權月刊，第217期，2017年1月。
歐盟資料治理規則提出資料利他主義制度以利於公益目的之利用歐盟於2022年5月30日正式簽署通過「資料治理規則」，同時引入（EU）2018/1724修正案（REGULATION (EU) 2022/868 OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL on European data governance and amending Regulation (EU) 2018/1724），針對資料中介組織及資料利他主義組織業務啟動、營運等註冊程序進行補充。 資料治理規則也通稱為資料治理法（Data Governance Act, DGA）。DGA以建立一個可信賴的資料流通環境，達成資料的可利用性，以促進資料可用於各項研究以及創新的商品和服務為目標。 DGA中，特別引人注意的是第四章「資料利他主義」（Data altruism）的提出。依據資料治理規則第二條，所謂的資料利他主義係指資料主體基於自願且無償的情況下，同意他人得處理或利用其所持有的個人資料；或資料持有者在不尋求補償的情況下允許他人得利用其所有的非個人資料（non-personal data）。而這些資料利用的目的是以實現公共利益為目標，例如醫療保健、解決氣候變化、改善交通、促進公部門統計資料的產製與應用、改善公共服務、制定公共政策，或是科學研究等。 為利於資料利他主義的落實，歐盟希望有明確的的制度設計，藉以促成更多資料主體或資料持有人，在有足夠信任的基礎下，願意將資料無償提供並進行公益目的之利用，進而實現改善生活的目標。 因此，DGA中提出以下作法： 制訂「歐洲資料利他主義同意書」（European data altruism consent form）：該法授權歐盟執委會應在諮詢過歐盟資料保護委員會（European Data Protection Board）以及考慮過DGA新設之歐盟資料創新委員會（European Data Innovation Board）的意見後，制定統一的「歐洲資料利他主義同意書表格」。以此增加資料主體對於資料授權的信任，提高資料主體同意將資料釋出與流通再利用之意願，並為授權或撤銷同意建立法遵明確性。 資料利他主義組織（data altruism organisations）管理機制： (1) 資料利他主義組織採自願註冊制度，而非許可制。在資料利他主義於符合形式登記要件後，並符合非營利、透明性以及滿足保障民眾權利等要求後，於其所屬會員國中註冊以成為公認（recognised）的資料利他主義組織。採自願註冊而非許可制的目的，是希望先以管制密度較低的方式，鼓勵更多組織投入資料利他主義的推動。 (2) 給予已註冊之資料利他主義組織識別標誌：透過相關的認可機制並授予識別標誌，藉此提高資料利他主義組織的可辨識度與信賴度，讓民眾在選擇合作的組織時有所依循。 (3) 透明度要求：為了增加資料主體或資料持有者對該組織的信任度，歐盟也將對資料利他主義組織進行一定程度的監督管理，例如年報編列與管理、是否以清晰易懂方式通知資料主體或資料持有者其資料被利用的目的、需保留資料利用之所有紀錄等。此外，也需要遵守DGA授權歐盟執委會未來訂定的相關補充規範。 整體而言，歐盟將資料利他主義的公益精神經由法制化的方式納入歐洲資料治理規則，透過歐洲資料利他主義同意書以及資料利他主義的相關管理規範，降低溝通成本以及建立信任基礎，以增加資料釋出的可能性，進而提升資料被利用的程度，最終達成改善人類福祉的目標。