美國各州逐步研議透過立法豁免企業資安事件賠償責任 資訊工業策進會科技法律研究所 2024年06月10日 為鼓勵企業採用資安標準與框架,美國已有幾州開始透過立法限縮企業資安事件賠償責任,企業若能舉證證明已符合法令或遵循業界認可之資安框架和標準,則於資安攻擊事件所致損害賠償訴訟中,將無需承擔賠償責任。 壹、事件摘要 為避免有心人士於未取得經授權下近用網路和敏感資料,企業往往投入大量資源打造資安防護架構,惟在現今網路威脅複雜多變的環境下,仍可能受到惡意資安攻擊,導致資料外洩事件發生,導致企業進一步面臨訴訟求償風險,其中多數指控為未實施適當的資安措施。為此美國佛羅里達州和西維吉尼亞州研議透過立法限縮企業之資安事件賠償責任,以鼓勵企業採用資安標準、框架與資安相關法令。 貳、重點說明 繼美國俄亥俄州[1]、猶他州[2]和康乃狄克州[3]相繼頒布法令,讓已實施適當安全維護措施之企業,豁免資安攻擊所致資料外洩之損害賠償責任,佛羅里達州和西維吉尼亞州近期亦提出相似法案,以下介紹兩州法案之重點: 一、佛羅里達州 美國佛羅里達州於2023年11月公布《資安事件責任法案》 (H.B 473: Cybersecurity Incident Liability)[4],法案納入「安全港條款」(Safe Harbor),當企業遭受資安攻擊致生個資外洩事件,如可證明已遵循產業認可的資安標準或框架,實施適當的資安措施與風險控管機制,則可免於賠償責任,以鼓勵企業採納資安標準或框架。 為適用安全港條款,企業須遵循佛羅里達州資訊保護法(The Florida Information Protection Act),針對資料外洩事件,通知個人、監管機關和消費者,並建立與法案內所列當前產業認可的資安標準、框架,或是特定法令規範之內容具一致性的資安計畫(Cybersecurity Programs): (一)當前產業認可的資安標準、框架 1. 國家標準暨技術研究院(National Institute of Standards and Technology, NIST)改善關鍵基礎設施資安框架(Framework for Improving Critical Infrastructure Cybersecurity)。 2. NIST SP 800-171-保護非聯邦系統和企業中的受控非機密資訊。 3. NIST SP 800-53 和 SP 800-53A- 資訊系統和企業的安全和隱私控制/ 評估資訊系統和企業中的安全和隱私控制。 4. 聯邦政府風險與授權管理計畫(Federal Risk and Authorization Management Program, FedRAMP)安全評估框架。 5. 資安中心( The Center for Internet Security, CIS)關鍵安全控制。[5] 6. ISO/IEC 27000系列標準。 7. 健康資訊信任聯盟(The Health Information Trust Alliance, HITRUST)通用安全框架(Common Security Framework)[6]。 8. 服務企業控制措施類型二(Service Organization Control Type 2, SOC 2)框架。 9. 安全控制措施框架(Secure Controls Framework)。 10. 其他類似的產業標準或框架。 (二)特定法令規範 企業(entity)如受以下法令規範,亦得適用安全港條款,如法令有修訂,企業應在發布修訂後的一年內更新其資安計畫: 1. 健康保險可攜與責任法(The Health Insurance Portability and Accountability Act, HIPAA)之安全要求。 2. 金融服務現代化法(The Gramm-Leach-Bliley Act)第五章。 3. 2014 年聯邦資訊安全現代化法(The Federal Information Security Modernization Act of 2014)。 4. 健康資訊科技促進經濟和臨床健康法(The Health Information Technology for Economic and Clinical Health Act, HITECH)之安全要求。 5. 刑事司法資訊服務系統 (The Criminal Justice Information Services, CJIS)安全政策。 6. 州或聯邦法律規定的其他類似要求。 該法案雖於2024年3月5日經佛羅里達州參議院三讀通過,但於2024年6月26日遭州長否決[7],其表示法案對於企業的保障範圍過於廣泛,如企業採取基礎的資安措施與風險控管機制,便得主張適用安全港條款,將可能導致消費者於發生個資外洩事件時,無法受到足夠的保障。州政府鼓勵利害關係人與該州網路安全諮詢委員會(Florida Cybersecurity Advisory Council)合作,探求法案的替代方案,以保護消費者資料。 二、西維吉尼亞州 美國西維吉尼亞州於2024年1月29日提出眾議院第5338號法案[8],修訂西維吉尼亞法典(Code of West Virginia),增訂第8H章資安計畫安全港條款(Safe Harbor for Cybersecurity Programs),如企業符合業界認可的資安標準、框架或依特定法令建立與實施資安計畫,包含個人資訊和機敏資料的管理、技術和企業保障措施,將能夠於侵權訴訟中,主張適用避風港條款。 法令內明列評估企業所建立的資安計畫規模和範圍是否適當之要素,包含: 1. 企業的規模和複雜性; 2. 企業的活動性質和範圍; 3. 受保護資訊的敏感性; 4. 使用資安防護工具之成本和可用性; 5. 企業可運用的資源。 (一)當前產業認可的資安標準、框架 除與佛羅里達州法案所列舉業界認可的資安標準之前六項相同,另增加: 1 NIST SP 800-76-2個人身分驗證生物辨識規範(Biometric Specifications for Personal Identity Verification)[9]。 2. 資安成熟度模型認證(The Cybersecurity Maturity Model Certification, CMMC)至少達到第2級,並經外部驗證(external certification)。 (二)特定法令規範 除與佛羅里達州法案所列舉特定法令之前四項相同,另增加:由聯邦環境保護局(Environmental Protection Agency, EPA)、資安暨基礎設施安全局(Cybersecurity and Infrastructure Security Agency, CISA)或北美可靠性公司(North American Reliability Corporation)[10]所採用任何適用於關鍵基礎設施保護的規則、法規或指南。 惟目前法案已於2024年3月27日被西維吉尼亞州長否決[11],其表示透過安全港條款鼓勵企業實踐資安框架雖立意良好,但也可能遭濫用而帶來不當影響,例如TikTok等大型國際企業,如在違背公民意願情況下共享個人資料時,將免於訴訟,恐有損其公民權益,未來州政府將與利害關係人持續進行協商。 參、事件評析 佛羅里達州和西維吉尼亞州近期同步公布有關限制企業於資安事件之責任相關法案,內容亦為相似,西維吉尼亞州之法案目前已遭否決,主要係擔心該豁免條款遭到不當濫用;佛羅里達州之法案亦因對於企業保障過廣與無法保障消費者個資安全考量,而遭州長否決。 法案中明列受產業普遍認可的資安標準、框架與政府所頒布特定法令,有助企業明確遵循與採納,建立與實施資安計畫,惟如何舉證所建立之資安計畫或實施之資安措施,與法案所列之資安標準、框架,或是特定法令規範,具有實質上的一致性,仍不明確,將可能阻礙企業於訴訟上行使抗辯與主張責任豁免權。未來美國如何權衡產業穩健發展與民眾個資保障,仍有待持續觀察。 [1] Chapter 1354 - Ohio Revised Code, Ohio Laws, https://codes.ohio.gov/ohio-revised-code/chapter-1354 (last visited May 24, 2024). [2]Part 7 Cybersecurity Affirmative Defense Act, Utah StateLegislative, https://le.utah.gov/xcode/Title78B/Chapter4/78B-4-P7.html (last visited May 24, 2024). [3]Frederick Scholl, Connecticut’s New Breach Notification and Data Security Laws: Carrots and Sticks, Quinnipiac University, July,1,2021,https://www.qu.edu/quinnipiac-today/connecticuts-new-breach-notification-and-data-security-laws-2021-07-01/ (last visited May 24, 2024). [4]CSHB 473-Cybersecurity Incident Liability, The Florida Senate,https://www.flsenate.gov/Session/Bill/2024/473 (last visited Jun. 28, 2024). [5]資安中心( The Center for Internet Security, CIS)為美國非營利組織,負責推動CIS Controls,針對實際發生的資安攻擊行為提供防禦建議,作為企業保護 IT 系統和資料時可參考之最佳實務作法。資料來源:About us, Center for Internet Security, https://www.cisecurity.org/about-us (last visited Jun. 6, 2024). [6]What is HITRUST?, Schneider Downs,https://schneiderdowns.com/cybersecurity/what-is-hitrust/ (last visited May 24, 2024). [7]Governor of Florida, Vote letter for House Bill 473(2024), https://www.flgov.com/wp-content/uploads/2024/06/Veto-Letter_HB-473.pdf (last visited Jun. 28, 2024). [8]2024 REGULAR SESSION ENROLLED Committee Substitute for House Bill 5338, WEST VIRGINIA LEGISLATURE,https://www.wvlegislature.gov/Bill_Status/bills_text.cfm?billdoc=hb5338%20sub%20enr.htm&yr=2024&sesstype=RS&i=5338 (last visited May 24, 2024). [9]NIST SP 800-76-2 Biometric Specifications for Personal Identity Verification, National Institute of Standards and Technology, https://csrc.nist.gov/pubs/sp/800/76/2/final (last visited May 24, 2024). [10]北美電力可靠性公司(North American Electric Reliability Corporation, NERC),為一家非營利機構,致力推動關鍵基礎設施保護相關標準,以強化北美大規模電力系統(亦即電網)的可靠性和安全性,資料來源:https://www.nerc.com/Pages/default.aspx (last visited May 24, 2024). [11]Governor of West Virginia, Enrolled Committee Substitute for House Bill 5338(2024),https://www.wvlegislature.gov/Bill_Text_HTML/2024_SESSIONS/RS/veto_messages/HB5338.pdf (last visited May 24, 2024).
美國USPTO建議加強非法定重複專利之期末拋棄聲明,避免藥物專利叢林美國專利商標局(United States Patent And Trademark Office, USPTO)於2024年5月10日提議37 C.F.R §1.321修法草案並徵求公眾意見,旨在針對「非法定重複專利」(Nonstatutory-type double patenting)加強專利權「期末拋棄聲明」(Terminal Disclaimer)之要求,以減輕專利叢林現象。 專利權期末拋棄聲明係為避免專利申請人對於申請中,或已取得專利權之前申請案,利用些微變化再次申請專利,構成非法定重複專利,藉此延長專利期限。故現行規定要求於後案申請時應聲明專利權期限與前申請案同時到期,否則將不核准專利之申請。 USPTO提議於聲明中新增一項要求,亦即申請人應聲明後案申請之專利未藉由期末拋棄聲明直接或間接地綁定無效專利,否則同意所申請之專利無法執行(enforceable)。換言之,與後案申請專利所綁定的前案專利,若已被美國聯邦法院或USPTO判定為不具有專利性、專利無效,或是因技術實行上困難而放棄專利者,則透過專利權期末拋棄聲明綁定之專利將全部無法執行。藉此盼能有效去除產業競爭對手間濫用專利制度而建立龐大專利組合之行為模式,並促進研發創新和公平競爭。 此項修法草案被美國法學界認為是針對「藥品專利」而來,亦即USPTO欲藉此回應美國拜登政府致力打擊藥價之政策,並減輕長期受到關注之藥品專利叢林現象,以促進學名藥進入市場,達到降低藥品價格之目的。
俄羅斯聯邦政府發布第299號法令,得不經授權利用「不友好國家」的專利權俄羅斯聯邦政府於2022年3月7日發布第299號法令(Постановление Правительства Российской Федерации № 299,下稱本法令),規定於有國家利益考量之情況下,得不經授權利用「不友好國家」的專利權。而我國也在前述「不友好國家」名單之列。 具體而言,本法令之解釋脈絡應從俄羅斯民法(Гражданский кодекс Российской Федерации)第1360條談起,該條規定在確保國家安全或保護公民生命與健康之極端必要情況下,俄羅斯聯邦政府有權決定,未經專利權人同意,使用相關發明、新型和工業品外觀設計,惟需儘快通知專利權人,並支付相應之補償金。 2021年10月18日,俄羅斯聯邦政府按民法第1360條第2項規定,頒布第1767號法令(Постановление Правительства Российской Федерации № 1767)確定補償數額為受專利保護之商品與服務所產生實際收益之0.5%。 然而,因烏俄戰爭持續延燒致俄羅斯聯邦政府採取反西方制裁措施之故,其發布第299號法令,針對第1767號法令再次增修補償數額之認定方法,規定:「倘專利權人來自『不友好國家』,則俄羅斯實體或個人未經專利權人同意,使用相關發明、新型或工業設計進行生產、銷售商品、提供勞務及服務時,須向權利人支付權利金為前述活動所產生實際收益之0%」。 基此,第299號法令應限縮在有國家利益考量之情況下(如:與國家安全或保護俄羅斯公民的生命、健康相關),針對使用特定的專利或商品,可免支付專利強制授權的補償金。換言之,本法令不應解讀為,任何專利在俄羅斯都可恣意利用,而無需經權利人同意或支付適當補償。惟因無法預期未來俄羅斯聯邦政府對「不友好國家」會否有其他強制授權情事,故我國經濟部智慧財產局發函通知專利權人,應密切關注相關議題,並預作準備以降低風險。
歐盟加值稅(EU Value-Added Tax)2015新制簡介歐盟加值稅(EU Value-Added Tax) 2015新制簡介[1] 資策會科技法律研究所 法律研究員 吳建興 105年01月21日 壹、前言 在資通訊科技軟硬體發展下,現已邁向數位匯流的時代,傳統的電信、廣播電視業與網路業的界線已經模糊,而高速寬頻網路及行動載具的普及更促成新興數位內容服務業的發展,進而考驗著傳統經濟稅法的體制。由於數位經濟具有超越國界之特質,在數位經濟中跨境傳輸[2]加值稅之徵收造成很大挑戰[3],尤其更是對現代國家財政稅造成加深稅基侵蝕及企業利益移轉(BEPS)[4]之危險[5]。因此,歐盟經濟暨財政理事會於2008年通過[6]及公布[7]歐盟新制加值稅法案(VAT Package[8]),法案中關於電信、廣播及電子服務業服務提供地之規定於2015年1月1日正式生效,其目標便是針對數位服務業的加值稅課徵進行改革,以創造一個公平的數位服務市場,迎接數位經濟時代的來臨。 本文以下便就歐盟新制加值稅指令[9](Council Directive 2008/8/EC)區分為三個方向討論:首先界定加值稅新制影響標的和適用範圍以釐清影響範圍,其次說明改革的重點和規範效果,最後嘗試分析對服務提供者和納稅義務人的影響。 貳、新制適用對象 根據歐盟新制加值稅指令(Council Directive 2008/8/EC)第5條規定[10],本次新制規範對象限於數位服務業當中所稱之電信(Telecommunications)、廣播(Broadcasting)及電子(Electronic)服務業三大業別。換言之,「貨物的提供」與「電信、廣播及電子服務業之外其它服務業」則不在本次規範範圍中[11]。而所謂電信,廣播及電子服務,根據定義係指: 一、電信服務定義 電信服務是指經由有線、無線、光學或電子磁,為信號、文字、影像、聲音傳輸、發射、接收等服務。這些服務包含轉讓如此傳輸、發射、接收能力。此能力亦包含對全球資訊網路之連結[12]。具體實例如:固定與行動電話服務、視訊電話服務(Videophone)、經由廣播所傳輸訊息服務(paging services)、傳真、電報、網路連接服務及全球資訊網服務[13]。 二、廣播及電視服務定義 廣播及電視服務是指關於聲音,影音內容之服務,諸如基於一電視、廣播節目表,經由通訊網路(Communications Networks),在一媒體服務提供者之編輯責任下,所提供給大眾同時收聽或收看電視或無線廣播節目[14]。具體實例如:線上廣播服務、經由廣播及電視網路所傳輸廣播及電視節目[15]。 三、電子服務定義 依2006年11月之歐盟加值稅指令所指稱之電子服務是指透過網際網路(The Internet)或電子網路(An Electronic Network)所提供的服務,且依此方式所提供的服務性質是完全自動化並涉及人為最小的干涉,且無此資訊技術下便不能確保該服務之提供品質[16],具體實例如:VOD(Video on Demand),下載應用軟體(APPs)[17],線上下載音樂、線上遊戲、電子書、防毒軟體、線上拍賣等[18]。 貳、新制加值稅規範內容 歐盟新制加值稅規範主要內容是重新定義了所謂服務供應地(The place of supply),進而影響加值稅課徵地的認定。依新修正歐盟加值稅指令第58條規定,如電信服務、廣播及電視服務或電子服務業,對消費者提供服務,該服務之供應地為該消費者通常居所或永久居所。因此,歐盟新制加值稅最大改變,是將舊制中關於歐盟境內的電信,廣播,電子服務中B2C部分加值稅課徵地,由服務提供者所在地改為顧客所在地。至於B2B商業模式規範之課徵地,原即為顧客所在地,在此次新制則未調整。換言之,自2015年1月1日起,提供顧客如電信、廣播及電子服務業服務時,其課稅地為顧客所在地[19]。在新制下,係依照數位服務提供者之所在地位於歐盟境內或境外,認定納稅義務人及課稅地。可歸納如下[20]: 一、數位服務提供者在歐盟境內 數位服務提供者提供服務對象為歐盟會員國境內企業時,由該會員國徵收加值稅。加值稅納稅義務人即為接受該服務之企業。 數位服務提供者提供服務對象為歐盟會員國境內消費者時,由消費者所在國徵收加值稅,加值稅納稅義務人為服務提供者。 數位服務提供者提供服務對象為歐盟會員國境外企業或消費者時,數位服務提供者所在國不能徵收加值稅[21]。 二、數位服務提供者在歐盟境外 數位服務提供者提供服務對象為歐盟會員國境內企業時,由企業所在地會員國徵收加值稅,加值稅納稅義務人為接受該服務之企業。 數位服務提供者提供服務對象為歐盟會員國境內消費者時,由顧客所在國徵收加值稅,加值稅納稅義務人為服務提供者。 參、推動建立簡易報稅系統 承上,由於新制將課稅地由服務提供者所在地改為消費者所在地。此使得數位服務業者須向其消費者所在國家進行加值稅註冊登記,並繳納其應繳加值稅稅額。此對於數位內容服務業者而言,將造成龐大行政負擔。舉例而言,如果英國電子服務業者有一位保加利亞顧客在網路上每月支付10歐元作為會員費;根據新制,電子服務提供者需到保加利亞做加值稅登記及繳納,此時除非電子服務提供者學習保加利亞文,親自聯絡稅務當局做登記及繳納,否則繳納上產生相當困難。倘若英國電子服務業之消費者遍及全歐盟會員國,此時該英國電子服務業便須知道歐盟境內各國加值稅稅率及方式,管理成本將成重大負擔。歐盟預見到此不便,故為方便納稅人納稅,便推動建立了簡易型報稅系統(Mini One Stop Shop, MOSS)。歐盟新制加值稅指令[22]允許電信、廣播及電子服務提供業者透過此替代性納稅方式,只需在其企業建立據點之歐盟會員國內,使用MOSS報稅系統此單一線上窗口進行登記、申報及繳納加值稅,經由該MOSS系統即可達到移轉申報金額給相關消費者所在之會員國之功能,免除報稅上之不便。 肆、事件評析 數位時代的來臨,因為網路傳輸無國境,故以數位服務提供者所在地為課稅地已不能滿足數位時代的超越國界特性,以消費者所在地為提供地應是未來之數位時代稅制發展方向。 就歐盟新制加值稅改革旨在建立一公平競爭的數位內容服務市場而言,透過加值稅課徵地的調整,將能促使歐盟數位內容服務提供者已不能選擇將公司據點建立於低加值稅之會員國而提高其競爭力。此項改革不只符合歐盟內部之服務加值稅長期政策,且亦與加值稅改革之?國際潮流接軌。 就臺灣目前之現狀而觀察,在數位內容服務之加值稅徵收上仍有不公平之競爭現象存在於境外數位服務內容提供者與境內的提供者之間。按現行法令,雖加值稅課稅地是以消費者所在地為原則,亦即不論境外及境內之業者所適用之費率均以臺灣的加值稅稅率為主。然而按現行法令,台灣消費者在每一筆交易低於3000元以下得免此納稅義務[23],因數位內容交易存在低價格之特性,形成國家稅收為數不小之缺口。而且由於在境外數位服務的提供上,現行規定是由台灣消費者負擔申報義務[24],其結果造成境外數位服務的加值稅因為難以期待消費者自行申報而課徵困難,反而變相提高境外數位服務業者的價格競爭力,背離稅制之中立性原則。 在歐盟舊制加值稅改革前,因為歐盟數位服務業者選擇低稅率國去建立據點而造成不公平競爭之問題,已因為新制將課稅地改為消費者所在地而消除。臺灣現制是納稅義務是由消費者負擔,未在臺灣建立據點之境外業者亦無繳納加值稅之義務。對照台歐雙方制度,建議台灣未來之改革方向應將加值稅之納稅義務人改為跨境之數位服務提供者,且取消3000元以下得免繳納之義務,並參考前述MOSS系統提供境外業者便利申報繳納之精神,提供方便境外業者申報繳納之管道,以提高納稅意願,助益國內數位服務產業公平競爭環境之建立。 [1]簡介歐盟加值稅2015新制針對電子服務業,電信業及廣播電視業之規定 [2]特別是在企業提供對消費者之數位內容服務上,暨所謂的B2C(Business to Consumers)服務。 ‘The digital economy also creates challenges for value added tax (VAT) collection, particularly where goods, services and intangibles are acquired by private consumers from suppliers abroad’. id. at 7. [4] 英文原文為: Base Erosion and Profit Shifting [5] ‘While the digital economy and its business models do not generate unique BEPS issues, some of its key features exacerbate BEPS risks’. OECD, OECD/G20 Base Erosion and Profit Shifting : Project 2015 Final Reports: Executive Summaries, at 6. available at http://www.oecd.org/ctp/beps-reports-2015-executive-summaries.pdf (last visited, Oct. 15, 2015) [6] VAT package: Commission welcomes adoption by the ECOFIN Council of new rules on the place of supply of services and a new procedure for VAT refunds , European Council:Press Release Database , Feb. 12, 2008 , http://europa.eu/rapid/press-release_IP-08-208_en.htm?locale=en (last visited, Oct. 15, 2015) [7] Council Directive 2008/8/EC, 2008 O.J. (L44) 11. [8] The "VAT package" contains: a Directive on the place of supply of services; a mini one stop shop for telecom, broadcasting and e-commerce services; a Directive on procedures for VAT refunds to non-established businesses; a Regulation on the exchange of information between Member States which is necessary to underpin the new arrangements [9]歐盟指令2008/8/EC 修正所謂〈歐盟加值稅指令〉Directive 2006/112/EC: Council Directive 2008/8/EC of 12 February 2008 amending Directive 2006/112/EC as regards the place of supply of services, [10] Council Directive 2008/8/EC, art. 5, 2008 O. J. (L44) 11, 17. [11] EUROPEAN COMMISSION, Explanatory notes on the EU VAT changes to the place of supply of telecommunications, broadcasting and electronic services that enter into force in 2015 , (2014) , at, 11, http://ec.europa.eu/taxation_customs/taxation/vat/how_vat_works/telecom/index_en.htm#new_rules (last visited Oct. 20, 2015) [12] Council Directive 2006/112/EC, art. 24(2) ,2006 O. J. (L347) 1, 14. 條文原文如下:Telecommunications services shall mean services relating to the transmission, emission or reception of signals, words, images and sounds or information of any nature by wire, radio, optical or other electron magnetic systems, including the related transfer or assignment of the right to use capacity for such transmission, emission or reception, with the inclusion of the provision of access to global information networks。 [13] Guichet Unique, Impots.gouv.fr, http://www2.impots.gouv.fr/e_service_pro/tva_miniguichet/moss.html p. 7 (last visited Oct. 14, 2015) [14] Council Implementing Regulation (EU) No 1042/2013, art. 6b(1) ,2013 O. J. (L284) 1, 3.條文原文如下: Broadcasting services shall include services consisting of audio and audio-visual content, such as radio or television programmes which are provided to the general public via communications networks by and under the editorial responsibility of a media service provider, for simultaneous listening or viewing, on the basis of a programme schedule [15] Guichet Unique, Impots.gouv.fr http://www2.impots.gouv.fr/e_service_pro/tva_miniguichet/moss.html p.7 (last visited Oct. 14, 2015) [16]Council Implementing Regulation (EU) No 282/2011, art. 7(1) ,2011 O. J. (L77) 1, 5. 條文原文如下: Electronically supplied services’ as referred to in Directive 2006/112/EC shall include services which are delivered over the Internet or an electronic network and the nature of which renders their supply essentially automated and involving minimal human intervention, and impossible to ensure in the absence of information technology. [17]"Applications (software)" [18]Guichet Unique, Impots.gouv.fr, http://www2.impots.gouv.fr/e_service_pro/tva_miniguichet/moss.html p.7 (last visited Oct. 14, 2015) [19] Council Directive 2008/8/EC, art. 5, 2008 O. J. (L44) 11, 17. 新修正歐盟加值稅第58條文原文如下:The place of supply of the following service to a non-taxable person shall be the place where that person is established, has his permanent address or usually resides: (a) Telecommunications services; (b) radio and television broadcasting services; (c) electronically supplied services, in particular those referred to in Annex II. Where the supplier of a service and the customer communicate via electronic mail that shall not of itself mean that the service supplied is an electronically supplied service. [20] Telecommunications, broadcasting & electronic services, European Commission, http://ec.europa.eu/taxation_customs/taxation/vat/how_vat_works/telecom/index_en.htm (last visited, Oct. 15,2015) [21]但倘若此服務在歐盟內實質被使用及享受,此相關會員國則可徵收。舉例而言,一匈牙利仿毒軟體在其網站提供仿毒軟體下載給澳大利亞之顧客,此服務是不用課徵加值稅。然而若此服務是在一歐盟會員國使用或享用,此歐盟會員國可決定去徵收。Telecommunications, broadcasting & electronic services, European Commission, http://ec.europa.eu/taxation_customs/taxation/vat/how_vat_works/telecom/index_en.htm (last visited, Oct. 15,2015). 此為歐盟執委會官網上的例子:“Example A Hungarian company sells an anti-virus program to be downloaded through its website to businesses or private individuals in Australia. NO VAT But if the service is effectively used & enjoyed in an EU country, that country can decide to levy VAT (option for Member States)” [22] Council Directive 2008/8/EC, 2008 O.J. (L44) 11. [23]依民國100年5月6日財政部台財稅字第10004500190號規定, 外國事業團體於中華民國境內無固定營業場所而有銷售勞務者,該買受人同一筆勞務交易應給付報酬總額在新臺幣3千元以下者免繳納營業稅。 [24]營業稅法第二條第三款之規定,外國之事業、機關、團體、組織,在中華民國境內無固定營業場所者,營業稅的納稅義務人為「其所銷售勞務之買受人」。又按照財政部於民國九十四年所頒布「網路交易課徵營業稅及所得稅規範」,其中亦規定「在中華民國境內無固定營業場所之外國事業、機關、團體、組織,其利用網路銷售勞務予我國境內買受人者,應由勞務買受人依營業稅法第36條規定報繳營業稅」。