隨著個人資料保護意識的興起,各國也持續增修法律來保護人民權益以及協調產業標準,但這變動的過程會對本來就複雜的法律結構帶來更多挑戰。 如美國同時會有聯邦法與州法兩個層次的法律,當兩者分別發展隱私權相關法律規範時,難免會缺乏協調,出現定義不明的重疊規範,進而提高企業之法令遵循成本與管理成本。最終導致的結果,就是非必要地降低了產業發展速度,以及提高了消費者獲得服務的成本。 日前美國加州政府修改了首部以消費者個人資料權利為規範之州級法律「加州消費者隱私保護法(California Consumer Privacy Act, CCPA)」,使該部法案對於個人資料保護與利用之規範日漸完備,並減少與聯邦政府重複管轄項目,進而達到合理降低州內企業的遵法成本。美國加州州長紐松(Gavin Newsom)簽署的CCPA修正案「AB-713號法案」(Assembly Bill No. 713, an act to amend Sections 1798.130 and 1798.145 of the Civil Code )通過後,CCPA之適用範圍將限縮。若「同時符合」下列二者條件,則可免受CCPA規範: 受「加州醫療資訊保密法」(the California’s Confidentiality of Medical Information Act, CMIA)所規範的的醫療資訊及個人健康資訊之衍生資訊,或受「美國聯邦受試者保護通則」(Federal Common Rule for human research subjects) 所規範的可識別之個人資訊。 根據「健康保險可攜性及責任法」(Health Insurance Portability and Accountability Act, HIPPA)之標準,已去識別化的資訊。 換言之,已經依HIPAA標準去識別化之第一點資訊,即可豁免CCPA針對個人資料保護之相關規定。此將減輕本身不受 HIPAA 規範,但因進行研究或業務目的需接收 HIPPA 去識別化資訊企業之合規負擔。 「AB-713號法案」對於已去識別化資訊之利用或販售行為,增設了契約須載明下列規範架構之條款內容: 如有利用或販售去識別化資訊涉及病患資料者,須在契約中予以聲明。 禁止買受人或被授權利用人以任何方式重新識別去識別化資訊。 除法律另有規定,或第三方受到相同或更嚴格限制之個資保護約束,買受人或被授權利用人不得將去識別化資訊再行揭露予第三方。 「AB-713號法案」亦要求進行CCPA所涵蓋販售或揭露去識別化病患資訊的企業,其隱私政策聲明應納入以下內容: 將出售或揭露去識別化病患之資訊; 採用HIPAA所允許如專家法(Expert determination)或安全港法(Safe harbor)等之何種方式,進行病患資訊之去識別化。 整體來說,「AB-713號法案」讓CCPA的規範稍加鬆綁,明確排除CCPA對特定去識別化資訊之適用,並擴張對研究行為之豁免範圍,在處理上有更多彈性,惟同時也要求企業須充分揭露其個人資料處理原則。
日本產業競爭力強化法簡介—以新事業活動特例制度為中心 2025年美國營業秘密管理重要實務本文整理美國2025上半年營業秘密管理重要實務,以協助企業強化營業秘密保護。 一、實務常見的兩種不當使用營業秘密情境 由於數位化發展與遠距工作盛行,員工可以更容易地透過隨身碟、電子信箱等方式接觸並傳輸機密(數位文件)。 提醒公司應留意兩個實務常見的不當使用營業秘密的情境: 1. 員工離職後創業或跳槽至競爭公司。 2. 在公司因收購計畫進行盡職調查時,或公司與他方存有供應商、獨立承包商等合作關係期間,公司與他方共享機密資料,接收資訊方卻於協商破局/合作結束後持續留存並不當使用機密。 二、為防患未然,建議公司應「打造營業秘密保護文化」 「打造營業秘密保護文化」的7項重點如下: 1. 識別機密 公司應識別自身所擁有的營業秘密,區分營業秘密與一般資料。如果公司不清楚自己的營業秘密範圍,也會增加員工不知道需要謹慎處理哪些資料的風險。 2. 控管機密文件的重製、流通行為 監控機密文件的列印、下載等重製行為,禁止將公司機密資料傳輸至私人信箱或私人雲端帳戶。 3. 與員工簽訂保密契約,定期提醒保密義務,並客製化員工培訓課程 公司除與員工簽訂保密契約外,當員工開始新專案、轉調部門或升遷時,職務內容的變動,也會連帶影響公司需要向員工更新其對保密義務的理解。 公司應自員工入職起,進行定期的保密培訓與宣導,並針對特定職位客製化相關具體的保密情境,讓員工能夠確實了解公司的保密政策,知道自己應採取/不應採取某些行動,以及行動背後的原因。例如:工程師須了解技術文件的保護方式;銷售團隊需要與客戶資料、定價策略相關的保密培訓課程。 4. 離職人員管理 離職面談應明確提醒員工具持續性的保密義務,且留下相關紀錄,內容應包含對員工任職期間所接觸任何營業秘密的討論資訊,並讓員工簽署書面聲明,確認自己具有保密義務。 5. 網路控管 遠距登入公司系統須透過VPN。 6. 外部活動管理 公司應留意與外部單位(潛在合作夥伴、供應商或客戶)共用敏感資料時,契約須明確約定可共用的資料範圍、可共用資料的人員以及可共用資料的情境。契約應包含保密契約、標示機密資料、返還機密的流程以及定期稽核以確保遵守保密義務。 7. 稽核與改善 定期稽核與持續改善有助於強化營業秘密保護機制,例如:法務、資訊、研發及銷售等部門跨部門協力合作,並持續培訓以打造營業秘密保護文化。 三、面臨營業秘密訴訟,行動策略為關鍵 營業秘密案件通常需要立即採取行動,以防止造成無法彌補的損害。由於在訴訟階段,法院不會僅憑「懷疑」或「模糊描述」就核發禁制令。建議公司平時應落實以下管理措施,以便能夠在發現風險行為後2~3天內,迅速蒐集相應佐證: 1. 證據保全機制應包含:妥善保存電子郵件、系統存取紀錄、裝置使用紀錄等證據。 2. 區分營業秘密的範圍。 3. 持續執行公司所設定的控管措施,如:公司保密政策;保密契約、僱傭契約等契約的保密義務;員工培訓。 4. 留存能夠佐證營業秘密的經濟價值的相關資訊,如:研發投入成本、競爭優勢等。 綜上,公司如欲減少實務上營業秘密糾紛風險,應及早確認是否落實、需要精進公司的營業秘密管理機制,建議國內公司可參考資策會科法所創意智財中心於2023年發布之「營業秘密保護管理規範」,協助公司檢視並循序調整營業秘密管理作法。 本文為資策會科法所創智中心完成之著作,非經同意或授權,不得為轉載、公開播送、公開傳輸、改作或重製等利用行為。 本文同步刊登於TIPS網站(https://www.tips.org.tw)
OASIS網路標準服務遭抵制開放原始碼及自由軟體的大老等發起一封抵制網路服務標準機構OASIS新專利政策的活動,並簽署了一份電子郵件,呼籲社群不要採用由OASIS標準組織所通過的規格。OASIS本月修改了它的專利政策,宣稱為開放原始碼軟體的開發提供了更好的選擇。 這份電子郵件中表示,不要採用OASIS的不開放標準。要求OASIS修改它的政策。如果你是OASIS成員,對於這種窒礙難行,不能用在開放原始碼及自由軟體上的標準,不要參與其工作小組。支持者亦表示,希望類似OASIS這樣的組織能訂出明確政策,好讓所有想採用業界標準的組織可以預先知道未來是否會被收費。 然而,OASIS為自己的政策修改提出辯護,也對這個活動加以反擊。其表示,OASIS這個政策和W3C的政策一樣,都要求必須免權利金才行。且其政策規定,業界標準可以加入專利技術,但必須對外公佈此事才行。而且幾乎在所有的案例裡,這倒頭來都會變成免專利金。 OASIS所修改的政策為標準工作提出了三種模式:RAND(reasonable and nondiscriminatory licensing,合理且統一的授權);RAND條件下的RF(免權利金);或者是有條件下的RF。 對於OASIS的杯葛,反應出產業在IP權利上的利益,以及開放原始碼和自由軟體支持者間的爭執。OASIS的新政策預計要在4月15日生效,原本是要展示對開放原始碼擁護者的妥協。但是,這份電子郵件簽署活動,顯示出新政策依然難已被接受。