OASIS網路標準服務遭抵制
開放原始碼及自由軟體的大老等發起一封抵制網路服務標準機構OASIS新專利政策的活動，並簽署了一份電子郵件，呼籲社群不要採用由OASIS標準組織所通過的規格。OASIS本月修改了它的專利政策，宣稱為開放原始碼軟體的開發提供了更好的選擇。
這份電子郵件中表示，不要採用OASIS的不開放標準。要求OASIS修改它的政策。如果你是OASIS成員，對於這種窒礙難行，不能用在開放原始碼及自由軟體上的標準，不要參與其工作小組。支持者亦表示，希望類似OASIS這樣的組織能訂出明確政策，好讓所有想採用業界標準的組織可以預先知道未來是否會被收費。
然而，OASIS為自己的政策修改提出辯護，也對這個活動加以反擊。其表示，OASIS這個政策和W
OASIS所修改的政策為標準工作提出了三種模式：RAND（reasonable and nondiscriminatory licensing，合理且統一的授權）；RAND條件下的RF（免權利金）；或者是有條件下的RF。
對於OASIS的杯葛，反應出產業在IP權利上的利益，以及開放原始碼和自由軟體支持者間的爭執。OASIS的新政策預計要在
本文為「經濟部產業技術司科技專案成果」
陳怡玫
副主任兼規章法制組組長 編譯整理
2018年7月27日印度電子及資訊科技部（Ministry of Electronics and Information Technology, MeitY）公告個人資料保護法草案（Protection of Personal Data Bill），若施行將成為印度首部個人資料保護專法。 其立法背景主要可追溯2017年8月24日印度最高法院之判決，由於印度政府立法規範名為Aadhaar之全國性身分辨識系統，能夠依法強制蒐集國民之指紋及虹膜等生物辨識，國民在進行退稅、社會補助、使用福利措施等行為時都必須提供其個人生物辨識資料，因此遭到人權團體控訴侵害隱私權。最高法院最後以隱私權為印度憲法第21條「個人享有決定生活與自由權利」之保護內涵，進而認為國民有資料自主權，能決定個人資料應如何被蒐集、處理與利用而不被他人任意侵害，因此認定Aadhaar專法與相關法律違憲，政府應有義務提出個人資料專法以保護國民之個人資料。此判決結果迫使印度政府成立由前最高法院BN Srikrishna法官所領導之專家委員會，研擬個人資料保護法草案。 草案全文共112條，分為15章節。主要重點架構說明如下： 設立個資保護專責機構（Data Protection Authority of India, DPAI）：規範於草案第49至68條，隸屬於中央政府並由16名委員所組成之委員會性質，具有獨立調查權以及行政檢查權力。 對於敏感個人資料（Sensitive personal data）[1]之特別保護：草案在第4章與第5章兩章節，規範個人與兒童之敏感個人資料保護。其中草案第18條規定蒐集、處理與利用敏感個人資料前，必須獲得資料主體者（Data principal）之明確同意（Explicit consent）。而明確同意是指，取得資料主體者同意前，應具體且明確告知使用其敏感個人資料之目的、範圍、操作與處理方式，以及可能對資料主體者產生之影響。 明確資料主體者之權利：規範於草案第24至28條，原則上資料主體者擁有確認與近用權（Right to confirmation and access）、更正權（Right to correction）、資料可攜權（Right to data portability）及被遺忘權（Right to be forgotten）等權利。 導入隱私保護設計（Privacy by design）概念：規範於草案第29條，資料保有者（Data fiduciary）應採取措施，確保處理個人資料所用之技術符合商業認可或認證標準，從蒐集到刪除資料過程皆應透明並保護隱私，同時所有組織管理、業務執行與設備技術等設計皆是可預測，以避免對資料主體者造成損害等。 指派（Appoint）資料保護專員（Data protection officer）：散見於草案第36條等，處理個人資料為主之機構、組織皆須指派資料保護專員，負責進行資料保護影響評估（Data Protection Impact Assessment, DPIA），洩漏通知以及監控資料處理等作業。 資料保存之限制（Data storage limitation）：規範於草案第10條與第40條等，資料保有者只能在合理期間內保存個人資料，同時應確保個人資料只能保存於本國內，即資料在地化限制。 違反草案規定處高額罰金與刑罰：規範於草案第69條以下，資料保有者若違反相關規定，依情節會處以5億至15億盧比（INR）或是上一年度全球營業總額2%-4%罰金以及依據相關刑事法處罰。 [1]對於敏感個人資料之定義，草案第3-35條規定，包含財務資料、密碼、身分證號碼、性生活、性取向、生物辨識資料、遺傳資料、跨性別身分（transgender status）、雙性人身分（intersex status）、種族、宗教或政治信仰，以及與資料主體者現在、過去或未來相連結之身體或精神健康狀態的健康資料（health data）。
因應國際法規變動趨勢的營業秘密管理建議因應國際法規變動趨勢的營業秘密管理建議 資訊工業策進會科技法律研究所 2024年06月24日 因應技術進步導致資訊的存取與分享更加容易，營業秘密侵權爭議也隨之增長，綜觀國際政策推動或許多跨國智財專家均逐漸重視營業秘密爭議相關議題，並論及營業秘密相關法規趨勢、訴訟經驗、建議企業可執行的營業秘密管理做法等，以下將綜整相關趨勢與專家觀點並提出我國企業建議。 壹、法規變動趨勢 從國際趨勢以觀，各國針對「競業禁止」規定，有逐漸對其嚴格審查與進行法規監管的趨勢，而這也使得透過限制性條款避免機密資訊外洩的難度提高，企業多轉而透過營業秘密管理來加強防護。 一、競業禁止 本文列舉了近期美國與英國對於競業禁止法規監管的趨勢。 （一）美國將從聯邦層級禁止「競業禁止」條款 美國聯邦貿易委員會（Federal Trade Commission，下稱FTC）於今年，2024年4月23日推出一項最終規定「Non-Compete Clause Rule[1]」，該規則將針對除了高級管理人員以外之員工，使僱主與員工之間已簽訂競業禁止協議無效，並禁止未來僱主與員工簽訂競業禁止合約。 （二）英國擬立法限制「競業禁止」之最高法定期限 英國目前的競業禁止相關限制係基於英美法，以法院的個案判決及既判例來執行。英國政府於2020年12月4日至2021年2月26日期間向公眾進行諮詢，並就諮詢意見之政府回覆於2023年發布報告[2]，英國政府在該報告中提出，就目前國際實務上競業禁止條款之執行期間除了美國部分州已直接被禁止外，多半未進行太多限制，如德國最高為24個月、義大利最長可達三至五年，而英國政府提出其擬將在議會時間允許的情況下提出立法領先引入「最多三個月[3]」之上限，對於競業禁止條款進行限制。 二、合理保密措施 承上所述，基於「競業禁止」條款的效力可能因為政策、法規變動或在不同國家的規定不同而導致已簽署之競業禁止條款失去效力、尚未簽署之契約禁止再簽署競業禁止條款或只允許在受有限制之情況下簽署等，企業透過此類限制性條款來避免機密資訊外洩的難度提高，使的企業多轉而透過其他日常營業秘密管理措施來加強防護，及證明企業有落實營業秘密的「合理保密措施」之法律要件。 以美國加州為例，該州多年前就禁止「競業禁止」約定，故當地企業早已轉往透過建置營業秘密政策和保護措施來加強防護。 貳、具體營業秘密管理措施之建議 一、合理保密措施之目的 合理保密措施除了作為補足無法使用限制性條款（競業禁止條款）之替代管制措施具有「預防營業秘密洩漏之效果」以外；更具有在營業秘密侵權發生後，訴訟上舉證之用。許多智財實務專家表示，無論是在哪一國法規的管轄下，權利人共通性的困難多在於訴訟的舉證上，因此專家建議企業應留存營業秘密管制措施之執行紀錄以作為將來涉訟時舉證之用。 二、營業秘密管理之具體作法 參照實務上專家的建議，本文彙整將實務上被推薦之具體營業秘密管理做法[4]羅列如下： （一）確立並可以識別營業秘密範圍 對於企業而言，首先應識別並記錄出營業秘密（機密）範圍，才能明確管制措施的範圍，並透過機密的標示（例如浮水印）來使員工能夠認知到接觸的資訊為公司重要的營業秘密。 （二）監控 針對下載、複印、數據傳輸行為或者其他可能包含機密資訊之公司設備等行為公司應進行監控。 （三）使用行為管制 公司應限縮傳播範圍（包含禁止員工通過電子郵件將資訊發送到個人電子郵件或將機密文件攜出公司等）；並於不使用時妥善存放保管並上鎖或設置密碼管控。 （四）人員管制 員工作為營業秘密管控機制重要的一環，專家建議應對員工進行教育訓練（告知營業秘密重要性或提供有關如何識別和保護機密資訊的培訓）；與相關人員（員工、承包商、合作單位）簽署保密契約（confidentiality agreements）明確定義機密資訊之範圍以及禁止未經授權的使用與揭露；設立離職員工管控機制（包含離職面談、保存相關設備、甚至如果員工可能進入競爭對手工作，企業可評估是否進一步請合格第三方進行鑑識或取證員工身上是否攜帶機密資訊等，以作為未來若涉訟之舉證）等。 參、評析 綜上所述，企業或許已經理解建立合理保密措施並留存作為訴訟時舉證之證據的重要性，並了解些許零散的管理做法，但可能產生管理措施如何才算是完善的疑問，為了提供企業更全面的管理建議，資策會科法所創意智財中心以其在智財領域之研究與實務經驗的積累發布「營業秘密保護管理規範」[5]（下稱管理規範）將管理措施透過十個單元建立PDCA管理循環。 經查，上述國際法規變動下實務專家討論之營業秘密管理措施均包含在管理規範內，如「（一）確立並可以識別營業秘密範圍」會對應到管理規範第4單元「營業秘密的確定」章節；「（二）監控」會對應到管理規範之第5單元「營業秘密的使用管理」及第7單元「網路與環境設備管理」；「（三）使用行為管制」會對應到管理規範之第5單元「營業秘密的使用管理」；「（四）人員管制」會對應到管理規範之第6單元「員工管理」與第8單元「外部活動管理」。 管理規範除了提供更加多元完善的管理做法（如定義出的營業秘密應進行機密分級、設定保密期限建立管理清單；除了管制流通、複製行為，後端的銷毀或使用紀錄留存、預警措施之建立也很重要；對於員工的管控不僅是離職時，更是從入職時就有風險需要管控；或者更後端的爭議處理機制、監督與改善機制之建立等）以外，更重要的是，管理規範納入了企業應考量的相關法律風險，以「（二）監控」之建議為例，管理規範第6.3.2條進一步要求應對員工進行「宣導」，告知員工「會監控其使用營業秘密行為並保存相關電磁紀錄」，此規定對於企業而言十分重要，因為若未進行告知，可能會因為侵害員工的隱私權，違反刑法妨害秘密罪以及通訊保障及監察法之違法監察通訊罪，而使雇主被判刑。 由此可知，企業在建立營業秘密合理保密措施之相關機制時，亦需要注意措施的完善與合法性，企業除了可參考管理規範系統性建立營業秘密管理機制外，亦可以此管理規範做為檢視自身管理措施符合性之依據，進而促進企業有效落實營業秘密管理。 [1]Federal Trade Commission, FTC Announces Rule Banning Noncompetes (2024), https://www.ftc.gov/news-events/news/press-releases/2024/04/ftc-announces-rule-banning-noncompetes (last visited May 15, 2024). [2]Consultation outcome Measures to reform post-termination non-compete clauses in contracts of employment, GOV.UK, https://www.gov.uk/government/consultations/measures-to-reform-post-termination-non-compete-clauses-in-contracts-of-employment#full-publication-update-history (last visited Jun. 19, 2024). [3]同前註，引述原文：「The government will introduce a statutory limit on the length of non-compete clauses of 3 months and will bring forward legislation to introduce the statutory limit when parliamentary time allows.」。 [4]Q&A: Trade secret disputes, Financier Worldwide Magazine, Financier Worldwide Magazine, https://www.financierworldwide.com/qa-trade-secret-disputes (last visited Jun. 05, 2024). [5]<營業秘密保護管理規範>，財團法人資訊工業策進會科技法律研究所網站，https://stli.iii.org.tw/publish-detail.aspx?no=72&d=7212（最後瀏覽日：2024/06/14）。
日本發布利用AI時的安全威脅、風險調查報告書，呼籲企業留意利用AI服務時可能造成資料外洩之風險日本獨立行政法人情報處理推進機構於2024年7月4日發布利用AI時的安全威脅、風險調查報告書。 隨著生成式AI的登場，日常生活以及執行業務上，利用AI的機會逐漸增加。另一方面，濫用或誤用AI等行為，可能造成網路攻擊、意外事件與資料外洩事件的發生。然而，利用AI時可能的潛在威脅或風險，尚未有充分的對應與討論。 本調查將AI區分為分辨式AI與生成式AI兩種類型，並對任職於企業、組織中的職員實施問卷調查，以掌握企業、組織於利用兩種類型之AI時，對於資料外洩風險的實際考量，並彙整如下： 1、已導入AI服務或預計導入AI服務的受調查者中，有61%的受調查者認為利用分辨式AI時，可能會導致營業秘密等資料外洩。顯示企業、組織已意識到利用分辨式AI可能帶來的資料外洩風險。 2、已導入AI利用或預計導入AI利用的受調查者中，有57%的受調查者認為錯誤利用生成式AI，或誤將資料輸入生成式AI中，有導致資料外洩之可能性。顯示企業、組織已意識到利用生成式AI可能造成之資料外洩風險。 日本調查報告顯示，在已導入AI利用或預計導入AI利用的受調查者中，過半數的受調查者已意識到兩種類型的AI可能造成的資料外洩風險。已導入AI服務，或未來預計導入AI服務之我國企業，如欲強化AI資料的可追溯性、透明性及可驗證性，可參考資策會科法所創意智財中心所發布之重要數位資料治理暨管理制度規範；如欲避免使用AI時導致營業秘密資料外洩，則可參考資策會科法所創意智財中心所發布之營業秘密保護管理規範，以降低AI利用可能導致之營業秘密資料外洩風險。 本文為資策會科法所創智中心完成之著作，非經同意或授權，不得為轉載、公開播送、公開傳輸、改作或重製等利用行為。 本文同步刊登於TIPS網站（https://www.tips.org.tw）
優質網路社會基本法之推動芻議