美國提出個人資料安全及外洩通報法草案
華盛頓特區於今〈2010〉年8月5日由阿肯薩州及維及尼亞州參議院議員Pryor及John Rockefeller所倡議之「個人資料安全及外洩通報法」〈Data Security and Breach Notification Act of 2010〉，其旨趣，在於統一美國各州不同個資外洩通報法，並嘗試為消費者個人資料之安全及隱私設定全國性的標準。
Pryor法案曾於2007年提出，惟當時未能通過，其立法緣由係為處理美國各州、聯邦及國際間政府對個資安全與日俱增之重視。其規範內容，在要求處理及儲存消費者私人資訊，諸如「社會安全碼」〈social security numbers〉之企業，一旦發生資料外洩事件，需對國家提出通報，如該事件對消費者產生現實的「身分盜竊」〈identity theft〉或「帳戶詐欺」〈account fraud〉風險，則應於發現個資外洩六十日內通知受影響之消費者。
Pryor法案之適用對象甚廣，故有認為，該法一旦通過，其將成為繼美國金融服務法〈the Gramm-Leach-Bliley Act，簡稱GLBA〉後的模範法典，其適用對象包括受GLBA規範之金融機構及任何個人〈any individual〉、合夥〈partnership〉、公司〈corporation〉、信託〈trust〉、工地產產業〈estate〉、合作社〈cooperative〉、協會〈association〉、維持或傳送「敏感的會計資訊」或「敏感的個人資訊」之業主〈entity that maintains or communicates “sensitive account information” or “sensitive personal information”〉，但並不包括任何政府辦事處或其他聯邦、州政府單位、地方政府〈any agency or other unit of the federal,state, or local government〉或任何其下所再劃分之單位〈any subdivision thereof〉。
惟此一倡議中之資料安全立法不論法令遵循或執行皆有一定難度，因該法雖要求對超出「損害門檻」之資料外洩需對消費者通報，但對「損害門檻」並無明確定義。此外，受影響之企業似無實行適當風險評估之誘因，除需耗費大量成本評估外洩事件是否超過損害門檻外，尚需面臨企業名譽受損與客戶不滿之損失，在個資外洩要素風險指導原則付之闕如之情形下，企業恐無法客觀地評估自身個資外洩之風險。故有建議，解決之道，應明定損害門檻，並聘請外部專家或使用市場新工具，訂定客觀的指導原則，使企業在處理個資外洩問題時能減輕混亂及鼓勵評估結果的一致性並縮短風險評估的時間。
就資訊安全部分，此法案揭櫫於其通過一年內，美國商務、科學及交通委員會〈Committee on Commerce, Science, and Transportation〉應頒布規定，要求擁有或處理含有個人資料或契約之企業，必須建立並執行蒐集、使用、出售，及其他傳播、維持個人資訊之資訊安全政策，以達保護個人資料之目的。
日本推進超級城市系統帶動區域創新 資訊工業策進會科技法律研究所 2021年06月15日 壹、事件摘要 一、超級城市推動背景 數位技術躍升，驅動了產業創新的勃發。然而，現行社經體制與結構卻凸顯出創新速度與監理政策步伐間的落差，繼而牽動二者衝突，影響技術的擴散與創新產業的發展。 面對翻轉傳統框架之創新產業，國際間漸識「區域」居於主導創新發展之重要性，轉而嘗試從地方政府在區域規劃權限出發，尋求以區域創新作法突圍。換言之，區域創新需求的引力將能觸發創新產品或服務之供給，從而誘發法規（暫時）豁免或是鬆綁，為產業創新提供彈性空間。期能藉由法規鬆綁、開放創新的支援手段，通過特定區域作為數位創新技術在社會實踐的實驗室，檢驗與探索創新技術與社會體制之最佳解方。 而日本在區域創新搭配規範特例措施（規制の特例措置）已行之有年，包含有構造改革特區（構造改革特区）、綜合特區（総合特区）及國家戰略特區（国家戦略特区）。渠等皆係以地方政府（或區域）為核心，依其區域發展特性與創新佈建規劃並搭配規範特例措施推行。從既有制度以觀，構造改革特區無涉補助或租稅優惠措施，其推行上以重建財政為重，意即以地方自發性依其地區特性規劃，搭配規範特例措施推行都市再生、經濟上自立，並改善地區發展不均現象。但在此模式下，僅從地方角度出發，審查不符合當地情況之個別法規，難具全面性，整體效益並不顯著；綜合特區同樣以區域為主，設計上除規範特例措施外，另提供綜合性資助，包含稅收、財政上的支援，期望利用區域特定資源打造出可振興地方經濟的模式，立意良善卻無法阻止以綜合性資助為目的的情形；至於國家戰略特區，則是汲取過往經驗，改從國家角度出發，由內閣總理大臣主導，以促進國內外投資與鼓勵創業為旨，審查地方政府所提國家戰略特區計畫，並通過規範特例措施排除適用法規，允許產業在其中進行創新運用。 只是，在推動的過程中，日本漸發現除創新技術應用的特例措施外，資料協作亦至關重要。為精準解決日本的區域問題，必須尋求能夠在居民日常中運用資料協作實施先進技術的方法。在2019年超級城市/智慧城市論壇中，時任總理安倍晉三就此特別提及，資料正是新世代成長的動能，將與人工智慧等先進技術共同實現社會5.0願景。而超級城市所構築的資料流通規則與框架將能支持日本未來新時代的建設[1]。亦即，超級城市將是日本未來發展資料協作的基礎。 二、超級城市型國家戰略特區介紹 如前所述，資料協作成為產業創新不可避免的挑戰。其首要課題當屬完備資料之流通環境。也就是，需要建立一個資料共享基礎設施，促進多元進階服務間的資料蒐集、清洗和提供[2]。而日本注意到串接不同服務所利用之API（Application Programing Interface），本質上應非單純的技術，而是系統。延續此一概念，也直接表彰了日本所構想的超級城市，並非指直接於法律中引入超級城市定義，或直接建立超級城市，而是指開發一種能夠實現超級城市概念的系統（亦有稱其為城市操作系統/OS）[3]，藉由系統的實施形塑超級城市型國家戰略特區。為此，日本於2019年啟動《國家戰略特別區域法》修法，以促進資料協作基礎的建立，引動統一且全面的監管改革。 2020年5月27日，《國家戰略特別區域法》一部修正（別名為超級城市法案）正式通過參議院會議，同年6月3日正式公告修正版本法規，9月1日正式施行。緊接著，2020年10月30日更一部修正《國家戰略特區基本方針》，增加有關超級城市區域之指定標準。其後亦陸續進行完備超級城市型國家戰略特區框架之法令調修，包含於《國家戰略特別區域法施行令》（国家戦略特別区域法施行令）增訂資料協作基礎設施事業標準（データ連携基盤整備事業に関する基準）；於《國家戰略特別區域法施行規則》（国家戦略特別区域法施行規則）納入確認區域內住民就超級城市構想意向方法(スーパーシティ基本構想についての住民等の関係者の意向の確認方法)要求；於《內閣府‧總務省‧經濟產業省關係國家戰略特別區域法施行規則》（内閣府・総務省・経済産業省関係国家戦略特別区域法施行規則）增加資料協作基礎設施安全管理基準(データ連携基盤の安全管理基準)；於《國家戰略特別區域法第二十五條之二規定實證事業等的內閣府令》（国家戦略特別区域法第二十五条の二の内閣府令で定める実証事業等を定める内閣府令）增加地區限定型監理沙盒制度施行規定(地域限定型サンドボックス制度の施行のための規定等)。 而超級城市型國家戰略特區內涵主要是以發展《促進官民資料活用推進基本法》（官民データ活用推進基本法）第2條所稱人工智慧、物聯網相關技術事業、及其他能處理大量資料並增加服務價值或創造新價值，進而衍生新興業務之先進技術事業為基礎，在《國家戰略特別區域法》增訂「先進區域資料活用事業活動」（先端的区域データ活用事業活動）概念，扣合超級城市區域指定標準中所訂，超級城市區域必須提供至少五個領域以上的先進服務，並且應與當地居民、地方公共團體、私營企業取得監理改革的共識要求，串接先進區域資料活用事業與區域內居民需求，引動監理改革。 附帶一提的是，超級城市框架的特色，除在先進事業運用必須貼合區域內居民需求外，居於區域整體規劃角度，更特別要求超級城市區域必須設置構想整體規劃的「建築師」（アーキテクト），且應以公開招募方式選出有能力營運超級城市系統者，確保資料協作基礎的相容性與安全性符合《資料協作基礎設施安全管理基準》。企能實現先進區域資料活用事業活動之主體資訊系統與擁有區域資料的主體資訊系統間相互合作之基礎，並在此基石上，蒐集、整理並提供資料予有需求之先進區域資料活用事業者，以周全區域內居民及利害關係人之權益[4]，進而支援超級城市的實施。 貳、重點說明 綜整前述說明，日本在構建超級城市型國家戰略特區框架所著重點，分別係建置資料協作基礎設施之共享與合作，及推動大膽且全面的監理改革，以使先進技術落地。 一、構築資料協作基礎設施，帶動資料共享與合作 超級城市型國家戰略特區框架之重點，乃以資料協作為核心，因此資料協作基礎設施之建置，將是先進區域資料活用事業成功與否的關鍵。 然而要能順利推行資料協作，不同軟體間交換資料和指令時的連接方法必須具備通用性，以備未來不同領域甚或不同城市彼此間進行資料之交換與運用。故超級城市/智慧城市資料協調研究協會提出資料流通系統三大關鍵，分別為API角色及相關規則與發布方法、資料仲介者的能力與機能、資料結構的標準化。循此，日本通過設立資料協作基礎設施事業標準，擬定API規格、所處理資料種類與內容和運用的相關規約，其中特別強調的是，就涉及個人資料的運用，應以當事人「事前同意」為原則，並且要求相關資訊之公開必須通過網路實施，於提供資料時不得附加不正當之不公平條款等。另外，因應資安問題，日本亦特別明定資料安全管理基準，並要求應有確立責任主體機制、資料運用規章、資料安全專責人員、PDCA作業內容以及事業繼續計畫制定等，強化資料協作基礎設施功能與安全性。 二、大膽全面之監理改革，促成先進技術落地 有關超級城市型國家戰略特區第二點特色，係在地域型監理沙盒模式基礎上，搭配資料協作基礎活化先進技術資料的運用，促進多元領域間的合作。主要推行手段係建立新規制特例措施（新たな規制の特例措置），事先於《國家戰略特別區域法第二十五條之二規定實證事業等的內閣府令》框定相關先進技術，如自駕車、無人機及無線電波應用等，使其能夠在超級城市型國家戰略特區內更快速地用於實證。而因應快速實證作法，日本建立監控和評估系統加強事後檢查，並盡可能減少事前監管干預，以此強化國家戰略特別區域中產業國際競爭力或是形成國際經濟活動據點的正當性。 其中，值得注意的是，即便日本希望簡化行政程序，盡可能減少事前監管的干預，但在超級城市型國家戰略特區運作上，仍然必須與區域內居民進行溝通協調。蓋因在先進技術運用領域上，超級城市的特色是以居民需求作為出發點，強調區域居民的參與與支持。 故在指定超級城市的標準中，也明確地表示區域內居民意向之重要性，同時，特別指示地方政府申請超級城市型國家戰略特區時，應闡明調查該區域居民及其他利害關係人之方式和結果等，以便確認區域內住民就超級城市構想意向。整體而言，其推進方式係透過所謂的「區域會議」(区域会議)進行。在區域會議（特區擔當大臣、首長、經營者、居民代表等）中，選取區域居民所面臨的社會問題。其後，透過區域會議共商有助於解決地區社會問題的先進技術產品或服務，並依此擬定先進技術產品或服務間協調和共用資料的基本計劃（基本概念），通過表決進而提出監理改革事項。在此過程中，提出超級城市構想之地方政府，即可依據區域會議所了解之先進技術區域資料利用內容，要求總理大臣根據內閣辦公室條例（附有證明居民協議之書面文件，必要時得檢附監管改革建議）制定新的特例措施。後續地方政府將依據特例措施進行先進技術的落地應用。 參、事件評析 超級城市實施的關鍵，在於資料協作基礎及新規制特例措施的推行。雖然超級城市的推行尚處於選案階段，但觀察日本在推動超級城市中所著眼之資料協作基礎設施及地域型監理沙盒的事後檢查做法，或可做為我國推行區域創新借鏡。 首先是資料協作基礎設施之建設，近年，我國國發會大力改革與推動下，透過《政府資訊公開法》、《行政機關電子資料流通實施要點》及《個人化資料自主運用平臺介接作業要點》等，促進我國公、私領域資料的流通與串接。而未來，考量先進技術產業與跨領域資料協作需求，或宜考量日本以系統思維推行資料流通串接之作法，除公部門資料及個人資料外，就產業資料及相關合作之可能性一併考慮，構建區域化的資料協作基礎設施。 次者是，回顧我國在應對先進技術的法規調適做法，已陸續有以產業需求為主的《金融科技發展與創新實驗條例》、《無人載具科技創新實驗條例》及其他不同目的推動之小型實證計畫等，但似尚無與地方政府共同合作，引動在地居民了解政策並參與之機制。故借鑒日本超級城市型國家戰略特區以區域居民需求結合中央權限制定特例措施之作法，或許亦能為我國推動區域創新指出另一條明路，有效促進更接地氣的創新實證落地，並帶動區域經濟向上發展。 [1]スーパーシティ／スマートシティフォーラム2019に寄せて報告書，2019年，頁7。 [2]国家戦略特別区域法及び構造改革特別区域法の一部を改正する法律案，https://www.chisou.go.jp/tiiki/kokusentoc/kettei/pdf/r10607_sankou.pdf (最後瀏覽日：2021/5/6) [3]萩原詩子，〈「スーパーシティ」実現を目指す、国家戦略特別区域法改正法案〉，2020/2/21，https://project.nikkeibp.co.jp/atclppp/PPP/news/021401450/ （最後瀏覽日：2020/6/12）。 [4]国家戦略特別区域法の一部を改正する法律第2條第3項，令和2年6月3日。
歐盟行動健康服務(mHealth)眾人引頸期盼的下一步歐盟於2015年5月9日在拉脫維亞的里加舉辦了為期一週之「eHealth Week」研討會，包含由歐盟輪值理事會主辦之高階eHealth會議，以及由歐洲HIMSS (Healthcare Information and Management Systems Society)主辦之「WoHIT (World of Health IT Conference & Exhibition)」兩大活動，而2015歐洲mHealth高峰會為其中備受矚目的重要主題活動。該高峰會以推動歐洲mHealth進程之執行為領導思考核心，相關利害關係者（包括公部門、ICT產業、健康保健專業學者）於5月12日以mHealth綠皮書公眾諮詢結果為基礎，針對歐盟目前執行中以及未來可能採取之政策為討論，主要議題包括：1.所蒐集資料之隱私與安全保護。2.生活康樂型apps產品之安全性與品質管控。3.網路經營者對於mHealth市場之進入障礙。 針對資料之隱私與安全保護議題，公眾諮詢結果顯示，關鍵問題在於mHealth apps蒐集使用者資料是否有足夠的隱私與安全保障措施?與會者並認為此問題在資料的第三人再利用情形尤為重要。對此歐盟執委會表示將展開就mHealth apps訂定以產業為主導、範圍涵蓋資料隱私與安全性之行為守則，以建立使用者對mHealth apps之信任感，並提升app開發者對歐盟資料保護法規之遵法意識。 針對生活康樂型apps（包括健康照護相關app）產品之安全性與品質管控議題，透過與會者現場意見調查顯示，認為健康照護相關apps之安全性、品質與可靠性由於欠缺臨床佐證，導致就apps的目的與功效會有錯誤的宣示。值得注意的是，制定法規控管並非多數意見，大多數與會者認為以訂定指引或標準的方式，作為生活與康樂型apps的安全性與品質之依循方針較為妥適。對此歐盟執委會表示會持續跟進此議題並與相關利害關係者討論下一步之行動。 針對網路經營者進入歐盟mHealth市場議題，與會者認為網路經營者將面臨複雜的進入障礙，諸如歐盟相關法規架構的不清與零散、mHealth方案與設備的互通性與開放標準的欠缺等。歐盟執委會明確表示，支持網路經營者進入mHealth市場，目前歐盟正在進行的「Startup Europe」等相關倡議措施，即是以強化網路及資通訊業者商業環境為目的，提供網路經營者法規諮詢、投資媒合、商業模式育成等協助，以降低網路經營者所面對之市場進入門檻並有機會展現其新創能量。
由歐盟網路中立規範看Three及Vodafone被調查之流量管理措施由歐盟網路中立規範看Three及Vodafone被調查之流量管理措施 資訊工業策進會科技法律研究所 法律研究員 吳采薇 107年5月18日 歐盟於2016年4月30日正式通過Regulation 2015/2120[1]，此為歐盟近年來針對網路中立重要的基本規範，直接拘束所有會員國（含英國）境內之電子通訊網路與服務[2]，歐洲電子通傳監管機構（Body of European Regulators for Electronic Communications, BEREC）依據前揭規範，發布「執行網路中立管制之指導原則[3]」，供執法之參考。 在歐盟網路中立規範下，英國通訊局（Office of Communications, OFCOM）為網路中立管制之執法機關，其須使網路服務提供者（Internet Service Provider, ISP）的行為遵守歐盟網路中立之規範，以確保消費者可以自由且以一定的網路品質接取網路內容或使用服務[4]。OFCOM於2018年3月6日宣布針對英國行動通訊營運商Three及Vodafone啟動首波違反網路中立之調查[5]，此亦為歐盟網路中立規範施行後，英國境內首次發起之網路中立調查行動，其調查重點主要為ISP業者的流量管理措施，包括行動漫遊的網路流量，以及前述歐盟網路中立規範限制之行為。 本文以前述OFCOM對Three及Vodafone之調查案，說明ISP業者可能違反歐盟網路中立之流量管理措施態樣，並從歐盟網路中立規範進行適法性之討論，期望透過本案的探討能幫助各界對歐盟或英國網路中立之發展有所瞭解。 壹、Three及Vodafone被調查之流量管理措施 OFCOM於2018年3月6日宣布將對英國ISP業者啟動違反網路中立之調查[6]。OFCOM在經過證據蒐集程序後，後續將特別著重於Three及Vodafone兩家業者的流量管理措施，以決定其是否違反歐盟網路中立之規範，同時也不排除可能會調查其他ISP業者的流量管理措施，相關調查結果預計將於2018年6月公布[7]。有關OFCOM對於Three及Vodafone的調查重點項目，分別說明如下： 一、針對Three的重點調查項目 Three係由Hutchison 3G UK Limited公司所經營，其提供3G及4G行動數據與寬頻服務[8]。本次OFCOM調查Three的重點項目包括： （一）限制網路熱點共享 在Three部分服務資費方案中，可能有限制網路熱點共享（tethering）之功能，亦即使用者無法利用其裝置（device）分享網路接取服務，以供其他裝置使用。 （二）對SIM卡的使用施加限制 根據初步資料顯示，使用者購買Three門號搭配手機之資費方案，所取得之SIM卡無法替換至平板使用。 （三）對特定種類之流量進行降速 Three流量管理措施可能針對特定種類之流量進行降速，例如視訊流量（video traffic）、點對點網際網路傳輸技術（P2P）及虛擬私人網路（Virtual Private Network, VPN）流量等，特別是消費者處於漫遊服務（roaming）時降速情況較為明顯。 二、針對Vodafone的重點調查項目 Vodafone係由Vodafone Limited公司所經營，其提供的電信服務包括固網與行動寬頻服務[9]。OFCOM調查其所提供之Vodafone Passes[10]資費方案可能涉及違反網路中立。調查重點如下： （一）對特定服務降速 Vodafone Passes可能有施加流量管理措施之情形，亦即針對特定類別服務的流量進行降速，特別是消費者在特定地區使用漫遊服務時降速情況更為明顯。 （二）零費率項目不夠透明 對於Vodafone Passes零費率（zero-rating）服務所排除之項目，相關資訊不夠透明，造成消費者難以清楚知悉。申言之，Vodafone Passes零費率的應用服務中，部分服務功能所使用之網路流量仍會被計入資費方案流量之中，而非如消費者所預期中之零費率服務，且消費者未能有效取得相關資訊。 貳、歐盟網路中立規範下Three及Vodafone流量管理措施之適法性探討 針對前述Three及Vodafone被調查之流量管理措施，本節嘗試以歐盟網路中立規範進行適法性之探討。首先將概述歐盟網路中立規範之核心內涵，接著依據前述調查重點項目，歸納本案所涉及之流量管理措施態樣，進而討論Three及Vodafone的流量管理措施在歐盟網路中立規範下之適法性。 一、歐盟網路中立規範之核心內涵 歐盟Regulation 2015/2120之目標為「建立網際網路接取與數據傳輸之平等且不歧視原則[11]」，其要求網路接取服務之提供，除為法律義務之履行、維持網路之完整性或在特殊情況下所為之網路壅塞管理外，不可封鎖、減速或歧視內容或應用服務提供者，以確保消費者可以自由且以一定的網路品質接取網路內容或使用服務。 在規範主體與範圍的部份，Regulation 2015/2120第1條將「終端使用者」（End-users）列為網路中立政策之受益者，而BEREC所頒布之指導原則[12]進而解釋「終端使用者」之內涵，一是作為自然人身份的消費者，即普通歐洲民眾，另一是帶有法人性質的網際網路內容和應用服務提供商（Content and Application Provider），例如提供網頁、部落格、影片、搜尋引擎、網際網路協定通話技術（Voice over IP）等業務的實體法人[13]。 在實體權利部分，Regulation 2015/2120第3條及第4條確立了網路中立與資訊透明原則。針對第3條網路中立權利的保障，該條目的為保障開放的網際網路接取，包括讓終端使用者有權接取及傳送網路資訊與內容、自由選擇終端設備，以及禁止ISP業者流量傳輸之差別待遇、限制或干擾流量傳輸等。 接著，在第4條確保網路中立的資訊透明措施，要求ISP業者必須採取透明化措施，包括應清楚載明並公開流量管制措施及其所產生的影響、流量上限、傳輸速度及其他可能影響服務品質的情況，以及終端使用者隱私及個資保護措施等。 二、Three及Vodafone流量管理措施之適法性探討 承續前述Three及Vodafone被調查之流量管理措施，OFCOM網路中立調查之文件，並未載明Three及Vodafone之流量管理措施可能違反哪些網路中立規範。但經本研究初步歸納發現，Three及Vodafone遭到調查之行為，其可能違反Regulation 2015/2120之條文，包括：（一）Three限制網路熱點共享的功能，以及對SIM卡的使用施加限制，可能與Regulation 2015/2020第3條第1項規定終端使用者能「自由選擇終端設備」之意旨有所違背；（二）Three與Vodafone對特定種類之流量進行降速，可能違反前述第3條第3項「流量傳輸之差別待遇」規定；（三）Vodafone Pass 零費率項目資訊未能透明化，恐違反前述第4條「資訊透明化措施」之要求。有關各該條文內容與適用至個別行為之探討，詳細說明如下： （一）自由選擇終端設備 根據歐盟Regulation 2015/2020第3條第1項規定，任何網路終端使用者有權透過網路接取服務，近用並傳送資訊與內容，亦得使用、散布網路應用軟體與服務，且可自由選擇終端設備，此權利不受終端使用者或網路內容提供者所在之地點限制，也不會因為其資訊、內容、應用或服務之形成與來源有所限制。BEREC指導原則針對前述第3條第1項規定進一步說明，有關「自由選擇終端設備（terminal equipment of their choice）的權利」，各國監管機關應該評估ISP業者是否提供設備予其用戶，並限制該終端用戶以自己的設備更換該設備的能力[14]，易言之，ISP業者提供的設備實質上屬於「強制性設備」（obligatory equipment）[15]。 其次，各國監管機關應評估前述「強制性設備」的使用，是否是基於客觀上的技術要求並為ISP網路的必要部分。若否，但ISP業者仍限制消費者自由選擇終端設備的權利，則可能侵害消費者自由選擇終端設備之權利，而與規範意旨有別。例如，限制網路熱點共享的措施極可能構成限制終端使用者「自由選擇終端設備」之行為，因為ISP業者、終端設備的製造商或經銷商，都不應該對連接網路所使用的終端設備，施加任何限制[16]。 因此，本案Three限制裝置之間的網路熱點共享，以及對SIM卡的使用施加限制（僅能使用於手機），都可能侵害使用者自由選擇終端設備的權利，而違反歐盟網路中立之規範。 （二）流量傳輸之差別待遇 歐盟Regulation 2015/2020第3條第3項第1款規定，網路接取服務提供者應公平對待所有的網路流量，不可對傳送方或接收方有任何歧視、限制或干擾[17]；此條款明示網路接取服務提供者不得有封鎖（block）、減速（throttle）或歧視線上內容、應用與服務的行為。但同項第2款中另有業者得進行合理網路管理之例外條款存在，允許服務提供者在非基於商業考量下，可執行合理流量管理措施，然該措施應符合透明、不歧視及比例原則，且不得監控特定之內容或持續超過所必須之時間。同時，同項第3款也明確指出流量管理措施必須是基於履行歐盟或會員國之法律義務、確保網路之完整性與安全性，或預防可能發生之網路壅塞（impending network congestion）或特殊情況下之網路壅塞[18]。 本案Three對於視訊流量、P2P及VPN流量疑似有降速措施，而Vodafone似乎也有在特定地區對Vodafone Passes產品降速之疑慮，因此評估適法性之重點在於業者的降速措施，是否為歐盟網路中立規範容許範圍。根據BEREC指導原則對前述第3條第3項之說明，各國監管機關可採取兩步驟的評估方式，第一、先評估是否所有流量皆平等對待；第二、應評估情況是否相似或不同，以及是否有客觀依據可以證明ISP業者係對不同情況採取不同的對待[19]。 是故，OFCOM必須先確定Three及Vodafone是否對於特定流量採取差別待遇。其次，若有差別待遇的事實，則需進一步探討該差別待遇是否符合前述第3項第2款之例外條款，亦即有客觀依據可以證明ISP業者係針對不同情況，例如為履行法律義務、確保網路之完整性與安全性，或預防可能發生之網路壅塞，而合法地採取差異性的流量管理措施。 （三）資訊透明化措施 Regulation 2015/2020第4條針對透明化措施規定，網路接取服務提供者應在服務契約中清楚載明並公開揭露相關事項，例如：（1）流量管理措施對相關服務所產生之影響、終端使用者隱私與個人資料保護措施；（2）說明任何對流量的限制、傳輸速度及其他可能影響服務品質的情況；（3）對於終端使用者所使用或購買之終端設備應適用第3條第5項[20]之規定，並提供消費者詳盡之解釋等。 BEREC指導原則建議資訊透明之實際作法，包括：（1）於契約條款中以清楚、易於理解的內容並讓人容易瞭解之形式揭露，甚至是將揭露資訊公開於ISP業者網站；（2）各國監理機構應確保ISP業者實踐資訊揭露義務，以及其揭露的資訊係清楚且易於理解的，相關評估準則例如：該資料易於取得及辨別、資料正確且持續更新、對終端使用者具有意義、不同提供者之間資料可作比較，以瞭解其差異性與相同性；（3）資料可分為一般概述性資料（general）及更多技術性參數細節兩部分進行揭露[21]。 本案Vodafone所提供之Vodafone Passes屬於零費率產品，並不違反歐盟網路中立之規範[22]。但在透明化措施方面則仍有不足，其官方網站或契約中僅說明特定內容或應用服務享有零費率，但實際上該特定內容或應用服務僅部分適用零費率，其他部分則仍會被計算流量收費，且消費者未能清楚知悉與辨別，是以可能違反前述第4條對於透明化措施之要求。 參、結語 本次OFCOM對Three及Vodafone網路中立的調查結果，勢將成為ISP業者在遵守網路中立規範與執行上的重要適法性參考文件。同時，本次調查一旦發現有違反流量管理及透明化措施義務之事實，OFCOM將可依據歐盟相關規範之授權進行裁罰，裁罰金額最高可達該業者相關業務營業額的10％，並要求違反的業者提交改善與補償措施[23]。 歐盟網路中立之規範已正式上路，但該規範僅對於網路中立作原則性的規範。BEREC公布的網路中立指導原則雖可作為各會員國監管機關落實網路中立之參考標準，但如何涵攝至具體實務之上，仍需仰賴後續個案的討論，以建立執法基準並讓ISP業者知所舉措，因此，歐盟網路中立規範的運作及發展將值得吾人持續觀察。 [1] REGULATION （EU） 2015/2120 OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL of 25 November 2015 laying down measures concerning open internet access and amending Directive 2002/22/EC on universal service and users’ rights relating to electronic communications networks and services and Regulation （EU） No 531/2012 on roaming on public mobile communications networks within the Union. [2] 依據歐洲聯盟運作條約第288條規定，規章（Regulation）具有一般的效力；並直接適用於每個會員國。參考自陳麗娟，《里斯本條約後歐洲聯盟新面貌》，五南圖書出版，第二版，頁63（2013）。 [3] BEREC, BEREC Guidelines on the Implementation by National Regulators of European Net Neutrality Rules, BoR （16） 127, Aug. 2016, available at http://berec.europa.eu/eng/document_register/subject_matter/berec/download/0/6160-berec-guidelines-on-the-implementation-b_0.pdf （last visited Apr. 02, 2018）. [4] European Commission, Open Internet, https://ec.europa.eu/digital-single-market/en/open-internet-net-neutrality （last visited Mar. 19, 2017）. [5] OFCOM, Own-initiative enforcement programme into fixed and mobile Internet Service Provider traffic management measures, and other practices covered by the EU Open Internet Access Regulation, Mar. 06, 2018, https://www.ofcom.org.uk/about-ofcom/latest/bulletins/competition-bulletins/open-cases/cw_01210 （last visited Mar. 26, 2018）. [6] Supra note 3. [7] Id. [8] Company Overview of Hutchison 3G UK Limited, Bloomberg, https://www.bloomberg.com/research/stocks/private/snapshot.asp?privcapId=26671318 （last visited April 03, 2018）. [9] Company Overview of Vodafone Limited, Bloomberg, https://www.bloomberg.com/research/stocks/private/snapshot.asp?privcapId=8186589 （last visited April 03, 2018）. [10] Vodafone Passes為Vodafone推出之零費率（zero-rating）產品，該產品可以將使用者經常使用之特定高流量服務排除於基本流量之計算，例如Netflix、YouTube、Facebook等。Vodafone Passes又分成四種子類別，包括視聽類（video pass）、通訊類（chat pass）、音樂類（music pass）及社群類（social pass），各類別的零費率項目皆不相同。資料來源：Vodafone, Vodafone Passes, https://www.vodafone.co.uk/pass/ （last visited Mar. 29, 2018）. [11] Supra note 1. [12] Supra note 3, at 15. [13] Id, at 4. [14] Id, at 15. [15] Id, at 9. [16] Ibid. [17] Supra note 3, at 8. [18] Ibid. [19] Supra note 3, at 14. [20] Regulation 2015/2020在第3條第5項第1段定義特殊服務（specialised services），該條款允許ISP業者基於服務特性、內容應用之特別品質要求（specific quality requirements），如遲延（latency）、封包遺失（packet loss）等，得提供特殊服務。 [21] Supra note 3, at 31. [22] 零費率的實施不得與Regulation 2015/2020第3條抵觸，亦即當消費者已達其可使用數據服務之流量上限（data cap），而被服務提供者降速或停止使用數據服務時，如果零費率的應用依舊可以使用或其使用相較於其他應用有不同的傳輸速度，則服務提供者即違反第3條應公平對待所有傳輸數據之規定。易言之，只要消費者在未達到其資費方案之數據傳輸上限前，零費率並不違反前揭第3條的規定。Supra note 3, at 11-13. [23] Id, at.6.
從智慧財產法院104年度民暫抗字第7 號民事裁定看營業秘密案件聲請定暫時狀態處分從智慧財產法院104年度民暫抗字第7號民事裁定看營業秘密案件聲請定暫時狀態處分 資策會科技法律研究所 法律研究員 蔡怡萱 105年04月29日 壹、案件摘要 智慧財產法院於去（104）年10月2日針對新世紀光電對於103 年度民暫字第21號第一審裁定提起抗告，做出裁准暫時狀態處分之 104 年度民暫抗字第 7 號民事裁定，以下概述智慧財產法院於本案中所採取的法律判斷依據。 本案事實為李允立（下稱相對人）於102年離職後自行成立公司（下稱相對人公司），隨即新世紀光電（下稱抗告人）之關鍵研發團隊重要成員及各部門重要員工多名先後離職，部分至相對人公司任職。相對人公司現有經營方式為無廠半導體公司，專門研發及販售發光二極體磊晶圓及晶粒技術與產品規劃，透過租賃機台之方式製造相關產品，與抗告人業務相同。相對人為公司負責人，抗告人主張相對人不可避免的會使用抗告人公司的機密資訊及營業秘密，而造成抗告人重大損失，而抗告人為避免發生重大難以回復之損害，依營業秘密法第11條第1 項[1]、兩造間的服務契約書、民事訴訟法第538 條第1 項[2]、智慧財產案件審理法第22條第2 項[3]規定，聲請撤回原審裁定並定暫時狀態處分。 本案法院於此次裁定將原裁定廢棄，在兩造間侵害營業秘密爭議之本案訴訟判決確定前：（1）禁止相對人利用、發表或洩漏任職抗告人公司期間所知悉抗告人公司有關於LED 產品及製程相關之營業秘密及機密資訊，包括：非一般涉及該類資訊所知之一切製程、程式、專門技術、技術資料、經營資料、材料、設計、參數及配方、客戶明細、銷售資料等；（2）相對人不得為自己或第三人之利益，唆使或利誘抗告人員工離職。 貳、重點說明 一、營業秘密具體認定爭執及以定暫時狀態之處分為手段 綜合以上兩造爭執點在於，（1）在相對人離職後所持有於抗告人公司任職時所知悉的營業秘密及機密資訊的具體內容該如何認定，相對人爭執於離職時原公司並未明確界定，抗告人卻反駁確有保護營業秘密及機密資訊之說明。（2）透過兩造簽署之服務契約書，是否可以透過定暫時狀態處分為手段，達到確認或重申請求裁定禁止相對人唆使或利誘抗告人之員工離職。 二、定暫時狀態之處分需符合的要件 聲請定暫時狀態之處分需符合下列要件：（1）兩造有爭執之法律關係，且以本案訴訟能確定該爭執之法律關係者為限；以及（2）為防止聲請人發生重大損害或避免急迫危險或有其他相類之必要性情形。因此在符合法定要件的前提下，可以請求法院針對侵權爭議的本案訴訟判決確定前，禁止侵害人為特定行為 [4]。 另依本案法院的釋明，所謂爭執的法律關係，應不以法律關係已經訴訟繫屬為限，凡金錢請求以外，有繼續性且適於為民事訴訟之標的者，於事人間發生爭執或被侵害等情形，均屬之。更尤，所爭執之法律關係雖尚未有訴訟之繫屬，只要債權人因避免重大之損害或因其他情事，而有定暫時狀態之必要者，即得依聲請定暫時狀態之處分，故法院據以得心證的理由為下列幾項判斷依據。 三、法院判斷依據及裁定結果 （一）兩造有爭執之法律關係 以兩造間爭執的法律關係來說，抗告人因發現相對人離職後，有多位員工相繼離職到相對人所成立之公司任職，因此依與相對人任職時所簽署服務契約書中約定離職後的保密義務，向法院聲請禁止相對人不得利用或洩漏先前任職期間所取得公司的營業秘密，法院認為是抗告人就相對人離職後涉及有無違反上述服務契約書約定之保密義務與誘使抗告人員工離職爭議，為雙方所爭執之法律關係。 （二）營業秘密保全的必要性 抗告人就可能被相對人利用或洩漏之「營業秘密」所主張，雖然相對人堅稱該內容為業界習知技術，但抗告人提出細部結構設計及製程方式等資訊，經法院認定該等資訊有助於提升產品效率，而且可以減少不必要的錯誤實驗，抗告人也另外提出專利佈局及業務與生產資訊之相關報告及資料，因此法院認為該相關事證使法院大致心證認為其主張該等資訊為其所欲保護之營業秘密事實之存在，而認為為正當之心證。另外就兩造所簽訂的服務契約書中所稱「營業秘密是指具有財產利益或經濟價值的任何口頭及書面機密資訊（料），包括但不限於圖樣、規格、原型、製程..專門技術、客戶明細、晶片、及其他銷售資料..」，也足以證明相對人於原公司任職時已清楚知悉何謂營業秘密，也負有保守其營業秘密的義務。 另外相對人所設立之公司其股東及董事皆為抗告人的競爭對手，因此法院認為相對人於原任職期間所知悉上述的營業秘密，推認有可能揭露予他人，而此為抗告人所欲防止的危險，而有保全的必要性。 （四）相對人應遵守禁止挖角義務 針對相對人挖角抗告人員工使其離職，而抗告人依兩造的服務契約書中禁止挖角義務條款，請求禁止相對人為挖角行為，法院亦肯定相對人應遵守禁止挖角義務。抗告人公司其他員工於短期內相繼離職，法院雖認為離職為個人選擇，但皆於相對人離職後才相繼離職，且半年即有多人加入相對人所設立公司，故可推認多名離職員工與相對人有關，且為了避免再有員工從抗告人公司繼續離職加入相對人設立之公司，法院相信抗告人的主張大致可採，故就此部分亦准許抗告人請求禁止挖角行為。 （五）相對人應遵守不作為義務 定暫時狀態之處分，雖非以保全執行為主要目的，惟仍屬保全權利之方法，原係法院為防止發生重大損害或避免急迫危險或有其他相類之情形認有必要時，為平衡兩造間之權利義務或利益而為之裁定 [5]；又聲請為定暫時狀態之處分，不論係單純不作為處分，或容忍不作為處分，法院為裁定時，對於當事人雙方因准否處分所受利益及可能發生之損害，應依利益權衡原則予以審酌而為准駁 [6]。最後法院衡量抗告人與相對人的權益，營業秘密的洩漏將對抗告人產生損害，但禁止相對人洩漏營業秘密及不得挖角，僅是請求相對人遵守不作為義務而不致有損害，故不對抗告人命供擔保。 參、案件評析 一、由上述案件內容可知，透過具體管理機制所產出之事證可為法院判斷是否為營業秘密遭受侵害的正當之心證，如下述： (一)公司於離職員工任職時所簽訂的服務契約之詳盡程度，包括:於契約文件中定義營業秘密的具體範圍；於契約規範在任職中不得交付或洩漏於任何第三人；於契約規範離職後仍負有保密義務等。 (二)各紀錄文件應完整留存以作為日後法院裁判的事證依據，包括研發紀錄簿中實驗參數文之成敗紀錄或研發例行月會報告，或技術發展計畫等相關資料；專利佈局的規劃，業務與生產資訊（包括可知之銷貨成本、銷貨毛利、人事資料以及研發專案等資訊，他人即可從該等資訊得知銷售狀況）。 (三)制定相關管理辦法並予以區分文件機密等級及管控，如本案中抗告人提出「文件與資料管制辦法」及「門禁管理辦法」，供法院參考以證明抗告人對其生產、營運訊有採取保密措施。 由上述提出之事證就可以使法院大致相信所主張之資訊為其所欲保護的營業秘密，並得到大致為正當之心證。 二、如何判斷是否有挖角行為，法院除了以經驗法則及一般人可推知來判斷，雖然於何處任職是個人權利，但不尋常的大量員工於同時間或先後離職，甚至離職後都到同一家公司任職，很難不推認和挖角行為的直接關連；而法院也認為相對人縱使離職後也應該要遵守當時兩造的服務契約中禁止唆使或利誘他人離職。於現今一直苦於受到人才大量流失，甚至競爭對手惡性挖角的國內企業來說，於員工的任職契約約定禁止唆使或利誘挖角原公司員工，也不失為遏止的方法。 三、為了因應智慧財產權相較其他財產權市場上跟策略上的急迫性和時效性，在相較於其他智慧財產假處分案件而言，法院在此案中呈現出考量營業秘密保護相關案件具有緊急性及難以進一步舉證之特性，對於權利人應為釋明之程度較為放寬[7]，是否會形成通案慣例，值得追蹤觀察。 本文同步刊登於TIPS網站(http://www.tips.org.tw) [1]營業秘密受侵害時，被害人得請求排除之，有侵害之虞者，得請求防止之。 [2]於爭執之法律關係，為防止發生重大之損害或避免急迫之危險或有其他相類之情形而有必要時，得聲請為定暫時狀態之處分。 [3]聲請定暫時狀態之處分時，聲請人就其爭執之法律關係，為防止發生重大之損害或避免急迫之危險或有其他相類之情形而有必要之事實，應釋明之；其釋明有不足者，法院應駁回聲請。 [4]洪陸麟，以專利案件為中心論智慧財產案件審理法，國立政治大學法律學系碩士班論文，99-100頁，2009年。 [5]最高法院94年度台抗字第743 號民事裁定。 [6]最高法院94年度台抗字第380 號民事裁定。 [7]莊郁沁，智慧財產法院就營業秘密保護案件裁准定暫時狀態處分聲請之案例介紹，理律法律雙月刊，9-10頁，105年1月號。