西班牙政府向GOOGLE主張「被遺忘的權利」
西班牙政府要求網路搜尋引擎業者Google刪除有關於90位公民之個人資料搜尋結果。西班牙政府主張當事人具有「被遺忘之權利」（the right to be forgotten），但Google認為西班牙政府之要求將衝擊表達自由之權利。目前全案已進入訴訟程序。
該事件之主因為西班牙民眾發現透過網路搜尋引擎，可以搜尋包含地址、犯罪前科等個人資料。經民眾向西班牙隱私權保護機關（Spain Data Protection Agency）提出申訴後，西班牙政府命令Google刪除申訴民眾之個人資料之搜尋結果。
然而，Google的全球隱私顧問Peter Fleischer於個人部落格中提出個人意見，表示目前歐盟並未對於推行之「被遺忘之權利」給予明確定義，此舉將引起資訊科技發展與法律規範間之爭議。
近來歐盟所進行之民意調查指出，多數歐洲人希望能夠隨時要求網路公司刪除於網路上公開之個人資料，也就是希望擁有「被遺忘之權利」。所謂「被遺忘之權利」，係指只要是於網路上流傳且容易被搜尋之個人資訊，例如年代久遠或是令人尷尬的內容，當事人皆有權利要求刪除。
然而，根據1995年歐盟隱私保護指令（EU Data Protection Directive）所制定之各國個人資料保護法，對於「被遺忘之權利」並無著墨。故有些專家認為，為因應資訊科技之發展，應透過個人資料保護法制之修訂，確認此權利之存在，以避免模糊不清之情形。
歐盟資料保護工作小組修正通過「個人資料侵害通報指引」 資訊工業策進會科技法律研究所 法律研究員 李哲明 2018年3月31日 壹、事件摘要 因應歐盟「通用資料保護規則」（The General Data Protection Regulation，或有譯為一般資料保護規則，下簡稱GDPR）執法即將上路，針對個人資料侵害之通報義務，歐盟資料保護工作小組（Article 29 Data Protection Working Party, WP29）特於本（2018）年2月6日修正通過「個人資料侵害通報指引」（Guidelines on Personal data breach notification under Regulation 2016/679），其中就GDPR所規範個資侵害之定義、對監管機關之通報、與個資當事人之溝通、風險及高風險評估、當責與紀錄保存及其他法律文件所規定之通報義務等，均設有詳盡說明與事例。 貳、重點說明 一、何謂個資侵害？個資侵害區分為哪些種類？ 依據GDPR第4條（12）之定義，個資侵害係指：「個人資料因安全性之侵害所導致意外或非法之毀損、喪失、修改、未經授權之揭露、存取、個資傳輸、儲存或其他處理。」舉例來說，個人資料之喪失包括含有控制者（controller）顧客資料庫的備份設備之遺失或遭竊取。另一例子則為整份個資的唯一檔案遭勒索軟體加密，或經控制者加密，但其金鑰已滅失。依據資訊安全三原則，個資侵害之種類區分為： 機密性侵害（Confidentiality breach）：未經授權、意外揭露或獲取個人資料。 完整性侵害（Integrity breach）：未經授權或意外竄改個人資料。 可用性侵害（Availability breach）：在意外或未經授權之情況下，遺失個人資料存取權限或資料遭銷燬。 二、何時應為通知？ 按GDPR第33條（1）之規定，當個資侵害發生時，在如果可行之情況下，控制者應即時（不得無故拖延）於知悉侵害時起72小時內，依第55條之規定，將個資侵害情事通報監管機關。但個資侵害不會對自然人之權利和自由造成風險者，不在此限。倘未能於72小時內通報監管機關者，應敘明遲延之事由。 三、控制者「知悉」時點之判斷標準為何？ 歐盟資料保護工作小組認為，當控制者對發生導致個人資料侵害的安全事件達「合理確信的程度」（reasonable degree of certainty）時，即應視為其已知悉。以具體事例而言，下列情況均屬所謂「知悉」： 在未加密個人資料的情況下遺失USB密鑰（USB Key），通常無法確定是否有未經授權者將獲致存取資料權限。即使控制者可能無法確定是否發生機密性侵害情事，惟仍應為通知，因發生可用性侵害之情事，且已達合理確信的程度。 故應以控制者意識到該密鑰遺失時起為其「知悉」時點。 第三人通知控制者其意外地收到控制者的客戶個人資料，並提供該揭露係未經授權之證據。當侵害保密性之明確證據提交控制者時，即為其「知悉」時點。如：誤寄之電子郵件，經非原定收件人通知寄件者之情形。 當控制者檢測到其網路恐遭入侵，並針對其系統進行檢測以確認個人資料是否遭洩漏，嗣後復經證實情況屬實，此際即屬「知悉」。 網路犯罪者在駭入系統後，聯繫控制者以索要贖金。在這種情況下，控制者經檢測系統並確認受攻擊後，亦屬「知悉」。 值得注意的是，在經個人、媒體組織、其他來源或控制者自我檢測後，控制者或將進行短暫調查，以確定是否發生侵害之事實。於此調查期間內所發現之最新侵害情況，控制者將不會被視為「知悉」。然而，控制者應儘速展開初步調查，以形成是否發生侵害事故之合理確信，隨後可另進行更詳盡之調查。 四、共同（聯合）控制者之義務及其責任分配原則 GDPR第26條針對共同控制者及其如何確定各自之法遵義務，設有相關規定，包括決定由哪一方負責遵循第33條（對主管機關通報）與第34條（對當事人通知）之義務。歐盟資料保護工作小組建議透過共同控制者間之契約協議，約明哪一方係居主要地位者，或須負責盡到個資侵害時，GDPR所定之通知義務，並載於契約條款中。 五、通報監管機關與提供資訊義務 當控制者通報監管機關個資侵害情事時，至少應包括下列事項 （GDPR第33條（3）參照）： 敘述個人資料侵害之性質，包括但不限於所涉之相關個資當事人、個資紀錄及其類別、數量。 傳達資料保護長（DPO）或其他聯絡人之姓名與聯絡方式，俾利獲得進一步資訊。 說明個資侵害可能之後果。 描述控制者為解決個資侵害業已採取或擬採行之措施，在適當情況下，酌情採取措施以減輕可能產生之不利影響。 以上乃GDPR要求通報監管機關之最基本事項，在必要時，控制者仍應盡力提供其他細節。舉例而言，控制者如認為其處理者係個資侵害事件之根因（root cause），此時通報並指明對象即可警示委託同一處理者之其他控制者。 六、分階段通知 鑒於個資事故之性質不一，控制者通常需進一步調查始能確定全部相關事實，GDPR第33條（4）爰設有得分階段通知（notification in phases）之規定。凡於通報時，無法同時提供之資訊，得分階段提供之。但不得有不必要之遲延。同理，在首次通報後之後續調查中，如發現該事件業已受到控制且並未實際發生個資侵害情事，控制者可向監管機關為更新。 七、免通報事由 依據GDPR第33（1）條規定，個資侵害不會對自然人之權利和自由造成風險者，毋庸向監管機關通報。如：該遭洩露之個人資料業經公開使用，故並未對個人資料當事人構成可能的風險。 必須強調的是，在某些情形下，未為通報亦可能代表既有安全維護措施之缺乏或不足。此時監管機關將可能同時針對未為通報（監管機關）或通知（當事人），以及安全維護措施之缺乏或不足，以違反第33條或（及）34條與第32條等獨立義務規定為由，而依第83條4（a）之規定，併予裁罰。 參、事件評析 一、我國企業於歐盟設有分支機構或據點者，宜指派專人負責法遵事宜 揆諸GDPR前揭規定，當個資侵害發生時，控制者應即時且不得無故拖延於知悉時起72小時內，將個資侵害情事通報監管機關。未能履踐義務者，將面臨最高達該企業前一會計年度全球營業額之2%或1千萬歐元，取其較高者之裁罰。我國無論金融業、航運業、航空運輸業、電子製造業及進出口貿易業者等，均或有於歐盟成員國境內或歐洲經濟區（European Economic Area）當地設立子公司或營業據點。因此，在GDPR法遵衝擊的倒數時刻，指派具瞭解GDPR規定、當地個資隱私法遵規範、擅長與隱私執法機構溝通及充要語言能力者專責法遵業務實刻不容緩。蓋此舉可避免我國企業母公司鞭長莫及，未能及時處置而致罹法典之憾。 二、全面檢視個資業務流程，完備個資盤點與風險評鑑作業，掌握企業法遵現況 企業應全面檢視業務流程，先自重要核心業務中析出個資作業流，搭配全面個資盤點，並利用盤點結果進行風險評鑑，再針對其結果就不同等級之風險採行相對應之管控措施。此外，於全業務流程中，亦宜採行最小化蒐集原則，避免蒐集過多不必要之個人資料，尤其是GDPR所定義之敏感個資（如：種族、民族血統、政治觀點、宗教信仰、哲學信仰、工會會員資格等個人資料，及遺傳資料的處理，用於識別特定自然人之生物識別資料、健康資料、性生活、性取向等）或犯罪前科資料，俾降低個人資料蒐集、處理、利用、檔案保存及銷燬之全生命週期流程中的風險。此舉亦契合我國個人資料保護法第5條所揭櫫之原則。 三、立法要求一定規模以上之企業須通過個資隱私法遵第三方認（驗）證，並建置認證資訊公開平台 鑒於國際法遵衝擊以及隱私保護要求之標準線日漸提升，我國企業除自主導入、建置並維運相關個資保護與管理制度以資因應，更有賴政府透過法令（如：修正個人資料保護法）強制要求一定規模以上之企業通過第三方專業驗證，俾消弭風險於日常準備之中。蓋我國具一定規模以上企業，無論其係屬何種業別，一旦違反國際法遵要求，遭致鉅額裁罰，其影響結果將不僅止於單一企業，更將嚴重衝擊該產業乃至於國家整體經貿發展。職是，採法律強制要求企業定期接受獨立、公正及專業第三方認（驗）證，咸有其實益性與必要性。
新加坡智財爭議解決中心發展與評析新加坡智財爭議解決中心發展與評析 科技法律研究所 法律研究員 羅育如 2015年05月07日 壹、前言 在全球化競爭的趨勢下，各國若僅憑國家資本與生產力作為基礎，已難在國際上殺出重圍、嶄露頭角。由此可知，「創意」與「創新」是激化國家競爭力之泉源，而「智慧財產權」則是此泉源之力量匯集，更是提升國家競爭力之強效手段 。 新加坡政府於2013年3月份提出IP (Intellectual Property) Hub Master Plan 10年期計畫[1]，目標是成為亞洲智慧產權中心。計畫設有六大策略，本文以下針對【策略四：透過強化智財法院以及智財紛爭解決替代方案之能力，打造新加坡成為智財爭議解決中心】進行觀察。目的在於了解新加坡如何透過提高智財法庭行政效率以及推動智財爭議解決替代方案，以吸引權利人選擇新加坡做為智財爭議解決地點。 貳、智財爭議解決中心重點說明 發生智財爭議時，權利人大多會依據產品主要銷售市場或是智財權申請地來選擇爭議解決地點，從而目前智財訴訟多以美國與中國大陸為重點戰場，新加坡智財法院所承受案件相對稀少[2]。對此，新加坡政府認為，新加坡司法制度擁有具透明度、效率與中立的國際名聲，加上許多跨國企業皆在新加坡設立分部，使得法院之判決有在新加坡執行之機會[3]，因此只要提升新加坡智財法院的能力，新加坡就有機會成為智財爭議解決中心。 為了達成目標，新加坡從兩個面向切入，一是強化新加坡智財法院能力，以吸引更多智財訴訟在新加坡進行；二是強化新加坡執行智財爭議解決替代方案的能力，以吸引更多爭議解決替代能在新加坡執行，以下分別說明。 一、強化新加坡智財法院能力 (一)建立更有效率的行政流程 2013年9月新加坡最高法院註冊處(Registrar of the Supreme Court)公布智財法院方針(IP Court Guide)[4]，內容包括法官將會參與所有的中間上訴程序(interlocutory appeals)、審前會議(pre-trial conference；PCTs)以及責任審訊(the trial on liability)。 在排期審訊之前，需要完成的審前會議(PCTs)包括：1.當事人之首席律師必須親自向IP法官說明本案關鍵爭議點。2.每個案件設立專門管理的資深助理主簿(senior assistant registrar)負責其他的PCTs聽審，而助理主簿(assistant registrar)則會負責這個IP案件所有的中間上訴申請。 另外，智財法院也提供技術專業意見的技術鑑定專家（assessors）以及可提供法律專業意見的法庭之友（amicus curiae）名單，當事人可提出自己的候選者，以便法官諮詢技術上與法律上的專業意見[5]。 這樣的法院審理流程修改，對當事人而言，將被分配到專屬的主簿負責案件資訊，可提供當事人方便追蹤審理流程及進度。對審理法官而言，在進入真正審理之前，也已經透過PCTs的幫助，了解整個案件內容、各方說法以及提具的證據資料。法官將能盡早熟悉案件，增進審理效率，並透過法庭之友與技術鑑定專家取得專業意見，整體提升效率及審理品質。 (二)設立亞洲唯一國際商業法庭(SICC) 新加坡律政部於2014年10月向新加坡國會提出新加坡憲法修正案和最高法院司法權法案，為2015年1月成立之國際商業法庭（Singapore International Commercial Court，SICC）奠定法律正當性。 SICC是亞洲唯一的國際商業法庭，隸屬於新加坡高等法院下，其判決效力與新加坡最高法院相同，主要工作目標在於解決來自亞洲的跨境貿易和投資產生的國際商業訴訟糾紛，包括商業糾紛及專利訴訟等。 SICC相較於新加坡最高法院以及新加坡國際仲裁中心(SIAC)的主要區別包括： 1.由新加坡法官及外國資深法官共同組成審判團隊 SICC審判團隊不僅包括新加坡高等法院的法官，還包括定期合約的助理法官(Associate Judges)[6]，這些助理法官可以來自新加坡也可來自其他國家的外國法官，外國法官通常是其他國家具有豐富經驗且有名望的資深法官[7]。 2.可委託國外合格律師[8]出庭 新加坡高等法院只能由新加坡有執業資格的律師出庭，但在SICC法庭，各當事方可委託並由外國律師代表出庭。 若該糾紛為離岸案件[9]，各當事方可以委託註冊外國律師代理，而無需新加坡當地律師的任何參與。相反地，若所涉糾紛並非離岸案件，註冊外國律師則僅有權代表當事方，就外國法部分提供意見。在非離案案件中，仍可在新加坡當地律師處於主導地位前提下，外國律師仍可以共同代理人（而非僅是外國法專家身分）出庭。 此新規定因首次允許外國律師代表客戶在新加坡法院出庭而極具突破性。 3.外國法的選擇與證據法則的適用 SICC不受新加坡證據法則的約束，可依當事方的申請，選用其他國家之證據法則。 二、強化新加坡執行智財爭議解決替代方案的能力 新加坡1991年成立新加坡仲裁與調解中心(Singapore International Arbitration Centre；SIAC)，為了更積極的提升仲裁能力，於2001年與世界智慧財產權組織(WIPO)協議在新加坡設立亞洲唯一辦事處及新加坡WIPO仲裁與調解中心(The WIPO Arbitration and Mediation Center Singapore Office)，以協助提升新加坡智財仲裁能力。 在此基礎上，2014年11月新加坡政府再增設國際調解中心(Singapore International Mediation Centre；SIMC)，SIMC的特色在於除了調解業務(mediation)之外，新增「仲裁中調解(arbitration-mediation-arbitration；Arb-Med-Arb)」的服務，豐富新加坡智財爭議解決替代方案之多樣化選擇性。 「仲裁中調解」流程為，當事人為解決爭議，先啟動仲裁程序，在仲裁程序進行過程中，仲裁員對案件進行調解，調解不成或調解成功後，再恢復進行仲裁程序。爭議雙方可以透過「調解」建立和解共識，再透過「仲裁」使得雙方和解共識有法律效力。相較於單獨使用「仲裁」，將更節省金錢與時間成本；相較於單獨使用「調解」，則有法律執行效力。 參、評析 新加坡目前由SIMC與SIAC共同執行調解服務、仲裁中調解服務、仲裁服務，提供更多元的爭議解決替代方案及能力；再由SICC與新加坡智財法院提供執行智財訴訟審理，已建立完整的智財爭議解決服務流程。 在實踐的過程中，新加坡勇於突破現況，提出憲法修憲案以及司法修改案，讓SICC能有法律正當性地位。並建立新加坡智財爭議解決中心完整服務範疇，包括新加坡國際調解中心的調解服務以及仲裁中調解服務；新加坡國際仲裁中心的仲裁服務；新加坡最高法院之智財法院訴訟服務以及國際商業法庭提供之外國律師、依據外國證據法則、外國法官審理的國際商業爭議訴訟服務。 但是，SICC缺點為其作出的判決可能難以跨境執行，SICC作出的判決為新加坡高等法院的判決，可能因為缺少類似《承認和執行外國仲裁裁決公約(紐約公約)》的立法而無法像新加坡國際仲裁中心(SIAC)作出的仲裁裁決那樣易於執行。 綜上所述，新加坡政府改革態度是確定發展方向並評估執行障礙後，就進行修法及設定專責單位負責專責工作事項，這是大刀闊斧的行政效率，但相對而言，市場是否已經跟上政府的行政效率，或是政府的行政方向是否符合市場實際的趨勢，則還有待時間考驗。 [1] IP HUB MASTER PLAN：Developing Singapore as a Global IP Hub in Asia http://www.ipos.gov.sg/Portals/0/Press%20Release/IP%20HUB%20MASTER%20PLAN%20REPORT%202%20APR%202013.pdf [2] 2014年(直至10/17)新加坡智財法院結案12件案件、2013年智財法院結案8件案例、2012結案7件、2011年21件案例、2010年15件案例。以上的案例皆為商標爭議案例。http://www.ipos.gov.sg/Services/HearingsandMediation/LegalDecisions.aspx(最後瀏覽日2014/10/17) [3] 劉孔中，2014/10/16至資策會科法所創智中心演講內容。 [4] New IP Court Guide from 6 September 2013 http://www.allenandgledhill.com/pages/publications.aspx?list=LBulletinAreas&pub_id=409&topic=Legal+Bulletin+September+2013 [5] 兩造於審理開始前便需要同意共同負擔技術或法律專家提供專業意見之相關費，然針對勝訴的一方要求敗訴一方支付錢術相關費費用的權利仍得以保留。 [6]助理法官的合約是固定時間的，且不享有終身職，並根據需要特定的工作天數計算報酬，為了建構這個制度，新加坡政府甚至修改憲法Article 94(4) of the Constitution。 [7]任何由新加坡國際商業法庭管轄的案件均將由獨任法官或三名法官進行審理，SICC首任11位國際法官的任期為三年，其中涵蓋大陸法系的法官以及英美法系的法官，包括Bernard Rix（英國和威爾士）和Anselmo Reyes （香港），他們都是各自法域下享有頗高威望且經驗相當豐富的海事海商法官。 [8]外國合格律師是指未取得新加坡律師執業資質，但已在世界任一其他法域取得律師執業資質（並獲得其執業法域相關部門頒發的證書），並符合從事出庭律師職業滿五年；且可熟練運用英語進行訴訟所有條件的律師。 [9]所謂離岸案件是指該案件由於下列原因之一與新加坡無任何實質性聯繫，即：新加坡法律並不適用於該糾紛，且糾紛的標的不受新加坡法律規範，也不由新加坡法律管轄；或者該糾紛與新加坡唯一的連接點在於，各當事方選擇新加坡法律為糾紛適用法律，並將糾紛提交新加坡國際商業法庭管轄。
何謂「證券型代幣發行（STO）」？運用區塊鏈技術發行加密貨幣（Cryptocurrency，又稱虛擬貨幣）進行募資，為當前熱門的新創募資手段之一，此種募資方式稱為首次代幣發行（Initial Coin Offering，ICO）。由於ICO過去並未受到監管，其發行也僅有發行人所撰寫的白皮書（Whitepaper）可供參考，投資人與發行人間有相當大的資訊落差，也因此導致以ICO為名的詐騙案件層出不窮。 對此各國監管機關紛紛對ICO進行分類與監管，美國證券交易委員會（SEC）即將加密貨幣區分為效用型代幣（Utility Token）與證券型代幣（Security Token），並將後者納入監管。SEC採用1946年美國聯邦最高法院在SEC v. W.J. Howey Co.案判決中所適用的標準（Howey Test），若「投資人基於對合理報酬的預期，對特定事業進行金錢的投資，且該獲利來自於他方的努力」，即屬於證券型代幣而需要受到監管。 SEC據此對涉及詐欺的ICO案件嚴格執法，並積極輔導非屬詐欺案件依法辦理註冊發行程序。證券型代幣發行（Security Token Offering，STO）即為配合SEC監管規範下，為消除過去對於ICO募資疑慮所產生的法遵解套辦法。對此我國金管會亦積極評估是否將STO的標準引進我國，惟因我國對有價證券之定義與要件，與SEC所採之Howey Test有所不同，而尚在研議當中。
印度邁向個資法制新里程公布數位個資保護規則印度於2025年11月13日公布《數位個人資料保護規則》（Digital Personal Data Protection Rules，下稱DPDP規則，位階近似於我國個人資料保護法施行細則），作為2023年8月制定《數位個人資料保護法》（Digital Personal Data Protection Act，下稱DPDPA）之配套規範。DPDPA為印度首部全面性個資保護立法，並與DPDP規則採三階段施行。第一階段自2025年11月13日起，重點包括定義規定、印度資料保護委員會（Data Protection Board of India, DPBI）之設立與權限。第二階段自2026年11月13日起，聚焦於印度特有之「同意管理人（Consent Manager）」制度。第三階段自2027年5月13日起，全面施行資料處理者（Data Fiduciary，意涵近似於歐盟一般資料保護規則（GDPR）所稱資料控管者，惟更強調對資料主體負有信賴義務與善良管理責任）一般義務、兒童資料保護、重要資料處理者制度、當事人權利、跨境傳輸及適用除外等規定。其制度重點如下： 一、明確化告知與同意規範：DPDP規則要求資料處理者於取得資料主體同意前，須以獨立且易懂之方式提供告知，清楚說明個人資料類型、利用目的及所提供之商品或服務，並提供同意撤回、權利行使及申訴之管道。 二、建立同意管理人制度：此制度使資料當事人得透過第三方集中管理其對不同資料受託者之同意狀態，並隨時檢視或撤回其同意。DPDP規則就其資格、義務、登錄程序及監理機制加以規範，並賦予DPBI對其進行調查與裁罰之權限。 三、強化資安措施與侵害通報：DPDP規則明定資料受託者應採取安全維護措施，其最低標準包括加密、存取控制、日誌保存、監控、備份及資料處理相關契約管理等。另建立個資侵害通報制度，要求即時通報資料當事人及DPBI，並於72小時內補充完整資訊。 四、加重大型平台與特定資料保護機制：DPDP規則要求大型電子商務、線上遊戲及社群平台於三年未互動且無保存義務時刪除個人資料；並就18歲以下兒童及受法定監護者，要求取得可驗證之法定代理人同意。另中央政府得指定「重要資料處理者（Significant Data Fiduciary）」，課予定期影響評估、稽核及設置資料保護長之義務。 五、規範權利行使、跨境傳輸與除外規定：DPDP規則要求資料受託者及同意管理人於其網站或應用程式中，清楚揭示權利行使方式及身分驗證程序；跨境傳輸採「原則開放、例外限制」模式，由政府另行指定限制國家或對象；另就研究、保存及統計目的之資料處理，DPDP規則明定在未造成個人權益之影響下，且資料受託者已採取適當技術與組織措施，始得適用除外規定。