SOPA法案,全名「禁止網路盜版法案(The Stop Online Privacy Act)」,是於2011年10月26日由美國眾議員Lamar Smith所提出,主要支持團體包括美國「娛樂軟體協會(the Entertainment Software Association)」、網路域名公司GoDaddy.com、「美國動畫協會(the Motion Picture Association of America)」以及「美國商會(United States Chamber of Commerce)」等等。另外一個類似的法案為美國參議院於2011年5月提交的「保護知識產權法案」,簡稱PIPA(Preventing Real Online Threats to Economic Creativity and Theft of Intellectual Property Act),該法案原預訂於2012年1月24日交付表決。
2012年1月18日,為了表明對SOPA的反對立場,美國各網站發起了關站的行動,包括Google、Wikipedia等這些大型網站皆參與了抗議行動(抗議行動的參與網站名單可參考下述網址: http://sopastrike.com/)。美國總統歐巴馬也於今年一月公開表明他不會支持SOPA以及類似的法案,主因為該法案箝制了資訊流的自由發展。白宮於官方部落格表示「保護線上智慧財產權的重要任務不可危害網路的開放以及創新發展」、「任何打擊線上盜版的努力必須避免線上審查對合法活動所造成的風險,並避免阻礙了商業的創新發展」、「我們必須避免創造新的網路安全風險或者是瓦解網路的基礎架構」、「期許並鼓勵所有的私人團體,包括網路內容創作人以及網路平台提供人,共同努力,採取自願性的措施以及最佳作法去減少線上盜版」,但是部落格中的聲明也指出,線上盜版已經是危害美國經濟的一個重要問題,它危害了中產階級的工作,並且危害了具有創造力以及創新力的美國公司以及企業。由於反對的浪潮,SOPA以及PIPA法案於今年1月20日正式地遭到議院擱置。
SOPA的立法主要是用來打擊國外販售仿冒品的網站以及提供非法下載影音軟體系統的網站,俗稱「海盜灣(pirate bay)」,使用人在這些網站只要輸入影集或者是電影名稱就可以免費下載收看。這些海盜灣由於伺服器不在美國境內所以難以管制,但是透過SOPA,美國政府可以藉著管制美國的網路服務者去切斷這些海盜灣在美國提供服務的生路。依照SOPA,Google將被禁止在其搜尋結果中顯示這些海盜灣,PayPal也將被禁止提供資金傳輸服務與這些被認定有侵權事實的業者。
事實上,著作權的侵權行為原本就是非法的,在此之前已有「數位千禧年著作權法案(the 1998 Digital Millennium Copyright Act,簡稱DMCA)」提供執行措施。依照本法,舉例說明,假設歌曲創作人發現有人非法在YouTube上上傳其享有著作權的歌曲,著作權人可以要求YouTube將之下架,這樣的要求稱為「DMCA 投訴公告(DMCA warning)」。光是2011年,Google就收到了約五百萬筆侵權下架的要求,若確定要求為合法,Google一般而言會在六個小時之內將之下架。問題在於DMCA投訴公告對於美國國外的網站並無法發揮其預期的效力。
但是類似YouTube這類的網站經營者則擔心,SOPA可能帶來網站營運者必須負擔審查使用人所上傳的檔案是否有侵權事實義務的負面效應。依照SOPA,任何支付服務或者是廣告營運主都需要提供一個管道供第三人檢舉「偷竊美國財產」的使用人,一遭檢舉,營運主就有義務在五天之內切斷其服務。雖然亂檢舉有刑事責任,但是是否無侵權行為的舉證責任則需要受控告者自行負擔,而許多小網站以及非營利性網站根本無力去負擔龐大的訴訟費用。另外,反對者認為SOPA對於「搜尋引擎(internet search engine)」以及「國外侵權網站(foreign infringing site)」的定義過於廣泛,在本法之下,維基百科也會被定義為「搜尋引擎」,並有義務在任何美國法院的要求下去移除「國外侵權網站」的有關聯結,否則將會被視為助長侵權行為並面臨「藐視法庭罪」,這將造成言論自由箝制的相關問題,除此也會大量增加維基百科的營運成本。業者多表示肯認SOPA的立意並表示願意合作,但是業者表示SOPA過於廣泛模糊的法規文字將可能會流於網站內容的審查並造成無法控制的後果。反對者指出,SOPA的影響範圍無法預測,網站內容若只是部分有侵權疑慮,可能整個網站都無法出現在搜尋引擎的搜尋結果中。「電子前哨基金會(Electronic Frontier Foundation, EFF)」指出,類似Facebook或YouTube這類由使用者自創內容的網站,未來可能都要被迫自行去監管網站內容,將大量增加營運成本。另一方面而言,SOPA賦予業者只要具有合理懷疑就可以封鎖使用者,這將會成為大公司用來打壓潛在競爭者並迴避反托拉斯法的手段。
日本經濟產業省於2021年10月20日公布第3屆「J-Startup」新創企業獲選名單。本次共選出50間企業,產業所涉及領域包含醫療、數位轉型、能源、太空等。獲選的企業將獲得政府及合作的民間組織所提供之支援,例如協助國內外活動展出、援助研究開發、增加投標機會、商談與其他企業合作等,預期創造出新創企業的成功範例。 「J-Startup」新創企業之選拔分為二階段,第一階段是由具備創業經驗之推薦委員(推薦委員由頂級風險投資人、大企業中與創新有相關之人才、學術單位專家等人員組成)基於新創企業的經營理念、國際性、成長發展性、對於社會議題的應對措施等考量,推薦在全球市場快速發展、具備有領導日本創新潛力之新創企業。第二階段由第三方外部審查委員(律師、學術專家等組成)審查選拔程序後,確定「J-Startup」新創企業名單。 「J-Startup」於2018年6月是由日本經濟產業省、日本貿易振興機構(JETRO)、新能源產業技術綜合開發機構(NEDO)共同創立營運,目的為培養出活躍於全球之新創企業。第1屆「J-Startup」(2018年6月)選拔出92間企業,第2屆(2019年6月)選拔出49間企業,再加上今年度所選拔出之50間企業,目前為止共計有188間新創企業獲選為「J-Startup」(第1屆、第2屆獲選企業中,有3間企業已解散或被併購)。
因應國際法規變動趨勢的營業秘密管理建議因應國際法規變動趨勢的營業秘密管理建議 資訊工業策進會科技法律研究所 2024年06月24日 因應技術進步導致資訊的存取與分享更加容易,營業秘密侵權爭議也隨之增長,綜觀國際政策推動或許多跨國智財專家均逐漸重視營業秘密爭議相關議題,並論及營業秘密相關法規趨勢、訴訟經驗、建議企業可執行的營業秘密管理做法等,以下將綜整相關趨勢與專家觀點並提出我國企業建議。 壹、法規變動趨勢 從國際趨勢以觀,各國針對「競業禁止」規定,有逐漸對其嚴格審查與進行法規監管的趨勢,而這也使得透過限制性條款避免機密資訊外洩的難度提高,企業多轉而透過營業秘密管理來加強防護。 一、競業禁止 本文列舉了近期美國與英國對於競業禁止法規監管的趨勢。 (一)美國將從聯邦層級禁止「競業禁止」條款 美國聯邦貿易委員會(Federal Trade Commission,下稱FTC)於今年,2024年4月23日推出一項最終規定「Non-Compete Clause Rule[1]」,該規則將針對除了高級管理人員以外之員工,使僱主與員工之間已簽訂競業禁止協議無效,並禁止未來僱主與員工簽訂競業禁止合約。 (二)英國擬立法限制「競業禁止」之最高法定期限 英國目前的競業禁止相關限制係基於英美法,以法院的個案判決及既判例來執行。英國政府於2020年12月4日至2021年2月26日期間向公眾進行諮詢,並就諮詢意見之政府回覆於2023年發布報告[2],英國政府在該報告中提出,就目前國際實務上競業禁止條款之執行期間除了美國部分州已直接被禁止外,多半未進行太多限制,如德國最高為24個月、義大利最長可達三至五年,而英國政府提出其擬將在議會時間允許的情況下提出立法領先引入「最多三個月[3]」之上限,對於競業禁止條款進行限制。 二、合理保密措施 承上所述,基於「競業禁止」條款的效力可能因為政策、法規變動或在不同國家的規定不同而導致已簽署之競業禁止條款失去效力、尚未簽署之契約禁止再簽署競業禁止條款或只允許在受有限制之情況下簽署等,企業透過此類限制性條款來避免機密資訊外洩的難度提高,使的企業多轉而透過其他日常營業秘密管理措施來加強防護,及證明企業有落實營業秘密的「合理保密措施」之法律要件。 以美國加州為例,該州多年前就禁止「競業禁止」約定,故當地企業早已轉往透過建置營業秘密政策和保護措施來加強防護。 貳、具體營業秘密管理措施之建議 一、合理保密措施之目的 合理保密措施除了作為補足無法使用限制性條款(競業禁止條款)之替代管制措施具有「預防營業秘密洩漏之效果」以外;更具有在營業秘密侵權發生後,訴訟上舉證之用。許多智財實務專家表示,無論是在哪一國法規的管轄下,權利人共通性的困難多在於訴訟的舉證上,因此專家建議企業應留存營業秘密管制措施之執行紀錄以作為將來涉訟時舉證之用。 二、營業秘密管理之具體作法 參照實務上專家的建議,本文彙整將實務上被推薦之具體營業秘密管理做法[4]羅列如下: (一)確立並可以識別營業秘密範圍 對於企業而言,首先應識別並記錄出營業秘密(機密)範圍,才能明確管制措施的範圍,並透過機密的標示(例如浮水印)來使員工能夠認知到接觸的資訊為公司重要的營業秘密。 (二)監控 針對下載、複印、數據傳輸行為或者其他可能包含機密資訊之公司設備等行為公司應進行監控。 (三)使用行為管制 公司應限縮傳播範圍(包含禁止員工通過電子郵件將資訊發送到個人電子郵件或將機密文件攜出公司等);並於不使用時妥善存放保管並上鎖或設置密碼管控。 (四)人員管制 員工作為營業秘密管控機制重要的一環,專家建議應對員工進行教育訓練(告知營業秘密重要性或提供有關如何識別和保護機密資訊的培訓);與相關人員(員工、承包商、合作單位)簽署保密契約(confidentiality agreements)明確定義機密資訊之範圍以及禁止未經授權的使用與揭露;設立離職員工管控機制(包含離職面談、保存相關設備、甚至如果員工可能進入競爭對手工作,企業可評估是否進一步請合格第三方進行鑑識或取證員工身上是否攜帶機密資訊等,以作為未來若涉訟之舉證)等。 參、評析 綜上所述,企業或許已經理解建立合理保密措施並留存作為訴訟時舉證之證據的重要性,並了解些許零散的管理做法,但可能產生管理措施如何才算是完善的疑問,為了提供企業更全面的管理建議,資策會科法所創意智財中心以其在智財領域之研究與實務經驗的積累發布「營業秘密保護管理規範」[5](下稱管理規範)將管理措施透過十個單元建立PDCA管理循環。 經查,上述國際法規變動下實務專家討論之營業秘密管理措施均包含在管理規範內,如「(一)確立並可以識別營業秘密範圍」會對應到管理規範第4單元「營業秘密的確定」章節;「(二)監控」會對應到管理規範之第5單元「營業秘密的使用管理」及第7單元「網路與環境設備管理」;「(三)使用行為管制」會對應到管理規範之第5單元「營業秘密的使用管理」;「(四)人員管制」會對應到管理規範之第6單元「員工管理」與第8單元「外部活動管理」。 管理規範除了提供更加多元完善的管理做法(如定義出的營業秘密應進行機密分級、設定保密期限建立管理清單;除了管制流通、複製行為,後端的銷毀或使用紀錄留存、預警措施之建立也很重要;對於員工的管控不僅是離職時,更是從入職時就有風險需要管控;或者更後端的爭議處理機制、監督與改善機制之建立等)以外,更重要的是,管理規範納入了企業應考量的相關法律風險,以「(二)監控」之建議為例,管理規範第6.3.2條進一步要求應對員工進行「宣導」,告知員工「會監控其使用營業秘密行為並保存相關電磁紀錄」,此規定對於企業而言十分重要,因為若未進行告知,可能會因為侵害員工的隱私權,違反刑法妨害秘密罪以及通訊保障及監察法之違法監察通訊罪,而使雇主被判刑。 由此可知,企業在建立營業秘密合理保密措施之相關機制時,亦需要注意措施的完善與合法性,企業除了可參考管理規範系統性建立營業秘密管理機制外,亦可以此管理規範做為檢視自身管理措施符合性之依據,進而促進企業有效落實營業秘密管理。 [1]Federal Trade Commission, FTC Announces Rule Banning Noncompetes (2024), https://www.ftc.gov/news-events/news/press-releases/2024/04/ftc-announces-rule-banning-noncompetes (last visited May 15, 2024). [2]Consultation outcome Measures to reform post-termination non-compete clauses in contracts of employment, GOV.UK, https://www.gov.uk/government/consultations/measures-to-reform-post-termination-non-compete-clauses-in-contracts-of-employment#full-publication-update-history (last visited Jun. 19, 2024). [3]同前註,引述原文:「The government will introduce a statutory limit on the length of non-compete clauses of 3 months and will bring forward legislation to introduce the statutory limit when parliamentary time allows.」。 [4]Q&A: Trade secret disputes, Financier Worldwide Magazine, Financier Worldwide Magazine, https://www.financierworldwide.com/qa-trade-secret-disputes (last visited Jun. 05, 2024). [5]<營業秘密保護管理規範>,財團法人資訊工業策進會科技法律研究所網站,https://stli.iii.org.tw/publish-detail.aspx?no=72&d=7212(最後瀏覽日:2024/06/14)。
資通安全管理法之簡介與因應資通安全管理法之簡介與因應 資訊工業策進會科技法律研究所 2019年6月25日 壹、事件摘要 隨著網路科技的進步,伴隨著資安風險的提升,世界各國對於資安防護的意識逐漸升高,紛紛訂定相關之資安防護或因應措施。為提升國內整體之資通安全防護能量,我國於107年5月經立法院三讀通過「資通安全管理法」(以下簡稱資安法),並於同年6月6日經總統公布,期望藉由資通安全管理法制化,有效管理資通安全風險,以建構安全完善的數位環境。觀諸資通安全管理法共計23條條文外,另授權主管機關訂定「資通安全管理法施行細則」、「資通安全責任等級分級辦法」、「資通安全事件通報及應變辦法、「特定非公務機關資通安全維護計畫實施情形稽核辦法」、「資通安全情資分享辦法」及「公務機關所屬人員資通安全事項獎懲辦法」等六部子法,建置了我國資通安全管理之法制框架。然而,資安法及相關子法於108年1月1日實施後,各機關於適用上不免產生諸多疑義,故本文擬就我國資通安全管理法之規範重點為扼要說明,作為各機關遵法之參考建議。 貳、重點說明 一、規範對象 資安法所規範之對象,主要可分為公務機關及特定非公務機關。公務機關依資安法第3條第5款之定義,指依法行使公權力之中央、地方機關(構)或公法人,但不包含軍事機關及情報機關。故公務機關包含各級中央政府、直轄市、縣(市)政府機關、依公法設立之法人(如農田水利會[1]、行政法人[2])、公立學校、公立醫院等,均屬公務機關之範疇。惟考量軍事及情報機關之任務性質特殊,故資安法排除軍事及情報機關之適用[3]。 特定非公務機關依資安法第3條第6款之規定,指關鍵基礎設施提供者、公營事業及政府捐助之財團法人。關鍵基礎設施提供者另依該法第16條第1項規定,須經中央目的事業主管機關於徵詢相關公務機關、民間團體、專家學者之意見後指定,報請行政院核定,並以書面通知受核定者。須注意者為該指定行為具行政處分之性質,如受指定之特定非公務機關對此不服,則可循行政救濟程序救濟之。目前各關鍵基礎設施領域,預計將於108年下半年陸續完成關鍵基礎設施提供者之指定程序[4]。 此外,政府捐助之財團法人,依該法第3條第9項之規定,指其營運及資金運用計畫應依預算法第41條第3項規定送立法院,及其年度預算書應依同條第4項規定送立法院審議之財團法人。故如為地方政府捐助之財團法人,則非屬資安法所稱特定非公務機關之範圍。公營事業之認定,則可參考公營事業移轉民營條例第3條之規定,指(一)各級政府獨資或合營者;(二)政府與人民合資經營,且政府資本超過百分之五十者;(三)政府與前二款公營事業或前二款公營事業投資於其他事業,其投資之資本合計超過該投資事業資本百分之五十者。目前公營事業如臺灣電力股份有限公司、中華郵政股份有限公司、臺灣自來水股份有限公司等均屬之。 二、責任內容 資安法之責任架構,可區分為「事前規劃」、「事中維運」及「事後改善」等三個階段,分述如下: (一)事前規劃 就事前規劃部分,資安法要求各公務機關及特定非公務機關均應先規劃及訂定「資通安全維護計畫」及「資通安全事件通報應變機制」,使各機關得據此落實相關之資安防護措施,各機關並應依據資通安全責任等級分級辦法之規定,依其重要性進行責任等級之分級,辦理分級辦法中所要求之應辦事項[5],並將應辦事項納入安全維護計畫中。 此外,在機關所擁有之資通系統[6]部分,各機關如有自行或委外開發資通系統,尚應依據分級辦法就資通系統進行分級(分為高、中、普三級),並就系統之等級採取相應之防護基準措施,以高級為例,從7大構面中,共須採取75項控制措施。 (二)事中維運 事中維運部分,資安法要求各機關應定期提出資通安全維護計畫之實施情形,上級或中央目的事業主管機關並應定期進行各機關之實地稽核及資通安全演練作業。各機關如有發生資通安全事件,應於機關知悉資通安全事件發生時,於規定時間內[7],依機關訂定之通報應變機制採取資通安全事件之通報及損害控制或復原措施,以避免資通安全事件之擴大。 (三)事後改善 在事後改善部分,如各機關發生資通安全事件或於稽核時發現缺失,則均應進行相關缺失之改善,提出改善報告,並應針對缺失進行追蹤評估,以確認缺失改善之情形。 三、情資分享 為使資通安全情資流通,並考量網路威脅可能來自於全球各地,資安法第8條規定主管機關應建立情資分享機制,進行情資之國際合作。情資分享義務原則於公務機關間,就特定非公務機關部分,為鼓勵公私間之協力合作,故規定特定非公務機關得與中央目的事業主管機關進行情資分享。 我國已於107年1月將政府資安資訊分享與分析中心(G-ISAC)調整提升至國家層級並更名為「國家資安資訊分享與分析中心」(National Information Sharing and Analysis Center, N-ISAC)。透過情資格式標準化與系統自動化之分享機制,提升情資分享之即時性、正確性及完整性,建立縱向與橫向跨領域之資安威脅與訊息交流,以達到情資迅速整合、即時分享及有效應用之目的[8]。 四、罰則 為使資安法之相關規範得以落實,資安法就公務機關部分,訂有公務機關所屬人員資通安全事項獎懲辦法以資適用。公務機關應依據獎懲辦法之內容,配合機關內部之人事考評規定訂定獎懲基準,而獎懲辦法適用之人員,除公務人員外,尚包含機關內部之約聘僱人員。就特定非公務機關部分,資安法則另訂有相關之罰則,針對未依資安法及相關規定辦理應辦事項之特定非公務機關,中央目的事業主管機關得令限期改正,並按情節處10萬至100萬元之罰鍰。惟就資通安全事件通報部分,因考量其影響範圍層面較廣,故規定特定非公務機關如未依規定進行通報,則可處以30萬元至500萬元之罰鍰。 參、事件評析 公務機關及特定非公務機關為落實資安法之相關規範,勢必投入相關之資源及人力,以符合資安法之要求。考量公務機關或特定非公務機關之資源有限,故建議可從目前組織內部所採用之個人資料保護或資訊安全管理措施進行盤點與接軌,以避免資源或相關措施重複建置,以下則列舉幾點建議: 一、風險評估與安全措施 資安法施行細則第6條要求安全維護計畫訂定風險評估、安全防護及控制措施機制,與個人資料保護法施行細則第12條要求建立個人資料風險評估及管理機制之規定相似,故各機關於適用上可協調內部之資安與隱私保護機制,共同擬訂單位內部之風險評估方式與管理措施規範。 二、通報應變措施 資安法第18條要求機關應訂定資通安全事件通報應變機制,而個人資料保護法第12條亦規定有向當事人通知之義務,兩者規定雖不盡相同,惟各機關於訂定通報應變機制上,可將兩者通報應變程序進行整合,以簡化通報流程。 三、委外管理監督 資安法第9條要求機關負有對於委外廠商之監管義務,個人資料保護法施行細則第8條亦訂有委託機關應對受託者為適當監督之規範。兩者規範監督之內容雖不同,惟均著重對於資料安全及隱私之保護,故各機關可從資料保護層面著手,訂定資安與個人資料保護共同之檢核項目,來進行委外廠商資格之檢視,並將資安法及個人資料保護法之相關要求分別納入委外合約中。 四、資料盤點及文件保存 資安法施行細則第6條要求於建置安全維護計畫時,須先進行內部之資產盤點及分級,而個人資料保護法施行細則第12條中,則要求機關須訂有使用記錄、軌跡資料及證據保存之安全措施。故各機關於資產盤點時,可建立內部共同之資料盤點清單及資料管理措施,並增加資料使用軌跡紀錄,建置符合資安與個人資料之資產盤點及文件軌跡保存機制。 [1] 參水利法第12條。 [2] 參中央行政機關組織基準法第37條。 [3] 軍事及情報機關依資通安全管理法施行細則第2條規定,軍事機關指國防部及其所屬機關(構)、部隊、學校;情報機關指國家情報工作法第3條第1項第1款(包含國家安全局、國防部軍事情報局、國防部電訊發展室、國防部軍事安全總隊)及第2項規定之機關。另須注意依國家情報工作法第3條第2項規定,行政院海岸巡防署、國防部政治作戰局、國防部憲兵指揮部、內政部警政署、內政部移民署及法務部調查局等機關(構),於其主管之有關國家情報事項範圍內,視同情報機關。 [4] 羅正漢,〈臺灣資通安全管理法上路一個月,行政院資安處公布實施現況〉,iThome, 2019/02/15,https://www.ithome.com.tw/news/128789 (最後瀏覽日:2019/5/13)。 [5] 公務機關及特定非公務機關之責任等級目前分為A、B、C、D、E等五級,各機關應依據其責任等級應從管理面、技術面及認知與訓練面向,辦理相應之事項。 [6] 資通系統之定義,依資通安全管理法第3條第1款之規定,指用以蒐集、控制、傳輸、儲存、流通、刪除資訊或對資訊為其他處理、使用或分享之系統。 [7] 公務機關及特定非公務機關於知悉資通安全事件後,應於1小時內依規定進行資通安全事件之通報;如為第一、二級資通安全事件,並應於知悉事件後72小時內完成損害控制或復原作業,第三、四級資通安全事件,則應於知悉事件後36小時內完成損害控制或復原作業。 [8] 〈國家資安資訊分享與分析中心(N-ISAC)〉,行政院國家資通安全會報技術服務中心,https://www.nccst.nat.gov.tw/NISAC(最後瀏覽日:2019/5/14)。
調查指出:美國民眾對無線電視數位化缺乏準備美國審計部(Government Accountability Office, GAO)就無線電視數位化轉換一事進行調查並於2008年6月10日公布報告。該調查報告發現,雖然超過8成民眾對無線電視數位化有所認知,但亦有許多民眾認知有誤。 此外,該調查報告亦指出,收看無線電視之民眾中,45%尚未購買機上盒以因應無線電視數位化;反之並不需要為數位化進行準備之民眾(如收看有線電視或衛星電視者),卻有30%表示已經做好無線電視數位化之因應措施。在此同時,仍有部分低功率電視台將不會全面數位化,故接收無線電視之民眾可能必須備有同時可接收類比與數位訊號之設備,方能夠維持其無線電視的收視。 為鼓勵民眾購買數位機上盒,美國國家電信與資訊管理局(National Telecommunications and Information Administration, NTIA)稍早已經發出80萬張折價券,但僅有不到一半的折價券被使用,至於尚未被使用的折價券亦已逾期而無法使用。 除機上盒的準備外,隨著訊號數位化,無線電視台的訊號強度及受干擾程度也將有所改變,故無線電視台需調整電台或天線的位置,以避免部分地區民眾在數位化後無法收看清晰的影像。美國通訊傳播委員會之工程師指出,約有1%的民眾可能會有前述困擾,但截至目前為止,仍有部分電視台受限於經費問題而尚未有所因應。