新版個資法與個資保護管理制度
新版個資法與個資保護管理制度
科技法律研究所
2013年4月1日
壹、事件摘要
國內於1995年制定施行「電腦處理個人資料保護法」，在資訊科技日新月異下，加諸法規本身適用上的限制，原有法制設計已不符實務需求。考量個資外洩事件日漸增加，歷經長時間討論，國內於2010年4月三讀通過新版個資法，將法律名稱調整為「個人資料保護法」，並在2012年10月1日正式實施新制。新法不僅全面調整法規內容，並大幅加重企業所負義務與責任，就民事責任而言，單一事件 賠償金額最高達到10億。對國內產業而言，如何有效因應個資法要求，採取妥適的對應策略降低風險，已成為企業運營上的關鍵課題。
貳、重點說明
一、新版個資法暨施行細則正式施行
個人資料保護可說是近期國內最受重視的議題，事實上國內早於1995年8月即制定施行「電腦處理個人資料保護法」，惟經過十餘年的發展，在電腦與資訊科技日新月異下，包括電子商務等新興商務模式，均廣泛蒐集個人資料，個人隱私的妥善保護，日益重要。然而，原有的「電腦處理個人資料保護法」，於適用主體方面，存在著行業別的限制，僅有「徵信業、醫院、學校、電信業、金融業、證券業、保險業及大眾傳播業」等八種特定事業，以及經由法務部會同中央目的事業主管機關共同指定的行業，方受到規範；此外，該法所保護的客體，亦限於經由「電腦或自動化設備」處理的個人資料，才受到保護，不包括非經電腦處理的個人資料，對於保護個人資料隱私權益規範，明顯不足。
個資外洩事件層出不窮下，2007年行政院消費者保護委員會提出的十大消費新聞中，「電子商務、電視購物個資外洩事件」即高居首位，促使法務部與經濟部透過「共同指定」方式，使無店面零售業（包括網路購物、型錄購物、電視購物等三種交易態樣）自2010年7月1日起適用「電腦處理個人資料保護法」。
為使個人資料保護法制規範內容，得以因應急速變遷的社會環境，行政院甚早即已提出「電腦處理個人資料保護法修正草案」，並將名稱修正為「個人資料保護法」，歷經立法院會多次討論，終於在2010年4月三讀通過，法律名稱調整為「個人資料保護法」，於5月26日由總統府正式公布。新法雖於2010年4月三讀通過，但為使企業及民眾有充分時間了解並因應新法，新版個資法並未於公布日施行，而是於該法第56條規定，由行政院另訂施行日期。經過長時間討論，「個人資料保護法」已由行政院決定在2012年10月1日正式實施，惟新法第6條關於特種資料原則上不得蒐集、處理與利用，以及第54條要求新法實施前已間接取得的個人資料，必須在一年內補行告知等二項規定，保留暫緩實施。
就個人資料保護法制而言，除最為重要的「個人資料保護法」外，依據母法制定的施行細則，也扮演著關鍵性的角色。原有的「電腦處理個人資料保護法施行細則」於1996年5月1日發布施行，鑒於「電腦處理個人資料保護法」已於2010年進行修正，並將名稱修正為「個人資料保護法」，法務部也配合新法修正內容，積極研商「電腦處理個人資料保護法施行細則修正草案」。隨著新版個人資料保護法確定於2012年10月1日正式上路，法務部另於2012年9月26日正式公告?正後的施行細則，並將細則名稱修正為「個人資料保護法施行細則」。新版個資法暨施行細則正式上路，促使國內個人資料保護工作，邁入全新的紀元。
二、個人資料管理制度與資料隱私保護標章
在「個人資料保護法」修正通過前，2008年6月立法院即已提案，建議政府參考國外作法，推動我國隱私權管理保護認證制度，隔年8月「行政院產業科技策略會議」（Strategic Review Board）中，決議推動「電子商務個人資料管理暨資訊安全行動方案」，並於同年12月核定放入99年至102年政府關鍵推動方案。
基於上述行動方案，經濟部自2010年10月起，委由財團法人資訊工業策進會執行「電子商務個人資料管理制度建置計畫」，並自2012年起續行推動「電子商務個人資料管理制度推動計畫」，建置推動「臺灣個人資料保護與管理制度」（Taiwan Personal Information Protection and Administration System, TPIPAS），期使企業於遵守個人資料保護法制的前提下，透過建立內部管理機制，適當保障消費者的個人資料，並在嚴謹的驗證要求下，確認導入企業是否符合制度要求，同時搭配「資料隱私保護標章」（Data Privacy Protection Mark, dp.mark）的發放，作為消費者判斷企業隱私維護能力的客觀指標。
針對個人資料管理制度的導入，事業應依循「臺灣個人資料保護與管理制度規範」逐步建立內容管理機制，該制度規範同時也是國內企業能否取得「資料隱私保護標章」（dp.mark）的審查指標。由於國內業者過往並無建立內部個資管理制度的經驗，「臺灣個人資料保護與管理制度」自2011年起，協助企業培訓「個人資料管理師」及「個人資料內評師」等制度專業人員，合格的個人資料管理師可協助企業於事業內部建立完整的制度，而內評師則是扮演確認企業建立的制度，是否符合制度規範要求的角色。截至2012年，國內已有近百家企業參與制度人員培訓，合計達426位管理師及131位內評師。在TPIPAS導入上，事業除了由合格的管理師自行建置導入管理制度外，也可尋求專業的外部輔導機構協助，「臺灣個人資料保護與管理制度」自2012年起，開放輔導機構登錄之申請，並於制度網站上公告符合資格要求的制度輔導機構，目前已有九家合格的輔導機構完成登錄作業，提供事業個資輔導服務。
事業完成內部管理體系建置後，便可向「臺灣個人資料保護與管理制度」提出驗證申請，驗證流程包括「書面審查」及「現場審查」二階段，事業通過驗證後，即具備使用「資料隱私保護標章」（dp.mark）的資格。目前國內已有統一超商、全家、博客來、樂天、亞東、康迅數位及欣亞等七家業者通過TPIPAS驗證並取得dp.mark，透過導入個資管理制度，強化消費者隱私資料的維護。
參、事件評析
「臺灣個人資料保護與管理制度」(TPIPAS)是以國內新版個人資料保護法內容為基礎，並參考國際組織對個人資料保護的最新要求，以及主要國家個資管理制度的推動經驗，所建立的專業個人資料管理制度。TPIPAS配合產業個人資料保護實務需求，將專業的法律要件轉化為內部個資管理流程，可有效協助產業建立完善妥適的個人資料管理制度，符合個資法規要求。在新版個人資料保護法上路之際，導入TPIPAS取得dp.mark，不啻是企業降低個資法風險，提升內部個人資料管理能力的最佳策略。
郭戎晉
副主任兼應研組組長 編譯整理
簡介美國營業秘密民事訴訟發展趨勢：以審前訴答階段（pleading）為中心 資訊工業策進會科技法律研究所 2023年02月16日 壹、前言 近年來，營業秘密侵害事件頻傳，我國企業除在國內提起訴訟外，美國亦為我國企業提起營業秘密訴訟的主要戰場之一[1]。美國於2016年通過《保護營業秘密法》（Defend Trade Secrets Act of 2016, 以下簡稱DTSA），營業秘密所有人可向聯邦法院尋求民事救濟，聯邦法院受理的案件量逐年增加。而美國民事訴訟中對審前程序訴答階段（pleading）的要求[2]，自美國聯邦最高法院2007年Bell Atlantic Corp. v. Twombly[3]（以下簡稱Twombly案）及2009年Ashcraft v. Iqbal[4]（以下簡稱Iqbal案）兩案後趨於嚴格。 近年來聯邦法院的營業秘密判決趨勢顯示，當事人起訴時若未充分說明營業秘密侵害之相關事實[5]，很有可能於訴答階段被法院駁回。因此，營業秘密所有人於訴答階段應針對營業秘密侵害事實說明到何種程度，以滿足Twombly、Iqbal兩案建立之合理可信標準（plausibility standards)，近期也受到廣泛討論。 而2022年8月美國紐約東區聯邦地方法院（E.D.N.Y）在Core SWX, LLC v. Vitec Group, Inc.[6]一案（以下簡稱Core案）中，對於營業秘密案件在訴答階段的要求有較詳細的論述[7]，因此本文以下將簡要介紹本案，以提供我國企業參考。 貳、美國民事訴訟審前訴答階段標準簡介 美國聯邦民事訴訟規則（Federal Rules of Civil Procedure, FRCP） 8（a）（2）規定，原告必須於訴狀中針對其有權獲得救濟簡要陳述[8]；同法12（b）（6）規定被告得以原告訴狀中之說明不足以判定原告有權獲得救濟為由，聲請法院駁回[9]。美國聯邦最高法院於1957年Conley v. Gibson[10]一案確立了通知訴答（notice pleading）標準，此標準對於原告陳述門檻要求較低，亦即原告不必詳細陳述其有權獲得救濟所依據之具體事實，僅需簡要陳述讓對造瞭解請求之依據；除非原告主張之事實明顯無法（beyond doubt）支持其請求時，法院才會駁回起訴。 50多年後，聯邦最高法院於2007年Bell Atlantic Corp. v. Twombly案[11]中改變了見解，改採合理可信標準，此標準較為嚴格，亦即原告雖不用於訴答階段中揭露營業秘密的內容，但原告有義務提出其有權獲得救濟的根據，不能僅提出結論式的主張，亦不能僅是公式化地列出法律構成要件，原告提出之事實主張必須足以使其有權獲得救濟高於推測的程度（Factual allegations must be enough to raise a right to relief above the speculative level）[12]。其後，最高法院於2009年Ashcroft v. Iqbal 一案中[13]，對此標準進一步闡釋，指出合理可信（plausibility）是介於可能性（possibility） 和蓋然性（probability）間的標準，原告於訴答階段提出之事實說明雖不用詳細，但應充分，在假設事實為真的前提下，使法院可以合理地推論被告需要為該行為負責；法院並指出此項標準適用於所有的聯邦民事案件。 參、Core案簡介 一、案例事實 本案原告Core SWX（以下簡稱Core公司）是美國電池、充電器的大廠，專門生產電影、專業影像、無人機等充電設備，其執行長為Ross Kanarek（以下簡稱Kanarek）、合夥人為Randolph Todd（以下簡稱Todd）。 被告Vitec Group（以下簡稱Vitec集團）[14]是影像擷取軟硬體的全球知名廠商，其產品包含影片設備、數位相機產品的配件電池，Vitec集團的電池產品以Anton/Bauer作為行銷品牌，在電影相關設備中具有相當高的市占率。 被告Vitec集團於2018年年初與原告Core公司洽談收購事宜，並持續有進展[15]，但Vitec集團（VGUSH）於2019年7月以email通知Core公司終止收購事宜[16]。 在上述雙方洽談收購的期間內，Vitec集團（VPS）旗下品牌Anton/Bauer 也於2019年初開始進行兩個開發專案，分別是針對微型電池（micro battery）和Cine VCLX電池（一種便於攜帶的高功率電池）。而Anton/Bauer當時的產品經理是一名在Vitec集團（VPS）任職近30年的資深員工Joseph Teodosio（以下簡稱Teodosio），因職務關係能接觸（access）到上述兩個新專案相關的機密資訊。 Core公司於2019年年中開始與Teodosio私下進行會議，Teodosio並陸續將Anton/Bauer的機密資訊提供給Core公司。其後，Teodosio於2020年1月離職轉任Core公司的首席技術長，Core公司並於2020年春季，重啟了停產的微型電池專案，並推出了新的微型電池產品，接著於2020年秋季推出功能和操作相當類似於Cine VCLX電池的產品，上述兩項產品皆為Anton/Bauer的競爭性產品[17]。 資料來源：作者自繪 圖1 本案相關重要時點 然而，Core公司於 2021年3月率先對Vitec集團提起訴訟，主張Vitec集團構成商標侵權、商業表徵侵權（trademark dress infringement）、不公平競爭、違反契約等。本案被告Vitec集團亦對Core公司提起反訴[18]，主張Teodosio盜用了Anton/Bauer的機密資訊，並提供給Core公司，侵害Vitec集團的營業秘密。Core公司向法院聲請駁回（motion to dismiss）被告Vitec提起之反訴，主張Vitec集團未充分說明營業秘密存在及盜用行為等；最終，法院駁回Vitec集團提起之反訴。本文以下將聚焦於Vitec集團於反訴中主張Core公司侵害其營業秘密的相關爭點。 資料來源：作者自繪 圖2 本案訴訟關係簡圖 二、本案爭點 本案關於侵害營業秘密的討論主要聚焦以下三個爭點，以下分述之： （一）爭點一：Vitec集團是否於反訴中充分說明（sufficiently plead）營業秘密存在？ 1.判斷營業秘密是否存在的要件 首先，聯邦法院通常依以下6個要件來判斷系爭營業秘密是否存在[19]： （1）系爭資訊被外界知悉的程度； （2）企業內部員工與相關人員對系爭資訊知悉的程度； （3）企業對保護系爭資訊之秘密性所採取的保護措施； （4）系爭資訊對於企業及其競爭對手的價值性高低； （5）企業在開發系爭資訊所投入的精力和金錢； （6）他人正當取得或複製系爭資訊的難易度。 2.當事人主張[20] （1）Vitec集團於反訴中主張其離職員工Teodosio提供給Core公司，關於Anton/Bauer微型電池、Cine VCLX電池兩項產品的「產品設計」、「行銷戰略」等內容，屬於其機密資訊。Core公司抗辯Vitec集團的主張過於模糊，無法讓Core公司瞭解其所指控被盜用的營業秘密為何。 （2）Vitec集團則回應，其於訴狀中說明系爭機密資訊之類別（即上述兩項關鍵電池產品的「產品設計」和「行銷戰略」），已滿足合理可信標準。 3.法院判斷 法院指出，Vitec集團於訴狀中的說明，僅是對機密資訊所屬之一般類別（general categories of confidential information）的描述，未滿足合理可信標準。如第二巡迴法院的相關判決指出，當事人在訴答階段中主張被盜用之營業秘密為商業增長措施（growth initiative）、臨床方法、分析工具/程式、資料配置協定（data configuration protocols）、資料詮釋方法（data interpretation）、對潛在客戶廣告行銷的方法等，多認為這類說明僅是對於機密資訊/營業秘密的一般類別描述，未滿足合理可信標準[21]。 相對地，在其他判決中，法院認為當事人若能於訴答階段進一步說明，特定出營業秘密的輪廓，即可滿足合理可信標準，例如[22]： 1.當事人主張被盜用之營業秘密是BTW50品牌股價分析指數（BrandTransact 50 Index）的底層演算法。 2.當事人主張被盜用之營業秘密為零延遲傳輸軟體（zero-latency transmission software）的原始碼。 3.當事人主張被盜用之營業秘密包含客戶名單、客戶偏好、契約細節、專家名單和績效標準等，並進一步指出包含這些機密資訊的檔案和文件，如關於當事人履約能力說明的一份PowerPoint、兩位客戶的契約、一份續約建議書等。 本案法院認為，Vitec集團於反訴中僅說明了被盜用之營業秘密是微型電池、Cine VCLX電池產品的「產品設計」和「行銷戰略」，未指出哪些檔案包含了這些機密資訊，亦未說明這些機密資訊與整個電池產品中的哪個部分或功能具有關聯性，因此法院認為Vitec集團於反訴中的事實說明不夠充分，無法滿足合理可信標準[23]。 （二）爭點二： Vitec集團是否於訴答階段充分說明合理保護措施？ 1.當事人主張[24] Core公司主張Vitec集團未充分說明其所稱「安全」之電子系統為何，故聲請法院駁回反訴。Vitec集團則主張已具體說明合理保密措施，包含系爭機密資訊：（i）未與公司外部分享；（ii）儲存在安全的電子系統中；（iii） 僅限專案人員有接觸（access）權限；且Teodosio知道系爭資訊具有機密性。 2.法院判斷[25] （1）Vitec集團未於訴答階段中充分說明前員工Teodosio如何知道系爭資訊的機密性質，譬如Vitec集團（VPS）在公司的員工手冊是否有說明這些資訊之機密性質，或透過其他方式提醒員工這些資訊的機密性質；此外，Vitec集團亦未說明是否與Teodosio簽署任何形式的保密協議。 （2）Vitec集團僅攏統地說明這些資訊是儲存在「安全」的電子系統，但未充分說明這些資訊是否有加密、透過密碼保護、限制未經授權的使用、是否有追蹤人員不當傳送行為等。 （三）爭點三：Vitec集團是否於訴答階段充分說明Core公司的盜用行為？ 1.當事人主張[26] Core公司主張Vitec集團未說明Teodosio 盜用機密資訊的具體方式、將機密資訊提供給Core公司的日期和時間、何時發現Teodosio實施了這些行為等事實。而Vitec集團抗辯由於Teodosio以前長期擔任其產品經理，在任職期間能接觸到相關機密資訊，且Core公司私底下和Teodosio接觸並挖角以取得這些機密資訊，並在Vitec集團不知情的情況下使用。 2.法院判斷[27] 法院認為Vitec集團於訴狀中的事實主張過於模糊，屬於間接資訊（circumstantial datapoints），其未說明誰有權接觸系爭機密資訊、有多少人接觸過、這些資訊被接觸的方式等；此外，也未說明前員工Teodosio具體取得系爭機密資訊的方式。因此，法院認為無法滿足合理可信標準。 肆、結論 從本案可以瞭解，企業平時應落實營業秘密管理和重視證據保存。若我國企業在發生營業秘密侵害事件後，規劃在美國尋求民事救濟時，應留意於訴答階段雖不用揭露營業秘密的詳細內容，但應能清楚識別系爭機密資訊，並盡量於起訴狀中進一步說明爭營業秘密與特定產品、文件、檔案的關聯性，避免流於營業秘密一般類別的描述[28]。 同時，亦應於訴狀中具體節錄針對前述營業秘密所採取之合理保密措施，如簽訂保密協議、員工手冊中針對機密資訊之提醒、公司關於營業秘密的政策與落實情況（包含保留接觸系爭營業秘密之人員、內容、時間、方式、理由等紀錄）等[29]。此外，關於系爭營業秘密的經濟價值，也應該具體描述，避免泛泛地說明系爭機密資訊具有實際或潛在的經濟價值，或僅說明因系爭機密外洩將造成銷量損失、市場產品的混淆等[30]。針對營業秘密盜用行為，企業亦須具體提出行為人作了什麼而取得、揭露、使用系爭營業秘密；若有透過數位鑑識取證（forensic examination），其細節應加以說明[31]。 透過上述提醒，期能協助企業瞭解並預先準備，以滿足美國民事訴訟審前訴答階段中對於合理可信之要求，避免在訴答階段就被聯邦法院駁回，以有效捍衛企業之權利。 本文同步刊登於TIPS網站（https://www.tips.org.tw） [1]如近期我國知名機械公司控告其四名離職員工竊取公司之全自動精密輪刀裁斷機（Rotary Die Cutting, RDC）相關機密文件，私下與公司客戶進行交易，離職員工並於2021年4月成立競爭公司；該機械公司除在臺灣提起營業秘密訴訟外，並於2022年10月向美國麻州聯邦地方法院（D. Mass）提起訴訟。請參考智慧財產及商業法院111年度民暫字第3號民事裁定；Sysco Machinery Corp. v. Cymtek Solutions Inc. et al., No. 1:2022cv11806（D. Mass. filed October 21, 2022）. [2]所謂訴答階段，即當事人起訴和對造答辯，為美國民事訴訟審前程序（Pre-trial Procedures）之一環，審前程序包含訴答（Pleadings）、動議（Motions）、證據開示（Discovery）、審前會議（Pre-Trial Conferences）等。請參考How Courts Work：Pre-trial Procedures in Civil Cases, American Bar Association [ABA], https://www.americanbar.org/groups/public_education/resources/law_related_education_network/how_courts_work/cases_pretrial/ (last visited Feb. 01, 2023). [3]Bell Atlantic Corp. v. Twombly, 550 U.S. 544 (2007). [4]Ashcroft v. Iqbal, 556 U.S. 662 (2009). [5]當事人未能於起訴時充分說明相關事實的原因包含：（1）由於營業秘密的價值來自於其秘密性，營業秘密所有人顧慮於訴答階段揭露的過於詳細，將不小心使其喪失秘密性；（2）或由於營業秘密被盜用的關鍵事實通常掌握在被告手上，營業秘密所有人於起訴時所能掌握的資訊有限；（3）或營業秘密所有人於起訴前未詳加調查被盜用的相關事實，而欲於證據開示階段透過摸索證明（fishing expedition）拼湊出相關事證。Gabrielle Giombetti, Pleading Trade Secret Misappropriation Claims：There is a delicate balance between specificity and secrecy, https://www.americanbar.org/groups/litigation/committees/business-torts-unfair-competition/practice/2022/pleading-trade-secret-misappropriation-claims/ (last visited Feb. 2, 2023)；R. Mark Halligan, Plausibility: the gatekeeper role in trade secret misappropriation cases, https://www.reuters.com/legal/legalindustry/plausibility-gatekeeper-role-trade-secret-misappropriation-cases-2022-03-16/ (last visited Feb. 2, 2023). [6]本案於2022年7月14日由紐約東區聯邦地方法院的助理法官（Magistrate Judge）提出一份「報告及建議」（Report and Recommendation, R&R），建議駁回Vitec公司提起之反訴，經聯邦地方法院法官採用，並於2022年8月15日駁回Vitec公司提起之反訴。R&R內容請參考Core SWX, LLC v. Vitec Group, Inc., NO. 21-CV-1697 (JMA)(JMW), 2022 LEXIS 125198（E.D.N.Y July 14, 2022）；駁回訴訟的裁定請參考Core SWX, LLC v. Vitec Group, Inc., NO. 21-CV-1697 (JMA)(JMW) (E.D.N.Y Aug 15). [7]Shelby Garland, Fisher Phillips, A 5-Step Action Plan to Plead Your Trade Secrets Case: Dancing on the Head of a Pin with Possibility, Plausibility, and Probability (2022/09/30), https://www.fisherphillips.com/news-insights/5-step-action-plan-trade-secrets-case-possibility-plausibility-probability.html（last visited Dec. 30, 2022）. [8]Fed. R. Civ. P. 8(a)(2) (“a short and plain statement of the claim showing that the pleader is entitled to relief”). [9]Fed. R. Civ. P. 12(b)(6) (“failure to state a claim upon which relief can be granted”). [10]Conley v. Gibson, 355 U.S. 41,45-46 (1957). [11]Bell Atlantic Corp. v. Twombly, 550 U.S. 544, 555 (2007). [12]舉例而言，當事人於訴狀中僅概略地描述事實結論，或把法律要件抄一遍，就得出被告侵害其權利的結論；若採合理可信標準，當事人應就請求權的要件，逐一提出相應的事實主張。 [13]Ashcroft v. Iqbal, 556 U.S. 662, 678, 684 (2009). [14]本案被告包含（1）Vitec Group, PLC（Vitec集團之英國總公司，判決中簡稱Vitec）；（2）Vitec Group US Holdings, Inc.（Vitec集團之美國子公司，判決中簡稱VGUSH）；（3）Vitec Production Solutions, Inc.（Vitec集團之美國子公司，判決中簡稱VPS），雙方於訴訟初期協議撤回（stipulation of dismissal）對於上述（1）Vitec Group, PLC（Vitec）之起訴。本文以下為行文方便，於文章內文中統一以Vitec集團稱之，於必要處以括號註明為何者。 [15]由於雙方於收購期間簽訂之若干保密協議與本文以下要討論的營業秘密爭點無直接關係，故簡要說明如下：（1）2018年5月，Vitec集團（VPS）與原告Core公司簽署了雙向保密協議（Mutual Confidentiality Agreement）， Vitec集團（VGUSH及VPS）在洽談收購的期間因此能接觸Core公司的相關機密資訊，包含Core公司的開發計畫、產品製造方法、供應商資訊、市場策略、公司財務狀況、銷售預測等；（2）Vitec集團（Vitec英國總公司）與Core公司於2018年10月簽署了意向書（Letter of Intent），雙方同意未來將由Vitec集團（VGUSH）或其關係企業收購Core公司；（3）2019年4月，Core公司的老闆 Kanarek 和Todd兩人以Core公司所有人的身分（賣家）與Vitec集團（VGUSH）簽署了保密意向書（Confidential Letter of Intent），本份意向書獨立於前述2018年5月Core公司與Vitec集團（VPS）所簽訂之保密協議，內容為未經雙方事先書面同意，不得揭露本交易案的相關細節資訊，並重申2018 年 5月簽署之保密協議對雙方均具有約束力。Core SWX, LLC v. Vitec Group, Inc., NO. 21-CV-1697 (JMA)(JMW), 2022 LEXIS 125198（E.D.N.Y July 14, 2022）, supra note 6, at 3-4. [16]Id. at 4. [17]Id. at at 5-6. [18]被告Vitec集團於反訴中亦主張原告Core公司之老闆（Kanarekr及Todd）於起訴時提出雙方洽談收購過程中相關的機密資訊（如雙方洽談過程的機密通訊、VPS的專有資訊、交易細節等），已違反2019年4月簽署之保密意向書，故主張Core公司老闆（Kanarekr及Todd）違反契約。然本項爭點與下述營業秘密爭點無直接關係，礙於篇幅，本文僅簡要說明之。id. at 1-2, 33-37. [19]Id. at 11-12. [20]Id. at 12-13. [21]Id. at 14-16. [22]Id. at 16-21. [23]Id. at 20,21. [24]Id. at 21,23. [25]Id.at 23-24. [26]Id. at 28-29. [27]Id. at 31-32. [28]如同美國實務界律師指出，這兩者的差異事實上相當細微，但已經逐漸成為美國聯邦法院對於營業秘密民事案件的審理趨勢。Shelby Garland, supra note 7. [29]Id. [30]Core SWX, LLC v. Vitec Group, Inc, supra note 6, at 25-26. [31]Shelby Garland, supra note 7.
我國去識別化實務發展－「個人資料去識別化過程驗證要求及控制措施」我國關於個人資料去識別化實務發展 財團法人資訊工業策進會科技法律研究所 2019年6月4日 壹、我國關於個人資料去識別化實務發展歷程 我國關於個資去識別化實務發展，依據我國個資法第1條立法目的在個資之隱私保護與加值利用之間尋求平衡，實務上爭議在於達到合理利用目的之個資處理，參酌法務部103年11月17日法律字第10303513040號函說明「個人資料，運用各種技術予以去識別化，而依其呈現方式已無從直接或間接識別該特定個人者，即非屬個人資料，自非個資法之適用範圍」，在保護個人隱私之前提下，資料於必要時應進行去識別化操作，確保特定個人無論直接或間接皆無從被識別；還得參酌關於衛生福利部健保署資料庫案，健保署將其所保有之個人就醫健保資料，加密後提供予國衛院建立健保研究資料庫，引發當事人重大利益爭議，終審判決（最高行政法院106年判字第54號判決）被告（即今衛福部）勝訴，法院認為去識別化係以「完全切斷資料內容與特定主體間之連結線索」程度為判準，該案之資料收受者（本案中即為衛福部）掌握還原資料與主體間連結之能力，與健保署去識別化標準不符。但法院同時強調去識別化之功能與作用，在於確保社會大眾無法從資料內容輕易推知該資料所屬主體，並有提到關於再識別之風險評估，然而應採行何種標準，並未於法院判決明確說明。 我國政府為因應巨量資料應用潮流，推動個資合理利用，行政院以推動開放資料為目標，104年7月重大政策推動會議決議，請經濟部標檢局研析相關規範（如CNS 29191），邀請相關政府機關及驗證機構開會討論，確定「個人資料去識別化」驗證標準規範，並由財政部財政資訊中心率先進行去識別化驗證；並以我國與國際標準(ISO)調和之國家標準CNS 29100及CNS 29191，同時採用作為個資去識別化驗證標準。財政部財政資訊中心於104年11月完成導航案例，第二波示範案例則由內政部及衛生福利部（105年12月通過）接續辦理。 經濟部標準檢驗局目前不僅將ISO/IEC 29100:2011「資訊技術－安全技術－隱私權框架」(Information technology – Security techniques – Privacy framework)、ISO/IEC 29191:2012「資訊技術－安全技術－部分匿名及部分去連結鑑別之要求事項」(Information technology – Security techniques – Requirements for partially anonymous, partially unlinkable authentication)，轉換為國家標準CNS 29100及CNS 29191，並據此制訂「個人資料去識別化過程驗證要求及控制措施」，提供個資去識別化之隱私框架，使組織、技術及程序等各層面得整體應用隱私權保護，並於標準公報(107年第24期)徵求新標準之意見至今年2月，草案編號為1071013「資訊技術－安全技術－個人可識別資訊去識別化過程管理系統－要求事項」(Management systems of personal identifiable information deidentification processes – Requirements)，主要規定個資去識別化過程管理系統(personal information deidentification process management system, PIDIPMS)之要求事項，提供維護並改進個人資訊去識別化過程及良好實務作法之框架，並適用於所有擬管理其所建立之個資去識別化過程的組織。 貳、個人資料去識別化過程驗證要求及控制措施重點說明 由於前述說明之草案編號1071013去識別化國家標準仍在審議階段，因此以下以現行「個人資料去識別化過程驗證要求及控制措施」（以下簡稱控制措施）[1]說明。 去識別化係以個資整體生命週期為保護基礎，評估資料利用之風險，包括隱私權政策、隱私風險管理、隱私保護原則、去識別化過程、重新識別評鑑等程序，分別對應控制措施之五個章節[2]。控制措施旨在使組織能建立個資去識別化過程管理系統，以管理對其所控制之個人可識別資訊(personal identifiable information, PII)進行去識別化之過程。再就控制措施對應個人資料保護法（下稱個資法）說明如下：首先，組織應先確定去識別化需求為何，究係對「個資之蒐集或處理」或「為特定目的外之利用」（對應個資法第19條第1項第4、5款）接著，對應重點在於「適當安全維護措施」，依據個資法施行細則第12條第1項規定，公務機關或非公務機關為防止個資被竊取、竄改、毀損、滅失或洩漏，採取技術上及組織上之措施；而依據個資法施行細則第12條第2項規定，適當安全維護措施得包括11款事項，並以與所欲達成之個資保護目的間，具有適當比例為原則。以下簡要說明控制措施五大章節對應個資法： 一、隱私權政策 涉及PII處理之組織的高階管理階層，應依營運要求及相關法律與法規，建立隱私權政策，提供隱私權保護之管理指導方針及支持。對應個資法施行細則第12條第2項第5款適當安全維護措施事項「個人資料蒐集、處理及利用之內部管理程序」，即為涉及個資生命週期為保護基礎之管理程序，從蒐集、處理到利用為原則性規範，以建構個資去識別化過程管理系統。 二、PII隱私風險管理過程 組織應定期執行廣泛之PII風險管理活動並發展與其隱私保護有關的風險剖繪。直接對應規範即為個資法施行細則第12條第2項第3款「個人資料之風險評估及管理機制」。 三、PII之隱私權原則 組織蒐集、處理、利用PII應符合之11項原則，包含「同意及選擇原則」、「目的適法性及規定原則」、「蒐集限制原則」、「資料極小化原則」、「利用、保留及揭露限制」、「準確性及品質原則」、「公開、透通性及告知原則」、「個人參與及存取原則」、「可歸責性原則」、「資訊安全原則」，以及「隱私遵循原則」。以上原則涵蓋個資法施行細則第12條第2項之11款事項。 四、PII去識別化過程 組織應建立有效且周延之PII去識別化過程的治理結構、標準作業程序、非預期揭露備妥災難復原計畫，且組織之高階管理階層應監督及審查PII去識別化過程之治理的安排。個資法施行細則第17條所謂「無從識別特定當事人」定義，係指個資以代碼、匿名、隱藏部分資料或其他方式，無從辨識該特定個人者，組織於進行去識別化處理時，應依需求、風險評估等確認注意去識別化程度。 五、重新識別PII之要求 此章節為選驗項目，需具體依據組織去識別化需求，是否需要重新識別而決定是否適用；若選擇適用，則保留重新識別可能性，應回歸個資法規定保護個資。 參、小結 國際上目前無個資去識別化驗證標準及驗證作法可資遵循，因此現階段控制措施，係以個資整體生命週期為保護基礎，評估資料利用之風險，使組織能建立個資去識別化過程管理系統，以管理對其所控制之個人可識別資訊進行去識別化之過程，透過與個資法對照個資法施行細則第12條規定之安全維護措施之11款事項，內化為我國業者因應資料保護與資料去識別化管理制度。 控制措施預計於今年下半年發展為國家標準，遵循個資法與施行細則，以及CNS 29100、CNS 29191之國家標準，參照國際上相關指引與實務作法，於技術上建立驗證標準規範供產業遵循。由於國家標準無強制性，業者視需要評估導入，仍建議進行巨量資料應用等資料經濟創新業務，應重視處理個資之適法性，建立當事人得以信賴機制，將有助於產業資料應用之創新，並透過檢視資料利用目的之合理性與必要性，作為資料合理利用之判斷，是為去識別化治理之關鍵環節。 [1] 參酌財團法人電子檢驗中心，個人資料去識別化過程驗證，https://www.etc.org.tw/%E9%A9%97%E8%AD%89%E6%9C%8D%E5%8B%99/%E5%80%8B%E4%BA%BA%E8%B3%87%E6%96%99%E5%8E%BB%E8%AD%98%E5%88%A5%E5%8C%96%E9%81%8E%E7%A8%8B%E9%A9%97%E8%AD%89.aspx（最後瀏覽日：2019/6/4） 財團法人電子檢驗中心網站所公告之「個人資料去識別化過程自評表_v1」包含控制措施原則、要求事項與控制措施具體內容，該網站並未公告「個人資料去識別化過程驗證要求及控制措施」，故以下整理係以自評表為準。 [2] 分別為「隱私權政策」、「PII隱私風險管理過程」、「PII之隱私權原則」、「PII去識別化過程」、「重新識別PII之要求」。
德國通過電力市場發展法和能源轉型數位化法以因應下階段德國聯邦議會通過電力市場發展法(Gesetze zur Weiterentwicklung des Strommarktes)和能源轉型的數位化法(Gesetze zur zur Digitalisierung der Energiewende)。 本次新制定之電力市場法，是90年代後德國電力市場重大發展。目的在於調適電力市場，以配合當今德國快速成長的再生能源發電比例。為使電力供應繼續保持合理價格和電力供應可靠安全，在確認未來電力市場發展繼續朝向增加越來越多風力發電和太陽能發電之路線的同時，預先架構法制環境，為將來配合運用發電端的彈性、需求端彈性與電力儲存技術，確定電力市場發展方向和框架條件。在上述等規範之下，電力交易商有義務，亦即售電者應該設法建構自身電量儲備作為因應，在電網需要時饋入電網，為供電安全提供必要準備。另外在注重必要容量儲備上之投資外，亦強調電力批發市場上的自由定價原則，維持整體市場所需容量在均衡、平衡之穩定電力供應狀態。 另外，能源轉型數位化法則是使電力部門成為創新之有效制度工具。蓋其作為基礎建設，使新創業模式，例如藉由與消費者持有之再生能源發電設備之連結，發展出新商業獲利模式。修法核心內容係引入智慧量測系統，功能在於作為安全的通訊平台，使電力供應系統能夠配合能源轉型發揮最大功用。 最後，為配合巴黎協定後德國環境政策，在遏止溫室效應氣體的實施具體作為，電力市場法一部份重要內容在於暫時停止褐煤電力電廠發電運轉。配合電網安定的調度需求，僅在指定時間內，使其成為電力安全預備，並最終不再使用褐煤發電，以實現到2020年德國在電力部門的氣候目標。 德國完成電力市場法，結束由“綠皮書”和“白皮書”開始的進程，與鄰國經過廣泛的公眾諮詢和協調會議之後，最終選擇電力市場2.0與市場自由定價的機制，而反對所謂的容量市場。決定性的因素在於，如此一來政策所需花費的成本較另一選項來得低，且更容易使德國融入歐洲電力單一市場架構。依據本法新創建的容量儲備，將與電力市場中其他電力嚴格區分，專門作為應對突發事件額外的安全網。 在「區域合作聯合聲明」中，德國經濟與能源部長於2015年6月8日與11鄰國商討後決定，保證在電力短缺和高電價時，德國側將提供電力的自由定價和跨境交易，如此一來可用更低成本以生產電力，德國和周邊國家的內部單一市場在此看到了巨大的經濟優勢。 與歐洲各國相較，德國在電力供應安全議題上處於領先地位。再加上新的電力市場法，預計未來幾年電力市場能夠達到持續健全發展之目標。
什麼是「先進製造夥伴2.0」（Advanced Manufacturing Partnership 2.0, AMP2.0）？為重塑美國先進製造技術領導地位，發展創新研發與就業，美國總統歐巴馬陸續啟動先進製造國家戰略計畫、先進製造夥伴計畫（Advanced Manufacturing Partnership, AMP）與國家製造創新網絡（National Network of Manufacturing Innovation, NNMI）等框架計畫，並於2014年10月由美國總統執行辦公室和科技顧問委員會發布「先進製造夥伴2.0」（Advanced Manufacturing Partnership 2.0, AMP2.0）。 其中新版的先進製造夥伴計畫，除續行原先之計畫目標，例如：對於「研發技術政策形成」、「區域創新機構」與「全國製造創新網絡」等要項外，「先進製造夥伴2.0」框架強調「製造業資源如何有效匯集」，另透過「組織角度設計」、「法制環境建構」與「商業化運用促進」等面向提出具體執行建議。