雲端時代資料保險機制之解析
雲端時代資料保險機制之解析
科技法律研究所
2013年12月05日
壹、前言
資訊時代，資訊應用所帶來的風險幾乎無可迴避，且往往帶來莫大衝擊；尤其在網路應用普及之後，大量資料透過網路傳輸、流通而暴露於資訊安全的風險當中，縱有再有高層級的防護，也無法使資料受損或漏失的風險機率降至零，因此有論者以為，對於無法藉由資訊安全措施加以避免的「殘餘風險」（Residual Risk），應由「保險機制」予以移轉。本研究特探討本議題，以呼應目前日益進展的保險產品發展趨勢。
此類的保險機制，一般稱為資料保險，專門填補網路應用所造成的風險，諸如網路安全（Network security）之欠缺所造成的損失，或者隱私（Privacy）被害所造成的損失。依據產業觀察者意見，此類保險產品的市場正有逐漸擴張的趨勢，尤其是對於健康照護服務（Health care）以及中小型的業者而言，此類保險對於風險管理服務可以發揮長足的作用，其能夠填補資料被害的通知成本、信用監控以及加強資料防護的成本[1]。
本文以雲端運算應用的興起為背景，觀察相應保險機制的演進及發展；以及其對於產業發展而言，為何被視為不可或缺的配套機制，進一步檢視我國推動資料保險的可行性與條件。
貳、資料保險機制的發展
一、資料保險的種類
用來填補資料受害之損害的保險，一般被稱為「資料保險」，尚可見以「網路保險」或「隱私保險」稱之。與其直接定義何謂「資料保險」，不如分析此保險的涵蓋範圍。此類保險早在十幾年前出現，當時其保險範圍，是填補資料被害所引發的損害賠償責任[2]。
財產保險可分成兩大類型，一類是一般的財產損害，即保險事故發生導致被保險人的財產減損或喪失，承保此類財產損失之保險，即英美法系所稱之「第一方保險」（First-party coverage）。另一類則是責任保險，即保險事故發生導致被保險人應負擔法律上責任或契約上損害賠償責任，承保因被保險人應負擔責任之財產損失，即所稱之「第三方保險」（Third-party coverage）。
在資料應用環境中，因資料受害導致損害大抵可依上述區分。當遭遇網路犯罪的損害、毀壞（Destroys）或是剝奪被保險人對於資料的使用權限，則屬於第一方財產損失。另一方面，當被保險人所保護、監管（Custody）或控制的第三人資料或資訊，遭遇網路犯罪損害、毀壞或竊取時，將使被保險人必須承受對第三方負擔損害賠償責任、並支付相關費用，此屬於第三方財產損失，例如入侵資訊系統而竊取信用卡資訊、受保護的個人資料、及銀行的帳戶號碼，又如妨礙有合法權限的第三人近用系統，以及違反法規所要求而未向第三人通知資料侵害等…[3]。
二、資料受害所致損害是否得請求保險賠償過往有很大爭議
傳統的財產保險，由於未指明承保因資料被害所致損失，往往會在被保險人因資料被害導致財產損失而請求保險賠償時，發生很大的爭議。主要的原因是，傳統的財產保險其設計原則，是以被保險人對於有形財產的「保險利益」作為「保險標的」，並以有形財產受損來估算保險損害，並未考量到資料等無形財產。因此，起因於資料或類似形態的程式、軟體之缺損所致的損害，是否可能在傳統財產的保險範圍內，頗有疑義，且司法實務上的意見相當分歧，茲整理如下。
（一）有利於被保險人的實務見解
在America Guarantee & Liability Insurance Co. v. Ingram-Micro[4].中，Ingram-Micro因幾分鐘的電力中斷，導致電腦資產與資料的喪失而嚴重影響正常的業務運作，遂依業務中斷保險(Business-interruption insurance）請求保險賠償，但遭受保險公司拒絕，保險公司提起訴訟並宣稱承保範圍未包含電腦與其他資產。地方法院認為，被保險人客製軟體程式的喪失，構成「具體損害」，具體損害不限於電腦迴路的被有形損毀或傷害，也會包含無法近用（Loss of access）、無法使用（Loss of use）以及功能喪失。
另一案Lambrecht & Associates, Inc. v. State Farm Lloyds[5]，保險公司認為電腦病毒感染所造成的損失，非有形損失，因而拒絕保險給付。法院認為，本案之電腦系統以及儲存的資料皆因病毒感染而毀壞、被置換（Replaced），此種結果，等於電腦系統完全無法接收、發送或回復任何形態的資訊，而完全失去作為電腦系統的效用；因此未接受保險公司的主張。
近期一例為責任保險爭議。Retail Ventures, Inc. v. Nat'l Union Fire Ins. Co.[6]中，Retail Venture是DSW鞋子盤商，2005年時它的電腦系統遭駭客入侵，共有百萬筆的客戶資料遭不當下載且許多資料夾也被翻閱過。由於DSW向Nat'l Union購買商業竊盜險，在其承保項目中包括電腦與資金移轉詐欺（Computer & Fund transfer fraud coverage），DSW遂向保險公司請求保險賠償，主張此次駭客入侵所造成的損失有530萬元之多，但保險公司拒絕給付賠償金。於是DSW對保險公司提起訴訟，地方法院認定保險公司應支付保險賠償，保險公司不服，提起上訴至巡迴法院，巡迴法院認為，條款規定雖是限於該損失是由保險事故「直接造成」（Resulting directly from），但這不代表該保險事故必須是造成損失的「唯一」（Solely）與「立即」（Immediately）的原因[7]，因此維持地方法院的判決。
（二）有利於保險人的實務見解
在America Online, Inc. v. St. Paul Mercury Insurance Co.中，由於America Online（AOL）所生產的網路接取軟體AOL 5.0據稱會毀壞用戶的電腦系統，因而被客戶訴訟求償，AOL依責任保險內容，轉而請求保險公司應替其進行訴訟防禦，遭保險公司拒絕。為此，AOL對保險公司提起訴訟，法院遂檢視保險契約中是否載明保險公司有進行訴訟防禦的義務。契約中將情境限於「有形」財產損失，法院解釋，從字義上一般不會認為電腦資料、軟體及系統是「有形」財產，因為有形財產應是指可以觸摸（Be touched），但電腦資料、軟體及系統無法被感官感知，因此是無形財產。此外契約中亦有「功能降低除外條款」，意即，不良品或者危險產品所造成的損害非有形，故被排除在承保範圍內。法院據此否認AOL的主張[8]。
三、「新」資料保險產品應運而生
從上述實務案例的觀察，作成不利於被保險人判決結果的法院，是直接認定電腦資料、軟體與系統為無形財產。反之，作成有利於被保險人判決結果的法院，是將「資料」（程式或軟體）與「電腦系統」合為觀之，而認定電腦系統為有形財產，把電腦系統無法發揮正常作用視為具體損害。即使判決結果可能有利於被保險人，但是解釋方式卻較為迂迴，也顯得被保險人相當艱辛。
參、外國資料保險機制之發展實例與推動
雲端運算發展日益普遍日後，可以透過網際網路提供資訊服務（例如儲存空間、應用程式等），「資料」已然不附載在特定或固定的載體（電腦系統）上。因應整體資訊應用形態的轉變，國內外市場上逐漸有相關資料保險產品推出的案例。
一、實例
第一個例子，MSPAlliance是一個資源管理服務業者暨認證聯盟，於2013年4月與保險經紀公司Lockton 合作，設計「雲端暨管理服務」保險(Cloud and Managed Services Insurance)，讓其聯盟會員提供資訊服務時得以購買此保險；承保項目包括因網路攻擊、資料滅失或系統故障而導致應負擔損害賠償責任，以及因技術錯誤或無法作用（Tech Errors & Omissions）所導致的損害賠償責任，亦包含在內。至於被保險人的資格要求，則限定是聯盟會員，且必須通過Unified Certification Standard (UCS)驗證。事實上，要求被保險人取得一定的驗證，是保險風險管理很重要的ㄧ環。
第二個例子，雲端保險服務平台Cloudinsure於2013年2月宣布與保險經紀公司Lockton合作，擬設計適於雲端環境的隱私與安全責任保險方案。其保險產品內容主要在確保雲端服務提供者可履行在契約、或服務水準協議（Service Level Agreements）中的承諾，再者也能依據其客戶存放於雲端環境之資料的風險層級，給予金錢防護。
第三個例子，與前兩例不同，是針對一般的資訊服務使用者來設計。保險經紀公司達信（Marsh）於2012年6月針對雲端環境的企業使用者，開發新的保險方案CloudProtect。被保險人是採用雲端服務的中小型企業，承保項目包括：因雲端服務中斷所致的營運收入損失（Loss of income）、因採購新的雲端服務提供者所產生的相關費用支出、因資料轉換至新的雲端服務所產生的相關費用支出。
二、政府的參與及投入推動
美國的國家技術標準局（Institute of Standards and Technology, NIST）在規劃新網路時代藍圖時，把持續促進資料「保險」（Cyber Insurance），列為關鍵的一角。從這個角度而言，保險不僅具有轉移風險與填補損害的功能，更具有正面積極的意義，可作為新興技術發展的後盾。對於NIST這樣的主張，美國保險人協會（American Insurance Association）也予以呼應，認為針對網路應用環境而持續開發各種保險產品，是勢在必行的方向。
(一)政策推導
美國證券交易委員會指引（2011年），建議公司若為因應資安風險而購買保險產品，應列入資訊揭露範圍。此被認為是間接鼓勵企業購買相關保險產品的具體措施之一。
(二)政府機關作為被保險人購買資料保險之例
美國有以政府機關名義購買資料相關保險之例，蒙大拿（Montana State Government）購買「網路資料安全保險」（Cyber/Data Information Security Insurance），為期一年（2012年7月1日至2013年7月1日），保險項目包括：資訊安全責任（每次事故保險賠償上限200萬美元）、行政罰款（每次事故保險賠償上限200萬美元）、損害通知支出（每次事故保險賠償上限100萬美元）、網站媒體披露支出（每次事故保險賠償上限200萬美元）、每次保險事故發生以200萬美元為總保險賠償限額。此案之保險業者為Beazley，保險經紀人為Alliant Insurance Services。值得特別注意的是，保險項目當中包含損害通知支出，此是呼應了美國相關法令要求業者必須於獲悉資安事故時踐行通知相關的資料主體。
資安事故的確實可能使政府機關蒙受莫大損失，美國南卡羅萊納州稅務局（South Carolina Department of Revenue）2012年發生駭客攻擊事件，州政府花費約2000萬美元收拾殘局，其中1200萬美元用來作為市民身份被竊後的信用活動監控，其他則用來發送被害通知、資安強化措施、及建立數位鑑識團隊、資安顧問。
肆、結論－我國推動相關資料保險機制可行性之總合評析
現階段我國相關保險市場的現況，為因應我國個人資料保護法的通過與正式實施，也有推出資料相關保險產品，目標客群為企業，以協助企業因應觸及個人資料可能產生對他人的損害賠償責任、及填補其他附帶損害為主要訴求。至於，針對業者（被保險人）因提供資訊服務過程中的資料被害、毀損滅失所導致營業損失（營運中斷、負擔契約上損害賠償責任）之損害填補，似尚未有相關保險產品推出。考其原因，是保險業者對於此種因無形財產（資料）所導致損害的保險賠償模式，尚未累積足夠的經驗，也缺乏相關精算數據的掌握，因而不敢貿然承作，另一方面，保險業者本身也擔憂無足夠資力因應大規模的保險事故。
對此現象，我國主責資訊服務產業推動的有關政府部門，也思及政府投入參與資料保險機制，例如推動以機關為被保險人而購買相關的資料保險，藉以活絡資料保險市場；此種構想，在法律層面並無疑義，此乃保險賠償與國家賠償機制雖有各自目的，但未有所衝突[9]。然而，實際操作上，必須考量政府機關資訊系統是否能通過保險業者的保險風險查核、是否有足夠的預算足以支付保險費用、以及決策單位是否能有效與資訊業務單位溝通以評估購買此類保險的需求...等諸多問題。
事實上，我國相關資料保險市場要邁向成熟發展，尚待多方努力，除保險業者本身規劃並提出合適的保險產品之外，參酌國外經驗，保險經紀公司也能扮演一定角色，可針對客戶需求量身訂作風險評鑑、研提最符合的保險方案，並藉客戶共同需求而匯聚保險風險共同團體。政府所扮演之角色，除直接以政策推導之外，尚能在若干條件齊備之後實際參與保險機制，其後續方向值得關注。
[1]Collin J. Hite, Top lawyers on trends and key strategies for the upcoming year the ever-changing scope of insurance law, Aspatore Feb. 2013.
[2]http://www.computerweekly.com/news/2240202703/An-introduction-to-cyber-liability-insurance-cover (last visited at Oct. 24, 2013)
[3]Jack Montgomery, Cybercrime losses and insurance for property damage and third-party claims, Maine Bar Journal, Summer 2012, p. 159.
[4]Civ. 99-185 TUC ACM, 2000 U.S. Dist. Lexis 7299 (D. Ariz., April 19, 2000).
[5]Lambrecht & Associates, Inc. v. State Farm Lloyds, 119 S.W.3d 16, 25 (Tex. App. 2003).
[6]Retail Ventures, Inc. v. Nat'l Union Fire Ins. Co. of Pittsburgh, Pa., 691 F.3d 821 (6th Cir. 2012).
[7]Retail Ventures, Inc. v. Nat'l Union Fire Ins. Co. of Pittsburgh, Pa., 691 F.3d 821 (6th Cir. 2012), p.13.
[8]America Online, Inc. v. St. Paul Mercury Ins. Co., 207 F. Supp. 2d 459 - Dist. Court, ED Virginia 2002, P.461-462.
[9]請參考96年法務部法律字第0960003420號函。
本文為「經濟部產業技術司科技專案成果」
簡介美國營業秘密民事訴訟發展趨勢：以審前訴答階段（pleading）為中心 資訊工業策進會科技法律研究所 2023年02月16日 壹、前言 近年來，營業秘密侵害事件頻傳，我國企業除在國內提起訴訟外，美國亦為我國企業提起營業秘密訴訟的主要戰場之一[1]。美國於2016年通過《保護營業秘密法》（Defend Trade Secrets Act of 2016, 以下簡稱DTSA），營業秘密所有人可向聯邦法院尋求民事救濟，聯邦法院受理的案件量逐年增加。而美國民事訴訟中對審前程序訴答階段（pleading）的要求[2]，自美國聯邦最高法院2007年Bell Atlantic Corp. v. Twombly[3]（以下簡稱Twombly案）及2009年Ashcraft v. Iqbal[4]（以下簡稱Iqbal案）兩案後趨於嚴格。 近年來聯邦法院的營業秘密判決趨勢顯示，當事人起訴時若未充分說明營業秘密侵害之相關事實[5]，很有可能於訴答階段被法院駁回。因此，營業秘密所有人於訴答階段應針對營業秘密侵害事實說明到何種程度，以滿足Twombly、Iqbal兩案建立之合理可信標準（plausibility standards)，近期也受到廣泛討論。 而2022年8月美國紐約東區聯邦地方法院（E.D.N.Y）在Core SWX, LLC v. Vitec Group, Inc.[6]一案（以下簡稱Core案）中，對於營業秘密案件在訴答階段的要求有較詳細的論述[7]，因此本文以下將簡要介紹本案，以提供我國企業參考。 貳、美國民事訴訟審前訴答階段標準簡介 美國聯邦民事訴訟規則（Federal Rules of Civil Procedure, FRCP） 8（a）（2）規定，原告必須於訴狀中針對其有權獲得救濟簡要陳述[8]；同法12（b）（6）規定被告得以原告訴狀中之說明不足以判定原告有權獲得救濟為由，聲請法院駁回[9]。美國聯邦最高法院於1957年Conley v. Gibson[10]一案確立了通知訴答（notice pleading）標準，此標準對於原告陳述門檻要求較低，亦即原告不必詳細陳述其有權獲得救濟所依據之具體事實，僅需簡要陳述讓對造瞭解請求之依據；除非原告主張之事實明顯無法（beyond doubt）支持其請求時，法院才會駁回起訴。 50多年後，聯邦最高法院於2007年Bell Atlantic Corp. v. Twombly案[11]中改變了見解，改採合理可信標準，此標準較為嚴格，亦即原告雖不用於訴答階段中揭露營業秘密的內容，但原告有義務提出其有權獲得救濟的根據，不能僅提出結論式的主張，亦不能僅是公式化地列出法律構成要件，原告提出之事實主張必須足以使其有權獲得救濟高於推測的程度（Factual allegations must be enough to raise a right to relief above the speculative level）[12]。其後，最高法院於2009年Ashcroft v. Iqbal 一案中[13]，對此標準進一步闡釋，指出合理可信（plausibility）是介於可能性（possibility） 和蓋然性（probability）間的標準，原告於訴答階段提出之事實說明雖不用詳細，但應充分，在假設事實為真的前提下，使法院可以合理地推論被告需要為該行為負責；法院並指出此項標準適用於所有的聯邦民事案件。 參、Core案簡介 一、案例事實 本案原告Core SWX（以下簡稱Core公司）是美國電池、充電器的大廠，專門生產電影、專業影像、無人機等充電設備，其執行長為Ross Kanarek（以下簡稱Kanarek）、合夥人為Randolph Todd（以下簡稱Todd）。 被告Vitec Group（以下簡稱Vitec集團）[14]是影像擷取軟硬體的全球知名廠商，其產品包含影片設備、數位相機產品的配件電池，Vitec集團的電池產品以Anton/Bauer作為行銷品牌，在電影相關設備中具有相當高的市占率。 被告Vitec集團於2018年年初與原告Core公司洽談收購事宜，並持續有進展[15]，但Vitec集團（VGUSH）於2019年7月以email通知Core公司終止收購事宜[16]。 在上述雙方洽談收購的期間內，Vitec集團（VPS）旗下品牌Anton/Bauer 也於2019年初開始進行兩個開發專案，分別是針對微型電池（micro battery）和Cine VCLX電池（一種便於攜帶的高功率電池）。而Anton/Bauer當時的產品經理是一名在Vitec集團（VPS）任職近30年的資深員工Joseph Teodosio（以下簡稱Teodosio），因職務關係能接觸（access）到上述兩個新專案相關的機密資訊。 Core公司於2019年年中開始與Teodosio私下進行會議，Teodosio並陸續將Anton/Bauer的機密資訊提供給Core公司。其後，Teodosio於2020年1月離職轉任Core公司的首席技術長，Core公司並於2020年春季，重啟了停產的微型電池專案，並推出了新的微型電池產品，接著於2020年秋季推出功能和操作相當類似於Cine VCLX電池的產品，上述兩項產品皆為Anton/Bauer的競爭性產品[17]。 資料來源：作者自繪 圖1 本案相關重要時點 然而，Core公司於 2021年3月率先對Vitec集團提起訴訟，主張Vitec集團構成商標侵權、商業表徵侵權（trademark dress infringement）、不公平競爭、違反契約等。本案被告Vitec集團亦對Core公司提起反訴[18]，主張Teodosio盜用了Anton/Bauer的機密資訊，並提供給Core公司，侵害Vitec集團的營業秘密。Core公司向法院聲請駁回（motion to dismiss）被告Vitec提起之反訴，主張Vitec集團未充分說明營業秘密存在及盜用行為等；最終，法院駁回Vitec集團提起之反訴。本文以下將聚焦於Vitec集團於反訴中主張Core公司侵害其營業秘密的相關爭點。 資料來源：作者自繪 圖2 本案訴訟關係簡圖 二、本案爭點 本案關於侵害營業秘密的討論主要聚焦以下三個爭點，以下分述之： （一）爭點一：Vitec集團是否於反訴中充分說明（sufficiently plead）營業秘密存在？ 1.判斷營業秘密是否存在的要件 首先，聯邦法院通常依以下6個要件來判斷系爭營業秘密是否存在[19]： （1）系爭資訊被外界知悉的程度； （2）企業內部員工與相關人員對系爭資訊知悉的程度； （3）企業對保護系爭資訊之秘密性所採取的保護措施； （4）系爭資訊對於企業及其競爭對手的價值性高低； （5）企業在開發系爭資訊所投入的精力和金錢； （6）他人正當取得或複製系爭資訊的難易度。 2.當事人主張[20] （1）Vitec集團於反訴中主張其離職員工Teodosio提供給Core公司，關於Anton/Bauer微型電池、Cine VCLX電池兩項產品的「產品設計」、「行銷戰略」等內容，屬於其機密資訊。Core公司抗辯Vitec集團的主張過於模糊，無法讓Core公司瞭解其所指控被盜用的營業秘密為何。 （2）Vitec集團則回應，其於訴狀中說明系爭機密資訊之類別（即上述兩項關鍵電池產品的「產品設計」和「行銷戰略」），已滿足合理可信標準。 3.法院判斷 法院指出，Vitec集團於訴狀中的說明，僅是對機密資訊所屬之一般類別（general categories of confidential information）的描述，未滿足合理可信標準。如第二巡迴法院的相關判決指出，當事人在訴答階段中主張被盜用之營業秘密為商業增長措施（growth initiative）、臨床方法、分析工具/程式、資料配置協定（data configuration protocols）、資料詮釋方法（data interpretation）、對潛在客戶廣告行銷的方法等，多認為這類說明僅是對於機密資訊/營業秘密的一般類別描述，未滿足合理可信標準[21]。 相對地，在其他判決中，法院認為當事人若能於訴答階段進一步說明，特定出營業秘密的輪廓，即可滿足合理可信標準，例如[22]： 1.當事人主張被盜用之營業秘密是BTW50品牌股價分析指數（BrandTransact 50 Index）的底層演算法。 2.當事人主張被盜用之營業秘密為零延遲傳輸軟體（zero-latency transmission software）的原始碼。 3.當事人主張被盜用之營業秘密包含客戶名單、客戶偏好、契約細節、專家名單和績效標準等，並進一步指出包含這些機密資訊的檔案和文件，如關於當事人履約能力說明的一份PowerPoint、兩位客戶的契約、一份續約建議書等。 本案法院認為，Vitec集團於反訴中僅說明了被盜用之營業秘密是微型電池、Cine VCLX電池產品的「產品設計」和「行銷戰略」，未指出哪些檔案包含了這些機密資訊，亦未說明這些機密資訊與整個電池產品中的哪個部分或功能具有關聯性，因此法院認為Vitec集團於反訴中的事實說明不夠充分，無法滿足合理可信標準[23]。 （二）爭點二： Vitec集團是否於訴答階段充分說明合理保護措施？ 1.當事人主張[24] Core公司主張Vitec集團未充分說明其所稱「安全」之電子系統為何，故聲請法院駁回反訴。Vitec集團則主張已具體說明合理保密措施，包含系爭機密資訊：（i）未與公司外部分享；（ii）儲存在安全的電子系統中；（iii） 僅限專案人員有接觸（access）權限；且Teodosio知道系爭資訊具有機密性。 2.法院判斷[25] （1）Vitec集團未於訴答階段中充分說明前員工Teodosio如何知道系爭資訊的機密性質，譬如Vitec集團（VPS）在公司的員工手冊是否有說明這些資訊之機密性質，或透過其他方式提醒員工這些資訊的機密性質；此外，Vitec集團亦未說明是否與Teodosio簽署任何形式的保密協議。 （2）Vitec集團僅攏統地說明這些資訊是儲存在「安全」的電子系統，但未充分說明這些資訊是否有加密、透過密碼保護、限制未經授權的使用、是否有追蹤人員不當傳送行為等。 （三）爭點三：Vitec集團是否於訴答階段充分說明Core公司的盜用行為？ 1.當事人主張[26] Core公司主張Vitec集團未說明Teodosio 盜用機密資訊的具體方式、將機密資訊提供給Core公司的日期和時間、何時發現Teodosio實施了這些行為等事實。而Vitec集團抗辯由於Teodosio以前長期擔任其產品經理，在任職期間能接觸到相關機密資訊，且Core公司私底下和Teodosio接觸並挖角以取得這些機密資訊，並在Vitec集團不知情的情況下使用。 2.法院判斷[27] 法院認為Vitec集團於訴狀中的事實主張過於模糊，屬於間接資訊（circumstantial datapoints），其未說明誰有權接觸系爭機密資訊、有多少人接觸過、這些資訊被接觸的方式等；此外，也未說明前員工Teodosio具體取得系爭機密資訊的方式。因此，法院認為無法滿足合理可信標準。 肆、結論 從本案可以瞭解，企業平時應落實營業秘密管理和重視證據保存。若我國企業在發生營業秘密侵害事件後，規劃在美國尋求民事救濟時，應留意於訴答階段雖不用揭露營業秘密的詳細內容，但應能清楚識別系爭機密資訊，並盡量於起訴狀中進一步說明爭營業秘密與特定產品、文件、檔案的關聯性，避免流於營業秘密一般類別的描述[28]。 同時，亦應於訴狀中具體節錄針對前述營業秘密所採取之合理保密措施，如簽訂保密協議、員工手冊中針對機密資訊之提醒、公司關於營業秘密的政策與落實情況（包含保留接觸系爭營業秘密之人員、內容、時間、方式、理由等紀錄）等[29]。此外，關於系爭營業秘密的經濟價值，也應該具體描述，避免泛泛地說明系爭機密資訊具有實際或潛在的經濟價值，或僅說明因系爭機密外洩將造成銷量損失、市場產品的混淆等[30]。針對營業秘密盜用行為，企業亦須具體提出行為人作了什麼而取得、揭露、使用系爭營業秘密；若有透過數位鑑識取證（forensic examination），其細節應加以說明[31]。 透過上述提醒，期能協助企業瞭解並預先準備，以滿足美國民事訴訟審前訴答階段中對於合理可信之要求，避免在訴答階段就被聯邦法院駁回，以有效捍衛企業之權利。 本文同步刊登於TIPS網站（https://www.tips.org.tw） [1]如近期我國知名機械公司控告其四名離職員工竊取公司之全自動精密輪刀裁斷機（Rotary Die Cutting, RDC）相關機密文件，私下與公司客戶進行交易，離職員工並於2021年4月成立競爭公司；該機械公司除在臺灣提起營業秘密訴訟外，並於2022年10月向美國麻州聯邦地方法院（D. Mass）提起訴訟。請參考智慧財產及商業法院111年度民暫字第3號民事裁定；Sysco Machinery Corp. v. Cymtek Solutions Inc. et al., No. 1:2022cv11806（D. Mass. filed October 21, 2022）. [2]所謂訴答階段，即當事人起訴和對造答辯，為美國民事訴訟審前程序（Pre-trial Procedures）之一環，審前程序包含訴答（Pleadings）、動議（Motions）、證據開示（Discovery）、審前會議（Pre-Trial Conferences）等。請參考How Courts Work：Pre-trial Procedures in Civil Cases, American Bar Association [ABA], https://www.americanbar.org/groups/public_education/resources/law_related_education_network/how_courts_work/cases_pretrial/ (last visited Feb. 01, 2023). [3]Bell Atlantic Corp. v. Twombly, 550 U.S. 544 (2007). [4]Ashcroft v. Iqbal, 556 U.S. 662 (2009). [5]當事人未能於起訴時充分說明相關事實的原因包含：（1）由於營業秘密的價值來自於其秘密性，營業秘密所有人顧慮於訴答階段揭露的過於詳細，將不小心使其喪失秘密性；（2）或由於營業秘密被盜用的關鍵事實通常掌握在被告手上，營業秘密所有人於起訴時所能掌握的資訊有限；（3）或營業秘密所有人於起訴前未詳加調查被盜用的相關事實，而欲於證據開示階段透過摸索證明（fishing expedition）拼湊出相關事證。Gabrielle Giombetti, Pleading Trade Secret Misappropriation Claims：There is a delicate balance between specificity and secrecy, https://www.americanbar.org/groups/litigation/committees/business-torts-unfair-competition/practice/2022/pleading-trade-secret-misappropriation-claims/ (last visited Feb. 2, 2023)；R. Mark Halligan, Plausibility: the gatekeeper role in trade secret misappropriation cases, https://www.reuters.com/legal/legalindustry/plausibility-gatekeeper-role-trade-secret-misappropriation-cases-2022-03-16/ (last visited Feb. 2, 2023). [6]本案於2022年7月14日由紐約東區聯邦地方法院的助理法官（Magistrate Judge）提出一份「報告及建議」（Report and Recommendation, R&R），建議駁回Vitec公司提起之反訴，經聯邦地方法院法官採用，並於2022年8月15日駁回Vitec公司提起之反訴。R&R內容請參考Core SWX, LLC v. Vitec Group, Inc., NO. 21-CV-1697 (JMA)(JMW), 2022 LEXIS 125198（E.D.N.Y July 14, 2022）；駁回訴訟的裁定請參考Core SWX, LLC v. Vitec Group, Inc., NO. 21-CV-1697 (JMA)(JMW) (E.D.N.Y Aug 15). [7]Shelby Garland, Fisher Phillips, A 5-Step Action Plan to Plead Your Trade Secrets Case: Dancing on the Head of a Pin with Possibility, Plausibility, and Probability (2022/09/30), https://www.fisherphillips.com/news-insights/5-step-action-plan-trade-secrets-case-possibility-plausibility-probability.html（last visited Dec. 30, 2022）. [8]Fed. R. Civ. P. 8(a)(2) (“a short and plain statement of the claim showing that the pleader is entitled to relief”). [9]Fed. R. Civ. P. 12(b)(6) (“failure to state a claim upon which relief can be granted”). [10]Conley v. Gibson, 355 U.S. 41,45-46 (1957). [11]Bell Atlantic Corp. v. Twombly, 550 U.S. 544, 555 (2007). [12]舉例而言，當事人於訴狀中僅概略地描述事實結論，或把法律要件抄一遍，就得出被告侵害其權利的結論；若採合理可信標準，當事人應就請求權的要件，逐一提出相應的事實主張。 [13]Ashcroft v. Iqbal, 556 U.S. 662, 678, 684 (2009). [14]本案被告包含（1）Vitec Group, PLC（Vitec集團之英國總公司，判決中簡稱Vitec）；（2）Vitec Group US Holdings, Inc.（Vitec集團之美國子公司，判決中簡稱VGUSH）；（3）Vitec Production Solutions, Inc.（Vitec集團之美國子公司，判決中簡稱VPS），雙方於訴訟初期協議撤回（stipulation of dismissal）對於上述（1）Vitec Group, PLC（Vitec）之起訴。本文以下為行文方便，於文章內文中統一以Vitec集團稱之，於必要處以括號註明為何者。 [15]由於雙方於收購期間簽訂之若干保密協議與本文以下要討論的營業秘密爭點無直接關係，故簡要說明如下：（1）2018年5月，Vitec集團（VPS）與原告Core公司簽署了雙向保密協議（Mutual Confidentiality Agreement）， Vitec集團（VGUSH及VPS）在洽談收購的期間因此能接觸Core公司的相關機密資訊，包含Core公司的開發計畫、產品製造方法、供應商資訊、市場策略、公司財務狀況、銷售預測等；（2）Vitec集團（Vitec英國總公司）與Core公司於2018年10月簽署了意向書（Letter of Intent），雙方同意未來將由Vitec集團（VGUSH）或其關係企業收購Core公司；（3）2019年4月，Core公司的老闆 Kanarek 和Todd兩人以Core公司所有人的身分（賣家）與Vitec集團（VGUSH）簽署了保密意向書（Confidential Letter of Intent），本份意向書獨立於前述2018年5月Core公司與Vitec集團（VPS）所簽訂之保密協議，內容為未經雙方事先書面同意，不得揭露本交易案的相關細節資訊，並重申2018 年 5月簽署之保密協議對雙方均具有約束力。Core SWX, LLC v. Vitec Group, Inc., NO. 21-CV-1697 (JMA)(JMW), 2022 LEXIS 125198（E.D.N.Y July 14, 2022）, supra note 6, at 3-4. [16]Id. at 4. [17]Id. at at 5-6. [18]被告Vitec集團於反訴中亦主張原告Core公司之老闆（Kanarekr及Todd）於起訴時提出雙方洽談收購過程中相關的機密資訊（如雙方洽談過程的機密通訊、VPS的專有資訊、交易細節等），已違反2019年4月簽署之保密意向書，故主張Core公司老闆（Kanarekr及Todd）違反契約。然本項爭點與下述營業秘密爭點無直接關係，礙於篇幅，本文僅簡要說明之。id. at 1-2, 33-37. [19]Id. at 11-12. [20]Id. at 12-13. [21]Id. at 14-16. [22]Id. at 16-21. [23]Id. at 20,21. [24]Id. at 21,23. [25]Id.at 23-24. [26]Id. at 28-29. [27]Id. at 31-32. [28]如同美國實務界律師指出，這兩者的差異事實上相當細微，但已經逐漸成為美國聯邦法院對於營業秘密民事案件的審理趨勢。Shelby Garland, supra note 7. [29]Id. [30]Core SWX, LLC v. Vitec Group, Inc, supra note 6, at 25-26. [31]Shelby Garland, supra note 7.
美國各州逐步研議透過立法豁免企業資安事件賠償責任美國各州逐步研議透過立法豁免企業資安事件賠償責任 資訊工業策進會科技法律研究所 2024年06月10日 為鼓勵企業採用資安標準與框架，美國已有幾州開始透過立法限縮企業資安事件賠償責任，企業若能舉證證明已符合法令或遵循業界認可之資安框架和標準，則於資安攻擊事件所致損害賠償訴訟中，將無需承擔賠償責任。 壹、事件摘要 為避免有心人士於未取得經授權下近用網路和敏感資料，企業往往投入大量資源打造資安防護架構，惟在現今網路威脅複雜多變的環境下，仍可能受到惡意資安攻擊，導致資料外洩事件發生，導致企業進一步面臨訴訟求償風險，其中多數指控為未實施適當的資安措施。為此美國佛羅里達州和西維吉尼亞州研議透過立法限縮企業之資安事件賠償責任，以鼓勵企業採用資安標準、框架與資安相關法令。 貳、重點說明 繼美國俄亥俄州[1]、猶他州[2]和康乃狄克州[3]相繼頒布法令，讓已實施適當安全維護措施之企業，豁免資安攻擊所致資料外洩之損害賠償責任，佛羅里達州和西維吉尼亞州近期亦提出相似法案，以下介紹兩州法案之重點： 一、佛羅里達州 美國佛羅里達州於2023年11月公布《資安事件責任法案》 （H.B 473: Cybersecurity Incident Liability）[4]，法案納入「安全港條款」（Safe Harbor），當企業遭受資安攻擊致生個資外洩事件，如可證明已遵循產業認可的資安標準或框架，實施適當的資安措施與風險控管機制，則可免於賠償責任，以鼓勵企業採納資安標準或框架。 為適用安全港條款，企業須遵循佛羅里達州資訊保護法（The Florida Information Protection Act），針對資料外洩事件，通知個人、監管機關和消費者，並建立與法案內所列當前產業認可的資安標準、框架，或是特定法令規範之內容具一致性的資安計畫（Cybersecurity Programs）： （一）當前產業認可的資安標準、框架 1. 國家標準暨技術研究院（National Institute of Standards and Technology, NIST）改善關鍵基礎設施資安框架（Framework for Improving Critical Infrastructure Cybersecurity）。 2. NIST SP 800-171－保護非聯邦系統和企業中的受控非機密資訊。 3. NIST SP 800-53 和 SP 800-53A－ 資訊系統和企業的安全和隱私控制/ 評估資訊系統和企業中的安全和隱私控制。 4. 聯邦政府風險與授權管理計畫（Federal Risk and Authorization Management Program, FedRAMP）安全評估框架。 5. 資安中心（ The Center for Internet Security, CIS）關鍵安全控制。[5] 6. ISO/IEC 27000系列標準。 7. 健康資訊信任聯盟（The Health Information Trust Alliance, HITRUST）通用安全框架（Common Security Framework）[6]。 8. 服務企業控制措施類型二（Service Organization Control Type 2, SOC 2）框架。 9. 安全控制措施框架（Secure Controls Framework）。 10. 其他類似的產業標準或框架。 （二）特定法令規範 企業（entity）如受以下法令規範，亦得適用安全港條款，如法令有修訂，企業應在發布修訂後的一年內更新其資安計畫： 1. 健康保險可攜與責任法（The Health Insurance Portability and Accountability Act, HIPAA）之安全要求。 2. 金融服務現代化法（The Gramm-Leach-Bliley Act）第五章。 3. 2014 年聯邦資訊安全現代化法（The Federal Information Security Modernization Act of 2014）。 4. 健康資訊科技促進經濟和臨床健康法（The Health Information Technology for Economic and Clinical Health Act, HITECH）之安全要求。 5. 刑事司法資訊服務系統 （The Criminal Justice Information Services, CJIS）安全政策。 6. 州或聯邦法律規定的其他類似要求。 該法案雖於2024年3月5日經佛羅里達州參議院三讀通過，但於2024年6月26日遭州長否決[7]，其表示法案對於企業的保障範圍過於廣泛，如企業採取基礎的資安措施與風險控管機制，便得主張適用安全港條款，將可能導致消費者於發生個資外洩事件時，無法受到足夠的保障。州政府鼓勵利害關係人與該州網路安全諮詢委員會（Florida Cybersecurity Advisory Council）合作，探求法案的替代方案，以保護消費者資料。 二、西維吉尼亞州 美國西維吉尼亞州於2024年1月29日提出眾議院第5338號法案[8]，修訂西維吉尼亞法典（Code of West Virginia），增訂第8H章資安計畫安全港條款（Safe Harbor for Cybersecurity Programs），如企業符合業界認可的資安標準、框架或依特定法令建立與實施資安計畫，包含個人資訊和機敏資料的管理、技術和企業保障措施，將能夠於侵權訴訟中，主張適用避風港條款。 法令內明列評估企業所建立的資安計畫規模和範圍是否適當之要素，包含： 1. 企業的規模和複雜性； 2. 企業的活動性質和範圍； 3. 受保護資訊的敏感性； 4. 使用資安防護工具之成本和可用性； 5. 企業可運用的資源。 （一）當前產業認可的資安標準、框架 除與佛羅里達州法案所列舉業界認可的資安標準之前六項相同，另增加： 1 NIST SP 800-76-2個人身分驗證生物辨識規範（Biometric Specifications for Personal Identity Verification）[9]。 2. 資安成熟度模型認證（The Cybersecurity Maturity Model Certification, CMMC）至少達到第2級，並經外部驗證（external certification）。 （二）特定法令規範 除與佛羅里達州法案所列舉特定法令之前四項相同，另增加：由聯邦環境保護局（Environmental Protection Agency, EPA）、資安暨基礎設施安全局（Cybersecurity and Infrastructure Security Agency, CISA）或北美可靠性公司（North American Reliability Corporation）[10]所採用任何適用於關鍵基礎設施保護的規則、法規或指南。 惟目前法案已於2024年3月27日被西維吉尼亞州長否決[11]，其表示透過安全港條款鼓勵企業實踐資安框架雖立意良好，但也可能遭濫用而帶來不當影響，例如TikTok等大型國際企業，如在違背公民意願情況下共享個人資料時，將免於訴訟，恐有損其公民權益，未來州政府將與利害關係人持續進行協商。 參、事件評析 佛羅里達州和西維吉尼亞州近期同步公布有關限制企業於資安事件之責任相關法案，內容亦為相似，西維吉尼亞州之法案目前已遭否決，主要係擔心該豁免條款遭到不當濫用；佛羅里達州之法案亦因對於企業保障過廣與無法保障消費者個資安全考量，而遭州長否決。 法案中明列受產業普遍認可的資安標準、框架與政府所頒布特定法令，有助企業明確遵循與採納，建立與實施資安計畫，惟如何舉證所建立之資安計畫或實施之資安措施，與法案所列之資安標準、框架，或是特定法令規範，具有實質上的一致性，仍不明確，將可能阻礙企業於訴訟上行使抗辯與主張責任豁免權。未來美國如何權衡產業穩健發展與民眾個資保障，仍有待持續觀察。 [1] Chapter 1354 - Ohio Revised Code, Ohio Laws, https://codes.ohio.gov/ohio-revised-code/chapter-1354 (last visited May 24, 2024). [2]Part 7 Cybersecurity Affirmative Defense Act, Utah StateLegislative, https://le.utah.gov/xcode/Title78B/Chapter4/78B-4-P7.html (last visited May 24, 2024). [3]Frederick Scholl, Connecticut’s New Breach Notification and Data Security Laws: Carrots and Sticks, Quinnipiac University, July,1,2021,https://www.qu.edu/quinnipiac-today/connecticuts-new-breach-notification-and-data-security-laws-2021-07-01/ (last visited May 24, 2024). [4]CSHB 473-Cybersecurity Incident Liability, The Florida Senate,https://www.flsenate.gov/Session/Bill/2024/473 (last visited Jun. 28, 2024). [5]資安中心（ The Center for Internet Security, CIS）為美國非營利組織，負責推動CIS Controls，針對實際發生的資安攻擊行為提供防禦建議，作為企業保護 IT 系統和資料時可參考之最佳實務作法。資料來源：About us, Center for Internet Security, https://www.cisecurity.org/about-us (last visited Jun. 6, 2024). [6]What is HITRUST?, Schneider Downs,https://schneiderdowns.com/cybersecurity/what-is-hitrust/ (last visited May 24, 2024). [7]Governor of Florida, Vote letter for House Bill 473(2024), https://www.flgov.com/wp-content/uploads/2024/06/Veto-Letter_HB-473.pdf (last visited Jun. 28, 2024). [8]2024 REGULAR SESSION ENROLLED Committee Substitute for House Bill 5338, WEST VIRGINIA LEGISLATURE,https://www.wvlegislature.gov/Bill_Status/bills_text.cfm?billdoc=hb5338%20sub%20enr.htm&yr=2024&sesstype=RS&i=5338 (last visited May 24, 2024). [9]NIST SP 800-76-2 Biometric Specifications for Personal Identity Verification, National Institute of Standards and Technology, https://csrc.nist.gov/pubs/sp/800/76/2/final (last visited May 24, 2024). [10]北美電力可靠性公司（North American Electric Reliability Corporation, NERC），為一家非營利機構，致力推動關鍵基礎設施保護相關標準，以強化北美大規模電力系統（亦即電網）的可靠性和安全性，資料來源：https://www.nerc.com/Pages/default.aspx (last visited May 24, 2024). [11]Governor of West Virginia, Enrolled Committee Substitute for House Bill 5338(2024),https://www.wvlegislature.gov/Bill_Text_HTML/2024_SESSIONS/RS/veto_messages/HB5338.pdf (last visited May 24, 2024).