在中國大陸委託生產時應注意的智財風險
科技法律研究所
法律研究員 林中鶴
2015年03月31日
壹、前言
中國大陸向來有世界工廠之稱,即使在人事成本升高的今日,仍舊如此。台商為節省人事、物流成本,或就近服務市場等考量,常會委託中國大陸工廠進行生產以求增加獲利。然而,就在這樣的決策當中蘊藏一些台商必須事前注意的智財風險,稍一不慎,就有可能導致台商不可回復的重大損失。尤其,高科技產業是我國產業的重要命脈,流失關鍵技術,更是不可想像的惡夢。
貳、重點說明
一、台商中國大陸不可忽視智財風險
台灣科技大廠聯電在2014年10月宣布決定設立台資在中國大陸第一個12吋晶圓廠,台聯立委立即群起反對,擔心倘若草率西進,製程遭中國大陸廠商模仿、學習,將喪失我國晶圓的代工優勢[1]。類似的疑慮也出現在傳統產業,台灣菸酒公司為了能夠就近服務消費市場,在2010年也決定在中國大陸設立代工廠[2],委由中國大陸代工,同樣也引發台灣啤酒配方與製程技術可能外流的輿論質疑。對於台商在中國大陸可能遭遇的技術外流疑慮,顯然不是空穴來風。
事實上,中國大陸產業發展,相當仰賴對於國外先進技術的學習與奪取,及知名品牌內容的仿冒與抄襲,各種各樣智慧財產權侵害的新聞不絕如縷,就連國際大廠也早就深受其害。蘋果iPhone 6 在未開賣前,網路上就已經出現披著iPhone 6外衣使用Android核心的山寨機[3]。同時間在中國大陸身為iPhone 6最大組裝廠的富士康,也傳出了有員工因竊取iPhone 6外殼轉賣獲利遭逮捕的消息[4]。由此可見,對於台商來說,委託中國大陸代工,除了技術外流風險之外,也一併伴隨著出現高水準仿冒品的風險。
二、委託中國大陸工廠生產時應注意的智財風險
台商為節省人事、物流成本,或為能就近服務市場,委託中國大陸台商製造產品是個常見的選擇。為了使代工的台商能夠生產符合所需的產品,台商往往除委託代工廠的生產外,必須提供代工廠商產品的精確規格、詳細的製程技術與商標或專利的使用權利,也因此面臨了下述可能的風險:
(一) 法規遵循的風險
在委託代工過程中,台商經常也需要提供中國大陸的代工廠必要的製程技術、專利授權或技術指導等跨越國境的技術轉移,因此也涉及到中國大陸官方透過《技術進出口管理條例》對於技術進出口所採行的管制,或透過《專利法》、《專利法實施細則》及《最高人民法院關於審理技術合同糾紛案件適用法律若干問題的解釋》等對於技術轉讓所採取的管制。
由於中國大陸為技術發展中的國家,急欲吸收國外先進技術,因此在技術轉移[5]的管理上,著重在於對於技術受轉移方的保護。一方面禁止技術提供方簽訂不利於技術受轉移方的不當限制競爭條款[6],另方面要求技術提供方負起較重的保證義務[7],必須保證其為技術的真正權利人、技術實施能達成約定的目標、技術實施不侵害第三人權利等事項。
除此之外,在涉及跨國技術移轉的場合,官方復依《技術進出口管理條例》將技術進行分級管理,除條例規定禁止進出口之技術不得進出口[8]、限制進出口之技術應先經許可[9]外,自由進出口之技術於契約簽訂後尚須向地方商務部門申請契約備案[10]。未能遵循管制法令,輕則影響轉讓或授權費用匯出中國大陸,重則可能導致技術移轉契約無效,嚴重影響商業合作。
(二) 技術外流的風險
在委託代工過程中,台商常需提供其專有技術、專利技術、製造設備或模具等技術資料,必要時還得提供技術的指導或支援,以確保代工廠商的產能與品質。優質產品的製造技術正是台商重要的競爭力來源,跨越國境的技術移轉不僅增加了技術管理的難度,面對中國大陸積極吸收先進技術的高度競爭環境,技術輸入中國大陸更是大幅提高了技術外流的風險。
從簽署代工委託契約之前或一開始,就存在技術外流的風險。台商在締約前後提供技術資料、技術指導或支援時,就常發生不經意提供超過必要或契約範圍外的技術資訊,這等同於台商將自家技術拱手讓人。即使是在必要或契約範圍內的技術資訊,也可能因為代工廠商及其主管、員工、供應商、承包商等有業務往來關係者的故意或疏失,導致技術外流,影響競爭優勢。除此之外,倘若代工廠商利用台商提供的技術進行了改良,依照《技術進出口管理條例》及《合同法》相關規定,在沒有契約約定下,改良成果即歸屬於改良方,這將嚴重影響到台商原應享有的技術權益。
換句話說,台商除了必須面對中國大陸企業因故意竊密行為,導致技術的違法取得外,還必須留意避免因為自己契約或管理上的疏失導致技術的合法外流。此外,在原有技術外,忽略法令或契約限制造成技術改良的成果歸屬受讓方,也是技術外流的重要風險來源。
(三) 仿冒氾濫的風險
中國大陸的代工廠商一方面為台商生產製造產品,貼上台商的品牌商標,就近服務中國大陸市場,或外銷歐美及日本市場;另方面中國大陸的代工廠商也透過代工的過程不斷學習成長,成為台商潛在的競爭對手。事實上這也是台商一路走過的代工產業歷史。然而,正是這一層的代工關係,使得這些代工廠商成為台商品牌產品潛在的、高度的仿冒風險來源。
在中國大陸各城市或電子商務平台上經常可以看到低價的國外品牌商品,其中有一類俗稱外貿原單或尾單的產品[11],品質幾乎與正牌商品無異。事實上這些商品並不是品牌廠商合法授權製造、銷售的產品,而是代工廠商將原訂單中基於備份需求額外製造的產品、未通過品質檢驗的不良品或次級品,或在訂單以外利用剩餘原料、零件自行製造的產品。除此之外,倘若代工廠商不僅自行在訂單數量外額外生產產品,外流產品上還貼原廠品牌商標,在價格或品質方面可能影響原廠的市場行銷策略。
除代工過程中流出的原單或尾單外,在代工關係結束後,中國大陸的代工廠商也可能在未經合法授權的情況下繼續製造、銷售原廠的品牌產品。由於透過為台商生產製造產品,不僅提升了製程能力、獲取了技術經驗,同時也建置了足以隨時生產製造產品的模具、設備與廠房規模。除此之外,過程中也可能獲得關於原料、零件或組件之供應商來源等寶貴資訊。這類代工廠商一旦脫離代工關係,從事仿冒生產,更可能因為其品質接近正品,對企業品牌的價值及對外授權的管理將產生更大的衝擊。
參、事件評析
一、明確約定契約條款內容,減輕技轉法令不利影響
面對中國大陸涉外或國內技轉法令的管制,為避免因為未能遵循法令的問題,導致授權契約無效或資金流通受阻,影響企業在中國大陸的生產委託活動,在涉及技術移轉時,建議企業應該留意下述基本事項:
1.契約涉及授權時應明確界定授權型態為獨佔、排他或普通授權
(1)約定不明確時,依司法解釋[12]將視為普通授權
2.契約應充分考慮技轉法令中的保證義務與限制條款
(1)應明確界定因技術實施導致侵害第三人權利之情況
(2)應明確界定技術實施之條件與達成技術目標之標準
(3)應避免不合理的限制競爭條款[13]以免影響契約之效力
(4)大陸商務部取得許可
3.自由輸入之技術移轉契約應行備案並留意外匯所需手續[14]
(1)應向地方商務部門提出必要文件取得技術進口合同登記證
(2)申請人憑技術進口合同登記證,辦理外匯、銀行、稅務、海關等相關手續。
二、設想技術外流的可能情境,運用契約與保密措施降低風險
面對委託代工過程中所涉惡意或無意的技術外流,及因技術改良產生的權利流失,節省中國大陸企業技術開發成本,影響我國企業面對中國大陸企業的優勢,建議企業應該留意下述基本事項:
1.事前應評估技術是否適合移轉、是否應先申請專利
(1)企業應評估技術移轉中國大陸是否可能影響核心競爭力
(2)企業應評估技術移轉中國大陸前是否應考慮申請專利保護
2.事前應調查委託生產之對象的生產能力與商業信用
3.應強化委託代工契約條款中關於營業秘密保護之規定與措施
(1)明確約定授權技術的機密範圍、保密義務與違約罰則
(2)要求代工廠商及其員工負保密義務,並採取保密措施(並視需要可約定禁止以反向工程破解取得技術秘密)
(3)明確記錄技術資料交付之項目,利於契約結束後回收
(4)明確約定發生技術外流疑慮時,進入現場調查的機制
(5)明確約定各種契約解除及中止之事由,便於代工爭議的善後
(6)明確約定契約後之保密義務與相關回收及銷毀的義務
三、落實委外代工契約管理與稽核,防堵高品質仿冒品的外流
面對代工廠商未經原廠合法授權將備份品、不良品、次級品外流獲利,或利用代工取得之技術、經驗、設備、模具或原材料來源等經營資源自行生產高品質仿冒品,流入中國大陸或海外市場,影響產品的銷售與品牌權益,建議企業應留意下述基本事項:
1.應強化並監督落實契約條款中關於營業秘密保護之規定與措施(同前)
2.契約載明授權的稽核措施且應保存記錄以管控產量
(1)要求代工廠商應保留產品與商標生產數量之相關記錄
(2)要求代工廠商應定期報告,以利權利人掌握生產數量
(3)明確約定權利人閱覽記錄及到現場調查的權利與機制
3.出貨前應作品質檢驗,管控不良品、次級品的銷毀
現場派員監控不良品、次級品的銷毀,避免流出市面
4.契約解除或終止時管控資料、設備或產品等的生產/銷售、回收/銷毀
(1)要求代工廠商立即停止生產、銷售行為
(2)返還持有之技術資料及其影本
(3)廢棄權利人提供之模具或專門製造設備
(4)廢棄或返還使用技術或商標之成品、半成品與包裝材料及商標標籤等
四、小結
台商進前中國大陸,將生產的活動委外,合理配置經營資源,以提升企業的成本優勢。然而,台商在中國大陸的委託生產相對於自行生產或國內生產,面臨了更高的法令遵循風險、技術外流風險與仿冒氾濫風險,尤其是技術的外流,甚至有可能讓台商一擊斃命,流失國際市場的競爭力。因此,正視前進中國大陸的智財風險,在前人的經驗上作好風險預防與因應之道,才能保存住商場廝殺的重要本錢。
[2] 自由時報,〈台酒中國設廠 養虎貽患〉,2010/02/24,http://news.ltn.com.tw/news/politics/paper/375069(最後瀏覽日:2015/01/26)
[3] 新科技,〈iPhone 6被山寨了!披苹果皮怀揣“安卓心”〉,2014/07/14,http://www.hnetn.com/article/article.asp?id=920671&bid=8561(最後瀏覽日:2015/01/26)
[4] 蘋果日報,〈iPhone 6被山寨了!披苹果皮怀揣“安卓心”〉,2014/09/18,http://www.appledaily.com.tw/appledaily/article/finance/20140918/36091338/(最後瀏覽日:2015/03/04)
[5] 就《技術進出口管制條例》所稱技術轉移來說,包括專利權轉讓、專利申請權轉讓、專利實施許可、技術秘密轉讓、技術服務和其他方式的技術轉移。原則上技術跨越國境移動之所有型態皆有適用之可能性。
[6] 參見《技術進出口管理條例》第29條、《合同法》第329條及《最高人民法院關於審理技術合同糾紛案件適用法律若干問題的解釋》第10條規定。
[7] 參見《技術進出口管理條例》第24、25條及《合同法》第341、349、353條規定。
[8] 參見《技術進出口管理條例》第9條及第32條。
[9] 參見《技術進出口管理條例》第10條及第33條。
[10] 參見《技術進出口管理條例》第17條及第39條。
[11] 原單主要係指原訂單中代工廠額外生產之產品或未通過品檢的不良品或次級品;尾單主要係指原訂單中代工廠利用剩餘原料、零件自行製造之產品。
[12] 參見《最高人民法院關於審理技術合同糾紛案件適用法律若干問題的解釋》第25條第2款之規定。
[13] 參見《中華人民共和國技術進出口管理條例》第29條及《中華人民共和國合同法》第329條之規定。
[14] 參見《中華人民共和國技術進出口管理條例》第18、20條規定。
日本建立物聯網產品資安符合性評鑑及標籤制度(JC-STAR),助消費者提升產品資安識別 資訊工業策進會科技法律研究所 2025年10月30日 壹、事件摘要 為因應物聯網(Internet of Things,簡稱IoT)產品日趨嚴重的資安威脅,日本陸續訂定針對物聯網產品資安之國內法規與政策方針,除了為強化物聯網產品之資安要求以外,藉由具體的資安評級要求,適用不同類型的物聯網產品,再透過資安標籤制度以區別產品,提升產品之資安識別,以供消費者選購時參考。據此,本文觀測日本近期建立的JC-STAR制度與其所適用國內法規,供我國未來參考與借鏡。 貳、重點說明 一、日本JC-STAR制度背景與目的 日本資訊處理推動機構(独立行政法人情報処理推進機構,Information-Technology Promotion Agency, Japan,簡稱IPA),依日本經濟產業省於2024年8月23日所公布之《IoT產品資安符合性評鑑制度建構方針》政策架構下[1],建立了《物聯網產品資安符合性評鑑及標籤制度》(セキュリティ要件適合評価及びラベリング制度,Labeling Scheme based on Japan Cyber-Security Technical Assessment Requirements,簡稱JC-STAR),並於2025年7月29日完成《物聯網產品資安符合性評鑑與標籤制度之基本規章》[2](セキュリティ要件適合評価及びラベリング制度の基本規程,簡稱本規章)之最終修訂,建立了JC-STAR制度的框架。本規章將物聯網產品的定義、產品所需的附隨服務(含數位服務等)、可提供驗證服務之單位、第三方監督、廠商自我宣告機制、資安符合性基準、評鑑與評鑑報告書、資安符合性標籤及分級機制等多種要件、適用對象與要求事項明確化,確立了以星等為評級的JC-STAR資安標籤制度框架。此外,JC-STAR制度針對物聯網產品採購方、使用方等不同的資安需求,透過附有資安標籤的產品以供各自選購時為考量,因此JC-STAR制度有以下二點優勢: (一) 較易滿足政府或企業的採購標準 針對政府機關或企業等所需採購的物聯網產品,事前已透過共通性的適用標準,將物聯網產品資安進行評鑑分級,並將評鑑流程可視化管理,不僅使產品符合各組織或單位的資安防護需求,同時使產品選購更加便利。 (二) 確保特定領域事業或行業等符合資安法規要求 基於特定領域事業或行業可能有特殊的資安需求,通過符合性評鑑的物聯網產品,因經第三方驗證後以最高等級的標籤呈現,故可確保符合特定領域事業團體之特殊資安需求,或配合指定使用,以確保其採購之物聯網產品均具備合規性。 二、日本JC-STAR框架與資安要求 日本JC-STAR制度是結合歐洲電信標準協會(ETSI)網路安全技術委員會於2022年6月所公布的《網路安全暨隱私保護標準》(ETSI EN 303 645),以及美國國家標準與技術研究所(NIST)於2022年9月公布的《消費者物聯網產品之核心基準》(NISTIR 8425)等適用標準,並經日本官方改定調整成為適用於日本國內之獨特制度。[3]JC-STAR是基於日本官方所定義之物聯網產品符合性標準(涉及資安技術要求事項等),確認物聯網產品是否符合資安要求以及進行可視化的管理。JC-STAR將物聯網產品區分成四種星級,詳述如下: (一) 一星級(★1) 物聯網產品須符合產品共通性之要求,並適用最低限度之資安要求事項,倘若產品已滿足相關要求事項,由產品供應商自我宣告即可。 (二) 二星級(★2) 視物聯網產品的類型、功能特徵等因素,於一星級以上增訂基礎的資安要求事項,倘若產品已滿足相關要求,仍由產品供應商自我宣告即可。 (三) 三星級(★3) 視物聯網產品的使用對象,包含政府機關、關鍵基礎設施或相關業者、地方政府或人民團體、大型企業之關鍵系統等,依產品類型、功能特徵等因素,訂定共通性之資安要件,並須由獨立第三方進行驗證,並須取得評鑑機關作成的符合性評鑑報告書以及受相關單位賦予標籤。 (四) 四星級(★4) 適用程序上雖與三星級相同,依產品類型、功能特徵等因素,訂定共通性之資安要件,並由獨立第三方進行驗證,須取得評鑑機關作成的符合性評鑑報告書以及受相關單位賦予標籤。惟物聯網產品中,諸如通信設備等所適用的資安要求及相關風險層級較高,因此為最高防護等級。 值得注意的是,日本正積極與新加坡、英國、美國、歐盟等各國專責機關等交涉中[4],預計將JC-STAR制度與各國物聯網產品制度相互承認並使其與國際接軌。 參、事件評析 日本透過國內政策方針及訂定規章,結合其他先進國家的資安標準,建立了屬於日本自己的物聯網產品資安標籤JC-STAR制度。主要將各種不同類型的物聯網產品,賦予不同星等評級,供一般消費者或政府、企業法人等選購時參考,具體提升針對物聯網產品的資安識別。此外,依產品適用對象或風險層級不同,適用不同程度的資安要求事項。倘若涉及政府或企業法人等採購需求,則可能適用三星或四星等級,且產品均須經獨立第三方進行評鑑後,才能取得符合性評鑑報告書,並添附資安標籤。 因此,JC-STAR並非僅針對政府或公部門單位採購適用,而是擴及日本國內產業或是一般消費者,因此日常中物聯網產品的使用,均受到全面性的資安保障。另一方面,倘若未來日本JC-STAR制度受到其他各國承認,即代表物聯網產品可在已簽署承認的國家間受到信任而流通產品,故可望大幅降低日本國內物聯網產品供應鏈符合國際法規或契約要求的成本,有助於提升產業競爭力。據此,日本以資安標籤提升消費者識別,並有物聯網產品資安驗證機制之整體性規劃,均可供我國推動物聯網產品資安治理政策之未來借鏡與參考。 [1]〈IoT製品に対するセキュリティ適合性評価制度構築方針〉,経済産業省,https://www.meti.go.jp/shingikai/mono_info_service/sangyo_cyber/wg_cybersecurity/iot_security/pdf/20240823_1.pdf (最後瀏覽日:2025/10/13)。 [2]〈セキュリティ要件適合評価及びラベリング制度の基本規程〉,独立行政法人情報処理推進機構,https://www.ipa.go.jp/security/jc-star/begoj90000003563-att/JSS-01.pdf (最後瀏覽日:2025/10/13)。 [3]〈IoT製品のセキュリティ確保に向けて ~セキュリティ要件適合評価及びラベリング制度(JC-STAR*)の紹介~〉,頁25,独立行政法人情報処理推進機構,https://www.ipa.go.jp/security/jc-star/begoj9000000gg60-att/JC-STARsetumeikai_1.pdf (最後瀏覽日:2025/10/13)。 [4]〈ファクトシート:岸田総理大臣の国賓待遇での米国公式訪問〉,日本外務省,https://www.mofa.go.jp/files/100652150.pdf (最後瀏覽日:2025/10/13)。
韓國金融服務委員會發佈防止金融機構再度發生個人資料外洩之要求韓國於今年1月份爆發史上規模最大的個資外洩案,國民銀行執行長李健浩、國民銀行信用卡公司執行長沈在吾、樂天信用卡公司執行長朴相勳與農協銀行信用卡公司執行長孫京植等人,亦因此請辭以示負責。 為防止將來金融機構再次發生個人資料外洩等事件,韓國金融服務委員會(Financial Services Commission, FSC)與相關部會於3月份發佈一連串要求,以下為其基本原則 1. 金融機構將被要求在處理客戶的個人資料時的每一個階段,包括蒐集、保存、使用和銷毀客戶資料時,都必須擔負起更多的責任。 2. 確保金融消費者可主張關於其個人資料之相關權利,包括金融消費者可決定金融機構於何時如何使用其個人資料。 3. 提升金融機構對於其客戶之個人資料保護責任,包括提升首席資訊安全官(Chief Information Security Officer, CISO)獨立性與責任、加重金融機構於資訊安全違規時相關罰則。 4. 政府將採取更多措施以確保金融機構的網路安全。 5. 金融機構必須建立緊急應變機制,以確保面對未來可能的資料外洩事故時,可迅速有效的應對。 韓國政府於於3月底已對不需修改法律之部分開始執行,而涉及《使用和保護信用資料法》和《電子金融交易法》部分亦待議會修法。
新加坡國會於2020年11月通過個人資料保護法之修正案新加坡通訊暨資訊部(Ministry of Communications and Information, MCI)於2020年11月2日發布新聞稿表示,新加坡國家議會(Parliament of Singapore)通過個人資料保護法(Personal Data Protection Act, PDPA)修正案。主要由新加坡個人資料保護委員會(Personal Data Protection Commission, PDPC)擔任執行與管理機關,而新加坡個人資料保護法僅適用於私人企業、非公務機關。 新加坡通訊暨資訊部特別強調,該個人資料保護法於2013年1月生效,而近年物聯網、人工智慧等新興科技瞬息萬變,隨著資料量急遽增長,企業組織利用個人資料進行創新,成為了社會、經濟和生活的一部分,此次修法意在因應新興科技的進步與新商業模式的發展,使該法可適應、接軌於複雜的數位經濟趨勢,同步維護消費者在數位經濟中的權益,更加符合國際框架,使總部位於新加坡的公司在擴展全球市場時,有助其調整和降低合規成本與風險。主要將加強消費者保護並支持企業業務創新,希望以最大程度提高私部門收益、減少蒐集和利用個人資料的風險,以取得平衡,修訂重點整理如下: 透過組織問責制度,加強消費者之信任; 加強組織使用個人資料開發創新產品,提供個人化服務、提高組織之營運效率; 資料外洩時的強制性通知規定、責任(可參見26A條以下); 提高企業造成資料外洩時的罰款最高額度,當企業組織年營業額超過1000萬美金者,可處以該組織在新加坡年營業額的10%,或100萬新加坡幣(約62萬歐元),以較高者為準(可參見48J條以下); 強化個人資料保護委員會的執法權限,提高執法效率; 為了強化消費者的自主權(consumer autonomy)、對其個資的控制權,規範資料可攜義務(data portability obligation),使個人能要求將其個人資料的副本傳輸到另一個組織(可參見26F條以下); 允許企業在特定合法利益(legitimate interests)、業務改善(business improvement purpose)之目的情況下,對於個資之蒐集、使用、揭露,得例外不經當事人同意,意即不需經當事人事先同意,即可蒐集、利用或揭露消費者個資,例如開發改善產品和進行市場調查研究、在支付系統中進行異常檢測以防止詐欺或洗錢、改善營運效率和服務等目的。(可參見附表一第三、第五部分) 允許關聯企業(related corporations)間,在基於「明確定義相關限制」(clearly defined limits)之相同目的前提下,例如透過具有拘束力的公司規則(binding corporate rules)施以一定限制時,可在彼此內部間蒐集、揭露個人資料。(可參見附表一第四部分) 針對「視為同意」(deemed consent)之相關規定,包含告知後同意(consent by notification)做進一步修訂,將允許企業組織在具契約必要性等特定情形下,在未明確徵得當事人同意之下,向另一個組織或外部承包商(contractors)揭露其個人資料,以利履行契約(fulfil contracts),但該組織與該當事人之間的契約中需有明示條款(express terms)。(可參見15A條以下)
德國巴伐利亞邦政府聲明其執行DSGVO(GDPR)的方式─對中小企業及協會友善的輔導今年7月31日最新一期的巴伐利亞邦政府公報(Allgemeines Ministerialblatt, AllMBl),揭露今年6月5日的巴伐利亞內閣會議紀錄─關於巴伐利亞邦執行DSGVO的方式。 公報內容指出幾個重點: 業餘體育俱樂部(Amateursportverein)、樂隊(Musikkapelle)或由志願者投入者組成的協會(Verein),不須任命資料保護官員(Datenschutzbeauftragten, DSB)。 如果因為對法律的不熟悉而初次違反DSGVO,並不會被罰款;相關單位的指示和建議將優先於處罰。因依據DSGVO第83條第1項規定,處罰應該是有效、適當且具有懲戒性的。故對於非第一次違反的情況,就可能直接依據DSGVO第83條規定處以罰款。 巴伐利亞邦不能接受「警告律師」(Abmahnanwälten)告誡企業資料保護行為違規的做法。 邦政府將向有關單位進一步確認DSGVO中的相關規定,其應用尤其必須能夠確保正確且適當的符合DSGVO的目標。 邦政府將與協會和中小企業進行進一步有關DSGVO適用的討論。 在巴伐利亞邦政府公布的新聞稿中,總理馬庫斯索德進一步表示:「DSGVO實現了更大程度的隱私保護,但不應該成為官僚主義的怪物。巴伐利亞將提供對協會及中小企業都友善的DSGVO適用方式。我們提供的是幫助,而不是懲罰。」內政部長Joachim Herrmann則表示:「DSGVO希望促使人民接受,但不是在人民的日常生活製造更多的困擾和額外的官僚主義。最重要的是,所有的協會、許多有志願者投入的地方或中小企業,必須透過適當和正確地應用DSGVO,來保護其免受過度的資料保護要求。」 巴伐利亞資料保護監督辦公室(BayLDA, Bayerische Landesamt für Datenschutzaufsicht)並進一步公布了對許多中小企業,如:協會、醫療診所(Arztpraxis)、稅務顧問(Steuerberater)……等行業,遵循DSGVO的參考指引,提供進一步的遵循指示。