美國管理不實施專利主體立法進程與趨勢
科技法律研究所
法律研究員 劉憶成
2015年07月30日
壹、不實施專利主體概述
「不實施專利主體(non-practicing entity, 以下簡稱NPE)」乃是一個中性的名詞,NPE一方面可促進專利技術交易市場的活絡,但另一方面也有NPE不以活絡專利技術交易市場為目的,而是透過以低價購買專利成為專利權人,並據以行使《專利法》上之權利,投機性地靜待商品製造者投入不可回復之鉅額投資後,始對該商品製造者行使專利侵權主張,對於後者有人將其稱之為「Patent Troll」(中文有譯為「專利巨人」、「專利蟑螂」、「專利流氓」、「專利地痞」或「專利恐怖份子」等等,以下統譯為「專利地痞」)。
專利地痞藉由有問題的專利申請範圍恐嚇企業並勒索和解金的案例激增,對美國造成數十億美元的經濟耗損並且破壞了美國的創新,其橫行的技術領域以智慧型手機及其他消費性電子產品為最。根據加州舊金山的專利顧問公司RPX所作的研究,至2014年,美國專利侵權訴訟中有63%的訴訟是由專利地痞所提起,而受害公司花費在法律費用、和解或判決的費用約122億美元。因此如何降低專利訴訟的成本、降低無效專利的數量及提升專利權的授予品質都成為美國的重要政策目標。
貳、美國政府的對應措施
為了解決專利地痞所帶來的問題,美國早在2011年由國會通過《萊希-史密斯美國發明法(Leahy-Smith America Invents Act of 2011),以下簡稱AIA》,該法並於2012年生效。其目的在於透過改善美國專利制度,包括為發明人提供專利處理程序的快速通道、採取重要步驟來降低專利案件的積壓及提升美國人在國外保護其智慧財產權的能力等等。
不過,專利地痞所帶來的挑戰依舊,特別是專利地痞提出侵權訴訟之成本與被控侵權公司為了防禦所付出的成本之間不具對稱性,這使得專利地痞有機會以和解取得利益。因此,2013年美國政府曾向其國會提出立法七項建議,也祭出五項行政措施,使專利制度更具有透明性,並為發明者創造一個公平競爭的環境。
參、美國國會積極立法
對此,美國開始了多項進一步管理專利地痞的立法進程。以下將就2015年美國國會針對專利地痞所提出之法案進行介紹。
(一)新版創新法案(the Innovation Act)
本法案2015年2月5日送入美國眾議院審議,其法案接續2011年的「美國發明法案」(the American Invents Act,AIA),企圖進一步解決專利地痞濫用訴訟之難題,其中重要條款包括:由敗訴方負擔律師費、提高專利訴訟的成案基準(pleading standard)、專利權人揭示制度、客戶中止訴訟程序等等。
(二)警告函透明法案(Demand Letter Transparency Act of 2015)
美國眾院於2015年4月20日提出《警告函透明法案》,該法案首先要求美國專利與商標局(USPTO)建立一個公開可查詢的警告函資料庫,然後要求大量寄發侵害警告函的行為人必須透過這個資料庫對USPTO揭露其行動,同時侵害警告函的內容也必須記載這些資訊,使收信人能夠公平得知。
(三)保護美國人才與企業法案
美國參議院於2015年4月底針對抗衡美國patent troll提出法案,該法案名為《the Protecting American Talent and Entrepreneurship (PATENT) Act》。希望能制止美國近年來濫用美國專利制度,所造成許多不必要之專利訴訟案件等情形。美國眾議院於2015年5月底又針對PATENT Act法案作出修正,希望在打擊專利地痞的同時,又不至於而造成專利權人濫用AIA的保護。
肆、結論
為了解決專利地痞的問題,美國政府分別從立法及行政措施著手,依據美國歐巴馬總統的建議,不論是美國政府或是美國國會,刻正積極雙管齊下透過各項行政手段,例如修改專利相關規則,或者透過國會立法方式,對專利地痞進行規制。其實,專利地痞不僅橫行於美國,其亦在許多國家從事相關活動,故美國相關行政措施與立法,勢必成為各國在解決專利地痞問題時的重要參考依據,因此美國各項法案的後續發展,都值得吾人繼續關注。
本文為「經濟部產業技術司科技專案成果」
南非共和國議會在2013年8月22日通過了個人資料保護法修正案(PROTECTION OF PERSONAL INFORMATION BILL),該法案已由總統Jacob Zuma簽署正式成為法律,這也是南非首次全面性的個人資料保護立法 。 該部立法目的在於為促進個人資料的保護,建立全面性的個人資料保護原則。此次提出多項修正,包括 : 1. 設立獨立法人監察機構作為獨立且公正的執行個人資料保護法上職務及權力。 2. 公、私部門僅在特定情形時方可處理個人資料。 3. 蒐集個人資料必須提交予前述獨立法人監察機構。 4. 限制蒐集兒童個人資料,並將哲學、信仰、宗教,種族、民族血統,工會會員,政治觀點,健康,性生活或犯罪前科列為特種個人資料,並加以限制蒐集。 5. 需要處理個人資料者,必須落實保護措施,以保護個人資料為完整之狀態。 6. 發生個人資料外洩情形時,必須通知受影響的當事人以及前述獨立法人監察機構。 7. 要求公、私部門均需指定專責個人資料保護人員。 8. 透過自動傳呼裝置行銷需受到一定程度之限制。 9. 限制跨境傳輸時,限制傳輸收受方必須是至少具備與南非相同個人資料保護水準之區域。 南非之個人資料保護法通過後,對於消費者保障係又提升至另一層次,然該法之施行會對企業造成的衝擊,以及消費者是否可以在修法後獲得實質上的保障,仍待觀察。
歐盟「人工智慧法」達成政治協議,逐步建立AI準則歐盟「人工智慧法」達成政治協議, 逐步建立AI準則 資訊工業策進會科技法律研究所 2023年12月25日 隨著AI(人工智慧)快速發展,在各領域之應用日益廣泛,已逐漸成為國際政策、規範、立法討論之重點。其中歐盟人工智慧法案(Artificial Intelligence Act, AI Act,以下簡稱AIA法案)係全球首部全面規範人工智慧之法律架構,並於2023年12月9日由歐洲議會及歐盟部長歷史會達成重要政治協議[1],尚待正式批准。 壹、發佈背景 歐洲議會及歐盟部長理事會針對AIA法案已於本年12月9日達成暫時政治協議,尚待正式批准。在法案普遍實施前之過渡期,歐盟執委會將公布人工智慧協定(AI Pact),其將號召來自歐洲及世界各地AI開發者自願承諾履行人工智慧法之關鍵義務。 歐盟人工智慧法係歐盟執委會於2021年4月提出,係全球首項關於人工智慧的全面法律架構,該項新法係歐盟打造可信賴AI之方式,將基於AI未來可證定義(future proof definition),以等同作法直接適用於所有會員國[2]。 貳、內容摘要 AIA法案旨在確保進入並於歐盟使用之AI人工智慧系統是安全及可信賴的,並尊重人類基本權利及歐盟價值觀,在創新及權利義務中取得平衡。對於人工智慧可能對社會造成之危害,遵循以風險為基礎模式(risk-based approach),即風險越高,規則越嚴格,現階段將風險分為:最小風險(Minimal risk)、高風險(High-risk)、無法接受的風險(Unacceptable risk)、特定透明度風險(Specific transparency risk)[3]。與委員會最初建議版本相比,此次臨時協定主要新增內容歸納如下: 臨時協議確立廣泛域外適用之範圍,包含但不限於在歐盟內提供或部署人工智慧系統的企業[4]。但澄清該法案不適用於專門用於軍事或國防目的之系統。同樣,該協定規定不適用於研究和創新目的之人工智慧系統,也不適用於非專業原因之個人AI使用。 臨時協議針對通用AI(General purpose AI)[5]模型,訂定相關規定以確保價值鏈之透明度;針對可能造成系統性風險之強大模型,訂定風險管理與重要事件監管、執行模型評估與對抗性測試等相關義務。這些義務將由執委會與業界、科學社群、民間及其他利害關係人共同制定行為準則(Codes of practices)。 考量到人工智慧系統可用於不同目的之情況,臨時協議針對通用AI系統整合至高風險系統,並就基礎模型部分商定具體規則,其於投放市場之前須遵守特定之透明度義務,另強調對於情緒識別系統有義務在自然人接觸到使用這種系統時通知他們。 臨時協議針對違反禁止之AI應用,罰款金額自3,500萬歐元 或全球年營業額7%(以較高者為準)。針對違反其他義務罰款1,500萬歐元或全球年營業額3%,提供不正確資訊罰 款750萬歐元或全球年營業額1.5%。針對中小及新創企業違反人工智慧法之行政罰款將設定適當之上限。 參、評估分析 在人工智慧系統之快速發展衝擊各國社會、經濟、國力等關鍵因素,如何平衡技術創新帶來之便利及保護人類基本權利係各國立法重點。此次歐盟委員會、理事會和議會共同對其2021年4月提出之AIA法案進行審議並通過臨時協議,係歐洲各國對於現下人工智慧運作之監管進行全面的討論及認可結果,對其他國家未來立法及規範有一定之指引效果。 此次臨時協議主要針對人工智慧定義及適用範圍進行確定定義,確認人工智慧系統產業鏈之提供者及部署者有其相應之權利義務,間接擴大歐盟在人工智慧領域之管轄範圍,並對於人工智慧系統的定義縮小,確保傳統計算過程及單純軟體使用不會被無意中禁止。對於通用人工智慧基礎模型之部分僅初步達成應訂定相關監管,並對基礎模型之提供者應施加更重之執行義務。然由於涉及層面過廣,仍需業界、科學社群、民間及其他利害關係人討論準則之制定。 面對AI人工智慧之快速發展,各國在人工智慧之風險分級、資安監管、法律規範、資訊安全等議題持續被廣泛討論,財團法人資訊工業策進會科技法律研究所長期致力於促進國家科技法制環境,將持續觀測各國法令動態,提出我國人工智慧規範之訂定方向及建議。 本文同步刊登於TIPS網站(https://www.tips.org.tw) [1]Artificial Intelligence Act: deal on comprehensive rules for trustworthy AI,https://www.europarl.europa.eu/news/en/press-room/20231206IPR15699/artificial-intelligence-act-deal-on-comprehensive-rules-for-trustworthy-ai (last visited December 25, 2023). [2]European Commission, Commission welcomes political agreement on Artificial Intelligence Act,https://ec.europa.eu/commission/presscorner/detail/en/ip_23_6473 (last visited December 25, 2023). [3]Artificial intelligence act,P5-7,https://superintelligenz.eu/wp-content/uploads/2023/07/EPRS_BRI2021698792_EN.pdf(last visited December 25, 2023). [4]GIBSON DUNN, The EU Agrees on a Path Forward for the AI Act,https://www.gibsondunn.com/eu-agrees-on-a-path-forward-for-the-ai-act/#_ftn2 (last visited December 25, 2023). [5]General purpose AI-consisting of models that “are trained on broad data at scale, are designed for generality of output, and can be adapted to a wide range of distinctive tasks”, GIBSON DUNN, The EU Agrees on a Path Forward for the AI Act,https://www.gibsondunn.com/eu-agrees-on-a-path-forward-for-the-ai-act/#_ftn2(last visited December 25, 2023).
英國資訊委員辦公室(ICO)發布企業自行檢視是否符合歐盟一般資料保護規則之12步驟英國作為歐洲金融重鎮,不論各行業均有蒐集、處理、利用歐盟會員國公民個人資料之可能,歐盟一般資料保護規則(General Data Protection Regulation,簡稱GDPR)作為歐盟資料保護之重要規則,英國企業初步應如何自我檢視組織內是否符合歐盟資料保護標準,英國資訊委員辦公室(Information Commissioner's Office, ICO)即扮演重要推手與協助角色。 英國ICO於2017年4月發布企業自行檢視是否符合GDPR之12步驟(Preparing for the General Data Protection Regulation(GDPR)-12 steps to take now),可供了解GDPR的輪廓與思考未來應如何因應: 認知(Awareness):認知GDPR帶來的改變,與未來將發生的問題與風險。 盤點資料種類(Information you hold):盤點目前持有個人資料,了解資料來源與傳輸流向,保留處理資料的紀錄。 檢視外部隱私政策(Communicating privacy information):重新檢視當前公告外部隱私政策,並及時對GDPR的施行擬定因應計畫。 當事人權利(Individuals'rights):檢視資料處理流程,確保已涵蓋GDPR賦予當事人如:告知權、接近權、更正權、刪除權、製給複本權、停止處理權、不受自動決策影響等相關權利。 處理客戶取得資料請求(Subject access requests):GDPR規定不能因為客戶提出取得資料請求而向其收費;限期於1個月內回覆客戶的請求;可對明顯無理或過度的請求加以拒絕或收費;如拒絕客戶請求則限期於1個月內須向其說明理由與救濟途徑等。 處理個人資料須立於合法理由(Lawful basis for processing personal data):可利用文書記錄與更新隱私聲明說明處理個人資料之合法理由。 當事人同意(Consent):重新檢視初時如何查找、紀錄與管理取得個人資料的同意,思考流程是否需要做出任何改變,如無法符合GDPR規定之標準,則須重新取得當事人同意。 未成年人(Children)保護:思考是否需要制定年齡驗證措施;對於未成年人保護,考慮資料處理活動是否需取得其父母或監護人的同意。 資料外洩(Data breaches):有關資料外洩的偵測、報告與調查,確保已制定適當處理流程。 資料保護設計與影響評估(Data Protection by Design and Data Protection Impact Assessments):GDPR使資料保護設計與影響評估明文化。 資料保護專責人員(Data Protection Officers):須指定資料保護專責人員,並思考該專責人員於組織中的角色與定位。 跨境傳輸(International):如執行業務需跨越數個歐盟會員國境域,企業則須衡量資料監管機關為何。
歐盟認可紐西蘭已提供相當於歐盟保護層級之個人資料保護在2012年12月19日,歐盟執委會宣布一項決議,該決議認可紐西蘭為已提供相當於歐盟保護層級之個人資料保護的國家;根據1995年歐盟個人資料保護指令(EU Data Protection Directive of 1995),此決議將使位於歐盟會員國(目前為27國)的事業,可以不必採取額外的防護措施,即可將個人資料自歐盟會員國傳輸到紐西蘭。 根據歐盟個人資料保護指令,個人資料不許被傳輸至歐盟會員國以外的國家,除非這些國家被歐盟執委會認可為,已提供相當於歐盟保護層級的個人資料保護;或此些國家對上述傳輸已採取額外的防護措施,例如已取得當事人之同意,或已於相關契約內附有經歐盟認可之個人資料保護相關契約條款。歐洲經濟區(EuropeanEconomic Area;簡稱EEA)內的另三個國家,亦即挪威、冰島、列支敦士登,亦因EEA條約(Agreement on the European Economic Area)之約束,而須遵行個人資料保護指令。 由於上述認可的過程相當嚴格而繁複,目前已取得歐盟執委會上述認可的非歐洲國家,除了紐西蘭之外,僅有例如,加拿大、阿根廷、以色列、澳洲等少數國家;至於歐洲國家亦僅有例如瑞士、安道爾等數國。