美國管理不實施專利主體立法進程與趨勢

美國管理不實施專利主體立法進程與趨勢

科技法律研究所
法律研究員 劉憶成
2015年07月30日

壹、不實施專利主體概述

  「不實施專利主體(non-practicing entity, 以下簡稱NPE)」乃是一個中性的名詞,NPE一方面可促進專利技術交易市場的活絡,但另一方面也有NPE不以活絡專利技術交易市場為目的,而是透過以低價購買專利成為專利權人,並據以行使《專利法》上之權利,投機性地靜待商品製造者投入不可回復之鉅額投資後,始對該商品製造者行使專利侵權主張,對於後者有人將其稱之為「Patent Troll」(中文有譯為「專利巨人」、「專利蟑螂」、「專利流氓」、「專利地痞」或「專利恐怖份子」等等,以下統譯為「專利地痞」)。

  專利地痞藉由有問題的專利申請範圍恐嚇企業並勒索和解金的案例激增,對美國造成數十億美元的經濟耗損並且破壞了美國的創新,其橫行的技術領域以智慧型手機及其他消費性電子產品為最。根據加州舊金山的專利顧問公司RPX所作的研究,至2014年,美國專利侵權訴訟中有63%的訴訟是由專利地痞所提起,而受害公司花費在法律費用、和解或判決的費用約122億美元。因此如何降低專利訴訟的成本、降低無效專利的數量及提升專利權的授予品質都成為美國的重要政策目標。

貳、美國政府的對應措施

  為了解決專利地痞所帶來的問題,美國早在2011年由國會通過《萊希-史密斯美國發明法(Leahy-Smith America Invents Act of 2011),以下簡稱AIA》,該法並於2012年生效。其目的在於透過改善美國專利制度,包括為發明人提供專利處理程序的快速通道、採取重要步驟來降低專利案件的積壓及提升美國人在國外保護其智慧財產權的能力等等。

  不過,專利地痞所帶來的挑戰依舊,特別是專利地痞提出侵權訴訟之成本與被控侵權公司為了防禦所付出的成本之間不具對稱性,這使得專利地痞有機會以和解取得利益。因此,2013年美國政府曾向其國會提出立法七項建議,也祭出五項行政措施,使專利制度更具有透明性,並為發明者創造一個公平競爭的環境。

參、美國國會積極立法

  對此,美國開始了多項進一步管理專利地痞的立法進程。以下將就2015年美國國會針對專利地痞所提出之法案進行介紹。

  (一)新版創新法案(the Innovation Act)

  本法案2015年2月5日送入美國眾議院審議,其法案接續2011年的「美國發明法案」(the American Invents Act,AIA),企圖進一步解決專利地痞濫用訴訟之難題,其中重要條款包括:由敗訴方負擔律師費、提高專利訴訟的成案基準(pleading standard)、專利權人揭示制度、客戶中止訴訟程序等等。

  (二)警告函透明法案(Demand Letter Transparency Act of 2015)

  美國眾院於2015年4月20日提出《警告函透明法案》,該法案首先要求美國專利與商標局(USPTO)建立一個公開可查詢的警告函資料庫,然後要求大量寄發侵害警告函的行為人必須透過這個資料庫對USPTO揭露其行動,同時侵害警告函的內容也必須記載這些資訊,使收信人能夠公平得知。

  (三)保護美國人才與企業法案

  美國參議院於2015年4月底針對抗衡美國patent troll提出法案,該法案名為《the Protecting American Talent and Entrepreneurship (PATENT) Act》。希望能制止美國近年來濫用美國專利制度,所造成許多不必要之專利訴訟案件等情形。美國眾議院於2015年5月底又針對PATENT Act法案作出修正,希望在打擊專利地痞的同時,又不至於而造成專利權人濫用AIA的保護。

肆、結論

  為了解決專利地痞的問題,美國政府分別從立法及行政措施著手,依據美國歐巴馬總統的建議,不論是美國政府或是美國國會,刻正積極雙管齊下透過各項行政手段,例如修改專利相關規則,或者透過國會立法方式,對專利地痞進行規制。其實,專利地痞不僅橫行於美國,其亦在許多國家從事相關活動,故美國相關行政措施與立法,勢必成為各國在解決專利地痞問題時的重要參考依據,因此美國各項法案的後續發展,都值得吾人繼續關注。

本文為「經濟部產業技術司科技專案成果」

※ 美國管理不實施專利主體立法進程與趨勢, 資訊工業策進會科技法律研究所, https://stli.iii.org.tw/article-detail.aspx?d=6953&no=67&tp=1 (最後瀏覽日:2025/12/14)
引註此篇文章
你可能還會想看
歐盟第七期研發綱要計畫定案,有條件支持幹細胞研究

  歐盟日前正在加緊腳步為第七期研發綱要計畫( R&D Framework 2007-2013 )之規劃定案,與此同時,歐盟研發經費究竟應該如何挹注也成為討論焦點。歐洲議會產業研究暨能源委員會( Industry, Research and Energy (ITRE) Committee )最近通過第七期研發綱要計畫的預算,預算額度雖然從原本規劃的 72 億歐元減至約 54.5 億歐元左右,但相較於第七期研發綱要計畫,該經費仍成長許多。   此外 ITRE 也決定,基於倫理考量,以下的科技研究領域將無法獲得歐盟補助:複製人、人類基因體的遺傳性改變( heritable modifications of the human genome )、為取得幹細胞進行研究而複製人類胚胎。與此同時, ITRE 也重申,歐盟經費可以用於補助人類幹細胞的研究,只要幹細胞的來源不是經由複製人類胚胎兒取得,但研究者必須切實遵守會員國之相關科技政策及法令規定,研究之進行並應依法予以嚴格審核。   ITRE 前述決定目前已提交歐洲議會討論,預計在六月底前歐洲議會即可就此表決。儘管歐盟希望未來在第七期的研發綱要計畫期間內,對幹細胞研究仍延續其目前所採的政策 -- 資助一部份的幹細胞研究但禁止使用複製的幹細胞進行研究(目前歐盟會員國中,僅英國、瑞典、比利時三會員國允許複製胚胎幹細胞),惟由於幹細胞研究議題甚為敏感,且 2004 年 5 月 1 日 新加入的東歐會員國,其大多數在歐洲議會的代表都是天主教徒,故而有關幹細胞研究的議題,恐怕仍有一場激辯。

美國各州逐步研議透過立法豁免企業資安事件賠償責任

美國各州逐步研議透過立法豁免企業資安事件賠償責任 資訊工業策進會科技法律研究所 2024年06月10日 為鼓勵企業採用資安標準與框架,美國已有幾州開始透過立法限縮企業資安事件賠償責任,企業若能舉證證明已符合法令或遵循業界認可之資安框架和標準,則於資安攻擊事件所致損害賠償訴訟中,將無需承擔賠償責任。 壹、事件摘要 為避免有心人士於未取得經授權下近用網路和敏感資料,企業往往投入大量資源打造資安防護架構,惟在現今網路威脅複雜多變的環境下,仍可能受到惡意資安攻擊,導致資料外洩事件發生,導致企業進一步面臨訴訟求償風險,其中多數指控為未實施適當的資安措施。為此美國佛羅里達州和西維吉尼亞州研議透過立法限縮企業之資安事件賠償責任,以鼓勵企業採用資安標準、框架與資安相關法令。 貳、重點說明 繼美國俄亥俄州[1]、猶他州[2]和康乃狄克州[3]相繼頒布法令,讓已實施適當安全維護措施之企業,豁免資安攻擊所致資料外洩之損害賠償責任,佛羅里達州和西維吉尼亞州近期亦提出相似法案,以下介紹兩州法案之重點: 一、佛羅里達州 美國佛羅里達州於2023年11月公布《資安事件責任法案》 (H.B 473: Cybersecurity Incident Liability)[4],法案納入「安全港條款」(Safe Harbor),當企業遭受資安攻擊致生個資外洩事件,如可證明已遵循產業認可的資安標準或框架,實施適當的資安措施與風險控管機制,則可免於賠償責任,以鼓勵企業採納資安標準或框架。 為適用安全港條款,企業須遵循佛羅里達州資訊保護法(The Florida Information Protection Act),針對資料外洩事件,通知個人、監管機關和消費者,並建立與法案內所列當前產業認可的資安標準、框架,或是特定法令規範之內容具一致性的資安計畫(Cybersecurity Programs): (一)當前產業認可的資安標準、框架 1. 國家標準暨技術研究院(National Institute of Standards and Technology, NIST)改善關鍵基礎設施資安框架(Framework for Improving Critical Infrastructure Cybersecurity)。 2. NIST SP 800-171-保護非聯邦系統和企業中的受控非機密資訊。 3. NIST SP 800-53 和 SP 800-53A- 資訊系統和企業的安全和隱私控制/ 評估資訊系統和企業中的安全和隱私控制。 4. 聯邦政府風險與授權管理計畫(Federal Risk and Authorization Management Program, FedRAMP)安全評估框架。 5. 資安中心( The Center for Internet Security, CIS)關鍵安全控制。[5] 6. ISO/IEC 27000系列標準。 7. 健康資訊信任聯盟(The Health Information Trust Alliance, HITRUST)通用安全框架(Common Security Framework)[6]。 8. 服務企業控制措施類型二(Service Organization Control Type 2, SOC 2)框架。 9. 安全控制措施框架(Secure Controls Framework)。 10. 其他類似的產業標準或框架。 (二)特定法令規範 企業(entity)如受以下法令規範,亦得適用安全港條款,如法令有修訂,企業應在發布修訂後的一年內更新其資安計畫: 1. 健康保險可攜與責任法(The Health Insurance Portability and Accountability Act, HIPAA)之安全要求。 2. 金融服務現代化法(The Gramm-Leach-Bliley Act)第五章。 3. 2014 年聯邦資訊安全現代化法(The Federal Information Security Modernization Act of 2014)。 4. 健康資訊科技促進經濟和臨床健康法(The Health Information Technology for Economic and Clinical Health Act, HITECH)之安全要求。 5. 刑事司法資訊服務系統 (The Criminal Justice Information Services, CJIS)安全政策。 6. 州或聯邦法律規定的其他類似要求。 該法案雖於2024年3月5日經佛羅里達州參議院三讀通過,但於2024年6月26日遭州長否決[7],其表示法案對於企業的保障範圍過於廣泛,如企業採取基礎的資安措施與風險控管機制,便得主張適用安全港條款,將可能導致消費者於發生個資外洩事件時,無法受到足夠的保障。州政府鼓勵利害關係人與該州網路安全諮詢委員會(Florida Cybersecurity Advisory Council)合作,探求法案的替代方案,以保護消費者資料。 二、西維吉尼亞州 美國西維吉尼亞州於2024年1月29日提出眾議院第5338號法案[8],修訂西維吉尼亞法典(Code of West Virginia),增訂第8H章資安計畫安全港條款(Safe Harbor for Cybersecurity Programs),如企業符合業界認可的資安標準、框架或依特定法令建立與實施資安計畫,包含個人資訊和機敏資料的管理、技術和企業保障措施,將能夠於侵權訴訟中,主張適用避風港條款。 法令內明列評估企業所建立的資安計畫規模和範圍是否適當之要素,包含: 1. 企業的規模和複雜性; 2. 企業的活動性質和範圍; 3. 受保護資訊的敏感性; 4. 使用資安防護工具之成本和可用性; 5. 企業可運用的資源。 (一)當前產業認可的資安標準、框架 除與佛羅里達州法案所列舉業界認可的資安標準之前六項相同,另增加: 1 NIST SP 800-76-2個人身分驗證生物辨識規範(Biometric Specifications for Personal Identity Verification)[9]。 2. 資安成熟度模型認證(The Cybersecurity Maturity Model Certification, CMMC)至少達到第2級,並經外部驗證(external certification)。 (二)特定法令規範 除與佛羅里達州法案所列舉特定法令之前四項相同,另增加:由聯邦環境保護局(Environmental Protection Agency, EPA)、資安暨基礎設施安全局(Cybersecurity and Infrastructure Security Agency, CISA)或北美可靠性公司(North American Reliability Corporation)[10]所採用任何適用於關鍵基礎設施保護的規則、法規或指南。 惟目前法案已於2024年3月27日被西維吉尼亞州長否決[11],其表示透過安全港條款鼓勵企業實踐資安框架雖立意良好,但也可能遭濫用而帶來不當影響,例如TikTok等大型國際企業,如在違背公民意願情況下共享個人資料時,將免於訴訟,恐有損其公民權益,未來州政府將與利害關係人持續進行協商。 參、事件評析 佛羅里達州和西維吉尼亞州近期同步公布有關限制企業於資安事件之責任相關法案,內容亦為相似,西維吉尼亞州之法案目前已遭否決,主要係擔心該豁免條款遭到不當濫用;佛羅里達州之法案亦因對於企業保障過廣與無法保障消費者個資安全考量,而遭州長否決。 法案中明列受產業普遍認可的資安標準、框架與政府所頒布特定法令,有助企業明確遵循與採納,建立與實施資安計畫,惟如何舉證所建立之資安計畫或實施之資安措施,與法案所列之資安標準、框架,或是特定法令規範,具有實質上的一致性,仍不明確,將可能阻礙企業於訴訟上行使抗辯與主張責任豁免權。未來美國如何權衡產業穩健發展與民眾個資保障,仍有待持續觀察。 [1] Chapter 1354 - Ohio Revised Code, Ohio Laws, https://codes.ohio.gov/ohio-revised-code/chapter-1354 (last visited May 24, 2024). [2]Part 7 Cybersecurity Affirmative Defense Act, Utah StateLegislative, https://le.utah.gov/xcode/Title78B/Chapter4/78B-4-P7.html (last visited May 24, 2024). [3]Frederick Scholl, Connecticut’s New Breach Notification and Data Security Laws: Carrots and Sticks, Quinnipiac University, July,1,2021,https://www.qu.edu/quinnipiac-today/connecticuts-new-breach-notification-and-data-security-laws-2021-07-01/ (last visited May 24, 2024). [4]CSHB 473-Cybersecurity Incident Liability, The Florida Senate,https://www.flsenate.gov/Session/Bill/2024/473 (last visited Jun. 28, 2024). [5]資安中心( The Center for Internet Security, CIS)為美國非營利組織,負責推動CIS Controls,針對實際發生的資安攻擊行為提供防禦建議,作為企業保護 IT 系統和資料時可參考之最佳實務作法。資料來源:About us, Center for Internet Security, https://www.cisecurity.org/about-us (last visited Jun. 6, 2024). [6]What is HITRUST?, Schneider Downs,https://schneiderdowns.com/cybersecurity/what-is-hitrust/ (last visited May 24, 2024). [7]Governor of Florida, Vote letter for House Bill 473(2024), https://www.flgov.com/wp-content/uploads/2024/06/Veto-Letter_HB-473.pdf (last visited Jun. 28, 2024). [8]2024 REGULAR SESSION ENROLLED Committee Substitute for House Bill 5338, WEST VIRGINIA LEGISLATURE,https://www.wvlegislature.gov/Bill_Status/bills_text.cfm?billdoc=hb5338%20sub%20enr.htm&yr=2024&sesstype=RS&i=5338 (last visited May 24, 2024). [9]NIST SP 800-76-2 Biometric Specifications for Personal Identity Verification, National Institute of Standards and Technology, https://csrc.nist.gov/pubs/sp/800/76/2/final (last visited May 24, 2024). [10]北美電力可靠性公司(North American Electric Reliability Corporation, NERC),為一家非營利機構,致力推動關鍵基礎設施保護相關標準,以強化北美大規模電力系統(亦即電網)的可靠性和安全性,資料來源:https://www.nerc.com/Pages/default.aspx (last visited May 24, 2024). [11]Governor of West Virginia, Enrolled Committee Substitute for House Bill 5338(2024),https://www.wvlegislature.gov/Bill_Text_HTML/2024_SESSIONS/RS/veto_messages/HB5338.pdf (last visited May 24, 2024).

列管高科技人員,政府加強有效管理西進的措施已漸顯露

  隨著去年( 93 )「臺灣地區人民法人團體或其他機構擔任大陸地區法人團體或其他機構職務或為其成員許可管理辦法」的公佈,加上行政院十月已將「敏感科學技術保護法」列為立法院第 6 屆第 2 會期優先審議法案,若是完成立法程序後,將同步對敏感科學技術以及人才登陸進行嚴密管制。   這項管理措施雖在於避免大陸不正當的挖角行為、國家核心技術及人才外流等,但是截至目前為止,限制進出的高科技人才清單至今尚未公告;即便清單公告後,相信透過第三地進出等投機方式,政府在管理上應當會疲於奔命,增加執行困難。政府發展高科技經濟理應建立「吸引留下」的環境,而非以防堵心態限制人才登陸工作,如此只會加速人才的流失、國外人才或廠商來台工作或投資之意願降低,更遑論台灣永續發展的可能。

歐盟資料治理規則提出資料利他主義制度以利於公益目的之利用

  歐盟於2022年5月30日正式簽署通過「資料治理規則」,同時引入(EU)2018/1724修正案(REGULATION (EU) 2022/868 OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL on European data governance and amending Regulation (EU) 2018/1724),針對資料中介組織及資料利他主義組織業務啟動、營運等註冊程序進行補充。   資料治理規則也通稱為資料治理法(Data Governance Act, DGA)。DGA以建立一個可信賴的資料流通環境,達成資料的可利用性,以促進資料可用於各項研究以及創新的商品和服務為目標。   DGA中,特別引人注意的是第四章「資料利他主義」(Data altruism)的提出。依據資料治理規則第二條,所謂的資料利他主義係指資料主體基於自願且無償的情況下,同意他人得處理或利用其所持有的個人資料;或資料持有者在不尋求補償的情況下允許他人得利用其所有的非個人資料(non-personal data)。而這些資料利用的目的是以實現公共利益為目標,例如醫療保健、解決氣候變化、改善交通、促進公部門統計資料的產製與應用、改善公共服務、制定公共政策,或是科學研究等。   為利於資料利他主義的落實,歐盟希望有明確的的制度設計,藉以促成更多資料主體或資料持有人,在有足夠信任的基礎下,願意將資料無償提供並進行公益目的之利用,進而實現改善生活的目標。 因此,DGA中提出以下作法: 制訂「歐洲資料利他主義同意書」(European data altruism consent form):該法授權歐盟執委會應在諮詢過歐盟資料保護委員會(European Data Protection Board)以及考慮過DGA新設之歐盟資料創新委員會(European Data Innovation Board)的意見後,制定統一的「歐洲資料利他主義同意書表格」。以此增加資料主體對於資料授權的信任,提高資料主體同意將資料釋出與流通再利用之意願,並為授權或撤銷同意建立法遵明確性。 資料利他主義組織(data altruism organisations)管理機制: (1) 資料利他主義組織採自願註冊制度,而非許可制。在資料利他主義於符合形式登記要件後,並符合非營利、透明性以及滿足保障民眾權利等要求後,於其所屬會員國中註冊以成為公認(recognised)的資料利他主義組織。採自願註冊而非許可制的目的,是希望先以管制密度較低的方式,鼓勵更多組織投入資料利他主義的推動。 (2) 給予已註冊之資料利他主義組織識別標誌:透過相關的認可機制並授予識別標誌,藉此提高資料利他主義組織的可辨識度與信賴度,讓民眾在選擇合作的組織時有所依循。 (3) 透明度要求:為了增加資料主體或資料持有者對該組織的信任度,歐盟也將對資料利他主義組織進行一定程度的監督管理,例如年報編列與管理、是否以清晰易懂方式通知資料主體或資料持有者其資料被利用的目的、需保留資料利用之所有紀錄等。此外,也需要遵守DGA授權歐盟執委會未來訂定的相關補充規範。   整體而言,歐盟將資料利他主義的公益精神經由法制化的方式納入歐洲資料治理規則,透過歐洲資料利他主義同意書以及資料利他主義的相關管理規範,降低溝通成本以及建立信任基礎,以增加資料釋出的可能性,進而提升資料被利用的程度,最終達成改善人類福祉的目標。

TOP