德國網路服務提供者（ISP）之第三人侵權行為責任
德國聯邦法院（簡稱：BGH）民事庭於2015/11/26分別在兩件案例中(I ZR 3/14 和 I ZR 174/14)針對網路服務提供者（ISP）責任作出具重大影響力之終審決定。BGH認為即使此侵權網站之內容可在別處被找到，原則上德國ISP仍可阻斷侵權網站之連接。兩案分別由德國音樂集管團體GEMA對德國電信(I ZR 3/14)，以及華納、新力、聯合音樂共同對一德國私人電信公司Telefonica O2所提起 (I ZR 174/14)，聲明請求法院命令網路連接業者切斷對侵權網站之連接。兩案原告等之聲明分別在一審與上訴審皆被駁回，於是分別上告(Revision)至BGH。
BGH於判決中指出，雖不排除ISP可阻斷對侵權網站之連接可能性，然先決條件在於著作權人需先盡合理的努力（Zumutbaren Anstrenungen），去阻止被保護內容之擴散。而兩案中原告等未盡此義務，故以此為理由駁回上告。BGH課予著作權人盡合理的努力後，才能訴諸此切斷侵權網站連接之最終手段，此可為我國處理網路服務提供者（ISP）之第三人侵權行為責任之參考。
- Bitkom zur Haftung von Internetzugangsprovidern, BITCOM, Nov. 26, 2015
- BGH bestätigt: Sperrung von Piraterie-Webseiten ist grundsätzlich zulässig, GEMA. DE, Nov. 26, 2015
- 此二全文判決仍尚未付梓：Bundesgerichtshof, Dec. 24, 2015
- German court says ISPs may have to block music-sharing sites, REUTERS. COM, Nov. 26, 2015
- Joerg Heidrich, BGH:Internet-Zugangsanbieter können zur Sperrung von Websites verpflichtet warden, HEISE ONLINE, Nov. 26, 2015
- Kolja Schwartz, BGH-Urteil zur Access-Provider-Haftung: Ja zu Sperren-aber als allerletzter Schritt, TAGESSCHAU.DE, Nov. 26,2015
- Bundesgerichtshof zur Haftung von Access-Providern für Urheberrechtsverletzungen Dritter , Bundesgerichtshof , Nov. 26, 2015
吳建興
法律研究員 編譯整理
Bundesgerichtshof zur Haftung von Access-Providern für Urheberrechtsverletzungen Dritter , Bundesgerichtshof , Nov. 26, 2015, http://juris.bundesgerichtshof.de/cgi-bin/rechtsprechung/document.py?Gericht=bgh&Art=en&Datum=Aktuell&Sort=12288&nr=72928&linked=pm&Blank=1 (last visited, Dec. 24,2015).
Kolja Schwartz, BGH-Urteil zur Access-Provider-Haftung: Ja zu Sperren-aber als allerletzter Schritt, TAGESSCHAU.DE, Nov. 26,2015, https://www.tagesschau.de/wirtschaft/bgh-haftung-provider-101.html (last visited, Dec. 24,2015)
Joerg Heidrich, BGH:Internet-Zugangsanbieter können zur Sperrung von Websites verpflichtet warden, HEISE ONLINE, Nov. 26, 2015, http://www.heise.de/newsticker/meldung/BGH-Internet-Zugangsanbieter-koennen-zur-Sperrung-von-Websites-verpflichtet-werden-3022978.html (last visited, Dec. 24, 2015).
German court says ISPs may have to block music-sharing sites, REUTERS. COM, Nov. 26, 2015, http://www.reuters.com/article/us-germany-ruling-internet-idUSKBN0TF1UJ20151126 (last visited, Dec. 24, 2015).
此二全文判決仍尚未付梓：Bundesgerichtshof, Dec. 24, 2015, http://juris.bundesgerichtshof.de/cgi-bin/rechtsprechung/document.py?Gericht=bgh&Art=pm&Datum=2015&Sort=3&nr=72929&linked=urt&Blank=1&file=dokument.pdf (last visited, Dec. 24, 2015).
BGH bestätigt: Sperrung von Piraterie-Webseiten ist grundsätzlich zulässig, GEMA. DE, Nov. 26, 2015, https://www.gema.de/aktuelles/bgh_bestaetigt_sperrung_von_piraterie_webseiten_ist_grundsaetzlich_zulaessig/ (last visited, Dec. 24, 2015).
Bitkom zur Haftung von Internetzugangsprovidern, BITCOM, Nov. 26, 2015, https://www.bitkom.org/Presse/Presseinformation/Bitkom-zur-Haftung-von-Internetzugangsprovidern.html (last visited, Dec. 24, 2015).
美國各州逐步研議透過立法豁免企業資安事件賠償責任 資訊工業策進會科技法律研究所 2024年06月10日 為鼓勵企業採用資安標準與框架，美國已有幾州開始透過立法限縮企業資安事件賠償責任，企業若能舉證證明已符合法令或遵循業界認可之資安框架和標準，則於資安攻擊事件所致損害賠償訴訟中，將無需承擔賠償責任。 壹、事件摘要 為避免有心人士於未取得經授權下近用網路和敏感資料，企業往往投入大量資源打造資安防護架構，惟在現今網路威脅複雜多變的環境下，仍可能受到惡意資安攻擊，導致資料外洩事件發生，導致企業進一步面臨訴訟求償風險，其中多數指控為未實施適當的資安措施。為此美國佛羅里達州和西維吉尼亞州研議透過立法限縮企業之資安事件賠償責任，以鼓勵企業採用資安標準、框架與資安相關法令。 貳、重點說明 繼美國俄亥俄州[1]、猶他州[2]和康乃狄克州[3]相繼頒布法令，讓已實施適當安全維護措施之企業，豁免資安攻擊所致資料外洩之損害賠償責任，佛羅里達州和西維吉尼亞州近期亦提出相似法案，以下介紹兩州法案之重點： 一、佛羅里達州 美國佛羅里達州於2023年11月公布《資安事件責任法案》 （H.B 473: Cybersecurity Incident Liability）[4]，法案納入「安全港條款」（Safe Harbor），當企業遭受資安攻擊致生個資外洩事件，如可證明已遵循產業認可的資安標準或框架，實施適當的資安措施與風險控管機制，則可免於賠償責任，以鼓勵企業採納資安標準或框架。 為適用安全港條款，企業須遵循佛羅里達州資訊保護法（The Florida Information Protection Act），針對資料外洩事件，通知個人、監管機關和消費者，並建立與法案內所列當前產業認可的資安標準、框架，或是特定法令規範之內容具一致性的資安計畫（Cybersecurity Programs）： （一）當前產業認可的資安標準、框架 1. 國家標準暨技術研究院（National Institute of Standards and Technology, NIST）改善關鍵基礎設施資安框架（Framework for Improving Critical Infrastructure Cybersecurity）。 2. NIST SP 800-171－保護非聯邦系統和企業中的受控非機密資訊。 3. NIST SP 800-53 和 SP 800-53A－ 資訊系統和企業的安全和隱私控制/ 評估資訊系統和企業中的安全和隱私控制。 4. 聯邦政府風險與授權管理計畫（Federal Risk and Authorization Management Program, FedRAMP）安全評估框架。 5. 資安中心（ The Center for Internet Security, CIS）關鍵安全控制。[5] 6. ISO/IEC 27000系列標準。 7. 健康資訊信任聯盟（The Health Information Trust Alliance, HITRUST）通用安全框架（Common Security Framework）[6]。 8. 服務企業控制措施類型二（Service Organization Control Type 2, SOC 2）框架。 9. 安全控制措施框架（Secure Controls Framework）。 10. 其他類似的產業標準或框架。 （二）特定法令規範 企業（entity）如受以下法令規範，亦得適用安全港條款，如法令有修訂，企業應在發布修訂後的一年內更新其資安計畫： 1. 健康保險可攜與責任法（The Health Insurance Portability and Accountability Act, HIPAA）之安全要求。 2. 金融服務現代化法（The Gramm-Leach-Bliley Act）第五章。 3. 2014 年聯邦資訊安全現代化法（The Federal Information Security Modernization Act of 2014）。 4. 健康資訊科技促進經濟和臨床健康法（The Health Information Technology for Economic and Clinical Health Act, HITECH）之安全要求。 5. 刑事司法資訊服務系統 （The Criminal Justice Information Services, CJIS）安全政策。 6. 州或聯邦法律規定的其他類似要求。 該法案雖於2024年3月5日經佛羅里達州參議院三讀通過，但於2024年6月26日遭州長否決[7]，其表示法案對於企業的保障範圍過於廣泛，如企業採取基礎的資安措施與風險控管機制，便得主張適用安全港條款，將可能導致消費者於發生個資外洩事件時，無法受到足夠的保障。州政府鼓勵利害關係人與該州網路安全諮詢委員會（Florida Cybersecurity Advisory Council）合作，探求法案的替代方案，以保護消費者資料。 二、西維吉尼亞州 美國西維吉尼亞州於2024年1月29日提出眾議院第5338號法案[8]，修訂西維吉尼亞法典（Code of West Virginia），增訂第8H章資安計畫安全港條款（Safe Harbor for Cybersecurity Programs），如企業符合業界認可的資安標準、框架或依特定法令建立與實施資安計畫，包含個人資訊和機敏資料的管理、技術和企業保障措施，將能夠於侵權訴訟中，主張適用避風港條款。 法令內明列評估企業所建立的資安計畫規模和範圍是否適當之要素，包含： 1. 企業的規模和複雜性； 2. 企業的活動性質和範圍； 3. 受保護資訊的敏感性； 4. 使用資安防護工具之成本和可用性； 5. 企業可運用的資源。 （一）當前產業認可的資安標準、框架 除與佛羅里達州法案所列舉業界認可的資安標準之前六項相同，另增加： 1 NIST SP 800-76-2個人身分驗證生物辨識規範（Biometric Specifications for Personal Identity Verification）[9]。 2. 資安成熟度模型認證（The Cybersecurity Maturity Model Certification, CMMC）至少達到第2級，並經外部驗證（external certification）。 （二）特定法令規範 除與佛羅里達州法案所列舉特定法令之前四項相同，另增加：由聯邦環境保護局（Environmental Protection Agency, EPA）、資安暨基礎設施安全局（Cybersecurity and Infrastructure Security Agency, CISA）或北美可靠性公司（North American Reliability Corporation）[10]所採用任何適用於關鍵基礎設施保護的規則、法規或指南。 惟目前法案已於2024年3月27日被西維吉尼亞州長否決[11]，其表示透過安全港條款鼓勵企業實踐資安框架雖立意良好，但也可能遭濫用而帶來不當影響，例如TikTok等大型國際企業，如在違背公民意願情況下共享個人資料時，將免於訴訟，恐有損其公民權益，未來州政府將與利害關係人持續進行協商。 參、事件評析 佛羅里達州和西維吉尼亞州近期同步公布有關限制企業於資安事件之責任相關法案，內容亦為相似，西維吉尼亞州之法案目前已遭否決，主要係擔心該豁免條款遭到不當濫用；佛羅里達州之法案亦因對於企業保障過廣與無法保障消費者個資安全考量，而遭州長否決。 法案中明列受產業普遍認可的資安標準、框架與政府所頒布特定法令，有助企業明確遵循與採納，建立與實施資安計畫，惟如何舉證所建立之資安計畫或實施之資安措施，與法案所列之資安標準、框架，或是特定法令規範，具有實質上的一致性，仍不明確，將可能阻礙企業於訴訟上行使抗辯與主張責任豁免權。未來美國如何權衡產業穩健發展與民眾個資保障，仍有待持續觀察。 [1] Chapter 1354 - Ohio Revised Code, Ohio Laws, https://codes.ohio.gov/ohio-revised-code/chapter-1354 (last visited May 24, 2024). [2]Part 7 Cybersecurity Affirmative Defense Act, Utah StateLegislative, https://le.utah.gov/xcode/Title78B/Chapter4/78B-4-P7.html (last visited May 24, 2024). [3]Frederick Scholl, Connecticut’s New Breach Notification and Data Security Laws: Carrots and Sticks, Quinnipiac University, July,1,2021,https://www.qu.edu/quinnipiac-today/connecticuts-new-breach-notification-and-data-security-laws-2021-07-01/ (last visited May 24, 2024). [4]CSHB 473-Cybersecurity Incident Liability, The Florida Senate,https://www.flsenate.gov/Session/Bill/2024/473 (last visited Jun. 28, 2024). [5]資安中心（ The Center for Internet Security, CIS）為美國非營利組織，負責推動CIS Controls，針對實際發生的資安攻擊行為提供防禦建議，作為企業保護 IT 系統和資料時可參考之最佳實務作法。資料來源：About us, Center for Internet Security, https://www.cisecurity.org/about-us (last visited Jun. 6, 2024). [6]What is HITRUST?, Schneider Downs,https://schneiderdowns.com/cybersecurity/what-is-hitrust/ (last visited May 24, 2024). [7]Governor of Florida, Vote letter for House Bill 473(2024), https://www.flgov.com/wp-content/uploads/2024/06/Veto-Letter_HB-473.pdf (last visited Jun. 28, 2024). [8]2024 REGULAR SESSION ENROLLED Committee Substitute for House Bill 5338, WEST VIRGINIA LEGISLATURE,https://www.wvlegislature.gov/Bill_Status/bills_text.cfm?billdoc=hb5338%20sub%20enr.htm&yr=2024&sesstype=RS&i=5338 (last visited May 24, 2024). [9]NIST SP 800-76-2 Biometric Specifications for Personal Identity Verification, National Institute of Standards and Technology, https://csrc.nist.gov/pubs/sp/800/76/2/final (last visited May 24, 2024). [10]北美電力可靠性公司（North American Electric Reliability Corporation, NERC），為一家非營利機構，致力推動關鍵基礎設施保護相關標準，以強化北美大規模電力系統（亦即電網）的可靠性和安全性，資料來源：https://www.nerc.com/Pages/default.aspx (last visited May 24, 2024). [11]Governor of West Virginia, Enrolled Committee Substitute for House Bill 5338(2024),https://www.wvlegislature.gov/Bill_Text_HTML/2024_SESSIONS/RS/veto_messages/HB5338.pdf (last visited May 24, 2024).
當被授權人挑戰授權專利之有效性--美國法院對上訴條件「受有損害」的認定標準2021年4月7日美國聯邦巡迴上訴法院（United States Court of Appeals for the Federal Circuit，下稱CAFC）發布了關於Apple Inc. v. Qualcomm Inc.的裁決，指出因Apple Inc.（下稱Apple）未能滿足提起上訴的資格「證明授權專利的有效性會對授權協議義務產生具體的損害影響」，故駁回其對於專利審理暨訴願委員會（Patent Trial and Appeal Board ，下稱PTAB）做出之US7,844,037與US8,683,362專利（下稱爭議專利）有效性決定的上訴。 此案爭議專利是由Qualcomm Inc.（下稱Qualcomm）持有，Qualcomm曾以Apple侵犯爭議專利提起侵權訴訟，Apple隨後在PTAB對爭議專利提出多方複審程序（Inter partes review,下稱IPR），以挑戰爭議專利的有效性，但最後沒有成功。隨後，Apple與Qualcomm達成專利侵權和解協議並簽署了授權契約，授權的專利組合中也包含爭議專利。 在專利侵權和解協議後，Apple還是針對IPR的結果向CAFC提起上訴。由於提起上訴條件之一是上訴人需有受到損害的事實，Apple以其需持續支付權利金的義務主張有受到損害的事實。但CAFC認為，Apple並沒有證明若爭議專利被視為無效，則根據其與Qualcomm授權契約所應承擔的付款義務會發生改變。因此，法院裁定Apple不符合對IPR的結果提起上訴的資格。 由上述可知，作為專利被授權人，若要在授權契約條件下對爭議專利有效性決定提上訴，需要設法證明爭議專利的有效性會對授權協議義務產生具體的影響，否則被授權人將難以因其具有實質的損害從而讓法院啟動上訴作業。
Palm支付2.25億美元與Xerox達成專利侵權和解由於 Palm 採用 3C om 的手寫辨識技術，於 1997 年遭 Xerox 控訴侵犯其在 1997 年所取得的 Unistrokes 專利權， Xerox 要求 Palm 支付 Graffti 的使用權利金，否則便應停止在其 PDA 中使用此項技術。此案於今年 (2006) 6 月 28 日 經 紐約西區美國地方法院法官 Michael Telesca 判決 Palm 的 Graffiti( 手寫辨識軟體 ) 的確已侵害到 Xerox 權利。 Palm 同意支付 2.25 億美元以取得 Xerox 手寫辨識軟體的合法授權使用權，結束 1997 年以來長達 9 年的法律訴訟。事實上， Xerox 在 1997 年是控告後來被 3Com 收購的 U. S. Robotics 公司， 但 這家公司之後被 3Com 買下，後來 3Com 再將其獨立 成立 Palm Inc ，當時 Palm 將 Graffiti 技術嵌入旗下的 Pilot PDA 中，也把使用了 Graffiti 技術的軟體賣給其他 PDA 製造商。 這次 Palm 所支付的費用涵蓋了 Palm Inc 、 PalmSource 及 3C om ，這三家業者均取得 Unistrokes 及 Xerox 其他兩項技術的專利的授權。雙方的協議包括 7 年的「專利和平」（ patent peace ）期，在這期間內允許合理使用談定的專利，而且不再互控對方。
歐盟執委會公佈2016年歐洲數位進度報告歐盟執委會(The European Commission)於05月23日釋出一份關於歐洲數位化進展的報告。 歐洲數位進度報告(Europe's Digital Progress Report ,EDPR)首先以2016年02月公佈的「數位經濟社會指標」(Digital Economy and Society Index ,DESI) 為基礎，分析歐盟會員國的數位發展情況。數位公共服務（Digital Public Services）方面，報告指出， 當前各國政府數位化服務越來越複雜，歐盟現在的挑戰是要讓52％目前還偏好實體互動的民眾進入數位世界。此外，這份報告也提出一些歐盟會員國中數位公共服務還不錯的進度，像是義大利跟匈牙利的eID，奧地利的OpenData，比利時跟羅馬尼亞的協同電子政府 （collaborative eGovernment），以及斯洛伐克電子政府的雲端方案等。 其次，歐盟執委會調查了各國的數位改革方案實施情況，並公佈歐盟會員國與世界上其他15個國家的「數位表現國際指標」完整報告 (full report on a new international index, iDESI)，「數位表現指標」指的是連結性（connectivity）、數位能力（ digital skills）、網路使用（use of Internet）、企業數位科技整合( Integration of Digital Technology by businesses)，以及數位公共服務(Digital Public Services)。這份數據顯示，歐盟領先國(瑞典、丹麥以及芬蘭)在國際上也是處於領先地位，緊接在韓國以及美國之後，但其他歐盟會員國仍有很長一段路要追趕。 最後，歐盟執委會同時發布了「歐洲電子通訊量表研究」( Eurobarometer study on e-communications)，這份研究發現使用網路通訊的歐洲民眾逐漸增多，且行動網路普及率大幅增加。 歐盟官方表示，未來將會根據這幾份調查報告提出具體建議，盼能改善多數會員國的數位表現並有益於其經濟與社會，持續朝創造歐盟「數位單一市場」(Digital Single Market)的目標邁進。