LV賣炸雞？南韓炸雞店仿作LV名稱及圖騰遭控商標侵權
一名南韓金姓男子以「LOUIS VUITON DAK」為名開設炸雞店，於2015年9月遭法國精品品牌Louis Vuitton Malletier(以下簡稱LV)提起商標侵權訴訟，法院判決金姓男子應停止使用與LV近似的商標和圖騰。近日(2016年4月)法院認為金姓男子未遵從禁令，仍持續使用與LV商標近似的店名，判決金姓男子賠償1450萬韓元(約41萬元台幣)。
金姓男子以韓文全雞「tongdak」的諧音，將炸雞店命名為「LOUIS VUITON DAK」，並於炸雞外帶餐盒及紙巾上，印製使用與LV商標圖騰極為相似的圖案。此舉引來LV的不滿，於2015年9月向南韓法院提起訴訟，認為金姓男子使用LV的近似名稱販賣炸雞，將對LV的品牌形象帶來嚴重損害。2015年10月，法院要求金姓男子立即停止使用近似LV的商標圖騰及店名，否則將處以一日50萬韓元的罰款。金姓男子後將店名改為「chaLouisvui tondak」，然而LV仍認為該店名與其商標有部分雷同。法院同意LV的主張，認為金姓男子雖更改了店名拼法，但其讀音仍與「LOUIS VUITON DAK」幾乎相同，因此以一日50萬韓元的罰款金額，計算使用新店名的29日，判決金姓男子須向LV賠償1450萬韓元。
【本文同步刊登於TIPS網站(http://www.tips.org.tw)】
林宜臻
法律研究員 編譯整理
Louis Vuitton fried chicken’ owner fined in South Korea, April 19, 2016, https://www.yahoo.com/news/louis-vuitton-fried-chicken-owner-fined-south-korea-032127970--finance.html (last visited April 19, 2016).
루이비통에 거액 물게 된 '루이비 통닭' , April 18, 2016, http://news.naver.com/main/read.nhn?mode=LSD&mid=sec&oid=052&aid=0000820595&sid1=001 (last visited : April 19, 2016).
美國各州逐步研議透過立法豁免企業資安事件賠償責任 資訊工業策進會科技法律研究所 2024年06月10日 為鼓勵企業採用資安標準與框架，美國已有幾州開始透過立法限縮企業資安事件賠償責任，企業若能舉證證明已符合法令或遵循業界認可之資安框架和標準，則於資安攻擊事件所致損害賠償訴訟中，將無需承擔賠償責任。 壹、事件摘要 為避免有心人士於未取得經授權下近用網路和敏感資料，企業往往投入大量資源打造資安防護架構，惟在現今網路威脅複雜多變的環境下，仍可能受到惡意資安攻擊，導致資料外洩事件發生，導致企業進一步面臨訴訟求償風險，其中多數指控為未實施適當的資安措施。為此美國佛羅里達州和西維吉尼亞州研議透過立法限縮企業之資安事件賠償責任，以鼓勵企業採用資安標準、框架與資安相關法令。 貳、重點說明 繼美國俄亥俄州[1]、猶他州[2]和康乃狄克州[3]相繼頒布法令，讓已實施適當安全維護措施之企業，豁免資安攻擊所致資料外洩之損害賠償責任，佛羅里達州和西維吉尼亞州近期亦提出相似法案，以下介紹兩州法案之重點： 一、佛羅里達州 美國佛羅里達州於2023年11月公布《資安事件責任法案》 （H.B 473: Cybersecurity Incident Liability）[4]，法案納入「安全港條款」（Safe Harbor），當企業遭受資安攻擊致生個資外洩事件，如可證明已遵循產業認可的資安標準或框架，實施適當的資安措施與風險控管機制，則可免於賠償責任，以鼓勵企業採納資安標準或框架。 為適用安全港條款，企業須遵循佛羅里達州資訊保護法（The Florida Information Protection Act），針對資料外洩事件，通知個人、監管機關和消費者，並建立與法案內所列當前產業認可的資安標準、框架，或是特定法令規範之內容具一致性的資安計畫（Cybersecurity Programs）： （一）當前產業認可的資安標準、框架 1. 國家標準暨技術研究院（National Institute of Standards and Technology, NIST）改善關鍵基礎設施資安框架（Framework for Improving Critical Infrastructure Cybersecurity）。 2. NIST SP 800-171－保護非聯邦系統和企業中的受控非機密資訊。 3. NIST SP 800-53 和 SP 800-53A－ 資訊系統和企業的安全和隱私控制/ 評估資訊系統和企業中的安全和隱私控制。 4. 聯邦政府風險與授權管理計畫（Federal Risk and Authorization Management Program, FedRAMP）安全評估框架。 5. 資安中心（ The Center for Internet Security, CIS）關鍵安全控制。[5] 6. ISO/IEC 27000系列標準。 7. 健康資訊信任聯盟（The Health Information Trust Alliance, HITRUST）通用安全框架（Common Security Framework）[6]。 8. 服務企業控制措施類型二（Service Organization Control Type 2, SOC 2）框架。 9. 安全控制措施框架（Secure Controls Framework）。 10. 其他類似的產業標準或框架。 （二）特定法令規範 企業（entity）如受以下法令規範，亦得適用安全港條款，如法令有修訂，企業應在發布修訂後的一年內更新其資安計畫： 1. 健康保險可攜與責任法（The Health Insurance Portability and Accountability Act, HIPAA）之安全要求。 2. 金融服務現代化法（The Gramm-Leach-Bliley Act）第五章。 3. 2014 年聯邦資訊安全現代化法（The Federal Information Security Modernization Act of 2014）。 4. 健康資訊科技促進經濟和臨床健康法（The Health Information Technology for Economic and Clinical Health Act, HITECH）之安全要求。 5. 刑事司法資訊服務系統 （The Criminal Justice Information Services, CJIS）安全政策。 6. 州或聯邦法律規定的其他類似要求。 該法案雖於2024年3月5日經佛羅里達州參議院三讀通過，但於2024年6月26日遭州長否決[7]，其表示法案對於企業的保障範圍過於廣泛，如企業採取基礎的資安措施與風險控管機制，便得主張適用安全港條款，將可能導致消費者於發生個資外洩事件時，無法受到足夠的保障。州政府鼓勵利害關係人與該州網路安全諮詢委員會（Florida Cybersecurity Advisory Council）合作，探求法案的替代方案，以保護消費者資料。 二、西維吉尼亞州 美國西維吉尼亞州於2024年1月29日提出眾議院第5338號法案[8]，修訂西維吉尼亞法典（Code of West Virginia），增訂第8H章資安計畫安全港條款（Safe Harbor for Cybersecurity Programs），如企業符合業界認可的資安標準、框架或依特定法令建立與實施資安計畫，包含個人資訊和機敏資料的管理、技術和企業保障措施，將能夠於侵權訴訟中，主張適用避風港條款。 法令內明列評估企業所建立的資安計畫規模和範圍是否適當之要素，包含： 1. 企業的規模和複雜性； 2. 企業的活動性質和範圍； 3. 受保護資訊的敏感性； 4. 使用資安防護工具之成本和可用性； 5. 企業可運用的資源。 （一）當前產業認可的資安標準、框架 除與佛羅里達州法案所列舉業界認可的資安標準之前六項相同，另增加： 1 NIST SP 800-76-2個人身分驗證生物辨識規範（Biometric Specifications for Personal Identity Verification）[9]。 2. 資安成熟度模型認證（The Cybersecurity Maturity Model Certification, CMMC）至少達到第2級，並經外部驗證（external certification）。 （二）特定法令規範 除與佛羅里達州法案所列舉特定法令之前四項相同，另增加：由聯邦環境保護局（Environmental Protection Agency, EPA）、資安暨基礎設施安全局（Cybersecurity and Infrastructure Security Agency, CISA）或北美可靠性公司（North American Reliability Corporation）[10]所採用任何適用於關鍵基礎設施保護的規則、法規或指南。 惟目前法案已於2024年3月27日被西維吉尼亞州長否決[11]，其表示透過安全港條款鼓勵企業實踐資安框架雖立意良好，但也可能遭濫用而帶來不當影響，例如TikTok等大型國際企業，如在違背公民意願情況下共享個人資料時，將免於訴訟，恐有損其公民權益，未來州政府將與利害關係人持續進行協商。 參、事件評析 佛羅里達州和西維吉尼亞州近期同步公布有關限制企業於資安事件之責任相關法案，內容亦為相似，西維吉尼亞州之法案目前已遭否決，主要係擔心該豁免條款遭到不當濫用；佛羅里達州之法案亦因對於企業保障過廣與無法保障消費者個資安全考量，而遭州長否決。 法案中明列受產業普遍認可的資安標準、框架與政府所頒布特定法令，有助企業明確遵循與採納，建立與實施資安計畫，惟如何舉證所建立之資安計畫或實施之資安措施，與法案所列之資安標準、框架，或是特定法令規範，具有實質上的一致性，仍不明確，將可能阻礙企業於訴訟上行使抗辯與主張責任豁免權。未來美國如何權衡產業穩健發展與民眾個資保障，仍有待持續觀察。 [1] Chapter 1354 - Ohio Revised Code, Ohio Laws, https://codes.ohio.gov/ohio-revised-code/chapter-1354 (last visited May 24, 2024). [2]Part 7 Cybersecurity Affirmative Defense Act, Utah StateLegislative, https://le.utah.gov/xcode/Title78B/Chapter4/78B-4-P7.html (last visited May 24, 2024). [3]Frederick Scholl, Connecticut’s New Breach Notification and Data Security Laws: Carrots and Sticks, Quinnipiac University, July,1,2021,https://www.qu.edu/quinnipiac-today/connecticuts-new-breach-notification-and-data-security-laws-2021-07-01/ (last visited May 24, 2024). [4]CSHB 473-Cybersecurity Incident Liability, The Florida Senate,https://www.flsenate.gov/Session/Bill/2024/473 (last visited Jun. 28, 2024). [5]資安中心（ The Center for Internet Security, CIS）為美國非營利組織，負責推動CIS Controls，針對實際發生的資安攻擊行為提供防禦建議，作為企業保護 IT 系統和資料時可參考之最佳實務作法。資料來源：About us, Center for Internet Security, https://www.cisecurity.org/about-us (last visited Jun. 6, 2024). [6]What is HITRUST?, Schneider Downs,https://schneiderdowns.com/cybersecurity/what-is-hitrust/ (last visited May 24, 2024). [7]Governor of Florida, Vote letter for House Bill 473(2024), https://www.flgov.com/wp-content/uploads/2024/06/Veto-Letter_HB-473.pdf (last visited Jun. 28, 2024). [8]2024 REGULAR SESSION ENROLLED Committee Substitute for House Bill 5338, WEST VIRGINIA LEGISLATURE,https://www.wvlegislature.gov/Bill_Status/bills_text.cfm?billdoc=hb5338%20sub%20enr.htm&yr=2024&sesstype=RS&i=5338 (last visited May 24, 2024). [9]NIST SP 800-76-2 Biometric Specifications for Personal Identity Verification, National Institute of Standards and Technology, https://csrc.nist.gov/pubs/sp/800/76/2/final (last visited May 24, 2024). [10]北美電力可靠性公司（North American Electric Reliability Corporation, NERC），為一家非營利機構，致力推動關鍵基礎設施保護相關標準，以強化北美大規模電力系統（亦即電網）的可靠性和安全性，資料來源：https://www.nerc.com/Pages/default.aspx (last visited May 24, 2024). [11]Governor of West Virginia, Enrolled Committee Substitute for House Bill 5338(2024),https://www.wvlegislature.gov/Bill_Text_HTML/2024_SESSIONS/RS/veto_messages/HB5338.pdf (last visited May 24, 2024).
中國衛生部發布「抗菌藥物臨床應用管理辦法」長久以來，中國民眾對於抗菌藥物（如抗生素等）存有高度的依賴性，造就了國內規模龐大的抗菌藥物市場，依據中國衛生部統計，中國民眾對抗菌藥物的人均消費額幾乎是美國民眾的10倍。對此，世界衛生組織早於2011年4月7日便正式提出警告與呼籲，若中國未能控制抗菌藥物濫用的情況，很快將面臨「無藥可用」的窘境，並演變為全球人類的災難。 為扭轉前述抗菌藥物濫用狀況，中國衛生部於2012年4月24日正式發布了「抗菌藥物臨床應用管理辦法」(以下稱管理辦法)，分別對於抗菌藥物的使用及醫療院所之管理制度作了如下的完整規範： 1. 對抗菌藥物採分級管理制，分為「非限制使用級」、「限制使用級」及「特殊使用級」三類，並要求醫療院所依此分類，擬定「抗菌藥物供應目錄」，凡具有同一通用名稱者，其注射型和口服型各不得超過兩種、具有相似或相同藥理學特徵的藥物亦不得重複列入。 2. 依上述分級對抗菌藥物作臨床使用管理：「限制使用級」者，只有當發生嚴重感染、免疫功能下降合併感染，或病菌只對限制級藥物有反應時，才允許使用；「特殊使用級」者，非經醫療院所內設置的「抗菌藥物管理工作機構」同意，不得使用；惟若係為搶救生命垂危的病患或其他緊急情況下，可以越級使用，但須於24小時內補行程序。 3. 各院所必須設置「抗菌藥物管理工作機構」或專責人員，負責制定抗菌藥物管理制度、擬定「抗菌藥物供應目錄」，並建立細菌抗藥預警制度。 管理辦法將於2012年8月起正式施行，一般預料將有助於改善中國抗菌藥物濫用的現象，然用藥限制也必定衝擊現今許多對抗菌藥物產品銷售已存有高度依賴性的企業；相反地，由於管理辦法中明文將「具有抗菌作用的中醫製劑」排除於管制範圍外，或許將促成抗菌中醫藥品的發展契機，而值得持續觀察之。
摩托羅拉告蘋果專利侵權，手機大廠展開互告混戰摩托羅拉旗下子公司Motorola Mobility於10月6日向美國國際貿易委員會(ITC)提訴，指蘋果公司的iPhone, iPad, iTouch 以及一些 Mac電腦侵害其專利，同時Motorola Mobility也在伊利諾州北區和佛州南區的聯邦法院提出告訴。值得一提的是，在對法院提出的告訴中僅僅是 “指稱” 多種蘋果公司的產品如Apple iPhone 3G, Apple iPad等侵害其專利權，像這種沒有提出具體證據的告訴儼然已經成為風氣，似乎違反了最高法院於Bell Atlantic Corp. v. Twombly案中指出必須要提出明確的事證而非僅止於推論(speculation)的要求。 Motorola Mobility提出的3項告訴中共包含18項專利，乃是關於無線通訊技術，例如WCDMA (3G)、GPRS, 802.11、天線設計，以及關鍵的智慧手機技術，包括無線電子郵件、近距感測(proximity sensing)、軟體應用管理等。Motorola 智財部門的副總裁Kirk Dailey表示自蘋果進入通訊市場以來即開始與其長期磋商，但因為蘋果拒絕接受授權所以不得不提出告訴以阻止他們繼續侵權。近來手機市場上專利侵權互告頻繁，摩托羅拉的Android智慧手機日前也遭微軟控告侵權，HTC也與蘋果對簿公堂。Google、蘋果等手機市場的新秀顯然已對摩托羅拉、微軟等老前輩構成競爭壓力，形成手機大廠互相控告侵權的戲碼不斷上演。
新加坡個人資料保護委員會2017年7月發布資料共享指引新加坡個人資料保護委員會(Personal Data Protection Commission, PDPC)於2017年7月27日發布資料共享指引(GUIDE TO DATA SHARING)，該指引協助組織遵守新加坡2012年個人資料保護法(Personal Data Protection Act 2012, PDPA)，並提供組織內部和組織之間的個資共享指引，例如得否共享個資，與如何應用，以確保符合PDPA共享個資之適當方法；並得將特定資料共享而豁免PDPA規範。該指引共分為三部分，並有附件A、B。 指引的第一部分為引言，關於資料共享區分為三種類型探討： 在同一組織內或關係組織間共享 與資料中介機構共享(依契約約定資料留存與保護義務) 與一個或多個組織共享(在不同私部門間、公私部門間) 共享包含向一或多組織為利用、揭露或後續蒐集個資；而在組織內共享個人已同意利用之個資，組織還應制定內部政策，防止濫用，並避免未經授權的處理、利用與揭露；還應考慮共享的預期目的，以及共享可能產生的潛在利益與風險。若組織在未經同意的情況下共享個資，必須確保根據PDPA的相關例外或豁免之規定。 指引的第二部分則在決定共享資料前應考慮的因素： 共享目的為何？是否適當？ 共享的個資類型為何？是否與預期目的相關？ 在該預期目的下，匿名資料是否足以代替個資？ 共享是否需要得同意？是否有例外? 即使無須同意，是否需通知共享目的？ 共享是否涉及個資跨境傳輸? 上述因素還能更細緻對應到附件A所列應思考問題，附件B則有相關作業流程範例。 指引的第三部分，具體說明如何共享個資，與資料共享應注意規範，並提供具體案例參考，值得作為組織遵守新加坡個人資料保護規範與資料共享之參考依據。