從「梅花烙」與「宮鎖連城」著作權侵權糾紛案看劇本實質近似之判斷方式
王靚穎
專案經理 編譯整理
賽雷拉（ Cel-era）公司創始人溫特克萊首度來台，他是四年前完成人類基因體解碼的靈魂人物，他建議可運用基因解碼技術，建立基因資料庫，解決台灣醫療資源浪費。 事實上，早在2004年2月行政院科技顧問組為追蹤研究國人常見疾病與基因之間的關係，宣布推動「台灣疾病與基因資料庫」建置計畫。希望透過該基因資料庫的建立，確實掌握國人致病基因，奠定基因治療基礎，除了有效節省醫療資源浪費，更可鎖定特有亞洲疾病為研發重心，作為生技產業發展的優勢利基。台灣人口數約有二仟多萬，且具有完整健全的全民健保及戶籍資料，再加上台灣生物科技產業技術的蓬勃發展，想要建立大型的基因資料庫技術性應相當可行。國外有冰島和英國等多國發展之經驗可參考。 由於涉及人權自主、個人隱私、安全保密、社會倫理、研究成果的利益分享、以及由誰來擔任執行單位等方面的爭議，加上目前國內法令規範不足，既有相關法令多為位階較低的指導性公告，確實有必要建置相關配套制度及法律，以協助該計劃落實執行與發展。
歐盟執委會發布指引以因應《人工智慧法》「禁止的人工智慧行為」條文實施歐盟執委會於2025年2月4日發布「關於禁止的人工智慧行為指引」（Commission Guidelines on Prohibited Artificial Intelligence Practices）（下稱「指引」）」，以因應歐盟《人工智慧法》（AI Act，下稱AIA）第5條關於「禁止的人工智慧行為」之規定。該規定自2月2日起正式實施，惟其內容僅臚列禁止行為而未深入闡釋其內涵，執委會特別制定本指引以避免產生歧義及混淆。 第5條明文禁止使用人工智慧系統進行有害行為，包括：利用潛意識技術或利用特定個人或群體之弱點進行有害操縱或欺騙行為、實施社會評分機制、進行個人犯罪風險預測、執行無特定目標之臉部影像蒐集、進行情緒識別分析、實施生物特徵分類、以及為執法目的而部署即時遠端生物特徵識別系統等。是以，指引就各禁止事項分別闡述其立法理由、禁止行為之具體內涵、構成要件、以及得以豁免適用之特定情形，並示例說明，具體詮釋條文規定。 此外，根據AIA規定，前述禁令僅適用於已在歐盟境內「投放市場」、「投入使用」或「使用」之人工智慧系統，惟對於「使用」一詞，並未予以明確定義。指引中特別闡明「使用」之定義，將其廣義解釋為涵蓋「系統投放市場或投入使用後，在其生命週期任何時刻的使用或部署。」 指引中亦指出，高風險AI系統的特定使用情境亦可能符合第5條的禁止要件，因而構成禁止行為，反之亦然。因此，AIA第5條宜與第6條關於高風險AI系統的規定交互參照應用。 AIA自通過後，如何進行條文內容解釋以及法律遵循義務成為各界持續討論之議題，本指引可提升AIA規範之明確性，有助於該法之落實。
我國去識別化實務發展－「個人資料去識別化過程驗證要求及控制措施」我國關於個人資料去識別化實務發展 財團法人資訊工業策進會科技法律研究所 2019年6月4日 壹、我國關於個人資料去識別化實務發展歷程 我國關於個資去識別化實務發展，依據我國個資法第1條立法目的在個資之隱私保護與加值利用之間尋求平衡，實務上爭議在於達到合理利用目的之個資處理，參酌法務部103年11月17日法律字第10303513040號函說明「個人資料，運用各種技術予以去識別化，而依其呈現方式已無從直接或間接識別該特定個人者，即非屬個人資料，自非個資法之適用範圍」，在保護個人隱私之前提下，資料於必要時應進行去識別化操作，確保特定個人無論直接或間接皆無從被識別；還得參酌關於衛生福利部健保署資料庫案，健保署將其所保有之個人就醫健保資料，加密後提供予國衛院建立健保研究資料庫，引發當事人重大利益爭議，終審判決（最高行政法院106年判字第54號判決）被告（即今衛福部）勝訴，法院認為去識別化係以「完全切斷資料內容與特定主體間之連結線索」程度為判準，該案之資料收受者（本案中即為衛福部）掌握還原資料與主體間連結之能力，與健保署去識別化標準不符。但法院同時強調去識別化之功能與作用，在於確保社會大眾無法從資料內容輕易推知該資料所屬主體，並有提到關於再識別之風險評估，然而應採行何種標準，並未於法院判決明確說明。 我國政府為因應巨量資料應用潮流，推動個資合理利用，行政院以推動開放資料為目標，104年7月重大政策推動會議決議，請經濟部標檢局研析相關規範（如CNS 29191），邀請相關政府機關及驗證機構開會討論，確定「個人資料去識別化」驗證標準規範，並由財政部財政資訊中心率先進行去識別化驗證；並以我國與國際標準(ISO)調和之國家標準CNS 29100及CNS 29191，同時採用作為個資去識別化驗證標準。財政部財政資訊中心於104年11月完成導航案例，第二波示範案例則由內政部及衛生福利部（105年12月通過）接續辦理。 經濟部標準檢驗局目前不僅將ISO/IEC 29100:2011「資訊技術－安全技術－隱私權框架」(Information technology – Security techniques – Privacy framework)、ISO/IEC 29191:2012「資訊技術－安全技術－部分匿名及部分去連結鑑別之要求事項」(Information technology – Security techniques – Requirements for partially anonymous, partially unlinkable authentication)，轉換為國家標準CNS 29100及CNS 29191，並據此制訂「個人資料去識別化過程驗證要求及控制措施」，提供個資去識別化之隱私框架，使組織、技術及程序等各層面得整體應用隱私權保護，並於標準公報(107年第24期)徵求新標準之意見至今年2月，草案編號為1071013「資訊技術－安全技術－個人可識別資訊去識別化過程管理系統－要求事項」(Management systems of personal identifiable information deidentification processes – Requirements)，主要規定個資去識別化過程管理系統(personal information deidentification process management system, PIDIPMS)之要求事項，提供維護並改進個人資訊去識別化過程及良好實務作法之框架，並適用於所有擬管理其所建立之個資去識別化過程的組織。 貳、個人資料去識別化過程驗證要求及控制措施重點說明 由於前述說明之草案編號1071013去識別化國家標準仍在審議階段，因此以下以現行「個人資料去識別化過程驗證要求及控制措施」（以下簡稱控制措施）[1]說明。 去識別化係以個資整體生命週期為保護基礎，評估資料利用之風險，包括隱私權政策、隱私風險管理、隱私保護原則、去識別化過程、重新識別評鑑等程序，分別對應控制措施之五個章節[2]。控制措施旨在使組織能建立個資去識別化過程管理系統，以管理對其所控制之個人可識別資訊(personal identifiable information, PII)進行去識別化之過程。再就控制措施對應個人資料保護法（下稱個資法）說明如下：首先，組織應先確定去識別化需求為何，究係對「個資之蒐集或處理」或「為特定目的外之利用」（對應個資法第19條第1項第4、5款）接著，對應重點在於「適當安全維護措施」，依據個資法施行細則第12條第1項規定，公務機關或非公務機關為防止個資被竊取、竄改、毀損、滅失或洩漏，採取技術上及組織上之措施；而依據個資法施行細則第12條第2項規定，適當安全維護措施得包括11款事項，並以與所欲達成之個資保護目的間，具有適當比例為原則。以下簡要說明控制措施五大章節對應個資法： 一、隱私權政策 涉及PII處理之組織的高階管理階層，應依營運要求及相關法律與法規，建立隱私權政策，提供隱私權保護之管理指導方針及支持。對應個資法施行細則第12條第2項第5款適當安全維護措施事項「個人資料蒐集、處理及利用之內部管理程序」，即為涉及個資生命週期為保護基礎之管理程序，從蒐集、處理到利用為原則性規範，以建構個資去識別化過程管理系統。 二、PII隱私風險管理過程 組織應定期執行廣泛之PII風險管理活動並發展與其隱私保護有關的風險剖繪。直接對應規範即為個資法施行細則第12條第2項第3款「個人資料之風險評估及管理機制」。 三、PII之隱私權原則 組織蒐集、處理、利用PII應符合之11項原則，包含「同意及選擇原則」、「目的適法性及規定原則」、「蒐集限制原則」、「資料極小化原則」、「利用、保留及揭露限制」、「準確性及品質原則」、「公開、透通性及告知原則」、「個人參與及存取原則」、「可歸責性原則」、「資訊安全原則」，以及「隱私遵循原則」。以上原則涵蓋個資法施行細則第12條第2項之11款事項。 四、PII去識別化過程 組織應建立有效且周延之PII去識別化過程的治理結構、標準作業程序、非預期揭露備妥災難復原計畫，且組織之高階管理階層應監督及審查PII去識別化過程之治理的安排。個資法施行細則第17條所謂「無從識別特定當事人」定義，係指個資以代碼、匿名、隱藏部分資料或其他方式，無從辨識該特定個人者，組織於進行去識別化處理時，應依需求、風險評估等確認注意去識別化程度。 五、重新識別PII之要求 此章節為選驗項目，需具體依據組織去識別化需求，是否需要重新識別而決定是否適用；若選擇適用，則保留重新識別可能性，應回歸個資法規定保護個資。 參、小結 國際上目前無個資去識別化驗證標準及驗證作法可資遵循，因此現階段控制措施，係以個資整體生命週期為保護基礎，評估資料利用之風險，使組織能建立個資去識別化過程管理系統，以管理對其所控制之個人可識別資訊進行去識別化之過程，透過與個資法對照個資法施行細則第12條規定之安全維護措施之11款事項，內化為我國業者因應資料保護與資料去識別化管理制度。 控制措施預計於今年下半年發展為國家標準，遵循個資法與施行細則，以及CNS 29100、CNS 29191之國家標準，參照國際上相關指引與實務作法，於技術上建立驗證標準規範供產業遵循。由於國家標準無強制性，業者視需要評估導入，仍建議進行巨量資料應用等資料經濟創新業務，應重視處理個資之適法性，建立當事人得以信賴機制，將有助於產業資料應用之創新，並透過檢視資料利用目的之合理性與必要性，作為資料合理利用之判斷，是為去識別化治理之關鍵環節。 [1] 參酌財團法人電子檢驗中心，個人資料去識別化過程驗證，https://www.etc.org.tw/%E9%A9%97%E8%AD%89%E6%9C%8D%E5%8B%99/%E5%80%8B%E4%BA%BA%E8%B3%87%E6%96%99%E5%8E%BB%E8%AD%98%E5%88%A5%E5%8C%96%E9%81%8E%E7%A8%8B%E9%A9%97%E8%AD%89.aspx（最後瀏覽日：2019/6/4） 財團法人電子檢驗中心網站所公告之「個人資料去識別化過程自評表_v1」包含控制措施原則、要求事項與控制措施具體內容，該網站並未公告「個人資料去識別化過程驗證要求及控制措施」，故以下整理係以自評表為準。 [2] 分別為「隱私權政策」、「PII隱私風險管理過程」、「PII之隱私權原則」、「PII去識別化過程」、「重新識別PII之要求」。
因應國際法規變動趨勢的營業秘密管理建議因應國際法規變動趨勢的營業秘密管理建議 資訊工業策進會科技法律研究所 2024年06月24日 因應技術進步導致資訊的存取與分享更加容易，營業秘密侵權爭議也隨之增長，綜觀國際政策推動或許多跨國智財專家均逐漸重視營業秘密爭議相關議題，並論及營業秘密相關法規趨勢、訴訟經驗、建議企業可執行的營業秘密管理做法等，以下將綜整相關趨勢與專家觀點並提出我國企業建議。 壹、法規變動趨勢 從國際趨勢以觀，各國針對「競業禁止」規定，有逐漸對其嚴格審查與進行法規監管的趨勢，而這也使得透過限制性條款避免機密資訊外洩的難度提高，企業多轉而透過營業秘密管理來加強防護。 一、競業禁止 本文列舉了近期美國與英國對於競業禁止法規監管的趨勢。 （一）美國將從聯邦層級禁止「競業禁止」條款 美國聯邦貿易委員會（Federal Trade Commission，下稱FTC）於今年，2024年4月23日推出一項最終規定「Non-Compete Clause Rule[1]」，該規則將針對除了高級管理人員以外之員工，使僱主與員工之間已簽訂競業禁止協議無效，並禁止未來僱主與員工簽訂競業禁止合約。 （二）英國擬立法限制「競業禁止」之最高法定期限 英國目前的競業禁止相關限制係基於英美法，以法院的個案判決及既判例來執行。英國政府於2020年12月4日至2021年2月26日期間向公眾進行諮詢，並就諮詢意見之政府回覆於2023年發布報告[2]，英國政府在該報告中提出，就目前國際實務上競業禁止條款之執行期間除了美國部分州已直接被禁止外，多半未進行太多限制，如德國最高為24個月、義大利最長可達三至五年，而英國政府提出其擬將在議會時間允許的情況下提出立法領先引入「最多三個月[3]」之上限，對於競業禁止條款進行限制。 二、合理保密措施 承上所述，基於「競業禁止」條款的效力可能因為政策、法規變動或在不同國家的規定不同而導致已簽署之競業禁止條款失去效力、尚未簽署之契約禁止再簽署競業禁止條款或只允許在受有限制之情況下簽署等，企業透過此類限制性條款來避免機密資訊外洩的難度提高，使的企業多轉而透過其他日常營業秘密管理措施來加強防護，及證明企業有落實營業秘密的「合理保密措施」之法律要件。 以美國加州為例，該州多年前就禁止「競業禁止」約定，故當地企業早已轉往透過建置營業秘密政策和保護措施來加強防護。 貳、具體營業秘密管理措施之建議 一、合理保密措施之目的 合理保密措施除了作為補足無法使用限制性條款（競業禁止條款）之替代管制措施具有「預防營業秘密洩漏之效果」以外；更具有在營業秘密侵權發生後，訴訟上舉證之用。許多智財實務專家表示，無論是在哪一國法規的管轄下，權利人共通性的困難多在於訴訟的舉證上，因此專家建議企業應留存營業秘密管制措施之執行紀錄以作為將來涉訟時舉證之用。 二、營業秘密管理之具體作法 參照實務上專家的建議，本文彙整將實務上被推薦之具體營業秘密管理做法[4]羅列如下： （一）確立並可以識別營業秘密範圍 對於企業而言，首先應識別並記錄出營業秘密（機密）範圍，才能明確管制措施的範圍，並透過機密的標示（例如浮水印）來使員工能夠認知到接觸的資訊為公司重要的營業秘密。 （二）監控 針對下載、複印、數據傳輸行為或者其他可能包含機密資訊之公司設備等行為公司應進行監控。 （三）使用行為管制 公司應限縮傳播範圍（包含禁止員工通過電子郵件將資訊發送到個人電子郵件或將機密文件攜出公司等）；並於不使用時妥善存放保管並上鎖或設置密碼管控。 （四）人員管制 員工作為營業秘密管控機制重要的一環，專家建議應對員工進行教育訓練（告知營業秘密重要性或提供有關如何識別和保護機密資訊的培訓）；與相關人員（員工、承包商、合作單位）簽署保密契約（confidentiality agreements）明確定義機密資訊之範圍以及禁止未經授權的使用與揭露；設立離職員工管控機制（包含離職面談、保存相關設備、甚至如果員工可能進入競爭對手工作，企業可評估是否進一步請合格第三方進行鑑識或取證員工身上是否攜帶機密資訊等，以作為未來若涉訟之舉證）等。 參、評析 綜上所述，企業或許已經理解建立合理保密措施並留存作為訴訟時舉證之證據的重要性，並了解些許零散的管理做法，但可能產生管理措施如何才算是完善的疑問，為了提供企業更全面的管理建議，資策會科法所創意智財中心以其在智財領域之研究與實務經驗的積累發布「營業秘密保護管理規範」[5]（下稱管理規範）將管理措施透過十個單元建立PDCA管理循環。 經查，上述國際法規變動下實務專家討論之營業秘密管理措施均包含在管理規範內，如「（一）確立並可以識別營業秘密範圍」會對應到管理規範第4單元「營業秘密的確定」章節；「（二）監控」會對應到管理規範之第5單元「營業秘密的使用管理」及第7單元「網路與環境設備管理」；「（三）使用行為管制」會對應到管理規範之第5單元「營業秘密的使用管理」；「（四）人員管制」會對應到管理規範之第6單元「員工管理」與第8單元「外部活動管理」。 管理規範除了提供更加多元完善的管理做法（如定義出的營業秘密應進行機密分級、設定保密期限建立管理清單；除了管制流通、複製行為，後端的銷毀或使用紀錄留存、預警措施之建立也很重要；對於員工的管控不僅是離職時，更是從入職時就有風險需要管控；或者更後端的爭議處理機制、監督與改善機制之建立等）以外，更重要的是，管理規範納入了企業應考量的相關法律風險，以「（二）監控」之建議為例，管理規範第6.3.2條進一步要求應對員工進行「宣導」，告知員工「會監控其使用營業秘密行為並保存相關電磁紀錄」，此規定對於企業而言十分重要，因為若未進行告知，可能會因為侵害員工的隱私權，違反刑法妨害秘密罪以及通訊保障及監察法之違法監察通訊罪，而使雇主被判刑。 由此可知，企業在建立營業秘密合理保密措施之相關機制時，亦需要注意措施的完善與合法性，企業除了可參考管理規範系統性建立營業秘密管理機制外，亦可以此管理規範做為檢視自身管理措施符合性之依據，進而促進企業有效落實營業秘密管理。 [1]Federal Trade Commission, FTC Announces Rule Banning Noncompetes (2024), https://www.ftc.gov/news-events/news/press-releases/2024/04/ftc-announces-rule-banning-noncompetes (last visited May 15, 2024). [2]Consultation outcome Measures to reform post-termination non-compete clauses in contracts of employment, GOV.UK, https://www.gov.uk/government/consultations/measures-to-reform-post-termination-non-compete-clauses-in-contracts-of-employment#full-publication-update-history (last visited Jun. 19, 2024). [3]同前註，引述原文：「The government will introduce a statutory limit on the length of non-compete clauses of 3 months and will bring forward legislation to introduce the statutory limit when parliamentary time allows.」。 [4]Q&A: Trade secret disputes, Financier Worldwide Magazine, Financier Worldwide Magazine, https://www.financierworldwide.com/qa-trade-secret-disputes (last visited Jun. 05, 2024). [5]<營業秘密保護管理規範>，財團法人資訊工業策進會科技法律研究所網站，https://stli.iii.org.tw/publish-detail.aspx?no=72&d=7212（最後瀏覽日：2024/06/14）。