加拿大配合數位隱私法之推行，公告安全防護措施違反之規則草案
加拿大數位隱私法（Digital Privacy Act）於2015年6月18日獲得皇室御准，該法目的係為修訂規範私部門運用個人資料的聯邦個人資料保護及電子文件法（Personal Information Protection and Electronic Documents Act, PIPEDA）。該法有多個章節於公告時便即刻施行，但仍有部分章節需待日後其他行政機關公告配套之法規後始能正式施行，例如該法的重點章節之一：「安全防護措施之違反」（Breaches of Security Safeguards）。
歷經約莫兩年，加拿大創新、科學及經濟發展部（Innovation, Science and Economic Development Canada）於2017年9月2日公告安全防護措施違反之規則草案（Breaches of Security Safeguards Regulations），以及規則衝擊分析聲明（Regulatory Impact Analysis Statement）。草案自公告時起開放30天供相關利益關係人發表意見，未來將和數位隱私法的「安全防護措施之違反」同時生效施行。
草案制定目的在於確保加拿大本國人若遇有資料外洩且具有損害風險時，可收到精確的相關資訊。私部門對本人的通知應包含使本人可理解外洩的衝擊和影響的詳細資訊。草案確保加拿大個人資料保護公署（Office of the Privacy Commissioner of Canada）之專員亦能獲得有關資料外洩的確實且對等資訊，並可監督、確認私部門遵守法規並執行。草案詳載私部門於通報個人資料保護公署時應提交的資訊，以及通知本人時應提供的資訊，且不限制私部門額外提供其他資訊。遇有資料外洩情事而故意不即時通報個人資料保護公署或通知本人者，最高將可處十萬美金罰鍰。
蕭郁溏
法律研究員 編譯整理
Digital Privacy Act, S.C. 2015, c. 32 (Can.).
Proposed Breach of Security Safeguards Regulations, C. Gaz., Vol. 151, No. 35 (Can.).
Lisa R. Lifshitz, Ottawa's Draft PIPEDA Amendments Highlight the Importance of Security Safeguards, CANADIAN LAWYER, Sept. 18, 2017, http://www.canadianlawyermag.com/author/lisa-r-lifshitz/ottawas-draft-pipeda-amendments-highlight-the-importance-of-security-safeguards-13673/ (last visited Sept. 22, 2017).
近期幾家大信用卡公司遭駭客入侵，使得消費者受到了越來越大的身份被盜用的威脅。對此，能使購物更加安全的技術，特別是生物識別技術，包括電影中常見到的虹膜掃描，以及相對普及的指紋，聲音，臉部特徵識別等，越來越引發了人們的興趣。 目前，美國第二大零售連鎖店 Albertson 已經和其他數百個零售商一起加入了生物識別付款的試點行列。該公司發言人表示，新付款方式則大大加速了結帳的速度；另外也可以自動識別是否賣菸酒給未成年人。 不過生物識別技術的根本的缺陷在於隱私問題，因?這項技術意味著對個人資訊的集中儲存。而這個系統必然會成?駭客和其他居心不良者的「蜜罐」，一旦這個儲存系統被攻破，並將受害者的生物資訊惡意更改，受害者將面臨身份被終極盜用的噩夢。
新加坡個人資料保護委員會針對企業蒐集、使用、揭露永久居留證(NRIC)號碼提出新的諮詢指引考量各行各業的從業習慣及民眾對企業蒐集、使用、揭露永久居留證(National Registration Identification Card, NRIC)號碼之看法，新加坡個人資料保護委員會(Personal Data Protection Commission, PDPC)於2017年11月提議修改個人資料保護法的諮詢指引(Advisory Guidelines on the Personal Data Protection Act )，明確界定企業蒐集、使用、揭露NRIC及其號碼之範圍。 依據舊的諮詢指引，新加坡個人資料保護法允許企業在基於合理特定目的並依法獲得當事人有效同意之情況下，蒐集、使用或揭露NRIC號碼。因此，不少企業活動習慣蒐集利用民眾的NRIC號碼，包括零售商店所舉辦的抽獎活動。然而，在PDPC提出新的諮詢指引後，企業可蒐集利用NRIC號碼的情況受到大幅限縮。 由於NRIC號碼與個人資訊息息相關且具不可取代性，無差別地蒐集利用將增加資料被用以從事非法活動之風險，故新的諮詢指引闡明，原則上企業不應蒐集、使用或揭露個人NRIC號碼或複印NRIC，除非有下列兩種例外情況之一：(一)法律要求；(二)為確實證明當事人身分所必要。第一種例外情況，雖因法律要求無須取得當事人同意，但企業仍應踐行告知義務，使當事人知悉NRIC號碼被蒐集、使用或揭露之目的，並確保企業內已採行適當安全措施，防止NRIC號碼被意外洩漏。第二種例外情況則仍須就NRIC號碼的蒐集、使用或揭露取得當事人同意，除非符合個人資料保護法規定下毋庸取得當事人同意之例外(如急救等緊急狀況)。 此外，PDPC針對得蒐集、使用或揭露NRIC號碼或複印NRIC的情況，以情境案例方式於諮詢指引中說明供企業參考，另給予12個月的審視期間，使企業得修正組織內部政策並尋找可行替代方案。
從美國政府責任署建議國防部應改善其處理智慧財產的方式初探美國國防部之智財管理從美國政府責任署建議國防部應改善其處理智慧財產的方式初探美國國防部之智財管理 資訊工業策進會科技法律研究所 2022年2月15日 根據美國政府責任署（U.S. Government Accountability Office，下稱GOA）於去（2021）年12月發布的報告指出，美國國防部（U.S. Department of Defense，下稱DOD）對智慧財產的管理能力不足，可能降低任務準備程度並導致維運軍武的成本飆升[1]。本文將簡介GOA報告的發現，聚焦於DOD的智財管理情況，藉此一窺美國國防部的智財管理模式。 壹、事件摘要 美國國會於2018年通過《國防授權法案》（National Defense Authorization Act，簡稱NDAA），裁示DOD建立智財取得及授權政策，DOD據此訂定其智財指令、規劃智財權責單位、人員及相關培訓機制，嗣後國會於2021年委請GAO檢視DOD之智財指令及其執行情況。 貳、重點說明 一、DOD的智財指令 DOD依據以下智財相關法規，設定其智財指令，如：使小型企業、大學和其他非營利組織可保留其發明之專利權的《拜杜法》（Bayh-Dole Act）[2]、授予無論規模大小所有聯邦締約方全部或部分由聯邦資金所獲得的專利權之12,591號行政命令[3]，以及要求DOD應訂定相關規範以解決和締約方間技術資料的相關權利之《國防採購改革法案》（Defense Procurement Reform Act）[4]等，並強調六項核心原則[5]： 1.將智慧財產權規劃整合到採購策略中，以考量對競爭力和可負擔性的長期影響。 2.確保採購專業人員具備履行公務所需的相關智財知識，以支援智財採購規劃期間內進行關鍵的跨職能協調。 3.對智財可交付成果和相關授權進行特別協商，相較標準授權能更有效地平衡DOD和產業界間的利益。 4.就預期智財和維運目標與產業界進行明確有效的溝通。 5.尊重和保護私部門和政府資助的智慧財產權。 6.政府必須確保締約方所交付之智財成果和有相應的授權。 二、GAO檢視DOD之智財指令執行結果 應國會要求，GAO對DOD的智財指令進行通盤檢視，並對智財權責單位、人員及負責培訓之機構展開調查，訪談相關人員指令的實際執行情況，其檢視結果如下： （一）DOD的智財指令不足以促進其取得智財的製程細節或處理資料權利之能力 DOD智財指令雖整合取得、授權智財的相關法規和指引等要求，並強調其核心原則，然該指令和DOD其它相關的內部指令仍未有更明確的內容可解決取得細部製程或處理資料權利的問題。DOD通常會為其新銳軍武器系統－包含電腦軟體、技術資料、用戶手冊等取得或註冊智財權，而DOD智財指令所指的技術資料，是包括任何科學或技術性質的記錄資訊，如：產品設計或維護資料和電腦軟體檔案（含：執行程式碼、開源碼、程式碼清單、設計細節、流程、流程圖等）；但常未同步取得用於運行和維護武器系統的智財，如：細部製程或技術資料等[6]，倘若未及早取得或獲得相關授權，可能影響軍武系統的操作和維護，從而影響武器的競爭力，並增加管理成本[7]。 實際上，GAO已接獲因技術資料取得問題而對任務有不良影響的報告：2021年7月F-35計劃因維修供應商取得的技術資料不足以滿足維護需求，使關鍵的引擎維修時間比預期的更久；2020年3月部分海軍艦艇計劃的維護作業也因缺乏技術資料出問題，而上述情況若在計畫前期就確認包含技術資料和細部製程等所需智財，並在採購過程中及早規劃取得，可因此節省後續衍生的數十億美元維護成本[8]。 （二）DOD尚未為智財人員訂定完善的策略、人員配置規劃和投注足夠的資源，以充分履行智財指令所規定的廣泛職責 根據GOA的調查與訪談相關人員，智財人員在以下情況都面臨不確定性： 1.資金和人員配置 DOD目前計劃在2023財會年度前，為智財主任及其在國防部長辦公室（Office of the Secretary of Defense，下稱OSD）的團隊提供五個職位的資金，但其中四個為臨時職位，這可能在招聘人才的過程中造成反效果，不利於未來的人員配置。 2.連結其他計劃專家支援不足之處 OSD的智財人員希望DOD中其他計畫的智財專家庫能提供支援，協助訂定智財策略並與承包商進行談判等事宜，但DOD尚未針對 OSD智財團隊將如何和其他專家合作提出具體作法。 3.專業知識 DOD的智財指令指出智財人員應該具備：採購、擬定契約、工程學、法律、後勤、財務分析以及估值等領域的專業知識，但受訪談的人員表示，該部門目前在智財權估值和財務分析這兩個關鍵領域仍有不足，仍須進行補強[9]。 （三）智財培訓涵蓋多項活動但未安排優先順序，且未具體確定哪些人員應該接受培訓 DOD的智財培訓由其設立的美國國防武獲大學（Defense Acquisition University，又譯為國防軍需大學，下稱 DAU）執行，該大學專為國防相關之政府人員、承包商提供採購、技術和後勤等專業培訓[10]。為改善智財培訓，DAU展開為5年期的智財策略計畫，計有60多項活動待執行，但該策略計劃缺乏重點，沒有排出活動的優先順序，也未具體提出DOD的哪些智財人員應該接受培訓[11]。 （四）DOD須致力發展追蹤已取得／授權智財之後續使用情況的能力 DOD目前的智財指令指示相關政府單位須管理智財相關的契約及智財文件，以避免在採購智財及其相關授權時重複採購，或隨時間流逝而喪失智財權，然而根據訪談結果，相關人員表示DOD採購極大量的智財或相關授權，但不具備追蹤各個智財獲授權使用情形的能力[12]。 三、GAO對DOD的建議 GAO彙整其檢視DOD智財指令執行情況的結果後，對DOD提出下列四個建議[13]，建議內容不外乎是指定與智財管理相關的重要項目須指定負責人，且該負責人須為對應智財相關單位的較高管理階層，確保待改善項目有監督與執行者。 （一）完善智財指南 採購及維護次長（The Under Secretary of Defense for Acquisition and Sustainment）應確保DOD智財指南已闡明DOD人員將如何取得細部製程或技術資料。 （二）確保跨部門合作與資源連結 國防部長（The Secretary of Defense)應確保部長辦公室和各部門所需的合作、人員配置和資源，以連結各計畫智財相關專家、人員。 （三）確認智財活動優先順序 採購助理部長（Assistant Secretary of Defense for Acquisition）應確保智財主任（Director of the IP Cadre）與DAU主席合作，為DAU在2023年至2025年間主責與智財相關活動確定優先順序。 （四）確保智財培訓效益 採購助理部長（Assistant Secretary of Defense for Acquisition）應確保智財主任訂定補充指引，以協助部門負責人和採購職業管理主任（Director of Acquisition Career Management，DACM）確定國防部人員在關鍵專業領域接受之智財培訓和取得的證書能使其有最大的獲益。 參、事件評析 綜觀GAO的檢視結果，雖然DOD的智財管理仍有改善空間，但以足見美國聯邦政府對其智財管理之重視程度，不僅指示部會自行管理智財，更透過部會外的公正單位，從規範到組織實際執行情況進行通盤檢視；而部會內部對於智財管理的程度，已經從訂定和整合智財相關規範，進一步到落實在日常任務中，不只重視部會所需技術本身的智財取得或保護，更欲推進到策略計劃前期，將維護軍武相關的細部製程和技術資料等相關內容及權利也納入採購範圍，甚至為此盤點智財所需的專業能力、規劃培訓專門人員，以促進智財管理的量能，其對智財管理深化及重視的程度值得我國借鏡。 [1] GAO, Defense Acquisitions: DOD Should Take Additional Actions to Improve How It Approaches Intellectual Property, (Nov. 30, 2021), available at https://www.gao.gov/products/gao-22-104752 (last visited Feb. 7, 2022) [2] The Patent and Trademark Law Amendments Act of 1980 (Bayh-Dole Act), 35 U.S.C.§§ 200–211, 301–307. [3] President’s Memorandum to the Heads of the Executive Departments and Agencies,Government Patent Policy (Feb. 18, 1983); Exec. Order No. 12,591, § 1(b)(4), 52 Fed. Reg. 13,414 (Apr. 10, 1987) [4] Defense Procurement Reform Act, 1984, Pub. L. No. 98-525, § 1201. [5] Supra note 1, 17-18. [6] Id., 7, footnote 21. [7] Id., 1. [8] Id., 1. [9] Id., 24-28. [10] DAU, About DAU, at https://www.dau.edu/about (last visited Feb., 7, 2022) [11] Id., 29-30. [12] Id., 32-33. [13] Id., 33-34.
歐洲汽車供應商協會發表關於標準必要專利之政策指南，以期有關單位能給予汽車產業更明確的指示歐洲汽車供應商協會（European Association of Automotive Suppliers，俗以CLEPA簡稱之）於2023年3月7日發表〈關於標準必要專利之政策指南—一個可因應汽車產業數位轉型現象的歐盟專利規則〉（Standard Essential Patents Policy guidelines—For an EU patent regulation that adapts to the digital transformation in the mobility ecosystem），以期有關單位能給予汽車產業更明確的指示，舉凡：SEP專利權人可向何人為授權、「合於FRAND原則之授權條款」應如何被認定等。 CLEPA提及，由於在一技術領域中有SEP時，其他的技術無「迴避設計」（design-around）可能性，而必得實施該被選為標準之技術，故在該技術領域中，無其他技術可與「受該SEP保護」的技術相抗衡；是以該SEP的價值必須被審慎且精確評估。此外，CLEPA指出，由於汽車產業會投資、研發、銷售有助於未來「移動性」（mobility）發展的下世代產品，故此產業與智慧財產權議題有高關聯性（例如：此產業每年會申請超過39,000筆專利權），應予其在SEP議題上有足夠的明確性（certainty）及可預測性（predictability），使其在「投資於廣泛實施標準的『新技術』」上，更可依循。而創建一個「利益平衡」（balanced）的環境，將有助於授權雙方進行合於「誠信原則」（good-faith）的授權協議。 CLEPA為以上目的，提出五點建議： （1）應有一「歐盟層級」的立法 一個「歐盟層級」（EU-level）的法架構體系是較足以為SEP專利權人及專利實施者間，提供較「利益平衡」的環境，且較可抑制不公平的SEP授權行為。 （2）「供應鏈中任一層級，均可得授權原則」 凡任何欲得授權者，不論其位於供應鏈中何層級，均應予其有「在符合FRAND原則」下，被授權的機會。又，由於一技術之所以會成為「標準」，係因被「商討」（coordination）而出，倒不一定是因其在市場競爭上，真的有大勝於其他技術的優勢，故授權權利金應僅可反映該技術本身的價值，而不可將「因標準化而可帶來的其他廣大利益」摻入。 （3）對於SEP授權條款應有明確指示 政策制定者及各「標準制定組織」（Standard Setting Organization, SSO）應對「何謂合於FRAND原則之授權條款」提供指南；此外，也應提出就一SEP及其有被納入的「專利組合」（portfolios）的評價方法。 （4）供應鏈中的授權狀況應明瞭 專利實施者應清楚明瞭其是否應獲授權，或其上游元組件供應商是否已獲授權。 （5）應有完整的法體制 政策制定者應制定法體制或應提供關於法體制的指南，以避免SEP專利權人不當申請「禁制令」（injunction），以強使授權協議之可被達成。