歐盟網路暨資訊安全局發布「重要基礎設施資訊安全培訓需求盤點報告」加強重要部門資訊安全作業
歐盟網路暨資訊安全局於2017年12月7日發布「重要基礎設施資訊安全培訓需求盤點報告」(Stocktaking of information security training needs in critical sectors)之文件，點出各重要基礎設施之「電腦安全事件反應小組」(Computer Security Incident Response Teams, CISRT)所必須接受之資安訓練種類。
歐盟之網路與資訊系統安全指令(The Directive on security of network and information systems, NIS Directive)規範各成員國之重要服務營運者(operator of essential service)必須確認出哪些服務於維繫社會與經濟活動上具備重要性。被認定具備重要性之部門如下:能源、運輸、銀行業、金融市場基礎設施、健康照護部門、飲用水供應與分配、數位基礎設施。
此份報告指出，該重要性部門之資安等級需求並不盡相同，因此導致各部門面對資安事件之準備無法相提並論。例如，能源產業會用到SCADA系統，而金融市場基礎設施則普遍沒有相關需求。而由於NIS指令將上述七種部門列為資訊安全維護最高層級，故此份報告目的係確認該部門當前的處境，並與現階段可取得之網路安全訓練對照，進一步具體檢視各重要部門是否有其他額外的網路安全訓練需求。
我國行政院於民國106年4月公布之資通安全管理法草案要求關鍵基礎設施提供者應訂定、修正、實施資通安全維護計畫，並向中央目的事業主管機關或直轄市、縣（市）政府提出該計畫之實施情形，在未來實際落實各重要性設施之資安維護以及資安小組訓練時，須意識到各重要性設施之資訊安全需求差異性，及相關人員必須針對不同單位而受不同之訓練。
- 零售業個資安全宣導暨安全維護計畫規劃說明會
- (已額滿)114年「企業營業秘密保護實務座談會」(北部場)–營業秘密因應數位環境之保護風險及管理對策
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(實體)
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(直播)
- 【台北場1】通訊傳播事業個資法遵教育訓練
- 【台中場】通訊傳播事業個資法遵教育訓練
- 【新北場】通訊傳播事業個資法遵教育訓練
- 【高雄場】通訊傳播事業個資法遵教育訓練
- 【台北場2】通訊傳播事業個資法遵教育訓練
- 114年「企業營業秘密保護實務座談會」（南部場）
- 114年「企業營業秘密保護實務座談會」（中部場）
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
余和謙
法律研究員 編譯整理
European Union Agency for Network and Information Security https://www.enisa.europa.eu/news
Improving Cooperation between CSIRTs and Law Enforcement: Legal and Organisational Aspects https://www.enisa.europa.eu/publications/improving-cooperation-between-csirts-and-law-enforcement/at_download/fullReport
美國涉密聯邦政府員工之機密資訊維護-保密協議（Non-disclosure Agreement, NDA）之使用 科技法律研究所 2013年12月06日 壹、事件摘要 前美國海軍海豹部隊（SEAL）隊員Matt Bisonnette以化名Mark Owen出版 No Easy Day一書，內容主要描述狙殺Osama Bin Laden的規劃與執行，並蟬聯最佳暢銷書籍。美國國防部對Matt Bisonnette提出洩露國家機密之訴訟，及違反保密協議的規定。以下簡介美國對於聯邦政府官員的機密維護規範及措施，包括保密協議之使用、違反保密協議時對於該聯邦政府員工的追訴以及對於未經授權被揭露之機密資訊的防護；更進一步，聚焦探討美國以「保密協議」規範聯邦政府員工的方式，提供我國參考。 貳、重點說明 一、總統行政命令與機密資訊維護 傳統上，美國對於機密資訊由軍事單位依照軍事規定處理，不過，自從羅斯福總統於1940年發布第8381號行政命令，改變了這個機制。總統第8381號行政命令，授權政府官員保護軍事與海軍基地；爾後，歷任總統便以發布行政命令的方式，建置聯邦政府的機密分級標準，以及各項為維護國家安全的各項法令規定與措施。不過，羅斯福總統係以經特定法規授權為由而發佈總統行政命令，羅斯福以後的總統則是基於一般法律與憲法授權[1]，為維護國家安全之憲法上的責任而發佈總統行政命令；於此，國會則不停的以其他立法的方式，設法平衡總統行政權與國會立法權間權利[2]。 有關總統行政命令之效力，如其規範的主題相同時，新的行政命令效力將會取代前案行政命令。目前美國政府有關機密係根據歐巴馬總統於2009年所發佈總統第13526號行政命令，主題為「國家安全機密資訊（Classified National Security Information）」，其內容及效力取代前行政命令，修改美國聯邦法規第32章2001篇涉及國家安全之機密資訊（32 C.F.R. 2001 Classified National Security Information）[3]，以及勾勒機密資訊分級、解密、機密資訊的處理等議題的框架。 二、涉及國家安全機密資訊之安全維護措施 依據總統第12958號行政命令，機關必須採取管控措施保護機密資訊，包括使用（Access）機密資訊的一般限制、分布機密資訊的控制，與使用機密資訊的特別計畫。第12958號行政命令Sec.4.2（a）規定使用機密資訊的一般限制[4]：聯邦政府員工使用機密資訊前，必需符合下列三大前提要件，包括通過「人員安全檢查（Personnel Security Investigation）」、簽署「保密協議」，與執行職務所「必要知悉（Need-to-know）」，才得以使用機密資訊[5]。 第一項前提要件為「人員安全檢查」，其安全檢查目的在於確定使用機密資訊人員的可信賴度（Trustworthiness），在相關部門或機構完成安全調查確認該人員的可信賴度之後，將授予通過安全檢查的資格，進而進入第二步驟「SF312保密協議」的簽署[6]。 第二項前提要件為簽署「保密協議」，係由美國總統指令所要求，並於總統行政命令所重申[7]凡涉及使用機密資訊之聯邦政府員工（Employee of the Federal Government）、承包商（Contractor）、授權人或受讓人（Licensees or Grantees）等，於使用機密資訊前，必須完成「保密協議」的簽署，否則不得使用。該「保密協議」在法律上為拘束簽署員工（前述通過安全檢查之人員）與美國政府間的契約（Contract）[8]，簽署員工承諾，非經授權不得向未經授權之人揭露機密資訊[9]。 「保密協議」的主要目的在於「告知（Informed）」簽署員工： 1.因信任該員工而提供其使用機密資訊； 2.簽署員工保護機密資訊不得未經授權揭露的責任；與 3.未能遵循協議條款後果。 第三項要件係說明政府聯邦員工得使用機密資訊的範圍，以該員工執行職務所「必要知悉（Need-to-know）」為限。 三、保密協議 「保密協議」（Classified Information Non-disclosure Agreement，一般簡稱為NDA）為機密資訊安全維護措施之一，美國政府藉由該契約協議的內容條款，確立信任關係、責任的範圍，以及未遵循契約條款的後果，並得以此協議防止簽署人未經授權揭露機密資訊，或簽署人有違反情事，對其提起民事或行政訴訟[10]。 通過安全查核者（Security Clearance），將被授與特權（Privilege），此權限不是與生俱來的權利（Right）。當獲得使用機密資訊的特權時，使用人必須背負相對的責任。簽署人一旦簽署與美國政府之間具法律拘束力的「保密協議」，即表示同意遵守保護機密資訊的程序，並於違反協議條款時，受到相對的處罰[11]。 美國利用「保密協議」約束員工對於機密資訊的保護，要求員工於發佈資訊之前，必須將內容提交機構進行審查。著名的案子為Snepp v. United States，最高法院對於「中央情報局（Central Intelligence Agency, CIA）」的前情報員，強制執行所簽署的保密協議，因前員工未遵守與中央情報局間的協議條款，亦即於出版書籍之前，先行提交出版內容給中央情報局審查的約定，中央情報局進而對該書籍的利潤施以法定信託（Constructive Trust），即使中央情報局最終的判斷內容未含機密資訊[12]，也不影響該決定的效力。 （一）「保密協議」的法源基礎 在數個與國家安全機密資訊相關的總統行政命令中，現行「保密協議」所依據法源為總統第12958號行政命令 。第12958號行政命令規定，由「資訊安全監督局」（Information Security Oversight Office, ISOO）負責監督行政部門與政府機關對於「涉及國家安全之機密資訊」的創建或處理事宜[13]。 資訊安全監督局局長為遂行涉及國家安全機密資訊之維護，於1983年頒佈「國家安全決策第84號指令」（National Security Decision Directive No. 84, NSDD 84）[14]規範進行國家安全機密資訊之維護。雖然「保密協議」曾經被挑戰，但卻一直受到聯邦法院（包括最高法院）的支持，為具有法律拘束力和合憲性的文件[15]。 「國家安全決策第84號指令」規定，凡通過安全檢查之人員[16]，必須完成簽署制式保密協議，並待生效後，才得以使用機密資訊。換句話說，相關人員必須以有效的保密協議為條件，才得以使用機密資訊。 「保密協議」應經過「國家安全委員會（National Security Council）」批准，與「司法部（Department of Justice）」的審查，而為法院可執行，而且機關不得接受經簽署員工單方修改用語的「保密協議」[17]。 目前「保密協議」版本稱為312制式表格（Standard Form 312），以下簡稱「SF312保密協議」[18]。 （二）「SF312保密協議」關於（Classified Information）的定義[19] 「SF312保密協議」的「機密」係指標示或未經標示的機密資訊，包括非書面的口述機密資訊，以及雖未歸屬於機密資訊但符合第12958號總統行政命令Sec. 1.2或1.4 (e)的規定[20]，符合機密資訊的標準，或依據其他總統行政命令或法規是否為機密的確認期間（Pending）先行提供機密資訊保護的資訊；但並不包含在將來可能會被歸屬於機密，但目前尚未進入機密分級過程中的資訊[21]。 歐巴馬政府有關國家機密資訊之第13526號行政命令[22]，於機密資訊安全維護部分之內容，仍與第12958號總統行政命令相同[23]。得使用機密資訊之人員僅限向相關主管機關首長展現其使用的資格，並簽署保密協議者，且限於其職務所必要知悉的範圍內，使用機密資訊。 （三）違反「SF312保密協議」的責任[24] 若「SF312保密協議」的簽署員工「知悉或應合理知悉（Knows or Reasonably Should Know）」，該資訊為已標示或未經標示的機密資訊，抑或符合機密資訊的標準但仍處於確認過程的資訊，而其行為將導致或於合理情形下可能導致未經授權揭露機密資訊，則可能需負未經授權揭露機密資訊的法律責任。因此，如於揭露資訊的當時，無根據可認定該資訊為機密資訊或可能成為機密資訊時，該簽署員工不會因為揭露該資訊，而需負未經授權揭露機密資訊的責任[25]。 另外，直至正式解密（Officially Declassified），機密資訊不因已被揭露於公共來源（Public Source），例如大眾媒體，而解密。不過，如僅於公共來源以抽象的方式引述該筆機密資訊，並非屬於再度未經授權揭露機密資訊[26]。 「SF312保密協議」簽署員工於資訊傳遞前，或確認公共來源資訊的正確性時，需先行向有權機關確認該資訊已被解密；若該員工未進一步履行確認資訊機密性，而逕進行資訊傳遞或確認資訊正確性時，該行為將成屬於未經授權揭露機密資訊[27]。 （四）「SF312保密協議」的有效期間 「SF312保密協議」載明，保密協議對於簽署員工的拘束力，從被授權使用機密資訊之時點開始，該員工終身均負保密義務[28]。 該條款明白表示，國家安全敏感性相關的機密資訊，與任一特定個人安全檢查資格的有效期間，並不相關。易言之，未經授權揭露機密資訊對美國所造成的傷害，並不取決揭露人的身分而有不同[29]。 是以，實務上，機關多以違反「保密協議」為訴因，對退職或離職之員工，進行民事或行政訴訟。 「SF312保密協議」所規範的保密義務，適用於所有機密資訊，然而，若某特定資訊已經解密，則按照「SF312保密協議」的規定，該簽署員工則不具持續保密的義務。此外，該「SF312保密協議」的簽署員工，還得發動強制性審查的請求，尋求解除特定的資訊的密等，包括該簽署員工具有使用權限的機密資訊[30]。 （五）違反「SF312保密協議」美國政府可採取的行動 聯邦政府員工如有明知、故意或因過失而未經授權揭露機密資訊，或任何合理預期可能導致未經授權揭露機密資訊之情事，機關首長或資深官員必須即刻通知資訊安全監督局，並採取「適當和及時的校正行動」[31]。 基於「SF312保密協議」，對於未經授權揭露機密資訊事件，美國政府可能至美國聯邦法院提起民事與行政訴訟。 民事訴訟可能分為禁制令（Injunction）、民事金錢損害賠償，與所得利益的追討。 1.禁制令 請求聯邦法院申請發佈禁制令，以禁止公布與以其他方式揭露該機密資訊。例如 United States v. Marchetti案，聯邦法院發佈禁制令，防止前中央情報局情報員以出版書籍的方式揭露機密資訊[32]；或是國務院以撤銷護照的方式，管制人員出境（儘管該人員出國的目的為暴露秘密情報員的身分，擾亂情報工作，而非協助他國政府）[33]。 2.金錢損害賠償 向該員工請求美國政府因未經授權揭露機密資訊所造成損失之金錢的損害賠償。 3.所得利益之追討 償還美國政府因未經授權揭露機密資訊所得之相對代價，或其他金錢或財產上的所得[34]。 如「SF312保密協議」簽署員工違反協議，則美國政府可對其進行行政裁處與處罰，包括譴責（Reprimand）、暫時吊銷（Suspension）聯邦政府員工資格、降級（Demotion），或甚至撤職（Removal），並可能被取消通過安全檢查的資格[35]。 雖然，聯邦政府員工於違反「SF312保密協議」時，美國政府得以違反契約（SF312保密協議）為訴因，向簽署員工提起民事或行政訴訟；不過，如果該員工的行為亦已違反其他刑事規定，政府也可能同時對該洩密員工提起刑事訴訟[36]。但是，法制上並不存在總括性（Blanket Prohibition）規定，處罰所有未經授權揭露涉及國家機密資訊的處罰[37]。 例如，機關得依據18 U.S.C. §798揭露機密資訊（Disclosure of Classified Information）提起刑事訴訟，美國政府必須設法證明符合該條文的構成要件的故意，與該當法條所規定揭露機密資訊要件之狀況。該刑事的舉證責任，比起違反保密協議的舉證責任重了許多；不過，相對的，如政府可舉證證明，其處罰也會比違反保密協議重了許多，不是只有因洩密行為而獲得的利益被沒收，法院還得處以監禁（Incarceration）與罰金（Fines）[38]。 參、事件評析 美國規範認定，使用機密資訊的權限為被授與的特權，而不是與生俱來的權利。美國聯邦政府利用與員工之間的雇用關係，透過保密協議（契約關係）的方式，規範該政府員工對於機密資訊的維護，載明雙方的關係、政府員工的保密責任，以及違反保密協議的後果，並強調該保密協議的效力，一直持續至該員工的終身，這意味著，政府員工於不具安全檢查的資格之後，或甚至是退離職之後，仍受保密協議的拘束。 除了對於員工本身的權利義務與罰則加以規範之外，美國政府亦特別著重於資訊的快速擴散性與保持機密性的需求，對於未經授權而揭露的機密資訊，利用違反保密協議（違約）（Breach of Contract）為手段，儘量減少機密資訊擴散的程度。例如，美國政府對政府員工提起告訴時，以舉證責任來看，證明違反保密協議民事的舉證責任，比需要證明行為人違反刑法規定的刑事舉證責任為輕。再者，透過禁制令的方式，凍結並維持資訊的「現有狀態（Status Quo）」，並且還得於提起民事訴訟的同時，提起刑事。 [1]Jennifer K. Elsea, The Protection of Classified Information: The Legal Framework (2013) CONGRESSIONAL RESEARCH SERVICES, at 1,www.fas.org/sgp/crs/secrecy/RS21900.pdf (last accessed May 11, 2013). [2]同上註。例如1966年「資訊自由法 (Freedom of Information Act, FOIA) 」， 1995年「情報授權法 (Intelligence Authorization Act)」、2000年「公共利益解密法 (Public Interest Declassification Act)」，與2012年「減少過度加密法 (Reducing Over-Classification Act)」。 [3]美國聯邦法規第32章2001篇, 32 C.F.R.2001,http://www.law.cornell.edu/cfr/text/32/2001 (last accessed May 11, 2013). [4]White House, Executive Order 12958 Classified National Security Information (1995), http://www.fas.org/sgp/clinton/eo12958.html (last accessed May 11, 2013). (a) A person may have access to classified information provided that: (1) a favorable determination of eligibility for access has been made by an agency head or the agency head's designee; (2) the person has signed an approved nondisclosure agreement; and (3) the person has a need-to-know the information. [5]NARA/ISOO, Classified Information Nondisclosure Agreement (Standard Form 312) Briefing Booklet (2001), P.1, http://www.fas.org/sgp/isoo/sf312.html (last accessed May 11, 2013). [6]同上註。 [7]White House, Executive Order 12958 Classified National Security Information (1995), http://www.fas.org/sgp/clinton/eo12958.html (last accessed May 11, 2013). [8]NARA/ISOO, Implementing Rule of the “Classified Information Nondisclosure Agreement” Subpart B-Prescribed Forms §2003.20(a) (n.d.), P.55,http://www.wrc.noaa.gov/wrso/forms/standard-form-312_booklet.pdf (last accessed May 11, 2013). “SF 312, SF 189, and SF 189-A are nondisclosure agreements between the United States and an individual. The prior execution of at least one of these agreements, as appropriate, by an individual is necessary before the United States Government may grant that individual access to classified information…”. [9]NARA/ISOO, Classified Information Nondisclosure Agreement (Standard Form 312) Briefing Booklet (2011), http://www.fas.org/sgp/isoo/sf312.html (last accessed May 11, 2013). [10]同上註。 [11]Western Region Security Office, Protecting Classified Information, http://www.wrc.noaa.gov/wrso/security_guide/intro-4.htm (last accessed May 11, 2013). [12]Jennifer K. Elsea, The Protection of Classified Information: The Legal Framework (2013) CONGRESSIONAL RESEARCH SERVICES, at 11,www.fas.org/sgp/crs/secrecy/RS21900.pdf (last accessed May 11, 2013). [13]Jennifer K. Elsea, The Protection of Classified Information: The Legal Framework (2013) CONGRESSIONAL RESEARCH SERVICES, at 11, www.fas.org/sgp/crs/secrecy/RS21900.pdf (last accessed May 11, 2013). See Snepp v. United States, 444 U.S. 507 (1980), noting the remedy in Snepp was enforced despite the agency’s stipulation that the book did not contain any classified information. [14]White House, Executive Order 12958 Classified National Security Information (1995), http://www.fas.org/sgp/clinton/eo12958.html (last accessed May 11, 2013). ISOO, National Security Decision Directive No. 84(n.d.), https://www.fas.org/irp/offdocs/nsdd/nsdd-84.pdf (last accessed May 11, 2013). [15]NARA/ISOO, Classified Information Nondisclosure Agreement (Standard Form 312) Briefing Booklet (2001), P.65, http://www.wrc.noaa.gov/wrso/forms/standard-form-312_booklet.pdf (last accessed May 11, 2013). 保密協議曾有SF189與SF189-A版本，與現行SF312版，不論那一版本的保密協議，均經過司法部專家依據當時或現有法律進行審閱，並確認保密協議的的合憲性和可執行性。最近有關SF189的訴訟，仍維持保密協議基本的合憲性和合法性。 [16]NARA/ISOO, Classified Information Nondisclosure Agreement (Standard Form 312) Briefing Booklet (2001), P.66-67, http://www.wrc.noaa.gov/wrso/forms/standard-form-312_booklet.pdf (last accessed May 11, 2013). 除憲法上被「視為」符合「可信任性（Trustworthiness）」的下列人員外，其他的人員必須符合三項前提要件（包括簽署保密協議），才得以使用機密資訊。「視為」具「可信任性」的人員包括：總統、副總統、國會議員、最高法院法官，與其他由總統提名並經參議院同意的聯邦法院法官，不需以簽署與持已生效的保密契約為條件，即可使用機密資訊。然而，國會議員仍然是以執行職務（立法功能）所「必要（Need-to-know）」的範圍內為限，例如，該國會議員為負責監督秘密情報部門計畫的委員會，該國會議員與該機關首長，仍必須簽署保密協議或其他類似文件後，才得以使非行政機關人員使用機密資訊。 [17]NARA/ISOO, Classified Information Nondisclosure Agreement (Standard Form 312) Briefing Booklet (2001), P.71, http://www.wrc.noaa.gov/wrso/forms/standard-form-312_booklet.pdf (last accessed May 11, 2013). [18]NARA/ISOO, Standard Form 312, http://www.archives.gov/isoo/security-forms/sf312.pdf (last accessed May 11, 2013). [19]NARA/ISOO, Implementing Rule of the “Classified Information Nondisclosure Agreement” Subpart B-Prescribed Forms §2003.20(h)(1)&(2) (n.d.), P.56-57, http://www.wrc.noaa.gov/wrso/forms/standard-form-312_booklet.pdf (last accessed May 11, 2013). [20]White House, Executive Order 12958 Classified National Security Information (1995), http://www.fas.org/sgp/clinton/eo12958.html (last accessed May 11, 2013). Sec. 1.2. Classification Standards. (a) Information may be originally classified under the terms of this order only if all of the following conditions are met: (1) an original classification authority is classifying the information; (2) the information is owned by, produced by or for, or is under the control of the United States Government; (3) the information falls within one or more of the categories of information listed in section 1.5 of this order; and (4) the original classification authority determines that the unauthorized disclosure of the information reasonably could be expected to result in damage to the national security and the original classification authority is able to identify or describe the damage. Sec. 1.4. Classification Authority. (e) Exceptional cases. When an employee, contractor, licensee, certificate holder, or grantee of an agency that does not have original classification authority originates information believed by that person to require classification, the information shall be protected in a manner consistent with this order and its implementing directives. The information shall be transmitted promptly as provided under this order or its implementing directives to the agency that has appropriate subject matter interest and classification authority with respect to this information. That agency shall decide within 30 days whether to classify this information. If it is not clear which agency has classification responsibility for this information, it shall be sent to the Director of the Information Security Oversight Office. The Director shall determine the agency having primary subject matter interest and forward the information, with appropriate recommendations, to that agency for a classification determination. [21]NARA/ISOO, Classified Information Nondisclosure Agreement (Standard Form 312) Briefing Booklet (2001), P.70, http://www.wrc.noaa.gov/wrso/forms/standard-form-312_booklet.pdf (last accessed May 11, 2013). [22]White House, Executive Order 13526 Classified National Security Information (2009), http://www.whitehouse.gov/the-press-office/executive-order-classified-national-security-information (last accessed May 11, 2013). [23]Jennifer K. Elsea, The Protection of Classified Information: The Legal Framework (2013) CONGRESSIONAL RESEARCH SERVICES, at 5, www.fas.org/sgp/crs/secrecy/RS21900.pdf (last accessed May 11, 2013). [24]NARA/ISOO, Implementing Rule of the “Classified Information Nondisclosure Agreement” Subpart B-Prescribed Forms §2003.20(h)(3) (n.d.), P.57, http://www.wrc.noaa.gov/wrso/forms/standard-form-312_booklet.pdf (last accessed May 11, 2013). [25]同上註。 [26]NARA/ISOO, Classified Information Nondisclosure Agreement (Standard Form 312) Briefing Booklet (2001), P.73, http://www.wrc.noaa.gov/wrso/forms/standard-form-312_booklet.pdf (last accessed May 11, 2013). [27]同上註。 [28]同上註。The terms of the SF 312 specifically state that all obligations imposed on the signer “apply during the time [the signer is] granted access to classified information, and at all times thereafter.” [29]同上註。 [30]同上註。 [31]Jennifer K. Elsea, The Protection of Classified Information: The Legal Framework (2013) CONGRESSIONAL RESEARCH SERVICES, at 5, www.fas.org/sgp/crs/secrecy/RS21900.pdf (last accessed May 11, 2013). [32]同上註，at 11, www.fas.org/sgp/crs/secrecy/RS21900.pdf (last accessed May 11, 2013). See United States v. Marchetti, 466 F.2d 1309 (4th Cir. 1972). [33]Jennifer K. Elsea, The Protection of Classified Information: The Legal Framework (2013) CONGRESSIONAL RESEARCH SERVICES, at 11, www.fas.org/sgp/crs/secrecy/RS21900.pdf (last accessed May 11, 2013). See Haig v. Agee, 453 U.S. 280 (1981). [34]NARA/ISOO, Classified Information Nondisclosure Agreement (Standard Form 312) Briefing Booklet (2011), http://www.fas.org/sgp/isoo/sf312.html (last accessed May 11, 2013). [35]NARA/ISOO, Classified Information Nondisclosure Agreement (Standard Form 312) Briefing Booklet (2011), http://www.fas.org/sgp/isoo/sf312.html (last accessed May 11, 2013) & Jennifer K. Elsea, The Protection of Classified Information: The Legal Framework (2013) CONGRESSIONAL RESEARCH SERVICES, at 10-11, www.fas.org/sgp/crs/secrecy/RS21900.pdf (last accessed May 11, 2013). 失去通過安全檢查的資格可能導致失去政府員工的工作機會；另外，除可能被追討金錢的損害賠償外，該名員工如果亦違反「間諜法（Espionage Act）」與「原子能法（Atomic Energy Act）」的相關條款，還有可能喪失退休金（Retirement Pay）或年金（Annuities）。 [36]NARA/ISOO, Classified Information Nondisclosure Agreement (Standard Form 312) Briefing Booklet (2001), P.74, http://www.wrc.noaa.gov/wrso/forms/standard-form-312_booklet.pdf (last accessed May 11, 2013). [37]Jennifer K. Elsea, The Protection of Classified Information: The Legal Framework (2013) CONGRESSIONAL RESEARCH SERVICES, at 10, www.fas.org/sgp/crs/secrecy/RS21900.pdf (last accessed May 11, 2013). [38]Caitlin Tweed, SEAL Team Six Member’s Next Battle Could be in Court (2012), NATIONAL SECURITY LAW BRIEF, http://nationalsecuritylawbrief.com/2012/09/12/seal-team-six-members-next-battle-could-be-in-court/ (last accessed May 11, 2013).
歐洲區塊鏈數位基礎設施聯盟預計於2024年正式開始運作，將進一步擴大推動區塊鏈的公共應用服務歐洲區塊鏈夥伴關係（European Blockchain Partnership, EBP）的成員於2023年6月正式向歐盟執委會（European Commission, EC）申請成立區塊鏈的「歐洲數位基礎設施聯盟」（European Digital Infrastructure Consortium, EDIC），若審核通過，未來歐盟將有一個正式的機構負責推動區塊鏈的發展與應用。 歐盟執委會於2023年1月發布了「2030年數位十年政策計畫」（Digital Decade Policy Programme 2030, DDPP），為促進歐盟數位轉型的大規模部署及能力建構，達到DDPP所設定的具體目標，執委會提出跨（多）國專案（Multi-Country Projects, MCPs）的概念，期待整合歐盟、各成員國、私部門的資源，以實現單一成員國無法獨立部署的數位化基礎設施。 執委會參考2009年開始陸續成立的「歐洲研究基礎設施聯盟」（European Research Infrastructure Consortium, ERIC），提出了「歐洲數位基礎設施聯盟」（EDIC）的規劃。EDIC並非由歐盟的資助計畫支持，而是由成員國申請（至少要包含3個成員國）成立以執行MCPs，EDIC具有法人格，並有獨立的財務來源；此外，EDIC成立後開放私部門參加。 2023年3月執委會發布的「數位歐洲2023~2024年工作計畫」（Digital Europe Work Programme 2023-2024）中，即將「區塊鏈」列為MCPs的重要發展項目之一。2023年6月15日於瑞典舉辦的歐盟數位大會（Digital Assembly 2023）上，執委會表示EBP及歐洲區塊鏈服務基礎設施（European Blockchain Services Infrastructure, EBSI）的相關成員國已遞交EDIC的申請。 斯洛維尼亞共和國（Republic of Slovenia）的區塊鏈小組負責人Nena Dokuzov是成立聯盟的主要推動者之一，其受訪時表示，EBSI從2018年以來，主要是由執委會以專案方式支持，未來聯盟成立以後，將能集結更充足的資源，強化歐洲區塊鏈的治理和穩定性，進一步地擴大推動歐洲區塊鏈的公共應用服務。我國「司法聯盟鏈」於2022年成立，為我國第一個跨部會、大規模的區塊鏈應用案例，並制定了跨組織協作標準規範（簡稱b-JADE），未來可持續觀測歐盟區塊鏈聯盟的發展，作為我國的參照。 本文同步刊登於TIPS網站（https://www.tips.org.tw）
美國FCC廢除網路中立法規2017年12月14日美國聯邦通信委員會(Federal Communications Commission, FCC)以3票對2票表決通過，廢止自2015年來所採取網路寬頻服務的高壓監管規定，並恢復了原來所採取低管制監管框架。支持者與反對者分別來自兩個不同的黨派。 經過詳細的分析以及對消費者和利益相關者的評論廣泛審查後，委員會認為自2015年來對網路寬頻服務採取的高壓規定，對整個網路生態系統施加了巨大的成本。為了取代這個嚴格的框架，FCC重新採用2015年之前的傳統低管制監管框架。 FCC 特別要求行動寬頻服務業者應公開揭露其網路管理政策例如:如何處理網路安全與壅塞問題、服務內容與商業條款等，以利於消費者與業者進行有效選擇，並促進政府對寬頻業者的行為進行有效的監督。此外 ，FCC恢復了聯邦貿易委員會（Federal Trade Commission, FTC）的管轄權，以便在寬頻業者從事反競爭、不公平或欺騙行為時採取行動。 在對消費者的影響方面，自由市場的支持者認為，付費優先的作法，意味在寬頻基礎建設上會有更多投資，使得上網和整體資料傳輸速度大為增加。 為達上述目標，委員會所採取之具體措施如下： 將寬頻接取服務（包括固定與行動寬頻服務）重新歸類為資訊服務。 將行動寬頻接取服務恢復歸類為私人行動服務。 將網路服務提供者有關隱私保護、不公平、詐欺和反競爭行為之管轄權回歸由聯邦貿易委員會負責。 要求網路服務提供者向消費者、企業和委員會揭露有關其做法的訊息，包括阻止，限制，支付優先次序或附屬優先次序。 此外FCC又禁止各州限制擴建寬頻網路服務的法律。據FCC統計，大約20個州有限制社區寬頻網路服務活動的法律，這些州的法律不公平地限制政府部門與有線電視和電信寬頻服務提供商的競爭。 FCC通過該案後引發不少如Google、Facebook及Netflix等科技公司，與消費者保護環體齊力撻伐，認為ISP業者在FCC力挺下，將可隨意限制民眾上網瀏覽的內容，大企業因此具優先權，不利新創網路公司生存發展，且投下反對票的政黨表示，將率領各州對聯邦傳播委員會這項決定提出法律挑戰，透過訴訟尋求翻盤機會。
在中國大陸委託生產時應注意的智財風險在中國大陸委託生產時應注意的智財風險 科技法律研究所 法律研究員 林中鶴 2015年03月31日 壹、前言 中國大陸向來有世界工廠之稱，即使在人事成本升高的今日，仍舊如此。台商為節省人事、物流成本，或就近服務市場等考量，常會委託中國大陸工廠進行生產以求增加獲利。然而，就在這樣的決策當中蘊藏一些台商必須事前注意的智財風險，稍一不慎，就有可能導致台商不可回復的重大損失。尤其，高科技產業是我國產業的重要命脈，流失關鍵技術，更是不可想像的惡夢。 貳、重點說明 一、台商中國大陸不可忽視智財風險 台灣科技大廠聯電在2014年10月宣布決定設立台資在中國大陸第一個12吋晶圓廠，台聯立委立即群起反對，擔心倘若草率西進，製程遭中國大陸廠商模仿、學習，將喪失我國晶圓的代工優勢[1]。類似的疑慮也出現在傳統產業，台灣菸酒公司為了能夠就近服務消費市場，在2010年也決定在中國大陸設立代工廠[2]，委由中國大陸代工，同樣也引發台灣啤酒配方與製程技術可能外流的輿論質疑。對於台商在中國大陸可能遭遇的技術外流疑慮，顯然不是空穴來風。 事實上，中國大陸產業發展，相當仰賴對於國外先進技術的學習與奪取，及知名品牌內容的仿冒與抄襲，各種各樣智慧財產權侵害的新聞不絕如縷，就連國際大廠也早就深受其害。蘋果iPhone 6 在未開賣前，網路上就已經出現披著iPhone 6外衣使用Android核心的山寨機[3]。同時間在中國大陸身為iPhone 6最大組裝廠的富士康，也傳出了有員工因竊取iPhone 6外殼轉賣獲利遭逮捕的消息[4]。由此可見，對於台商來說，委託中國大陸代工，除了技術外流風險之外，也一併伴隨著出現高水準仿冒品的風險。 二、委託中國大陸工廠生產時應注意的智財風險 台商為節省人事、物流成本，或為能就近服務市場，委託中國大陸台商製造產品是個常見的選擇。為了使代工的台商能夠生產符合所需的產品，台商往往除委託代工廠的生產外，必須提供代工廠商產品的精確規格、詳細的製程技術與商標或專利的使用權利，也因此面臨了下述可能的風險： (一) 法規遵循的風險 在委託代工過程中，台商經常也需要提供中國大陸的代工廠必要的製程技術、專利授權或技術指導等跨越國境的技術轉移，因此也涉及到中國大陸官方透過《技術進出口管理條例》對於技術進出口所採行的管制，或透過《專利法》、《專利法實施細則》及《最高人民法院關於審理技術合同糾紛案件適用法律若干問題的解釋》等對於技術轉讓所採取的管制。 由於中國大陸為技術發展中的國家，急欲吸收國外先進技術，因此在技術轉移[5]的管理上，著重在於對於技術受轉移方的保護。一方面禁止技術提供方簽訂不利於技術受轉移方的不當限制競爭條款[6]，另方面要求技術提供方負起較重的保證義務[7]，必須保證其為技術的真正權利人、技術實施能達成約定的目標、技術實施不侵害第三人權利等事項。 除此之外，在涉及跨國技術移轉的場合，官方復依《技術進出口管理條例》將技術進行分級管理，除條例規定禁止進出口之技術不得進出口[8]、限制進出口之技術應先經許可[9]外，自由進出口之技術於契約簽訂後尚須向地方商務部門申請契約備案[10]。未能遵循管制法令，輕則影響轉讓或授權費用匯出中國大陸，重則可能導致技術移轉契約無效，嚴重影響商業合作。 (二) 技術外流的風險 在委託代工過程中，台商常需提供其專有技術、專利技術、製造設備或模具等技術資料，必要時還得提供技術的指導或支援，以確保代工廠商的產能與品質。優質產品的製造技術正是台商重要的競爭力來源，跨越國境的技術移轉不僅增加了技術管理的難度，面對中國大陸積極吸收先進技術的高度競爭環境，技術輸入中國大陸更是大幅提高了技術外流的風險。 從簽署代工委託契約之前或一開始，就存在技術外流的風險。台商在締約前後提供技術資料、技術指導或支援時，就常發生不經意提供超過必要或契約範圍外的技術資訊，這等同於台商將自家技術拱手讓人。即使是在必要或契約範圍內的技術資訊，也可能因為代工廠商及其主管、員工、供應商、承包商等有業務往來關係者的故意或疏失，導致技術外流，影響競爭優勢。除此之外，倘若代工廠商利用台商提供的技術進行了改良，依照《技術進出口管理條例》及《合同法》相關規定，在沒有契約約定下，改良成果即歸屬於改良方，這將嚴重影響到台商原應享有的技術權益。 換句話說，台商除了必須面對中國大陸企業因故意竊密行為，導致技術的違法取得外，還必須留意避免因為自己契約或管理上的疏失導致技術的合法外流。此外，在原有技術外，忽略法令或契約限制造成技術改良的成果歸屬受讓方，也是技術外流的重要風險來源。 (三) 仿冒氾濫的風險 中國大陸的代工廠商一方面為台商生產製造產品，貼上台商的品牌商標，就近服務中國大陸市場，或外銷歐美及日本市場；另方面中國大陸的代工廠商也透過代工的過程不斷學習成長，成為台商潛在的競爭對手。事實上這也是台商一路走過的代工產業歷史。然而，正是這一層的代工關係，使得這些代工廠商成為台商品牌產品潛在的、高度的仿冒風險來源。 在中國大陸各城市或電子商務平台上經常可以看到低價的國外品牌商品，其中有一類俗稱外貿原單或尾單的產品[11]，品質幾乎與正牌商品無異。事實上這些商品並不是品牌廠商合法授權製造、銷售的產品，而是代工廠商將原訂單中基於備份需求額外製造的產品、未通過品質檢驗的不良品或次級品，或在訂單以外利用剩餘原料、零件自行製造的產品。除此之外，倘若代工廠商不僅自行在訂單數量外額外生產產品，外流產品上還貼原廠品牌商標，在價格或品質方面可能影響原廠的市場行銷策略。 除代工過程中流出的原單或尾單外，在代工關係結束後，中國大陸的代工廠商也可能在未經合法授權的情況下繼續製造、銷售原廠的品牌產品。由於透過為台商生產製造產品，不僅提升了製程能力、獲取了技術經驗，同時也建置了足以隨時生產製造產品的模具、設備與廠房規模。除此之外，過程中也可能獲得關於原料、零件或組件之供應商來源等寶貴資訊。這類代工廠商一旦脫離代工關係，從事仿冒生產，更可能因為其品質接近正品，對企業品牌的價值及對外授權的管理將產生更大的衝擊。 參、事件評析 一、明確約定契約條款內容，減輕技轉法令不利影響 面對中國大陸涉外或國內技轉法令的管制，為避免因為未能遵循法令的問題，導致授權契約無效或資金流通受阻，影響企業在中國大陸的生產委託活動，在涉及技術移轉時，建議企業應該留意下述基本事項： 1.契約涉及授權時應明確界定授權型態為獨佔、排他或普通授權 (1)約定不明確時，依司法解釋[12]將視為普通授權 2.契約應充分考慮技轉法令中的保證義務與限制條款 (1)應明確界定因技術實施導致侵害第三人權利之情況 (2)應明確界定技術實施之條件與達成技術目標之標準 (3)應避免不合理的限制競爭條款[13]以免影響契約之效力 (4)大陸商務部取得許可 3.自由輸入之技術移轉契約應行備案並留意外匯所需手續[14] (1)應向地方商務部門提出必要文件取得技術進口合同登記證 (2)申請人憑技術進口合同登記證，辦理外匯、銀行、稅務、海關等相關手續。 二、設想技術外流的可能情境，運用契約與保密措施降低風險 面對委託代工過程中所涉惡意或無意的技術外流，及因技術改良產生的權利流失，節省中國大陸企業技術開發成本，影響我國企業面對中國大陸企業的優勢，建議企業應該留意下述基本事項： 1.事前應評估技術是否適合移轉、是否應先申請專利 (1)企業應評估技術移轉中國大陸是否可能影響核心競爭力 (2)企業應評估技術移轉中國大陸前是否應考慮申請專利保護 2.事前應調查委託生產之對象的生產能力與商業信用 3.應強化委託代工契約條款中關於營業秘密保護之規定與措施 (1)明確約定授權技術的機密範圍、保密義務與違約罰則 (2)要求代工廠商及其員工負保密義務，並採取保密措施(並視需要可約定禁止以反向工程破解取得技術秘密) (3)明確記錄技術資料交付之項目，利於契約結束後回收 (4)明確約定發生技術外流疑慮時，進入現場調查的機制 (5)明確約定各種契約解除及中止之事由，便於代工爭議的善後 (6)明確約定契約後之保密義務與相關回收及銷毀的義務 三、落實委外代工契約管理與稽核，防堵高品質仿冒品的外流 面對代工廠商未經原廠合法授權將備份品、不良品、次級品外流獲利，或利用代工取得之技術、經驗、設備、模具或原材料來源等經營資源自行生產高品質仿冒品，流入中國大陸或海外市場，影響產品的銷售與品牌權益，建議企業應留意下述基本事項： 1.應強化並監督落實契約條款中關於營業秘密保護之規定與措施(同前) 2.契約載明授權的稽核措施且應保存記錄以管控產量 (1)要求代工廠商應保留產品與商標生產數量之相關記錄 (2)要求代工廠商應定期報告，以利權利人掌握生產數量 (3)明確約定權利人閱覽記錄及到現場調查的權利與機制 3.出貨前應作品質檢驗，管控不良品、次級品的銷毀 現場派員監控不良品、次級品的銷毀，避免流出市面 4.契約解除或終止時管控資料、設備或產品等的生產/銷售、回收/銷毀 (1)要求代工廠商立即停止生產、銷售行為 (2)返還持有之技術資料及其影本 (3)廢棄權利人提供之模具或專門製造設備 (4)廢棄或返還使用技術或商標之成品、半成品與包裝材料及商標標籤等 四、小結 台商進前中國大陸，將生產的活動委外，合理配置經營資源，以提升企業的成本優勢。然而，台商在中國大陸的委託生產相對於自行生產或國內生產，面臨了更高的法令遵循風險、技術外流風險與仿冒氾濫風險，尤其是技術的外流，甚至有可能讓台商一擊斃命，流失國際市場的競爭力。因此，正視前進中國大陸的智財風險，在前人的經驗上作好風險預防與因應之道，才能保存住商場廝殺的重要本錢。 [1] 自由時報，〈聯電赴廈門投資 台聯：恐技術外流〉，2014/10/30，http://news.ltn.com.tw/news/politics/breakingnews/1144387（最後瀏覽日：2015/01/26） [2] 自由時報，〈台酒中國設廠 養虎貽患〉，2010/02/24，http://news.ltn.com.tw/news/politics/paper/375069（最後瀏覽日：2015/01/26） [3] 新科技，〈iPhone 6被山寨了！披苹果皮怀揣“安卓心”〉，2014/07/14，http://www.hnetn.com/article/article.asp?id=920671&bid=8561（最後瀏覽日：2015/01/26） [4] 蘋果日報，〈iPhone 6被山寨了！披苹果皮怀揣“安卓心”〉，2014/09/18，http://www.appledaily.com.tw/appledaily/article/finance/20140918/36091338/（最後瀏覽日：2015/03/04） [5] 就《技術進出口管制條例》所稱技術轉移來說，包括專利權轉讓、專利申請權轉讓、專利實施許可、技術秘密轉讓、技術服務和其他方式的技術轉移。原則上技術跨越國境移動之所有型態皆有適用之可能性。 [6] 參見《技術進出口管理條例》第29條、《合同法》第329條及《最高人民法院關於審理技術合同糾紛案件適用法律若干問題的解釋》第10條規定。 [7] 參見《技術進出口管理條例》第24、25條及《合同法》第341、349、353條規定。 [8] 參見《技術進出口管理條例》第9條及第32條。 [9] 參見《技術進出口管理條例》第10條及第33條。 [10] 參見《技術進出口管理條例》第17條及第39條。 [11] 原單主要係指原訂單中代工廠額外生產之產品或未通過品檢的不良品或次級品；尾單主要係指原訂單中代工廠利用剩餘原料、零件自行製造之產品。 [12] 參見《最高人民法院關於審理技術合同糾紛案件適用法律若干問題的解釋》第25條第2款之規定。 [13] 參見《中華人民共和國技術進出口管理條例》第29條及《中華人民共和國合同法》第329條之規定。 [14] 參見《中華人民共和國技術進出口管理條例》第18、20條規定。