歐盟GDPR保護適足性審核與因應作為
歐盟GDPR保護適足性審核與因應作為
資訊工業策進會科技法律研究所
法律研究員 吳柏凭
2018年04月10日
壹、事件摘要
歐盟於 1995 年頒布個人資料保護指令(95/46/EC)[1]，對歐洲各國甚至全世界個人資料保護法制發展有極大影響力。然隨著資通訊技術發展變化迅速，網際網路與各項應用興起，既有歐盟個人資料保護指令面對這些變化已經難以為繼，歐盟執委會(European Commission) 出新的資料保護規則（General Data Protection Regulation, GDPR），於2016年4月27日通過，5月4日公布，正式成為歐盟第2016/679號規則（Regulation (EU) 2016/679）[2]。由於歐盟原則上禁止個人資料跨境傳輸，只有在被認可具有保護適足性(Adequate level of protection)的國家或地區才能例外許可傳輸，因此如何獲得歐盟保護適足性認可，就成為能否跨境傳輸歐盟個資的關鍵。
貳、重點說明
一、個人資料保護指令保護適足性審查規定
1995年的個人資料保護指令，就有禁止會員國將個人資料跨境傳輸至對資料保護不具有保護適足性之國家[3]。在第25條第2項中，對於保護適足性的審查，包括資料的性質、處理目的和期間、資料的發生地及最終目的地、該國家施行的普通法及特別法規範、以及安全措施等，透過個案綜合判斷是否具有保護適足性[4]。而關於具體的判斷標準，則依照第29條規定資料保護工作小組（Article 29 Data Protection Working Party）的指導文件[5]，其中對於法律規範審查，除了內容外，更重視個資保護的執行面。
二、GDPR保護適足性審查規定
GDPR延續了個人資料保護指令的規定，原則上禁止資料跨境傳輸至對資料保護不具有適足性之國家[6]。根據第45條第2項規定，適足性的評估包括以下要素：
- 法治、對人權與基本自由之尊重、一般與部門之相關立法，包括有關公共安全、防衛、國家安全及刑法、公務機關對個人資料之接近使用權、及該等立法、資料保護規則、專業規則及安全措施之執行。
- 有一個或以上獨立監管機關之存在及有效運作，或對象為國際組織時，確保及執行資料保護規則之遵守，包括充足之執行權，以協助及建議資料主體行使其權利，並與會員國之監管機關合作；
- 個人資料向其他第三國或國際組織進一步移轉，該其他第三國或國際組織之規則、判例法、及有效且可執行之資料主體權利及個人資料受移轉之資料主體有效之行政與司法救濟；第三國或國際組織所加入之國際協定，或其他因具法律拘束力之合約或辦法、及從其參與多邊或區域體系而生之義務，尤其關於個人資料保護者。
以上規定與個人資料保護指令最大不同在於將保護適足性的判斷標準明文化，同時補充個人資料向第三地再傳輸應注意的規範、具有獨立性監管機關等規定，填補原本個人資料保護指令的漏洞。
三、保護適足性認可程序與現況
保護適足性認可的程序[7]為：
- 來自歐盟執委會的提案。
- 得到由歐盟各國資料保護機關組成之作業會議(European Data Protection Board)的意見。
- 得到歐盟各國代表的承認。
- 歐盟執委會合意認可。
縱然取得認可，之後也會每四年檢驗一次[8]，如果被判定不具保護適足性，則仍會取消原本的認可[9]。
現階段已通過保護適足性審核的國家地區包括：安道爾、阿根廷、加拿大（民間機構）、法羅群島、根西島、以色列、馬恩島、澤西島、紐西蘭、瑞士及烏拉圭，另有美國限於「隱私盾」框架(Privacy Shield framework)方可傳輸。
參、事件評析
（一）保護適足性認可的效益
除了取得適足性認可外，個別企業可以透過1.標準契約條款(Standard Contractual Clauses, SCC)；2.拘束企業準則(Binding Corporate Rules, BCR)；或3.取得同意方式進行跨境傳輸[10]。但是取得適足性認可不但可以節省企業在個資跨境傳輸的成本，減輕企業負擔，同時也有助於整體產業突破歐盟貿易壁壘。
（二）通過保護適足性審核的困難
雖然現行通過適足性審核的國家地區有11個，惟需注意的是，根西島、馬恩島、以及澤西島都是英國屬地，法羅群島是丹麥屬地，而安道爾和瑞士都是在歐洲境內，這些國家地區的法規範本來就與歐盟差距不大，加上美國及加拿大國家本身不被認可具適足性，實際上不屬於歐盟法體系而通過適足性審核的國家地區非常有限。而且包括以色列、烏拉圭或紐西蘭在申請認可都花超過三年的時間，因此也不能作為短期的因應措施。
此外，在要件方面，規範上雖然我國個資保護規範與GDPR未有極大歧異，但只要存有差異，要取得認可就有極高困難度，這些都需要與歐盟執委會溝通。而在監管機關要求方面，雖然沒有要求單一機關，但對於機關的「獨立性」仍有要求。關於機關的獨立性目前歐盟並沒有明確的標準，但在歐盟法院判決中，有因為德國的州對州層級的資料監管機關進行調查的權力，而被認為不具獨立性[11]。
（三）通過適足性審核的具體作為
以日本為例，為了取得歐盟適足性認可，在2015年9月就其個人資料保護法（個人情報保護法）進行修正，其中設立個人資料保護委員會（個人情報保護委員会）即是為了符合適足性要求中「獨立監管機關」規定，而第24條跨境傳輸的規定更是重要。
日本個人資料保護委員會在2016年就與歐盟執委會溝通三次[12]，同時在2017年發出共同聲明[13]。在不修正法律的狀況下，日本個人資料保護委員會頒布一指導方針來消除差異，並於於2018年2月9日先揭示調適方向[14]，包括：
- 將歐盟視為敏感性個人資料而日本未明文規定者，解釋上一律視為敏感性個人資料。
- 歐盟不管個人資料保管期間，一律可以主張權利，而日本則限保管期間6個月以上方可主張權利。指導方針對於歐盟跨境傳輸的個資，不管保管期限一律許其主張權利。
- 對歐盟跨境傳輸的個資將要求揭露特定利用目的。
- 對於歐盟跨境傳輸的個資再移轉，必需要透過契約等規制，確保資料受保護水準。
- 關於歐盟跨境傳輸的個資，在去識別化一定要確認無法再識別，以與歐盟去識別化資料定義相符。
肆、結語
歐盟GDPR已施行在即，如何因應以突破其跨境傳輸的限制將不只是單純避免業者受罰，更是跨越歐盟貿易壁壘的重要關鍵，而在眾多例外許可跨境傳輸的方法中，又以取得保護適足性認可為最根本因應之道。雖然現在取得認可的難度極高，但仍有許多能努力的空間，目前我國也著手申請適足性認可的準備，未來能得到何種程度的回應，值得後續觀察。
[1] Directive 95/46/EC of the European Parliament and of the Council of 24 October 1995 on the Protection of Individuals with regard to the Processing of Personal Data and on the Free Movement of Such Data.
[2] Reform of EU data protection rules, European Commission, http://ec.europa.eu/justice/data-protection/reform/index_en.htm (last visited Apr.10, 2018).
[3] Data Protection Directive, art. 25(1).
[4] Data Protection Directive, art. 25(2).
[5] European Commission, Working Party on Protection of Individuals with regard to the Processing of Personal Data, Working Documents Transfers of personal data to third countries: Applying Articles 25 and 26 of EU data protection directive, July 24, 1998.
[6] General Data Protection Regulation, art. 45.
[7] Adequacy of the protection of personal data in non-EU countries, https://ec.europa.eu/info/law/law-topic/data-protection/data-transfers-outside-eu/adequacy-protection-personal-data-non-eu-countries_en (last visited Apr.10, 2018).
[8] General Data Protection Regulation, art. 45(3).
[9] General Data Protection Regulation, art. 45(5).
[10] General Data Protection Regulation, art. 46.
[11]European Commission v. Federal Republic of Germany(C-518/07).
[12]個人情報保護委員会，個人情報保護委員会の国際的な取組について，https://www.kantei.go.jp/jp/singi/keizaisaisei/miraitoshikaigi/4th_sangyokakumei_dai2/siryou3.pdf (last visited Apr.10, 2018).
[13]JETRO，個人データ保護の「十分性認可」取得の好機に－日EU首脳が共同声明－，https://www.jetro.go.jp/biznews/2017/07/845f14ec50674c94.html (last visited Apr.10, 2018).
[14]個人情報保護委員会，EU 域内から十分性認可により移転を受けた個人データの取扱いに関するガイドラインの方向性について ，https://www.ppc.go.jp/files/pdf/300209_siryou1.pdf (last visited Apr.10, 2018).
吳柏凭
法律研究員 編譯整理
韓國國家智慧財產人力培育綜合計畫初探 科技法律研究所 2014年08月05日 壹、事件摘要 韓國政府暨2008年4月提出「第一次國家智慧財產人力培育綜合計畫(2008~2012)」[1](以下簡稱第一次綜合計畫)後，於2012年12月提出「第二次國家智慧財產人力培育綜合計畫 (2013~2017)」[2](以下簡稱第二次綜合計畫)，以「創意人才、知識財產之管理與服務所需專門人才的培育」為目標，強化並提升韓國在全球化市場的競爭力。 韓國人才培育綜合計畫旨在培育優秀專利人才、智財實務人才，透過質與量的同步增加與水準提升，以期補足智財人力缺口。當中各項措施思維，是否有值得我國借鏡之處，本文將介紹第一次綜合計畫目標及主要成果，並以此為基礎說明第二次綜合計畫在政策說明、預期成果等規劃上的改進作法，進而歸納說明韓國在人才培育相關觀念想法，供國內相關政策發展之參考。 貳、重點說明 一、計畫背景 第一次綜合計畫於2008年提出，目的是為因應韓、美FTA締結與生效後，韓國企業將面臨全球化市場競爭，專門領域人才之需求量日益增加，但相對在以智慧財產法學為中心之人力供給與相關職務教育卻尚未成熟。 第一次綜合計畫目標有三，首先是擴充優秀之專利創造潛力、再者是增加企業智財實務人力數量及提升水準、最後則是要提高智財法律服務的素質，以期提高智慧財產的競爭力。主要四大政策包括：(一)強化智財研究人力培育；(二)培育企業智財實務人才；(三)培育智財服務領域人力資源；(四)擴充智財人才培育之基礎。 在第一次綜合計畫中，以大學生及企業人力為對象之智財教育課程，對於上述對象之能力有顯著幫助、獲得肯定。但除此之外，課程內容不夠多樣化、制度化，以及課程程度未達標準，所提供教育現場之實務界人才以及國際業務之專家亦不足，被認為是第一次綜合計畫不足之處[3]。於是在此背景下，第二次綜合計畫設定兩大計畫目標「以智財經濟為基礎，培育智財人才」、「體現智財之大眾化與智財文化的深層教育」，並以此設定五大政策，本文就其內容以及相關措施為具體說明。 二、政策架構 在第二次綜合計畫中，共分為五大政策，分述如下: （一）強化培育商業智財管理人才 韓國政府認為，若要強化人才的培育與供給、提升企業競爭力，在政策上第一步必須針對「智財管理人力」進行加強。包括促進企業內部成立智財專責部門，依據不同管理領域[4]給予理論與實務的教育課程、各國智財制度與紛爭解決有關專門教育[5]，乃至於碩士學位課程（如為因應海外智財紛爭應對，韓國企業提供學費百分之50補助，鼓勵在職進修之碩士課程「智慧財產專門學位課程(MIP)」）。同時，加強企業經營者智財經營意識亦屬至關重要之事。透過在大企業以及中堅企業設置專門智財部門及智財最高負責人，並讓各企業間可以針對智財進行合作、資訊共享[6]。或是直接派員前往各地區中小企業聚會，傳達IP經營優秀事例、經營訣竅，皆是韓國強化企業經營者IP經營概念之規劃作法。另外，則是擴大產學研合作與就業市場連結，透過「企業-大學-政府」合作，提供企業所需人才之教育，同時也讓企業透過採用優秀人才強化其智財能量。最後，則是在智財經營、發明、設計等領域，發掘、培育次世代的領導能力，為未來競爭力做準備[7]。 （二）培育全球化智財服務專門人才 第二個政策著重於智財服務人力的培育。國際智財紛爭加劇，需要有能夠因應時局改變之專利師養成教育以及考試制度改進。過去在第一次綜合計畫中，先著重於專利師的數量，以供給市場需求。而第二次綜合計畫中，透過「教育-考試-實務研習-多樣化專業課程」的專利師培育政策，期望在電子/通訊、化學/生命、機器/金屬等專業領域能夠提供專業化的服務，並能在法律市場開放的現實環境中，培育[8]可以進入海外法律服務的專利師，同時能夠為韓國企業處理海外智財紛爭。 再者，對於專利師該有的社會責任部分，韓國推動專利師與律師則共同組成「專利家庭醫生(patent home doctor)[9]」制度，透過才能分享(Pro Bono)專家池(pool)[10]，提供中小企業在發生紛爭時可以透過此一制度來諮詢。同時也與各地區智財中心連結，希望各地區都會有一專利師事務所，以深化智財教育。 此外，韓國政府已於今年7月完成專利師考試制度修正案[11]，預計增加實務考題以及改變計分方式。再者，對於律師智財教育部分，則與法學專門大學院[12]合作，提供其研究生智財業務實習的機會，以培育智財紛爭解決之專門人才。 （三）培育融合型智財創造人才 第三個政策著重於研究開發人才的智財意識。首先，針對理工科大學生以及研究生等預備人才，依據其領域別開設不同課程，並鼓勵申請輔系，期望培育出兼具技術與智財層面的專業人才。另外，針對一般大學學生則鼓勵主修與智財相關之課程，使大學畢業生兼具專業領域與智財領域的能力，以期提供相關研究機構具備專業與智財能力之研發人才。除部分大學已開設智慧財產專門學位課程(MIP)碩士班、智財課程放入大學正規科目外，學校亦會舉辦校園專利策略校運會(캠퍼스 특허전략 유니버시아드，Campus Patent Strategy Universiade[13])、大學創意發明大會、D2B（Design-to-business）等智財實戰活動。從各種活動中將智財的概念帶進校園，深化校園後，也期待能夠將智財的概念透過校園的傳遞普及於一般民眾，使智慧財產的概念不是遙不可及的專業領域。 （四）扎根基層智財教育 第四個政策著重於基層智財教育扎根，包括針對兒童開設各種發明體驗設施[14]、發明文化講座、發明體驗活動，於中小學教育課程中加入發明與智財教育，以深植智財觀念。針對青少年部分，則在高中課程中提供選修智財相關科目，以發掘培養有潛在力之英才[15]。同時結合發明教育與技術教育，培育創造活用之立即可以使用之人才。 （五）智財人才培育之系統化 第五個政策著重於人才培育系統，將培育之智財人力與就業市場結合，以提高人力培育之成果。透過智財人力綜合資訊系統(IP Human Network)[16]使新進人力可順利進入職場、既有人力能有效運用發揮。透過智財財產能力考試(IPAT)[17]，進而能開發智財領域國家職務能力標準(IP-NCS)[18]。並商討是否需要制定「智財教育振興法」[19]，使得韓國能在制度法規面上，完整規範智財人力培育的計畫制定、施行以及相關預算。 參、代結論 先進國家如美國，透過知識密集產業直接或間接促成4千萬件就業。並利用其高附加價值之特性，使創造出之產值甚至佔美國國內生產毛值(GDP)達35%[20]。故有系統的培育智財專門人力，有助於國家智慧財產領域的競爭力，對於經濟發展與產值提升亦有其正面影響。 爰此，韓國在第二次綜合計畫中，便目標設定在5年內(2013~2017)增加2萬名新進人力及其工作機會，累積培育5萬名專門人才，來填補智財專門人力的缺口。其面向則從管理人才、服務人才、研發(創造)人力三方面著手。在管理人才部分，首要著重的是企業如何從現有人力進行培育，提高其智財能力，以及如何透過產學研擴大合作，與就業市場連結來培育下一代管理人才。服務人才部分則是透過考試制度改革積極培育更符合需求之專利師，同時也透過智財教育培育律師的智財紛爭解決能力。針對研發(創造)人才部分，則強調在專業教育的同時，需兼顧智財意識的養成，以期提供相關研究機構具備專業與智財能力之人才。最後，則進一步透過「智財人力綜合資訊系統(IP Human Network)」將培育人才與就業市場連結，促使所培育之智財人才能有效運用。 整體而言，在第一次綜合計畫中，是由政府主導、推行智財教育政策，而在第二次綜合計畫中，則期望達到政府與民間合作進行智財教育，甚至形成民間可自行育成智財人力之循環，此等人力發展思維與作法，值得我們持續觀察與參考。 [1] 第一次國家智慧財產人才培育綜合計畫是韓國於2007年1月18日招開之「第21回 科學技術相關長官級會議」中確認之『智慧財產策略體系推動計畫(案)』之後續處理案。國家科學技術委員會，〈국가지식재산 인력양성 종합계획안〉(2008/04/24)。 [2] 專利廳，〈제2차 국가지식재산 인력양성 종합계획안(2013~2017)〉（2012/12/12）。 [3] 同前註 [4] 在職人力教育預計從2013年的4500名，期望於2015年達到6000名、2017年提升至8000名；新進人力教育則是期望可以達到年平均為1500名。 [5] 針對主要紛爭對象國家專門課程，海內外人力一年200名。 [6] 目前三星電子、LG有公司內部智財教育課程，發掘可能事例，並傳授他公司智財相關課程運作的方法。 [7] 每年選拔50名左右派往美國等先進國家進行交流、學習課程。 [8] 包含CLP(國際授權專門資格認證)培育課程等技術價值評價與授權相關課程。 [9] 특허 홈닥터(patent home doctor)，http://pcc.or.kr/pcc/。 [10] 재능나눔 전문가 Pool。才能分享的概念來自於捐款，除了捐助金錢可以幫助他人外，也可以貢獻自己的專業能力於社會，屬於社會服務之一環。http://pcc.or.kr/pcc/。 [11] 專利廳於預定於今年(2014)下半年提出修法，可望於2018年開始實施。專利廳報導資料http://www.kipo.go.kr/kpo/user.tdf?seq=13740&c=1003&a=user.news.press1.BoardApp&board_id=press&catmenu=m03_01_02 [12] 如同美國law school概念，韓國正式的名稱為法學專門大學院，碩士課程。 [13] http://www.patent-universiade.or.kr，Universiade一詞為結合University + Olympiade兩個字而來。 [14] 美國於華盛頓美國史博物館內的「發明體驗設施(Lemelson Center)」 [15] 「發明英才教育研究院」為有天分之學生及其家長提供諮詢，並提供該生未來志願諮商。英才教育，等同我國資優生教育。 [16] IP Human Network，http://www.iphuman.or.kr/ipes2013/front/gate/main/iphuman_main.do [17] IPAT(Intellectual Property Ability Test)於2010年11月6日正式開始，並於每年的5月與11月舉辦 [18] 韓國產業人力公團，http://www.hrdkorea.or.kr/ [19] 參考科學教育振興法、環境教育振興法、英才(資優)教育振興法 [20] 依據美國商務部(Dept. of Commerce)2012年3月，工作機會有4千萬件(全體28%、直接雇用2千7百萬件、相關雇用1千3百萬件)；產品輸出達＄775billion美金(全體61%、IP服務輸出佔全體19%)；創造出的附加價值為＄5.06trillion美金(GDP之35%)
美國最高法院就蘋果與三星間關於設計專利侵權一案進行審理美國加州聯邦法院於2015年12月裁定三星侵犯iPhone設計專利，需向蘋果賠償5.48億美元。三星不服因此上訴至美國最高法院，美國最高法院於今年(2016)10月11日開庭審理韓國三星電子公司的專利侵權糾紛案，針對加州聯邦法院授予蘋果的賠償金是否過多一事進行審議。 智慧手機是包含多個部件、技術之複雜產品，設計專利持有者不能因為某項專利侵權而要求獲得整個產品之全部利潤。本件上訴案中，三星聲稱「被認定侵權的功能僅占三星電子手機價值的1%，蘋果卻得到了三星電子100%的利潤」，認為加州聯邦法院針對侵犯蘋果的設計專利涉及手機的外觀(如圓角長方形機身、用戶介面)，判定需用侵權產品的全部銷售利潤來支付蘋果３．９９億美元之設計侵權賠償金並不公平。蘋果則表示，蘋果手機的成功與其獨特的外觀有直接關係，三星故意抄襲蘋果的創新設計並因此大幅提升產品銷量，因此有權要求侵權產品之全部利潤。 三星和蘋果間的專利糾紛訴訟已持續多年，自２０１１年起，已發生多起關於智慧型手機、平板在技術、用戶介面及風格上之抄襲糾紛。目前兩家公司在本案庭審中仍各執己見，而美國最高法院預計將於明年(2017)６月作出判決。
美國對於智慧聯網 IoT 環境隱私保障展開立法工作有鑒於智慧聯網IoT環境下，許多智慧型手持裝置及行動通訊裝置，大量蒐集消費者資訊之隱私權暨資訊安全考量，美國國會於2013年5月10日提出「應用軟體隱私暨資訊安全保護法草案」（Application Privacy, Protection, and Security Act of 2013, APPS Act of 2013, H.R. 1913）進行審議。「應用軟體隱私暨資訊安全保護法草案」草案針對應用軟體（Application）在蒐集消費者資訊前，如何落實「同意」機制，乃強制行動通訊裝置應用軟體開發商（developer）應：（1）提供使用者個人資料蒐集、使用、儲存及公開之通知（notice），而該通知含括所蒐集個人資料之種類、使用目的、有償公開第三者之類別及資料儲存等；（2）取得使用者之同意（consent）；消費者依據該草案亦有權撤銷其「同意」（withdrawal of consent）。此外，草案乃強制要求該行動通訊裝置應用軟體開發商，就非法近取之個人資料及經去識別化應用軟體蒐集之個人資料，應採取合理及適當之防衛措施（security measures on personal data and de-identified data）。 並且，針對網路環境下隱私權保護議題，更早之前，美國國會於2013年2月28日提出「線上禁止追蹤法草案」（Do-Not-Track Online Act of 2013） 進行審議。「線上禁止追蹤法草案」草案乃要求聯邦貿易委員會（FTC），就透過個人線上活動追蹤，以蒐集、使用個人資料之行為態樣，進行管制。該管制模式謹據以要求如下：（1）被搜集資料個人應收到簡單、明確、並載明資料使用目的之通知（clear, conspicuous and accurate notice and use of such information），而個人就該通知應予明白之同意（affirmative consent）；（2）FTC未來在訂定標準規範時，應（shall）考量所被搜集之資料，是否在匿（隱）名基礎上處理之，遂該資料無法有效被聯結（指認）到特定個人或裝置上；此外，消費者當享有資料不被蒐集的權利（expressed preference by individual not to have personal information collected）。該草案並就違反之個人，設定最高15,000,000美元損害賠償規定。
InterDigital主張Samsung侵犯其3G專利無線技術開發商，美國InterDigital Communications Corp. (InterDigital)表示其已向美國國際貿易委員會(United States International Trade Commission, ITC)提起訴訟案件，控告南韓三星電子(Samsung Electronics Co. Ltd.)與特定關係企業侵犯其3G專利。 InterDigital正向ITC宣告南韓電話製造商三星電子輸入侵犯其三項3G專利權的特定手機和零組件至美國並在當地銷售，進行不公平的貿易交易。 InterDigital也向德拉瓦州的美國地方法院(U.S. District Court)提起告訴，指控三星電子的3G WCDMA手機侵犯其在ITC申訴案件當中所述的專利權。 InterDigital要求ITC下達禁制令(exclusion order)，以禁止在其訴訟中所指明之三星電子話機，包含三星電子的BlackJack (由Cingular Wireless所販售)以及模組SGH-ZX20與SGH-A707，進口美國或進一步在美國銷售。 ITC有30天的時間決定是否要調查InterDigital的申訴。通常，ITC委員傾向於12至15個月內完成調查。 William Merritt，InterDigital的董事長暨執行長，表示他們已經與三星電子進行協商，但沒有成功。 顯然，這兩家公司對於InterDigital之主張仍存在有歧見，但是目前三星電子的公司政策傾向於不評論該公司所涉及之訴訟案。