英國因劍橋分析個資外洩事件開罰臉書
英國資訊專員辦公室（Information Commissioner’s Office, ICO）於2018年10月24日公告針對臉書公司（Facebook Ireland Ltd. & Facebook Inc.）之劍橋分析（Cambridge Analytica）個資外洩事件，依據英國資料保護法（Data Protection Act 1998）第55A條之規範，裁罰臉書公司50萬英鎊之罰鍰。
自2018年3月劍橋分析違法取得與使用臉書個資事件爆發以來，估計約有8700萬筆臉書上的個人資料遭到違法使用，引起全球對於網路個資保護的重視。在遭到違法取得與使用的個資當中，也包含了歐盟以及英國臉書使用者的個資，因此英國ICO有權對此事件展開調查並對臉書公司進行裁罰。
根據英國ICO的調查，自2007年至2014年間，臉書公司對於其平台上的個資處理（processed）有所不當，違反資料保護法之資料保護原則（Data Protection Principle，DPP），包含未適當處理個人資料（DPP1），以及未採取足夠的技術與作為防止未經授權或違法使用個資（DPP7），致使劍橋分析得以透過臉書公司提供之API違法取用臉書使用者個資。
由於劍橋分析事件發生時，歐盟GDPR（General Data Protection Regulation）尚未正式上路，因此英國ICO依據事件發生時之法律，亦即基於歐盟資料保護指令（Directive 95/46/EC）所訂定之英國資料保護法，裁處臉書公司50萬英鎊的罰款；若依據基於GDPR之新版英國資料保護法（Data Protection Act 2018），臉書公司將可被裁處最高1700萬英鎊或年度全球營業額4%之罰款。
本文為「經濟部產業技術司科技專案成果」
- 零售業個資安全宣導暨安全維護計畫規劃說明會
- (已額滿)114年「企業營業秘密保護實務座談會」(北部場)–營業秘密因應數位環境之保護風險及管理對策
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(實體)
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(直播)
- 【台北場1】通訊傳播事業個資法遵教育訓練
- 【台中場】通訊傳播事業個資法遵教育訓練
- 【新北場】通訊傳播事業個資法遵教育訓練
- 【高雄場】通訊傳播事業個資法遵教育訓練
- 【台北場2】通訊傳播事業個資法遵教育訓練
- 114年「企業營業秘密保護實務座談會」（南部場）
- 114年「企業營業秘密保護實務座談會」（中部場）
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
范晏儒
專案經理 編譯整理
Facebook Ireland Ltd monetary penalty notice, Information Commissioner’s Office, https://ico.org.uk/action-weve-taken/enforcement/facebook-ireland-ltd/ (last visited: Nov. 12, 2018)
ICO issues maximum £500,000 fine to Facebook for failing to protect users’ personal information, Information Commissioner’s Office, https://ico.org.uk/about-the-ico/news-and-events/news-and-blogs/2018/10/facebook-issued-with-maximum-500-000-fine/ (last visited: Nov. 12, 2018)
UK fines Facebook £500,000 for failing to protect user data, The Guardian, https://www.theguardian.com/technology/2018/oct/25/facebook-fined-uk-privacy-access-user-data-cambridge-analytica (last visited: Nov. 12, 2018)
歐盟法院做成先決裁判，臉書粉絲專頁管理員也有責任保護用戶資料隱私， 資訊工業策進會科技法律研究所， https://stli.iii.org.tw/article-detail.aspx?no=64&tp=1&i=148&d=8065&lv2=148 （最後瀏覽日：2018/11/12）
英國提出因應GDPR自動化決策與資料剖析規定之細部指導文件， 資訊工業策進會科技法律研究所， https://stli.iii.org.tw/article-detail.aspx?no=64&tp=1&i=148&d=8063&lv2=148 （最後瀏覽日：2018/11/12）
美國聯邦法院有關Defend Trade Secrets Act的晚近見解與趨勢 資訊工業策進會科技法律研究所 法律研究員 陳彥嘉 107年02月05日 壹、前言 「The Defend Trade Secrets Act」[1]（下稱「DTSA」）是美國近年營業秘密相關法律的重要里程碑[2]。對可能涉入美國聯邦法院（下稱「聯邦法院」）DTSA訴訟的臺灣企業而言，聯邦法院晚近有關DTSA下述議題的見解與趨勢，值得關注：（1）DTSA是否取代既有法下關於營業秘密的民事救濟與保護規範？（2）提起DTSA訴訟時應注意何「訴答標準」（pleading standard）？（3）聯邦法院會否輕易依單方聲請核發扣押令（下稱「單方扣押令」（ex parte seizure order））？及（4）DTSA是否適用於發生在DTSA生效前的不法行為。以下依序評析前揭議題，並於文末綜結前述見解與趨勢之啟示。 貳、DTSA沒有完全取代既有規範，聯邦法院審理時仍可能會參酌既有規範與過往判決見解 DTSA明言，其未凌駕或取代其他聯邦法、州法有關營業秘密的民事救濟與保護規範[3]。DTSA立法前，美國有關營業秘密的民事救濟與保護規範，傳統上多仰賴各州州法[4]。DTSA賦予聯邦法院對於依DTSA提起的民事訴訟享有管轄權[5]，也開啟營業秘密所有人於營業秘密遭受不法竊用時，得在聯邦法院訴請民事救濟之可能[6]。此猶如在既有救濟途徑外，提供多一層保護與併行的救濟途徑[7]。 有見解指出，聯邦法院在審理DTSA訴訟、詮釋DTSA或分析個案上，多參酌DTSA立法前的州法與判決見解[8]。相關判決顯示，聯邦法院審理DTSA案件時，有參酌、援引、比較在地州法與DTSA，及過往判決見解的傾向[9]。由此可知，DTSA立法前的營業秘密既有規範與過往判決見解，在聯邦法院實務上仍具參考價值與影響力。 參、提起DTSA訴訟時應注意合理性訴答標準 於聯邦法院提起DTSA訴訟時，原告訴狀記載應滿足「合理性」（plausibility）訴答標準[10]，否則有遭聯邦法院駁回之虞[11]。挑戰原告之訴不符合理性訴答標準，聲請法院駁回原告之訴[12]，也成為被告的反擊策略之一[13]。 DTSA雖提供得於聯邦法院訴請民事救濟之途徑[14]，但不代表聯邦法院便放寬受理、廣收訴案[15]。在聯邦法院起訴DTSA案件時，原告訴狀需載陳法院管轄權、原告（有權獲得救濟）之請求，與請求的救濟[16]。原告之請求與訴狀所陳，應達到「合理」（plausible）程度[17]。原告在聯邦法院提起DTSA訴訟時，應將起訴相關事實（例如，法院管轄權[18]、DTSA規定要件[19]等等），充足陳述於訴狀當中[20]。除應陳述營業秘密存在外，也當具陳其營業秘密如何因不當手段而遭受不法竊用[21]。惟如何在「符合訴答標準」與「不過度揭露資訊致營業秘密曝光」之間取得平衡，不免爭議[22]。 以陳述營業秘密為例，在合理性訴答標準下，原告無可避免需在訴狀內具陳DTSA界定的營業秘密（要件）[23]相關事實，以證營業秘密存在[24]。亦即，原告需陳述系爭資訊不為周知、具有經濟價值，且已採取合理保密措施的充足相關事實[25]，以合理陳證系爭資訊為營業秘密[26]。聯邦法院並未要求原告要具體揭露其營業秘密[27]，但原告需能描述其營業秘密的「概括輪廓」（general contour）[28]。空言指向廣泛科技領域或某種科技、片面宣稱受害資訊係屬保密，致法院大海撈針搜尋、拼湊符合營業秘密要件的具體事實，為聯邦法院所不樂見[29]。換言之，原告不能只陳稱事涉營業秘密，而要清楚描述其營業秘密[30]。例如，原告在訴狀內需能描述所涉資訊為何，及付出何等努力維持該資訊的秘密性[31]。又例如，原告不能僅列出資訊之目錄或概括主題，而應提出足以構成營業秘密的文件或資訊[32]。 肆、聯邦法院審慎避免濫發單方扣押令，聲請獲准核發並非易事 DTSA生效以來，聯邦法院依聲請核發單方扣押令的情形並不多見[33]。DTSA的單方扣押令規定頗具爭議[34]，其允許法院於符合DTSA規定要件時，得依一方當事人聲請核發（民事）扣押令，扣押防止流傳或散佈營業秘密所必要之財產[35]。聯邦法院對單方扣押令相當審慎，嚴守DTSA文義[36]，惟經認定「有具體事實清楚顯示」（clearly appears from specific facts）符合DTSA規定要件[37]，且限於「極端特殊情形」（extraordinary circumstances）[38]時方許之[39]，避免濫發此種扣押令[40]。若有其他衡平救濟可行時，無必要核發單方扣押令[41]。又，若聲請人無法舉證他方在類似活動上曾隱匿證據或忽視法院命令，僅片面宣稱他方受通知後會毀滅證據，尚不足說服聯邦法院核發單方扣押令[42]。另外，倘聲請人未能舉證系爭資訊是營業秘密時，聯邦法院也會拒絕核發單方扣押令[43]。由此可知，向聯邦法院聲請並獲准核發單方扣押令，並不容易[44]。 單方扣押令的核發雖然罕見，但已出現過一例 – Mission Capital Advisors, LLC v. Romaka[45]。此案被告未經受權而將原告的客戶名單下載至個人電腦，原告聲請法院扣押被告手中載有該客戶名單之財產，或禁止被告揭露該客戶名單[46]。審理過程中，被告未回應收受法院先前命令的送達[47]，也未按法院命令出席[48]，有躲避法院命令之嫌，讓聯邦法院形成心證，認為其他形式的衡平救濟手段不足，被告有不遵法院命令的跡象[49]。聯邦法院按DTSA規定要件逐一檢視本案事實後，認定確有具體事實清楚顯示要件合致[50]，遂依聲請核發扣押令[51]。Romaka案有助於瞭解，何等情形會促成聯邦法院核發單方扣押令[52]。由此案可知，漠視或躲避法院命令，可能讓聯邦法院產生不遵法院命令之印象，增加核發單方扣押令的可能性[53]。Romaka案也與其他聯邦法院判決呼應印證，聯邦法院對單方扣押令相當審慎[54]。 儘管聯邦法院避免濫發單方扣押令[55]，但非謂營業秘密遭不法竊用的被害人便毫無「禁制令救濟」（injunctive relief）可言。其他聯邦法或州法下的禁制令救濟手段[56]，仍有適用[57]。當繫屬案件案情符合其他禁制令救濟之要件時，聯邦法院依當事人聲請，核發單方扣押令以外其他種類的禁制令，並非罕見[58]。 伍、生效前發生，且DTSA生效後仍持續發生的不法行為，可能適用DTSA DTSA明言，適用於生效當天或之後發生的營業秘密不法竊用行為[59]。因此，在DTSA生效前發生並結束的營業秘密不法竊用行為，無DTSA適用餘地[60]。原告提起DTSA之訴時，若未能指出營業秘密不法竊用行為（全部或一部）發生於DTSA生效後，原告的DTSA請求部份，有可能會遭聯邦法院駁回[61]。 對於發生在DTSA生效前，且DTSA生效後持續發生的營業秘密不法竊用行為，聯邦法院已開始有討論或接受，DTSA亦適用於此類持續性行為[62]。但是，原告需能「合理、充足」（“plausibly”, “sufficiently”）指出在DTSA生效後發生的不法行為部份[63]。有見解認為，此際得救濟回復之部份，也限於DTSA生效後的不法行為部份[64]。 承上，發生於DTSA生效前，且DTSA生效後持續發生的營業秘密不法竊用行為，日後也可能成為原告提起DTSA之訴的原由[65]。在此類訴訟中，應注意原告有無合理、充足指出DTSA生效後發生的不法行為部份[66]。倘原告未合理、充足指出該行為部份時，被告得伺機請求法院駁回原告之訴[67]。 陸、結論 綜觀聯邦法院晚近有關DTSA的見解與趨勢，對可能涉入聯邦法院DTSA訴訟的臺灣企業而言，有下述啟示： 一、勿漠視既有的營業秘密相關規範或判決見解，蓋其對聯邦法院實務仍具參考價值與影響力。DTSA沒有凌駕或取代其他聯邦法、州法有關營業秘密的民事救濟與保護規範[68]，僅提供多一層保護與併行的救濟途徑[69]。聯邦法院在審理DTSA案件時，有參酌、援引、比較DTSA立法前的既有規範與過往判決觀點的傾向[70]。 二、在聯邦法院提起DTSA訴訟，原告訴狀記載應合乎合理性訴答標準[71]。原告所陳是否合乎合理性訴答標準，可能會是訴訟攻防戰場之一。以陳述營業秘密為例，原告雖非必得具體揭露營業秘密[72]，但需能清楚描述其營業秘密[73]。 三、聲請單方扣押令不易獲准核發[74]，或考慮聲請其他種類之禁制令救濟較易獲准。聯邦法院審慎避免濫發單方扣押令[75]，但若繫屬案件案情符合其他禁制令救濟之要件時，法院依當事人聲請，核發單方扣押令以外其他種類的禁制令，並非罕見[76]。 四、DTSA有可能適用於，發生在DTSA生效前，且DTSA生效後持續發生的營業秘密不法竊用行為[77]。DTSA訴訟若涉及此類持續性不法行為時，原告有無合理、充足指出於DTSA生效後發生的不法行為部份[78]，可能會是訴訟攻防戰場之一。若原告未合理、充足指出該行為部份時，被告得伺機請求法院駁回原告之訴[79]。 [1] The Defend Trade Secrets Act of 2016, Pub. L. No. 114-153, 130 Stat. 376 (May 11, 2016) (mostly codified in scattered sections of 18 U.S.C. §§ 1836-1839 [hereinafter the “DTSA”]. [2] Mark L. Krotoski, Greta L. Burkholder, Jenny Harrison & Corey R. Houmand, The Landmark Defend Trade Secrets Act of 2016, at 3 (May 2016); Bradford K. Newman, Jessica Mendelson & MiRi Song, The Defend Trade Secret Act: One year Later, 2017-Apr Bus. L. Today 1, 1 (2017). [3] 18 U.S.C. § 1838. [4] S. Rep. No. 114-220, at 2 (2016) [hereinafter “S. Rep.”]; Kaylee Beauchamp, The Failures of Federalizing Trade Secrets: Why the Defend Trade Secrets Act of 2016 Should Preempt State Law, 86 Miss. L.J. 1031, 1033, 1045 (2017); Zoe Argento, Killing the Golden Goose: The Dangers of Strengthening Domestic Trade Secret Rights in Response to Cyber-Misappropriation, 16 Yale J. L. & Tech. 172, 177 (2014); James Pooley, The Myth of the Trade Secret Troll: Why the Defend Trade Secrets Act Improves the Protection of Commercial Information, 23 Geo. Mason L. Rev. 1045, 1045 (2016); John Conley, New Federal Trade Secret Act and Its Impact on Life Sciences, Genomics L. Rep. (Aug. 12, 2016), https://www.genomicslawreport.com/index.php/2016/08/12/new-federal-trade-secret-act-and-its-impact-on-life-sciences/; Newman, Mendelson & Song, supra note 2, at 1. [5] 18 U.S.C. § 1836(c). [6] Krotoski, Burkholder, Harrison & Houmand, supra note 2, at 7; Beauchamp, supra note 4, at 1033, 1045, 1072; Lily Li & Andrea W. Paris, Help! What Are My (Immediate) Defenses to a Federal Trade Secret Claim?, 58-Sep Orange County Law. 52, 52 (2016); Newman, Mendelson & Song, supra note 2, at 1. [7] Conley, supra note 4. [8] William M. Hensley, Post-Enactment Case Law Developments under the Defend Trade Secrets Act, 59-Jul Orange County Law. 42, 44 (2017); Robert B. Milligan & Daniel Joshua Salinas, Emerging Issues In the Defend Trade Secrets Act’s Second Year, Seyfarth Shaw LLP: Trading Secrets (June 14, 2017), https://www.tradesecretslaw.com/2017/06/articles/dtsa/emerging-issues-in-the-defend-trade-secrets-acts-second-year/; Jeffrey S. Boxer, John M. Griem, Jr., Alexander G. Malyshev & Dylan L. Ruffi, The Defend Trade Secrets Act – 2016 In Review, Carter Ledyard & Milburn LLP (Jan. 19, 2017), http://www.clm.com/publication.cfm?ID=5579; Rajiv Dharnidharka, Andrew D. Day & Deborah E. McCrimmon, The Defend Trade Secrets Act One Year In – Four Things We’ve Learned, DLA Piper (May 30, 2017), https://www.dlapiper.com/en/us/insights/publications/2017/05/defend-trade-secrets-act-four-things-learned/; Joshua R. Rich, The DTSA After One Year: Has the Federal Trade Secrets Law Met Expectations?, McDonnell Boehnen Hulbert & Berghoff LLP, Vol. 15 Issue 3 Snippets 6, 7 (Summer 2017). [9] HealthBanc International, LLC v. Synergy Worldwide, 208 F.Supp.3d 1193, 1201 (D.Utah 2016); Phyllis Schlafly Revocable Trust v. Cori, No. 4:16CV01631 JAR, 2016 WL 6611133, at *2-5 (E.D. Mo. Nov. 9, 2016); Panera, LLC v. Nettles, No. 4:16-cv-1181-JAR, 2016 WL 4124114, at *4 fn.2 (E.D. Mo. Aug. 3, 2016); Henry Schein, Inc. v. Cook, 191 F.Supp.3d 1072, 1077, 1079-1080 (N.D.Cal. 2016); Engility Corp. v. Daniels, No. 16-cv-2473-WJM-MEH, 2016 WL 7034976, at *8-10 (D. Colo. Dec. 2, 2016); M.C. Dean, Inc. v. City of Miami Beach, Florida, 199 F. Supp. 3d 1349, 1353-1357 (S.D. Fla. 2016); GTO Access Systems, LLC v. Ghost Controls, LLC, No. 4:16cv355-WS/CAS, 2016 WL 4059706, at *1 fn.1, *2-4 (N.D. Fla. June 20, 2016); Earthbound Corp. v. MiTek USA, Inc., No. C16-1150 RSM, 2016 WL 4418013, at *9-10 (W.D. Wash. Aug. 19, 2016); Kuryakyn Holdings, LLC v. Ciro, LLC, 242 F.Supp.3d 789, 797-800 (W.D. Wisc. 2017). [10] Michelle Evans, Plausibility under the Defend Trade Secrets Act, 16 J. Marshall Rev. Intell. Prop. L. 188, 190 (2017); Eric J. Fues, Maximilienne Giannelli & Jon T. Self, Practice Tips for the Trade Secret Holder: Preparing a Complaint Under the Defend Trade Secrets Act, Inside Counsel (June 14, 2017), https://www.finnegan.com/en/insights/practice-tips-for-the-trade-secret-holder-preparing-a-complaint.html; David R. Fertig & Michael A. Betts, The Defend Trade Secrets Act: Jurisdictional Considerations—Part I, 29 No. 7 Intell. Prop. & Tech. L.J. 3, 3-5 (2017) [hereinafter “Considerations—Part I”]. [11] M.C. Dean, 199 F. Supp. 3d at 1357; Chatterplug, Inc. v. Digital Intent, LLC, No. 1:16-cv-4056, 2016 WL 6395409, at *3 (N.D. Ill. Oct. 28, 2016); Raben Tire Co. v. McFarland, No. 5:16-CV-00141-TBR, 2017 WL 741569, at *2-3 (W.D. Ky. Feb. 24, 2017). [12] Fed. R. Civ. P. 12(b). [13] Jessica Engler, The Defend Trade Secrets Act at Year One, 12 No. 4 In-House Def. Q. 20, 22 (2017). [14] Conley, supra note 4. [15] Fertig & Betts, Considerations—Part I, supra note 10, at 3. [16] 在訴狀內載陳法院的管轄權、原告有權獲得救濟，及原告的訴求等事項，是「聯邦民事訴訟規則」（Federal Rules of Civil Procedure，下稱「FRCP」）第8條有關「訴答」（pleading）的一般規定。Fed. R. Civ. P. 8(a). FRCP適用於在美國聯邦法院提起的所有民事訴訟。Fed. R. Civ. P. 1. 是以，FRCP規定也適用於在聯邦法院提起的DTSA民事訴訟。Evans, supra note 10, at 190; Fues, Giannelli & Self, supra note 10; Fertig & Betts, Considerations—Part I, supra note 10, at 3-4. [17] 合理性訴答標準是美國最高法院在Bell Atlantic Corporation v. Twombly一案中，詮釋FRCP第8條而提出。Bell Atlantic Corporation v. Twombly, 550 U.S. 544, 547, 570 (2007). 合理性訴答標準不要求原告訴狀內陳載事實必須鉅細靡遺，但不能流於標籤式、結論式地陳述所求。Id. at 555, 570. 至少，必須提供足夠事實，從表面上可得判斷（原告）請求具合理性。Id. Twombly案後兩年，美國最高法院在Ashcroft v. Iqbal一案中明白表示、確立，Twombly案建立的訴答標準，適用於所有民事訴訟。Ashcroft v. Iqbal, 556 U.S. 662, 684 (2009). 是以，合理性訴答標準，也適用於在聯邦法院起訴的DTSA案件。Evans, supra note 10, at 190; Fues, Giannelli & Self, supra note 10; Fertig & Betts, Considerations—Part I, supra note 10, at 3-5. 另外，有論者認為，聯邦法院要求的訴答標準，通常比州法（院）要求的訴答標準來得嚴格。Boxer, Griem, Jr., Malyshev & Ruffi, supra note 8. [18] Gold Medal Prods. Co. v. Bell Flavors & Fragrances, Inc., No. 1:16-CV-00365, 2017 WL 1365798, at *5-8 (S.D. Ohio, Apr. 14, 2017). See also Fertig & Betts, Considerations—Part I, supra note 10, at 4; David R. Fertig & Michael A. Betts, The Defend Trade Secrets Act: Jurisdictional Considerations—Part II, 29 No. 8 Intell. Prop. & Tech. L.J. 12, 12 (2017) [hereinafter “Considerations—Part II”]. [19] McFarland, 2017 WL 741569, at *2-3 ; M.C. Dean, 199 F. Supp. 3d at 1357; Digital Intent, 2016 WL 6395409, at *3. See also Fertig & Betts, Considerations—Part I, supra note 10, at 3-5. [20] Fues, Giannelli & Self, supra note 10; Fertig & Betts, Considerations—Part I, supra note 10, at 5; Fertig & Betts, Considerations—Part II, supra note 18, at 13-14. [21] Boxer, Griem, Jr., Malyshev & Ruffi, supra note 8. [22] Id. [23] 18 U.S.C. § 1839(3). [24] McFarland, 2017 WL 741569, at *2. [25] Fues, Giannelli & Self, supra note 10. [26] Engler, supra note 13, at 21-22. 另外，美國的合理性訴答標準對原告訴狀記載之要求，跟臺灣「檢察機關辦理重大違反營業秘密法案件注意事項」第6點附件的營業秘密「釋明事項表」（要求由告訴人或被害人填寫），兩者的共通點是，均有助於儘可能描述、判斷系爭案件所涉營業秘密。然而，兩者的適用場合不同： 1、美國的合理性訴答標準，是在聯邦法院提起民事訴訟時，應注意與遵守的主張陳述相關事宜。臺灣的營業秘密釋明事項表，則是由告訴人或告訴代理人填具，以供檢察官辦理重大違反營業秘密法案件（刑事案件）時調查方向之參考，且非檢方起訴與否之依據。 2、美國的合理性訴答標準，除於聯邦法院提起訴訟的當事人應加注意外，對聯邦法院在審理民事案件時也有拘束力；臺灣的營業秘密釋明事項表，僅供檢察官調查方向參考，對檢方是否起訴不具拘束力，亦無從拘束臺灣法院之審理或裁斷。 有論者指出，臺灣法務部於2016年4月19日訂定的「檢察機關辦理重大違反營業秘密法案件注意事項」，當初是參考了美國「司法部」（Department of Justice）的「Prosecuting Intellectual Property Crimes（Manual）」，而「於第六點規定告訴人或被害人宜先填寫釋明事項表，藉此幫助檢察機關清楚掌握疑似受損害之重大營業秘密，是否符合法定之秘密性、經濟性、保密措施等要件，亦幫助檢察機關衡量發動強制處分之必要性。」陳砥柱，檢察機關辦理重大違反營業秘密法案件注意事項，遠東萬佳法律事務所，2016年7月14日，http://www.louisilf.com/zh-tw/posts/2016-07-14 (last visited Dec. 31, 2017). See also Prosecuting Intellectual Property Crimes (Manual) (4th ed. 2013), available at: https://www.justice.gov/sites/default/files/criminal-ccips/legacy/2015/03/26/prosecuting_ip_crimes_manual_2013.pdf. 然而，「Prosecuting Intellectual Property Crimes（Manual）」手冊在其封面明言，內容所載係提供「內部建議」（internal suggestions）給司法部律師參考。Id. 因此，理論上，此手冊內容對聯邦法院沒有拘束力。 [27] Mission Measurement Corp. v. Blackbaud, Inc, 216 F.Supp.3d 915, 921 (N.D.Ill. 2016). [28] Digital Intent, 2016 WL 6395409, at *3. [29] McFarland, 2017 WL 741569, at *2; Blackbaud, 216 F.Supp.3d at 921; Ciro, 242 F.Supp.3d at 798. [30] Evans, supra note 10, at 191. 聯邦法院判決顯示，聯邦法院要求原告提供充足事實描述營業秘密的見解，並非始自DTSA生效後，而是在DTSA生效前便有此觀點存在。AWP, Inc. v. Commonwelath Excavating, Inc., Civil Action No. 5:13cv031., 2013 WL 3830500, at *5 (W.D. Va. July 24, 2013); Events Media Network, Inc. v. Weather Channel Interactive, Inc., Civil No. 1:13–03 (RBK/AMD), 2013 WL 3658823, at *3 (D. N.J. July 12, 2013); Council for Educational Travel, USA v. Czopek, Civil No. 1:11–CV–00672, 2011 WL 3882474, at *4 (M.D. Pa. Sept. 2, 2011); DLC DermaCare LLC v. Castillo, No. CV–10–333–PHX–DGC, 2010 WL 5148073, at *4 (D. Ariz. Dec. 14, 2010). [31] Blackbaud, 216 F.Supp.3d at 921. [32] Ciro, 242 F.Supp.3d at 800. [33] Engler, supra note 13, at 21; Hensley, supra note 8, at 44. [34] Hensley, supra note 8, at 44; Newman, Mendelson & Song, supra note 2, at 2-3; Rich, supra note 8, at 6; Engler, supra note 13, at 20. [35] 18 U.S.C. § 1836(b)(2)(A). [36] Newman, Mendelson & Song, supra note 2, at 3. [37] 依DTSA規定，法院核發單方扣押令的要件，簡之包括（1）受命令對象有可能不遵法院命令，FRCP第65條或其他衡平救濟手段不足達成目的；（2）若未核發此扣押令，將生立即且不可彌補之損害；（3）拒絕核發扣押令致聲請人所受損害，大於核發扣押令致他人所可能遭受的損害；（4）聲請人很可能證明系爭資訊為營業秘密，且受命令對象確實以不當手段，或圖謀以不當手段不法竊用營業秘密；（5）受命令對象確實持有營業秘密，或任何扣押標的財產；（6）聲請狀中對於應受扣押標的，提出合理具體細節及標示其所在；（7）若受命令對象，或與該對象行動一致之人，於收到扣押通知後，將會毀損、搬移或隱匿應扣押標的，或以他法致法院無法扣押該標的；且（8）聲請人尚未公開其聲請之扣押行動。惟經法院認定「有具體事實清楚顯示」（clearly appears from specific facts）符合此等要件，且限於「極端特殊情形」（extraordinary circumstances）下，法院得依單方聲請核發單方扣押令。18 U.S.C. § 1836(b)(2)(A)(ii). [38] 18 U.S.C. § 1836(b)(2)(A)(i). [39] Engler, supra note 13, at 21; Michael T. Renaud & Nick Armington, DTSA and Ex Parte Seizure – Lessons from the First Ex Parte Seizure Under The DTSA, Mintz Levin Cohn Ferris Glovsky and Popeo PC (Aug. 21, 2017), https://www.globalipmatters.com/2017/08/21/dtsa-and-ex-parte-seizure-lessons-from-the-first-ex-parte-seizure-under-the-dtsa; Matthew Werdegar & Warren Braunig, One Year On: the Federal Defend Trade Secrets Act, Daily J. (Apr. 26, 2017), available at: https://www.keker.com/Templates/media/files/Articles/Keker%20(DJ-4_26_17).pdf. [40] Newman, Mendelson & Song, supra note 2, at 3; Dharnidharka, Day & McCrimmon, supra note 8; Werdegar & Braunig, supra note 39. [41] OOO Brunswick Rail Mgmt. v. Sultanov, No. 5:17-cv-00017, 2017 WL 67119, *2 (N.D. Cal., Jan. 6, 2017); Magnesita Refractories Company v. Mishra, CAUSE NO. 2:16-CV-524-PPS-JEM, 2017 WL 365619, at *2 (N.D. Ind. Jan. 25, 2017). [42] Baleriz Carribean Ltd. Corp. v. Calvo, Case 1:16-cv-23300-KMW, at 7 (S.D.Fla. Aug. 5, 2016). See also Renaud & Armington, supra note 39. 有論者表示，對於不曾隱匿證據或無視法院命令之人，聯邦法院不太願意對此類人士核發單方扣押令。Engler, supra note 13, at 21. [43] Digital Assurance Certification, LLC v. Pendolino, Case No: 6:17-cv-72-Orl-31TBS, at *1-2 (M.D.Fla. Jan. 23, 2017). [44] Engler, supra note 13, at 21; Dharnidharka, Day & McCrimmon, supra note 8. [45] Mission Capital Advisors, LLC v. Romaka, No. 16-cv-05878-LLS (S.D.N.Y. July 29, 2016). 有論者認為，此案是DTSA通過以後，首宗法院准許單方扣押令之案件。Renaud & Armington, supra note 39. [46] Romaka, No. 16-cv-05878-LLS, at 1-3. [47] Id. at 1. [48] Id. at 2. [49] Id. [50] 在Romaka案中，聯邦法院按DTSA規定要件逐一檢視本案事實，認定：（1）被告未回應收受命令送達、未依法院命令出席等情事，顯現被告躲避法院命令之嫌，而FRCP第65條或其他衡平救濟手段對原告有所不足；（2）若未核發扣押令，將對原告產生立即且不可彌補之損害；（3）拒絕核發扣押令對原告所生損害，大於核發扣押令致被告合法利益所受損害；（4）依原告聲請所陳，原告很可能證明系爭資訊為營業秘密；（5）原告很可能成功證明，被告確以不當手段不法竊用原告系爭資訊；（6）原告很可能成功證明，原告的系爭資訊，確為被告實際持有中；（7）儘管存在法院無法扣押系爭資訊的風險，原告確實有通知被告；且（8）原告尚未公開其聲請的扣押行動。Id. at 2-4. [51] Id. at 4. 在Romaka案中，除客戶名單外，原告亦有聲請扣押其他「專有資訊」（proprietary information）。但此部份的扣押令被法院所拒絕，理由是原告對於此等資訊與相關事實的描述，諸如「秘密性與不可回覆之損害」（confidentiality and irreparable harm），欠缺「足夠具體」（sufficient particularity）。Id. [52] Renaud & Armington, supra note 39. [53] Id. [54] Newman, Mendelson & Song, supra note 2, at 3; Engler, supra note 13, at 21; Renaud & Armington, supra note 39. [55] Newman, Mendelson & Song, supra note 2, at 3. [56] 例如，同為DTSA規定下的禁制令救濟。18 U.S.C. § 1836(b)(3)。又例如，FRCP的「臨時禁制令」（preliminary injunction） 或「暫時限制令」（temporary restraining order）。Fed. R. Civ. P. 65 (a), (b). [57] 如前所述，DTSA並沒有凌駕或取代其他聯邦法、各州州法有關營業秘密的救濟與規範。18 U.S.C. § 1838. [58] Cook, 191 F.Supp.3d at 1077, 1076-1077, 1079; Daniels, 2016 WL 7034976, at *10-11, 14; Nettles, 2016 WL 4124114, at *4. See also Newman, Mendelson & Song, supra note 2, at 2-3; Rich, supra note 8, at 6; Boxer, Griem, Jr., Malyshev & Ruffi, supra note 8. [59] DTSA §2(e), Pub. L. No. 114-153, 130 Stat. 376, 381-382. [60] Werdegar & Braunig, supra note 39; Krotoski, Burkholder, Harrison & Houmand, supra note 2, at 14; Engler, supra note 13, at 21. [61] Avago Technologies U.S. Inc. v. Nanoprecision Products, Inc., Case No. 16-cv-03737-JCS, 2017 WL 412524, at *9 (N.D.Cal. Jan. 31, 2017); Cave Consulting Group, Inc. v. Truven Health Analytics Inc., Case No. 15-cv-02177-SI, 2017 WL 1436044, at *5 (N.D. Cal. Apr. 24, 2017); Physician’s Surrogacy, Inc. v. German, Case No.: 17CV0718-MMA (WVG), 2017 WL 3622329, at *8-9 (S.D. Cal. Aug. 23, 2017). See also Tara C. Clancy, April Boyer & Michael R. Creta, Emerging Trends in Defend Trade Secrets Act Litigation, National Law Review (Sept. 26, 2017), https://www.natlawreview.com/article/emerging-trends-defend-trade-secrets-act-litigation; Milligan & Salinas, supra note 8. [62] Cook, 191 F.Supp.3d at 1076-1079; Allstate Insurance Company v. Rote, No. 3:16-cv-01432-HZ, 2016 WL 4191015, at *1-5 (D. Or. Aug. 7, 2016); Syntel Sterling Best Shores Mauritius Limited v. Trizetto Group, Inc., 15-CV-211 (LGS) (RLE), 2016 WL 5338550, at *6 (S.D.N.Y. Sept. 23, 2016); Adams Arms, LLC v. Unified Weapon Systems, Inc., Case No. 8:16-cv-1503-T-33AEP, 2016 WL 5391394, at *6 (M.D. Fla. Sept. 27, 2016); Brand Energy & Infrastructure Services, Inc. v. Irex Contracting Group, CIVIL ACTION NO. 16-2499, 2017 WL 1105648, at *3-8 (E.D. Pa. Mar. 24, 2017); Sleekez, LLC v. Horton, CV 16–09–BLG–SPW–TJC, 2017 WL 1906957, at *5-6 (D. Mont. Apr. 21, 2017). See also Rich, supra note 8, at 8. [63] Unified Weapon Systems, 2016 WL 5391394, at *6; Horton, 2017 WL 1906957, at *5-6. See also Milligan & Salinas, supra note 8; Werdegar & Braunig, supra note 39. 聯邦法院判決顯示，若原告僅是「推論性的片面指控」（conclusory allegation），將不會被聯邦法院接受。Hydrogen Master Rights, Ltd. v. Weston, 228 F.Supp.3d 320, 338 (D.Del. 2017). See also Engler, supra note 13, at 23. [64] Unified Weapon Systems, 2016 WL 5391394, at *6. See also Rich, supra note 8, at 8. [65] Engler, supra note 13, at 23. [66] Milligan & Salinas, supra note 8. [67] Engler, supra note 13, at 23. [68] 18 U.S.C. § 1838. [69] Conley, supra note 4. [70] Synergy Worldwide, 208 F.Supp.3d at 1201; Cori, 2016 WL 6611133, at *2-5; Nettles, 2016 WL 4124114, at *4 fn.2; Cook, 191 F.Supp.3d at 1077, 1079-1080; Daniels, 2016 WL 7034976, at *8-10; M.C. Dean, 199 F. Supp. 3d at 1353-1357; Ghost Controls, 2016 WL 4059706, at *1 fn.1, *2-4; MiTek USA, 2016 WL 4418013, at *9-10; Ciro, 242 F.Supp.3d at 797-800. [71] Evans, supra note 10, at 190; Fues, Giannelli & Self, supra note 10; Fertig & Betts, Considerations—Part I, supra note 10, at 3-5. [72] Blackbaud, 216 F.Supp.3d at 921. [73] Digital Intent, 2016 WL 6395409, at *3. See also Evans, supra note 10, at 191. [74] Engler, supra note 13, at 21; Dharnidharka, Day & McCrimmon, supra note 8. [75] Sultanov, 2017 WL 67119, at *2; Mishra, 2017 WL 365619, at *2; Calvo, Case 1:16-cv-23300-KMW, at 7; Pendolino, 2017 WL 320830, at *1-2. See also Newman, Mendelson & Song, supra note 2, at 3; Engler, supra note 13, at 21; Renaud & Armington, supra note 39; Werdegar & Braunig, supra note 39. [76] Newman, Mendelson & Song, supra note 2, at 2-3; Rich, supra note 8, at 6; Boxer, Griem, Jr., Malyshev & Ruffi, supra note 8. [77] Cook, 191 F.Supp.3d at 1076-1079; Rote, 2016 WL 4191015, at *1-5; Trizetto Group, 2016 WL 5338550, at *6; Unified Weapon Systems, 2016 WL 5391394, at *6; Irex Contracting Group, 2017 WL 1105648, at *3-8; Horton, 2017 WL 1906957, at *5-6. See also Rich, supra note 8, at 8. [78] Milligan & Salinas, supra note 8. [79] Engler, supra note 13, at 23.
智慧城市－美國最新政策發展美國政府在2015年9月14日發布，將投入超過1.6億美元（約台幣50億元）於新的「智慧城市計畫」（Smart Cities Initiative）。透過中央政府的研究，以及全美國超過二十個城市的合作，來共同著手城市主要面臨的問題，包含：減緩交通阻塞、對抗犯罪問題、促進經濟成長、對於氣候變遷影響的管理、改善城市服務的遞送問題等。此戰略主要有四個策略方案：（一）創造「智慧聯網」應用的試驗平台，並發展新的多部門合作模式；（二）致力於城市科技相關的活動，並打造城市之間的合作；（三）善用現有的中央政府資源；（四）追求國際間合作。 而在十月份，美國白宮公佈由國家經濟委員會（National Economic Council）與國家科學與技術政策辦公室（Office of Science and Technology Policy）共同完成的「美國創新戰略」（A Strategy for American Innovation）中，明確地指出美國國家的突破重點領域為：解決國家及全球性的挑戰（Tackling Grand Challenges）、精密醫療、健康照護、先進的運輸工具、智慧城市、乾淨能源與能源效率、教育科技等面向。此戰略報告係延續美國白宮於2011年，由相同組織單位所完成的「美國創新戰略－確保經濟發展與繁榮」（A Strategy for American Innovation – Securing Our Economic Growth and Prosperity），其中列舉出國家的目標政策為：能源改革、生物科技、太空探索、醫療健康與教育科技。相較下，十月份甫公佈的美國「創新戰略」則更明確的將「智慧城市」之發展設為重點政策。 美國政府將投入協助芝加哥（Chicago）「科技計畫」（Tech Plan）中的子計畫－「城市感測器專案」（Array of Things, AoT），發展當地下一代智慧聯網的基礎設施，包括運用內建Wi-Fi的感測器裝置路燈，使其能夠有照明的基本功能外，還能蒐集諸如人潮流量、天氣、濕度、空氣品質、亮度、聲音大小等數據。 在此戰略推動之下，美國主要之智慧城市發展的實例，如匹茲堡（Pittsburgh）的前導計畫（pilot project），係藉由交通網絡之間的交通號誌整合，得以優化地區性的交通吞吐量，讓平均降低將近百分之二十五的交通時間。另外，在肯塔基州（Kentucky）的最大城市－路易斯維爾（Louisville），利用具有感測功能之哮喘吸入器所蒐集的資料，統整出哮喘發生的「熱點」，以及空氣品質等級等其他環境因素，作為該州政府政策制定參考依據。
Other Transaction(OT)於新創政府採購之應用今(2018)年2月，一家成立於2013年、位於美國維吉尼亞州的雲端策略服務公司REAN Cloud Llc.以其他交易(Other Transaction, OT)模式獲得了美國國防部(Department of Defense)5年合計9.5億美金的合約，讓OT自2016年10 U.S. Code §2371b正式生效進一步確認美國國防部針對原型(Prototype)及其後續之產品開發適用OT以來[1]，再次引起討論。 OT源於冷戰時期的美國，主要用於讓聯邦政府部門取得尖端國防技術的研究與發展(Research and Development, R & D)成果和原型。OT並非傳統之契約(contract)、授權書(grant)或合作協議(cooperative agreement)，且法並無明確定義OT究竟實質內容為何。OT不受聯邦併購規則(Federal Acquisition Regulation, FAR)所規範，更接近一般私人商業契約，因此具備極大的合作彈性，可大幅度縮短私部門與政府合作常碰到的冗長時程。由於OT快速、彈性的這兩項特質，近年來應用於國防以外之新創或尖端科技之公私合作亦逐漸普遍。 然OT雖然簡化了政府採購的時程與限制，但同時也減少了問責可能性和透明度，因此目前只限具備美國國會授予其他交易授權(Other Transaction Authority, OTA)的聯邦政府機構得以使用OT。在美國計有太空總署(NASA)、美國國防部、美國聯邦航空總署(Federal Aviation Administration)、美國運輸部(Department of Transportation)、國土安全部(Department of Homeland Security)、運輸安全管理局(Transportation Security Administration)、衛生與公共服務部(Department of Health and Human Services)、美國能源部(Department of Energy)獲得國會授予OTA，其餘未獲OTA之政府部門僅得以在聯邦預算管理局(Office of Management and Budget)主任授權下有條件地使用OT。 尖端技術的R&D在不同領域皆有其特殊性，難以一體適用FAR，是以OT在實務運作上為兼顧持有尖端技術的公司重視速度和營業秘密之特質與採購之公平性，其運作模式通常為：聯邦政府成立某種技術領域的OT聯盟(consortium)，私部門的潛在締約者可以申請加入，繳交會費並同意該聯盟的約定條款。聯盟之約定條款通常較政府採購契約來的有彈性，例如智慧財產權的歸屬是以個案個別約定。擁有OTA之政府機關嗣後可向聯盟成員徵求產品或服務白皮書，之後再從中挑選優秀者進一步繳交更詳細的產品或服務計畫書，最終經由聯盟管理機構(consortium management organization)挑選出最適者。 OT與OT聯盟的運作模式，為公私合作提供極大的法律彈性，且非常迅速。平均而言，從政府徵求白皮書到成功找到最適者，不過兩個月時間。時間與彈性乃是新創企業或尖端技術持有者與政府合作時最有疑慮之處，OT可以解決此一問題。然需注意OT在適用上仍存在諸多挑戰，例如成效難以評估、較不透明導致監督困難、智慧財產權歸屬爭議等，有待克服。 [1] 美國國防部在此前乃是遵循Section 845 of the National Defense Authorization Act(NDAA) for Fiscal Year(FY) 1994, Public Law 103-160適用OT。
美國網路安全相關法規與立法政策走向之概覽美國網路安全相關法規與立法政策走向之概覽 科技法律研究所 法律研究員 沈怡伶 104年08月11日 網路安全（cyber security）是近年來相當夯的流行語，而在這個萬物聯網時代，往後數十年對於網路安全的關注勢必不會減退熱度。在美國，因層出不窮的網路攻擊和資料外洩事件讓政府機關不勝其擾，也讓許多企業產生實質上經濟損失和商譽受損，隨之而來的是聯邦和州政府主管機關的關切目光，除了透過政策和行政規管之外，國會也開始制訂新法或對現行法規進行修法，補入對於網路安全維護之要求，以下本文將簡介美國現行法規範之要點及目前最新法案。 壹、美國聯邦政府相關網路安全規範、標準及措施 一、金融業相關管制規範 對金融機構的管制依據為「金融服務業現代化法/格雷姆-里奇-比利雷法（Gramm-Leach Bliley Act, GLBA ）」，該法要求金融機構必須建置適當的程序保護客戶的個人財務資訊，維護客戶個人資料的機密性、完整性和安全性，避免遭受任何可遇見的威脅或騷擾，以及避免任何未經授權的近用行為導致損害或對客戶造成不便利[1]。 另外美國證券交易委員會（Security and Exchange Commission, SEC）下設法令遵循檢查與調查室（SEC Office of Compliance Inspections and Examinations, OCIE），在2014年發布全國檢查風險警示（National Exam Program Risk Alert），命名為「OCIE 網路安全芻議（OCIE Cybersecurity Initiative）」，用來評估證券交易商和投資顧問對網路安全維護的準備以及曾遭遇過的資安威脅種類和經驗；而金融監管局（Financial Industry Regulatory Authority ,FINRA）也在2014年實施「掃蕩計畫（sweep program）」，金融監管局就其主管的特定企業會寄發的檢查通知書，要求回答有關於企業網路安全的相應準備措施[2]。 二、支付卡產業資料安全標準（Payment Card Industry Data Security Standard, PCI DSS） 該標準是由支付卡產業標準協會由五家國際信用卡組織聯合訂定的安全認證標準，雖不具法律位階，但因其公信力，美國企業都會自律遵循的規範，保護支付卡的資料安全。該標準關注於組織應該要開發和維護資訊系統和應用程式，並追蹤和監督網路資源和持卡者的個人資料，並發展出一個強健的支付卡數據安全流程，包括預防、偵測及適當回應資安事故的方式[3]。 三、醫療健康資訊相關管制規範 「健康保險可攜式及責任法（Health Insurance Portability and Accountability Act of 1996, HIPPA）」是最先開始要求所有電子化的受保護醫療照護資料在創建、接收、維護和傳輸時，需受有基本的保護措施和機密性之法規[4]；爾後，「經濟與臨床健康資訊科技法(Health Information Technology for Economic and Clinical Health Act, HITECH)」則將HIPPA適用主體擴及所有處理受保護醫療照護資訊的個人和機構，並強化資訊傳輸時的安全性和效率性規定[5]。 貳、立法焦點新況：網路安全及網路威脅資訊共享 美國政府對網路安全非常看重，因其對國家經濟和國家安全都有巨大的影響力，不過美國總統歐巴馬曾明白表示美國對於資訊及通信基礎建設的防護措施尚未到位，也尚未建立數位關鍵基礎建設的全方位發展策略；透過盤點與檢視，美國政府的網路空間政策（Cyberspace Policy）方向之一，是建立網路安全合作夥伴關係，包括各級政府間的水平合作及公、私部門間的上下合作網絡，共同研發尖端技術因應數位式帶的網路安全威脅[6]。 針對網路威脅資訊分享方式，美國國會一直持續的研擬相關法案，希望能在妥適保護公民隱私和公民自由的前提下，建立資訊分享管道，2015年3月美國參議院提出754號法案「網路安全資訊分享法2015（Cybersecurity Information Sharing Act of 2015, CISA）」[7]，試圖將CISA作為國防授權法（National Defense Authorization Act，NDAA）修正案之一部，但卻未獲得足夠通過票數[8]。CISA係由美國情報局（Director of National Intelligence）、國土安全部(Department of Homeland Security)、國防部（Department of Defense）和司法部（Department of Justice）共同定之，計十條，目的之一是希望透過法律授權讓聯邦政府機關能即時的將機密性或非機密性網路威脅指標分享與私人實體（個人或企業）[9]、非聯邦政府機關單位、州政府、原住民政府和當地政府，以阻止或減輕網路攻擊帶來的負面衝擊；其二，允許私人實體得為網路安全之目的，在一定要件下監控自己或他人的資訊系統，以運作相關的網路安全防御措施，並分享資訊給聯邦各級政府。CISA亦設計了監督機制，和隱私及公民自由保護條款，避免變相創造一個撒網過廣的監控計畫[10]。CISA法案雖未通過，但參議院並未放棄，欲以該法案的基礎框架進行修正，修正重點為訂定資料外洩事件通報標準並擴大隱私權之保護，預計於同年8月底國會休會期前再次提出修正版本進行表決[11]。 現行法案重點在資訊共享並授權私人實體監控自己或他人之資訊系統，而主要分享標的為「網路威脅指標（cyber threat indicator）[12]及「防禦措施（defensive measure）」[13]。網路威脅指標係指有必要描述或鑒別之： 一、惡意偵察，包括為蒐集與網路安全威脅[14]或安全漏洞之技術資訊，而利用異常態樣的通信模式。 二、能破解安全控制或利用安全漏洞的方法。 三、安全漏洞。包括能指出安全漏洞存在的異常活動。 四、使用戶合法使用資訊系統或儲存、處理、傳輸資訊時，不知情地使安全控制失效或利用安全漏洞的方法。 五、惡意網路命令和控制。 六、引發實際或潛在的危險，包括因特定網路安全威脅使資訊外洩。 七、其他任何具網路安全威脅性質者，且揭露並不違法其他法律者。 八、任何結合上開措施之行動。 防禦措施（Defensive measure）則指一個行動、裝置、程序、簽名、技術或其他方式應用於資訊系統或透過該資訊系統進行儲存、處理或傳輸之資訊，能防禦、阻止或減緩已知或懷疑的網路安全威脅或安全漏洞。但不包括私人實體自行/經聯邦機關或其他實體授權同意，破壞、使其無法使用或實質傷害資訊系統或資訊系統內之資訊的相關措施。 就資訊共享部分，法案第3條及第5條分別明定聯邦機關分享機密性網路威脅指標給私人實體、以及私人實體分享網路威脅指標和防禦措施給聯邦政府機關之管道。前者指定司法部應會同國土安全部、國家情報委員會及國防部訂定相關辦法，；後者相關辦法由司法部訂定，讓聯邦機關依法接收來自私人實體的指標和防禦措施，不論是電子郵件、電子媒體、內部網路格式、或資訊系統間的即時性和自動化程序等各種形式之資訊，且需定期檢視對隱私與公民自由的保護狀況，限制接受、保留、使用、傳播個人或可識別化個人之資訊。 美國各級政府機關得經私人實體同意後，得利用所接收的網路威脅指標，用以預防、調查或起訴下列違法行為：即將發生而可能造成死亡、重大人身傷害、重大經濟危害的威脅，威脅包括恐怖攻擊、大規模殺傷性武器；涉及嚴重暴力犯罪、詐欺、身份竊盜、間諜活動、通敵罪及竊取商業機密罪。另針對監控資訊系統部分，法案第4條授權私人實體得為網路安全目的監控自己或他人所有之資訊系統及資訊系統中儲存、處理或傳輸之資訊，並應用相關防禦措施來保護權利及資產，若屬其他私人實體或聯邦機關之資訊系統，需取得其他私人實體或聯邦機關之授權及代表人之書面同意。 參、小結 網路威脅的態樣隨著經濟活動發展和科技技術不斷變化和演進，故在擬訂應對措施時，須納入「適應性（adaptation）」概念，適應性指需要具體討論如何分配實質上的物質資源和經濟上資源，來保護組織內最有價值的智慧財產權和客戶資訊；提供成員和利害關係人相關資訊，讓他們關注網路威脅並能實踐可行的安全措施[15]。 就美國在訂定網路安全相關政策及規範之走向來看，充分及即時的資訊互享流通方能產出完善且強健的安全防護政策，惟其中牽涉到國家機密資訊、私部門智慧財產權和商業機密以及個人隱私和自由權利之保護議題。是以，從眾議院到參議院陸續所提出各版本的網路威脅資訊共享草案，均受有恐將產生大規模監控美國公民計畫之爭議，故至今尚未成功通過任一法案。惟資訊共享所帶來之正面效益和影響並未被否定，而究竟如何建構健全且可靠之機制，尚待各方團體與立法機關進行充分的溝同及討論，協同打造能安心活動之網路虛擬空間。 [1] Gramm Leach Bliley Act, https://www.ftc.gov/tips-advice/business-center/privacy-and-security/gramm-leach-bliley-act (last visited Aug.11, 2015). [2]Paul Ferrillo, Weil, Gotshal & Manges LLP, Cyber Security and Cyber Governance :Federal Regulation and Oversight, http://corpgov.law.harvard.edu/2014/09/10/cyber-security-and-cyber-governance-federal-regulation-and-oversight-today-and-tomorrow/ (last visited Aug.11, 2015). [3] PCI DSS, PCI Security Standard Council, https://www.pcisecuritystandards.org/security_standards/documents.php?document=pci_dss_v2-0#pci_dss_v2-0 (last visited Aug.11, 2015). [4] Health Information Privacy, HHS.gov, http://www.hhs.gov/ocr/privacy/ (last visited Aug.11, 2015). [5] Health IT Legislation, Health IT.gov, http://healthit.gov/policy-researchers-implementers/health-it-legislation (last visited Aug.11, 2015). [6] Cybersecurity Laws& Regulations, Homeland Security, https://www.whitehouse.gov/sites/default/files/cybersecurity.pdf (last visited Aug.11, 2015). [7] https://www.congress.gov/bill/114th-congress/senate-bill/754 [8] Text:754-114th Congress, Congress. Gov, http://www.natlawreview.com/article/senate-fails-to-include-cybersecurity-legislation-part-national-defense-authorizatio (last visited Aug.11, 2015). [9] Sec.2(15). [10] S.754- Cybersecurity Information Sharing Act of 2015 Summary, Congress. Gov, https://www.congress.gov/bill/114th-congress/senate-bill/754 (last visited Aug.11, 2015). [11] Amy Davenport, Senate is likely to consider cybersecurity legislation before August recess, Capita; Thinking Blog, July.27, 2015, http://www.capitalthinkingblog.com/2015/07/senate-is-likely-to-consider-cybersecurity-legislation-before-august-recess/ (last visited Aug.11, 2015). [12] Sec.2(6). [13] Sec.2(7). [14] 網路安全威脅（cybersecurity threat）指「不受憲法修正案第一條保護之行為、未經授權而利用資訊系統造成資訊系統或使資訊系統中儲存、處理或傳輸之資訊的安全性、可用性、機敏性或完整性之不利影響，但不包括任何僅違犯消費者條款或服務/消費者許可協議之行為」，參Sec.2(5)。 [15]Paul et al., supra note 2, at 2.