自駕車之發展與挑戰-以德國法制為借鑑
本文為「經濟部產業技術司科技專案成果」
歐盟在2014針對行動健康(mHealth)綠皮書進行公共諮詢，要求相關之人針對mHealth發展的十一個議題提出意見。進行的時間從2014年4月10日至7月10日，歐盟在2015年1月12日公布諮詢結果，總計有211位參與者回覆，其中71%由組織機構回覆，29%則為個人意見回覆。 在諮詢報告中所提列之十一項議題包含:1. 健康資料的安全性、2. 巨量資料、3. 於目前歐盟法規下的適用情況、4. 病人安全性與資訊透明化、5. mHealth在醫療照護系統的定位以及平等使用、6. 互通性、7. 補助機制、8. 責任歸屬、9. 研究與發展、10.國際合作、11. mHealth市場發展性等。 針對上述議題，諮詢報告提出幾項認為未來發展mHealth時面臨之問題以及應該如何因應。包含: 1. 多數認為應建立隱私安全保護工具，包括資料加密以及驗證機制。逾半數的人認為應該執行資料保護，將法規適用於mHealth相關器材。2. 近半數的人要求病人安全以及資料的透明性，因此，應可建立制度使這些mHealth APP經品質認證通過後上市。3. 對於mHealth的業者而言，認為需要有清楚的法規架構、互通性以及共通的品質標準建立，才能有助於產業的發展。4.透過立法、自律機制以及指導原則的建立，使mHealth APP所衍生之問題能有規範可供解決。5. 部分認為mHealth的成本效益需要有更多的數據證據分析來評估。例如，在美歐國家曾進行一項測試，mHealth可以減少50-60%肺部慢性疾病病人住院以及再次入院的比例。此外，mHealth亦可減少25%老人照護的成本支出。6. 歐盟以及各個國家應該確認mHealth的互通性，基於持續性的照護以及研究目的，能有共通可相互使用的電子醫療紀錄。7. 其次則是應該促使開放標準，並有醫療專家以及使用者積極參與使mHealth能完備進行。 在歐盟此的mHealth公共諮詢報告中，已提出未來可能面臨的問題，歐盟嘗試以既有之指令規範檢視mHealth衍生之問題是否能夠加以因應解決，其主要目的仍在於讓消費者能安全使用，同時亦希望能促進產業開發與進步，其後續發展值得觀察，同時亦可提供相關業者開發時之參考。
歐盟2014個人資料保護日，倡議資料可攜權及個資規範革新歐盟將2014年1月28日定為「2014個人資料保護日」（Data Protection Day 2014），倡議推動個人資料修法及規範革新，主要係位因應數位化時代，個人資料權利保護越形重要，並且為了強化保護線上隱私權利，歐盟執委會首於2012年1月25日所提出個人資料保護指令的修正草案─「保護個人關於個人資料處理及此等資料自由流通規章（一般資料保護規章）」（Proposal for a REGULATION OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL（General Data Protection Regulation)）；該修正草案於2013年6月進入歐洲議會、理事會及執委會的三方協商，同年10月21日歐洲議會公民、司法與內政委員會（Committee on Civil Liberties, Justice and Home Affairs）審議通過，若進程順利預計將於2014年獲得通過，並於2016年生效施行。 歐盟「2014個人資料保護日」會議中，特別提到此次修法，係為歐盟跨時代的個人資料保護規範革新工作，具有特別重要意義，並且倡議應對於資料可攜權（Right to Data Portability），明文法制化加以落實保障，包括加強資料當事人控制及近取個人資料的權利，資料當事人更容易近取（aceess）個人資料（第14、15條）；資料當事人有資料可攜的權利（第18條），當資料處理是以電子化方法，且使用結構性、通用的格式時，資料當事人有權利可以取得該結構性、通用格式下的個人資料（第18條(1)），且更容易自不同服務提供者間移轉個人資料。 國際間對於「資料可攜」議題，正反意見均陳，並未達成共識。歐盟執委會提出個人資料保護指令的修正草案第18條，倡議將「資料可攜性」明文法制化，並要求資料蒐集、處理與利用者對以電子化方法持有的個人資料，需使用結構性、通用的格式，以便利並確保後續個人資料可攜性。此修正草案一提出，隨即引發國際間各重要國家的熱烈探討：有反對者認為，此舉無異將形成未來國際間貿易障礙；有贊成者從確保使用者權益觀點，認為未來智慧聯網（IoT）環境下，資料可攜性是不可避免的趨勢，賦予資料當事人法律權利，有助於個人資料的保護。各重要國家對歐盟修正草案立場及意見，值得加以探究，以觀察未來法制發展趨勢。
歐盟GDPR保護適足性審核與因應作為歐盟GDPR保護適足性審核與因應作為 資訊工業策進會科技法律研究所 法律研究員 吳柏凭 2018年04月10日 壹、事件摘要 歐盟於 1995 年頒布個人資料保護指令(95/46/EC)[1]，對歐洲各國甚至全世界個人資料保護法制發展有極大影響力。然隨著資通訊技術發展變化迅速，網際網路與各項應用興起，既有歐盟個人資料保護指令面對這些變化已經難以為繼，歐盟執委會(European Commission) 出新的資料保護規則（General Data Protection Regulation, GDPR），於2016年4月27日通過，5月4日公布，正式成為歐盟第2016/679號規則（Regulation (EU) 2016/679）[2]。由於歐盟原則上禁止個人資料跨境傳輸，只有在被認可具有保護適足性(Adequate level of protection)的國家或地區才能例外許可傳輸，因此如何獲得歐盟保護適足性認可，就成為能否跨境傳輸歐盟個資的關鍵。 貳、重點說明 一、個人資料保護指令保護適足性審查規定 1995年的個人資料保護指令，就有禁止會員國將個人資料跨境傳輸至對資料保護不具有保護適足性之國家[3]。在第25條第2項中，對於保護適足性的審查，包括資料的性質、處理目的和期間、資料的發生地及最終目的地、該國家施行的普通法及特別法規範、以及安全措施等，透過個案綜合判斷是否具有保護適足性[4]。而關於具體的判斷標準，則依照第29條規定資料保護工作小組（Article 29 Data Protection Working Party）的指導文件[5]，其中對於法律規範審查，除了內容外，更重視個資保護的執行面。 二、GDPR保護適足性審查規定 GDPR延續了個人資料保護指令的規定，原則上禁止資料跨境傳輸至對資料保護不具有適足性之國家[6]。根據第45條第2項規定，適足性的評估包括以下要素： 法治、對人權與基本自由之尊重、一般與部門之相關立法，包括有關公共安全、防衛、國家安全及刑法、公務機關對個人資料之接近使用權、及該等立法、資料保護規則、專業規則及安全措施之執行。 有一個或以上獨立監管機關之存在及有效運作，或對象為國際組織時，確保及執行資料保護規則之遵守，包括充足之執行權，以協助及建議資料主體行使其權利，並與會員國之監管機關合作； 個人資料向其他第三國或國際組織進一步移轉，該其他第三國或國際組織之規則、判例法、及有效且可執行之資料主體權利及個人資料受移轉之資料主體有效之行政與司法救濟；第三國或國際組織所加入之國際協定，或其他因具法律拘束力之合約或辦法、及從其參與多邊或區域體系而生之義務，尤其關於個人資料保護者。 以上規定與個人資料保護指令最大不同在於將保護適足性的判斷標準明文化，同時補充個人資料向第三地再傳輸應注意的規範、具有獨立性監管機關等規定，填補原本個人資料保護指令的漏洞。 三、保護適足性認可程序與現況 保護適足性認可的程序[7]為： 來自歐盟執委會的提案。 得到由歐盟各國資料保護機關組成之作業會議(European Data Protection Board)的意見。 得到歐盟各國代表的承認。 歐盟執委會合意認可。 縱然取得認可，之後也會每四年檢驗一次[8]，如果被判定不具保護適足性，則仍會取消原本的認可[9]。 現階段已通過保護適足性審核的國家地區包括：安道爾、阿根廷、加拿大（民間機構）、法羅群島、根西島、以色列、馬恩島、澤西島、紐西蘭、瑞士及烏拉圭，另有美國限於「隱私盾」框架(Privacy Shield framework)方可傳輸。 參、事件評析 （一）保護適足性認可的效益 除了取得適足性認可外，個別企業可以透過1.標準契約條款(Standard Contractual Clauses, SCC)；2.拘束企業準則(Binding Corporate Rules, BCR)；或3.取得同意方式進行跨境傳輸[10]。但是取得適足性認可不但可以節省企業在個資跨境傳輸的成本，減輕企業負擔，同時也有助於整體產業突破歐盟貿易壁壘。 （二）通過保護適足性審核的困難 雖然現行通過適足性審核的國家地區有11個，惟需注意的是，根西島、馬恩島、以及澤西島都是英國屬地，法羅群島是丹麥屬地，而安道爾和瑞士都是在歐洲境內，這些國家地區的法規範本來就與歐盟差距不大，加上美國及加拿大國家本身不被認可具適足性，實際上不屬於歐盟法體系而通過適足性審核的國家地區非常有限。而且包括以色列、烏拉圭或紐西蘭在申請認可都花超過三年的時間，因此也不能作為短期的因應措施。 此外，在要件方面，規範上雖然我國個資保護規範與GDPR未有極大歧異，但只要存有差異，要取得認可就有極高困難度，這些都需要與歐盟執委會溝通。而在監管機關要求方面，雖然沒有要求單一機關，但對於機關的「獨立性」仍有要求。關於機關的獨立性目前歐盟並沒有明確的標準，但在歐盟法院判決中，有因為德國的州對州層級的資料監管機關進行調查的權力，而被認為不具獨立性[11]。 （三）通過適足性審核的具體作為 以日本為例，為了取得歐盟適足性認可，在2015年9月就其個人資料保護法（個人情報保護法）進行修正，其中設立個人資料保護委員會（個人情報保護委員会）即是為了符合適足性要求中「獨立監管機關」規定，而第24條跨境傳輸的規定更是重要。 日本個人資料保護委員會在2016年就與歐盟執委會溝通三次[12]，同時在2017年發出共同聲明[13]。在不修正法律的狀況下，日本個人資料保護委員會頒布一指導方針來消除差異，並於於2018年2月9日先揭示調適方向[14]，包括： 將歐盟視為敏感性個人資料而日本未明文規定者，解釋上一律視為敏感性個人資料。 歐盟不管個人資料保管期間，一律可以主張權利，而日本則限保管期間6個月以上方可主張權利。指導方針對於歐盟跨境傳輸的個資，不管保管期限一律許其主張權利。 對歐盟跨境傳輸的個資將要求揭露特定利用目的。 對於歐盟跨境傳輸的個資再移轉，必需要透過契約等規制，確保資料受保護水準。 關於歐盟跨境傳輸的個資，在去識別化一定要確認無法再識別，以與歐盟去識別化資料定義相符。 肆、結語 歐盟GDPR已施行在即，如何因應以突破其跨境傳輸的限制將不只是單純避免業者受罰，更是跨越歐盟貿易壁壘的重要關鍵，而在眾多例外許可跨境傳輸的方法中，又以取得保護適足性認可為最根本因應之道。雖然現在取得認可的難度極高，但仍有許多能努力的空間，目前我國也著手申請適足性認可的準備，未來能得到何種程度的回應，值得後續觀察。 [1] Directive 95/46/EC of the European Parliament and of the Council of 24 October 1995 on the Protection of Individuals with regard to the Processing of Personal Data and on the Free Movement of Such Data. [2] Reform of EU data protection rules, European Commission, http://ec.europa.eu/justice/data-protection/reform/index_en.htm (last visited Apr.10, 2018). [3] Data Protection Directive, art. 25(1). [4] Data Protection Directive, art. 25(2). [5] European Commission, Working Party on Protection of Individuals with regard to the Processing of Personal Data, Working Documents Transfers of personal data to third countries: Applying Articles 25 and 26 of EU data protection directive, July 24, 1998. [6] General Data Protection Regulation, art. 45. [7] Adequacy of the protection of personal data in non-EU countries, https://ec.europa.eu/info/law/law-topic/data-protection/data-transfers-outside-eu/adequacy-protection-personal-data-non-eu-countries_en (last visited Apr.10, 2018). [8] General Data Protection Regulation, art. 45(3). [9] General Data Protection Regulation, art. 45(5). [10] General Data Protection Regulation, art. 46. [11]European Commission v. Federal Republic of Germany(C-518/07). [12]個人情報保護委員会，個人情報保護委員会の国際的な取組について，https://www.kantei.go.jp/jp/singi/keizaisaisei/miraitoshikaigi/4th_sangyokakumei_dai2/siryou3.pdf (last visited Apr.10, 2018). [13]JETRO，個人データ保護の「十分性認可」取得の好機に－日EU首脳が共同声明－，https://www.jetro.go.jp/biznews/2017/07/845f14ec50674c94.html (last visited Apr.10, 2018). [14]個人情報保護委員会，EU 域内から十分性認可により移転を受けた個人データの取扱いに関するガイドラインの方向性について ，https://www.ppc.go.jp/files/pdf/300209_siryou1.pdf (last visited Apr.10, 2018).
美國競業禁止條款之修法趨勢及對離職員工之管理建議美國聯邦貿易委員會（The Federal Trade Commission, FTC）於2023年1月5日提出聯邦規則彙編（Code of Federal Regulations, CFR）之修正草案，其基於競業禁止條款（Non-Compete Clauses）將阻止員工離職及員工之競爭、降低員工的薪資、阻止新企業之形成及阻礙創新等立法目的，擬禁止僱用人及受僱人間約定競業禁止條款及使現有的競業禁止條款歸於無效。 美國亦有相關報導提到員工流動於技術領域尤為常見，因技術領域之企業對營業秘密高度重視，故對於員工離職到競爭對手會特別留意，例如加州的許多企業（尤其是位於矽谷之企業）會與員工簽署保密合約規範對於機密資訊的處理，部分合約甚至包含競業禁止條款以限制員工於離職後至競爭對手處工作，不論係保密合約或競業禁止條款，其目的均係延遲或避免員工於離職後帶走公司敏感資訊並將其用於對前僱主不利之用途。 聯邦規則之修正草案一旦通過，未來美國的企業將不得再以約定競業禁止條款之方式限制離職員工至競爭對手處工作，但企業仍可透過在員工離職前或離職後採取相關措施，盡早發現並降低離職員工竊取公司敏感資訊的風險，可採取的措施例如： 1.留意員工離職前是否有未經授權或為完成工作以外之目的複製或存取公司的資料之行為，意即，這些蒐集來的資訊是否將用於新公司的工作（如改良競爭對手的產品、擴大競爭對手的客群等）； 2.對員工個人工作設備（如：公司提供之筆電及手機）或網路存取紀錄等進行調查，檢視是否有異常檔案存取紀錄或異常行為（例如是否突然大量刪除/複製檔案）； 3.了解員工的離職原因及於離職後的規劃——可以了解員工未來可能從事的職業、就職的企業以調整離職前調查的程度； 4.留意員工於找到新雇主後是否仍持續使用公司的營業祕密——新雇主亦須留意的是，新進員工是否仍持續使用前公司的營業秘密，以避免公司被訴。 本文同步刊登於TIPS網站（https://www.tips.org.tw）