敏感科技保護
「敏感科技」的普遍定義，係指若流出境外，將損害特定國家之安全或其整體經濟競爭優勢，具關鍵性或敏感性的高科技研發成果或資料，在部分法制政策與公眾論述中，亦被稱為關鍵技術或核心科技等。基此，保護敏感科技、避免相關資訊洩漏於國外的制度性目的，在於藉由維持關鍵技術帶來的科技優勢，保護持有該項科技之國家的國家安全與整體經濟競爭力。
各國立法例針對敏感科技建立的技術保護制度框架，多採分散型立法的模式，亦即，保護敏感科技不致外流的管制規範，分別存在於數個不同領域的法律或行政命令當中。這些法令基本上可區分成五個類型，分別為國家機密保護，貨物（技術）之出口管制、外國投資審查機制、政府資助研發成果保護措施、以及營業秘密保護法制，而我國法亦是採取這種立法架構。目前世界主要先進國家當中，有針對敏感科技保護議題設立專法者，則屬韓國的「防止產業技術外流及產業技術保護法」，由產業技術保護委員會作為主管機關，依法指定「國家核心科技」，但為避免管制措施造成自由市場經濟的過度限制，故該法規範指定應在必要的最小限度內為之。
本文為「經濟部產業技術司科技專案成果」
劉純妤
法律研究員 編譯整理
美國明尼蘇達州通過的《明尼蘇達消費者個人資料保護法》（Minnesota Consumer Data Privacy Act, MNCDPA)規範組織應如何合規蒐集、處理及利用個人資料。主要內容有： 一、 適用對象：於明尼蘇達州內經營商業之營利組織（下簡稱企業或資料控制者），或生產製造商品、提供服務予該州居民之企業，且符合下列情形之一者： 1. 在前一年度控制或處理超過10萬筆消費者個人資料。 2. 控制或處理超過25,000筆消費者個人資料，且總營收超過百分之二十五係源自於銷售個人資料者。 3. 高等教育機構（postsecondary institutions）、非營利組織則自2029年7月31日起適用。 二、 消費者權利：賦予明尼蘇達州居民對個人資料的基本權利，且強調消費者不應因行使權利而受歧視。分別為： 1. 近用權：請求瀏覽企業對其所蒐集個人資料，但如導致企業商業機密洩露之虞者除外。 2. 修正權：請求企業修正不正確或不完整的個人資料。 3. 刪除權：請求企業刪除其個人資料。 4. 請求製給複製本：採取可便利取用格式，或資料可攜(Data Portability) 之方式。 5. 選擇退出權（opt out）：就個資利用行為，消費者得行使退出權： （1） 為精準行銷之目的（Targeted Advertising）； （2） 銷售個人資料； （3） 為資料剖析之目的處理個人資料。 6. 取得企業揭露或提供個資利用之對象清單。 7. 消費者得向企業請求基於特定決策所作成剖析結果之原因，以及消費者未來得據以採取確保不同決策之作為。 三、 企業主要責任與義務： 1. 企業應履行之義務除告知義務、透明度、資料最小化、安全維護措施外，尚須： （1） 依法回應當事人之請求：資料當事人向企業請求查詢、修改及刪除自己的資料，企業接到請求後，應於45天之期限內准駁其請求；必要時得於通知當事人合理事由後，展延一次。 （2） 保存所有申訴與回覆之紀錄至少24個月；除此之外，企業須建立並採行合規政策，包括識別主要負責人，如：首席隱私長(Chief Privacy Officer)。 明尼蘇達州《明尼蘇達消費者資料隱私法》的通過顯示社會對於資料隱私保護方面的重視，除了加強對消費者個人資料的保護，也賦予消費者的權利，使消費者不再屬於被動方，而能夠主動捍衛自己的個人資料隱私。
英國通過《電子貿易文件法》，將透過「可信賴系統」的要求強化電子貿易文件的證明效力英國國會於2023年7月上旬通過《電子貿易文件法》（Electronic Trade Documents Act 2023, ETDA），經國王於7月20日正式批准，該法於2023年9月20日正式生效，未來英國的電子貿易文件將與紙本貿易文件具有相同效力。 一直以來，英國僅承認紙本貿易文件的法律上效力，因此英國企業在進行國際貿易的各環節上，必須處理上百頁的紙本文件，造成英國企業及其交易對象必須花費相當高的時間和金錢成本，不僅效率低且造成環境破壞，同時紙本文件也較難驗證其真實性。在數位轉型趨勢下，此類陳舊的法律早已不合時宜，因此美國、新加坡、德國等國家也正在進行類似立法，而英國是七大工業國組織（Group of Seven, G7）中第一個完成立法的國家。 該法正式施行後，可大幅降低英國企業的成本，提升國貿及融資的效率；根據英國政府估計，未來十年，該法將可為英國經濟創造11.4億英鎊的淨效益（net benefit），同時每年可減少10%以上的碳排放量，有助於落實ESG。更重要的是，相對於紙本，貿易文件的數位化，可提升安全性和透明性。 根據該法第2條第2項規定，電子貿易文件必須是由「可信賴系統」（reliable system）所產生，所謂「可信賴系統」必須具備以下特徵： 1.能清楚識別文件，與其他副本加以區分； 2.能防止文件遭到未經授權的修改； 3.確保任何時點僅有一人能對該文件行使控制權； 4.允許能夠對該文件行使控制之人，能向他人「證明」其控制權； 5.確保電子貿易文件移轉後，使前手立即喪失控制權。 此外，第2條第5項列出在判斷一個系統是否可信賴時，可考量的7點因素，其中第5點指出可考量該系統是否經獨立機構定期稽核（包含稽核頻率和範圍），以及第6點為該系統是否經監管機關進行任何可信賴性的評估。 雖然該法基於技術中立（technological neutrality），並未明定何種技術符合「可信賴系統」的要求。然而，起草該法的法律委員會（Law Commission of England and Wales, LCEW）於2022年3月的草案報告中花了相當大的篇幅說明「分散式帳本」（Distributed Ledger Technology, DLT）的技術，並認為DLT在透明性、安全性、不可竄改等面向有較好的表現，因此指出這是「目前」產生可信賴電子貿易文件的重要技術之一。英國政府表示，承認電子貿易文件的法律效力後，國際貿易各環節的參與者可以透過如DLT等技術，更有效地追踪相關紀錄，進而提高國際貿易的安全性和合規性。 本文同步刊登於TIPS網站（https://www.tips.org.tw）
美國Six Strikes系統成為打擊音樂、影視網路盜版的利器?!為杜絕網路盜版行為，美國AT&T、Verizon、Cablevision、Time Warner Cable及Comcast等主要網路服務提供者共同推動著作權警告系統(Copyright Alert System, CAS)，亦稱為Six Strikes系統。該系統可用在舉發透過P2P違法下載音樂、電影、電視節目盜版的網路使用者，而舉發盜版者之業務係委由MarkMonitor公司執行。 但最近MarkMonitor公司在執行舉發著作權侵權嫌疑者的業務過程中，卻發生誤認某一著作權人的合法網站為侵權網站，並通報Google要求刪除的烏龍事件。2013年2月3日MarkMonitor公司代替HBO公司在Google上檢索確認有侵害「Eastbound and Down」節目著作權的可疑網站，並且要求Google根據DMCA規定發出刪除通知。但是，MarkMonitor公司在舉發侵權過程中，除搜尋到著作權侵權網站的URL網址，甚至連HBO營運的8個官方網站和其它針對「Eastbound and Down」節目內容討論的網站如Perez Hilton、Hitfix，以及單純刊登新聞社論的網站等合法網站，均接受到DMCA的刪除通知。此一事件發生後，不僅讓被誤認的合法網站和HBO所屬網站的合法著作流通遭受損害，同時也讓各界質疑MarkMonitor公司的DtecNet軟體自動舉發盜版的成效，亦質疑在沒有其它監督機構的情況下，MarkMonitor公司的系統仍有可能發生誤判的情形。 雖著作權資訊中心(Center for Copyright Information, CCI)獨立顧問Stroz Friedberg表示DtecNet軟體準確性及穩定性應無問題，但是外界認為Stroz曾是美國唱片協會(RIAA)的國會遊說者(lobbyist)，亦是著作權警告系統的創立成員之一，其說法公正性令人存疑。再者，若無第2個獨立機構監督MarkMonitor的系統運作，將來正式利用此一軟體舉發Bittorrent使用者時，合法網路使用者難以避免地有被誤認為侵權者之虞。因此，未來該系統運作成效及發展情況仍有待繼續關注。
英國通過《資料（使用與存取）法》，提升資料使用的便利性2025年6月19日，英國《2025年資料（使用與存取）法》（Data（Use and Access）Act 2025，下簡稱DUA法）正式生效。DUA法的宗旨是在《英國一般資料保護規則》（United Kingdom General Data Protection Regulation, UK GDPR）的基礎上，放寬在特定情形下執法機關、企業與個人使用資料的限制，以提升資料管理及使用的便利性。 DUA法預計將於2025年8月開始分階段實施，重點如下： (1) 放寬自動化決策（Automated Decision-Making, ADM）條件：依據UK GDPR規定，個人有不受純粹基於自動化處理且產生法律效果或類似重大影響之決策所拘束之權利。此項規範確立自動化決策之原則性禁止，僅於符合特定例外事由時始得為之。DUA法則放寬此一限制，未來企業只要確保有向當事人提供自動化決策的資訊、決策結果申訴的管道，以及得人為干預設計之保障措施以後，即可做出對個人有重大影響的自動化決策。 (2) 資料主體存取請求權（Subject Access Request, SAR）規範明確化：當事人有權向持有自身個資的單位請求查閱，DUA法明訂組織在收到請求後應回應的時間，而當事人請求的範圍也應合理且合於比例，避免組織浪費人力搜索不重要的資訊。 (3) 建立有效申訴管道：規定任何使用個人資料的組織都必須設立有效的申訴機制、提供電子化申訴管道、並回報處理結果，若訴求未獲得解決，當事人即可向英國資訊專員辦公室（Information Commissioner’s Office, ICO）提出申訴。 (4) 科學研究得採概括同意機制，商業研究亦屬適用範疇：DUA法明確指出，基於科學研究目的，研究人員於確保適當個人資料保護措施之前提下，得以概括同意（broad consent）方式取得當事人之同意，以利進行科學研究活動。DUA法並明確界定科學研究之範疇可涵蓋商業研究（commercial research），擴大其適用領域。 (5) 允許網站直接使用Cookie：網站與應用程式的儲存與存取技術（Storage and Access Technologies）在低風險情況下，可不取得使用者事前同意，即紀錄使用者瀏覽紀錄。 DUA法將於2025年8月開始分階段實施。如何在科技發展的便利性與個人資料的安全性間取得平衡，是當代社會不容忽視的議題，可持續觀察追蹤英國施行DUA法的成效供我國參考。