日本發布以人為本AI社會原則
日本內閣於2018年6月15日決議組成跨部會之統合創新戰略推進會議，並於2019年3月29日發布AI戰略，其中的倫理面向為以人為本之AI社會原則(下稱AI社會原則)，希冀藉有效安全的活用AI，推動「AI-Ready 社會」，以實現兼顧經濟發展與解決社會課題的「Society5.0」為最終目標。
為構築妥善應用人工智慧的社會，AI社會原則主張應尊重之價值理念如下：
(一) 尊重人類尊嚴的社會：AI應作為能激發人類發揮多樣能力和創造力的工具。
(二) 多元性和包容性的社會（Diversity & Inclusion）：開發運用AI以共創多元幸福社會。
(三) 永續性的社會（Sustainability）：透過AI強化科技，以創造能持續解決社會差距與環境問題的社會。
而AI社會原則核心內容為：
(一) 以人為本：AI使用不得違反憲法或國際保障之基本人權。
(二) AI知識（literacy）教育：提供必要的教育機會。
(三) 保護隱私：個人資料的流通及應用應妥適處理。
(四) 安全確保：把握風險與利益間之平衡，從整體提高社會安全性。
(五) 公平競爭確保：防止AI資源過度集中。
(六) 公平性、說明責任及透明性任。
(七) 創新：人才與研究皆須國際多樣化，並且建構產官學研AI合作平台。
蔡宛君
法律研究員 編譯整理
〈統合イノベーション戦略推進会議（第４回）〉，首相官邸ホームページ，https://www.kantei.go.jp/jp/singi/tougou-innovation/dai4/gijisidai.html（最後瀏覽日： 2019/06/01)
〈内閣官房長官記者会見 平成31年3月29日（金）午前〉，首相官邸ホームページ https://www.kantei.go.jp/jp/tyoukanpress/201903/29_a.html （最後瀏覽日： 2019/06/01)
第４回統合イノベーション戦略推進会議議事録，https://www.kantei.go.jp/jp/singi/tougou-innovation/dai4/giji4.pdf（最後瀏覽日： 2019/06/01)
近年韓國國內發生多起重大資訊安全疏失，例如：2014年韓國三大信用卡公司客戶資料外洩，成為韓國史上最嚴重的個人資料洩漏事件。為加強控管，韓國政府於2015年7月通過最新個人資料保護法修正案（Personal Information Protection Act, PIPA）。修正案新增懲罰性損害賠償及法定損害賠償規定。未來該國違反個人資料保護法的機關，將會面臨鉅額罰金及損害賠償。韓國政府期望藉此來促使企業加強資料安全管理。 根據最新修正案條文，若某機關因故意或重大過失，造成個人資料被遺失、竊取、洩漏、偽造、竄改或損毀，經法院判決後，最高將會被處以實質損害金額三倍的懲罰性損害賠償。此外，除非該機關能舉證當事人的損害與機關之行為沒有因果關係，否則當事人可請求最高3百萬韓元（約台幣8萬元）的法定損害賠償。 此次，韓國個人資料保護法修正案另一個重點在擴大韓國個人資料保護委員會（The Personal Information Protection Committee）的職權。該委員會將成為資訊安全爭議的最終裁決機關，且擁有相關資訊安全管理相關政策制定及修正的提議權。 由於此修正案將於2016年7月正式實行。韓國政府建議各大機關應儘快依照新修正案內容檢討並更新其隱私權政策及資料安全防護機制，避免在新法上路後遭罰。
為保護金融消費者日本金融廳研議「電子銀行法」相關立法二００四年十二月九日日本金融廳表示，為因應日益頻繁的網路及IC智慧卡被用以進行電子金融交易的現況，該廳將研議「電子銀行法」(暫稱)之立法以保障金融消費者，並將此納為未來施政方針。該項立法提案計劃已納入金融廳最新的金融行政方針─「金融重點強化計劃」(2005年4月起2007年3月止)之中，期待在2005年至2006年度間完成立法。 目前電子金融交易及電子現金等實務現況雖有可能涉及「電子簽章法」及「電子消費者契約法」的相關規範，惟金融廳的研究認為尚缺乏對此類交易活動的「總合性立法規範」。該立法研議甚擬導入對於因在網路上交易不慎遭受「冒名欺騙」 (?????；spoofing)的被害人，由金融機構為一定額補償的制度。
歐洲法院2017年12月認定Uber是運輸服務業巴塞隆納計程車工會認為Uber未受西班牙運輸服務業相關法令管制，而有違反公平競爭之虞，因此向西班牙巴塞隆納3號商事法院提起訴訟。3號商事法院認為有必要進一步釐清Uber之商業模式究竟是否為歐盟法令下之運輸服務業或資訊服務業，亦或兩者均是。這將影響歐盟內部市場指令和電子商務指令之涵蓋範圍，從而決定Uber是否有違反競爭法。 為此，歐洲法院在2017年5月做出先行裁決後，於同年12月做出判決，認定Uber之性質是運輸服務業，因此排除前述指令之適用，應接受各國運輸服務業相關法令之要求，否則違反公平競爭。法院觀點認為縱然其商業模式看似乘客與駕駛之間為自由選擇之連結。然而，Uber提供的平台是這個連結不可或缺的關鍵以外，對於運輸服務的提供，包括價格、車輛、駕駛的選擇具有決定性的影響力。此外，Uber藉由組織這樣的運輸服務來獲取利潤本身就涉及了運輸服務的直接提供。所以Uber整體服務的主要組成部分必須被視為以運輸服務構成，不應被分類為資訊服務。
從日本山崎案談營業秘密不法取得之管理從日本山崎案[1]談營業秘密不法取得之管理 資策會科技法律研究所 法律研究員 駱玉蓉 105年05月25日 壹、前言 為強化營業秘密的保護，日本從2003年開始，於不正競爭防止法（以下稱本法）中導入刑事保護的相關條文，爾後經過多次修法，在2011年調整刑事訴訟程序的同時，於本法導入了即使行為者不使用或揭露所示的營業秘密，但只要以獲取不當利益為目的，且「以複製」等方式「取得營業秘密」，亦為刑事處罰的對象[2]。2014年名古屋地院的日本山崎Mazak案件（ヤマザキマザック事件，以下稱本案）則是在此修法背景中，於少數公開判決中最先單獨引用該法條的案件。 面對層出不窮的營業秘密侵害案件，為遏止及處罰不法取得、使用或洩漏他人營業秘密的行為，我國營業秘密法亦於2013年的修法中增訂侵害營業秘密的刑事責任，將「知悉或持有營業秘密，未經授權或逾越授權範圍而重製、使用或洩漏該營業秘密」的行為[3]納入刑罰範疇，以期可有效遏阻營業秘密侵害案件。 有鑒於營業秘密外洩情形與不法取得手法的多變，本文將先從本案營業秘密侵害行為、存取/接觸權限控管的漏洞出發，接著探討應如何從控管員工的接觸/存取權限以強化營業秘密的保護，最後從落實營業秘密管理的面向，彙整本案受法院判決肯定之營業秘密保護措施及可進一步強化之配套，期給予我國企業營業秘密管理的省思。 貳、事件概要 中國大陸籍的被告Y，於2006年4月進入工具機大廠山崎Mazak（以下簡稱原告公司）任職，於2011年8月轉調連結業務部門與研發部門的業務技術部，於2012年3月因獲得其他公司聘書而提出離職申請，預定離職日為同年4月20日。 檢察官於一審的起訴內容提到，被告Y在無業務需求的狀況下，將三萬件以上的設計圖面等由公司內部伺服器下載至私人硬碟中，更於提出離職的當月，下載約一萬件與轉職企業相關機種的設計圖面等技術資料。雖然被告Y辯稱取得該等資料的目的在於工作上的學習需求，但根據被告Y與其中國大陸友人的往來訊息可知被告Y亟欲脫手所取得的技術資料以換取現金。 原告公司在本案當時，對技術資料的權限控管為將技術資料儲存在公司內部伺服器的資料夾內，僅業務上有需要的員工才能進行存取、下載，此外，原告公司配發給員工的業務用電腦亦設定有員工個人的帳號、密碼來進行認證，並藉由IP位址來辨識存取網路資料的員工所屬部門及該員工的存取權限。有關前述IP位址的分配，為一個部門配發255個IP位址對應255台電腦，當一部門未達255台電腦時，將會有未被電腦對應的IP位址存在，被告Y便是將自己電腦的IP位址切換成未被電腦對應的IP位址，再進行檔案的存取與複製。經由上述一連串的證據與事實證明，一審法院認定被告Y以不當得利為目的而複製（取得）原告公司的營業秘密，處以拘役兩年、併科罰金50萬日幣的判決。 參、判決評析 從本案可知，原告為保護其營業秘密，針對存取/接觸營業秘密者設有相關限制管理。亦即，藉由IP位址辨識存取網路資料的員工所屬部門及存取權限，再透過存取權限的帳號、密碼進行認證管理，該種管理方式立意良好，但在實施時，卻因為有未被電腦對應的IP位址存在，而讓被告Y取巧以切換IP位址的方式逾越權限接觸並取得原告公司的營業秘密。此外，雖然原告公司有留存電腦log紀錄，因而最後能證明被告Y曾進行六千次以上的資料存取，但若能在事前做好防備，強化管理措施，例如禁止濫用IP位址越權存取或限定存取次數等方式，增加意圖竊取營業秘密者的取得困難，相信能更遏阻潛在或食髓知味的不法行為。 以下從本案原告公司對於員工接觸權限的控管為啟發，例示限制員工存取/接觸營業秘密，可採取的強化對策。 一、適當賦予一定範圍之存取/接觸權。 例如在企業的研發單位，可依專案或產品線而拆分成多個範圍，依據範圍設定可存取/接觸的權限，藉此可避免出現如本案中，僅限定存取/接觸權、卻未區分範圍，導致一人手持帳號密碼便可通行無阻存取/接觸全部資料，造成外洩時損害程度的提高。 二、在上述對策一的基礎上，於資訊系統中註冊存取/接觸權者的帳號。 除了落實一帳號一密碼的原則，針對單一帳號的存取/接觸權限來限制其可閱覽、存取的資料範圍或內容外，若是員工有離職、轉調等情況時，亦要配合以刪除ID、更改存取/接觸權限的方式來應對，避免如本案因作業方便而導致有空的IP位址等開後門的情況，而造成營業秘密管理功虧一簣。 三、以區分保管來限制對營業秘密的存取/接觸權限。 區分保管可大分為「空間分離保管」以及「資料區分保管」。以空間分離保管為例，可依進出人員區分為訪客可進入的區域、持有門禁卡員工均可進入的區域、僅限定該部門員工才可進入的區域、針對保管高機密性資訊區域，實施指紋等生物認證的門禁管制。而以資料區分保管為例，常見的做法有高機密性文件與一般文件區分保管。 例如在本案中，隸屬於業務技術部的人員，便不應該擁有自由存取/接觸其他部門—研發部門之研發資料的權限，建議企業可透過前述的空間分離保管、資料區分保管，兩種方式雙管齊下，實施跨部門資料存取權限的控管。 四、禁用私人紀錄媒體、落實紀錄媒體的使用及保管。 嚴禁使用外接式的私人紀錄媒體，企業除了須備足員工所需的紀錄媒體之外，更需制訂與落實紀錄媒體的使用及保管措施。在本案中，即因原告公司當時的業務技術部部長（下稱部長Q）發現到部門內的紀錄媒體使用不受控管，導致私人紀錄媒體濫用的現象，便於其轄下部門制定如：建立可攜式紀錄媒體管理清單及使用規定，落實借出/返還管理、以及明訂禁止攜入或使用私人的外接式紀錄媒體的規範等，法院因而認定原告公司已採取合理保密措施。 然而，除了明定紀錄媒體的禁止使用或限制使用等規定外，還應透過週會、組會、課程宣導等方式周知可攜式紀錄媒體的使用規則，同時透過定期稽核確保該使用規則的確實執行，避免徒有管理規範卻未落實控管。 肆、結論 本案原告公司雖明定營業秘密相關的管理規定，例如權限設定、禁用私人紀錄媒體、公司紀錄媒體使用及保管等各種管理措施，而在本案獲得勝訴判決。但除了管理措施有可強化之處外，主要的原因仍發生於管理機制於實際運作上未嚴格落實，而有部門員工長期持有企業配置的硬碟與USB隨身碟而未歸還，甚或違反禁止使用私人可攜式紀錄媒體的規定，使用私人硬碟等的狀況，造成被告Y有機可乘使用私人硬碟儲存原告公司上萬筆設計圖面等資料。 從此可知，即便企業已建立各種營業秘密相關的管理措施，仍須定期追蹤掌握管理機制的落實，例如定期內部檢視和外部稽核、不定期抽查員工電腦使用紀錄等，確保營業秘密的有效管理。同時間，企業亦應隨時預警任何不符規定的異常警報，透過log異常行為的警示設定，提早發現問題並採取證據保全措施，將營業秘密外洩風險或損害降至最低。 企業歷經營業秘密的盤點、分級、達成管理措施共識，到形成各部門遵循的管理制度等繁複流程，始確認營業秘密保護標的及合法合理的管理措施，若是未落實執行管理，除了增加營業秘密外洩的風險，於後續訴訟階段也難以處於有利舉證的立場。所謂魔鬼藏在細節裡，無論是何種對策，確實落實而不流於形式，更是保護營業秘密的不二法則。 本文同步刊登於TIPS網站（http://www.tips.org.tw） [1] 名古屋地裁平成26年8月20日判決。 [2] 2011年日本《不正競爭防止法》第21條第1項第3款。 [3] 2013年我國《營業秘密法》第13條之1第1項第3款。