美國證券交易委員會成員發佈「數位資產之投資契約」指導文件
鑒於「監管不確定性」係加密貨幣市場發展之一大阻礙，2018年間，美國證券交易委員會（United States Securities and Exchange Commission, SEC）成員威廉．希曼（William Hinman）表示，SEC打算發布指導方針，協助市場參與者確認「哪些數位資產之發售，會被認為是投資契約，進而構成證券」，須受到相關證券法規監管。據此，2019年4月3日，SEC公布指導文件：「數位資產之投資契約分析框架」（Framework for “Investment Contract” Analysis of Digital Assets）。惟須注意的是，該文件為內部成員之意見，不具正式法律效力，不得拘束SEC企業財務局或委員會本身，而僅屬一種指導。
美國法上對於「投資契約」的認定標準，為聯邦最高法院建立的Howey Test，即基於合理的獲利預期、且該獲利來自他人的創業或經營努力、而投資金錢於一共同事業者，成立投資契約，進而構成證券。因此，為確認「哪些數位資產之發售，會被認為是投資契約，進而構成證券」，該文件特別針對「Howey Test」中的「基於合理的獲利預期」、「該獲利來自他人的創業或經營努力」，提出具體判斷標準，並輔以「其他相關考量因素」，供市場參與者作一參考：
（一）基於合理的獲利預期：例如「數位資產持有人可否分享企業收入或利潤，或從數位資產的增值獲得利潤」、「持有人現在或未來得否在次級市場交易」等具體標準；
（二）該獲利來自他人的創業或經營努力：例如「營運上是否去中心化」、「數位資產持有人，是否期待發行人執行或管理必要工作」等具體標準；
（三）其他相關考量因素：包含「數位資產之設計和執行，旨在滿足使用者需求，而非投機買賣」、「數位資產的價值，通常會保持不變或隨時間減損，理性持有人不會『以投資為目的』而長期持有」、「數位資產可作為真實貨幣之替代物」等等，文件中指出，只要這些其他相關考量因素越明顯，越不符合上開「基於合理的獲利預期且該獲利來自他人的創業或經營努力」。
文件中亦強調，SEC將參酌個案事實，綜合上開各項標準，為客觀之認定。
蔣瑜玲
專案經理 編譯整理
United States Securities and Exchange Commission [SEC], Framework for “Investment Contract” Analysis of Digital Assets, available at https://www.sec.gov/files/dlt-framework.pdf (last visited: May 29, 2019).
United States Securities and Exchange Commission [SEC], Statement on “Framework for ‘Investment Contract’ Analysis of Digital Assets”, 2019/4/3, https://www.sec.gov/news/public-statement/statement-framework-investment-contract-analysis-digital-assets(last visited: May 29, 2019).
2018年10月4日，澳洲證券投資委員會（Australian Securities and Investments Commission，簡稱：ASIC）與美國商品期貨交易委員會（US Commodity Futures Trading Commission，簡稱：CFTC）簽訂「金融技術創新合作雙邊協議」（Cooperation Arrangement on Financial Technology Innovation’ bilateral agreement，簡稱：協議），該協議內容主要針對未來金融科技（fintech）以及監理科技（regtech）之合作以及相關資訊作交換。 協議內容主要為加強雙方瞭解、識別市場發展趨勢，進而促進金融科技創新，對於運用監理科技之金融產業採取鼓勵的態度。 具體協議內容及相關合作計畫為以下條款： 1. 建立正式合作途徑，其中包含資訊分享，ASIC創新中心與LabCFTC之間的溝通； 2. 協助轉介有興趣於另一管轄權，設立企業之金融科技公司； 3. 促進監管機構定期舉行相關監管會議，討論目前時下發展趨勢，藉以相互學習； 4. 針對非公開資訊及機密資訊，給予監管機構以共享方式流通資訊。 儘管，澳洲與美國已簽訂此協議，惟須注意的地方在於，此協議本質上不具備法律約束力，對監管機構也未加註責任，並強加特定義務，以及未取代任何國內法的法律義務。 雖然，此協議不具任何法律約束力，但美國以及澳洲之金融科技創新產業間已形成一定之默契，以及交叉合作。此種互利合作，使兩國金融創新企業在雙方管轄權下，並且降低跨境成本及加深跨境無障礙性，為兩國監管機構提供最佳執行方式，以及進一步資料之蒐集。
歐盟GDPR保護適足性審核與因應作為歐盟GDPR保護適足性審核與因應作為 資訊工業策進會科技法律研究所 法律研究員 吳柏凭 2018年04月10日 壹、事件摘要 歐盟於 1995 年頒布個人資料保護指令(95/46/EC)[1]，對歐洲各國甚至全世界個人資料保護法制發展有極大影響力。然隨著資通訊技術發展變化迅速，網際網路與各項應用興起，既有歐盟個人資料保護指令面對這些變化已經難以為繼，歐盟執委會(European Commission) 出新的資料保護規則（General Data Protection Regulation, GDPR），於2016年4月27日通過，5月4日公布，正式成為歐盟第2016/679號規則（Regulation (EU) 2016/679）[2]。由於歐盟原則上禁止個人資料跨境傳輸，只有在被認可具有保護適足性(Adequate level of protection)的國家或地區才能例外許可傳輸，因此如何獲得歐盟保護適足性認可，就成為能否跨境傳輸歐盟個資的關鍵。 貳、重點說明 一、個人資料保護指令保護適足性審查規定 1995年的個人資料保護指令，就有禁止會員國將個人資料跨境傳輸至對資料保護不具有保護適足性之國家[3]。在第25條第2項中，對於保護適足性的審查，包括資料的性質、處理目的和期間、資料的發生地及最終目的地、該國家施行的普通法及特別法規範、以及安全措施等，透過個案綜合判斷是否具有保護適足性[4]。而關於具體的判斷標準，則依照第29條規定資料保護工作小組（Article 29 Data Protection Working Party）的指導文件[5]，其中對於法律規範審查，除了內容外，更重視個資保護的執行面。 二、GDPR保護適足性審查規定 GDPR延續了個人資料保護指令的規定，原則上禁止資料跨境傳輸至對資料保護不具有適足性之國家[6]。根據第45條第2項規定，適足性的評估包括以下要素： 法治、對人權與基本自由之尊重、一般與部門之相關立法，包括有關公共安全、防衛、國家安全及刑法、公務機關對個人資料之接近使用權、及該等立法、資料保護規則、專業規則及安全措施之執行。 有一個或以上獨立監管機關之存在及有效運作，或對象為國際組織時，確保及執行資料保護規則之遵守，包括充足之執行權，以協助及建議資料主體行使其權利，並與會員國之監管機關合作； 個人資料向其他第三國或國際組織進一步移轉，該其他第三國或國際組織之規則、判例法、及有效且可執行之資料主體權利及個人資料受移轉之資料主體有效之行政與司法救濟；第三國或國際組織所加入之國際協定，或其他因具法律拘束力之合約或辦法、及從其參與多邊或區域體系而生之義務，尤其關於個人資料保護者。 以上規定與個人資料保護指令最大不同在於將保護適足性的判斷標準明文化，同時補充個人資料向第三地再傳輸應注意的規範、具有獨立性監管機關等規定，填補原本個人資料保護指令的漏洞。 三、保護適足性認可程序與現況 保護適足性認可的程序[7]為： 來自歐盟執委會的提案。 得到由歐盟各國資料保護機關組成之作業會議(European Data Protection Board)的意見。 得到歐盟各國代表的承認。 歐盟執委會合意認可。 縱然取得認可，之後也會每四年檢驗一次[8]，如果被判定不具保護適足性，則仍會取消原本的認可[9]。 現階段已通過保護適足性審核的國家地區包括：安道爾、阿根廷、加拿大（民間機構）、法羅群島、根西島、以色列、馬恩島、澤西島、紐西蘭、瑞士及烏拉圭，另有美國限於「隱私盾」框架(Privacy Shield framework)方可傳輸。 參、事件評析 （一）保護適足性認可的效益 除了取得適足性認可外，個別企業可以透過1.標準契約條款(Standard Contractual Clauses, SCC)；2.拘束企業準則(Binding Corporate Rules, BCR)；或3.取得同意方式進行跨境傳輸[10]。但是取得適足性認可不但可以節省企業在個資跨境傳輸的成本，減輕企業負擔，同時也有助於整體產業突破歐盟貿易壁壘。 （二）通過保護適足性審核的困難 雖然現行通過適足性審核的國家地區有11個，惟需注意的是，根西島、馬恩島、以及澤西島都是英國屬地，法羅群島是丹麥屬地，而安道爾和瑞士都是在歐洲境內，這些國家地區的法規範本來就與歐盟差距不大，加上美國及加拿大國家本身不被認可具適足性，實際上不屬於歐盟法體系而通過適足性審核的國家地區非常有限。而且包括以色列、烏拉圭或紐西蘭在申請認可都花超過三年的時間，因此也不能作為短期的因應措施。 此外，在要件方面，規範上雖然我國個資保護規範與GDPR未有極大歧異，但只要存有差異，要取得認可就有極高困難度，這些都需要與歐盟執委會溝通。而在監管機關要求方面，雖然沒有要求單一機關，但對於機關的「獨立性」仍有要求。關於機關的獨立性目前歐盟並沒有明確的標準，但在歐盟法院判決中，有因為德國的州對州層級的資料監管機關進行調查的權力，而被認為不具獨立性[11]。 （三）通過適足性審核的具體作為 以日本為例，為了取得歐盟適足性認可，在2015年9月就其個人資料保護法（個人情報保護法）進行修正，其中設立個人資料保護委員會（個人情報保護委員会）即是為了符合適足性要求中「獨立監管機關」規定，而第24條跨境傳輸的規定更是重要。 日本個人資料保護委員會在2016年就與歐盟執委會溝通三次[12]，同時在2017年發出共同聲明[13]。在不修正法律的狀況下，日本個人資料保護委員會頒布一指導方針來消除差異，並於於2018年2月9日先揭示調適方向[14]，包括： 將歐盟視為敏感性個人資料而日本未明文規定者，解釋上一律視為敏感性個人資料。 歐盟不管個人資料保管期間，一律可以主張權利，而日本則限保管期間6個月以上方可主張權利。指導方針對於歐盟跨境傳輸的個資，不管保管期限一律許其主張權利。 對歐盟跨境傳輸的個資將要求揭露特定利用目的。 對於歐盟跨境傳輸的個資再移轉，必需要透過契約等規制，確保資料受保護水準。 關於歐盟跨境傳輸的個資，在去識別化一定要確認無法再識別，以與歐盟去識別化資料定義相符。 肆、結語 歐盟GDPR已施行在即，如何因應以突破其跨境傳輸的限制將不只是單純避免業者受罰，更是跨越歐盟貿易壁壘的重要關鍵，而在眾多例外許可跨境傳輸的方法中，又以取得保護適足性認可為最根本因應之道。雖然現在取得認可的難度極高，但仍有許多能努力的空間，目前我國也著手申請適足性認可的準備，未來能得到何種程度的回應，值得後續觀察。 [1] Directive 95/46/EC of the European Parliament and of the Council of 24 October 1995 on the Protection of Individuals with regard to the Processing of Personal Data and on the Free Movement of Such Data. [2] Reform of EU data protection rules, European Commission, http://ec.europa.eu/justice/data-protection/reform/index_en.htm (last visited Apr.10, 2018). [3] Data Protection Directive, art. 25(1). [4] Data Protection Directive, art. 25(2). [5] European Commission, Working Party on Protection of Individuals with regard to the Processing of Personal Data, Working Documents Transfers of personal data to third countries: Applying Articles 25 and 26 of EU data protection directive, July 24, 1998. [6] General Data Protection Regulation, art. 45. [7] Adequacy of the protection of personal data in non-EU countries, https://ec.europa.eu/info/law/law-topic/data-protection/data-transfers-outside-eu/adequacy-protection-personal-data-non-eu-countries_en (last visited Apr.10, 2018). [8] General Data Protection Regulation, art. 45(3). [9] General Data Protection Regulation, art. 45(5). [10] General Data Protection Regulation, art. 46. [11]European Commission v. Federal Republic of Germany(C-518/07). [12]個人情報保護委員会，個人情報保護委員会の国際的な取組について，https://www.kantei.go.jp/jp/singi/keizaisaisei/miraitoshikaigi/4th_sangyokakumei_dai2/siryou3.pdf (last visited Apr.10, 2018). [13]JETRO，個人データ保護の「十分性認可」取得の好機に－日EU首脳が共同声明－，https://www.jetro.go.jp/biznews/2017/07/845f14ec50674c94.html (last visited Apr.10, 2018). [14]個人情報保護委員会，EU 域内から十分性認可により移転を受けた個人データの取扱いに関するガイドラインの方向性について ，https://www.ppc.go.jp/files/pdf/300209_siryou1.pdf (last visited Apr.10, 2018).
歐洲議會通過「關於著作權與生成式人工智慧－機會與挑戰」決議，向執委會提出政策建議歐洲議會於2026年3月10日通過「關於著作權與生成式人工智慧－機會與挑戰」決議（European Parliament resolution on copyright and generative artificial intelligence – opportunities and challenges）。有鑑於生成式 AI 經常發生未經授權在網路上抓取作品、無視權利保留或使用非法來源作品等侵權行為，歐洲議會特別通過本決議，闡明其就生成式 AI 相關著作權議題之立場，並就歐盟未來在此領域之政策方向與法制建構，向執委會提出具體作法建議。其重點摘要如下： 一、保障權利人對 AI 作品利用之完整掌控權 權利人對其作品用於 AI 訓練或後續應用（如推論與 RAG）應擁有完全控制權。執委會應建立保障機制，並針對新聞媒體遭大規模抓取利用之困境，研擬專門的保護措施。 二、推動自願性集體授權協議，衡平權益保障與資料需求 為兼顧權利人獲得公平報酬與 AI 業者取得高品質訓練資料之需求，執委會應推動自願性集體授權協議，平衡雙方利益。 三、落實退出權（opt-out） 執委會應評估可行的技術方案，以識別並尊重權利人拒絕其作品被用於AI訓練的權利保留聲明，並指定歐盟智慧財產局（EUIPO）擔任受信任之中介機構(trusted intermediary)，負責管理相關opt-out事項。 四、完善透明度架構，並導入「可推翻推定」機制強化執行 執委會應建立全面的透明度架構，在溯源管理方面，要求通用 AI 模型和系統業者提供受保護作品清單及來源證明，以及網路爬蟲紀錄，且網路爬蟲需具備可識別性；在內容識別方面，執委會應制定AI生成內容標註行為準則，落實AI生成內容之偵測與告知義務，強化對提供創意內容之平台履行透明度義務狀況之監督。執委會應建立「可推翻推定」（Rebuttable Presumption）機制，相關業者如未遵守上述透明度義務，即推定其已使用受保護作品，權利人於訴訟中勝訴時，訴訟費用將由AI業者承擔。 五、落實著作權授權報酬制度，強化自主授權 歐洲議會反對以「總額支付」（Flat-rate）方式進行全球授權；權利人對授權條件與報酬應擁有自主決定權。執委會應建立相關框架，鼓勵業者尋求合法授權並支付合理報酬；同時，應針對業者「過去」利用受著作權保護作品之行為，研究具體補償方案。 六、完善補充性法律框架以強化監管 歐盟現行著作權法規已不足以應對生成式AI之挑戰，尤其《數位單一市場著作權指令》（CDSM 指令）針對 AI 訓練之規範仍存在模糊地帶，執委會應建立補充性法律框架（Supplementary Legal Framework），明確生成式AI相關著作權授權規則，以有效遏阻AI開發者違規行為。 歐洲議會之決議案並不具法律約束力，然依歐盟立法程序，執委會所提出之立法草案，須經歐洲議會與理事會共同審議通過始能生效，本決議暨已揭示歐洲議會於相關議題上之政策立場與建議，執委會於後續研擬立法草案時，勢必將其納入重要考量，以利後續立法程序之推進。是以，本決議內容實具重要之實務參考價值。
奧克蘭市（Oakland）成為美國第三個禁止公部門使用人臉辨識技術的城市近年來，人臉辨識（Face recognition）技術迅速發展，增加便利性的同時，也伴隨了種種隱憂，如：對隱私權的侵害、公部門權力濫用等，是以加州舊金山市（San Francisco）和麻薩諸塞州薩默維爾市（Somerville）分別在今年（2019）5月和6月發布公部門使用人臉辨識技術的相關禁令，加州奧克蘭市（Oakland）並於7月16日跟進，成為美國第三個禁止公部門使用人臉辨識技術的城市。 2018年麻省理工學院曾針對人臉辨識技術的正確率做過研究，其研究結果報告顯示黑人女性辨識錯誤率超過30%，遠不如白人男性；美國公民自由聯盟（American Civil Liberties Union, ACLU）也針對Amazon人臉辨識軟體Rekognition做過測驗，結果該系統竟誤將28名美國國會議員顯示為嫌疑犯，這兩項研究顯示，人臉辨識技術存有極高錯誤率且對種族間存有很大的偏見與歧視。對此奧克蘭市議會主席卡普蘭（Rebecca Kaplan）一項聲明中表示：「當多項研究都指出一項新興技術具有缺陷，且造成寒蟬效應的時候，我們必須站出來」。 卡普蘭並表示：「建立社區和警察間信任與良好關係以及導正種族偏見是很重要的，人臉辨識技術卻反而加深此問題」、「對於隱私權和平等權的保護是最基本的」，故奧克蘭市通過禁止公部門使用人臉辨識技術的法令，原因如下： 人臉辨識系統所依賴的資料集，具高度不準確性。 對於人臉辨識技術的使用與共享，尚缺乏標準。 這項技術本身具有侵犯性，如：侵犯個人隱私權。 政府如果濫用該技術所得之資訊，可導致對弱勢族群的迫害。 雖然目前美國僅有三個城市通過政府機關禁止使用人臉辨識技術的法令，但依照目前的發展狀態，其他的城市甚至州在未來也可能會跟進頒布禁令。