英國資訊委員辦公室表示個人資料之處理應遵循GDPR，公務機關也不例外
自西元2017年1月以來，英國稅務海關總署（Her Majesty's Revenue and Customs, HMRC）開始要求英國民眾使用線上語音方式進行身分認證，而民眾的聲音檔案亦被儲存至英國稅務海關總署的語音資料庫內。英國資訊委員辦公室（Information Commissioner's Office, ICO）深入調查後發現英國稅務海關總署的語音身分認證系統存在下列兩種違法情形：
- 未能向民眾充分揭露、告知民眾其語音、聲紋等生物識別資料如何被處理等資訊。
- 蒐集民眾的生物識別資料時，未能給予民眾自由行使同意或拒絕權利的機會。
英國資訊委員辦公室認為英國稅務海關總署前開情形已經違反了歐盟一般資料保護規則（General Data Protection Regulation, GDPR），根據歐盟一般資料保護規則，英國稅務海關總署在蒐集、處理或利用民眾個人資料時，必須合法、公正及透明，並應取得民眾的明確同意。英國資訊委員辦公室後續將要求英國稅務海關總署應刪除違法蒐集的生物識別資料。
本次英國資訊委員辦公室的執法行動是基於2018年5月25日生效的歐盟一般資料保護規則與英國2018年資料保護法（The Data Protection Act 2018），英國資訊委員辦公室強調創新的數位服務雖有助於民眾的生活更輕鬆，但絕不能以犧牲民眾的隱私為代價，同時也隱約透露著：「沒有一個組織（包含政府機關）能夠凌駕於法律之上。」。
- 零售業個資安全宣導暨安全維護計畫規劃說明會
- 數位經濟時代的隱私保護與商機－CBPR跨境隱私規則體系解析
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(實體)
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(直播)
- 零售業個資安全宣導暨安全維護計畫說明會（高雄場）
- 零售業個資安全宣導暨安全維護計畫說明會（台中場）
- 【台北場1】通訊傳播事業個資法遵教育訓練
- 【台中場】通訊傳播事業個資法遵教育訓練
- 【新北場】通訊傳播事業個資法遵教育訓練
- 【高雄場】通訊傳播事業個資法遵教育訓練
- 【台北場2】通訊傳播事業個資法遵教育訓練
- 零售業個資法遵實務與資訊安全說明會
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 零售業個資法遵實務與資訊安全說明會（台中場）
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
- 【上午場】探索科技法律最前線：資策會科法所「114年成果」分享會暨簡報票選
張恩若
法律研究員 編譯整理
ICO says that voice data collected unlawfully by HMRC should be deleted, Information Commissioner's Office, https://ico.org.uk/about-the-ico/news-and-events/news-and-blogs/2019/05/ico-says-that-voice-data-collected-unlawfully-by-hmrc-should-be-deleted/ (last visited July 11, 2019).
Blog: Using biometric data in a fair, transparent and accountable manner, Information Commissioner's Office, https://ico.org.uk/about-the-ico/news-and-events/news-and-blogs/2019/05/blog-using-biometric-data-in-a-fair-transparent-and-accountable-manner/ (last visited July 11, 2019).
在今（2021）年1月21日，歐洲數個科技公司、非營利組織與研究機構等民間單位共同發起「現今資料主權」聯盟（Data Sovereignty Now，DSN），宣布將向歐洲各級決策者施加壓力，以確保資料（data）之控制權掌握在生成資料的個人和組織手中。該聯盟認為歐盟執委會應採取決定性之措施，對於在歐洲所生成之資料，應以資料主權原則為基礎，以確保生成資料之個人和組織對其有控制權，以利數位經濟。 而在2020年12月初，澳洲政府首開全球先例提出一新法案，要求Google與Facebook等平台應向澳洲在地媒體支付新聞內容費用，要求雙方進行協商，商討在其平台上顯示之新聞內容所應支付之費用，倘無法達成協議，則由政府之仲裁員決定應支付之金額。此法案引發Google與Facebook高度反彈，不惜以不繼續在澳洲提供服務或停止連結（link）當地媒體之新聞報導作為反擊，要求澳洲政府撤回或修改該法案；然DSN聯盟則認為，Google與Facebook利用其市場主導地位來向澳洲政府施加壓力，正是濫用其資料壟斷權（data monopoly）與壟斷地位之典型例子，為防止科技巨擎將來繼續以此方式勒索政府之唯一方法，即是恢復使用者與平台間之「數位利益平衡」。而Google似有讓步之跡象，根據路透社報導，Google分別已與兩家當地媒體達成協議，將各支付每年3000萬澳幣之費用。該法案是否會如期通過，進而改變或影響此類大型平台與各國政府間資料主權之角力關係，值得持續關注。
肯塔基州參議院日前通過得適用醫療補助保險，但同時排除人工流產的通訊醫療照護法案於2018年02月26日，美國肯塔基州（下略）參議院通過「通訊醫療照護（Telehealth）法案」《第112號修正法案》，修法精神聚焦在增進人民受到照護的機會，同時節省花費，但明文禁止通訊醫療照護適用於人工流產，此部法案將於2019年07月01日生效。 根據前開法案，州政府應： 發展、完善相關政策及程序以確保通訊醫療照護得被適當地使用，同時亦應保障個人資料、隱私、落實知情同意、適當補助等。 增加通訊醫療照護作為醫療照護的機會。 維護通訊醫療照護政策、綱領，同時避免醫療補助保險資源遭浪費、詐害與濫用，並提供得施行通訊醫療照護的醫師名單予具醫療補助保險（Medicare）適格的公民，藉此保障前揭公民均可受到安全、妥適、有效率的醫療照護。 保障醫療補助保險的適用者得以使用通訊醫療照護。 參議員Ralph Alvarado（提修正法案之議員）表示通訊醫療照護通過後有以下優點： 監控慢性疾病的能力提升。 增加特殊照護、心理健康（衛生）的機會。 減少急診室的使用。 降低病患因交通而不便就醫的情況。 節省花費。 申言之，前開修正內容明確要求政府相關人員必須建立更詳細的通訊醫療照護管控機制，並且將通訊醫療照護納入醫療補助保險的範疇，並具有前開諸多優點。另外，因為通訊技術（即時視訊及通訊）的特性使然，使用通訊醫療照護技術的醫生（下稱醫生）可能在世界上的任何一個地方進行，然而前開法案要求醫生須在肯塔基境內取得執照，以利獲得醫療補助保險的補助。 此外，參議員Wil Schroder在本次修法中提出禁止通訊醫療照護適用於人工流產（為防免懷孕初期以服用藥物之方式進行人工流產）的提案，確切的條文規定為「醫師為人工流產醫療行為時，必須患者待在同一空間並親自為之。」（A physician performing or inducing an abortion shall be present in person and in the same room with the patient.），甚者，若違反前開通訊醫療照護禁用於人工流產的禁令時，則將背負D級的刑事罪責，最後以32：3之高票通過；然而，其中投下反對票的參議員McGarvey認為通訊醫療照護對於肯塔基州的醫療照護是重要的實踐與擴張，因此應開放通訊醫療照護適用於人工流產。 （註：telehealth常見翻譯為遠距醫療照護／遠距醫護，然考量我國醫師法第11條授權訂定「通訊診療辦法」之名稱，故本文從之。）
美國專利訴訟和解程序分析美國專利訴訟和解程序分析 資策會科技法律研究所 法律研究員 徐維佑 104年11月2日 一、美國民事訴訟和解程序 通常民事訴訟當事人有自主權，可以在訴訟進行的任何時段在庭外或者法官面前達成和解，亦即可在證據開示程序開始前、在開示中或預審會議時、在審理庭甚至在審理後、上訴完成前隨時達成。 1.庭外和解 當事人在雙方律師的主持下達成庭外和解，根據美國聯邦民事訴訟規則第41條規定，向法院提出雙方當事人簽署的撤回訴訟的書面協定，從而終結訴訟程序；當事人雙方在和解協議中自行約定能否就同一事項再次提出訴訟。 2.訴訟上和解 美國聯邦民事訴訟規則第69條規定，在審理前或裁判責任金額前，任一方當事人可向法院申請合意判決，以協議金額為判決內容，與普通判決一樣具有強制執行力，禁止就合意判決標的重複起訴。 二、美國專利訴訟和解協議方式 美國專利侵權訴訟，為避免被告提出專利無效抗辯或提出反訴，亦即向法院請求宣告原告專利權無效、或是拿自己的專利反控原告。美國專利訴訟案件大多以和解收場；而和解方式多協議以專利授權並由被告支付授權金、原告被告以彼此專利交互授權、或簽署免訴條款（covenant not to sue），向法院提出雙方當事人簽署的撤回訴訟的書面協定，從而終結訴訟程序。 所謂免訴條款協議，常用於侵權訴訟中。根據該協議，訂約時有訴權的一造同意不行使訴權起訴對造。這種協議並不消滅訴因；而且即使當事人在協議中沒有作特別保留，他也可以繼續追究其他共同侵權人的責任。 三、免訴條款之範圍與效果 美國訴訟和解如前所述，雙方需達成書面協議，根據美國聯邦憲法第3條，司法體系不得在沒有法律紛爭的情況下決定法律問題或對於法律提出意見。根據該條規定，向法院提出救濟的當事人須證明其有「當事人適格」，而當免訴條款簽署證明紛爭已經消滅，或當事人對於判決的結果無法獲得實質利益時，法院認為該紛爭已經消滅使判決無實益（moot）不得受理。 2009年Nike公司於美國地方法院主張[1]Already公司侵害並稀釋其商標，Already公司拒絕停止銷售同時提出Nike公司商標無效之訴，2010年Nike公司發布免訴條款，載明Nike公司不再針對現在或未來近似的Already公司產品提出商標侵權訴訟，要求撤銷訴訟並撤銷Already公司的無效之訴，然而Already公司拒絕撤銷。地方法院與之後接受上訴的聯邦法院一致同意免訴條款表示紛爭已歸於消滅，駁回Already公司的無效之訴。 免訴條款雖非證明和解協議唯一方式，但美國司法判例上曾將拒絕簽署免訴條款，作為法院接受對造提起確認專利無效之訴的理由之一。美國聯邦巡迴上訴法院（CAFC）於Prasco案[2]，認為專利權人拒絕簽署免訴條款協議，並配合其他客觀一切情狀，認定對造具備提起專利不侵權之確認訴訟，法院有司法管轄權。 四、結論 立約免訴條款並非美國訴訟和解協議要件，和解僅需證明雙方並無爭議事項，則法院判決已無實益。至於雙方無爭議事項之證明方式，包含和解書與合意判決，而專利訴訟和解書的協議方式，可能為授權金、交互授權、以及免訴條款等協議。 根據美國聯邦巡迴法院先例，針對訴訟和解方式，授權與免訴條款之效果並無二致[3]（whether the language is couched in terms of a license or a covenant not to sue; effectively the two are equivalent.）。惟針對兩造日後得訴訟範圍，包括是否對於權利人再授權的第三人有約束力，於授權或免訴條款的協議中皆可議定。至於以免訴條款協議之好處，在於權利人得一次取得賠償金，可立即認列為權利人當年度獲利；授權協議則多以一定期間或符合一定條件後分階段取得權利金。 [1] Already, LLC d/b/a YUMS v. Nike, Inc., 105 U.S.P.Q.2d 1169 (2013). [2] Prasco, LLC, v. Medicis Pharmaceutical Corp., 537 F.3d 1329, 1341(Fed. Cir. 2008) [3] TransCore, LP v. Elec. Transaction Consultants Corp., 563 F.3d 1271 (Fed. Cir. 2009)
歐盟個資保護委員會公布GDPR裁罰金額計算指引歐盟個人資料保護委員會 （European Data Protection Board, EDPB）在徵詢公眾意見後，於今（2023）年5月24日通過了「歐盟一般資料保護規則行政裁罰計算指引04/2022」（Guidelines 04/2022 on the calculation of administrative fines under the GDPR）。此一指引，旨在協調各國資料保護主管機關（Data Protection Authorities, DPAs）計算行政罰鍰的方法，以及建立計算《歐盟一般資料保護規則》(General Data Protection Regulation, GDPR )裁罰金額的「起點」（Starting Point）。 時值我國於今（2023）年5月29日甫通過《個人資料保護法》之修法，將違反安全措施義務的行為提高裁罰數額至最高1500萬，金額之提高更需要一個明確且透明的定裁罰基準，因此該指引所揭露的裁罰計算步驟值得我國參考。指引分為五個步驟，說明如下： 1.確定案件中違反GDPR行為的行為數以及各行為最高的裁罰數額。如控管者或處理者以數個行為違反GDPR時，應分別裁罰；而如以一行為因故意或過失違反數GDPR規定者，罰鍰總額不得超過最嚴重違規情事所定之數額（指引第三章）。 2.確定計算裁罰金額的起點。EDPB將違反GDPR行為嚴重程度分為低度、中度與高度三個不同的級別，並界定不同級別的起算金額範圍，個案依照違反GDPR行為嚴重程度決定金額範圍後，尚需考量企業的營業額度以定其確切金額作為裁罰數額起點（指引第四章）。 3.控管者/處理者行為對金額的加重或減輕。評估控管者/處理者過去或現在相關行為的作為加重或減輕的因素而相應調整罰鍰金額（指引第五章）。 4.針對各違反行為，參照GPDR第83條第4項至第6項確定行政裁罰上限。GDPR並沒有對具體的違反行為設定固定的罰款金額，而是對不同違反行為規範了裁罰最高額度上限，EDPB提醒，適用第三步驟或下述第五步驟所增加的額度不能超過GDPR第83條第4至第6項度對不同違反行為所訂的最高額度限制（指引第六章）。 5.有效性、嚇阻性與比例原則的考量。個資保護主管機關應針對具體個案情況量以裁罰，必須分析計算出的最終額度是否有效、是否發揮嚇阻以及是否符合比例原則，而予以相應調整裁罰額度，而如果有客觀證據表明裁罰金額可能危及企業的生存，可以考慮依據成員國法律減輕裁罰金額（指引第七章）。 EDPB重申其將不斷審查這些步驟與方法，其亦提醒上述所有步驟必須牢記，罰鍰並非簡單數學計算，裁罰金額的關鍵因素應取決具體個案實際情況。