歐盟日前開始適用非個資之資料流通規則
歐盟於2018年11月間通過Regulation (EU) 2018/1807，即促進非屬個人資料（下簡稱個資）之資料流通規則（下簡稱規則），藉以促進歐洲單一數位市場之規模經濟，並於2019年05月28日開始適用，據此，歐盟執委會亦因應該規則而頒布指引（COM(2019) 250 final），以釐清規則與GDPR之互動關係。
該規則開宗明義表示其制定係為了促進非屬個資之資料（下稱資料）流通，即其適用範圍包含（1）提供予歐盟境內之用戶使用，或（2）在歐盟境內之人依其需要所衍生者等資料，但排除GDPR第4條所定義之個資，故不排除GDPR之適用可能，申言之，若資料集中同時含有資料與個資，則流通則應分別適用本規則及指引（資料部份）與GDPR（個資部份）。
此外，為有效達成資料流通，各個歐盟成員國原則上禁止作出資料在地化要求（Data Localisation Requirements），例外僅於公共安全之前提下，且有充分的理由，方得做出合比例性之要求，並於單一資訊網站上即時更新資料在地化要求之清單，不過至遲在2021年05月30日前，成員國須確認其境內之相關規範已無前開例外之資料在地化要求。
又，為使歐盟各成員國就資料流通之無礙溝通，各成員國應設單一聯繫窗口，而在（1）歐盟相關規定或（2）國與國間不具特定合作機制，致成員國無法取得資料之近用權限時，該成員國之單一聯繫窗口得向資料所屬成員國之單一聯繫窗口發出協助請求，並附上請求之原因說明與近用資料之法律依據。
綜上，本規則及其指引與GDPR及其相關規定，對於資料與個資等流通分別建構出穩固的法律系統與環境。
- Free flow of non-personal data
- REGULATION (EU) 2018/1807 OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL of 14 November 2018
- Practical guidance for businesses on how to process mixed datasets
- COMMUNICATION FROM THE COMMISSION TO THE EUROPEAN PARLIAMENT AND THE COUNCIL- Guidance on the Regulation on a framework for the free flow of non-personal data in the European Union
劉彥伯
法律研究員 編譯整理
1. Free flow of non-personal data, European Commission, https://ec.europa.eu/digital-single-market/en/free-flow-non-personal-data (last visited Aug. 27, 2019).
2. REGULATION (EU) 2018/1807 OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL of 14 November 2018, EUR-Lex, https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:32018R1807 (last visited Aug. 27, 2019).
1. Practical guidance for businesses on how to process mixed datasets, European Commission, https://ec.europa.eu/digital-single-market/en/news/practical-guidance-businesses-how-process-mixed-datasets (last visited Aug. 27, 2019).
2. COMMUNICATION FROM THE COMMISSION TO THE EUROPEAN PARLIAMENT AND THE COUNCIL- Guidance on the Regulation on a framework for the free flow of non-personal data in the European Union, https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=COM:2019:250:FIN (last visited Aug. 27, 2019).
電子文書存證制度－淺談日本電子時戳及時戳保存制度 資策會科技法律研究所 法律研究員 陳昱宏 106年11月13日 一、前言 電子文書具有「節省保管、檢索、運送及銷毀費用」、「活用資訊系統提升業務效率」、「具有復原可能性，避免資料滅失之風險」[1]等優點，文書電子化已為不可逆之趨勢。但電子文書除前述優點外，亦有易於變更竄改，無法檢知真實製作日期之缺點，若記錄於電子文書之智慧財產權遭他人侵害，如何證明所提出之電子文書確係早於他人侵害之時點即屬重要，本文擬就日本以電子時戳制度做為證明電子文書做成時間點之發展現況，以及獨立行政法人工業所有權情報．研修館所提供之電子時戳保管服務作介紹，說明日本如何利用電子時戳來維護相關智慧財產權利。 二、日本電子時戳制度及相關規定： 日本政府有鑑於電子文書已逐漸取代紙本文書，但電子文書仍存有易於複製及製作時間不易證明等種種缺點，進而構思建立一套能在電子文書或資料上附加時間資訊，以向第三人證明之制度。總務省於2004年發佈時間商務相關指針[2]，供相關制度使用者做參考，並為時間商務業者遵守之依據。而一般財團法人日本Data通信協會於2005年成立時間商務認定中心（タイムビジネス認定センター，下稱時間商務認定中心），若欲從事時間認證或發送等相關服務，須符合該中心就技術、系統及運用制度所制定之基準，符合基準之業者，即給予認定標章，此即「時刻認證業務認定事業者」(Time Stamp Authority簡稱TSA)。 三、電子時戳之功能： 電子時戳係一種證明電子資料在某一時間點之前確實存在且未經竄改之技術，透過比對電子時戳中所記載之資訊與原始電子資料所記載之資訊，可以輕易得知電子資料中之時間訊息是否有經過竄改。其可運用在各種需要時間證明之電子資料中，日本總務省在官方網站中之電子時戳技術相關檔案[3]，即有說明電子時戳可賦予各領域之電子資料極高之信賴度。在智慧財產之保護上，可以證明內容做成之日期，以保護創作人之權利；在電子商務上，可用於證明交易如下單之時間點等；在電子申請上，可證明所發送資料之做成時間；而在醫療上，可運用於電子病歷上，以證明未經竄改等。另於日本工業所有權情報‧研修館（下稱INPIT）官方網站，就電子時戳保管服務之相關說明中，亦有提及可活用之情形[4]，分述如下: 在專利、商標等侵權訴訟，當被指控侵權人主張其有先使用權時，可以做為其在業務或業務準備行為有實施專利，或有就商標為使用之證據。 在訴訟中，就對造所擁有之專利權提出無效抗辯時，可用以證明專利不具備可專利性之技術資訊已於申請獲准前有為公知之事實。 在商標廢止訴訟，可證明商標權人就系爭商標有使用之事實。 在營業秘密洩漏訴訟，營業秘密所有權人可證明被洩漏技術在某時點之前即為其所保有之事實。 四、INPIT就電子時戳所提供之保存服務: 參照INPIT官網之說明可知，所謂之電子時戳保管制度係INPIT對於TSA業者所發行之電子時戳憑證提供之保管服務，以利使用者於日後有備份電子時戳憑證需求時，能順利提取。此係因電子時戳憑證在一般情形下有滅失毀損之風險。一旦毀損滅失，在營業秘密之相關訴訟事件有證明先使用事實之必要時，將造成無法舉證之不利益情形。INPIT提供此項保管服務後，能確實降低電子時戳憑證滅失或毀損之風險，憑證使用者享有一定期間備份之可能。而INPIT為普及該制度，在「何謂電子時戳保管服務」選項中，詳細說明其操作步驟，並有相關畫面可供參考，使有相關保管需求者能輕易操作相關保存之功能[5]。INPIT為普及該制度，亦透過所舉辦之營業秘密及智財戰略研討會，推廣相關保管服務[6]，另須注意者為，INPIT並不提供製作電子時戳之服務，故欲使用保存服務之人，須先向TSA業者取得電子時戳憑證，方可利用INPIT所提供之此項服務。 五、結論 近年來我國營業秘密案件層出不窮，小如鱘龍魚製作配方外洩之爭執[7]，大至堪可動搖國本之梁孟松由台積電跳槽至南韓三星之營業秘密案件[8]。故營業秘密是什麼，該如何保護營業秘密，儼然成為現代企業間之顯學，誠然當事人就是否侵害營業秘密發生爭執時，當事人所主張之各類文書資料，是否屬於營業秘密，仍屬法院認定之範疇，但企業主若在製作相關電子資料及文件時，能作好文件分級，並附加電子時戳，至少能證明企業主主觀上就該電子資料有以營業秘密保護之意思，可做為法官認定時之參考。當然若是人人可製作電子時戳，使電子時戳之產生過於浮濫，亦無相關認定機構可加以把關，或無補強之文件可證明存證之資料確為企業主所有等，屆時電子時戳在法官形成心證之過程中，無法形成助力不說，反而成為阻力。幸而電子時戳制度已在先進國家推行多年[9]，我國可以踏著前人走過的腳步，走得更廣更遠。故營業秘密文件電子時戳保存制度如能引進我國，相關制度該如何建立並將其完備，仍有待政府相關單位評估，透過公聽會，廣納各界之意見後，再制定相關之規定，期待能以此制度之探討，為我國營業秘密及智慧財產之保護上，帶來不同之思維。 [1]日本經濟產業省〈［入門編］文書の電子化によるメリット〉http://www.meti.go.jp/policy/it_policy/e-doc/guide/e-bunshoguide.pdf（最後瀏覽日：2017/10/12）。 [2]日本總務省<タイムビジネスに係る指針>http://www.soumu.go.jp/main_content/000485112.pdf（最後瀏覽日：2017/10/15）。 [3]日本總務省<タイムスタンプ技術＞http://www.soumu.go.jp/main_sosiki/joho_tsusin/top/ninshou-law/pdf/law_16.pdf（最後瀏覽日：2017/10/16）。 [4]獨立行政法人工業所有權情報‧研修館＜想定される本サービス活用例＞，獨立行政法人工業所有權情報‧研修館網站https://faq.inpit.go.jp/tradesecret/ts/ts_service.html#page3（最後瀏覽日：2017/10/16）。 [5]獨立行政法人工業所有權情報‧研修館＜想定される本サービス活用例＞，獨立行政法人工業所有權情報‧研修館網站https://faq.inpit.go.jp/tradesecret/ts/ts_service.html#ts-4（最後瀏覽日：2017/10/17）。 [6]獨立行政法人工業所有權情報‧研修館＜営業秘密・知財戦略セミナーin 大阪＞，獨立行政法人工業所有權情報‧研修館網站http://www.inpit.go.jp/content/100802953.pdf（最後瀏覽日：2017/10/17）。 [7] 智慧財產法院104年民營訴字第1號民事判決。 [8] 智慧財產法院102年民營上字第3號民事判決。 [9] 同註4。
日本內閣府研議「網路資訊安全判斷基準草案」並將作為未來機關處理共同標準日本內閣府網路安全戰略本部（サイバーセキュリティ戦略本部）於2017年7月13日第14次會議中提出對2020年後網路安全相關戰略案之回顧（2020年及びその後を見据えたサイバーセキュリティの在り方（案）－サイバーセキュリティ戦略中間レビュー－），針對網路攻擊嚴重程度，訂立網路安全判斷基準（下稱本基準）草案。對於現代網路攻擊造成之嚴重程度、資訊之重要程度、影響範圍等情狀，為使相關機關可以做出適當之處理，進而可以迅速採取相應之行動，特制訂強化處理網路攻擊判斷基準草案。其後將陸續與相關專家委員討論，將於2017年年底發布相關政策。 本基準設置目的：為了於事故發生時，具有視覺上立即判斷標準，以有助於事故相關主體間溝通與理解，並可以做為政府在面對網路侵害時判斷之基準，成為相關事件資訊共享之體制與方法之基準。 本基準以侵害程度由低至高，分為第0級至第5級。第0級（無）為無侵害，乃對國民生活無影響之可能性；第1級（低）為對國民生活影響之可能性低；第2級（中）為對國民生活有影響之可能性；第3級（高）為明顯的對國民生活影響，並具高可能性；第4級（重大）為顯著的對國民生活影響，並具高可能性；第5級（危機）為對國民生活廣泛顯著的影響，並具有急迫性。除了對國民及社會影響，另外在相關系統（システム）評估上，在緊急狀況時，判斷對重要關鍵基礎設施之安全性、持續性之影響時，基準在第0級至第4級；平常時期，判斷對關鍵基礎設施之影響，只利用第0級至第3級。 本次報告及相關政策將陸續在一年內施行，日本透過內閣府網路安全戰略本部及總務省、經濟產業省與相關機構及單位之共同合作，按照統一之標準採取措施，並依據資訊系統所收集和管理之資料作出適當的監控及觀測，藉由構建之資訊共享系統，可以防止網絡攻擊造成重大的損失，並防止侵害持續蔓延及擴大，同時也將為2020年東京奧運會之資訊安全做準備。我國行政院國家資通安全會報目前公布了「國家資通安全通報應變作業綱要」，而日本以國民生活之影響程度標準列成0至5等級，其區分較為精細，且有區分平時基準及非常時期基準等，日本之相關標準可作為綱要修正時之參考。
授權合約不公 飛利浦挨罰600萬公平交易委員會於上（ 4 ）個月 20 日對巨擘等三家光碟廠商檢舉荷蘭商菲利浦電子公司專利授權合約不公一案做成決議，飛利浦的 CD-R 專利技術授權合約，要求被授權人提供「製造設備清冊」及「書面銷售報告」，已足以影響交易秩序、顯失公平行為，違反公平交易法第 24 條規定，處新台幣 600 萬元罰鍰。這是公平會對飛利浦的 CD-R 光碟專利授權行為，作成的第二件處分案，第一件為飛利浦、 日本 新力及日商太陽誘電被檢舉，在台的 CD-R 光碟片產品專利授權行為，違反聯合行為的規定，飛利浦被處新台幣 800 萬元罰鍰，該案目前仍在行政訴訟中。 公平會認為，飛利浦與新力公司共同制定 CD-R 光碟片技術規格書，國內光碟廠商如生產符合「橘皮書」規格的 CD-R ，必須取得飛利浦專利授權，在 CD-R 專利授權的締約過程中，飛利浦具有相對優勢地位。飛利浦並在授權合約要求被授權人，提供「製造設備清冊」及「書面銷售報告」，內容涉及被授權人的產能利用率、產量、客戶名單及個別客戶交易量等重要資訊；但這些資料與權利金總數額的計算，並無密切相關。飛利浦除為此專利的專利權人，也授權其他製造廠商產製 CD-R 光碟片，並以 Philips 品牌從事光碟片販賣，與被授權人在市場是處於競爭地位。因此，飛利浦利用此優勢地位，取得被授權人公司經營成本的重要資訊，雙方在市場會產生不公平競爭。 飛利浦則表示，授權合約要求被授權人提供「製造設備清冊」及「書面銷售報告」，是為確認被授權人授權產品報告的正確性，這是國際授權實務上的慣例。飛利浦在合約已保證相關內容，不為合約目的外的使用，並無違法行為；該公司將循正常程序提出訴願。
網路團結法：歐盟成員國針對加強因應網路安全能力達成共同倡議歐盟成員國就《網路團結法》（Cyber Solidarity Act）草案於2024年3月達成臨時協議，目的是為了加強歐盟的團結以及偵測、準備和因應網路安全威脅事件的能力。 歐盟執委會（European Commission）提案的主要目標如下： （1）提供重大或大規模網路安全威脅事件的偵測和認識。 （2）強化準備、保護重要建設和必要服務。例如醫院和公共設施。 （3）加強歐盟的團結以及成員國之間有一致的危機管理與應變能力。 （4）最後，致力確保公民和企業皆有安全可靠的數位環境。 為了能快速且有效地偵測重大網路威脅，該法規草案建立了「網路安全警報系統」（cyber security alert system），這是一個由歐盟地區的國家和跨國界的網絡樞紐組成的泛歐洲基礎設施，將使用先進的資料分析技術以及時分享資訊，並警告有關跨境網路威脅的相關事件。 該草案亦建立網路緊急機制（cybersecurity emergency mechanism），以增強歐盟對網路安全事件應變的能力，它將包含： （1）準備行動：包含根據常見的危機情境和方法，測試高度關鍵部門（highly critical sectors）（醫療保健、運輸、能源等）的潛在漏洞。 （2）歐盟網路預備隊：係由經過認證且事先簽約的私人供應商所組成，在歐盟成員國及機構的請求下，對於發生大規模的網路安全事件進行干預及回應。 （3）財政互助：一成員國可以向另一個成員國提供援助。 最後，因應委員會及各國家當局的要求，研議中的法規建立了網路安全事件審查機制，事後對已發生的大規模網路安全事件進行審查、評估、汲取經驗，並提出一份建議報告，從而改善歐盟網路的態勢，以加強歐盟對此些事件的應變能力。 歐盟成員國此次的協議將進一步提高歐洲網路韌性，期能強化歐盟及其成員國在面對大規模網路威脅和攻擊時，能以更有效率的方式進行事前準備、預防以及提升事後從中恢復的能力。 網路安全事件是各國都會遇到的課題，《網路團結法》的發展與相關推動措施值得我們持續追蹤，以作為我國資通安全管理及網路資安事件應變機制之參考方向。