歐盟《非歐盟國家智財權保護與執法成效報告》

  歐盟執委會於2020年1月8日發布《非歐盟國家智財權保護與執法成效報告》(Report on the protection and enforcement of intellectual property rights in third countries)。該報告自2006年起,每兩年出版一次,主要目的為確定特定非歐盟國家中智財權之保護與執法狀況,並列出每兩年的「優先關注國」(priority countries)清單。報告中亦說明,所謂「優先關注國」是對歐盟智財利益造成最大侵害的國家,而非指全球中智財保護狀況最有問題的國家。

  本次報告臚列的國家中,中國為最需關注的第一級國家;第二級為印度、印尼、俄羅斯等;第三級則是阿根廷、巴西、馬來西亞、泰國、沙烏地阿拉伯等國。報告提到中國是歐盟境內仿冒品與盜版貨物的主要來源。在歐盟海關扣押的仿冒品與盜版貨物中,有百分之八十以上來自中國和香港。第二類優先國家,其智財保護與執法存在系統性問題,且問題解決上進度緩慢。而第三類優先國家智財領域表現上也有類似問題,僅在嚴重性和數量低於第二級優先國家。其中,沙烏地阿拉伯為今年新增為優先關注國家,研究報告指出該國常被作為中轉國家,傳輸歐盟境內仿冒與盜版貨物。

  報告中亦提到上述國家共同問題,包含:

  1. 強制性技術轉讓策略(特別是中國)不利於外國產業(尤其是高科技產業)投資,使外國產業失去競爭優勢;
  2. 海關執法情形不一,往往沒有依職權採取人身拘提、扣押、銷燬仿冒及盜版貨物,或是未對運輸中的盜版貨品依法採取行動;
  3. 仿冒和盜版商品通常不會被執法部門直接銷燬,甚至會回到市場;
  4. 智財侵權罰則上,許多國家的懲罰過輕,無法造成威懾作用。
  5. 因缺乏執法政治意願和資源,使國家智財權執法情況薄弱,也導致技術基礎設施、人力資源、專業能力,甚或司法、行政以及一般公眾對智財權價值認識不足。

本文為「經濟部產業技術司科技專案成果」

相關連結
相關附件
你可能會想參加
※ 歐盟《非歐盟國家智財權保護與執法成效報告》, 資訊工業策進會科技法律研究所, https://stli.iii.org.tw/article-detail.aspx?d=8407&no=65&tp=1 (最後瀏覽日:2025/07/27)
引註此篇文章
你可能還會想看
歐盟執委會通過《歐洲媒體自由法》草案

  歐盟執委會(European Commission,下稱執委會)於2022年9月16日通過《歐洲媒體自由法(European Media Freedom Act)》草案,旨在保護歐盟媒體多元化和獨立性。其立法目標一方面確保媒體多元化與編輯獨立性,讓歐盟公民能夠獲得廣泛且多樣的媒體服務。另一方面防止成員國對媒體的政治干預,要求以公平、公正、公開方式分配國家資源。此外,執委會建議成立歐洲媒體服務委員會作為媒體自由主管機關。   《媒體自由法》要點如下:   1.保護編輯獨立性:要求成員國尊重媒體服務提供商的編輯自由,並加強對新聞來源的保護,防止媒體決策受政治干擾。   2.不得對媒體使用間諜或監視軟體:包括針對媒體、記者及其家人使用。   3.獨立的公共服務媒體:其資金應充足且穩定,以確保編輯獨立。負責人和理事會必須以透明、公開和非歧視的方式任命。公共服務媒體提供者應當根據其公共服務使命,公正地提供多種訊息和意見。   4.媒體多元化測試:要求成員國評估媒體市場集中度對媒體多元化和編輯獨立性的影響。成員國採取的任何可能影響媒體的立法、監管或行政措施都應有正當理由。   5.透明的國家廣告:公開透明的國家廣告資源分配與受眾衡量系統(audience measurement)。該法特別關注數位廣告之收入。   6.線上媒體內容的保護:以《數位服務法》為基礎,該法包括防止不合理刪除合法的媒體內容。在不涉及虛假訊息的情況下,大型數位平臺有意移除某些被認為違反平臺政策的合法媒體內容時,必須告知原因,媒體提出的任何投訴都必須優先處理。   7.使用者自行定制媒體偏好:用戶能更改默認設置以反映自己的偏好。   8.提高媒體所有權的透明度   本文同步刊登於TIPS網站(https://www.tips.org.tw)

美國涉密聯邦政府員工之機密資訊維護-保密協議(Non-disclosure Agreement, NDA)之使用

美國涉密聯邦政府員工之機密資訊維護-保密協議(Non-disclosure Agreement, NDA)之使用 科技法律研究所 2013年12月06日 壹、事件摘要   前美國海軍海豹部隊(SEAL)隊員Matt Bisonnette以化名Mark Owen出版 No Easy Day一書,內容主要描述狙殺Osama Bin Laden的規劃與執行,並蟬聯最佳暢銷書籍。美國國防部對Matt Bisonnette提出洩露國家機密之訴訟,及違反保密協議的規定。以下簡介美國對於聯邦政府官員的機密維護規範及措施,包括保密協議之使用、違反保密協議時對於該聯邦政府員工的追訴以及對於未經授權被揭露之機密資訊的防護;更進一步,聚焦探討美國以「保密協議」規範聯邦政府員工的方式,提供我國參考。 貳、重點說明 一、總統行政命令與機密資訊維護   傳統上,美國對於機密資訊由軍事單位依照軍事規定處理,不過,自從羅斯福總統於1940年發布第8381號行政命令,改變了這個機制。總統第8381號行政命令,授權政府官員保護軍事與海軍基地;爾後,歷任總統便以發布行政命令的方式,建置聯邦政府的機密分級標準,以及各項為維護國家安全的各項法令規定與措施。不過,羅斯福總統係以經特定法規授權為由而發佈總統行政命令,羅斯福以後的總統則是基於一般法律與憲法授權[1],為維護國家安全之憲法上的責任而發佈總統行政命令;於此,國會則不停的以其他立法的方式,設法平衡總統行政權與國會立法權間權利[2]。   有關總統行政命令之效力,如其規範的主題相同時,新的行政命令效力將會取代前案行政命令。目前美國政府有關機密係根據歐巴馬總統於2009年所發佈總統第13526號行政命令,主題為「國家安全機密資訊(Classified National Security Information)」,其內容及效力取代前行政命令,修改美國聯邦法規第32章2001篇涉及國家安全之機密資訊(32 C.F.R. 2001 Classified National Security Information)[3],以及勾勒機密資訊分級、解密、機密資訊的處理等議題的框架。 二、涉及國家安全機密資訊之安全維護措施   依據總統第12958號行政命令,機關必須採取管控措施保護機密資訊,包括使用(Access)機密資訊的一般限制、分布機密資訊的控制,與使用機密資訊的特別計畫。第12958號行政命令Sec.4.2(a)規定使用機密資訊的一般限制[4]:聯邦政府員工使用機密資訊前,必需符合下列三大前提要件,包括通過「人員安全檢查(Personnel Security Investigation)」、簽署「保密協議」,與執行職務所「必要知悉(Need-to-know)」,才得以使用機密資訊[5]。   第一項前提要件為「人員安全檢查」,其安全檢查目的在於確定使用機密資訊人員的可信賴度(Trustworthiness),在相關部門或機構完成安全調查確認該人員的可信賴度之後,將授予通過安全檢查的資格,進而進入第二步驟「SF312保密協議」的簽署[6]。   第二項前提要件為簽署「保密協議」,係由美國總統指令所要求,並於總統行政命令所重申[7]凡涉及使用機密資訊之聯邦政府員工(Employee of the Federal Government)、承包商(Contractor)、授權人或受讓人(Licensees or Grantees)等,於使用機密資訊前,必須完成「保密協議」的簽署,否則不得使用。該「保密協議」在法律上為拘束簽署員工(前述通過安全檢查之人員)與美國政府間的契約(Contract)[8],簽署員工承諾,非經授權不得向未經授權之人揭露機密資訊[9]。   「保密協議」的主要目的在於「告知(Informed)」簽署員工: 1.因信任該員工而提供其使用機密資訊; 2.簽署員工保護機密資訊不得未經授權揭露的責任;與 3.未能遵循協議條款後果。   第三項要件係說明政府聯邦員工得使用機密資訊的範圍,以該員工執行職務所「必要知悉(Need-to-know)」為限。 三、保密協議   「保密協議」(Classified Information Non-disclosure Agreement,一般簡稱為NDA)為機密資訊安全維護措施之一,美國政府藉由該契約協議的內容條款,確立信任關係、責任的範圍,以及未遵循契約條款的後果,並得以此協議防止簽署人未經授權揭露機密資訊,或簽署人有違反情事,對其提起民事或行政訴訟[10]。   通過安全查核者(Security Clearance),將被授與特權(Privilege),此權限不是與生俱來的權利(Right)。當獲得使用機密資訊的特權時,使用人必須背負相對的責任。簽署人一旦簽署與美國政府之間具法律拘束力的「保密協議」,即表示同意遵守保護機密資訊的程序,並於違反協議條款時,受到相對的處罰[11]。   美國利用「保密協議」約束員工對於機密資訊的保護,要求員工於發佈資訊之前,必須將內容提交機構進行審查。著名的案子為Snepp v. United States,最高法院對於「中央情報局(Central Intelligence Agency, CIA)」的前情報員,強制執行所簽署的保密協議,因前員工未遵守與中央情報局間的協議條款,亦即於出版書籍之前,先行提交出版內容給中央情報局審查的約定,中央情報局進而對該書籍的利潤施以法定信託(Constructive Trust),即使中央情報局最終的判斷內容未含機密資訊[12],也不影響該決定的效力。 (一)「保密協議」的法源基礎   在數個與國家安全機密資訊相關的總統行政命令中,現行「保密協議」所依據法源為總統第12958號行政命令 。第12958號行政命令規定,由「資訊安全監督局」(Information Security Oversight Office, ISOO)負責監督行政部門與政府機關對於「涉及國家安全之機密資訊」的創建或處理事宜[13]。   資訊安全監督局局長為遂行涉及國家安全機密資訊之維護,於1983年頒佈「國家安全決策第84號指令」(National Security Decision Directive No. 84, NSDD 84)[14]規範進行國家安全機密資訊之維護。雖然「保密協議」曾經被挑戰,但卻一直受到聯邦法院(包括最高法院)的支持,為具有法律拘束力和合憲性的文件[15]。   「國家安全決策第84號指令」規定,凡通過安全檢查之人員[16],必須完成簽署制式保密協議,並待生效後,才得以使用機密資訊。換句話說,相關人員必須以有效的保密協議為條件,才得以使用機密資訊。   「保密協議」應經過「國家安全委員會(National Security Council)」批准,與「司法部(Department of Justice)」的審查,而為法院可執行,而且機關不得接受經簽署員工單方修改用語的「保密協議」[17]。   目前「保密協議」版本稱為312制式表格(Standard Form 312),以下簡稱「SF312保密協議」[18]。 (二)「SF312保密協議」關於(Classified Information)的定義[19]   「SF312保密協議」的「機密」係指標示或未經標示的機密資訊,包括非書面的口述機密資訊,以及雖未歸屬於機密資訊但符合第12958號總統行政命令Sec. 1.2或1.4 (e)的規定[20],符合機密資訊的標準,或依據其他總統行政命令或法規是否為機密的確認期間(Pending)先行提供機密資訊保護的資訊;但並不包含在將來可能會被歸屬於機密,但目前尚未進入機密分級過程中的資訊[21]。   歐巴馬政府有關國家機密資訊之第13526號行政命令[22],於機密資訊安全維護部分之內容,仍與第12958號總統行政命令相同[23]。得使用機密資訊之人員僅限向相關主管機關首長展現其使用的資格,並簽署保密協議者,且限於其職務所必要知悉的範圍內,使用機密資訊。 (三)違反「SF312保密協議」的責任[24]   若「SF312保密協議」的簽署員工「知悉或應合理知悉(Knows or Reasonably Should Know)」,該資訊為已標示或未經標示的機密資訊,抑或符合機密資訊的標準但仍處於確認過程的資訊,而其行為將導致或於合理情形下可能導致未經授權揭露機密資訊,則可能需負未經授權揭露機密資訊的法律責任。因此,如於揭露資訊的當時,無根據可認定該資訊為機密資訊或可能成為機密資訊時,該簽署員工不會因為揭露該資訊,而需負未經授權揭露機密資訊的責任[25]。   另外,直至正式解密(Officially Declassified),機密資訊不因已被揭露於公共來源(Public Source),例如大眾媒體,而解密。不過,如僅於公共來源以抽象的方式引述該筆機密資訊,並非屬於再度未經授權揭露機密資訊[26]。   「SF312保密協議」簽署員工於資訊傳遞前,或確認公共來源資訊的正確性時,需先行向有權機關確認該資訊已被解密;若該員工未進一步履行確認資訊機密性,而逕進行資訊傳遞或確認資訊正確性時,該行為將成屬於未經授權揭露機密資訊[27]。 (四)「SF312保密協議」的有效期間   「SF312保密協議」載明,保密協議對於簽署員工的拘束力,從被授權使用機密資訊之時點開始,該員工終身均負保密義務[28]。   該條款明白表示,國家安全敏感性相關的機密資訊,與任一特定個人安全檢查資格的有效期間,並不相關。易言之,未經授權揭露機密資訊對美國所造成的傷害,並不取決揭露人的身分而有不同[29]。   是以,實務上,機關多以違反「保密協議」為訴因,對退職或離職之員工,進行民事或行政訴訟。   「SF312保密協議」所規範的保密義務,適用於所有機密資訊,然而,若某特定資訊已經解密,則按照「SF312保密協議」的規定,該簽署員工則不具持續保密的義務。此外,該「SF312保密協議」的簽署員工,還得發動強制性審查的請求,尋求解除特定的資訊的密等,包括該簽署員工具有使用權限的機密資訊[30]。 (五)違反「SF312保密協議」美國政府可採取的行動   聯邦政府員工如有明知、故意或因過失而未經授權揭露機密資訊,或任何合理預期可能導致未經授權揭露機密資訊之情事,機關首長或資深官員必須即刻通知資訊安全監督局,並採取「適當和及時的校正行動」[31]。   基於「SF312保密協議」,對於未經授權揭露機密資訊事件,美國政府可能至美國聯邦法院提起民事與行政訴訟。   民事訴訟可能分為禁制令(Injunction)、民事金錢損害賠償,與所得利益的追討。 1.禁制令   請求聯邦法院申請發佈禁制令,以禁止公布與以其他方式揭露該機密資訊。例如 United States v. Marchetti案,聯邦法院發佈禁制令,防止前中央情報局情報員以出版書籍的方式揭露機密資訊[32];或是國務院以撤銷護照的方式,管制人員出境(儘管該人員出國的目的為暴露秘密情報員的身分,擾亂情報工作,而非協助他國政府)[33]。 2.金錢損害賠償   向該員工請求美國政府因未經授權揭露機密資訊所造成損失之金錢的損害賠償。 3.所得利益之追討   償還美國政府因未經授權揭露機密資訊所得之相對代價,或其他金錢或財產上的所得[34]。   如「SF312保密協議」簽署員工違反協議,則美國政府可對其進行行政裁處與處罰,包括譴責(Reprimand)、暫時吊銷(Suspension)聯邦政府員工資格、降級(Demotion),或甚至撤職(Removal),並可能被取消通過安全檢查的資格[35]。   雖然,聯邦政府員工於違反「SF312保密協議」時,美國政府得以違反契約(SF312保密協議)為訴因,向簽署員工提起民事或行政訴訟;不過,如果該員工的行為亦已違反其他刑事規定,政府也可能同時對該洩密員工提起刑事訴訟[36]。但是,法制上並不存在總括性(Blanket Prohibition)規定,處罰所有未經授權揭露涉及國家機密資訊的處罰[37]。   例如,機關得依據18 U.S.C. §798揭露機密資訊(Disclosure of Classified Information)提起刑事訴訟,美國政府必須設法證明符合該條文的構成要件的故意,與該當法條所規定揭露機密資訊要件之狀況。該刑事的舉證責任,比起違反保密協議的舉證責任重了許多;不過,相對的,如政府可舉證證明,其處罰也會比違反保密協議重了許多,不是只有因洩密行為而獲得的利益被沒收,法院還得處以監禁(Incarceration)與罰金(Fines)[38]。 參、事件評析   美國規範認定,使用機密資訊的權限為被授與的特權,而不是與生俱來的權利。美國聯邦政府利用與員工之間的雇用關係,透過保密協議(契約關係)的方式,規範該政府員工對於機密資訊的維護,載明雙方的關係、政府員工的保密責任,以及違反保密協議的後果,並強調該保密協議的效力,一直持續至該員工的終身,這意味著,政府員工於不具安全檢查的資格之後,或甚至是退離職之後,仍受保密協議的拘束。   除了對於員工本身的權利義務與罰則加以規範之外,美國政府亦特別著重於資訊的快速擴散性與保持機密性的需求,對於未經授權而揭露的機密資訊,利用違反保密協議(違約)(Breach of Contract)為手段,儘量減少機密資訊擴散的程度。例如,美國政府對政府員工提起告訴時,以舉證責任來看,證明違反保密協議民事的舉證責任,比需要證明行為人違反刑法規定的刑事舉證責任為輕。再者,透過禁制令的方式,凍結並維持資訊的「現有狀態(Status Quo)」,並且還得於提起民事訴訟的同時,提起刑事。 [1]Jennifer K. Elsea, The Protection of Classified Information: The Legal Framework (2013) CONGRESSIONAL RESEARCH SERVICES, at 1,www.fas.org/sgp/crs/secrecy/RS21900.pdf (last accessed May 11, 2013). [2]同上註。例如1966年「資訊自由法 (Freedom of Information Act, FOIA) 」, 1995年「情報授權法 (Intelligence Authorization Act)」、2000年「公共利益解密法 (Public Interest Declassification Act)」,與2012年「減少過度加密法 (Reducing Over-Classification Act)」。 [3]美國聯邦法規第32章2001篇, 32 C.F.R.2001,http://www.law.cornell.edu/cfr/text/32/2001 (last accessed May 11, 2013). [4]White House, Executive Order 12958 Classified National Security Information (1995), http://www.fas.org/sgp/clinton/eo12958.html (last accessed May 11, 2013). (a) A person may have access to classified information provided that: (1) a favorable determination of eligibility for access has been made by an agency head or the agency head's designee; (2) the person has signed an approved nondisclosure agreement; and (3) the person has a need-to-know the information. [5]NARA/ISOO, Classified Information Nondisclosure Agreement (Standard Form 312) Briefing Booklet (2001), P.1, http://www.fas.org/sgp/isoo/sf312.html (last accessed May 11, 2013). [6]同上註。 [7]White House, Executive Order 12958 Classified National Security Information (1995), http://www.fas.org/sgp/clinton/eo12958.html (last accessed May 11, 2013). [8]NARA/ISOO, Implementing Rule of the “Classified Information Nondisclosure Agreement” Subpart B-Prescribed Forms §2003.20(a) (n.d.), P.55,http://www.wrc.noaa.gov/wrso/forms/standard-form-312_booklet.pdf (last accessed May 11, 2013). “SF 312, SF 189, and SF 189-A are nondisclosure agreements between the United States and an individual. The prior execution of at least one of these agreements, as appropriate, by an individual is necessary before the United States Government may grant that individual access to classified information…”. [9]NARA/ISOO, Classified Information Nondisclosure Agreement (Standard Form 312) Briefing Booklet (2011), http://www.fas.org/sgp/isoo/sf312.html (last accessed May 11, 2013). [10]同上註。 [11]Western Region Security Office, Protecting Classified Information, http://www.wrc.noaa.gov/wrso/security_guide/intro-4.htm (last accessed May 11, 2013). [12]Jennifer K. Elsea, The Protection of Classified Information: The Legal Framework (2013) CONGRESSIONAL RESEARCH SERVICES, at 11,www.fas.org/sgp/crs/secrecy/RS21900.pdf (last accessed May 11, 2013). [13]Jennifer K. Elsea, The Protection of Classified Information: The Legal Framework (2013) CONGRESSIONAL RESEARCH SERVICES, at 11, www.fas.org/sgp/crs/secrecy/RS21900.pdf (last accessed May 11, 2013). See Snepp v. United States, 444 U.S. 507 (1980), noting the remedy in Snepp was enforced despite the agency’s stipulation that the book did not contain any classified information. [14]White House, Executive Order 12958 Classified National Security Information (1995), http://www.fas.org/sgp/clinton/eo12958.html (last accessed May 11, 2013). ISOO, National Security Decision Directive No. 84(n.d.), https://www.fas.org/irp/offdocs/nsdd/nsdd-84.pdf (last accessed May 11, 2013). [15]NARA/ISOO, Classified Information Nondisclosure Agreement (Standard Form 312) Briefing Booklet (2001), P.65, http://www.wrc.noaa.gov/wrso/forms/standard-form-312_booklet.pdf (last accessed May 11, 2013). 保密協議曾有SF189與SF189-A版本,與現行SF312版,不論那一版本的保密協議,均經過司法部專家依據當時或現有法律進行審閱,並確認保密協議的的合憲性和可執行性。最近有關SF189的訴訟,仍維持保密協議基本的合憲性和合法性。 [16]NARA/ISOO, Classified Information Nondisclosure Agreement (Standard Form 312) Briefing Booklet (2001), P.66-67, http://www.wrc.noaa.gov/wrso/forms/standard-form-312_booklet.pdf (last accessed May 11, 2013). 除憲法上被「視為」符合「可信任性(Trustworthiness)」的下列人員外,其他的人員必須符合三項前提要件(包括簽署保密協議),才得以使用機密資訊。「視為」具「可信任性」的人員包括:總統、副總統、國會議員、最高法院法官,與其他由總統提名並經參議院同意的聯邦法院法官,不需以簽署與持已生效的保密契約為條件,即可使用機密資訊。然而,國會議員仍然是以執行職務(立法功能)所「必要(Need-to-know)」的範圍內為限,例如,該國會議員為負責監督秘密情報部門計畫的委員會,該國會議員與該機關首長,仍必須簽署保密協議或其他類似文件後,才得以使非行政機關人員使用機密資訊。 [17]NARA/ISOO, Classified Information Nondisclosure Agreement (Standard Form 312) Briefing Booklet (2001), P.71, http://www.wrc.noaa.gov/wrso/forms/standard-form-312_booklet.pdf (last accessed May 11, 2013). [18]NARA/ISOO, Standard Form 312, http://www.archives.gov/isoo/security-forms/sf312.pdf (last accessed May 11, 2013). [19]NARA/ISOO, Implementing Rule of the “Classified Information Nondisclosure Agreement” Subpart B-Prescribed Forms §2003.20(h)(1)&(2) (n.d.), P.56-57, http://www.wrc.noaa.gov/wrso/forms/standard-form-312_booklet.pdf (last accessed May 11, 2013). [20]White House, Executive Order 12958 Classified National Security Information (1995), http://www.fas.org/sgp/clinton/eo12958.html (last accessed May 11, 2013). Sec. 1.2. Classification Standards. (a) Information may be originally classified under the terms of this order only if all of the following conditions are met: (1) an original classification authority is classifying the information; (2) the information is owned by, produced by or for, or is under the control of the United States Government; (3) the information falls within one or more of the categories of information listed in section 1.5 of this order; and (4) the original classification authority determines that the unauthorized disclosure of the information reasonably could be expected to result in damage to the national security and the original classification authority is able to identify or describe the damage. Sec. 1.4. Classification Authority. (e) Exceptional cases. When an employee, contractor, licensee, certificate holder, or grantee of an agency that does not have original classification authority originates information believed by that person to require classification, the information shall be protected in a manner consistent with this order and its implementing directives. The information shall be transmitted promptly as provided under this order or its implementing directives to the agency that has appropriate subject matter interest and classification authority with respect to this information. That agency shall decide within 30 days whether to classify this information. If it is not clear which agency has classification responsibility for this information, it shall be sent to the Director of the Information Security Oversight Office. The Director shall determine the agency having primary subject matter interest and forward the information, with appropriate recommendations, to that agency for a classification determination. [21]NARA/ISOO, Classified Information Nondisclosure Agreement (Standard Form 312) Briefing Booklet (2001), P.70, http://www.wrc.noaa.gov/wrso/forms/standard-form-312_booklet.pdf (last accessed May 11, 2013). [22]White House, Executive Order 13526 Classified National Security Information (2009), http://www.whitehouse.gov/the-press-office/executive-order-classified-national-security-information (last accessed May 11, 2013). [23]Jennifer K. Elsea, The Protection of Classified Information: The Legal Framework (2013) CONGRESSIONAL RESEARCH SERVICES, at 5, www.fas.org/sgp/crs/secrecy/RS21900.pdf (last accessed May 11, 2013). [24]NARA/ISOO, Implementing Rule of the “Classified Information Nondisclosure Agreement” Subpart B-Prescribed Forms §2003.20(h)(3) (n.d.), P.57, http://www.wrc.noaa.gov/wrso/forms/standard-form-312_booklet.pdf (last accessed May 11, 2013). [25]同上註。 [26]NARA/ISOO, Classified Information Nondisclosure Agreement (Standard Form 312) Briefing Booklet (2001), P.73, http://www.wrc.noaa.gov/wrso/forms/standard-form-312_booklet.pdf (last accessed May 11, 2013). [27]同上註。 [28]同上註。The terms of the SF 312 specifically state that all obligations imposed on the signer “apply during the time [the signer is] granted access to classified information, and at all times thereafter.” [29]同上註。 [30]同上註。 [31]Jennifer K. Elsea, The Protection of Classified Information: The Legal Framework (2013) CONGRESSIONAL RESEARCH SERVICES, at 5, www.fas.org/sgp/crs/secrecy/RS21900.pdf (last accessed May 11, 2013). [32]同上註,at 11, www.fas.org/sgp/crs/secrecy/RS21900.pdf (last accessed May 11, 2013). See United States v. Marchetti, 466 F.2d 1309 (4th Cir. 1972). [33]Jennifer K. Elsea, The Protection of Classified Information: The Legal Framework (2013) CONGRESSIONAL RESEARCH SERVICES, at 11, www.fas.org/sgp/crs/secrecy/RS21900.pdf (last accessed May 11, 2013). See Haig v. Agee, 453 U.S. 280 (1981). [34]NARA/ISOO, Classified Information Nondisclosure Agreement (Standard Form 312) Briefing Booklet (2011), http://www.fas.org/sgp/isoo/sf312.html (last accessed May 11, 2013). [35]NARA/ISOO, Classified Information Nondisclosure Agreement (Standard Form 312) Briefing Booklet (2011), http://www.fas.org/sgp/isoo/sf312.html (last accessed May 11, 2013) & Jennifer K. Elsea, The Protection of Classified Information: The Legal Framework (2013) CONGRESSIONAL RESEARCH SERVICES, at 10-11, www.fas.org/sgp/crs/secrecy/RS21900.pdf (last accessed May 11, 2013). 失去通過安全檢查的資格可能導致失去政府員工的工作機會;另外,除可能被追討金錢的損害賠償外,該名員工如果亦違反「間諜法(Espionage Act)」與「原子能法(Atomic Energy Act)」的相關條款,還有可能喪失退休金(Retirement Pay)或年金(Annuities)。 [36]NARA/ISOO, Classified Information Nondisclosure Agreement (Standard Form 312) Briefing Booklet (2001), P.74, http://www.wrc.noaa.gov/wrso/forms/standard-form-312_booklet.pdf (last accessed May 11, 2013). [37]Jennifer K. Elsea, The Protection of Classified Information: The Legal Framework (2013) CONGRESSIONAL RESEARCH SERVICES, at 10, www.fas.org/sgp/crs/secrecy/RS21900.pdf (last accessed May 11, 2013). [38]Caitlin Tweed, SEAL Team Six Member’s Next Battle Could be in Court (2012), NATIONAL SECURITY LAW BRIEF, http://nationalsecuritylawbrief.com/2012/09/12/seal-team-six-members-next-battle-could-be-in-court/ (last accessed May 11, 2013).

雲端時代資料保險機制之解析

雲端時代資料保險機制之解析 科技法律研究所 2013年12月05日 壹、前言   資訊時代,資訊應用所帶來的風險幾乎無可迴避,且往往帶來莫大衝擊;尤其在網路應用普及之後,大量資料透過網路傳輸、流通而暴露於資訊安全的風險當中,縱有再有高層級的防護,也無法使資料受損或漏失的風險機率降至零,因此有論者以為,對於無法藉由資訊安全措施加以避免的「殘餘風險」(Residual Risk),應由「保險機制」予以移轉。本研究特探討本議題,以呼應目前日益進展的保險產品發展趨勢。   此類的保險機制,一般稱為資料保險,專門填補網路應用所造成的風險,諸如網路安全(Network security)之欠缺所造成的損失,或者隱私(Privacy)被害所造成的損失。依據產業觀察者意見,此類保險產品的市場正有逐漸擴張的趨勢,尤其是對於健康照護服務(Health care)以及中小型的業者而言,此類保險對於風險管理服務可以發揮長足的作用,其能夠填補資料被害的通知成本、信用監控以及加強資料防護的成本[1]。   本文以雲端運算應用的興起為背景,觀察相應保險機制的演進及發展;以及其對於產業發展而言,為何被視為不可或缺的配套機制,進一步檢視我國推動資料保險的可行性與條件。 貳、資料保險機制的發展 一、資料保險的種類   用來填補資料受害之損害的保險,一般被稱為「資料保險」,尚可見以「網路保險」或「隱私保險」稱之。與其直接定義何謂「資料保險」,不如分析此保險的涵蓋範圍。此類保險早在十幾年前出現,當時其保險範圍,是填補資料被害所引發的損害賠償責任[2]。   財產保險可分成兩大類型,一類是一般的財產損害,即保險事故發生導致被保險人的財產減損或喪失,承保此類財產損失之保險,即英美法系所稱之「第一方保險」(First-party coverage)。另一類則是責任保險,即保險事故發生導致被保險人應負擔法律上責任或契約上損害賠償責任,承保因被保險人應負擔責任之財產損失,即所稱之「第三方保險」(Third-party coverage)。   在資料應用環境中,因資料受害導致損害大抵可依上述區分。當遭遇網路犯罪的損害、毀壞(Destroys)或是剝奪被保險人對於資料的使用權限,則屬於第一方財產損失。另一方面,當被保險人所保護、監管(Custody)或控制的第三人資料或資訊,遭遇網路犯罪損害、毀壞或竊取時,將使被保險人必須承受對第三方負擔損害賠償責任、並支付相關費用,此屬於第三方財產損失,例如入侵資訊系統而竊取信用卡資訊、受保護的個人資料、及銀行的帳戶號碼,又如妨礙有合法權限的第三人近用系統,以及違反法規所要求而未向第三人通知資料侵害等…[3]。 二、資料受害所致損害是否得請求保險賠償過往有很大爭議   傳統的財產保險,由於未指明承保因資料被害所致損失,往往會在被保險人因資料被害導致財產損失而請求保險賠償時,發生很大的爭議。主要的原因是,傳統的財產保險其設計原則,是以被保險人對於有形財產的「保險利益」作為「保險標的」,並以有形財產受損來估算保險損害,並未考量到資料等無形財產。因此,起因於資料或類似形態的程式、軟體之缺損所致的損害,是否可能在傳統財產的保險範圍內,頗有疑義,且司法實務上的意見相當分歧,茲整理如下。 (一)有利於被保險人的實務見解   在America Guarantee & Liability Insurance Co. v. Ingram-Micro[4].中,Ingram-Micro因幾分鐘的電力中斷,導致電腦資產與資料的喪失而嚴重影響正常的業務運作,遂依業務中斷保險(Business-interruption insurance)請求保險賠償,但遭受保險公司拒絕,保險公司提起訴訟並宣稱承保範圍未包含電腦與其他資產。地方法院認為,被保險人客製軟體程式的喪失,構成「具體損害」,具體損害不限於電腦迴路的被有形損毀或傷害,也會包含無法近用(Loss of access)、無法使用(Loss of use)以及功能喪失。   另一案Lambrecht & Associates, Inc. v. State Farm Lloyds[5],保險公司認為電腦病毒感染所造成的損失,非有形損失,因而拒絕保險給付。法院認為,本案之電腦系統以及儲存的資料皆因病毒感染而毀壞、被置換(Replaced),此種結果,等於電腦系統完全無法接收、發送或回復任何形態的資訊,而完全失去作為電腦系統的效用;因此未接受保險公司的主張。   近期一例為責任保險爭議。Retail Ventures, Inc. v. Nat'l Union Fire Ins. Co.[6]中,Retail Venture是DSW鞋子盤商,2005年時它的電腦系統遭駭客入侵,共有百萬筆的客戶資料遭不當下載且許多資料夾也被翻閱過。由於DSW向Nat'l Union購買商業竊盜險,在其承保項目中包括電腦與資金移轉詐欺(Computer & Fund transfer fraud coverage),DSW遂向保險公司請求保險賠償,主張此次駭客入侵所造成的損失有530萬元之多,但保險公司拒絕給付賠償金。於是DSW對保險公司提起訴訟,地方法院認定保險公司應支付保險賠償,保險公司不服,提起上訴至巡迴法院,巡迴法院認為,條款規定雖是限於該損失是由保險事故「直接造成」(Resulting directly from),但這不代表該保險事故必須是造成損失的「唯一」(Solely)與「立即」(Immediately)的原因[7],因此維持地方法院的判決。 (二)有利於保險人的實務見解   在America Online, Inc. v. St. Paul Mercury Insurance Co.中,由於America Online(AOL)所生產的網路接取軟體AOL 5.0據稱會毀壞用戶的電腦系統,因而被客戶訴訟求償,AOL依責任保險內容,轉而請求保險公司應替其進行訴訟防禦,遭保險公司拒絕。為此,AOL對保險公司提起訴訟,法院遂檢視保險契約中是否載明保險公司有進行訴訟防禦的義務。契約中將情境限於「有形」財產損失,法院解釋,從字義上一般不會認為電腦資料、軟體及系統是「有形」財產,因為有形財產應是指可以觸摸(Be touched),但電腦資料、軟體及系統無法被感官感知,因此是無形財產。此外契約中亦有「功能降低除外條款」,意即,不良品或者危險產品所造成的損害非有形,故被排除在承保範圍內。法院據此否認AOL的主張[8]。 三、「新」資料保險產品應運而生   從上述實務案例的觀察,作成不利於被保險人判決結果的法院,是直接認定電腦資料、軟體與系統為無形財產。反之,作成有利於被保險人判決結果的法院,是將「資料」(程式或軟體)與「電腦系統」合為觀之,而認定電腦系統為有形財產,把電腦系統無法發揮正常作用視為具體損害。即使判決結果可能有利於被保險人,但是解釋方式卻較為迂迴,也顯得被保險人相當艱辛。 參、外國資料保險機制之發展實例與推動   雲端運算發展日益普遍日後,可以透過網際網路提供資訊服務(例如儲存空間、應用程式等),「資料」已然不附載在特定或固定的載體(電腦系統)上。因應整體資訊應用形態的轉變,國內外市場上逐漸有相關資料保險產品推出的案例。 一、實例   第一個例子,MSPAlliance是一個資源管理服務業者暨認證聯盟,於2013年4月與保險經紀公司Lockton 合作,設計「雲端暨管理服務」保險(Cloud and Managed Services Insurance),讓其聯盟會員提供資訊服務時得以購買此保險;承保項目包括因網路攻擊、資料滅失或系統故障而導致應負擔損害賠償責任,以及因技術錯誤或無法作用(Tech Errors & Omissions)所導致的損害賠償責任,亦包含在內。至於被保險人的資格要求,則限定是聯盟會員,且必須通過Unified Certification Standard (UCS)驗證。事實上,要求被保險人取得一定的驗證,是保險風險管理很重要的ㄧ環。   第二個例子,雲端保險服務平台Cloudinsure於2013年2月宣布與保險經紀公司Lockton合作,擬設計適於雲端環境的隱私與安全責任保險方案。其保險產品內容主要在確保雲端服務提供者可履行在契約、或服務水準協議(Service Level Agreements)中的承諾,再者也能依據其客戶存放於雲端環境之資料的風險層級,給予金錢防護。 第三個例子,與前兩例不同,是針對一般的資訊服務使用者來設計。保險經紀公司達信(Marsh)於2012年6月針對雲端環境的企業使用者,開發新的保險方案CloudProtect。被保險人是採用雲端服務的中小型企業,承保項目包括:因雲端服務中斷所致的營運收入損失(Loss of income)、因採購新的雲端服務提供者所產生的相關費用支出、因資料轉換至新的雲端服務所產生的相關費用支出。 二、政府的參與及投入推動   美國的國家技術標準局(Institute of Standards and Technology, NIST)在規劃新網路時代藍圖時,把持續促進資料「保險」(Cyber Insurance),列為關鍵的一角。從這個角度而言,保險不僅具有轉移風險與填補損害的功能,更具有正面積極的意義,可作為新興技術發展的後盾。對於NIST這樣的主張,美國保險人協會(American Insurance Association)也予以呼應,認為針對網路應用環境而持續開發各種保險產品,是勢在必行的方向。 (一)政策推導   美國證券交易委員會指引(2011年),建議公司若為因應資安風險而購買保險產品,應列入資訊揭露範圍。此被認為是間接鼓勵企業購買相關保險產品的具體措施之一。 (二)政府機關作為被保險人購買資料保險之例   美國有以政府機關名義購買資料相關保險之例,蒙大拿(Montana State Government)購買「網路資料安全保險」(Cyber/Data Information Security Insurance),為期一年(2012年7月1日至2013年7月1日),保險項目包括:資訊安全責任(每次事故保險賠償上限200萬美元)、行政罰款(每次事故保險賠償上限200萬美元)、損害通知支出(每次事故保險賠償上限100萬美元)、網站媒體披露支出(每次事故保險賠償上限200萬美元)、每次保險事故發生以200萬美元為總保險賠償限額。此案之保險業者為Beazley,保險經紀人為Alliant Insurance Services。值得特別注意的是,保險項目當中包含損害通知支出,此是呼應了美國相關法令要求業者必須於獲悉資安事故時踐行通知相關的資料主體。   資安事故的確實可能使政府機關蒙受莫大損失,美國南卡羅萊納州稅務局(South Carolina Department of Revenue)2012年發生駭客攻擊事件,州政府花費約2000萬美元收拾殘局,其中1200萬美元用來作為市民身份被竊後的信用活動監控,其他則用來發送被害通知、資安強化措施、及建立數位鑑識團隊、資安顧問。 肆、結論-我國推動相關資料保險機制可行性之總合評析   現階段我國相關保險市場的現況,為因應我國個人資料保護法的通過與正式實施,也有推出資料相關保險產品,目標客群為企業,以協助企業因應觸及個人資料可能產生對他人的損害賠償責任、及填補其他附帶損害為主要訴求。至於,針對業者(被保險人)因提供資訊服務過程中的資料被害、毀損滅失所導致營業損失(營運中斷、負擔契約上損害賠償責任)之損害填補,似尚未有相關保險產品推出。考其原因,是保險業者對於此種因無形財產(資料)所導致損害的保險賠償模式,尚未累積足夠的經驗,也缺乏相關精算數據的掌握,因而不敢貿然承作,另一方面,保險業者本身也擔憂無足夠資力因應大規模的保險事故。 對此現象,我國主責資訊服務產業推動的有關政府部門,也思及政府投入參與資料保險機制,例如推動以機關為被保險人而購買相關的資料保險,藉以活絡資料保險市場;此種構想,在法律層面並無疑義,此乃保險賠償與國家賠償機制雖有各自目的,但未有所衝突[9]。然而,實際操作上,必須考量政府機關資訊系統是否能通過保險業者的保險風險查核、是否有足夠的預算足以支付保險費用、以及決策單位是否能有效與資訊業務單位溝通以評估購買此類保險的需求...等諸多問題。   事實上,我國相關資料保險市場要邁向成熟發展,尚待多方努力,除保險業者本身規劃並提出合適的保險產品之外,參酌國外經驗,保險經紀公司也能扮演一定角色,可針對客戶需求量身訂作風險評鑑、研提最符合的保險方案,並藉客戶共同需求而匯聚保險風險共同團體。政府所扮演之角色,除直接以政策推導之外,尚能在若干條件齊備之後實際參與保險機制,其後續方向值得關注。 [1]Collin J. Hite, Top lawyers on trends and key strategies for the upcoming year the ever-changing scope of insurance law, Aspatore Feb. 2013. [2]http://www.computerweekly.com/news/2240202703/An-introduction-to-cyber-liability-insurance-cover (last visited at Oct. 24, 2013) [3]Jack Montgomery, Cybercrime losses and insurance for property damage and third-party claims, Maine Bar Journal, Summer 2012, p. 159. [4]Civ. 99-185 TUC ACM, 2000 U.S. Dist. Lexis 7299 (D. Ariz., April 19, 2000). [5]Lambrecht & Associates, Inc. v. State Farm Lloyds, 119 S.W.3d 16, 25 (Tex. App. 2003). [6]Retail Ventures, Inc. v. Nat'l Union Fire Ins. Co. of Pittsburgh, Pa., 691 F.3d 821 (6th Cir. 2012). [7]Retail Ventures, Inc. v. Nat'l Union Fire Ins. Co. of Pittsburgh, Pa., 691 F.3d 821 (6th Cir. 2012), p.13. [8]America Online, Inc. v. St. Paul Mercury Ins. Co., 207 F. Supp. 2d 459 - Dist. Court, ED Virginia 2002, P.461-462. [9]請參考96年法務部法律字第0960003420號函。

論網路環境下的通訊監察法制

TOP