研發成果下放就不適用國有財產法嗎?
資訊工業策進會科技法律研究所
2020年3月26日
科學技術基本法(下稱科技基本法)下放研發成果予執行單位,授權各部會機關按其對研發成果管理運用的需求,彈性制訂該部會之科學技術研究發展成果歸屬及運用辦法(下稱成果運用辦法)。然據悉某些公立學校或公立機關(構)曾在盤點財產時,因漏未將研發成果登入為國有財產,或列帳時未列載相關費用而遭主計處指正,從而對研發成果是否為國有財產及如何適用國有財產法有所疑問。因此,本文先回歸科技基本法,探討國有財產法之適用範圍,再論成果運用辦法和國有財產法間互補適用的關係,以解答上述疑問。
壹、科技基本法排除國有財產法適用之範圍
按科技基本法第6條第1項及第2項[1],當研發成果歸屬於公立學校、公立機關(構)或公營事業等公部門單位時,僅排除適用國有財產法中保管、使用、收益及處分之規定,改由各部會之成果運用辦法規範,故當研發成果歸屬於公部門時,並非完全排除適用國有財產法,係僅於前揭特定管理運用事項適用科技基本法及其授權訂定之成果運用辦法。因此其他未被排除的國有財產法規定[2],包括何謂國有財產與國有財產種類之總則、國有財產登記、設定產籍與維護,以及有關國有財產之檢查與財產報告等仍須依循相關規範。前述遭主計處指正之案例,或許就是忽略歸屬於公部門之研發成果仍有前揭國有財產法之適用,致漏未將研發成果依該法登入國有財產或將相關支出列帳。
貳、成果運用辦法的適用範圍
另一可能造成執行單位在運用其研發成果時產生疑問的原因,是現行各部會之成果運用辦法中,有部分規定與前述科技基本法第6條第2項,將歸屬於公立學校與公立機關(構)之研發成果定性為國有財產之意旨扞格。以衛生福利部科學技術研究發展成果歸屬及運用辦法(下稱衛福部成果運用辦法)為例,雖然按該辦法第2條第5款定義國有研發成果為研發成果歸屬國家所有者。然該辦法第30條第1項第1款[3],卻出現執行單位為公、私立學校、公立研究機關(構)之「非國有」研發成果收入之上繳交比率規定,恐使適用本辦法之公立學校、公立機關(構),誤以為其所有之研發成果可為非國有,而產生無庸適用國有財產法之誤解,亦與該辦法第2條第5款對國有研發成果的定義產生內部矛盾,更與科技基本法第6條第2項相衝突。
當研發成果歸屬公立學校、公立機關(構)時,因上述公部門單位本即為政府機關(構),故歸屬上述單位等同歸屬於國家,凡屬上述單位所有之研發成果即為國有研發成果,也會適用國有財產法;邏輯上不應出現公部門單位擁有非國有研發成果之情況,顯然衛福部成果運用辦法第30條第1項應修正第1款,將非國有研發成果上繳比率規定之適用主體排除公立學校、公立研究機關(構)。
參、結論
現行科技基本法第6條第1項與第2項,使研發成果是否適用國有財產法,會因為其歸屬而有不同。研發成果歸屬於公部門者為國有財產原則上應適用部分國有財產法,例外於特定管理運用事項始適用各該部會的成果運用辦法;而研發成果歸屬於私部門者非國有財產,無國有財產法之適用,僅適用各該部會辦法管理。在這套體制下,執行單位須注意國有研發成果仍是國有財產,仍須依國有財產法進行財產列帳、登記及財產檢查;而出現規定公立學校、公立研究機關(構)「非國有研發成果」條文之成果運用辦法,
則顯與現行科技基本法有違,反致生誤會,建議進行修正。公立學校與公立研究機關(構)在進行研發成果之管理、運用時,除依循各部會成果運用辦法外,應注意科技基本法的意旨,以避免造成被認為未依法處理之情況。
[2]未被排除而應適用的國有財產法條為:第1條到第8條總則、第9、10、12、16條之管理機構、第17條到第19條國有財產登記、第21條到第24條設定產籍、第26條有價證券保管處所、第27條之損害賠償責任、第30、31條不動產維護、第32、34條公用國有財產之使用和非公用國有財產之變更、第37條受贈財產,第38到41條非公用財產撥用、收益、第42到44、45條不動產與動產出租、第46到48條不動產與動產之利用,處分第49到55條不動產與動產標售、第59條非公用財產之估價、第61到63條財產檢查、第65到70條財產報告、第71到73條之刑責和舉報獎金、第75到77條之施行日期等。內文未提及之其它未排除適用的條文,主要是針對有體物,即動產與不動產的相關規範,和非公用國有財產之管理;而研發成果多為無體財產,即智慧財產權等,且多為公用財產,故使用這部分條文的情況較少,在此不贅述。
[3]衛福部成果運用辦法第30條第1項第1款:「執行單位因管理及運用其非國有研發成果之收入,應依下列規定辦理:一、執行單位為公、私立學校、公立研究機關(構)者,應將其研發成果收入之百分之二十繳交本部。」
日本本土所栽培且有登記證照的農作物種子被拿到中國、南韓等地的案例日增,日本政府除了將提高取得品種證照者的收入之外,在六月即將完成的「智慧財產權二00六」報告中,日本政府也將擬定品種保護制度,明示未來在農業領域應該如何因應日本本土研發、栽培的農作物品種,被擅自拿到海外利用。 蔬果等種子很容易被攜帶到海外,通常在外國都遭違法大量栽培,然後再回銷日本,尤其近年來這種例子激增,迫使日本政府不得不思考對策。日本政府打算針對開發植物新品種的人或團體,根據現行的種苗法給予「育種家權利」。日本農林水產省並呼籲中、韓等亞洲國家,應該趕緊制訂完備的法令,禁止日本開發的品種未經許可被擅自生產、販售。
美國情報體系發布「情報體系運用人工智慧倫理架構」美國國家情報體系(United States Intelligence Community)係於1981年依據行政命令第12333號(Executive Order 12333)所建立,其任務為蒐集、分析與提供外國情報與反情報資訊美國國家領導人,服務對象包含美國總統、執法單位以及軍事單位。其於2020年6月提出「情報體系人工智慧倫理架構」(Artificial Intelligence Ethics Framework for the Intelligence Community),為人工智慧系統與訓練資料、測試資料之採購、設計、研發、使用、保護、消費與管理提出指引,並指出人工智慧之利用須遵從以下事項: 一、於經過潛在風險評估後,以適當且符合目的之方法利用; 二、人工智慧之使用應尊重個人權利與自由,且資料取得應合法且符合相關政策與法規之要求; 三、應於利用程序內結合人類判斷與建立問責機制,以因應AI產品之風險並確保其決策之適當性。 四、於不破壞其功能與實用性之前提下,盡可能確認、統計以及降低潛在之歧視問題。 五、AI進行測試時應同時考量其未來利用上可預見之風險。 六、持續維持AI模型之迭代(Iteration)、版本與改動之審查。 七、AI之建立目的、限制與設計之輸出項目,應文件化。 八、盡可能使用可解釋與可理解之方式,讓使用者、審查者與公眾理解為何AI會產出相關決策。 九、持續不定期檢測AI,以確保其符合當初建置之目的。 十、確認AI於產品循環中各階段之負責人,包含其維護相關紀錄之責任。
淺談美國與日本遠距工作型態之營業秘密資訊管理淺談美國與日本遠距工作型態之營業秘密資訊管理 資訊工業策進會科技法律研究所 2022年05月18日 根據2021年5月日本總務省所公布之《遠距工作資安指引》第5版,近年來隨著科技的進步,遠距工作在全球越來越普及,過去將員工集中在特定辦公場所的工作型態更是因為COVID-19帶來的環境衝擊,使辦公的地點、時間更具有彈性,遠距工作模式成為後疫情時代的新生活常態。 因應資訊化時代,企業在推動遠距工作時,除業務效率考量外,更需注意資安風險的因應對策是否完備,例如員工使用私人電腦辦公時要如何確保其設備有足夠的防毒軟體保護、重要機密資訊是否會有外洩的風險等。 本文將聚焦在遠距工作型態中,因應網路資安管控、員工管理不足,所產生的營業秘密資訊外洩風險為核心議題,研析並彙整日本於2021年5月由日本總務省所公布之《遠距工作資安指引》第5版[1],以及美國2022年3月針對與遠距工作相關判決Peoplestrategy v. Lively Emp. Servs.之案例[2]內容,藉此給予我國企業參考在遠距工作模式中應注意的營業秘密問題與因應對策。 壹、遠距工作之型態 遠距工作是指藉由資訊技術(ICT Information and Communication Technology),達到靈活運用地點及時間之工作方式。以日本遠距工作的型態為例,依據業務執行的地點,可分為「居家辦公」、「衛星辦公室辦公」、「行動辦公」三種: 1.居家辦公:在居住地執行業務的工作方式。此方式因節省通勤時間,是一種有效兼顧工作與家庭生活的工作模式,適合如剛結束育嬰假而有照顧幼兒需求的員工。 2.衛星辦公室(Satellite Office)辦公:在居住地附近,或在通勤主要辦公室的沿途地點設置衛星辦公室。在達到縮短通勤時間的同時,可選擇優於居住地之環境執行業務,亦可在移動過程中完成工作,提高工作效率。 3.行動辦公:運用筆記型電腦辦公,自由選擇處理業務的地點。包含在渡假村、旅遊勝地一邊工作一邊休假之「工作渡假」也可歸類於此型態。 貳、遠距工作之風險及其對策 遠距工作時,企業內外部資訊的交換或存取都是透過網際網路執行,對於資安管理不足的企業來說,營業秘密資訊可能在網路流通的過程中受到惡意程式的攻擊,或是遠距工作的終端機、紀錄媒體所存入的資料有被竊取、遺失的風險。例如商務電子郵件詐欺(Business Email Compromise,簡稱BEC)之案例,以真實CEO之名義傳送假收購訊息,藉此取得其他公司之聯絡資訊。近年來BEC的攻擊途徑亦增加以財務部門等資安意識較薄弱的基層員工為攻擊對象的案例[3]。 由於員工在遠距工作時,常使用私人電腦或智慧型手機等終端機進行業務資料流通,若員工所持有的終端機資安風險有管控不佳的情況,即有可能被間接利用作為竊取企業營業秘密資訊之工具。例如2020年5月日本企業發生駭客從私人持有之終端機竊取員工登入企業内網的帳號密碼,再以此做為跳板,進入企業伺服器非法存取企業之營業秘密資訊,造成超過180家客戶受到影響[4]。 關於遠距工作網路資安的風險對策,在技術層面上,企業可使用防毒軟體或電子郵件系統的過濾功能,設定遠距工作之員工無法開啟含有惡意程式的檔案,或是透過雲端服務供應商代為控管存取資料之驗證機制,使遠距工作的過程中不用進入企業内網,可直接透過雲端讀取資訊。另外,建議企業將資訊依照重要程度作機密分級,並依據不同分級採取不同規格的保密措施。例如將資料分成「機密資訊」、「業務資訊」、「公開資訊」 三個等級[5],屬營業秘密、顧客個資等機密資訊者,應採取如臉部特徵辨識、雙重密碼認證等較高規格的保密措施[6]。在內部制度面上,企業則可安排定期遠距工作資安教育訓練、將可疑網站或郵件資訊刊登在企業電子報、公告提醒員工近期資安狀況;甚至要求員工在連結企業内網或雲端資料庫時,須使用資安管理者指定的方法連結,未經許可不得變更設定。 除上述網路資安的風險外,員工管理問題對於企業推動遠距工作是否會導致營業秘密資訊洩漏有關鍵性的影響。因此,企業雇主與員工在簽訂保密協議時,雙方皆需要清楚了解營業秘密保護的標準。以美國紐澤西州Peoplestrategy v. Lively Emp. Servs.判決為例,營業秘密案件的裁判標準在於企業是否已採取合理保密措施[7]。如果企業已採取合理保密措施,而員工在知悉(或應該知悉)有以不正當手段獲得營業秘密之情事,則企業有權要求該員工承擔營業秘密被盜用之賠償責任[8]。在本案中,原告Peoplestrategy公司除了要求員工須簽屬保密協議外,同時有採取保護措施,禁止員工將公司資訊存入筆記型電腦,並且要求員工離職時返還公司所屬之機密資訊,並讀取資訊的過程中,系統會跳出顯示提醒員工有保密義務之通知,故法院認定原告有採取合理的保護措施,保護機密資訊的秘密性[9]。與之相反,Maxpower Corp. v. Abraham案例中,原告僅採取一項最基礎的保密措施(設置電腦設備讀取權限並要求輸入密碼),且與其員工簽訂保密協議中缺乏強調保密之重要性、未設立離職返還資訊之程序,故法院認定原告所採取之管控機制未能達到合理保密措施[10]之有效性。 藉由前述兩件判決案例,企業在與員工簽屬保密協議時,應向員工揭露企業的營業秘密保密政策,並說明希望員工如何適當處理企業所屬的資訊,透過定期的教育訓練宣導機制,以及員工離職時再次提醒應盡之保密義務。理想上,企業應每年與員工確認保密協議內容是否有需要配合營運方向、遠距工作模式調整,例如員工因為遠距工作使工作時間、地點的自由度增加,是否會發生員工接觸或進一步與競爭對手合作的情形。對此,企業應該在保密協議中訂立禁止員工在企業任職期間出現洩露公司機密或為競爭對手工作之行為[11]。 參、結論 以上概要說明近期美國和日本針對遠距工作時最有可能產生營業秘密資訊管理風險的網路資安問題、員工管理問題。隨著後疫情時代發展,企業在推動遠距工作普及化的過程中,同時也面臨到營業秘密管控的問題,以下以四個面向給予企業建議的管控對策供參。 (一)教育宣導:企業可定期安排遠距工作資安教育訓練,教導員工如何識別釣魚網站、BEC等網路攻擊類型,並以企業電子報、公告提醒資安新聞。另外,規劃宣導企業營業秘密保密政策,使員工清楚應盡的保密義務,以及如何適當處理企業的資訊。 (二)營業秘密資訊管理:企業應依照資訊重要程度作機密分級,例如將資訊分成「機密資訊」、「業務資訊」、「公開資訊」三個等級,對於機密資訊採取如臉部特徵辨識、雙重密碼等較嚴謹的保密措施。其中屬於秘密性高的營業秘密資訊則採取較高程度的合理保密措施,以及對應其相關資料應審慎管理對應之權限、存取審核。 (三)員工管理:企業在最理想的狀況下,應每年與員工確認保密協議的約定內容是否有符合業務營運需求(例如遠距工作應執行的保密措施),並確保員工知悉要如何有效履行其保密義務。要求員工在處理營業秘密資訊時,使用指定的方式連結企業内網或雲端資料庫、禁止員工在職期間或離職時,在未經許可之情況下持有企業的營業秘密資訊。 (四)環境設備管理:遠距工作時在技術管理上最重要的是持續更新資安防護軟體、防火牆等阻隔來自於外部的網路攻擊,避免直接進入到企業內部網站為原則。同時,需確認員工所持有的終端機是否有資安風險管控不佳的風險、以系統顯示提醒員工對於營業秘密資訊應盡的保密義務。 本文同步刊登於TIPS網站(https://www.tips.org.tw) [1]〈遠距工作資安指引〉第5版,總務省,https://www.soumu.go.jp/main_sosiki/cybersecurity/telework/ (最後瀏覽日:2022/04/27)。 [2]Karol Corbin Walker, Krystle Nova and Reema Chandnani, Confidentiality Agreements, Trade Secrets and Working From Home, March 11, 2022, https://www.law.com/njlawjournal/2022/03/11/confidentiality-agreements-trade-secrets-and-working-from-home/ (last visited April 27, 2022). [3]同前揭註1,頁99。 [4]同前揭註1,頁103。 [5]同前揭註1,頁73。 [6] Amit Jaju ET CONTRIBUTORS, How to protect your trade secrets and confidential data, The Economic Times, March 05, 2022, https://economictimes.indiatimes.com/small-biz/security-tech/technology/how-to-protect-your-trade-secrets-and-confidential-data/articleshow/90010269.cms (last visited April 27, 2022). [7]Sun Dial Corp. v. Rideout, 16 N.J. 252, 260 (N.J. 1954). Karol Corbin Walker et al., supra note 2 at 3. [8]18 U.S.C.§1839(5). Karol Corbin Walker et al., supra note 2 at 3. [9]Peoplestrategy v. Lively Emp. Servs., No. 320CV02640BRMDEA, 2020 WL 7869214, at *5 (D.N.J. Aug. 28, 2020), reconsideration denied, No. 320CV02640BRMDEA, 2020 WL 7237930 (D.N.J. Dec. 9, 2020). Karol Corbin Walker et al., supra note 2 at 3. [10]Maxpower Corp. v. Abraham, 557 F. Supp. 2d 955, 961 (W.D. Wis. 2008) Karol Corbin Walker et al., supra note 2 at 3. [11]Megan Redmond, A Trade Secret Storm Looms: Six Steps to Take Now, JDSUPRA, March 07, 2022, https://www.jdsupra.com/legalnews/a-trade-secret-storm-looms-six-steps-to-6317786/ (last visited April 27, 2022).
布拉格提案(The Prague Proposals)2019年5月3日,來自全球30多國的政府官員與來自歐盟、北大西洋公約組織的代表於捷克布拉格所舉辦的5G資安會議(Prague 5G Security Conference)中,強調各國建構與管理5G基礎建設時應考慮國家安全、經濟與商業發展等因素,特別是供應鏈的安全性,例如易受第三國影響之供應商所帶來的潛在風險,本會議結論經主辦國捷克政府彙整為布拉格提案(The Prague Proposals),作為提供世界各國建構5G基礎建設之資安建議。 在這份文件中首先肯認通訊網路在數位化與全球化時代的重要性,而5G網路將是打造未來數位世界的重要基礎,5G資安將與國家安全、經濟安全或其他國家利益,甚至與全球穩定等議題高度相關;因此應理解5G資安並非僅是技術議題,而包含技術性與非技術性之風險,國家應確保整體性資安並落實資安風險評估等,而其中最關鍵者,則為強調確保5G基礎建設的供應鏈安全。 因此在布拉格提案中強調各國建構通訊網路基礎建設,應採用國際資安標準評估其資安風險,特別是受第三國影響之供應商背後所潛藏之風險,並應重視5G技術變革例如邊緣運算所產生的新風險態樣;此外對於接受國家補貼之5G供應商,其補貼應符合公平競爭原則等。布拉格提案對於各國並無法律上拘束力,但甫提出即獲得美國的大力肯定與支持。