歐盟執委會發布新產業策略指導方針，協助企業面對氣候中和及數位領導轉型之挑戰
歐盟執委會於2020年3月10日公布產業策略指導方針，名為「因應全球競爭、綠色、和數位歐洲的新產業策略」（A new industrial strategy for a globally competitive, green and digital Europe），以幫助歐洲產業在面臨近年氣候中和及數位領導變遷時，因轉型而產生的過渡期。此次公布的產業策略指導方針，包含三大主題，分別是：（1）新產業策略（A new industrial strategy）、（2）新中小型企業策略（A new SME strategy）以及（3）企業與消費者的單一市場（A single market that delivers for our businesses and consumers）；而其中又以「新產業策略」為該指導方針之重點。
為提升歐洲的產業領導地位，「新產業策略」中論以三個關鍵優先事項，分別為：維持歐洲產業的全球競爭力和公平競爭環境、2050年以前達成氣候中和（climate-neutral）目標，以及塑造歐洲未來數位化。為達成前述優先事項，歐盟執委會提出一系列未來行動：
- 推行智財權行動計畫（Intellectual Property Action Plan）以保護歐盟技術主權，並採行適合綠色和數位轉型的法規框架；
- 持續檢討修正歐盟競爭相關法令（EU competition rules），確保法規能適應快速變化的經濟環境；
- 為維護產業在歐盟境內外的公平競爭環境，執委會將於在2020年中以前出版白皮書，處理歐盟單一市場中因外國補貼而引起的扭曲效應，以及歐盟境內的外國採購和外國資金問題；
- 推行關鍵原料行動方案（Action Plan on Critical Raw Materials），確保關鍵原物料穩定供應；支持戰略數位基礎設施和關鍵技術發展，增強歐洲產業及戰略自主地位；
- 其它則有對綠色公共採購進一步立法、發展低碳產業和技術、支持永續型智慧交通產業等。
本文為「經濟部產業技術司科技專案成果」
劉芷宜
法律研究員 編譯整理
歐盟執委會發布歐洲資料戰略，資訊工業策進會科技法律研究所，https://stli.iii.org.tw/article-detail.aspx?tp=1&i=180&d=8429&no=64（最後瀏覽日：2020/04/05）。
歐盟《非歐盟國家智財權保護與執法成效報告》，資訊工業策進會科技法律研究所，https://stli.iii.org.tw/article-detail.aspx?tp=5&i=180&d=8407&no=67（最後瀏覽日：2020/04/05）。
歐盟2019電子政府基準報告，資訊工業策進會科技法律研究所，https://stli.iii.org.tw/article-detail.aspx?tp=5&i=0&d=8375&no=67（最後瀏覽日：2020/04/05）。
為人父母最怕自己的小孩比不上別人，尤其是發育較慢、身高較矮等，許多廠商看準這點，大量推出營養補給品或健康食品，滿足父母親想使小孩長得又高又壯的願望。這樣的現象不僅在台灣發生，日前美國一家佛羅里達的廠商，製造並銷售聲稱可以為孩童和年輕人增加身高的藥片，不過這些藥品經證實都不具所聲稱的療效。廠商必須為其不實的廣告內容支付37萬5千美元的和解金，並且必須花費190萬美金刊登更正廣告，內容除說明他們廣告內容欺騙消費者外，還要說明任何一種營養補給品、食品或藥物的廣告內容，必須是真實且非屬於使人誤導的內容。FTC起訴被告的原因是被告的產品HeightMax無法提出確實證據，證明該公司商品能如所陳述的廣告內容，快速地使孩童和年輕人的身高增加。 HeightMax以英語和西班牙語在網際網路和收音機等方式播送廣告，並捏造一位名為William Thomson的生化博士，宣稱HeightMax在其臨床試驗與長期的研究後，可以在6個月內令使用者增加2至3英吋的身高等。FTC指出被告製作虛偽不實的廣告內容且無確實證據可供支持該公司的論述，經佛羅里達州法院宣判，被告Sunny Health Nutrition公司將支付37萬5千美元的和解金與190萬美金的廣告費用，來賠償消費者並為更正的內容。
英國Patent Box租稅優惠政策英國Patent Box租稅優惠政策 科技法律研究所 2014年03月25日 壹、政策背景 歐盟在2000年規劃的里斯本策略[1]，就創造工作機會與保障勞工權益方面積極作為，驅使歐盟各國稅法改革，成功使歐盟在國際上擁有強大稅制上競爭力。而後法國、匈牙利、盧森堡、比利時、荷蘭、西班牙等國家，先後就研發活動施行優惠稅制，更強化其研發活動創造、發展的誘因。 2011年英國政府成長計畫[2]檢討近10年來，各國降低稅率、打破貿易壁壘、培育專家人才，同時英國經濟疲弱，負債且競爭力下降。因此英國政府在計畫中提出要建立G20[3]中最具競爭力之稅制。在不願與其他國家進行稅金削價競爭下，英國政府決定自專利著手，認為專利與高科技研究發展最具關連性，且專利本身已具完備審查機制，於是以專利獲利為主的優惠稅制逐步成形，稱為Patent Box，2011年6月英國財政局HMRC廣納各界意見，並在2012年Finance Act修法草案第8A章節提出。 對於Patent Box的設計，英國政府提出幾個原則：首先為不造成企業困擾，Patent Box必須為自願性參加；並且2013年4月起，為來自專利的獲利提供10%的優惠稅率；專利獲利之計算應避免為企業製造不必要的行政成本；不以總收入計算而以淨獲利計算；鼓勵持續研發等。 貳、政策方針 一、政策目的 英國政府早期對法人的租稅獎勵，係針對中小法人購置網際網路軟硬體設備、研發相關費用等，提供100%當年度投資抵免的獎勵；而為促進法人進行科學技術研究，2000年開始提供中小法人投入研發投資抵減獎勵，2002年擴及於大法人亦得適用，但抵減率降為25%。 英國政府為了鼓勵法人將高值專利與其運用發展紮根國內，以法人稅（Corporation Tax）角度出發，提議租稅優惠方案「Patent Box」。政府認為此方案能夠提供國內法人額外動機，將高價值工作與專利相關生產活動留在國內，並強化英國法人目前在全球的高值研發能量。 此方案由工黨政府提出，但直到2010年11月保守黨政府執政時，才將之納入執政提議政策，隔年6月與幕僚單位諮詢相關立法細節與範圍後，迅速於同年12月擬出草案。2012年7月，Patent Box方案經皇家同意被納入「法人稅法（the 2010 Corporation Taxes Act）」之修法法案「財政法（the 2012 Finance Act）」之中。2013年4月起，英國法人若透過自主研發或委託研發所產生之專利而賺取之收入，法人稅可由原本的20~24%（2013年4月法人稅為23％），調降適用10%的優惠稅率。 此方案的推出，一部份原因為產業界輿論稱英國原租稅制度使法人逐漸喪失競爭力；而之所以將租稅優惠鎖定為專利權（與特定植物品種權），係因為專利權與高科技研發生產具有很強的鍊結，並且專利權本身的審核制度更已為Patent Box方案挑選出真正的創新科技發明。 二、Patent Box 優惠稅制影響評估 （一）英國國庫 英國Patent Box採逐步調降稅率之實施方式，以減輕對國庫的負擔，2013年以獲利的60%適用Patent Box 10%的優惠法人稅稅率，之後隔年增加10%，直至2017年4月1日，100%獲利適用10%之優惠法人稅稅率。而HMRC預算預估之英國專利獲利金額，係以其資料庫為基礎推算之。 （二）英國法人 調降法人稅對英國法人而言，也降低了將相關專利獲利移出境外之動機；此外，對於未申請專利者，Patent Box更增加其申請的動機，繼而提高發明之價值。 對於中小型法人而言，此方案可使其檢視自身專利布局，但對於未接觸過專利想加入此方案者，會增加該些中小型法人之相關行政成本，但Patent Box一產品僅須具一專利之設計，可減輕對此類法人之負擔調降法人稅對英國法人而言，也降低了將相關專利獲利移出境外之動機；此外，對於未申請專利者，Patent Box更增加其申請的動機，繼而提高發明之價值。 對於中小型法人而言，此方案可使其檢視自身專利布局，但對於未接觸過專利想加入此方案者，會增加該些中小型法人之相關行政成本，但Patent Box一產品僅須具一專利之設計，可減輕對此類法人之負擔。 （三）英國經濟 由專利獲利的法人可受惠於此方案，尤其是醫藥、生技、電子、國防等產業。Patent Box方案更可吸引國外創投資金，增進國內經濟並增加高值工作機會。 [1]Directorate-General for International Policies - Policy Department, The Lisbon Strategy 2000-2010, European Parliament (2011), http://www.europarl.europa.eu/document/activities/cont/201107/20110718ATT24270/20110718ATT24270EN.pdf (last visited, Feb 19, 2014) [2]HM Treasury, The Plan for Growth, March 2011, https://www.gov.uk/government/uploads/system/uploads/attachment_data/file/31584/2011budget_growth.pdf (last visited, Feb 11, 2014) [3]G20，一個國際經濟合作論壇，由八國集團（美國、日本、德國、法國、英國、義大利、加拿大和俄羅斯）以及其餘十二個重要經濟體（歐盟、中華人民共和國、巴西、印度、澳大利亞、墨西哥、韓國、土耳其、印尼、沙烏地阿拉伯、阿根廷和南非）組成。
歐盟執委會提案將電子設備之充電連接埠統一為USB Type-C自2009年起，歐盟執委會（European Commission，下稱執委會）開始推動統一化歐盟境內手機及其他類似電子設備之充電器，以減少不必要的電子垃圾，並改善電子設備充電器規格紊亂所造成消費者的不便利。多年來，市面上充電連接埠的規格已從過去的三十多種減少為USB Type-C、USB micro-B以及Lightning三種規格。執委會更於今（2021）年9月23日提出《無線電設備指令》（Radio Equipment Directive, 2014/53/EU）增修條文提案，欲透過立法建立統一的充電解決方案，該提案包括： 1.統一充電連接埠 USB Type-C為所有智慧型手機、平板、相機以及耳機等電子設備的通用充電連接埠，一個USB Type-C充電器將能為各種廠牌的產品充電。 2.統一快速充電技術 防止各製造商無正當理由地限制充電速度，並確保電子設備在使用任何可相容的充電器時都能有相同的充電速度。 3.電子設備及充電器的分拆販售 防止消費者被迫購買不必要的充電器，並減少未使用的充電器數量，進而達成降低電子垃圾之目的。 4.提供消費者更多資訊 製造商應提供消費者其產品之充電性能相關資訊，以利消費者判斷其現有的充電器與該產品是否相容，該資訊亦有助於消費者為該產品選購相容的充電器。 此提案仍需待歐洲議會（European Parliament）及歐盟部長理事會（Council of the European Union）決議，若決議通過，製造商將有24個月的過渡期來調整產品設計。
從美國「聯邦風險與授權管理計畫」看我國促進政府部門導入雲端運算之策略與機制從美國「聯邦風險與授權管理計畫」看我國促進政府部門導入雲端運算之策略與機制 科技法律研究所 2013年07月03日 資訊科技的發展，從早期「超級電腦/大型電腦」、近期「個人電腦」，到即將邁入以超大規模數量電腦主機虛擬集結的「雲端運算」時代。雲端運算將電腦集中運用，未來電腦運算設施就像是水、電；資料儲存與應用就像是銀行，只要連上網路就可以使用，不必各自投資發展。因此，「雲端運算」未來將成為每個國家的重要基礎建設。 將雲端運算列為重要的產業發展重心，已是各國的趨勢，而運用雲端運算所帶來的效益，如節省經費、提升效率等，亦為普遍地承認，再加上公部門相較於民間，其擁有較多的經費及資源來進行雲端運算的導入，而藉由公部門導入雲端運算，可以帶動雲端運算產業的發展以及雲端運算應用的普及化。因此，各國均皆致力於促進公部門導入雲端運算。 然而，在雲端運算帶來龐大經濟效益的同時，伴隨而來的，是新的資訊管理議題，雲端安全防護聯盟（Cloud Security Alliance, CSA）提出了雲端運算可能遭遇的九大安全威脅 ： 一、資料外洩（Data Breaches） 二、資料遺失（Data Loss） 三、帳號被駭（Account Hijacking） 四、不安全的APIs程式（Insecure APIs） 五、拒絕服務（Denial of Service） 六、惡意的內部人員（Malicious Insiders） 七、濫用雲端服務（Abuse of Cloud Services） 八、審慎評鑑不足（Insufficient Due Diligence） 九、共享環境議題（Shared Technology Issues） 面對前述的安全威脅，政府部門在考量導入雲端服務時，首先面對的就是要探討如何在導入雲端運算後仍能維持資訊安全的強度，以及政府部門要從何尋找符合其需求的業者。 壹、事件摘要 美國政府在2010年12月發表了25項聯邦IT轉型重點政策，其中一項核心的政策便是「雲優先政策」（cloud first policy）。根據「雲優先政策」，聯邦機構必須在三個月內找出三項轉移到雲端的政府服務，並且要在一年內導入其中一項。 然而，此種新型態的雲端運算服務為聯邦機構帶來資安管理的新挑戰，傳統由各機關分頭洽談所導入資訊系統與應用規格之方法，並實施個別的資訊安全需求與政策的作法，對服務商而言，其所提供的相同服務，在各機關導入時，卻必須將受各個機關的審查，造成各機關投入過多的資源在審查程序上，導致政府資源的浪費，不但耗費時間、審查重複，且無法達到建構妥善操作程序的效果。 2012年6月6日，聯邦政府總務管理局（General Service Administration, GSA）宣布「聯邦風險與授權管理計畫」（Federal Risk and Authorization Management Program,以下稱FedRAMP）開始正式運作，GSA並表示，「FedRAMP」的正式運作，將解決美國政府在雲端產品及服務需求上，因各自導入之標準不一致所導致的系統相容性問題、重複投資浪費，並可降低各政府機關自行進行風險評估及管理相關系統所耗費的人力、金錢成本。預估該計畫可為美國政府節省高達40%的預算及費用，預期效益相當可觀。 「FedRAMP」的目的是要為全國政府機關針對雲端產品與服務的風險評估、授權管理以及持續監控等標準作業規範，建立一套可遵循之依據。未來所有雲端產品的服務提供者，都必須遵守及達到該計畫的標準規範，才能為美國政府機關提供雲端產品及服務。 貳、重點說明 「聯邦風險與授權管理計畫」主要由預算與管理辦公室（Office of Management and Budget, OMB）負責組織預算與管理；聯邦資訊長（the Federal Chief Information Officer，CIO）負責跨部門的整合；國土安全部(Department of Homeland Security, DHS)負責網際網路的監控與分析；總務管理局(General Services Administration, GSA) 則建立FedRAMP之架構與程序，並成立計畫管理辦公室（ Program Management Office， PMO）負責FedRAMP之操作與管理；以及國家科技研究所(National Institute of Science and Technology, NIST)負責提供技術分析與標準；最後由國防部(Department of Defense, DoD) 、國土安全部、總務管理局，組成共同授權委員會（Joint Authorization Board, JAB），負責對服務提供者的授權與定期檢視。 FedRAMP制度的精神在於「作一次並重複使用」（Do once ,Use Many Times），同一內容的雲端服務，透過FedRAMP，僅須經過一次的評估與授權，即得被多個機關所採用。早期各機關重複檢驗同一廠商的同一服務之安全性，造成資源浪費的問題，將可獲得解決。當其他機關欲採用雲端服務時，可透過FedRAMP，免去再一次的評估與驗證。 FedRAMP主要由第三方評估機構、對服務提供者的評估、以及持續監督與授權等三個部份所構成，簡單介紹如下： 一、第三方評估機構的認證 FedRAMP的特殊之處，在於雲端服務提供者應由通過FedRAMP認證的第三方評估機構（3PAO）來進行審查，而第三方評估機構欲通過認證，除了要符合FedRAMP的需求外，還必須具備雲端資訊系統的評估能力、備妥安全評估計畫、以及安全評估報告等，另外亦同時引進了ISO/IEC17020作為評估機構的資格。其認證程序如下： （一）申請檢視 機構首先必須符合ISO/IEC 17020 檢驗機構的品質與技術能力，並且自行檢視FedRAMP網站上的申請表，自行檢視是否合乎要求，然後決定是否提出申請。 （二）完成要求 機構須分別完成申請表所要求的系統安全計畫（system security plan, SSP）、系統評估計畫（system assessment plan, SAP）、安全評估報告（security assessment report, SAR）。於完成後向計畫管理辦公室提出申請。 （三）審查 在接受申請後，總務管理局會與ISO網路安全專家共同組成「專家審查委員會」（Expert Review Board , ERB），審查該申請。 （四）決議 審查完畢後，FedRAMP計畫管理辦公室（PMO）會檢視ERB的意見，決議是否通過該申請。 於通過申請後，該機構將會被列入FedRAMP官方網站（www.FedRAMP.gov）的第三方評估機構名單，目前為止，陸續已有十五個機構通過共同授權委員會的授權，日後得對雲端服務商進行評估。 二、對雲端服務提供者的評估 在「聯邦風險與授權管理計畫」的機制設計中，政府機關或雲端服務提供者任一方，皆可提出申請（Request）啟動雲端服務的安全性評估（Security Assessment）程序，此程序中共有四個主要階段： （一）提出申請 在申請人將所須文件初步填寫完畢之後，計畫管理辦公室（PMO）即會指派資訊系統安全官（Information Systems Security Officer, ISSO）進行指導，使之得進行安全控制、出具必要文件、並實施安全測試。之後，PMO會與雲端服務提供者簽署協議，並要求相關機關實施對雲端服務系統的安全性測試。 （二）檔案安全控管 雲端服務提供者必須作成系統安全計畫（System Security Plan, SSP），表明安全控制之實施方法，及其相關文件如IT系統永續計畫（IT Contingency Plan）、隱私衝擊調查（Privacy Impact Questionnaire），並送交ISSO進行審查，再由雲端服務提供者就對審查意見予以回覆之後，由ISSO將案件送至共同授權委員會（Joint Authorization Board, JAB）進行審查，以確認所提交的SSP安全措施符合雲端系統所需。 （三）進行安全測試 服務提供者與第三方評估機構（Third Party Assessment Organization, 3PAO）簽約，且由PMO約集雲端服務提供者與3PAO，確認雙方對於安全測試實施的期待與時程，再由3PAO獨立進行該雲端系統測試，並完成安全評估報告（Security Assessment Report, SAR），闡述評估結果並確認所暴露的風險。雲端服務提供者針對此評估結果，作成行動與查核點報告（Plan of Action & Milestones (POA&M)），以提出矯正弱點與殘餘風險（residual risks）的措施、資源與時程規劃。 雲端服務提供者再將前述SAR與POA&M提交予PMO，由JAB決定是否接受該弱點及其修正計畫，或者提出修正建議。倘若JAB可接受該弱點及其他因應措施，則由ISSO通知雲端服務提供者即將進入安全評估的最後階段。 （四）完成安全評估 雲端服務提供者將所有安全控制相關文件彙成單一的安全評估方案，並提出證明將確實執行其安全控制措施。由JAB檢視此方案，並作出最終決定是否授予「附條件之授權」（Provisional Authorization）。得到此授權的雲端服務提供者名單，將會被列在FedRAMP官方網站上。倘若雲端服務提供者未獲得此授權，PMO會指導如何進行重新申請。 三、持續的評估與授權 持續的評估與授權（ongoing Assessment and Authorization, A&A）通常也被稱為持續監控（Continuous Monitoring），在FedRAMP中第三個也是最後一個流程，透過持續的評估與授權機制，來確保雲端服務提供者持續的安全性授權。其中包含了三個主要層面： （一）操作的能見度 操作能見度的目標，是藉由自動化的方式來減少政府機構在監督作業上的行政耗費。亦即雲端服務提供者透過自動化的資料提供、定期提交具體控制的證據文件、以及年度自我認證報告等安全控制措施來說明操作的能見度，而不必政府機構另行要求。 （二）變更控制程序 雲端服務提供者更新她們的系統是常有的事，此處的變更控制程序並非針對例行性的維修或變更，而是要求若有發生影響臨時性授權或的顯著變更時，服務提供者必須提供此種具衝擊性變更的有效資訊，使FedRAMP得以評估此變更的影響與衝擊。 （三）事件回應 事件回應方面聚焦於新風險和漏洞的因應，服務提供者在發現影響授權的新風險或漏洞時，應向機構說明其針對保持系統安全的因應對策與作法。 參、事件評析 在各國紛紛投入雲端運算的推動熱潮中，我國也不能在此項產業推動中缺席。2010年4月，行政院科技顧問組（現已改組為行政院科技會報）責成經濟部，研擬「雲端運算產業發展方案」；2011年5月，行政院研究發展考核委員會亦公布了「第四階段電子化政府計畫」，在內部運作管理面向，將運用新興雲端運算技術推動以全國性的政府雲端應用服務，減少機關重複開發成本，並達成節能減碳效果。 雲端的安全問題，無論在私人企業或政府部門，均為選擇導入雲端服務的第一要務，「第四階段電子化政府計畫」中亦指出第四階段電子化政府將以雲端資安防護推動為重點，運用雲端運算技術，創新資安服務價值，確保政府資通安全防護。 然而，在服務提供者的安全性方面，我國並沒有像美國FedRAMP計畫般適度地提供服務提供者的安全性保證。對此，我國可借鏡各國的作法，適度的以透過公正第三方機構驗證，來消除雲端服務安全性的疑惑，並推動一個公開的平台，將通過驗證的廠商公布出來，提供公部門甚至私人企業作選擇，不僅可免去同一服務廠商不斷重複驗證的麻煩，亦可削減選擇上的難題，並藉此發展雲端資安技術與推動雲端產業，使我國的雲端環境能夠更臻成熟。