歐盟執委會發布聲明將協助全球紓困以對抗新冠病毒
歐盟執委會（European Commission, EC）於2020年4月8日發布新聞稿，說明歐盟將制定紓困計劃，投入資金支援全球盟國對抗新冠肺炎。歐盟的行動將側重於解決急迫的衛生問題以及人道主義需求，加強盟國的健康、供水和公共衛生環境，及協助盟國發展對抗流行病的研究和準備能力，減輕疾病對國家經社之影響。
此次計劃立基於「Team Europe」，「Team Europe」是歐盟執委會因應疫情採取全球及跨境協調的紓困方案，強調整併來自歐盟、歐盟成員國及金融機構──特別是歐洲投資銀行（European Investment Bank, EIB）和歐洲復興開發銀行（European Bank for Reconstruction and Development, EBRD）──的資金，提供全球盟國立即而精準的援助，目前已投資超過156億歐元的資金。而在此次全球紓困中，歐盟短期面提供盟國資金，長期面則協助解決盟國因疫情引發的社會經濟問題。
本次紓困計畫區分為三大部分，分別為：
- 5.02億歐元用於應急行動（Emergency response actions）：包括提供資金生產個人防護設備和醫療設備、降低各國出口障礙以確保供應鏈完整（特別是基本醫療用品和藥品的供應鏈）及支援聯合國和世衛的相關應對政策等；
- 28億歐元用於支援社會研究、衛生系統與供水系統：支援盟國建立反應快速的衛生和社會保護體系、對疫情嚴重國家進行疫苗配送與補貼、專家培訓和流行病學監測（epidemiological surveillance），並且強化非洲、拉丁美洲、加勒比海地區以及亞太地區的區域衛生組織發展。
- 122.8億歐元針對疫情後經濟和社會影響進行紓困：提供盟國直接預算和優惠資金、由歐洲投資銀行提供盟國公部門貸款（特別是醫療保健設備用品之貸款）以及透過國際貨幣基金組織（International Monetary Fund, IMF）對西巴爾幹地區及鄰國提供金融援助等。
本文為「經濟部產業技術司科技專案成果」
劉芷宜
法律研究員 編譯整理
歐盟COVID-19疫情位置資料和接觸追蹤工具使用指引，資訊工業策進會科技法律研究所，https://stli.iii.org.tw/article-detail.aspx?tp=5&i=180&d=8458&no=67（最後瀏覽日：2020/05/04）。
歐盟資料保護工作小組修正通過「個人資料侵害通報指引」 資訊工業策進會科技法律研究所 法律研究員 李哲明 2018年3月31日 壹、事件摘要 因應歐盟「通用資料保護規則」（The General Data Protection Regulation，或有譯為一般資料保護規則，下簡稱GDPR）執法即將上路，針對個人資料侵害之通報義務，歐盟資料保護工作小組（Article 29 Data Protection Working Party, WP29）特於本（2018）年2月6日修正通過「個人資料侵害通報指引」（Guidelines on Personal data breach notification under Regulation 2016/679），其中就GDPR所規範個資侵害之定義、對監管機關之通報、與個資當事人之溝通、風險及高風險評估、當責與紀錄保存及其他法律文件所規定之通報義務等，均設有詳盡說明與事例。 貳、重點說明 一、何謂個資侵害？個資侵害區分為哪些種類？ 依據GDPR第4條（12）之定義，個資侵害係指：「個人資料因安全性之侵害所導致意外或非法之毀損、喪失、修改、未經授權之揭露、存取、個資傳輸、儲存或其他處理。」舉例來說，個人資料之喪失包括含有控制者（controller）顧客資料庫的備份設備之遺失或遭竊取。另一例子則為整份個資的唯一檔案遭勒索軟體加密，或經控制者加密，但其金鑰已滅失。依據資訊安全三原則，個資侵害之種類區分為： 機密性侵害（Confidentiality breach）：未經授權、意外揭露或獲取個人資料。 完整性侵害（Integrity breach）：未經授權或意外竄改個人資料。 可用性侵害（Availability breach）：在意外或未經授權之情況下，遺失個人資料存取權限或資料遭銷燬。 二、何時應為通知？ 按GDPR第33條（1）之規定，當個資侵害發生時，在如果可行之情況下，控制者應即時（不得無故拖延）於知悉侵害時起72小時內，依第55條之規定，將個資侵害情事通報監管機關。但個資侵害不會對自然人之權利和自由造成風險者，不在此限。倘未能於72小時內通報監管機關者，應敘明遲延之事由。 三、控制者「知悉」時點之判斷標準為何？ 歐盟資料保護工作小組認為，當控制者對發生導致個人資料侵害的安全事件達「合理確信的程度」（reasonable degree of certainty）時，即應視為其已知悉。以具體事例而言，下列情況均屬所謂「知悉」： 在未加密個人資料的情況下遺失USB密鑰（USB Key），通常無法確定是否有未經授權者將獲致存取資料權限。即使控制者可能無法確定是否發生機密性侵害情事，惟仍應為通知，因發生可用性侵害之情事，且已達合理確信的程度。 故應以控制者意識到該密鑰遺失時起為其「知悉」時點。 第三人通知控制者其意外地收到控制者的客戶個人資料，並提供該揭露係未經授權之證據。當侵害保密性之明確證據提交控制者時，即為其「知悉」時點。如：誤寄之電子郵件，經非原定收件人通知寄件者之情形。 當控制者檢測到其網路恐遭入侵，並針對其系統進行檢測以確認個人資料是否遭洩漏，嗣後復經證實情況屬實，此際即屬「知悉」。 網路犯罪者在駭入系統後，聯繫控制者以索要贖金。在這種情況下，控制者經檢測系統並確認受攻擊後，亦屬「知悉」。 值得注意的是，在經個人、媒體組織、其他來源或控制者自我檢測後，控制者或將進行短暫調查，以確定是否發生侵害之事實。於此調查期間內所發現之最新侵害情況，控制者將不會被視為「知悉」。然而，控制者應儘速展開初步調查，以形成是否發生侵害事故之合理確信，隨後可另進行更詳盡之調查。 四、共同（聯合）控制者之義務及其責任分配原則 GDPR第26條針對共同控制者及其如何確定各自之法遵義務，設有相關規定，包括決定由哪一方負責遵循第33條（對主管機關通報）與第34條（對當事人通知）之義務。歐盟資料保護工作小組建議透過共同控制者間之契約協議，約明哪一方係居主要地位者，或須負責盡到個資侵害時，GDPR所定之通知義務，並載於契約條款中。 五、通報監管機關與提供資訊義務 當控制者通報監管機關個資侵害情事時，至少應包括下列事項 （GDPR第33條（3）參照）： 敘述個人資料侵害之性質，包括但不限於所涉之相關個資當事人、個資紀錄及其類別、數量。 傳達資料保護長（DPO）或其他聯絡人之姓名與聯絡方式，俾利獲得進一步資訊。 說明個資侵害可能之後果。 描述控制者為解決個資侵害業已採取或擬採行之措施，在適當情況下，酌情採取措施以減輕可能產生之不利影響。 以上乃GDPR要求通報監管機關之最基本事項，在必要時，控制者仍應盡力提供其他細節。舉例而言，控制者如認為其處理者係個資侵害事件之根因（root cause），此時通報並指明對象即可警示委託同一處理者之其他控制者。 六、分階段通知 鑒於個資事故之性質不一，控制者通常需進一步調查始能確定全部相關事實，GDPR第33條（4）爰設有得分階段通知（notification in phases）之規定。凡於通報時，無法同時提供之資訊，得分階段提供之。但不得有不必要之遲延。同理，在首次通報後之後續調查中，如發現該事件業已受到控制且並未實際發生個資侵害情事，控制者可向監管機關為更新。 七、免通報事由 依據GDPR第33（1）條規定，個資侵害不會對自然人之權利和自由造成風險者，毋庸向監管機關通報。如：該遭洩露之個人資料業經公開使用，故並未對個人資料當事人構成可能的風險。 必須強調的是，在某些情形下，未為通報亦可能代表既有安全維護措施之缺乏或不足。此時監管機關將可能同時針對未為通報（監管機關）或通知（當事人），以及安全維護措施之缺乏或不足，以違反第33條或（及）34條與第32條等獨立義務規定為由，而依第83條4（a）之規定，併予裁罰。 參、事件評析 一、我國企業於歐盟設有分支機構或據點者，宜指派專人負責法遵事宜 揆諸GDPR前揭規定，當個資侵害發生時，控制者應即時且不得無故拖延於知悉時起72小時內，將個資侵害情事通報監管機關。未能履踐義務者，將面臨最高達該企業前一會計年度全球營業額之2%或1千萬歐元，取其較高者之裁罰。我國無論金融業、航運業、航空運輸業、電子製造業及進出口貿易業者等，均或有於歐盟成員國境內或歐洲經濟區（European Economic Area）當地設立子公司或營業據點。因此，在GDPR法遵衝擊的倒數時刻，指派具瞭解GDPR規定、當地個資隱私法遵規範、擅長與隱私執法機構溝通及充要語言能力者專責法遵業務實刻不容緩。蓋此舉可避免我國企業母公司鞭長莫及，未能及時處置而致罹法典之憾。 二、全面檢視個資業務流程，完備個資盤點與風險評鑑作業，掌握企業法遵現況 企業應全面檢視業務流程，先自重要核心業務中析出個資作業流，搭配全面個資盤點，並利用盤點結果進行風險評鑑，再針對其結果就不同等級之風險採行相對應之管控措施。此外，於全業務流程中，亦宜採行最小化蒐集原則，避免蒐集過多不必要之個人資料，尤其是GDPR所定義之敏感個資（如：種族、民族血統、政治觀點、宗教信仰、哲學信仰、工會會員資格等個人資料，及遺傳資料的處理，用於識別特定自然人之生物識別資料、健康資料、性生活、性取向等）或犯罪前科資料，俾降低個人資料蒐集、處理、利用、檔案保存及銷燬之全生命週期流程中的風險。此舉亦契合我國個人資料保護法第5條所揭櫫之原則。 三、立法要求一定規模以上之企業須通過個資隱私法遵第三方認（驗）證，並建置認證資訊公開平台 鑒於國際法遵衝擊以及隱私保護要求之標準線日漸提升，我國企業除自主導入、建置並維運相關個資保護與管理制度以資因應，更有賴政府透過法令（如：修正個人資料保護法）強制要求一定規模以上之企業通過第三方專業驗證，俾消弭風險於日常準備之中。蓋我國具一定規模以上企業，無論其係屬何種業別，一旦違反國際法遵要求，遭致鉅額裁罰，其影響結果將不僅止於單一企業，更將嚴重衝擊該產業乃至於國家整體經貿發展。職是，採法律強制要求企業定期接受獨立、公正及專業第三方認（驗）證，咸有其實益性與必要性。
英國隱私團體主張eBay違反資料保護法英國隱私團體「隱私國際」（ Privacy International ，以下簡稱： PI ），於日前向英國「資訊官長辦公室」提出控告（ Information Commissioner's Office ，以下簡稱： ICO ），主張英國 eBay 提供的網路拍賣服務，阻撓使用者刪除註冊之個人資料，構成不公平之個人資料處理，違反英國資料保護法 (Data Protection Act) 。 由於 eBay 針對使用者資料之利用除一般註冊資料維護外，還有一個 VeRO 方案，參與此方案的使用者，其使用者 ID 、姓名、地址、電話號碼、電子郵件信箱以及公司名稱等基本資料將會在 eBay 自行判斷有必要用於調查詐欺、智慧財產權侵害或是其他非法活動時被公開，因此， PI 於聲明中主張，「刪除個人資料」功能與該網站之使用者之利益關聯甚鉅。 而「刪除帳號」項目已為多數網際網路服務所預設的帳號管理功能之一，經由 PI 人員實際使用 eBay 網站，窮盡各種搜尋方法，方於「帳戶資訊與付款」 (account information & billing) 項目找到關閉帳戶的選項， PI 指出，一般合理的使用者無法花費大量時間與方法搜尋網站各項功能， eBay 此一行為明顯是為了該公司之利益特意將該功能加以隱藏，以杜絕多數使用者對該項功能的利用，故向 ICO 提出控告。 PI 並指出，未來將對歐洲、美洲及亞洲各主要網站進行類似的調查。
歐盟知識產權報告顯示智慧財產權對於企業經濟績效具有正相關歐盟智慧財產局（European Union Intellectual Property Office, EUIPO）與歐洲專利局（European Patent Office, EPO）於2021年2月所發布的研究報告「智慧財產權與企業績效」（Intellectual property rights and firm performance in the European Union）中，調查了歐盟成員國，總數超過12萬間公司，分析擁有智慧財產權（包含發明專利、設計專利與商標）跟未擁有智慧財產權的企業表現。 該研究報告分析結果顯示，擁有智慧財產權的企業經濟績效優於無智慧財產權的企業，平均來說擁有智慧財產權企業的員工工資比無智慧財產權企業的員工工資高19%，人均收入則平均高20%，這情況在中小企業更為明顯，擁有智慧財產權的中小企業比起無智慧財產權的中小企業，人均收入約高68%，再以擁有不同類型的智慧財產權進行區分，擁有發明專利的企業，其員工工資約高53%，收入約高36%，擁有設計專利的企業，其員工工資約高30%，收入約高32%，擁有商標的企業，其員工工資約高17%，收入約高21%。 該研究報告的內容尚無法找出智慧財產權有助於提升企業經濟績效的關鍵證據，但已呈現出智慧財產權與企業經濟績效之間具有正相關的趨勢，也凸顯出中小企業利用智慧財產權的巨大潛力。 「本文同步刊登於TIPS網站（https://www.tips.org.tw ）」
WIPO發表新冠肺炎防疫政策資訊追蹤平台，指出部分會員國已採取強制授權世界智慧財產組織（World Intellectual Property Organization, WIPO）於2020年5月5日發表WIPO新冠肺炎防疫政策資訊追蹤平台（WIPO COVID-19 IP Policy Tracker），方便民眾追蹤新冠肺炎期間，各國的智慧財產權應對措施變化。WIPO全球專利資料庫PATENTSCOPE也推出新檢索功能，以便對已公開的專利文獻進行定位和檢索，這些資訊對創新者研發對抗COVID-19疫情的新技術有所幫助。作為領導並推廣智慧財產權的國際組織，WIPO推出的新冠肺炎防疫政策資訊追蹤平台是一個資料庫，目標是讓利害關係人了解新冠肺炎期間各國相應的智慧財產權政策調整。各個主管機關推出的政策包含延長或寬限繳費期限、採取特殊措施，如強制授權（Compulsory Licenses）。 WIPO新冠肺炎防疫政策資訊追蹤平台有一個「自主行動專區」，指出不少機構、企業、和私部門中的智慧財產權所有權人，採取大量自主行動措施，用以緩解危機。其中包含著作權、專利等。值得一提的是由史丹佛Mark Lemley教授領銜主導的Open COVID Pledge，此計畫委員會由許多科學家、律師、企業家組成，號召產學研各領域透過開放智慧財產權，作為防疫之用。初始加入Open COVID Pledge的產業界夥伴包含Facebook、Amazon、Intel、IBM、Microsoft等科技巨頭，UBER、AT&T等亦從善如流。其中，連續27年蟬聯美國專利榜榜首的IBM，在2023年12月31日前免費提供80,000項專利。微軟則是透過技術和創新來追蹤疾病並開發解決方案，如：AI for Health、Bing COVID-19 Tracker。