歐盟執委會提出資料治理與資料政策
歐盟執委會提出資料治理與資料政策
資訊工業策進會科技法律研究所
2020年10月12日
歐盟執委會(European Commission，以下簡稱執委會)於2020年7月提出「資料治理與資料政策」(Data Governance and Data Policies at the European Commission)[1]，旨在說明歐盟執委會將如何透過資料治理及相關政策，轉型為資料驅動型組織(data-driven organization)，並提供一致的方向或原則，促進執委會下各政務總署(Directorate-General)及事務部門(Service Department)(以下簡稱相關部門機構)之資料共享。
壹、背景目的
「促成歐洲適應數位時代，並使執委會成為完全數位化、具敏捷性、靈活性與透明性的歐盟組織」是執委會現任主席Ursula von der Leyen所提出的2019年至2024年政策願景之一[2]。隨著數位化發展，透明(transparent)、循證式(evidence-based)的決策需運用人工智慧資料分析技術，「資料」是直接影響人工智慧運用於政策決定的關鍵要素。欲提升人工智慧運用結果被信賴的程度，首先必須有可查找(findable)、可近用(accessible)、可互通(interoperable)、安全(secure)且高品質(high-quality)的資料。歐盟機構內部資料、資訊與知識的共享與治理，有助於此願景之達成。
因此，執委會提出「資料治理與資料政策」，建立執委會統一的資料治理架構與政策原則，幫助執委會轄下相關部門機構共同遵循資料管理(data management)、資料近用、資料保護、智慧財產權、資訊安全等相關法律與監理要求。同時，執委會亦期能藉此優化資料建立(creation)、蒐集(collection)、取得(acquisition)、存取(access)、利用(use)、處理(processing)、共享(sharing)、保存(preservation)與刪除(deletion)等資料生命週期必經流程，改善資料品質，提升資料管理及共享之效率。
貳、內容摘要
「資料治理與資料政策」的適用範圍為執委會及其相關部門機構所擁有、利用或再利用的資料集，包括政策決定所使用的資料、行政資料與個人資料。在「資料治理與資料政策」的執行上，則導入「遵守或解釋」(comply-or-explain)原則，除非法律明示規定為選擇性適用，否則執委會轄下相關部門機構皆需遵守；倘未遵守，則需就無法遵守的原因提出解釋。以下分別就「資料治理」與「資料政策」兩大部分重點說明。
一、資料治理
主要目的在建構執委會統一的資料治理架構，釐清相關角色的責任與相互依賴關係。依角色與任務的不同，執委會將資料治理分為三層級，並由秘書總署集體治理團隊(Secretariat-General corporate governance team)支援三層級的執行工作。
（一）策略層級(strategic level)
由資訊管理指導委員會(Information Management Steering Board, IMSB)，處理資料治理與資料政策相關議題，界定長期推動願景、提供政策方向、監督推動與執行之進程，並作出策略決定。
（二）管理階層(managerial level)
由資料議題相關的組織、委員會、團體所組成之資料協調小組(data coordination groups)、各地區資料聯絡窗口(local data correspondent)、執委會各相關部門機構下的資料治理委員會(data governance board)，以及策略層級就各資料集所指定之資料擁有者(data owner)，依策略層級所提出之願景與政策方向，在各處建立並執行資料政策、監督執行進度，並向策略層級報告執行進度及任何超出其決策權限之問題。
（三）運作階層(operational level)
由資料擁有者選出或指派資料管理員(data steward)，並與資料利用者(data user)實際執行資料政策，必要時將相關議題提到管理層級解決。
二、資料政策
就資料管理(data management)、資料互通性與標準(data interoperability and standards)、資料品質(data quality)、資料保護與資訊安全(data protection and information security)等核心面向，建立上位原則。
其中關於「資料管理」部分，又依資料生命週期細分。例如在「資料集建立、蒐集或取得」方面採取一次性原則，故執委會轄下相關部門機構在建立、蒐集或取得資料之前，需探詢必要資料或資訊是否已存在，避免重複取得。主要需求資料集的部門機構，應協助讓其他執委會相關部門機構或歐盟機構也獲得使用該資料集之權利。又例如「資料集存取、使用與共享」方面，除非歐盟相關的執委會決定、指令或規則另有規定[3]，否則以「需要共享」(need to share)或「預設共享」(share by default)為原則，並使用一致化的資料管理與視覺化工具或資料平台。
針對「資料互通性與標準」與「資料品質」兩部分，著重在執委會內部的共通一致性，包括資料格式、資料相關詞彙、資料品質的定義與量測等。而在「資料保護與資訊安全」方面，則強調「歐盟機關個人資料保護規則」[4]相關義務，以及歐盟資料保護監督機關(European Data Protection Supervisor, EDPS)所提相關指引之遵循。
參、簡析
觀察歐盟執委會的「資料治理與資料政策」，可知其資料治理架構與相關政策，是以形成一個資料共享再利用生態系為藍圖。除了強調資料一次性建立及資料預設共享等原則，更從組織管理角度，界定不同單位或角色的任務與責任，並凸顯資料治理管理組織的建構，對資料政策執行之重要性。
我國政府長期致力於數位國家之發展，在政府資料開放政策推動上已有不少成果，例如建立政府資料開放平台、訂定各級機關資料開放作業原則、統一資料開放格式等。為持續厚植數位國家的資料應用能量，建議未來可進一步完善政府資料治理構面，兼納「政府對民眾之資料開放」及「公務機關間之資料共享」等面向，借鏡歐盟執委會之作法，確立資料共享再利用之管理架構及原則，提升政府資料應用的效率與效能。
[1] EUROPEAN COMMISSION, Data Governance and Data Policies at the European Commission (2020), https://ec.europa.eu/info/sites/info/files/summary-data-governance-data-policies_en.pdf (last visited Oct. 5, 2020).
[2] See Ursula von der Leyen, My Agenda for Europe: Political Guidelines for the Next European Commission 2019-2024 (2019), https://ec.europa.eu/commission/sites/beta-political/files/political-guidelines-next-commission_en.pdf (last visited Oct. 8, 2020).
[3] 例如歐盟執委會決定Commission Decision 2011/833/EU、歐盟規則Regulation (EC) No 1049/2001及歐盟指令Directive (EU) 2019/1024等，有關近用歐盟資料之例外規定。
[4] Regulation on the Protection of Natural Persons with regard to the Processing of Personal Data by the Union Institutions, Bodies, Offices and Agencies and On the Free Movement of Such Data, and Repealing Regulation (EC) No 45/2001 and Decision No 1247/2002/EC, Council Regulation 2018/1725, 2018 O.J. (L295) 39.
歐盟個資保護委員會（EDPB）今（2021）年9月27日，就與南韓個人資料保護法（Personal Information Protection Act, PIPA）之適足性認定草案發表意見，認為南韓的個資保護框架與歐盟大致相同。但EDPB 同時也指出，在歐盟執委會做出決定之前，某些部分仍需要釐清。釐清的部分包含： 今年6月歐盟執委會公布並通過的適足性認定草案中，該草案之可執行性與有效性不應僅拘束南韓個資保護機構，也應對司法機構具有效力。除此之外，EDPB 也針對南韓PIPA 免除多項匿名化資訊之義務提出質疑；又南韓相關法令對「同意」之撤銷（或撤回）事由有所限定，應確保其對資料主體「同意」之保障持續符合適足性認定的要求。 至於在資料進一步移轉（onward transfers）方面，EDPB 認為即便資料主體知悉並同意其個資傳輸，仍應告知其資料是否會移轉到第三國之相關風險；以及若個資主體的同意無法符合GDPR 對有效同意之定義時（例如雙方地位不對等時，該同意即非有效），該個資不會從南韓之資料控管者傳輸至第三國；在對此議題南韓未具體修訂相關法令時，與國安相關的個資若進一步移轉，是否會受到憲法框架（如比例原則）和PIPA 中個資保護原則的充分保障？ 而在行政部門存取傳輸到南韓的個資方面，許多議題也需要釐清並引起關注。如與國安方面相關的個資處理，係受PIPA 抑或其他更為限縮的法令限制？又電信業者自願向國安部門揭露使用者個資時，必須同時通知相關的個資主體；EDPB 並希望歐盟執委會釐清，若歐洲經濟區（EEA）內的個人向南韓個資保護機構或司法機構提出救濟時，相關的救濟程序是否實質有效（例如舉證責任的規定為何）？ 於新聞稿中，EDPB 主席 Andrea Jelinek 表示：「歐盟對此適足性認定相當重視，因其將涵蓋公部門與私部門資料的傳輸。而適足的個資保護對支持歐盟與南韓的長期關係與個人權利、自由方面至關重要。雖然EDPB 認為南韓的個資保護框架與歐盟大致相同，然仍建議歐盟執委會密切關注適足性認定的各方發展。」
歐盟數位身分框架政策之相關推動措施概要歐盟數位身分框架政策之相關推動措施概要 資訊工業策進會科技法律研究所 2021年8月30日 歐盟執委會（European Commission）於2021年6月3日公布關於建立歐盟數位身分框架的第910/2014號規則修正案（Proposal for a REGULATION OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL amending Regulation （EU） No 910/2014 as regards establishing a framework for a European Digital Identity）[1]，規劃於2022年9月前提供歐盟境內人民數位身分證明之服務。 壹、事件摘要 為落實歐盟「2030數位羅盤」（2030 Digital Compass）政策，實現「公共服務數位化」之核心願景，歐盟推行數位身分框架，規劃於2030年前歐盟全境須有80%民眾使用電子身分證，以強化歐盟境內所有民眾（包括身心障礙人士）公共服務之近用權（right of access）。執委會於2021年6月3日公布的數位身分框架修正案，主要係就2014年通過的「歐盟內部市場電子交易之電子身分認證及信賴服務規則」（簡稱eIDAS規則[2]），依據該規則第49條，對其運作情形進行評估（An evaluation of the functioning of the eIDAS Regulation was conducted as part of the review process required by Article 49 of the eIDAS Regulation），同步考量技術、市場發展，針對當中不合時宜之規定為增修，並於2020年7月24日至10月2日進行公眾意見徵詢。 根據修正案內容，會員國必須提供公民和企業數位身分錢包（Digital Identity Wallet），此可透過會員國認可的公務機關或私人企業提供，錢包能夠將國家數位身分識別（national digital identities）與其他個人身分證明（例如駕照、證照、銀行帳戶）進行連結，使歐盟公民和企業能夠經由使用數位錢包來進行身分識別，以方便近用線上服務，例如請求公共服務、開設銀行帳戶、填寫納稅申報表、入住酒店，租車或年齡證明等。該數位身分將在整個歐盟範圍內得到認可，使用者亦可依意願自行決定是否使用此身分識別服務[3]。 貳、重點說明 eIDAS規則作為歐盟境內電子身分識別（identities）、認證（authentication）和網站憑證（website certification）跨境使用的法律基礎架構[4]，此次修正案旨在使各會員國的數位身分（eID）計畫於歐盟境內具互操作性（interoperable），以促進近用線上服務。重點內容如下： 一、會員國所發行歐洲數位身分錢包，須通過歐洲網路安全認證框架內的強制性合規評估（compulsory compliance assessment）和自願認證（voluntary certification）。 二、歐盟數位身分將供歐盟境內所有公民、居民、與企業使用，使用者得以利用數位身分作為識別與驗證其身分之有效工具，以方便近用歐盟之公共與私人數位服務。使用者另可控管其資料分享之廣泛度，意即得以自主決定是否與第三方分享特定個人資料，並可追蹤其資料之後續利用。 三、賦予個人電子身分證明（electronic attestations of attributes），如醫療證書或專業資格等電子證書的法律效力，並確保對源自個人身分資料和個人電子身分證明的身分驗證和真實來源驗證，以防止欺詐。 四、擴大跨境eID計畫的相互承認，降低各會員國於電子身分識別服務的差距；並加強信賴服務提供的整體監管框架，針對信賴服務提供商（trust service providers），新增為管理遠端電子簽章和封條（seal）產製設備（creation devices）所建立的新合格信賴服務（Qualified Trust Service, QTS）類型。 五、新增電子帳本（electronic ledgers）的信賴服務框架；電子帳本可為用戶提供交易和資料紀錄排序的證明和不可竄改的稽核軌跡（audit trail），能保障資料完整性。資料完整性對於匯集來自分散來源的資料、自主身分解決方案（self-sovereign identity solutions）、將所有權歸屬於數位資產與記錄業務流程等具備重要性，此有助實現更加去中心化（decentralized）的治理模式，並使多方合作成為可能。 六、於數位服務法案（Digital Services Act）中所定義的超大型線上平台（very large online platforms），將被要求透過歐洲數位身分錢包驗證其線上服務使用者身分。 參、事件評析 歐盟數位身分框架修正案，旨在解決 eIDAS 規則部分瑕疵，以順應市場動態和技術發展，包含承認電子身分證明、電子帳本之法律效力，擴增新合格信賴服務類型等，並作為歐盟建立數位身分認證政策的基礎規範，確保使用者於近用私人或公共服務時，可透過具高度安全和具信賴性的信賴服務進行身分識別。歐盟數位身分框架修正案目前於歐洲議會（European Parliament）內已送交產業、研究暨能源委員會（Industry, Research and Energy Committee, ITRE）進行審議[5]，值得持續追蹤其未來發展。 近來受新冠肺炎（COVID-19）保持社交距離影響，推動企業朝數位轉型發展；執行遠距辦公政策，亦加速使用電子文件、電子簽章等數位工具。而我國電子簽章法作為促進電子商務領域發展之重要規範，自2002年4月1日起正式施行後至今未為修訂，實務上已有衍生相關適用疑義。如電子簽章法有針對電子簽章和數位簽章為層級化分類，並對於數位簽章之技術有一定規範，惟未賦予相異之法律效力，使得其區分不具太大效益。建議可參酌eIDAS規則中，對於信賴服務提供者區分為不同層級規範，並給予經主管機關審核通過之合格信賴服務提供者，所提供的信賴服務具有更高的法律效力。 此外，我國欲推行數位身分證（New eID）政策，提供我國人民網路上身分識別之證明，連結政府骨幹網路（T-Road）串接各類電子政府服務，提升民眾近用公共服務的便利性，惟後續因安全性、法源依據等爭議而暫緩推行[6]。故建議我國相關主管機關可參酌歐盟數位身分框架修正案，考量因應科技革新、商業模式創新等要素，對於身分識別相關規範進行修正與更新，以促進電子化政府及電子商務之發展，提供更具安全與信賴性的身分認證法律框架。 [1] Proposal for a REGULATION OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL amending Regulation （EU） No 910/2014 as regards establishing a framework for a European Digital Identity, EUROPEAN COMMISSION, https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX%3A52021PC0281 (last visited Aug. 24, 2021). [2] Regulation (EU) No 910/2014 of the European Parliament and of the Council of 23 July 2014 on electronic identification and trust services for electronic transactions in the internal market and repealing Directive 1999/93/EC, https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=uriserv%3AOJ.L_.2014.257.01.0073.01.ENG (last visited Aug. 24, 2021). [3] Commission proposes a trusted and secure Digital Identity for all Europeans, EUROPEAN COMMISSION, https://ec.europa.eu/commission/presscorner/detail/en/IP_21_2663 (last visited Aug. 24, 2021). [4] 李姿瑩，〈歐盟eIDAS對國內電子簽章和身分認證規範之可能借鏡〉，《科技法律透析》，第31卷第11期，25-32頁，（2019年11月）；謝明均，簡介〈歐盟提供合格信任服務者依循標準建議〉，科技法律研究所，https://stli.iii.org.tw/article-detail.aspx?no=64&tp=1&d=8687（最後瀏覽日：2021/08/24）。 [5] REVISION OF THE EIDAS REGULATION – EUROPEAN DIGITAL IDENTITY （EUID）, EUROPEAN PARLIAMENT, https://www.europarl.europa.eu/legislative-train/theme-a-europe-fit-for-the-digital-age/file-eid (last visited Aug. 24, 2021). [6]〈暫緩數位身分證發行計畫 蘇揆:完善法制後再推動〉，行政院新聞傳播處，2021/01/21，https://www.ey.gov.tw/Page/9277F759E41CCD91/e80e55a2-0102-4031-b6d3-a7c40f4cac6a （最後瀏覽日：2021/08/24）。
關於中國大陸商標不予註冊事由—在先著作權的認定關於中國大陸商標不予註冊事由—在先著作權的認定 科技法律研究所 法律研究員 林昭如 2014年12月26日 壹、前言 《中華人民共和國商標法》（下稱《商標法》）第32條規定，申請商標註冊不得損害他人現有的在先權利。中國大陸的商標確權案件中，常有以著作權登記證書主張在先著作權。然實務上，在部分情況，單以著作權登記證書證明著作權歸屬，其證明力仍嫌不足。 有一文化用品，將其完成幾乎與畢卡索名畫「夢」完全相同的作品，向上海市版權局申請著作權登記。隨後，亦向國家工商行政管理總局商標局申請商標註冊，指定使用於筆類等商品。國家工商行政管理總局商標評審委員會認為，該商標侵害他人的在先著作權，因而裁定不予核准註冊。該文化用品公司不服，因此向北京市第一中級人民法院提起行政訴訟，主張被異議的商標圖形為原創作品，且已取得上海市版權局之著作權登記證書，然法院表示，畢卡索的《夢》世界聞名，推定有接觸可能；且以被異議商標圖形的著作權登記證書為單一證據，尚無法證明系爭圖形之著作權歸屬於該公司[1]。 由於畢卡索的《夢》世界聞名，法院推定有接觸可能，較無疑問，故本文將分析除了著作權登記證書外，其他可作為著作權歸屬的佐證資料，提供台灣企業為著作產出過程的證據保存與管理之參考。 貳、重點說明 由上述事例案可知，當被推定有接觸據爭著作可能時，縱使已取得著作權登記證書，仍不足證明著作權歸屬。實務上，除了以著作權登記證書證明在先著作權外，亦有以在先商標註冊證，證明在先著作權者，關於其證據力分述如下。 一、著作權登記證書之證據力 最高人民法院《關於審理著作權民事糾紛案件適用法律若干問題的解釋》第7條規定，當事人提供的涉及著作權的底稿、原件、合法出版物、著作權登記證書、認證機構出具的證明、取得權利的合同等，可以作為證據。但，此僅作為登記人擁有該登記作品著作權的初步證明，因登記機關是根據登記人主張的創作完成時間為登記，並未進行創作歷程、有無抄襲等實質審查。 當作品早於系爭商標註冊申請日的著作權登記，若無反證推翻，即可能認定在先著作權成立，具有相對高的證明力。問題在於，晚於系爭商標註冊申請日的著作登記，又無法提出其他證據時，如：創作歷程佐證，即使著作權登記證書所載之創作完成時間，早於系爭商標註冊申請日，仍無法證明為著作人。 二、在先商標註冊證之證據力 實務上，有些圖形商標亦構成《中華人民共和國著作權法》（下稱著作權法）第3條的作品。惟原定既是作為商標使用，故通常僅取得商標註冊證，未另為著作權登記。有依據《著作權法》第11條第4款規定，如無相反證明，在作品上署名的公民、法人或者其他組織為作者。主張以商標註冊證所載之註冊人等資訊，為上揭條文之「署名」。有多件法院判決認為，在先商標註冊不足證明在先著作權成立[2]，原因在於《著作權法》中的「署名」為作者的姓名表示，然商標註冊證所載之註冊人則在於表示商標專用權人，與《著作權法》的姓名表示權意義不同。 參、事件評析 由上述重點說明可知，儘管有著作權登記證書或在先商標權註冊證，在多數情況下，如無其他佐證，仍無法證明在先著作權。著作權登記制度僅具公示力，證明某個著作在某個時點的特定人主張著作權，登記機關以登記人主張的創作完成時點、首次發表時點為準，並不進行實質審查，有可能發生非真正的著作權人進行登記。 故當對造當事人提出證據推翻著作權登記證書的公示資訊時，尚須再提出其他證據，證明作品為自行創作，其方式有： 一、在著作原件署名 依據《著作權法》第11條第4款規定，如無相反證明，即推定作品上之署名為作者。因此推定的效果，對於著作權人而言，在主張在先著作權利時，可以降低舉證責任。 二、保留創作紀錄 此為證明著作為自行創作的最直接證據，例如：工作會議紀錄、草稿、創作使用的素材、創意發想紀錄、依照日期進行不同階段的存檔…等。這些紀錄除可證明為原創，亦可證明是獨立創作而非抄襲他人。 最後，通常原規劃作為商標使用的圖形設計，大多不會進行創作歷程紀錄，甚或在作品署名，他日如有第三人主張在先著作權，往往面臨無法提出證據推翻之窘境，故建議針對具備創作高度而該當著作權保護之標的，比照上述方式，進行創作歷程保留並進行著作權登記，確保權利之取得與維護。 [1]谭乃文，〈商标确权案中的在先著作权〉，国家知识产权战略网，2014/08/29，http://www.nipso.cn/onews.asp?id=22682 (最後瀏覽日：2014/8/29) [2]徐琳，〈商標圖樣的著作權保護之困境與出路—《商標法》保護在先著作權條款的立法精神與審理標準探析〉，《電子知識產權》，第278期，頁54（2014）。
美國參議院提出「2019年物聯網網路安全促進法」草案自2016年Mirai殭屍網路攻擊事件後，物聯網設備安全成為美國國會主要關注對象之一，參議院於2017年曾提出「2017年物聯網網路安全促進法」（Internet of Things Cybersecurity Improvement Act of 2017）草案，防止美國政府部門購買有明顯網路安全性漏洞之聯網設備，並制定具體規範以保護聯網設施之網路安全，然而該法案最終並未交付委員會審議。 2019年4月，美國參議員Mark Warner提出「2019年物聯網網路安全促進法」草案（Internet of Things Cybersecurity Improvement Act of 2019），再度嘗試建立物聯網網路安全監管框架。本法將授權主管機關建立物聯網設備所應具備之安全性條件清單，而該清單將由美國國家標準與技術研究院（National Institute of Standards and Technology）擬定，並由管理與預算局（Office of Management and Budget, OMB）負責督導後續各聯邦機關導入由美國國家標準與技術研究院所制定之網路安全指引。本法草案相較於2017年的版本而言雖較具彈性，惟網路安全專家指出，清單之擬定與執行管理分別交由不同單位主責，未來可能導致規範無法被有效執行，且聯邦各層級單位所需具備之資安防護等級不盡相同，如何制宜亦係未來焦點。