歐盟執委會提出資料治理與資料政策
歐盟執委會提出資料治理與資料政策
資訊工業策進會科技法律研究所
2020年10月12日
歐盟執委會(European Commission，以下簡稱執委會)於2020年7月提出「資料治理與資料政策」(Data Governance and Data Policies at the European Commission)[1]，旨在說明歐盟執委會將如何透過資料治理及相關政策，轉型為資料驅動型組織(data-driven organization)，並提供一致的方向或原則，促進執委會下各政務總署(Directorate-General)及事務部門(Service Department)(以下簡稱相關部門機構)之資料共享。
壹、背景目的
「促成歐洲適應數位時代，並使執委會成為完全數位化、具敏捷性、靈活性與透明性的歐盟組織」是執委會現任主席Ursula von der Leyen所提出的2019年至2024年政策願景之一[2]。隨著數位化發展，透明(transparent)、循證式(evidence-based)的決策需運用人工智慧資料分析技術，「資料」是直接影響人工智慧運用於政策決定的關鍵要素。欲提升人工智慧運用結果被信賴的程度，首先必須有可查找(findable)、可近用(accessible)、可互通(interoperable)、安全(secure)且高品質(high-quality)的資料。歐盟機構內部資料、資訊與知識的共享與治理，有助於此願景之達成。
因此，執委會提出「資料治理與資料政策」，建立執委會統一的資料治理架構與政策原則，幫助執委會轄下相關部門機構共同遵循資料管理(data management)、資料近用、資料保護、智慧財產權、資訊安全等相關法律與監理要求。同時，執委會亦期能藉此優化資料建立(creation)、蒐集(collection)、取得(acquisition)、存取(access)、利用(use)、處理(processing)、共享(sharing)、保存(preservation)與刪除(deletion)等資料生命週期必經流程，改善資料品質，提升資料管理及共享之效率。
貳、內容摘要
「資料治理與資料政策」的適用範圍為執委會及其相關部門機構所擁有、利用或再利用的資料集，包括政策決定所使用的資料、行政資料與個人資料。在「資料治理與資料政策」的執行上，則導入「遵守或解釋」(comply-or-explain)原則，除非法律明示規定為選擇性適用，否則執委會轄下相關部門機構皆需遵守；倘未遵守，則需就無法遵守的原因提出解釋。以下分別就「資料治理」與「資料政策」兩大部分重點說明。
一、資料治理
主要目的在建構執委會統一的資料治理架構，釐清相關角色的責任與相互依賴關係。依角色與任務的不同，執委會將資料治理分為三層級，並由秘書總署集體治理團隊(Secretariat-General corporate governance team)支援三層級的執行工作。
（一）策略層級(strategic level)
由資訊管理指導委員會(Information Management Steering Board, IMSB)，處理資料治理與資料政策相關議題，界定長期推動願景、提供政策方向、監督推動與執行之進程，並作出策略決定。
（二）管理階層(managerial level)
由資料議題相關的組織、委員會、團體所組成之資料協調小組(data coordination groups)、各地區資料聯絡窗口(local data correspondent)、執委會各相關部門機構下的資料治理委員會(data governance board)，以及策略層級就各資料集所指定之資料擁有者(data owner)，依策略層級所提出之願景與政策方向，在各處建立並執行資料政策、監督執行進度，並向策略層級報告執行進度及任何超出其決策權限之問題。
（三）運作階層(operational level)
由資料擁有者選出或指派資料管理員(data steward)，並與資料利用者(data user)實際執行資料政策，必要時將相關議題提到管理層級解決。
二、資料政策
就資料管理(data management)、資料互通性與標準(data interoperability and standards)、資料品質(data quality)、資料保護與資訊安全(data protection and information security)等核心面向，建立上位原則。
其中關於「資料管理」部分，又依資料生命週期細分。例如在「資料集建立、蒐集或取得」方面採取一次性原則，故執委會轄下相關部門機構在建立、蒐集或取得資料之前，需探詢必要資料或資訊是否已存在，避免重複取得。主要需求資料集的部門機構，應協助讓其他執委會相關部門機構或歐盟機構也獲得使用該資料集之權利。又例如「資料集存取、使用與共享」方面，除非歐盟相關的執委會決定、指令或規則另有規定[3]，否則以「需要共享」(need to share)或「預設共享」(share by default)為原則，並使用一致化的資料管理與視覺化工具或資料平台。
針對「資料互通性與標準」與「資料品質」兩部分，著重在執委會內部的共通一致性，包括資料格式、資料相關詞彙、資料品質的定義與量測等。而在「資料保護與資訊安全」方面，則強調「歐盟機關個人資料保護規則」[4]相關義務，以及歐盟資料保護監督機關(European Data Protection Supervisor, EDPS)所提相關指引之遵循。
參、簡析
觀察歐盟執委會的「資料治理與資料政策」，可知其資料治理架構與相關政策，是以形成一個資料共享再利用生態系為藍圖。除了強調資料一次性建立及資料預設共享等原則，更從組織管理角度，界定不同單位或角色的任務與責任，並凸顯資料治理管理組織的建構，對資料政策執行之重要性。
我國政府長期致力於數位國家之發展，在政府資料開放政策推動上已有不少成果，例如建立政府資料開放平台、訂定各級機關資料開放作業原則、統一資料開放格式等。為持續厚植數位國家的資料應用能量，建議未來可進一步完善政府資料治理構面，兼納「政府對民眾之資料開放」及「公務機關間之資料共享」等面向，借鏡歐盟執委會之作法，確立資料共享再利用之管理架構及原則，提升政府資料應用的效率與效能。
[1] EUROPEAN COMMISSION, Data Governance and Data Policies at the European Commission (2020), https://ec.europa.eu/info/sites/info/files/summary-data-governance-data-policies_en.pdf (last visited Oct. 5, 2020).
[2] See Ursula von der Leyen, My Agenda for Europe: Political Guidelines for the Next European Commission 2019-2024 (2019), https://ec.europa.eu/commission/sites/beta-political/files/political-guidelines-next-commission_en.pdf (last visited Oct. 8, 2020).
[3] 例如歐盟執委會決定Commission Decision 2011/833/EU、歐盟規則Regulation (EC) No 1049/2001及歐盟指令Directive (EU) 2019/1024等，有關近用歐盟資料之例外規定。
[4] Regulation on the Protection of Natural Persons with regard to the Processing of Personal Data by the Union Institutions, Bodies, Offices and Agencies and On the Free Movement of Such Data, and Repealing Regulation (EC) No 45/2001 and Decision No 1247/2002/EC, Council Regulation 2018/1725, 2018 O.J. (L295) 39.
日本在促進產學合作，除了A-step計劃外，亦成立了創新中繼站構築援助事業(Support Program for Forming Innovation Hub)與創新中心(COI)等。 創新中繼站構築援助事業，由JST協助國立研發法人推動改革，以強化法人之效能，並做為大學與企業之中繼站，大學主司研究，企業則負責產業化階段，中間點則由JST與國立研發法人一同合作。JST負責召集人才、評定人才並進行創業援助、技術調查與分析。國立研發法人則提供人才培育及交流所需之資源(例如：機具設備的整修與提供，推動研究開發等等)。 創新中心(COI)則是政府預測未來10年之社會變遷及人口結構，再根據未來社會可能之需要，以建立理想社會為目標，通常進行具有高難度、高風險研發之創新中心。目前日本有18個創新中心分佈全國各地，由國家指定企業與大學共同進行，但是研究負責人只能是大學。
美國Farmers Insurance Group在加州以竊取營業秘密為由控告前員工以及Automobile Club of Michigan2017年10月，美國知名保險公司Farmers Insurance Group（下稱Farmers）在加州法院提訴，控告前員工Venkatesh Kamath（下稱Kamath）、前資訊長Shohreh Abedi（下稱Abedi）和競爭對手American Automobile Association（下稱AAA協會）旗下的Automobile Club of Michigan（下稱Auto Club）竊取營業秘密。 Farmers聲稱，於2015年起使用Guidewire Software（下稱Guidewire），以更新其理賠處理和保險服務系統。Kamath因Guidewire業務，接觸到Farmers高度敏感與機密資訊。Abedi前為Kamath上司，曾監督Guidewire計畫初期階段。之後Abedi至Auto Club任職，協助Auto Club轉換使用Guidewire，並挖角包括Kamath在內許多Farmers員工。Kamath離職前，從Farmers電腦中拷貝超過6400份檔案，其中包括與Guidewire計畫及Famers核心業務相關的營業秘密資訊。 Farmers控訴Kamath、Abedi及Auto Club違反加州營業秘密法（California Trade Secret Act）、從事不公平競爭、違反忠實義務及其他事由，除訴請賠償外，也請求法院禁止被告使用其營業秘密。 本案非Farmers與AAA協會首次因營業秘密事宜而對訟。2010年間，Farmers曾控告AAA協會旗下Auto Club Group竊取其投保客戶機密資訊，惟該案當時經法院以Farmers未能證明有何損失或損害為由，駁回其訴。Farmers公司於2017年10月對Auto Club提起的本件訴訟，法院實務的發展為何，值得後續觀察。
歐盟加值稅(EU Value-Added Tax)2015新制簡介歐盟加值稅(EU Value-Added Tax) 2015新制簡介[1] 資策會科技法律研究所 法律研究員 吳建興 105年01月21日 壹、前言 在資通訊科技軟硬體發展下，現已邁向數位匯流的時代，傳統的電信、廣播電視業與網路業的界線已經模糊，而高速寬頻網路及行動載具的普及更促成新興數位內容服務業的發展，進而考驗著傳統經濟稅法的體制。由於數位經濟具有超越國界之特質，在數位經濟中跨境傳輸[2]加值稅之徵收造成很大挑戰[3]，尤其更是對現代國家財政稅造成加深稅基侵蝕及企業利益移轉(BEPS)[4]之危險[5]。因此，歐盟經濟暨財政理事會於2008年通過[6]及公布[7]歐盟新制加值稅法案（VAT Package[8]），法案中關於電信、廣播及電子服務業服務提供地之規定於2015年1月1日正式生效，其目標便是針對數位服務業的加值稅課徵進行改革，以創造一個公平的數位服務市場，迎接數位經濟時代的來臨。 本文以下便就歐盟新制加值稅指令[9]（Council Directive 2008/8/EC）區分為三個方向討論：首先界定加值稅新制影響標的和適用範圍以釐清影響範圍，其次說明改革的重點和規範效果，最後嘗試分析對服務提供者和納稅義務人的影響。 貳、新制適用對象 根據歐盟新制加值稅指令（Council Directive 2008/8/EC）第5條規定[10]，本次新制規範對象限於數位服務業當中所稱之電信(Telecommunications)、廣播(Broadcasting)及電子(Electronic)服務業三大業別。換言之，「貨物的提供」與「電信、廣播及電子服務業之外其它服務業」則不在本次規範範圍中[11]。而所謂電信，廣播及電子服務，根據定義係指： 一、電信服務定義 電信服務是指經由有線、無線、光學或電子磁，為信號、文字、影像、聲音傳輸、發射、接收等服務。這些服務包含轉讓如此傳輸、發射、接收能力。此能力亦包含對全球資訊網路之連結[12]。具體實例如：固定與行動電話服務、視訊電話服務（Videophone）、經由廣播所傳輸訊息服務（paging services）、傳真、電報、網路連接服務及全球資訊網服務[13]。 二、廣播及電視服務定義 廣播及電視服務是指關於聲音，影音內容之服務，諸如基於一電視、廣播節目表，經由通訊網路（Communications Networks），在一媒體服務提供者之編輯責任下，所提供給大眾同時收聽或收看電視或無線廣播節目[14]。具體實例如：線上廣播服務、經由廣播及電視網路所傳輸廣播及電視節目[15]。 三、電子服務定義 依2006年11月之歐盟加值稅指令所指稱之電子服務是指透過網際網路（The Internet）或電子網路（An Electronic Network）所提供的服務，且依此方式所提供的服務性質是完全自動化並涉及人為最小的干涉，且無此資訊技術下便不能確保該服務之提供品質[16]，具體實例如：VOD(Video on Demand)，下載應用軟體（APPs）[17]，線上下載音樂、線上遊戲、電子書、防毒軟體、線上拍賣等[18]。 貳、新制加值稅規範內容 歐盟新制加值稅規範主要內容是重新定義了所謂服務供應地（The place of supply），進而影響加值稅課徵地的認定。依新修正歐盟加值稅指令第58條規定，如電信服務、廣播及電視服務或電子服務業，對消費者提供服務，該服務之供應地為該消費者通常居所或永久居所。因此，歐盟新制加值稅最大改變，是將舊制中關於歐盟境內的電信，廣播，電子服務中B2C部分加值稅課徵地，由服務提供者所在地改為顧客所在地。至於B2B商業模式規範之課徵地，原即為顧客所在地，在此次新制則未調整。換言之，自2015年1月1日起，提供顧客如電信、廣播及電子服務業服務時，其課稅地為顧客所在地[19]。在新制下，係依照數位服務提供者之所在地位於歐盟境內或境外，認定納稅義務人及課稅地。可歸納如下[20]： 一、數位服務提供者在歐盟境內 數位服務提供者提供服務對象為歐盟會員國境內企業時，由該會員國徵收加值稅。加值稅納稅義務人即為接受該服務之企業。 數位服務提供者提供服務對象為歐盟會員國境內消費者時，由消費者所在國徵收加值稅，加值稅納稅義務人為服務提供者。 數位服務提供者提供服務對象為歐盟會員國境外企業或消費者時，數位服務提供者所在國不能徵收加值稅[21]。 二、數位服務提供者在歐盟境外 數位服務提供者提供服務對象為歐盟會員國境內企業時，由企業所在地會員國徵收加值稅，加值稅納稅義務人為接受該服務之企業。 數位服務提供者提供服務對象為歐盟會員國境內消費者時，由顧客所在國徵收加值稅，加值稅納稅義務人為服務提供者。 參、推動建立簡易報稅系統 承上，由於新制將課稅地由服務提供者所在地改為消費者所在地。此使得數位服務業者須向其消費者所在國家進行加值稅註冊登記，並繳納其應繳加值稅稅額。此對於數位內容服務業者而言，將造成龐大行政負擔。舉例而言，如果英國電子服務業者有一位保加利亞顧客在網路上每月支付10歐元作為會員費；根據新制，電子服務提供者需到保加利亞做加值稅登記及繳納，此時除非電子服務提供者學習保加利亞文，親自聯絡稅務當局做登記及繳納，否則繳納上產生相當困難。倘若英國電子服務業之消費者遍及全歐盟會員國，此時該英國電子服務業便須知道歐盟境內各國加值稅稅率及方式，管理成本將成重大負擔。歐盟預見到此不便，故為方便納稅人納稅，便推動建立了簡易型報稅系統（Mini One Stop Shop, MOSS）。歐盟新制加值稅指令[22]允許電信、廣播及電子服務提供業者透過此替代性納稅方式，只需在其企業建立據點之歐盟會員國內，使用MOSS報稅系統此單一線上窗口進行登記、申報及繳納加值稅，經由該MOSS系統即可達到移轉申報金額給相關消費者所在之會員國之功能，免除報稅上之不便。 肆、事件評析 數位時代的來臨，因為網路傳輸無國境，故以數位服務提供者所在地為課稅地已不能滿足數位時代的超越國界特性，以消費者所在地為提供地應是未來之數位時代稅制發展方向。 就歐盟新制加值稅改革旨在建立一公平競爭的數位內容服務市場而言，透過加值稅課徵地的調整，將能促使歐盟數位內容服務提供者已不能選擇將公司據點建立於低加值稅之會員國而提高其競爭力。此項改革不只符合歐盟內部之服務加值稅長期政策，且亦與加值稅改革之?國際潮流接軌。 就臺灣目前之現狀而觀察，在數位內容服務之加值稅徵收上仍有不公平之競爭現象存在於境外數位服務內容提供者與境內的提供者之間。按現行法令，雖加值稅課稅地是以消費者所在地為原則，亦即不論境外及境內之業者所適用之費率均以臺灣的加值稅稅率為主。然而按現行法令，台灣消費者在每一筆交易低於3000元以下得免此納稅義務[23]，因數位內容交易存在低價格之特性，形成國家稅收為數不小之缺口。而且由於在境外數位服務的提供上，現行規定是由台灣消費者負擔申報義務[24]，其結果造成境外數位服務的加值稅因為難以期待消費者自行申報而課徵困難，反而變相提高境外數位服務業者的價格競爭力，背離稅制之中立性原則。 在歐盟舊制加值稅改革前，因為歐盟數位服務業者選擇低稅率國去建立據點而造成不公平競爭之問題，已因為新制將課稅地改為消費者所在地而消除。臺灣現制是納稅義務是由消費者負擔，未在臺灣建立據點之境外業者亦無繳納加值稅之義務。對照台歐雙方制度，建議台灣未來之改革方向應將加值稅之納稅義務人改為跨境之數位服務提供者，且取消3000元以下得免繳納之義務，並參考前述MOSS系統提供境外業者便利申報繳納之精神，提供方便境外業者申報繳納之管道，以提高納稅意願，助益國內數位服務產業公平競爭環境之建立。 [1]簡介歐盟加值稅2015新制針對電子服務業，電信業及廣播電視業之規定 [2]特別是在企業提供對消費者之數位內容服務上，暨所謂的B2C(Business to Consumers)服務。 ‘The digital economy also creates challenges for value added tax (VAT) collection, particularly where goods, services and intangibles are acquired by private consumers from suppliers abroad’. id. at 7. [4] 英文原文為: Base Erosion and Profit Shifting [5] ‘While the digital economy and its business models do not generate unique BEPS issues, some of its key features exacerbate BEPS risks’. OECD, OECD/G20 Base Erosion and Profit Shifting : Project 2015 Final Reports: Executive Summaries, at 6. available at http://www.oecd.org/ctp/beps-reports-2015-executive-summaries.pdf (last visited, Oct. 15, 2015) [6] VAT package: Commission welcomes adoption by the ECOFIN Council of new rules on the place of supply of services and a new procedure for VAT refunds , European Council：Press Release Database , Feb. 12, 2008 , http://europa.eu/rapid/press-release_IP-08-208_en.htm?locale=en (last visited, Oct. 15, 2015) [7] Council Directive 2008/8/EC, 2008 O.J. (L44) 11. [8] The "VAT package" contains: a Directive on the place of supply of services; a mini one stop shop for telecom, broadcasting and e-commerce services; a Directive on procedures for VAT refunds to non-established businesses; a Regulation on the exchange of information between Member States which is necessary to underpin the new arrangements [9]歐盟指令2008/8/EC 修正所謂〈歐盟加值稅指令〉Directive 2006/112/EC： Council Directive 2008/8/EC of 12 February 2008 amending Directive 2006/112/EC as regards the place of supply of services, [10] Council Directive 2008/8/EC, art. 5, 2008 O. J. (L44) 11, 17. [11] EUROPEAN COMMISSION, Explanatory notes on the EU VAT changes to the place of supply of telecommunications, broadcasting and electronic services that enter into force in 2015 , (2014) , at, 11, http://ec.europa.eu/taxation_customs/taxation/vat/how_vat_works/telecom/index_en.htm#new_rules (last visited Oct. 20, 2015) [12] Council Directive 2006/112/EC, art. 24(2) ,2006 O. J. (L347) 1, 14. 條文原文如下：Telecommunications services shall mean services relating to the transmission, emission or reception of signals, words, images and sounds or information of any nature by wire, radio, optical or other electron magnetic systems, including the related transfer or assignment of the right to use capacity for such transmission, emission or reception, with the inclusion of the provision of access to global information networks。 [13] Guichet Unique, Impots.gouv.fr, http://www2.impots.gouv.fr/e_service_pro/tva_miniguichet/moss.html p. 7 (last visited Oct. 14, 2015） [14] Council Implementing Regulation (EU) No 1042/2013, art. 6b(1) ,2013 O. J. (L284) 1, 3.條文原文如下: Broadcasting services shall include services consisting of audio and audio-visual content, such as radio or television programmes which are provided to the general public via communications networks by and under the editorial responsibility of a media service provider, for simultaneous listening or viewing, on the basis of a programme schedule [15] Guichet Unique, Impots.gouv.fr http://www2.impots.gouv.fr/e_service_pro/tva_miniguichet/moss.html p.7 (last visited Oct. 14, 2015) [16]Council Implementing Regulation (EU) No 282/2011, art. 7(1) ,2011 O. J. (L77) 1, 5. 條文原文如下： Electronically supplied services’ as referred to in Directive 2006/112/EC shall include services which are delivered over the Internet or an electronic network and the nature of which renders their supply essentially automated and involving minimal human intervention, and impossible to ensure in the absence of information technology. [17]"Applications (software)" [18]Guichet Unique, Impots.gouv.fr, http://www2.impots.gouv.fr/e_service_pro/tva_miniguichet/moss.html p.7 (last visited Oct. 14, 2015) [19] Council Directive 2008/8/EC, art. 5, 2008 O. J. (L44) 11, 17. 新修正歐盟加值稅第58條文原文如下：The place of supply of the following service to a non-taxable person shall be the place where that person is established, has his permanent address or usually resides: (a) Telecommunications services; (b) radio and television broadcasting services; (c) electronically supplied services, in particular those referred to in Annex II. Where the supplier of a service and the customer communicate via electronic mail that shall not of itself mean that the service supplied is an electronically supplied service. [20] Telecommunications, broadcasting & electronic services, European Commission, http://ec.europa.eu/taxation_customs/taxation/vat/how_vat_works/telecom/index_en.htm (last visited, Oct. 15,2015) [21]但倘若此服務在歐盟內實質被使用及享受，此相關會員國則可徵收。舉例而言，一匈牙利仿毒軟體在其網站提供仿毒軟體下載給澳大利亞之顧客，此服務是不用課徵加值稅。然而若此服務是在一歐盟會員國使用或享用，此歐盟會員國可決定去徵收。Telecommunications, broadcasting & electronic services, European Commission, http://ec.europa.eu/taxation_customs/taxation/vat/how_vat_works/telecom/index_en.htm (last visited, Oct. 15,2015). 此為歐盟執委會官網上的例子：“Example A Hungarian company sells an anti-virus program to be downloaded through its website to businesses or private individuals in Australia. NO VAT But if the service is effectively used & enjoyed in an EU country, that country can decide to levy VAT (option for Member States)” [22] Council Directive 2008/8/EC, 2008 O.J. (L44) 11. [23]依民國100年5月6日財政部台財稅字第10004500190號規定， 外國事業團體於中華民國境內無固定營業場所而有銷售勞務者，該買受人同一筆勞務交易應給付報酬總額在新臺幣3千元以下者免繳納營業稅。 [24]營業稅法第二條第三款之規定，外國之事業、機關、團體、組織，在中華民國境內無固定營業場所者，營業稅的納稅義務人為「其所銷售勞務之買受人」。又按照財政部於民國九十四年所頒布「網路交易課徵營業稅及所得稅規範」，其中亦規定「在中華民國境內無固定營業場所之外國事業、機關、團體、組織，其利用網路銷售勞務予我國境內買受人者，應由勞務買受人依營業稅法第36條規定報繳營業稅」。
雲端時代資料保險機制之解析雲端時代資料保險機制之解析 科技法律研究所 2013年12月05日 壹、前言 資訊時代，資訊應用所帶來的風險幾乎無可迴避，且往往帶來莫大衝擊；尤其在網路應用普及之後，大量資料透過網路傳輸、流通而暴露於資訊安全的風險當中，縱有再有高層級的防護，也無法使資料受損或漏失的風險機率降至零，因此有論者以為，對於無法藉由資訊安全措施加以避免的「殘餘風險」（Residual Risk），應由「保險機制」予以移轉。本研究特探討本議題，以呼應目前日益進展的保險產品發展趨勢。 此類的保險機制，一般稱為資料保險，專門填補網路應用所造成的風險，諸如網路安全（Network security）之欠缺所造成的損失，或者隱私（Privacy）被害所造成的損失。依據產業觀察者意見，此類保險產品的市場正有逐漸擴張的趨勢，尤其是對於健康照護服務（Health care）以及中小型的業者而言，此類保險對於風險管理服務可以發揮長足的作用，其能夠填補資料被害的通知成本、信用監控以及加強資料防護的成本[1]。 本文以雲端運算應用的興起為背景，觀察相應保險機制的演進及發展；以及其對於產業發展而言，為何被視為不可或缺的配套機制，進一步檢視我國推動資料保險的可行性與條件。 貳、資料保險機制的發展 一、資料保險的種類 用來填補資料受害之損害的保險，一般被稱為「資料保險」，尚可見以「網路保險」或「隱私保險」稱之。與其直接定義何謂「資料保險」，不如分析此保險的涵蓋範圍。此類保險早在十幾年前出現，當時其保險範圍，是填補資料被害所引發的損害賠償責任[2]。 財產保險可分成兩大類型，一類是一般的財產損害，即保險事故發生導致被保險人的財產減損或喪失，承保此類財產損失之保險，即英美法系所稱之「第一方保險」（First-party coverage）。另一類則是責任保險，即保險事故發生導致被保險人應負擔法律上責任或契約上損害賠償責任，承保因被保險人應負擔責任之財產損失，即所稱之「第三方保險」（Third-party coverage）。 在資料應用環境中，因資料受害導致損害大抵可依上述區分。當遭遇網路犯罪的損害、毀壞（Destroys）或是剝奪被保險人對於資料的使用權限，則屬於第一方財產損失。另一方面，當被保險人所保護、監管（Custody）或控制的第三人資料或資訊，遭遇網路犯罪損害、毀壞或竊取時，將使被保險人必須承受對第三方負擔損害賠償責任、並支付相關費用，此屬於第三方財產損失，例如入侵資訊系統而竊取信用卡資訊、受保護的個人資料、及銀行的帳戶號碼，又如妨礙有合法權限的第三人近用系統，以及違反法規所要求而未向第三人通知資料侵害等…[3]。 二、資料受害所致損害是否得請求保險賠償過往有很大爭議 傳統的財產保險，由於未指明承保因資料被害所致損失，往往會在被保險人因資料被害導致財產損失而請求保險賠償時，發生很大的爭議。主要的原因是，傳統的財產保險其設計原則，是以被保險人對於有形財產的「保險利益」作為「保險標的」，並以有形財產受損來估算保險損害，並未考量到資料等無形財產。因此，起因於資料或類似形態的程式、軟體之缺損所致的損害，是否可能在傳統財產的保險範圍內，頗有疑義，且司法實務上的意見相當分歧，茲整理如下。 （一）有利於被保險人的實務見解 在America Guarantee & Liability Insurance Co. v. Ingram-Micro[4].中，Ingram-Micro因幾分鐘的電力中斷，導致電腦資產與資料的喪失而嚴重影響正常的業務運作，遂依業務中斷保險(Business-interruption insurance）請求保險賠償，但遭受保險公司拒絕，保險公司提起訴訟並宣稱承保範圍未包含電腦與其他資產。地方法院認為，被保險人客製軟體程式的喪失，構成「具體損害」，具體損害不限於電腦迴路的被有形損毀或傷害，也會包含無法近用（Loss of access）、無法使用（Loss of use）以及功能喪失。 另一案Lambrecht & Associates, Inc. v. State Farm Lloyds[5]，保險公司認為電腦病毒感染所造成的損失，非有形損失，因而拒絕保險給付。法院認為，本案之電腦系統以及儲存的資料皆因病毒感染而毀壞、被置換（Replaced），此種結果，等於電腦系統完全無法接收、發送或回復任何形態的資訊，而完全失去作為電腦系統的效用；因此未接受保險公司的主張。 近期一例為責任保險爭議。Retail Ventures, Inc. v. Nat'l Union Fire Ins. Co.[6]中，Retail Venture是DSW鞋子盤商，2005年時它的電腦系統遭駭客入侵，共有百萬筆的客戶資料遭不當下載且許多資料夾也被翻閱過。由於DSW向Nat'l Union購買商業竊盜險，在其承保項目中包括電腦與資金移轉詐欺（Computer & Fund transfer fraud coverage），DSW遂向保險公司請求保險賠償，主張此次駭客入侵所造成的損失有530萬元之多，但保險公司拒絕給付賠償金。於是DSW對保險公司提起訴訟，地方法院認定保險公司應支付保險賠償，保險公司不服，提起上訴至巡迴法院，巡迴法院認為，條款規定雖是限於該損失是由保險事故「直接造成」（Resulting directly from），但這不代表該保險事故必須是造成損失的「唯一」（Solely）與「立即」（Immediately）的原因[7]，因此維持地方法院的判決。 （二）有利於保險人的實務見解 在America Online, Inc. v. St. Paul Mercury Insurance Co.中，由於America Online（AOL）所生產的網路接取軟體AOL 5.0據稱會毀壞用戶的電腦系統，因而被客戶訴訟求償，AOL依責任保險內容，轉而請求保險公司應替其進行訴訟防禦，遭保險公司拒絕。為此，AOL對保險公司提起訴訟，法院遂檢視保險契約中是否載明保險公司有進行訴訟防禦的義務。契約中將情境限於「有形」財產損失，法院解釋，從字義上一般不會認為電腦資料、軟體及系統是「有形」財產，因為有形財產應是指可以觸摸（Be touched），但電腦資料、軟體及系統無法被感官感知，因此是無形財產。此外契約中亦有「功能降低除外條款」，意即，不良品或者危險產品所造成的損害非有形，故被排除在承保範圍內。法院據此否認AOL的主張[8]。 三、「新」資料保險產品應運而生 從上述實務案例的觀察，作成不利於被保險人判決結果的法院，是直接認定電腦資料、軟體與系統為無形財產。反之，作成有利於被保險人判決結果的法院，是將「資料」（程式或軟體）與「電腦系統」合為觀之，而認定電腦系統為有形財產，把電腦系統無法發揮正常作用視為具體損害。即使判決結果可能有利於被保險人，但是解釋方式卻較為迂迴，也顯得被保險人相當艱辛。 參、外國資料保險機制之發展實例與推動 雲端運算發展日益普遍日後，可以透過網際網路提供資訊服務（例如儲存空間、應用程式等），「資料」已然不附載在特定或固定的載體（電腦系統）上。因應整體資訊應用形態的轉變，國內外市場上逐漸有相關資料保險產品推出的案例。 一、實例 第一個例子，MSPAlliance是一個資源管理服務業者暨認證聯盟，於2013年4月與保險經紀公司Lockton 合作，設計「雲端暨管理服務」保險(Cloud and Managed Services Insurance)，讓其聯盟會員提供資訊服務時得以購買此保險；承保項目包括因網路攻擊、資料滅失或系統故障而導致應負擔損害賠償責任，以及因技術錯誤或無法作用（Tech Errors & Omissions）所導致的損害賠償責任，亦包含在內。至於被保險人的資格要求，則限定是聯盟會員，且必須通過Unified Certification Standard (UCS)驗證。事實上，要求被保險人取得一定的驗證，是保險風險管理很重要的ㄧ環。 第二個例子，雲端保險服務平台Cloudinsure於2013年2月宣布與保險經紀公司Lockton合作，擬設計適於雲端環境的隱私與安全責任保險方案。其保險產品內容主要在確保雲端服務提供者可履行在契約、或服務水準協議（Service Level Agreements）中的承諾，再者也能依據其客戶存放於雲端環境之資料的風險層級，給予金錢防護。 第三個例子，與前兩例不同，是針對一般的資訊服務使用者來設計。保險經紀公司達信（Marsh）於2012年6月針對雲端環境的企業使用者，開發新的保險方案CloudProtect。被保險人是採用雲端服務的中小型企業，承保項目包括：因雲端服務中斷所致的營運收入損失（Loss of income）、因採購新的雲端服務提供者所產生的相關費用支出、因資料轉換至新的雲端服務所產生的相關費用支出。 二、政府的參與及投入推動 美國的國家技術標準局（Institute of Standards and Technology, NIST）在規劃新網路時代藍圖時，把持續促進資料「保險」（Cyber Insurance），列為關鍵的一角。從這個角度而言，保險不僅具有轉移風險與填補損害的功能，更具有正面積極的意義，可作為新興技術發展的後盾。對於NIST這樣的主張，美國保險人協會（American Insurance Association）也予以呼應，認為針對網路應用環境而持續開發各種保險產品，是勢在必行的方向。 (一)政策推導 美國證券交易委員會指引（2011年），建議公司若為因應資安風險而購買保險產品，應列入資訊揭露範圍。此被認為是間接鼓勵企業購買相關保險產品的具體措施之一。 (二)政府機關作為被保險人購買資料保險之例 美國有以政府機關名義購買資料相關保險之例，蒙大拿（Montana State Government）購買「網路資料安全保險」（Cyber/Data Information Security Insurance），為期一年（2012年7月1日至2013年7月1日），保險項目包括：資訊安全責任（每次事故保險賠償上限200萬美元）、行政罰款（每次事故保險賠償上限200萬美元）、損害通知支出（每次事故保險賠償上限100萬美元）、網站媒體披露支出（每次事故保險賠償上限200萬美元）、每次保險事故發生以200萬美元為總保險賠償限額。此案之保險業者為Beazley，保險經紀人為Alliant Insurance Services。值得特別注意的是，保險項目當中包含損害通知支出，此是呼應了美國相關法令要求業者必須於獲悉資安事故時踐行通知相關的資料主體。 資安事故的確實可能使政府機關蒙受莫大損失，美國南卡羅萊納州稅務局（South Carolina Department of Revenue）2012年發生駭客攻擊事件，州政府花費約2000萬美元收拾殘局，其中1200萬美元用來作為市民身份被竊後的信用活動監控，其他則用來發送被害通知、資安強化措施、及建立數位鑑識團隊、資安顧問。 肆、結論－我國推動相關資料保險機制可行性之總合評析 現階段我國相關保險市場的現況，為因應我國個人資料保護法的通過與正式實施，也有推出資料相關保險產品，目標客群為企業，以協助企業因應觸及個人資料可能產生對他人的損害賠償責任、及填補其他附帶損害為主要訴求。至於，針對業者（被保險人）因提供資訊服務過程中的資料被害、毀損滅失所導致營業損失（營運中斷、負擔契約上損害賠償責任）之損害填補，似尚未有相關保險產品推出。考其原因，是保險業者對於此種因無形財產（資料）所導致損害的保險賠償模式，尚未累積足夠的經驗，也缺乏相關精算數據的掌握，因而不敢貿然承作，另一方面，保險業者本身也擔憂無足夠資力因應大規模的保險事故。 對此現象，我國主責資訊服務產業推動的有關政府部門，也思及政府投入參與資料保險機制，例如推動以機關為被保險人而購買相關的資料保險，藉以活絡資料保險市場；此種構想，在法律層面並無疑義，此乃保險賠償與國家賠償機制雖有各自目的，但未有所衝突[9]。然而，實際操作上，必須考量政府機關資訊系統是否能通過保險業者的保險風險查核、是否有足夠的預算足以支付保險費用、以及決策單位是否能有效與資訊業務單位溝通以評估購買此類保險的需求...等諸多問題。 事實上，我國相關資料保險市場要邁向成熟發展，尚待多方努力，除保險業者本身規劃並提出合適的保險產品之外，參酌國外經驗，保險經紀公司也能扮演一定角色，可針對客戶需求量身訂作風險評鑑、研提最符合的保險方案，並藉客戶共同需求而匯聚保險風險共同團體。政府所扮演之角色，除直接以政策推導之外，尚能在若干條件齊備之後實際參與保險機制，其後續方向值得關注。 [1]Collin J. Hite, Top lawyers on trends and key strategies for the upcoming year the ever-changing scope of insurance law, Aspatore Feb. 2013. [2]http://www.computerweekly.com/news/2240202703/An-introduction-to-cyber-liability-insurance-cover (last visited at Oct. 24, 2013) [3]Jack Montgomery, Cybercrime losses and insurance for property damage and third-party claims, Maine Bar Journal, Summer 2012, p. 159. [4]Civ. 99-185 TUC ACM, 2000 U.S. Dist. Lexis 7299 (D. Ariz., April 19, 2000). [5]Lambrecht & Associates, Inc. v. State Farm Lloyds, 119 S.W.3d 16, 25 (Tex. App. 2003). [6]Retail Ventures, Inc. v. Nat'l Union Fire Ins. Co. of Pittsburgh, Pa., 691 F.3d 821 (6th Cir. 2012). [7]Retail Ventures, Inc. v. Nat'l Union Fire Ins. Co. of Pittsburgh, Pa., 691 F.3d 821 (6th Cir. 2012), p.13. [8]America Online, Inc. v. St. Paul Mercury Ins. Co., 207 F. Supp. 2d 459 - Dist. Court, ED Virginia 2002, P.461-462. [9]請參考96年法務部法律字第0960003420號函。