戰略產業與關鍵技術保護法規修正趨勢分析
戰略產業與關鍵技術保護法規修正趨勢分析
資訊工業策進會科技法律研究所
2022年2月14日
戰略性高科技產業是我國重要的經濟發展基礎，在全球半導體產業鏈中，臺灣更是位居關鍵領先地位。半導體產業作為未來新興科技領域發展根基，內含許多國家核心關鍵技術，若此類技術洩漏至境外，將損及國家安全與整體經濟競爭優勢。
壹、國際產業經濟安全保障法案推動趨勢
參考國際上以產業經濟安全角度出發，且與我國同具技術保護需求之國家，以亞洲的日本及韓國為代表，正在密集推動產業競爭與供應鏈安全及技術保護相關法案。
一、日本《經濟安全保障法》
日本首相官邸於2021年11月19日召開第一次「經濟安全保障推進會議」，強調國家安全概念已迅速擴展到經濟和技術領域，在各國推進和加強支持工業基礎設施、防止敏感技術外流、提升出口管制等經濟安全相關措施下，日本內閣府應加強《經濟安全保障法》草案推動，確保戰略物資與維護重要關鍵技術[1]。
其中《經濟安全保障法》草案著重在四大工作面向：1.供應鏈：透過公私技術合作加強重要材料和原材料的供應，避免對人民生活和工業產生重大影響。2.公私技術合作：透過公共和私營部門合作共享並利用技術資訊，培育和支持尖端重要技術框架。3.核心基礎設施：確保與維護核心基礎設施功能安全性和可靠性。4.私人專利：採取補償措施以要求特定專利私有化，防止敏感發明公開外流，同時促進創新[2]。
二、韓國《國家高科技戰略產業特別法》
韓國產業通商資源部方面，於2022年1月25日舉行的第5次內閣會議上宣布，通過《國家高科技戰略產業特別法》立法議案。該特別法案旨在培育和保護韓國的高科技戰略產業，以維護國家和經濟安全，並取得高科技競爭力，其具體內容包含：1.成立由南韓總理主導的國家高科技戰略產業委員會，制定5年戰略產業培育和保護的基本計畫。2.指定國家關鍵技術，以發展戰略產業和保護國家經濟安全。3.全面支持戰略產業，包括投資、研發、人力資源等方案。4.為振興戰略產業生態系統，提供監管法規修訂和企業合作方向支援。5.對戰略技術的出口和併購採取部分緊縮的保護措施。
韓國產業通商資源部強調，全球各主要國家皆體認到，必須在高科技產業競爭環境中培育知識人才，以及保護國家戰略產業發展的重要性。《國家高科技戰略產業特別法》的制定，將由產業通商資源部採取「無縫接軌的推進措施」，並與相關產業積極溝通，以便及時協助基礎設施能力建構，並在本法案立法程序完成後落實執法[3]。
貳、我國國家核心科技修法走向
我國法務部與陸委會於110年7月公告《國家安全法》與《臺灣地區與大陸地區人民關係條例》部分條文修正草案，二者皆是以經濟安全角度出發，針對「國家核心關鍵技術」保護作法規調整，期能建構跨部會產業技術防堵外洩策略。
一、兩岸條例修正：管制受政府委託補助關鍵技術及人員赴陸
依據陸委會第27次委員會議討論通過「兩岸條例第9條、第91條修正草案」，針對「受政府機關（構）委託或補助達一定標準」，並從事涉及國家核心關鍵技術業務之個人或民間團體、法人、機構成員，進行赴陸管制。其中，因國家核心關鍵技術及一定標準的具體內容，涉及高度專業性，故兩岸條例第9條修正草案授權科技部會商有關機關訂定並進行妥適規範。另外，對於違反赴陸應經許可的特定人員，依據兩岸條例第91條，可處新台幣200萬元以上1,000萬元以下罰鍰。如係違反返台通報義務者，（原）服務機關、委託機關或補助機關得處新台幣2萬元以上10萬元以下罰鍰[4]。
二、國家安全法修正：保護半導體、農業、國防關鍵技術
法務部國安法修正草案第2之2條，明定任何人不得替外國、中港澳、境外敵對勢力或其所實質控制的各類組織，為侵害國家核心關鍵技術的營業秘密行為；且刑度較營業秘密法提高，違者可處3年以上、12年以下徒刑，併科5百萬元以上、1億元以下罰金。至於何項技術列入關鍵技術，則交由科技部檢討，並將攸關台灣經濟、國防優勢的產業列入，包括半導體先進製程、涉及國防技術、台灣關鍵品種農業科技、關鍵生技技術等[5]。
參、法規評析
台灣是全球高科技代工產業的重鎮，半導體技術尤其發達且人才集中。全球晶片短缺之際，台灣也面臨人才帶槍投靠、與關鍵技術外流，危害戰略產業發展危機。未來針對我國國家核心科技認定與管制，可以由以下幾個方向作思考：
一、參考科技部政府資助國家核心科技手冊之作法
為避免我國有太多個不同的核心科技清單，導致法規適用的複雜，未來可能參考現有科技部政府資助國家核心科技手冊之作法，由科技部邀集相關部會自行就主責類別科技項目進行認定。篩選之科技項目(包含企業關鍵技術)，經主管機關核定後，提報科技小組，科技小組成立專責審議小組審議是否列入國家核心科技項目。
二、重新建立國家核心科技篩選標準
雖然產業技術保護法規強化是全球趨勢，但若是修正力度過猛或審查過嚴，也同樣可能影響產業投資、干預研發合作，甚至促使台灣關鍵產業出走，連帶失去半導體等關鍵技術研發創新動能，因此重新建立篩選管制標準是我國法規的重要課題。
首先，就製造業關鍵技術，應思考台灣在該產業技術上是否具國際領先地位作為優先考量。其次，就所篩選之產業，評估其對台灣經濟發展是否具核心關鍵性(例如產值高低，或者在全球供應鏈具關鍵地位)。最後，對於國家安全有重要影響之相關產業，應納入作為我國核心關鍵科技。
總歸而言，各國對於戰略產業與國家核心科技認定標準與方式不一，就算技術被歐美及日韓認列為新興科技管制類別，我國是否要列入國家核心科技，仍然必須綜合考量該產業技術在我國產業競爭力與國際領先定位而定。未來，可參採日韓模式，盡速建立國家層級高度的戰略產業與技術保護法規，並且制定明確清單與審查機制流程，使企業能有所預見，事先安排以降低對高科技產業的經濟發展衝擊。
[1] 経済安全保障推進会議，首相官邸，令和3年11月19日，https://www.kantei.go.jp/jp/101_kishida/actions/202111/19keizaianpo.html (最後瀏覽日：2022/1/25)。
[2] 経済安全保障法制に関する有識者会議 提言骨子，内閣官房，令和3年11月26日，https://www.cas.go.jp/jp/seisaku/keizai_anzen_hosyohousei/index.html (最後瀏覽日：2022/1/25)。
[3] Cabinet passes National High-Tech Strategic Industries Special Act, Ministry of Trade, Industry and Energy, Jan. 25, 2022, https://english.motie.go.kr/en/pc/pressreleases/bbs/bbsView.do?bbs_cd_n=2&bbs_seq_n=911(last visited 2022/02/14).
[4] 為保護國家核心關鍵技術，本會第27次委員會議通過「兩岸條例第9條及第91條修正草案」，中華民國大陸委員會，110年9月29日，https://www.mac.gov.tw/News_Content.aspx?n=A0A73CF7630B1B26&sms=B69F3267D6C0F22D&s=4C0B2E06FFF6B248 (最後瀏覽日；2022/02/14)。
[5] 法務部公告「國家安全法」部分條文修正草案，法務部法檢字第11004519510號，110年7月21日，https://www.lawbank.com.tw/news/NewsContent.aspx?nid=179044.00 (最後瀏覽日；2022/02/14)。
本文為「經濟部產業技術司科技專案成果」
許祐寧
專案經理 編譯整理
「資料保存指令」（ Directive on the retention of data ，下稱本指令）已於 2006 年 2 月 21 日 經歐盟部長理事會（ European Council of Minister ）批可而正式生效。但部分歐盟國家，如愛爾蘭（ Irish ）與斯洛伐克（ Slovak ）仍認為，由於資料保存對於歐盟民眾權益影響甚鉅，故應透過更嚴格的立法程序，如由歐盟部長理事會（ European Council of Minister ）全體一致通過「決定」（ Decision ），而不應透過議會表決後再交由理事會批可指令（ Directive ）的方式生效。 本指令要求網路服務業者（ Internet service providers, ISPs ）與固定（ fixed-line ）及行動 (Mobile) 網路業者必須要保存客戶通聯之通聯日期、地點、通話時間等通聯資料等，保存期限從 6 個月到 2 年不等。而除了保存之責任以外，上述業者還必須要確保其保存之資料可隨時配合執法單位之調查，提供執法單位進行嚴重犯罪之調查與恐怖分子調查之參考與利用。 國際隱私權組織（ Privacy International ）表示，本指令的通過將對歐盟地區民眾之人權造成不可磨滅之影響。此外，歐盟地區之電信公司與 ISPs 則表示，本指令實施後，若政府單位未給予任何的補助，將大量增加業者在資料儲存之費用，進而影響市場競爭。 本指令最遲將於公布後隔年開始實施。
美國眾議院通過新法案-《CASE法》美國眾議院在2019年9月10日，通過了一項法案，該法案將建立一個類似法庭的機構，處理小額著作權爭議，為著作權侵權訴訟提供一種低成本的替代方法，這個法案稱之為《CASE法》(the CASE Act)，又名Copyright Alternative in Small-Claims Enforcement Act。 《CASE法》將在美國著作權局內設立一個準司法機構，稱為著作權賠償委員會，此委員會並不在政府的司法部門下運作，每件侵權作品最高可獲得之賠償金額為三萬美元。在以往的著作權訴訟中，平均訴訟成本為27.8萬美元，這意味著許多獨立創作者不會真正進行訴訟，因為他們的作品還沒有那麼值錢，此項法案通過將有助於獨立創作者保護自己的權利。 有關《CASE法》之主要內容，其主要包含以下幾項: 對於當事人進行定義，並對賠償委員會組成員之成員進行規範，例如委員會的審查委員應是具備七年以上執業經驗之律師或者在著作權侵權訴訟方面有豐富的經驗。 對委員會職責與權限加以規定，例如，促進雙方調解成立、不得擔任與委員會職責相牴觸之任何職務。 對程序的進行有所規範，例如，得在訴訟中自願參加著作權賠償委員會之程序。程序的開始，為雙方當事人自願參加，而非課予當事人到庭之義務，強迫進入訴訟程序。 對調解程序相關行為進行規範，例如當事人之代表人可以是自己、律師，或是無償提供幫助之法學院學生。 規範調解做成之效果，例如，賠償委員會不能排除訴訟、不能反訴、不能下最終判斷，以及賠償委員會的任何決定，不得作為法律判決先例被引用等。 這項法案得到眾多藝術家和音樂發行人的支持，但受到一些消費權益團體反對，包括電子疆界基金會和公共知識組織(the Electronic Frontier Foundation and Public Knowledge)，他們認為這項法案最大的缺點就是，缺乏結構性的保障以對抗濫用。這項法案對於被指控侵權的人幾乎沒有保護，更可能使不肖之徒有機可乘，隨意濫行訴訟以尋求更高額的和解金；加諸委員會並非司法部門，由委員會進行裁決，有憲法上疑慮，這都是需要詳加斟酌考慮。
英國氣候過渡計畫小組公布氣候揭露報告框架的最終版本英國氣候過渡計畫工作小組（Transition Plan Taskforce，以下稱TPT）於2023年10月9日公布其氣候揭露報告框架（TPT Disclosure Framework，下稱「框架」）最終版本及使用指引。TPT是英國財政部在2022年4月成立，負責建立氣候過渡計畫準則。TPT則於2022年11月提出框架草案，並開始徵詢產官學界意見，最後提出正式版本。 TPT框架建議企業以宏觀、有策略的方式制定氣候過渡計畫。TPT框架從企圖心、行動力和當責性三項原則出發，分別就五個必須揭露的事項說明如何在氣候揭露報告中呈現企業的氣候過渡計畫： 一、企圖心：說明企業的基礎事項，例如氣候戰略目標和商業模式。 二、行動力：說明過渡計畫的執行策略、以及擴大參與的策略。 三、當責性：說明將採用哪些指標與標的來監督計畫的執行、以及如何將過渡計畫融入企業的治理當中。 TPT也配合框架內容制定行業指引，目前已公布40個行業摘要（Sector Summary），簡述各行業可用的脫碳手段、指標與目標。未來還將公布針對銀行業、資產擁有者、資產管理者、電力公用事業和電力發電機、食品與飲料、金屬與礦業、石油和天然氣等7個行業的深度剖析（Sector Deep Dives）。 此外，TPT網站上也提供TPT框架與相關國際主流框架或準則之比較報告給各界參考，要使這套由英國自行開發、為英國內部量身打造的框架也能接軌國際，其未來實施成效值得繼續追踪觀察。
美國資訊安全分析新挑戰：巨量資料（Big Data）之應用在2013年的國際資訊安全會議（RSA Conference）上，資安專家紛紛表示，將Big Data技術應用於資訊安全分析的項目上，確實可以幫助企業建立更佳的情勢判斷能力，但在實際執行過程中是一大挑戰。 資安廠商如RSA和賽門鐵克公司，在會議上表示目前的策略是透過新的數據匯集、比對和分析協助企業篩選、過濾結構化和未結構化資料的威脅指標，這是傳統的特徵偵測（signature-based）安全工具無法做到的。 不像傳統的安全手段著重於阻斷攻擊，新的技術強調偵測並立即回應違犯行為，也就是提前遏止任何違犯行為，協助企業作全面性的偵測而不擔心有所遺漏。 由於越來越多的美國政府機關和民間企業遭受到針對性和持續性的攻擊，巨量資料技術的應用需求激增。企業內部都累積著大量的數據和多元的數據種類，而需要動新技術來保護這些數據資料免於惡意人士或對手的竊取或其他侵害行為。企業應該要因應實際面臨的威脅和所獲悉的威脅情報來建立安全模型，取代部署特定產品和外圍系統的防禦。 美國無論是政府機關或民間企業都被捲入了不對稱戰爭-對手是武器精良、準備充分並有嚴密組織的網路敵人。 「駭客只需要攻擊成功一次，但我們必須每次都是成功的」賽門鐵克的總裁deSouza表示。「因此與其專注的在阻擋所有威脅，更好的辦法是使用巨量資料技術偵測侵入行為並消解之」。而在會議中資安專家都肯認至少從理論上來說，以巨量資料技術強化資訊安全是很好的想法。 不過另有其他的說法，金融服務企業LSQ的首席安全及法務主管皮爾遜認為，許多人的電腦紀錄檔和所有的電子裝置都早就被侵入滲透了，這才是問題所在。他表示，目前現存的SIEM（安全性資訊及事件管理）工具可以讓企業聚集來自許多個安全設備的巨量登錄數據整合在同一系統內，但真正的問題是，SIEM工具必須要有能力分析數據並找出關聯性，如此才能偵測到駭客入侵的前兆證據和真實的入侵行為，這和彙整數據是不同的兩件事。許多企業所面臨的問題不是缺乏數據資料，而是要如何為資訊安全的目的建立關聯規則和應用方式，以有效率的方式找出有用的巨量數據並進行分析，和留下可供進行訴訟使用的證據。