美國聯邦地方法院駁回臨床試驗軟體公司Medidata對競爭對手Veeva的營業秘密訴訟
美國紐約南區聯邦地方法院(S.D.N.Y.)於2022年7月15日駁回了臨床試驗軟體公司Medidata Solutions Inc. (以下簡稱Medidata公司)控告競爭對手Veeva Systems Inc. (以下簡稱Veeva公司)竊取其營業秘密的請求。
原告Medidata公司於2017年1月指控被告Veeva公司陸續挖角其數名離職員工，部份員工離職時私自拷貝公司檔案，其中包含原告的產品研發、商業策略等營業秘密，而被告根據這些資訊開發了和原告相似的軟體，造成其重大損害，因此向被告請求4.5億美元的損害賠償。
被告Veeva公司抗辯雖然這些員工離職時私自保留原告的檔案，但原告在訴訟中並未明確說明哪些屬於該公司的營業秘密，亦即未特定營業秘密標的；此外，即便這些離職員工自行保留的檔案中有包含原告所稱之營業秘密，但原告提出的證據不足以證明被告有不當取用(misappropriation)其營業秘密，僅根據被告有僱用原告離職員工等事實，即推論被告有不當取用。原告試圖透過此模糊和毫無根據的主張，限制產業的創新、競爭、人才流動。
本案歷經五年的纏訟，法院最終駁回原告請求。法官指出，原告在整個訴訟過程中並未明確定義哪些資訊屬於營業秘密，原告似乎認為任何資訊皆屬於其營業秘密，這樣的主張無異於代表任何公司永遠無法挖角其他公司的員工，因為這些員工到新公司任職後所說的任何話，都會間接地揭露他們在之前工作中所學習到的事情，因此駁回原告之訴。
從本案可以觀察到，企業應定期盤點公司內部資訊，明確界定營業秘密範圍，並落實管理及妥善留存相關證據，發生侵害營業秘密爭議時才能有效舉證。
「本文同步刊登於TIPS網站（https://www.tips.org.tw ）」
謝明均
副法律研究員 編譯整理
Blake Brittain, Pharma software company Veeva beats back Medidata trade secrets lawsuit, REUTERS, July. 19, 2022, https://www.reuters.com/legal/litigation/pharma-software-company-veeva-beats-back-medidata-trade-secrets-lawsuit-2022-07-15/ (last visited Aug. 1, 2022).
Deivis Mercado, U.S. District Court rejects Medidata’s unfounded trade secret lawsuit against Veeva, TS NEWS, July. 24, 2022, https://www.trialsitenews.com/a/u.s.-district-court-rejects-medidatas-unfounded-trade-secret-lawsuit-against-veeva-d280b80d (last visited Aug. 1, 2022).
梁景濠，〈美國上訴法院營業秘密判決關於軟體功能之合理保密措施認定〉，科技法律研究所，2022/05，https://stli.iii.org.tw/article-detail.aspx?no=64&tp=1&d=8825 （最後瀏覽日期︰2022/08/01）。
國際能源總署（International Energy Agency, IEA）於2022年12月6日發布2022年再生能源報告（Renewable 2022），其整理和分析各國之再生能源政策和市場發展現況，並預測再生能源於2022至2027年間在電力、交通和供熱的部署情況，同時提出相關產業在發展上的主要障礙。報告重點如下： （1）能源危機加速再生能源成長 烏俄戰爭所導致之能源危機，迫使各國加速其推動再生能源之政策，例：中國的十四五年規劃、歐盟的REPowerEU計畫，以及美國的降低通膨法案（Inflation Reduction Act）等等，將使2022至2027年間全球的再生能源裝置容量提升約2400GW，等同於中國目前電力的總量，其中歐盟、中國、美國和印度在未來五年間所建置之再生能源，將是過往五年的兩倍；而未來五年間全球成長之電力裝置容量中，再生能源的部分將占90%以上，並且，其總裝置容量將於2025年超越燃煤，成為最大宗的電力來源，其中，又將以太陽光電和風電為主要的發電方式。 （2）各國再生能源法制政策仍有進步空間 國家再生能源法制的不確定性、經濟措施不足、許可程序繁冗，以及電網設施的缺乏，都將阻礙再生能源的發展，若能消除該些障礙，包含簡化許可程序、改善競標方式及提升誘因機制，全球再生能源的成長速率將能再提升25%。 （3）再生能源轉換為氫氣之應用將大幅提升 隨著超過25個國家的氫能政策，全球用於電解產氫的風電和太陽光電裝置容量於2022至2027年間將達50GW，提升近100倍，而主要發展之國家為中國，其次則是澳洲、智利和美國。 （4）生質能的需求持續增加並需開發更多元的原料來源 國際對於生質能的需求將持續增加，在未來五年裡預計成長22%。其中，廢棄物和殘渣的利用是生質燃料重要的一環，至2027年時將有約三分之一的生質燃料來自該兩者，而在燃料需求擴增並造成供應壓力的情況下，則有待政策的推動和技術的研發，以開發更多元且永續的生質能原料。 （5）再生能源供熱的發展程度仍無法取代化石燃料 由於越來越多的供熱來源是依賴電力，而電力中再生能源的比例亦不斷提升，因此，2022至2027年間的再生能源供熱將會提升三分之一，而亦有部份原因是來自政策的推動，尤其是遭遇天然氣危機的歐盟。不過，依目前再生能源供熱技術的發展程度，還無法追上傳統化石燃料所能供熱的數量。
提升晶圓競爭力，維護國家領導性：2020年《美國晶圓代工業法案》鑒於中國大陸製造微電子之能力，日益趨近美國；為建立美國在科技領域之領導地位，與振興全球微電子產業。以美國參議員Charles E. Schumer和Tom Bryant Cotton為首，於2020年6月提出《美國晶圓代工業法案》(American Foundries Act)。法案重點為：(1)資助發展微電子產業與研發設備；(2)創建、擴展與現代化提升微電子產業之設備，與維護國家安全之能力；(3)增加預算確保美國在微電子產業之領先地位；(4)訂定國家微電子之研發計畫；(5)建置產業諮詢委員會；(6)訂定多邊出口控制計畫；(7)禁止資金與國外競爭者相關；(8)限制計畫、承包商、分包商，和預算來源為國防部者採購國內微電子設計與代工服務。 該法案授權國防部長及國家安全局長基於國家安全之需求，由國防部資助微電子產業的建構、研究與發展。資助、輔助微電子產業在製造、裝備、檢測、外觀與研發上的發展，以及在採購設備和智慧財產權上的現代化。此外，美、中的競爭亦延伸至國家關鍵科技保護的面向。該法案規定倘微電子公司在敏感技術的研發，技術的許可、轉讓或投資，係中國政府或其他國際競爭者所有、受其控制或影響，美國政府將收回對該公司之資助，並禁止其參與計畫。 在商業製造上，亦須降低風險，包含對微電子研發的分類和出口管制，確認管理流程，以及減輕供應鏈的安全風險；且須注意在國家安全方面的要求。並為確保美國在微電子產業上的領導地位，國家經費授權國防高階研究計畫機構(the Defense Advanced Research Projects Agency)拓展電子復興計畫(the Electronics Resurgence Initiative)，發展具破壞性的微電子科技，包含發展足以支持國產微電子企業的研究量能；並由國家科學基金會(the National Science Foundation)、能源局(the Department of Energy)與國家標準技術研究所(National Institute of Standards and Technology)，負責執行微電子的科學研究與開發。
美國眾議院提出「深度偽造究責法案」隨著人工智慧（AI）視覺處理技術愈發進步，圖片及影像的篡改也更加普遍，甚至使人難以分辨其真偽，例如一款應用程式（App）－DeepNude便是運用此技術，將人穿著衣服的照片改作為裸體圖像；此種AI技術因對於社會及被偽造之當事人權益影響重大，進而引起美國立法者的極度重視。 日前維吉尼亞州為了遏止如DeepNude此類的應用程式，便於該州之《復仇式色情法》（Revenge porn law），擴大復仇式色情的涵蓋範圍，使其包括利用機器學習技術偽造他人照片或影像等深度偽造（Deepfake）行為。 但該深度偽造技術之應用，實際上並不僅侷限於情色領域，故美國紐約州眾議員伊薇特．克拉克（Yvette Clarke）於本年度（2019年）6月即提出了《深度偽造究責法案》（Defending Each and Every Person from False Appearances by Keeping Exploitation Subject to Accountability Act of 2019., DEEP FAKES Accountability Act.）草案，本草案令人關注之處除配合現今科技發展特性為規定外，另針對實務上曾衍生的爭議問題，特別將外國勢力或其代理人（foreign power or an agent thereof）介入美國國內政治行為，如意圖影響美國國內公共政策辯論(domestic public policy debate)、選舉或其他不得合法從事的行為等納入規範。 依該草案之內容，其所規範者包含視聽紀錄、視覺紀錄及錄音紀錄；意即任何人使用任何技術或設備製作假冒他人名義（false personation）的紀錄，並於網路或其他知識傳播管道發布者，應有浮水印、口頭陳述或是於文本中有簡要說明等揭露，以使他人得清楚知悉該紀錄並非真實，如行為人有違反該揭露規定並利用深度偽造1.意圖羞辱或騷擾(包含性內容)；2.意圖造成暴力、身體傷害、煽動暴亂、外交衝突或干預選舉；3.詐欺犯罪等，將可處5年以下有期徒刑，或科或併科罰金。另若行為人修改或刪除他人揭露之資訊而有上述意圖或犯罪行為者，亦可處以同等罰責。
歐盟GDPR保護適足性審核與因應作為歐盟GDPR保護適足性審核與因應作為 資訊工業策進會科技法律研究所 法律研究員 吳柏凭 2018年04月10日 壹、事件摘要 歐盟於 1995 年頒布個人資料保護指令(95/46/EC)[1]，對歐洲各國甚至全世界個人資料保護法制發展有極大影響力。然隨著資通訊技術發展變化迅速，網際網路與各項應用興起，既有歐盟個人資料保護指令面對這些變化已經難以為繼，歐盟執委會(European Commission) 出新的資料保護規則（General Data Protection Regulation, GDPR），於2016年4月27日通過，5月4日公布，正式成為歐盟第2016/679號規則（Regulation (EU) 2016/679）[2]。由於歐盟原則上禁止個人資料跨境傳輸，只有在被認可具有保護適足性(Adequate level of protection)的國家或地區才能例外許可傳輸，因此如何獲得歐盟保護適足性認可，就成為能否跨境傳輸歐盟個資的關鍵。 貳、重點說明 一、個人資料保護指令保護適足性審查規定 1995年的個人資料保護指令，就有禁止會員國將個人資料跨境傳輸至對資料保護不具有保護適足性之國家[3]。在第25條第2項中，對於保護適足性的審查，包括資料的性質、處理目的和期間、資料的發生地及最終目的地、該國家施行的普通法及特別法規範、以及安全措施等，透過個案綜合判斷是否具有保護適足性[4]。而關於具體的判斷標準，則依照第29條規定資料保護工作小組（Article 29 Data Protection Working Party）的指導文件[5]，其中對於法律規範審查，除了內容外，更重視個資保護的執行面。 二、GDPR保護適足性審查規定 GDPR延續了個人資料保護指令的規定，原則上禁止資料跨境傳輸至對資料保護不具有適足性之國家[6]。根據第45條第2項規定，適足性的評估包括以下要素： 法治、對人權與基本自由之尊重、一般與部門之相關立法，包括有關公共安全、防衛、國家安全及刑法、公務機關對個人資料之接近使用權、及該等立法、資料保護規則、專業規則及安全措施之執行。 有一個或以上獨立監管機關之存在及有效運作，或對象為國際組織時，確保及執行資料保護規則之遵守，包括充足之執行權，以協助及建議資料主體行使其權利，並與會員國之監管機關合作； 個人資料向其他第三國或國際組織進一步移轉，該其他第三國或國際組織之規則、判例法、及有效且可執行之資料主體權利及個人資料受移轉之資料主體有效之行政與司法救濟；第三國或國際組織所加入之國際協定，或其他因具法律拘束力之合約或辦法、及從其參與多邊或區域體系而生之義務，尤其關於個人資料保護者。 以上規定與個人資料保護指令最大不同在於將保護適足性的判斷標準明文化，同時補充個人資料向第三地再傳輸應注意的規範、具有獨立性監管機關等規定，填補原本個人資料保護指令的漏洞。 三、保護適足性認可程序與現況 保護適足性認可的程序[7]為： 來自歐盟執委會的提案。 得到由歐盟各國資料保護機關組成之作業會議(European Data Protection Board)的意見。 得到歐盟各國代表的承認。 歐盟執委會合意認可。 縱然取得認可，之後也會每四年檢驗一次[8]，如果被判定不具保護適足性，則仍會取消原本的認可[9]。 現階段已通過保護適足性審核的國家地區包括：安道爾、阿根廷、加拿大（民間機構）、法羅群島、根西島、以色列、馬恩島、澤西島、紐西蘭、瑞士及烏拉圭，另有美國限於「隱私盾」框架(Privacy Shield framework)方可傳輸。 參、事件評析 （一）保護適足性認可的效益 除了取得適足性認可外，個別企業可以透過1.標準契約條款(Standard Contractual Clauses, SCC)；2.拘束企業準則(Binding Corporate Rules, BCR)；或3.取得同意方式進行跨境傳輸[10]。但是取得適足性認可不但可以節省企業在個資跨境傳輸的成本，減輕企業負擔，同時也有助於整體產業突破歐盟貿易壁壘。 （二）通過保護適足性審核的困難 雖然現行通過適足性審核的國家地區有11個，惟需注意的是，根西島、馬恩島、以及澤西島都是英國屬地，法羅群島是丹麥屬地，而安道爾和瑞士都是在歐洲境內，這些國家地區的法規範本來就與歐盟差距不大，加上美國及加拿大國家本身不被認可具適足性，實際上不屬於歐盟法體系而通過適足性審核的國家地區非常有限。而且包括以色列、烏拉圭或紐西蘭在申請認可都花超過三年的時間，因此也不能作為短期的因應措施。 此外，在要件方面，規範上雖然我國個資保護規範與GDPR未有極大歧異，但只要存有差異，要取得認可就有極高困難度，這些都需要與歐盟執委會溝通。而在監管機關要求方面，雖然沒有要求單一機關，但對於機關的「獨立性」仍有要求。關於機關的獨立性目前歐盟並沒有明確的標準，但在歐盟法院判決中，有因為德國的州對州層級的資料監管機關進行調查的權力，而被認為不具獨立性[11]。 （三）通過適足性審核的具體作為 以日本為例，為了取得歐盟適足性認可，在2015年9月就其個人資料保護法（個人情報保護法）進行修正，其中設立個人資料保護委員會（個人情報保護委員会）即是為了符合適足性要求中「獨立監管機關」規定，而第24條跨境傳輸的規定更是重要。 日本個人資料保護委員會在2016年就與歐盟執委會溝通三次[12]，同時在2017年發出共同聲明[13]。在不修正法律的狀況下，日本個人資料保護委員會頒布一指導方針來消除差異，並於於2018年2月9日先揭示調適方向[14]，包括： 將歐盟視為敏感性個人資料而日本未明文規定者，解釋上一律視為敏感性個人資料。 歐盟不管個人資料保管期間，一律可以主張權利，而日本則限保管期間6個月以上方可主張權利。指導方針對於歐盟跨境傳輸的個資，不管保管期限一律許其主張權利。 對歐盟跨境傳輸的個資將要求揭露特定利用目的。 對於歐盟跨境傳輸的個資再移轉，必需要透過契約等規制，確保資料受保護水準。 關於歐盟跨境傳輸的個資，在去識別化一定要確認無法再識別，以與歐盟去識別化資料定義相符。 肆、結語 歐盟GDPR已施行在即，如何因應以突破其跨境傳輸的限制將不只是單純避免業者受罰，更是跨越歐盟貿易壁壘的重要關鍵，而在眾多例外許可跨境傳輸的方法中，又以取得保護適足性認可為最根本因應之道。雖然現在取得認可的難度極高，但仍有許多能努力的空間，目前我國也著手申請適足性認可的準備，未來能得到何種程度的回應，值得後續觀察。 [1] Directive 95/46/EC of the European Parliament and of the Council of 24 October 1995 on the Protection of Individuals with regard to the Processing of Personal Data and on the Free Movement of Such Data. [2] Reform of EU data protection rules, European Commission, http://ec.europa.eu/justice/data-protection/reform/index_en.htm (last visited Apr.10, 2018). [3] Data Protection Directive, art. 25(1). [4] Data Protection Directive, art. 25(2). [5] European Commission, Working Party on Protection of Individuals with regard to the Processing of Personal Data, Working Documents Transfers of personal data to third countries: Applying Articles 25 and 26 of EU data protection directive, July 24, 1998. [6] General Data Protection Regulation, art. 45. [7] Adequacy of the protection of personal data in non-EU countries, https://ec.europa.eu/info/law/law-topic/data-protection/data-transfers-outside-eu/adequacy-protection-personal-data-non-eu-countries_en (last visited Apr.10, 2018). [8] General Data Protection Regulation, art. 45(3). [9] General Data Protection Regulation, art. 45(5). [10] General Data Protection Regulation, art. 46. [11]European Commission v. Federal Republic of Germany(C-518/07). [12]個人情報保護委員会，個人情報保護委員会の国際的な取組について，https://www.kantei.go.jp/jp/singi/keizaisaisei/miraitoshikaigi/4th_sangyokakumei_dai2/siryou3.pdf (last visited Apr.10, 2018). [13]JETRO，個人データ保護の「十分性認可」取得の好機に－日EU首脳が共同声明－，https://www.jetro.go.jp/biznews/2017/07/845f14ec50674c94.html (last visited Apr.10, 2018). [14]個人情報保護委員会，EU 域内から十分性認可により移転を受けた個人データの取扱いに関するガイドラインの方向性について ，https://www.ppc.go.jp/files/pdf/300209_siryou1.pdf (last visited Apr.10, 2018).