美國簽署晶片和科技法案，全球科技業將掀起波瀾
美國近日為防堵中國、其他受關注國家如俄羅斯等國掌握半導體等高科技行業關鍵技術，遂致力於加強培養其本土之半導體及高科技通訊產業。於美國時間2022年8月9日美國總統拜登簽署 「2022年晶片和科技法案」 （CHIPS and Science Act 2022），該法案除可作為2021年頒布之「美國電信法案」之補助資金來源，發展開放式無線電接取網路（Open Radio Access Network, ORAN）外，亦有望大幅度提升美國本土晶片生產量。
本法案提高美國聯邦政府對科學技術研究及開發專案之授權，除授權美國商務部（Department of Commerce , DOC）、國防部（Department of Defense, DOD）外，還結合國務院（Department of State, DOS）透過資金補助之方式，發展影響美國競爭力及國家安全至關重要之半導體製造等高科技產業、人工智慧、量子計算等科學研究，本法案整體編列之預算高達2800億美元，至2027年時，授權金額預計將達1740億美元，而其中將挹注超過520億美元之資金用於發展美國本土晶片之生產及研發。
此外，該法案設有靜態限制，禁止接受補助之半導體企業投資以電子設計自動化（Electronic design automation, EDA）工具設計或製造晶片之中國公司，換句話言，即受補助之企業不得於十年內投資或擴大生產中國製低於28奈米之先進晶片。本法案亦提供25%之稅收優惠予於美國建造、裝設晶片廠之業者，以鼓勵企業進駐美國藉以提升美國生產之晶片總量，同時藉由企業之投資帶動美國各地經濟發展，提高就業率。
藉由本法案之制定，有望降低美國對其他國家晶片之依賴，並得藉此發展科技研究，對未來全球高科技產業供應鏈將造成偌大影響，值得持續關注。
趙奕縣
法律研究員 編譯整理
Makenzie Holland, CHIPS and Science Act boosts U.S. technology investment, TechTarget, Aug. 8, 2022, https://www.techtarget.com/searchcio/news/252523593/CHIPS-and-Science-Act-boosts-US-technology-investment (last visited Aug. 24, 2022).
The CHIPS And Science Act Of 2022, NGA.ORG, https://www.nga.org/updates/the-chips-and-science-act-of-2022/ (last visited Aug. 24, 2022).
The new CHIPS and Science Act will bring semiconductor chip manufacturing to the U.S., NPR.ORG, https://www.npr.org/2022/08/09/1116591031/the-new-chips-and-science-act-will-bring-semiconductor-chip-manufacturing-to-the (last visited Aug. 24, 2022).
美國能源部（Department of Energy, DOE）所屬之電力傳輸與能源可靠度辦公室（Office of Electricity Delivery and Energy Reliability, OE）與聯邦智慧電網工作小組（Federal Smart Grid Task Force）對於由智慧電網技術所生之資料相關隱私保護問題，經過一系列包括相關業者在內的公眾意見徵集與專家學者討論後，於2015年1月12日所發布之「自願行為守則」（Voluntary Code of Conduct, VCC），係屬美國總統歐巴馬同日宣示政策，公布對於強化消費者安全、處理身分盜用（identity theft）、並促進線上隱私保護之總體策略方向中的重要部份。 「自願行為守則」的適用對象是供電業者與第三方，目的在於保護包括能源使用資訊（energy usage information）在內的電業消費者資料，並提高消費者的隱私意識與相關資料在提供與近用上所須行使的同意與控制。「自願行為守則」揭示其三大目標，包括：（一）於鼓勵創新的同時，適切地保護消費者資料的隱私與機密性，並提供可靠與不致於無法負擔之電業與能源相關服務；（二）提供消費者對其自身資料的適當近用（appropriate access）；以及（三）不生違反或取代任何聯邦、州、或地方主管機關之法令或管制措施之效果。 而為求取前揭目標之達成與實現，「自願行為守則」訂有五大步驟。此五大步驟包括：（一）「消費者之注意與意識」：透過相關規定向消費者解釋資料蒐集的相關政策與程序，並聚焦於消費者的選擇與責任，藉以讓消費者了解其所必須行使之同意；（二）「消費者之選擇與同意」：透過相關規定讓消費者能為非原始目的（Secondary Purposes）——例如向數個第三方為差別化之近用授權、限制近用之期間、留存資料釋出之記錄、取消授權、以及於授權終止或不再需要相關資料時之資料處置或去識別化等——對其資料之近用進行相關管控、確認有哪些類型的資料與揭露無須消費者同意、以及要求特定資料應直接由消費者處取得；（三）「消費者資料近用」：透過相關規定允許消費者近用其資料、確認可能的錯誤、以及要求更正的相關程序，其中包括在特定情況下就非常態性要求收取費用的可能性；（四）「資料的完整性與安全性」：透過相關規定規範網路安全管理計畫，以及聚合性資料（Aggregated Data）或匿名性資料的建立方式；（五）「自發性執行、管理、與矯正」：透過相關規定對自願採納本「自願行為守則」之服務提供者的行動作出規範，以確保其遵守行為守則。「自願行為守則」雖屬自律規範，但其制定過程有包括電力業者在內之利害關係人的充分參與，並經充分之專家與公民意見徵集，被預期在公布之後將有相當程度之約束力量，並能令因智慧電網與能源資通訊技術所生之相關隱私權保護問題得到更進一步的解決。
歐洲法院2017年12月認定Uber是運輸服務業巴塞隆納計程車工會認為Uber未受西班牙運輸服務業相關法令管制，而有違反公平競爭之虞，因此向西班牙巴塞隆納3號商事法院提起訴訟。3號商事法院認為有必要進一步釐清Uber之商業模式究竟是否為歐盟法令下之運輸服務業或資訊服務業，亦或兩者均是。這將影響歐盟內部市場指令和電子商務指令之涵蓋範圍，從而決定Uber是否有違反競爭法。 為此，歐洲法院在2017年5月做出先行裁決後，於同年12月做出判決，認定Uber之性質是運輸服務業，因此排除前述指令之適用，應接受各國運輸服務業相關法令之要求，否則違反公平競爭。法院觀點認為縱然其商業模式看似乘客與駕駛之間為自由選擇之連結。然而，Uber提供的平台是這個連結不可或缺的關鍵以外，對於運輸服務的提供，包括價格、車輛、駕駛的選擇具有決定性的影響力。此外，Uber藉由組織這樣的運輸服務來獲取利潤本身就涉及了運輸服務的直接提供。所以Uber整體服務的主要組成部分必須被視為以運輸服務構成，不應被分類為資訊服務。
“Cookies”—餅乾或是毒藥？ 印度政府公告個人資料保護法草案2018年7月27日印度電子及資訊科技部（Ministry of Electronics and Information Technology, MeitY）公告個人資料保護法草案（Protection of Personal Data Bill），若施行將成為印度首部個人資料保護專法。 其立法背景主要可追溯2017年8月24日印度最高法院之判決，由於印度政府立法規範名為Aadhaar之全國性身分辨識系統，能夠依法強制蒐集國民之指紋及虹膜等生物辨識，國民在進行退稅、社會補助、使用福利措施等行為時都必須提供其個人生物辨識資料，因此遭到人權團體控訴侵害隱私權。最高法院最後以隱私權為印度憲法第21條「個人享有決定生活與自由權利」之保護內涵，進而認為國民有資料自主權，能決定個人資料應如何被蒐集、處理與利用而不被他人任意侵害，因此認定Aadhaar專法與相關法律違憲，政府應有義務提出個人資料專法以保護國民之個人資料。此判決結果迫使印度政府成立由前最高法院BN Srikrishna法官所領導之專家委員會，研擬個人資料保護法草案。 草案全文共112條，分為15章節。主要重點架構說明如下： 設立個資保護專責機構（Data Protection Authority of India, DPAI）：規範於草案第49至68條，隸屬於中央政府並由16名委員所組成之委員會性質，具有獨立調查權以及行政檢查權力。 對於敏感個人資料（Sensitive personal data）[1]之特別保護：草案在第4章與第5章兩章節，規範個人與兒童之敏感個人資料保護。其中草案第18條規定蒐集、處理與利用敏感個人資料前，必須獲得資料主體者（Data principal）之明確同意（Explicit consent）。而明確同意是指，取得資料主體者同意前，應具體且明確告知使用其敏感個人資料之目的、範圍、操作與處理方式，以及可能對資料主體者產生之影響。 明確資料主體者之權利：規範於草案第24至28條，原則上資料主體者擁有確認與近用權（Right to confirmation and access）、更正權（Right to correction）、資料可攜權（Right to data portability）及被遺忘權（Right to be forgotten）等權利。 導入隱私保護設計（Privacy by design）概念：規範於草案第29條，資料保有者（Data fiduciary）應採取措施，確保處理個人資料所用之技術符合商業認可或認證標準，從蒐集到刪除資料過程皆應透明並保護隱私，同時所有組織管理、業務執行與設備技術等設計皆是可預測，以避免對資料主體者造成損害等。 指派（Appoint）資料保護專員（Data protection officer）：散見於草案第36條等，處理個人資料為主之機構、組織皆須指派資料保護專員，負責進行資料保護影響評估（Data Protection Impact Assessment, DPIA），洩漏通知以及監控資料處理等作業。 資料保存之限制（Data storage limitation）：規範於草案第10條與第40條等，資料保有者只能在合理期間內保存個人資料，同時應確保個人資料只能保存於本國內，即資料在地化限制。 違反草案規定處高額罰金與刑罰：規範於草案第69條以下，資料保有者若違反相關規定，依情節會處以5億至15億盧比（INR）或是上一年度全球營業總額2%-4%罰金以及依據相關刑事法處罰。 [1]對於敏感個人資料之定義，草案第3-35條規定，包含財務資料、密碼、身分證號碼、性生活、性取向、生物辨識資料、遺傳資料、跨性別身分（transgender status）、雙性人身分（intersex status）、種族、宗教或政治信仰，以及與資料主體者現在、過去或未來相連結之身體或精神健康狀態的健康資料（health data）。