OECD將就第一支柱金額A召開公開諮詢會議
OECD（經合組織）於2022年9月12日巴黎時間12時至17時召開第一支柱金額A（Amount A of Pillar One）的公開諮詢會議。蓋2021年10月，共137個成員同意自2023年啟用雙柱計畫（Two-Pillar Plan），OECD為提供能協助各國制訂相關內國法之「示範規則（Model Rules）」，已多次並持續公開徵詢意見。
其中，作為第一支柱的全球利潤分配稅制，係針對全球收入逾200億歐元且稅前淨利逾10%的大型跨國企業，定其逾10%的利潤為「剩餘利潤」，並取25%依關聯性（Nexus）重新分配至價值創造地，此剩餘利潤即本次會議欲討論之金額A。
一旦劃歸金額A將適用高達25%之稅率，故2022年7月11日，OECD所公布第一支柱的「進度報告（Progress Report）」，即針對如何計算大型跨國企業之全球總所得、如何量化系爭所得為金額A之稅基、如何定關連性原則以決定各價值創造地對金額A徵稅權之有無及高低、稅捐競合時如何避免對金額A造成雙重課稅，以及各該要件之定義等核心問題，列出7項標題（Title）作為本次會議討論重點。
然而，除了金額A徵稅權之跨國分配所涉利害關係錯綜複雜外，因各國稅制與發展不一致、美國對雙柱計畫之態度似有保留、歐盟成員國迄今仍無法達成一致共識，以及烏俄戰爭引發的通貨膨脹等各種內外因素，均為第一支柱示範規則之訂定，甚至雙柱計畫之實施增加了不確定性。準此，本次會議重要性不言可喻，值得我國持續注意。
廖元慶
高級法律研究員 編譯整理
Tax challenges of digitalisation: OECD invites public input on the Progress Report on Amount A of Pillar One, OECD official, https://www.oecd.org/tax/beps/oecd-invites-public-input-on-the-progress-report-on-amount-a-of-pillar-one.htm, (last visited Sep. 1, 2022).
Tax challenges of digitalisation: Public consultation meeting on Amount A of Pillar One, OECD official, https://www.oecd.org/tax/beps/public-consultation-meeting-on-amount-a-of-pillar-one-september-2022.htm, (last visited Sep. 1, 2022).
Pillar One – Amount A: Draft Model Rules for Domestic Legislation on Scope, OECD official, https://www.oecd.org/tax/beps/public-consultation-document-pillar-one-amount-a-scope.pdf, (last visited Sep. 1, 2022).
Progress Report on Amount A of Pillar One, OECD official, https://www.oecd.org/tax/beps/progress-report-on-amount-a-of-pillar-one-july-2022.pdf,（last visited Sep. 1, 2022）.
廖元慶，〈取消數位服務稅已為國際趨勢〉，工商時報，名家評論，2021年11月23日報導，網址：https://view.ctee.com.tw/economic/34152.html（最後瀏覽日：2022年9月1日）。
於2025年，Parallel Advisors的理財顧問Nicole Amore（下稱Nicole）向其前雇主Falcon Wealth（下稱Falcon）提起訴訟，請求法院停止Falcon提起的仲裁程序。 本案源自於2025年2月，Nicole自Falcon離職後隨即加入Parallel Advisors，而同年4月，Falcon向仲裁機構申請仲裁，主張Nicole違反合約中關於離職後禁止招攬公司現有或者潛在客戶的規定，指稱Nicole除了下載或截圖公司客戶資訊至其個人設備外，更在尚未離職時即與客戶聯繫，通知客戶其即將轉任新公司之事。 對此，Nicole則援引《加州商業與職業法》第16600條和第16600.5條規定，主張該等競業禁止及限制招攬的條款為違法。 此類因為顧問移轉任職所引發之客戶資訊移轉爭議，在顧問產業中時有所聞，惟目前法院尚未對本案作出裁定，後續發展值得持續關注。 本文為資策會科法所創智中心完成之著作，非經同意或授權，不得為轉載、公開播送、公開傳輸、改作或重製等利用行為。 本文同步刊登於TIPS網站（https://www.tips.org.tw）
歐盟執委會（EC）因根據社群網站使用者的政治觀點投放精準廣告，遭歐盟資料保護監督機關（EDPS）訓誡歐盟資料保護監督機關（European Data Protection Supervisor, EDPS）於2024年12月13日，就歐洲數位權利中心（Noyb - The European Center for Digital Rights，下稱noyb）之申訴做成決定，認定歐盟執委會（European Commission, EC）於社群媒體上依據使用者的政治傾向投放精準廣告，違反歐盟機構資料保護規則（Data Protection Regulation for EU institutions, bodies, offices and agencies, EUDPR），對EC作成訓誡處分。 本案背景事實：EC在2023年9月15日至28日間，於社群網站X上投放了精準廣告，旨在向公眾傳達EC當時正在推動的兒少性剝削防治法（Child Sexual Abuse Regulation, CSAR）草案。該草案本身亦因涉及對數位通訊服務的管制而引發了隱私爭議。EC委託X依照其制定的受眾方針進行廣告投放，該投放方針定義了某些包含和排除關鍵字，和排除了與政治利益相關的帳戶。該政策顯示，包含的關鍵字多與「親歐盟」的立場與情緒相關，包含特定政黨如荷蘭自由民主人民黨（Dutch VVD）；而排除的關鍵字則多與「疑歐論」的立場與情緒相關，如Viktor Orban。X並透過關鍵字定位和相似（look-alike）策略，根據關鍵字和與代表資料（proxy data）相比較下顯示出的相似性，篩選成年荷蘭公民進行精準廣告投放。 Noyb認為此類廣告投放操作已經涉及EUDPR第10條第1項的特種個資（政治立場），在同條第2項之許可性條件未獲滿足之情況下，已構成EUDPR第4條第1項(a)的合法性原則的違反。EC則主張其並未利用X使用者的個人資料，也未打算處理特種個資，只是使用X的服務。EC還主張，為了傳達立法草案，並基於EC依歐盟條約（Treaty of EU, TEU）的提案權，其行為也應該被認為是出於EUDPR第5條第1項(a)的公共利益，具備合法基礎。 EDPS經過調查後，認定： 1.EC透過委託投放廣告和制定受眾方針，決定了資料處理的目的（purpose determination），在此範圍內，也應被認為是資料控制者。 2.社群媒體供應商透過比較和關鍵字分析將使用者歸類為具有某些宗教、哲學或政治信仰，亦屬處理了使用者的特種個資。 3.雖然當事人若屬主動公開特種個資，會滿足EUDPR第10條第2項(e)的許可性條件，但依照歐盟法院判決先例，僅點讚某些貼文不當然等於當事人主動公開其這類動態個人活動資料，且即便當事人使用公開帳戶可能滿足許可性條件，該資料之處理仍須具備合法性基礎。 4.TEU中有關提案權之規定本質上非常籠統，難認包含EC的宣傳活動。因此EC進行的資料處理其實並不符合EUDPR第5條所謂的有明確法律依據要求，從而，難認具備執行符合公共利益的任務之合法基礎。 5.最後，雖然EDPS認為EC違反EUDPR，但也同時認為，廣告已經結束，並無罰款的必要，因此僅對EC做成訓誡處分。
跨國企業呼籲印度政府加強營業秘密保護印度納倫德拉．莫迪（Narendra Modi）政府為了吸引外資，鼓勵跨國企業在印度設立研發單位，目前該國商工部產業政策暨推廣司（Department of Industrial Policy & Promotion）正在研擬新的智財權政策。對此，英特爾日前去函相關權責部門，呼籲印度政府加強營業秘密保護，俾以增加投資者信心，吸引更多外資，甚至要求對竊取者科以刑責，藉此嚇阻不法。 印度目前僅透過普通法及契約法相關原則保護營業秘密，並未如同其他智慧財產權制定專法，使得外國公司不願與在地企業分享知識及技術。英特爾表示，當印度的資訊科技及創新持續成長時，有必要捨棄英國僅以契約保護的模式，透過法律科以相當刑責，確立營業秘密作為智慧財產權的地位。並補充道，營業秘密保護對於新設公司而言也很重要，因為它們可能沒有足夠的資源，就其研發及創新申請專利。 美國貿易代表Micheal Froman在雙邊貿易政策論壇中，也向印度商工部部長Nirmala Sitharaman提出相關議題，但印度政府認為現有法制已足敷使用，僅允諾將與美方代表交換法律文件，以便瞭解彼此法律規定。另名政府官員更明白表示，只不過因為美國最近頒行了統一營業秘密法（Uniform Trade Secret Act），並不表示印度也應該跳上同一艘船。
歐盟資料保護工作小組修正通過個人資料侵害通報指引歐盟資料保護工作小組修正通過「個人資料侵害通報指引」 資訊工業策進會科技法律研究所 法律研究員 李哲明 2018年3月31日 壹、事件摘要 因應歐盟「通用資料保護規則」（The General Data Protection Regulation，或有譯為一般資料保護規則，下簡稱GDPR）執法即將上路，針對個人資料侵害之通報義務，歐盟資料保護工作小組（Article 29 Data Protection Working Party, WP29）特於本（2018）年2月6日修正通過「個人資料侵害通報指引」（Guidelines on Personal data breach notification under Regulation 2016/679），其中就GDPR所規範個資侵害之定義、對監管機關之通報、與個資當事人之溝通、風險及高風險評估、當責與紀錄保存及其他法律文件所規定之通報義務等，均設有詳盡說明與事例。 貳、重點說明 一、何謂個資侵害？個資侵害區分為哪些種類？ 依據GDPR第4條（12）之定義，個資侵害係指：「個人資料因安全性之侵害所導致意外或非法之毀損、喪失、修改、未經授權之揭露、存取、個資傳輸、儲存或其他處理。」舉例來說，個人資料之喪失包括含有控制者（controller）顧客資料庫的備份設備之遺失或遭竊取。另一例子則為整份個資的唯一檔案遭勒索軟體加密，或經控制者加密，但其金鑰已滅失。依據資訊安全三原則，個資侵害之種類區分為： 機密性侵害（Confidentiality breach）：未經授權、意外揭露或獲取個人資料。 完整性侵害（Integrity breach）：未經授權或意外竄改個人資料。 可用性侵害（Availability breach）：在意外或未經授權之情況下，遺失個人資料存取權限或資料遭銷燬。 二、何時應為通知？ 按GDPR第33條（1）之規定，當個資侵害發生時，在如果可行之情況下，控制者應即時（不得無故拖延）於知悉侵害時起72小時內，依第55條之規定，將個資侵害情事通報監管機關。但個資侵害不會對自然人之權利和自由造成風險者，不在此限。倘未能於72小時內通報監管機關者，應敘明遲延之事由。 三、控制者「知悉」時點之判斷標準為何？ 歐盟資料保護工作小組認為，當控制者對發生導致個人資料侵害的安全事件達「合理確信的程度」（reasonable degree of certainty）時，即應視為其已知悉。以具體事例而言，下列情況均屬所謂「知悉」： 在未加密個人資料的情況下遺失USB密鑰（USB Key），通常無法確定是否有未經授權者將獲致存取資料權限。即使控制者可能無法確定是否發生機密性侵害情事，惟仍應為通知，因發生可用性侵害之情事，且已達合理確信的程度。 故應以控制者意識到該密鑰遺失時起為其「知悉」時點。 第三人通知控制者其意外地收到控制者的客戶個人資料，並提供該揭露係未經授權之證據。當侵害保密性之明確證據提交控制者時，即為其「知悉」時點。如：誤寄之電子郵件，經非原定收件人通知寄件者之情形。 當控制者檢測到其網路恐遭入侵，並針對其系統進行檢測以確認個人資料是否遭洩漏，嗣後復經證實情況屬實，此際即屬「知悉」。 網路犯罪者在駭入系統後，聯繫控制者以索要贖金。在這種情況下，控制者經檢測系統並確認受攻擊後，亦屬「知悉」。 值得注意的是，在經個人、媒體組織、其他來源或控制者自我檢測後，控制者或將進行短暫調查，以確定是否發生侵害之事實。於此調查期間內所發現之最新侵害情況，控制者將不會被視為「知悉」。然而，控制者應儘速展開初步調查，以形成是否發生侵害事故之合理確信，隨後可另進行更詳盡之調查。 四、共同（聯合）控制者之義務及其責任分配原則 GDPR第26條針對共同控制者及其如何確定各自之法遵義務，設有相關規定，包括決定由哪一方負責遵循第33條（對主管機關通報）與第34條（對當事人通知）之義務。歐盟資料保護工作小組建議透過共同控制者間之契約協議，約明哪一方係居主要地位者，或須負責盡到個資侵害時，GDPR所定之通知義務，並載於契約條款中。 五、通報監管機關與提供資訊義務 當控制者通報監管機關個資侵害情事時，至少應包括下列事項 （GDPR第33條（3）參照）： 敘述個人資料侵害之性質，包括但不限於所涉之相關個資當事人、個資紀錄及其類別、數量。 傳達資料保護長（DPO）或其他聯絡人之姓名與聯絡方式，俾利獲得進一步資訊。 說明個資侵害可能之後果。 描述控制者為解決個資侵害業已採取或擬採行之措施，在適當情況下，酌情採取措施以減輕可能產生之不利影響。 以上乃GDPR要求通報監管機關之最基本事項，在必要時，控制者仍應盡力提供其他細節。舉例而言，控制者如認為其處理者係個資侵害事件之根因（root cause），此時通報並指明對象即可警示委託同一處理者之其他控制者。 六、分階段通知 鑒於個資事故之性質不一，控制者通常需進一步調查始能確定全部相關事實，GDPR第33條（4）爰設有得分階段通知（notification in phases）之規定。凡於通報時，無法同時提供之資訊，得分階段提供之。但不得有不必要之遲延。同理，在首次通報後之後續調查中，如發現該事件業已受到控制且並未實際發生個資侵害情事，控制者可向監管機關為更新。 七、免通報事由 依據GDPR第33（1）條規定，個資侵害不會對自然人之權利和自由造成風險者，毋庸向監管機關通報。如：該遭洩露之個人資料業經公開使用，故並未對個人資料當事人構成可能的風險。 必須強調的是，在某些情形下，未為通報亦可能代表既有安全維護措施之缺乏或不足。此時監管機關將可能同時針對未為通報（監管機關）或通知（當事人），以及安全維護措施之缺乏或不足，以違反第33條或（及）34條與第32條等獨立義務規定為由，而依第83條4（a）之規定，併予裁罰。 參、事件評析 一、我國企業於歐盟設有分支機構或據點者，宜指派專人負責法遵事宜 揆諸GDPR前揭規定，當個資侵害發生時，控制者應即時且不得無故拖延於知悉時起72小時內，將個資侵害情事通報監管機關。未能履踐義務者，將面臨最高達該企業前一會計年度全球營業額之2%或1千萬歐元，取其較高者之裁罰。我國無論金融業、航運業、航空運輸業、電子製造業及進出口貿易業者等，均或有於歐盟成員國境內或歐洲經濟區（European Economic Area）當地設立子公司或營業據點。因此，在GDPR法遵衝擊的倒數時刻，指派具瞭解GDPR規定、當地個資隱私法遵規範、擅長與隱私執法機構溝通及充要語言能力者專責法遵業務實刻不容緩。蓋此舉可避免我國企業母公司鞭長莫及，未能及時處置而致罹法典之憾。 二、全面檢視個資業務流程，完備個資盤點與風險評鑑作業，掌握企業法遵現況 企業應全面檢視業務流程，先自重要核心業務中析出個資作業流，搭配全面個資盤點，並利用盤點結果進行風險評鑑，再針對其結果就不同等級之風險採行相對應之管控措施。此外，於全業務流程中，亦宜採行最小化蒐集原則，避免蒐集過多不必要之個人資料，尤其是GDPR所定義之敏感個資（如：種族、民族血統、政治觀點、宗教信仰、哲學信仰、工會會員資格等個人資料，及遺傳資料的處理，用於識別特定自然人之生物識別資料、健康資料、性生活、性取向等）或犯罪前科資料，俾降低個人資料蒐集、處理、利用、檔案保存及銷燬之全生命週期流程中的風險。此舉亦契合我國個人資料保護法第5條所揭櫫之原則。 三、立法要求一定規模以上之企業須通過個資隱私法遵第三方認（驗）證，並建置認證資訊公開平台 鑒於國際法遵衝擊以及隱私保護要求之標準線日漸提升，我國企業除自主導入、建置並維運相關個資保護與管理制度以資因應，更有賴政府透過法令（如：修正個人資料保護法）強制要求一定規模以上之企業通過第三方專業驗證，俾消弭風險於日常準備之中。蓋我國具一定規模以上企業，無論其係屬何種業別，一旦違反國際法遵要求，遭致鉅額裁罰，其影響結果將不僅止於單一企業，更將嚴重衝擊該產業乃至於國家整體經貿發展。職是，採法律強制要求企業定期接受獨立、公正及專業第三方認（驗）證，咸有其實益性與必要性。