美國國會通過《2022年保護美國智慧財產法》，加強營業秘密保護力道
美國國會於2022年12月22日通過《2022年保護美國智慧財產法》（Protecting American Intellectual Property Act of 2022），經美國總統拜登（Joe Biden）於2023年1月5日簽署後正式生效。鑒於近年來美國營業秘密外洩事件頻傳，中國大陸和駭客透過各類方式竊取美國的智慧財產，對美國的經濟和國家安全產生重大危害。因此，共和黨參議員Ben Sasse與民主黨參議員Chris Van Hollen於2020年6月共同提出本法，並於2021年4月提出修正版本，期待美國政府進一步採取保護美國營業秘密的具體措施。
本法授權美國政府對涉及營業秘密重大竊盜的外國人及外國實體（foreign entity）實施制裁。重點包含：
1.要求美國總統每年應向國會提出報告，且第一份報告應於本法正式施行後6個月內提出，報告應列出符合以下條件之外國人、外國實體名稱及外國實體的執行長或董事會成員：
(1)故意竊取美國營業秘密，且其行為很可能或已經對美國國家安全、外交、經濟、金融構成重大威脅者；
(2)對上述故意竊取美國營業秘密之行為提供重要的財務、物質、技術、商品、服務等支援，或從中獲得利益者。
2.實施制裁
(1)針對外國實體，本法授權美國政府得實施的制裁手段有12項，包含根據國際緊急經濟權力法（International Emergency Economic Powers Act）凍結其資產、將該實體列入美國商務部的出口管制名單（Entity List）、禁止美國金融機構對該實體提供貸款、拒絕向該實體採購、禁止該實體的外匯交易、禁止美國人投資該實體的股票或債券、限制該實體成員入境、將該實體成員驅逐出境等。美國總統應針對名單中的對象實施至少5項制裁，並可對該外國實體之高層實施上述制裁。
(2)針對外國人，制裁手段包含凍結資產、拒絕入境、撤銷簽證等
3.豁免
總統若認為符合美國國家利益，得豁免對外國人及外國實體之制裁，但應於15天內向國會提交豁免的理由。
本法施行後，美國除了既有的《保護營業秘密法》（Defend Trade Secrets Act of 2016）外，將透過上述的制裁手段強化營業秘密的保護力道。
本文同步刊登於TIPS網站（https://www.tips.org.tw）
- Corey Bauer, Congress Passes The Protecting American Intellectual Property Act of 2022(2022/12/28)
- Protecting American Intellectual Property Act goes to Biden, THE NEWS-PRESS, Dec. 29, 2022
- Intellectual Property Protection Bill Signed Into Law, GOVCONWIRE, Jan. 9, 2023
- S.1294 - Protecting American Intellectual Property Act of 2022, CONGRESS.GOV
謝明均
副法律研究員 編譯整理
Corey Bauer, Congress Passes The Protecting American Intellectual Property Act of 2022(2022/12/28), https://www.jdsupra.com/legalnews/congress-passes-the-protecting-american-5565722/ (last visited Jan. 1, 2023).
Protecting American Intellectual Property Act goes to Biden, THE NEWS-PRESS, Dec. 29, 2022, https://www.ncnewspress.com/2022/12/29/protecting-american-intellectual-property-act-goes-to-biden/ (last visited Jan. 1, 2023).
Intellectual Property Protection Bill Signed Into Law, GOVCONWIRE, Jan. 9, 2023, https://www.govconwire.com/2023/01/protecting-american-intellectual-property-act-signed-into-law/ (last visited Jan. 11, 2023).
S.1294 - Protecting American Intellectual Property Act of 2022, CONGRESS.GOV, https://www.congress.gov/bill/117th-congress/senate-bill/1294/text?r=59&s=1 (last visited Jan. 1, 2023).
日本內閣網路安全中心（内閣サイバーセキュリティセンター）於2018年7月25日發布關鍵基礎設施資訊安全策略第4次行動計畫修正版。此次修正重點，係將「機場（空港）」新增為關鍵基礎設施領域，其目的在於確保機場安全、提供機場乘客與相關人員快速且正確的資訊、避免飛機行李的檢查與運送停止或延遲。 而確保「機場」資安的關鍵基礎設施事故報告與服務維持的指南，則為2018年4月1日發布之「確保機場資訊安全的安全指南第1版（空港分野における情報セキュリティ確保に係る安全ガイドライン第1版）」。 該確保機場資訊安全的安全指南，係參考日本於2015年5月發布之關鍵基礎設施資訊安全對策優先順位參考指南（重要インフラにおける情報セキュリティ対策の優先順位付けに係る手引書第1版）制定，以規劃（Plan）—執行（Do）—查核（Check）—行動（Action）的觀點建立管理與應變對策，將IT障礙分為故意（接收可疑的郵件、內部員工的故意行為、偽造使用者ID、DDos攻擊、非法取得資訊等）、偶發（使用者操作錯誤、使用者管理錯誤、外部受託方的管理錯誤、機器故障、執行可疑的檔案、閱覽可疑的網站、系統的脆弱性、受到其他關鍵基礎設施事故的波及）、環境（災害、疾病）等三大原因，並訂定日本主要的機場與機場大樓業者的責任範圍、適用的個資保護制度、IT安全評估與認證制度、資安稽核制度、資安管理政策及資安控制措施的建議事項。
把生物廢棄物變黃金—英國智庫建議政府應提供更多的財務協助當前科學家正極力從廢棄的生物物質（biomass）中，尋找可以做為燃料使用的資源（biofuel）。使用生物燃料的概念與全球氣候變遷以及石油價格一再攀高有關，生物燃料是指在不影響食物供應的前提下，使用木材、稻桿或麥桿、庭園廢棄物等作為第二代的燃料來源。不過在鼓勵發展生物燃料之餘，發展此一領域之技術卻亦有不可忽略的問題有待解決。 以英國為例，英國法律規定在2010年以前，英國政府必須確保所有公路運輸使用的燃料中，至少有5％是使用生物燃料；而最近英國的能源檢視報告則建議，在2015年前，此項生物燃料使用的門檻值應達10％。英國國家非食用作物研究中心（National Non-Food Crops Centre, NNFCC)近期也提出報告，指出英國每年農作收成後皆剩餘大量的小麥、甜菜，若能輔以更多的政府促進措施，例如租稅減免，則達成2010年5％的門檻指標，並非難事。不過若想要達成2015年10％的指標，英國政府則必須另外從國外進口生物燃料。 生物廢棄物的利用指的是把各地方的廢棄物以及非食用作物拿來轉化成為生物燃料。使用生物燃料最大的缺點是建置成本（start-up costs）過高，舉例來說，使用甜菜或黃豆來生產生質柴油（biodiesel）的成本，每英噸約為700至800歐元，其中把生物廢棄物液態化的過程（biomass to liquids (BTL) process），約需每英噸450至500歐元；而要建置一個第一代生物燃料廠乃至運作，其投資費用高達5千萬歐元，第二代生物燃料的生產所需建置成本，則可能為前述數字的五至十倍。有鑑於此，NNFCC透過經濟模式的運算，建議英國政府應對第二代生物燃料廠提供每公升至少35％的租稅減免優惠（目前英國政府僅給予每公升20％的租稅減免優惠），始能鼓勵民間部門進行相關投資。 另一項發展生物燃料的隱憂則是，由於生物燃料與食物的來源都是取自於自然界的同一資源，發展生物燃料是否反而可能造成食物與燃料的爭戰中，侵蝕自然界的資源，最後反而導致各種價格的上升。
歐盟資料保護工作小組修正通過個人資料侵害通報指引歐盟資料保護工作小組修正通過「個人資料侵害通報指引」 資訊工業策進會科技法律研究所 法律研究員 李哲明 2018年3月31日 壹、事件摘要 因應歐盟「通用資料保護規則」（The General Data Protection Regulation，或有譯為一般資料保護規則，下簡稱GDPR）執法即將上路，針對個人資料侵害之通報義務，歐盟資料保護工作小組（Article 29 Data Protection Working Party, WP29）特於本（2018）年2月6日修正通過「個人資料侵害通報指引」（Guidelines on Personal data breach notification under Regulation 2016/679），其中就GDPR所規範個資侵害之定義、對監管機關之通報、與個資當事人之溝通、風險及高風險評估、當責與紀錄保存及其他法律文件所規定之通報義務等，均設有詳盡說明與事例。 貳、重點說明 一、何謂個資侵害？個資侵害區分為哪些種類？ 依據GDPR第4條（12）之定義，個資侵害係指：「個人資料因安全性之侵害所導致意外或非法之毀損、喪失、修改、未經授權之揭露、存取、個資傳輸、儲存或其他處理。」舉例來說，個人資料之喪失包括含有控制者（controller）顧客資料庫的備份設備之遺失或遭竊取。另一例子則為整份個資的唯一檔案遭勒索軟體加密，或經控制者加密，但其金鑰已滅失。依據資訊安全三原則，個資侵害之種類區分為： 機密性侵害（Confidentiality breach）：未經授權、意外揭露或獲取個人資料。 完整性侵害（Integrity breach）：未經授權或意外竄改個人資料。 可用性侵害（Availability breach）：在意外或未經授權之情況下，遺失個人資料存取權限或資料遭銷燬。 二、何時應為通知？ 按GDPR第33條（1）之規定，當個資侵害發生時，在如果可行之情況下，控制者應即時（不得無故拖延）於知悉侵害時起72小時內，依第55條之規定，將個資侵害情事通報監管機關。但個資侵害不會對自然人之權利和自由造成風險者，不在此限。倘未能於72小時內通報監管機關者，應敘明遲延之事由。 三、控制者「知悉」時點之判斷標準為何？ 歐盟資料保護工作小組認為，當控制者對發生導致個人資料侵害的安全事件達「合理確信的程度」（reasonable degree of certainty）時，即應視為其已知悉。以具體事例而言，下列情況均屬所謂「知悉」： 在未加密個人資料的情況下遺失USB密鑰（USB Key），通常無法確定是否有未經授權者將獲致存取資料權限。即使控制者可能無法確定是否發生機密性侵害情事，惟仍應為通知，因發生可用性侵害之情事，且已達合理確信的程度。 故應以控制者意識到該密鑰遺失時起為其「知悉」時點。 第三人通知控制者其意外地收到控制者的客戶個人資料，並提供該揭露係未經授權之證據。當侵害保密性之明確證據提交控制者時，即為其「知悉」時點。如：誤寄之電子郵件，經非原定收件人通知寄件者之情形。 當控制者檢測到其網路恐遭入侵，並針對其系統進行檢測以確認個人資料是否遭洩漏，嗣後復經證實情況屬實，此際即屬「知悉」。 網路犯罪者在駭入系統後，聯繫控制者以索要贖金。在這種情況下，控制者經檢測系統並確認受攻擊後，亦屬「知悉」。 值得注意的是，在經個人、媒體組織、其他來源或控制者自我檢測後，控制者或將進行短暫調查，以確定是否發生侵害之事實。於此調查期間內所發現之最新侵害情況，控制者將不會被視為「知悉」。然而，控制者應儘速展開初步調查，以形成是否發生侵害事故之合理確信，隨後可另進行更詳盡之調查。 四、共同（聯合）控制者之義務及其責任分配原則 GDPR第26條針對共同控制者及其如何確定各自之法遵義務，設有相關規定，包括決定由哪一方負責遵循第33條（對主管機關通報）與第34條（對當事人通知）之義務。歐盟資料保護工作小組建議透過共同控制者間之契約協議，約明哪一方係居主要地位者，或須負責盡到個資侵害時，GDPR所定之通知義務，並載於契約條款中。 五、通報監管機關與提供資訊義務 當控制者通報監管機關個資侵害情事時，至少應包括下列事項 （GDPR第33條（3）參照）： 敘述個人資料侵害之性質，包括但不限於所涉之相關個資當事人、個資紀錄及其類別、數量。 傳達資料保護長（DPO）或其他聯絡人之姓名與聯絡方式，俾利獲得進一步資訊。 說明個資侵害可能之後果。 描述控制者為解決個資侵害業已採取或擬採行之措施，在適當情況下，酌情採取措施以減輕可能產生之不利影響。 以上乃GDPR要求通報監管機關之最基本事項，在必要時，控制者仍應盡力提供其他細節。舉例而言，控制者如認為其處理者係個資侵害事件之根因（root cause），此時通報並指明對象即可警示委託同一處理者之其他控制者。 六、分階段通知 鑒於個資事故之性質不一，控制者通常需進一步調查始能確定全部相關事實，GDPR第33條（4）爰設有得分階段通知（notification in phases）之規定。凡於通報時，無法同時提供之資訊，得分階段提供之。但不得有不必要之遲延。同理，在首次通報後之後續調查中，如發現該事件業已受到控制且並未實際發生個資侵害情事，控制者可向監管機關為更新。 七、免通報事由 依據GDPR第33（1）條規定，個資侵害不會對自然人之權利和自由造成風險者，毋庸向監管機關通報。如：該遭洩露之個人資料業經公開使用，故並未對個人資料當事人構成可能的風險。 必須強調的是，在某些情形下，未為通報亦可能代表既有安全維護措施之缺乏或不足。此時監管機關將可能同時針對未為通報（監管機關）或通知（當事人），以及安全維護措施之缺乏或不足，以違反第33條或（及）34條與第32條等獨立義務規定為由，而依第83條4（a）之規定，併予裁罰。 參、事件評析 一、我國企業於歐盟設有分支機構或據點者，宜指派專人負責法遵事宜 揆諸GDPR前揭規定，當個資侵害發生時，控制者應即時且不得無故拖延於知悉時起72小時內，將個資侵害情事通報監管機關。未能履踐義務者，將面臨最高達該企業前一會計年度全球營業額之2%或1千萬歐元，取其較高者之裁罰。我國無論金融業、航運業、航空運輸業、電子製造業及進出口貿易業者等，均或有於歐盟成員國境內或歐洲經濟區（European Economic Area）當地設立子公司或營業據點。因此，在GDPR法遵衝擊的倒數時刻，指派具瞭解GDPR規定、當地個資隱私法遵規範、擅長與隱私執法機構溝通及充要語言能力者專責法遵業務實刻不容緩。蓋此舉可避免我國企業母公司鞭長莫及，未能及時處置而致罹法典之憾。 二、全面檢視個資業務流程，完備個資盤點與風險評鑑作業，掌握企業法遵現況 企業應全面檢視業務流程，先自重要核心業務中析出個資作業流，搭配全面個資盤點，並利用盤點結果進行風險評鑑，再針對其結果就不同等級之風險採行相對應之管控措施。此外，於全業務流程中，亦宜採行最小化蒐集原則，避免蒐集過多不必要之個人資料，尤其是GDPR所定義之敏感個資（如：種族、民族血統、政治觀點、宗教信仰、哲學信仰、工會會員資格等個人資料，及遺傳資料的處理，用於識別特定自然人之生物識別資料、健康資料、性生活、性取向等）或犯罪前科資料，俾降低個人資料蒐集、處理、利用、檔案保存及銷燬之全生命週期流程中的風險。此舉亦契合我國個人資料保護法第5條所揭櫫之原則。 三、立法要求一定規模以上之企業須通過個資隱私法遵第三方認（驗）證，並建置認證資訊公開平台 鑒於國際法遵衝擊以及隱私保護要求之標準線日漸提升，我國企業除自主導入、建置並維運相關個資保護與管理制度以資因應，更有賴政府透過法令（如：修正個人資料保護法）強制要求一定規模以上之企業通過第三方專業驗證，俾消弭風險於日常準備之中。蓋我國具一定規模以上企業，無論其係屬何種業別，一旦違反國際法遵要求，遭致鉅額裁罰，其影響結果將不僅止於單一企業，更將嚴重衝擊該產業乃至於國家整體經貿發展。職是，採法律強制要求企業定期接受獨立、公正及專業第三方認（驗）證，咸有其實益性與必要性。
歐盟通過反脅迫規則，將針對他國的經濟脅迫手段採取反制措施歐盟理事會（European Council）表示已與歐盟執委會（European Commission，以下簡稱「執委會」）、議會（European Parliament）於2023年11月22日完成《保護歐盟及其成員國免受第三國經濟脅迫規則》（Regulation on the protection of the Union and its Member States from economic coercion by third countries，以下簡稱「反脅迫規則」）之立法流程，並將於2023年12月27日正式施行生效。 該法起源於中國大陸於2021年為抗議立陶宛（Lithuania）同意我國政府以「臺灣」名義在其首都維爾紐斯（Vilnius）設立代表處，停止輸入多項產品，導致立陶宛對中貿易額大幅降低。歐盟為避免特定國家持續利用此種經濟脅迫手段影響歐盟交易市場與會員國之主權，決定立法採行反制措施，並於2021年之貿易政策回顧（2021 Trade Policy Review）公布《反脅迫規則》之立法框架。 根據《反脅迫規則》，執委會得根據會員國、歐盟議會及其他經濟聯盟所提供之資訊進行職權（ex officio）調查；亦可依照受脅迫之會員國或企業的請求進行調查。在調查階段，執委會會在4個月內判斷特定國家之行為是否確實造成經濟脅迫，若確實存在，將進一步評估其對歐盟帶來之影響。調查完成後，若他國政府確實對歐盟成員國或企業實施經濟脅迫手段，執委會將提交報告與理事會進行決議，通過後，執委會將先採行不干涉措施（non-interventionist measures），與實施經濟脅迫手段之國家進行協商，並要求賠償因經濟脅迫而產生的損害。若採行不干涉措施後仍無改善，執委會得考慮採行干涉措施（interventionist measures），包含但不限於限制特定企業進入歐盟市場與投標政府採購案；終止對特定國家的關稅優惠，並課予額外之關稅等，以阻止該特定國家繼續干擾歐盟經濟體。