OECD就全球企業最低稅負制發布避風港規則
經濟合作暨發展組織（下稱OECD）於2022年12月20日發布全球企業最低稅負制（即第二支柱，下稱最低稅負制）的「避風港與罰款免除規則」，再於2023年2月2日發布進階行政指引。系爭規則與指引旨在協助跨國企業降低法律遵循成本。
經蓋最低稅負制為防免跨國企業以稅捐規劃（如移轉訂價等方式）持續侵蝕稅基，透過實施補充稅（Top-up Tax）制度，並配合所得涵蓋與徵稅不足支出等原則，即向上或向下分配等方式，確保全球收入逾7.5億歐元的跨國企業及其所有經濟實體的個別有效稅率均不低於15％。
經上述補充稅制度看似簡單，惟其實施同時涉及各國相互合作與彼此補充稅間可能的零和遊戲，徵之各國境內稅捐制度調整、現有國際稅捐規則的淘換與新國際稅捐規則的建立等交互作用下，導致OECD與最低稅負制有關文件繁多，內容細項更不計可數，增添不確定性；另外，包含我國在內的許多國家均表示將於2024年起陸續實施全球企業最低稅負制，再增添急迫性。此不確定性與急迫性的雙重夾擊，致使受規範跨國企業法律遵循成本持續增加。
經準此，為避免最低稅負制不當限制跨國企業發展，甚至有害全球經濟，OECD提出避風港條款，使位於高稅負或低風險稅捐管轄區的跨國企業或其經濟實體得減免其補充稅或簡化其計算基礎等，提高補充稅制度確定性以協助降低跨國企業法律遵循成本。
- Further progress on two-pillar solution: OECD releases consultation document on the withdrawal of digital service taxes and other relevant similar measures under Pillar One and an implementation package for Pillar Two, OECD
- International tax reform: OECD releases technical guidance for implementation of the global minimum tax, OECD
廖元慶
高級法律研究員 編譯整理
Further progress on two-pillar solution: OECD releases consultation document on the withdrawal of digital service taxes and other relevant similar measures under Pillar One and an implementation package for Pillar Two, OECD, https://www.oecd.org/tax/further-progress-on-two-pillar-solution-oecd-releases-consultation-document-on-the-withdrawal-of-digital-service-taxes-and-other-relevant-similar-measures-under-pillar-one-and-an-implementation-package-for-pillar-two.htm, (last visited April. 6, 2023)
International tax reform: OECD releases technical guidance for implementation of the global minimum tax, OECD, https://www.oecd.org/tax/international-tax-reform-oecd-releases-technical-guidance-for-implementation-of-the-global-minimum-tax.htm, (last visited April. 6, 2023)
OECD, Safe Harbours and Penalty Relief: Global Anti-Base Erosion Rules (Pillar Two) , https://www.oecd.org/tax/beps/safe-harbours-and-penalty-relief-global-anti-base-erosion-rules-pillar-two.pdf, (last visited April. 6, 2023)
OECD, Tax Challenges Arising from the Digitalisation of the Economy – Administrative Guidance on the Global Anti-Base Erosion Model Rules (Pillar Two), https://www.oecd.org/tax/beps/agreed-administrative-guidance-for-the-pillar-two-globe-rules.pdf, (last visited April. 6, 2023)
廖元慶，〈從全球企業最低稅負制看護國群山條款〉，《科技法律透析》，第34卷第12期，財團法人資訊工業策進會，頁26以下。
美國專利商標局（The United States Patent and Trademark Office, USPTO）於今年7月1日發布新聞稿，即專利審判及上訴委員會（Patent Trial and Appeal Board, PTAB）開始加速處理單方上訴的計畫。該計畫名為「快軌上訴試驗計畫（Fast-Track Appeals Pilot Program）」並於今年7月2日正式啟動。 根據該計畫，專利審判及上訴委員會上訴裁決的目標時間預計為該上訴被賦予快軌（即批准加速審查）之日起六個月內，此與美國專利商標局之期望相符。蓋目前單方面上訴的裁決時間平均約14個月，因此，對於申請該計畫的人來說，該計畫平均應將上訴程序縮短約8個月。惟申請該計畫所需費用為400美元，且被批准的申請案會被限制在每季125件，會計年度最多500件，預計施行一年。 美國商務部負責智慧財產權事務副部長兼USPTO局長Andrei Iancu表示：「這是USPTO史上首次，申請人將能夠加快專利審查和單方上訴的速度，從而能較典型申請案約一半的時間內，就其最重要的發明做出決定。」。PTAB首席法官Scott Boalick亦表示：「近年來，我們取得了長足的進步，將上訴待決時間從2015年的平均30個月減少到目前的平均14個月。很高興PTAB現在能夠為申請人提供更快的途徑，從而使發明人和企業能夠更快地將其專利發明商業化。」 值得一提的是，我國智慧財產局亦有發明專利加速審查（Accelerated Examination Program, AEP）及商標加速審查機制。而AEP更早於民國98年1月1日起試辦實施，依據申請事由之不同，智財局將在申請人齊備相關文件後，於6個月內或9個月內發出審查結果通知。
新加坡個人資料保護委員會2017年7月發布資料共享指引新加坡個人資料保護委員會(Personal Data Protection Commission, PDPC)於2017年7月27日發布資料共享指引(GUIDE TO DATA SHARING)，該指引協助組織遵守新加坡2012年個人資料保護法(Personal Data Protection Act 2012, PDPA)，並提供組織內部和組織之間的個資共享指引，例如得否共享個資，與如何應用，以確保符合PDPA共享個資之適當方法；並得將特定資料共享而豁免PDPA規範。該指引共分為三部分，並有附件A、B。 指引的第一部分為引言，關於資料共享區分為三種類型探討： 在同一組織內或關係組織間共享 與資料中介機構共享(依契約約定資料留存與保護義務) 與一個或多個組織共享(在不同私部門間、公私部門間) 共享包含向一或多組織為利用、揭露或後續蒐集個資；而在組織內共享個人已同意利用之個資，組織還應制定內部政策，防止濫用，並避免未經授權的處理、利用與揭露；還應考慮共享的預期目的，以及共享可能產生的潛在利益與風險。若組織在未經同意的情況下共享個資，必須確保根據PDPA的相關例外或豁免之規定。 指引的第二部分則在決定共享資料前應考慮的因素： 共享目的為何？是否適當？ 共享的個資類型為何？是否與預期目的相關？ 在該預期目的下，匿名資料是否足以代替個資？ 共享是否需要得同意？是否有例外? 即使無須同意，是否需通知共享目的？ 共享是否涉及個資跨境傳輸? 上述因素還能更細緻對應到附件A所列應思考問題，附件B則有相關作業流程範例。 指引的第三部分，具體說明如何共享個資，與資料共享應注意規範，並提供具體案例參考，值得作為組織遵守新加坡個人資料保護規範與資料共享之參考依據。
英國資訊委員辦公室（ICO）進行監理沙盒初步公眾意見徵詢英國資訊委員辦公室（Information Commissioner's Office, ICO）2018年9月就監理沙盒為初步公眾意見徵詢，以瞭解其可行性。ICO監理沙盒之建立係依據英國2018-2021年科技策略（Technology Strategy for 2018-2021），並參考英國金融行為監理總署（Financial Conduct Authority, FCA）已成功發展之沙盒機制。ICO將提供組織於安全可控且不排除資料保護法規適用的環境下，以創新方式應用個資於開發創新產品與服務，並提供關於降低風險與資料保護設計（data protection by design）的專業知識和建議，同時確保組織採取適當安全維護措施。徵詢重點分為六部分： 障礙和挑戰（Barriers and Challenges）：歐盟一般資料保護規則（General Data Protection Regulation, GDPR）或英國2018年資料保護法（Data Protection Act 2018, DPA18）之適用，以及ICO之監管方法，是否造成組織以創新方式應用個資於開發創新產品與服務之障礙或挑戰。 適用之可能範圍（Possible scope of an ICO Sandbox） 了解參與益處（Understanding the benefits of involvement） 機制（Sandbox mechanisms）：於監理沙盒機制下不同階段提供指導，初期就如何解決資料保護相關問題提供非正式之指導（informal steers）；中期提供法律允許與具適當保護措施之監管指導，如對參與者進入沙盒期間內非故意違反資料保護原則之行為，不會立即受到制裁之聲明函（letters of comfort）、確認組織未違反相關資料保護法規等；以及針對新興技術和創新特定領域，提供解決資料保護挑戰之預期指導（anticipatory guidance），如訂定相關行為準則（code of conduct）。 時機（Sandbox timings）：包含開放申請進入沙盒時點、進入模式、是否彈性因應產品開發週期、測試階段期間等。 管理需求（Managing Demand）：如設定優先進入沙盒領域、類型、設定參與者數量上限等。 該諮詢於10月12日結束，2018年底將公布結果，值得持續追蹤，以瞭解ICO監理沙盒未來之發展。 ICO亦接續於10月建立監管機關業務和隱私創新中心（Regulators’Business and Privacy Innovation Hub），與其他監管機關合作提供資料保護之專業知識，以確保法規與未來的技術同步發展；該中心也將與ICO監理沙盒共同推動，支持組織以不同方式使用個資開發創新產品和服務。
美國奧克拉荷馬州修正《個資事故通報法》，擴充個資定義範圍並強化通報機制美國奧克拉荷馬州修正《個資事故通報法》，擴充個資定義範圍並強化通報機制 資訊工業策進會科技法律研究所 2025年07月22日 現行我國關於非公務機關就個資事故進行通報之規定，散落於各中央目的事業主管機關制定之各業別個人資料檔案安全維護管理辦法或相關辦法中，且前揭各辦法對於通報之標準不盡相同。各國主管機關紛紛強化個資治理法制，而美國奧克拉荷馬州修正關於個人資料定義、適當防護措施及個資事故通報機制等事項，以建立更完善之規範。 壹、事件摘要 美國奧克拉荷馬州議會業於2025年5月20日通過第626號法案（Senate Bill 626）[1]，修正《個資事故通報法》（Security Breach Notification Act）[2]，其目的係為補充現行治理規範之不足，修正重點涵蓋：擴充法定用詞之定義，針對「個人資料」（Personal Information）與「適當防護措施」（Reasonable Safeguards）等條文予以補充與增列；強化個資事故（Breach of the security of a system）之通報機制與設立豁免條款，並釐清與其他法規間之適用關係；以及修訂違法情事之民事裁罰。此外，本次修法亦明定，若機構或個人已採取適當防護措施，得作為民事訴訟中之抗辯理由。本法將自2026年1月1日起正式生效，並適用於自該日起所發現、判定或通報之個資事故，相關單位應即早進行法遵準備，以確保制度落實。 貳、修法重點 本次修法主要包含三大核心面向，簡要說明如下： 一、擴充法定用詞之定義 （一）個人資料 於現行法規對個人資料之定義下，再增加新資料類別： 1.與驗證碼、存取碼或密碼結合使用時，可用以登入特定個人金融帳戶之專屬電子識別碼（Electronic Identifier）或路由代碼（Routing Code）； 2.用以辨識特定自然人之獨特生物特徵資料，例如指紋、視網膜或虹膜影像，或其他具體實體或數位形式之生物辨識資料。 （二）適當防護措施 適當防護措施係指，為確保個人資料安全而考量組織或機構之規模、產業別、以及保有之個資類別與數量所制定之政策及作業實務。此概念包括但不限於：進行風險評估、建立技術面及實體面之多層次保護機制、對人員實施教育訓練，及建立個資事故應變計畫等。 二、強化事故通報機制與設立豁免條款 本法要求於發現系統個資事故並已通知受影響之當事人後，應於60日內向州檢察總長（Attorney General）提交書面通報，載明涉及之個人資料類別、事故性質、受影響人數、預估之財務損失、所採行之適當防護措施等必要內容。惟若事故影響人數低於500名州民，或事故發生於徵信機構且影響人數未達1,000人，則可免除向檢察總長通報之義務。 此外，本法明確規範，若特定機構已依據其他法律，如《奧克拉荷馬州醫療資安保護法》（Oklahoma Hospital Cybersecurity Protection Act of 2023）或聯邦《健康保險可攜及責任法》（Health Insurance Portability and Accountability Act of 1996）等履行相關通報義務，則視為已符合本法之要求。 三、民事裁罰 本法明定，民事罰鍰之裁量將審酌事故規模、事故發生後組織之因應作為及是否履行事故通報義務等因素而定，以確保裁量之比例原則。裁量情形說明如下： 1.若機構已採行適當防護措施且依法進行事故通報者，得免除民事責任； 2.若未採取適當防護措施，惟仍依規定完成事故通報者，則須負擔實際損害賠償責任並處以最高75,000美元罰鍰； 3.未落實適當防護措施與事故通報法定義務者，最高處以150,000美元罰鍰。 參、事件評析 本次修法可見奧克拉荷馬州就數位時代資安威脅所採行之積極因應作為，其修正重點包含：擴充個人資料之定義並明定適當防護措施之內容，俾利降低企業法遵成本及法律適用之不確定性；強化事故通報機制並設置合理豁免條款，以確保資訊透明度；於罰則規範中明定民事罰鍰之裁量，應審酌事故規模及是否履行事故通報義務等因素，以符合比例原則。 有鑑於本法修正後所課予之法定義務，建議企業應採行下列因應措施：(1)全面盤點所保有之個人資料，尤應注意新增納管之電子識別碼及生物特徵等資料；(2)檢視並強化現有防護機制，確保符合適當防護措施之要求；(3)建立標準化通報應變程序；(4)強化教育訓練。此外，企業宜定期檢視法規動態，以確保持續符合法規要求。 [1] Bill Information for SB 626, OKLAHOMA STATE LEGISLATURE, http://www.oklegislature.gov/BillInfo.aspx?Bill=sb626&Session=2500 (last visited June 1, 2025). [2] BILL NO. 626, OKLAHOMA STATE LEGISLATURE, https://www.oklegislature.gov/cf_pdf/2025-26%20ENR/SB/SB626%20ENR.PDF (last visited June 2, 2025).