美國歐盟貿易和技術委員會發布第四次聯合聲明，強化高科技技術及貿易安全合作
美國歐盟貿易和技術委員會（Trade and Technology Council，簡稱TTC）第四次部長級會議於2023年5月31日發布聯合聲明。TTC繼續作為美國和歐盟對俄羅斯在烏克蘭戰爭中協調及有效反應的平台，處理包括與制裁相關的出口限制、打擊外國資訊操縱和干擾，以及破壞人權並威脅到當事國及第三國民主制度的運作和社會福祉等議題。
本次TTC聯合聲明之五大議題重點介紹如下：
（1）強化跨大西洋新興技術合作以實現美歐共同領導：包括監控與衡量現有和新出現的人工智慧風險；發展智慧電網下智慧移動標準及互通性（Interoperability）；提升半導體供應鏈的合作，包括鼓勵研發、資訊共享；建立工作小組共同處理量子技術問題。
（2）促進貿易及投資的永續性與新機會：乾淨能源補助；避免關鍵礦物供應受地緣政治影響；藉由數位工具提升貿易便捷的合作；相互承認醫藥品製造實務作法等。
（3）貿易、安全和經濟繁榮：出口管制與制裁相關出口限制的合作；交換對於與國安風險有關的特定敏感技術及關鍵設施投資審查的看法；重視對外投資管制，以保護敏感技術不流於對國際和平與安全有疑慮的用途；討論非市場政策與實務、及經濟脅迫（Coercion）的威脅與挑戰。
（4）連結性（Connectivity）和數位基礎設施：加速合作發展6G無線通訊系統；國際連通性與海底電纜計畫。
（5）在不斷變化的地緣政治數位環境中捍衛人權和價值觀：建構具透明性與可問責之線上平台；處理在第三國進行外國資料操縱與干預議題。
TTC將透過各工作小組，持續關注、研究上述議題的發展，並預計於2023年底於美國再次召開會議，檢視合作的成果。
本文為「經濟部產業技術司科技專案成果」
陳奕夫
專案經理 編譯整理
The White House, U.S.-EU Joint Statement of the Trade and Technology Council (2023), https://www.whitehouse.gov/briefing-room/statements-releases/2023/05/31/u-s-eu-joint-statement-of-the-trade-and-technology-council-2/ (last visited July 7, 2023).
European Commission, EU-US Trade and Technology Council enhances cooperation in emerging technologies, sustainable trade and economic security (2023), https://ec.europa.eu/commission/presscorner/detail/en/ip_23_2922 (last visited July 7, 2023).
許祐寧，〈美國與歐盟成立貿易與科技理事會TTC，藉由十大領域工作小組強化雙方貿易與技術合作〉，資訊工業策進會科技法律研究所，2022/01，https://stli.iii.org.tw/article-detail.aspx?tp=1&d=8776&no=64（最後瀏覽日：2023/07/07）。
歐盟資料保護工作小組修正通過「個人資料侵害通報指引」 資訊工業策進會科技法律研究所 法律研究員 李哲明 2018年3月31日 壹、事件摘要 因應歐盟「通用資料保護規則」（The General Data Protection Regulation，或有譯為一般資料保護規則，下簡稱GDPR）執法即將上路，針對個人資料侵害之通報義務，歐盟資料保護工作小組（Article 29 Data Protection Working Party, WP29）特於本（2018）年2月6日修正通過「個人資料侵害通報指引」（Guidelines on Personal data breach notification under Regulation 2016/679），其中就GDPR所規範個資侵害之定義、對監管機關之通報、與個資當事人之溝通、風險及高風險評估、當責與紀錄保存及其他法律文件所規定之通報義務等，均設有詳盡說明與事例。 貳、重點說明 一、何謂個資侵害？個資侵害區分為哪些種類？ 依據GDPR第4條（12）之定義，個資侵害係指：「個人資料因安全性之侵害所導致意外或非法之毀損、喪失、修改、未經授權之揭露、存取、個資傳輸、儲存或其他處理。」舉例來說，個人資料之喪失包括含有控制者（controller）顧客資料庫的備份設備之遺失或遭竊取。另一例子則為整份個資的唯一檔案遭勒索軟體加密，或經控制者加密，但其金鑰已滅失。依據資訊安全三原則，個資侵害之種類區分為： 機密性侵害（Confidentiality breach）：未經授權、意外揭露或獲取個人資料。 完整性侵害（Integrity breach）：未經授權或意外竄改個人資料。 可用性侵害（Availability breach）：在意外或未經授權之情況下，遺失個人資料存取權限或資料遭銷燬。 二、何時應為通知？ 按GDPR第33條（1）之規定，當個資侵害發生時，在如果可行之情況下，控制者應即時（不得無故拖延）於知悉侵害時起72小時內，依第55條之規定，將個資侵害情事通報監管機關。但個資侵害不會對自然人之權利和自由造成風險者，不在此限。倘未能於72小時內通報監管機關者，應敘明遲延之事由。 三、控制者「知悉」時點之判斷標準為何？ 歐盟資料保護工作小組認為，當控制者對發生導致個人資料侵害的安全事件達「合理確信的程度」（reasonable degree of certainty）時，即應視為其已知悉。以具體事例而言，下列情況均屬所謂「知悉」： 在未加密個人資料的情況下遺失USB密鑰（USB Key），通常無法確定是否有未經授權者將獲致存取資料權限。即使控制者可能無法確定是否發生機密性侵害情事，惟仍應為通知，因發生可用性侵害之情事，且已達合理確信的程度。 故應以控制者意識到該密鑰遺失時起為其「知悉」時點。 第三人通知控制者其意外地收到控制者的客戶個人資料，並提供該揭露係未經授權之證據。當侵害保密性之明確證據提交控制者時，即為其「知悉」時點。如：誤寄之電子郵件，經非原定收件人通知寄件者之情形。 當控制者檢測到其網路恐遭入侵，並針對其系統進行檢測以確認個人資料是否遭洩漏，嗣後復經證實情況屬實，此際即屬「知悉」。 網路犯罪者在駭入系統後，聯繫控制者以索要贖金。在這種情況下，控制者經檢測系統並確認受攻擊後，亦屬「知悉」。 值得注意的是，在經個人、媒體組織、其他來源或控制者自我檢測後，控制者或將進行短暫調查，以確定是否發生侵害之事實。於此調查期間內所發現之最新侵害情況，控制者將不會被視為「知悉」。然而，控制者應儘速展開初步調查，以形成是否發生侵害事故之合理確信，隨後可另進行更詳盡之調查。 四、共同（聯合）控制者之義務及其責任分配原則 GDPR第26條針對共同控制者及其如何確定各自之法遵義務，設有相關規定，包括決定由哪一方負責遵循第33條（對主管機關通報）與第34條（對當事人通知）之義務。歐盟資料保護工作小組建議透過共同控制者間之契約協議，約明哪一方係居主要地位者，或須負責盡到個資侵害時，GDPR所定之通知義務，並載於契約條款中。 五、通報監管機關與提供資訊義務 當控制者通報監管機關個資侵害情事時，至少應包括下列事項 （GDPR第33條（3）參照）： 敘述個人資料侵害之性質，包括但不限於所涉之相關個資當事人、個資紀錄及其類別、數量。 傳達資料保護長（DPO）或其他聯絡人之姓名與聯絡方式，俾利獲得進一步資訊。 說明個資侵害可能之後果。 描述控制者為解決個資侵害業已採取或擬採行之措施，在適當情況下，酌情採取措施以減輕可能產生之不利影響。 以上乃GDPR要求通報監管機關之最基本事項，在必要時，控制者仍應盡力提供其他細節。舉例而言，控制者如認為其處理者係個資侵害事件之根因（root cause），此時通報並指明對象即可警示委託同一處理者之其他控制者。 六、分階段通知 鑒於個資事故之性質不一，控制者通常需進一步調查始能確定全部相關事實，GDPR第33條（4）爰設有得分階段通知（notification in phases）之規定。凡於通報時，無法同時提供之資訊，得分階段提供之。但不得有不必要之遲延。同理，在首次通報後之後續調查中，如發現該事件業已受到控制且並未實際發生個資侵害情事，控制者可向監管機關為更新。 七、免通報事由 依據GDPR第33（1）條規定，個資侵害不會對自然人之權利和自由造成風險者，毋庸向監管機關通報。如：該遭洩露之個人資料業經公開使用，故並未對個人資料當事人構成可能的風險。 必須強調的是，在某些情形下，未為通報亦可能代表既有安全維護措施之缺乏或不足。此時監管機關將可能同時針對未為通報（監管機關）或通知（當事人），以及安全維護措施之缺乏或不足，以違反第33條或（及）34條與第32條等獨立義務規定為由，而依第83條4（a）之規定，併予裁罰。 參、事件評析 一、我國企業於歐盟設有分支機構或據點者，宜指派專人負責法遵事宜 揆諸GDPR前揭規定，當個資侵害發生時，控制者應即時且不得無故拖延於知悉時起72小時內，將個資侵害情事通報監管機關。未能履踐義務者，將面臨最高達該企業前一會計年度全球營業額之2%或1千萬歐元，取其較高者之裁罰。我國無論金融業、航運業、航空運輸業、電子製造業及進出口貿易業者等，均或有於歐盟成員國境內或歐洲經濟區（European Economic Area）當地設立子公司或營業據點。因此，在GDPR法遵衝擊的倒數時刻，指派具瞭解GDPR規定、當地個資隱私法遵規範、擅長與隱私執法機構溝通及充要語言能力者專責法遵業務實刻不容緩。蓋此舉可避免我國企業母公司鞭長莫及，未能及時處置而致罹法典之憾。 二、全面檢視個資業務流程，完備個資盤點與風險評鑑作業，掌握企業法遵現況 企業應全面檢視業務流程，先自重要核心業務中析出個資作業流，搭配全面個資盤點，並利用盤點結果進行風險評鑑，再針對其結果就不同等級之風險採行相對應之管控措施。此外，於全業務流程中，亦宜採行最小化蒐集原則，避免蒐集過多不必要之個人資料，尤其是GDPR所定義之敏感個資（如：種族、民族血統、政治觀點、宗教信仰、哲學信仰、工會會員資格等個人資料，及遺傳資料的處理，用於識別特定自然人之生物識別資料、健康資料、性生活、性取向等）或犯罪前科資料，俾降低個人資料蒐集、處理、利用、檔案保存及銷燬之全生命週期流程中的風險。此舉亦契合我國個人資料保護法第5條所揭櫫之原則。 三、立法要求一定規模以上之企業須通過個資隱私法遵第三方認（驗）證，並建置認證資訊公開平台 鑒於國際法遵衝擊以及隱私保護要求之標準線日漸提升，我國企業除自主導入、建置並維運相關個資保護與管理制度以資因應，更有賴政府透過法令（如：修正個人資料保護法）強制要求一定規模以上之企業通過第三方專業驗證，俾消弭風險於日常準備之中。蓋我國具一定規模以上企業，無論其係屬何種業別，一旦違反國際法遵要求，遭致鉅額裁罰，其影響結果將不僅止於單一企業，更將嚴重衝擊該產業乃至於國家整體經貿發展。職是，採法律強制要求企業定期接受獨立、公正及專業第三方認（驗）證，咸有其實益性與必要性。
高通案發展趨勢－美國聯邦地院判決與我國公平會和解決定高通案發展趨勢－美國聯邦地院判決與我國公平會和解決定 財團法人資訊工業策進會科技法律研究所 許祐寧 法律研究員 2019年09月10日 壹、前情提要 美國高通公司擁有大量標準必要專利（Standard Essential Patent, SEP），並運用三大商業模式（拒絕授權競爭對手、沒授權沒晶片、排他性獨家交易），對於行動通訊市場產生強大影響力，進而引發獨占甚至壟斷市場之疑慮，包括中國大陸、韓國、美國、歐盟等國際競爭主管機關，相繼對高通商業模式展開調查，近期多數國家已做出初步決定。 我國部分，2017年10月11日，公平交易委員會（簡稱公平會）以高通濫用市場支配地位，裁罰234億台幣；2018年8月10日，公平會旋即以產業經濟發展為由，與高通達成和解。而近期美國聯邦地方法院，針對美國聯邦貿易委員會（Federal Trade Commission, FTC）控訴高通違反反托拉斯規則作出第一審判決，認定高通商業模式違法並要求改正。本文以下針對我國及美國高通案近來判決走向為分析，提供SEP與反托拉斯法制及產業經濟發展政策面向的相關思考。 貳、我國高通案近來走向 2018年8月10日，我國公平會與高通達成訴訟上和解，高通並承諾在臺進行5年產業投資方案。和解內容中，針對手持設備廠，高通應本於善意重新協商授權條款、遵守行動通訊SEP授權之無歧視性待遇，降低整隻授權計價，以維持我國產品的國際競爭力；然而晶片廠部分，高通雖承諾不再簽署獨家交易之折讓約定，但實際上，我國和解案並未改變高通授權模式，高通仍無須授權晶片予競爭對手，商業模式未被打破。[1] 對於我國公平會的和解決定，各界有不同意見。立法院於2018年9月的立法院報告指出：「公平會職司管制及維護市場競爭秩序，主要權限在公平法案件之調查、審議及處分等；如確要促進投資、提升產業及技術發展，似應由各該主管機關另循其他途徑」[2]。監察院更於2019年5月21日，對公平會提起糾正，理由為公平會於高通案「過度介入市場機制，且以投資換罰鍰違反不當聯結禁止原則，和解磋商僅4個月完成，歷程倉促，未公開透明」[3]。 針對各界意見公平會發表聲明，強調以訴訟和解方式解決爭議，兼顧競爭機制的正常運作及促進產業經濟利益，並提出四項說明：（1）公平會與高通和解，是依法行使行政訴訟法所賦予的權利。（2）公平會為合議制獨立機關，監察院應尊重公平會和解專業判斷。（3）本案和解決定兼顧競爭機制與產業經濟利益。（4）政府將持續監督高通對產業投資方案的執行情況，5年執行期間內持續進行追蹤管考，維護市場競爭機制及廠商權益。[4] 參、美國聯邦地方法院高通案見解 2019年5月21日美國加州北區聯邦地方法院對高通案做出判決，認定高通商業模式侵害晶片競爭對手、手持設備廠及終端消費者權益，違反反托拉斯規則，要求七年內完成改正措施：（1）高通必須與客戶重談授權協議，不得以威脅切斷供貨等手段從事不公平競爭。（2）應以公平合理價格向其他競爭晶片廠商授權專利。（3）禁止和蘋果等智慧手機廠商簽訂排他性獨家供貨協議。[5]對此，高通表示不服，認為法院判決將引發「嚴重法律問題」，且法院排除2018年3月截止後的證據（例如蘋果改用英特爾，顯示高通並未箝制市場等），該判決已嚴重影響高通業務之執行，必將積極上訴救濟。[6] 針對美國聯邦地方法院判決，亦有不同看法。2019年7月16日美國司法部反托拉斯署對聯邦地院高通案判決發表聲明，以高通仍有勝訴可能為由，請求高通案暫緩執行。首先，聯邦地院判決高通濫用市場地位一案實不利競爭、創新與國家安全，判決容有質疑空間：包括授權金過高與反托拉斯違反間無直接關聯性、FRAND並非強制授權義務、高通並無惡意破壞競爭之行為等。再者，聯邦地院未舉行聽證會，卻要求高通支付鉅額損害賠償金，程序上未有保障。最後，是公共利益考量，美國國防部與能源部亦對此擬具建議文件，共同強調高通在美國5G供應鏈與國家資通訊安全發展的重要性。[7] 肆、評析 美國聯邦地院對高通案判決，支持先前美國FTC對高通指控，認定高通商業模式違反反托拉斯法；但美國司法部及相關部會因5G產業發展、中美貿易戰及國家資通訊安全等理由主張應維護高通，高通是否會在美國敗訴進而改變商業模式，重塑全球資通訊產業市場布局，未來仍應被持續關注。 至於我國公平會與高通和解部分，最大爭議在於，公平會作為維護市場競爭的獨立機關，何以產業經濟發展為由，逕行與高通達成和解？對此，依據公平交易法第1條，公平交易相關法制的訂定，包含維護交易秩序與消費者利益、確保自由與公平競爭，促進經濟之安定與繁榮等面向；產業經濟發展未嘗不是公平競爭秩序的考量要素之一。 另有論者質疑，美國聯邦地院判決，會不會使我國公平會的訴訟和解結果顯得不合理？且各國高通訴訟案部份尚在進行，公平會是否有必要迅速與高通達成和解？反托拉斯案講求市場特性與個案判斷，必須依照各別市場產業模式判斷高通的商業模式是否會侵害市場競爭秩序、剝奪消費者選擇機會。故各國競爭主管機關應依據案件事實與市場競爭進行判斷，結果自有不同不可一概而論。公平會與高通既已達成訴訟上和解，僅代表我國競爭主管機關認定，高通商業模式依照和解條件改正後不致侵害市場公平競爭與消費者權益，並期待以投資產業換取5G研發布局合作機會。未來，依據我國公平會與高通的和解條件，應持續追蹤並督促高通確實履行對臺產業投資方案等相關計畫。[8] [1]〈本會與Qualcomm Incorporated於智慧財產法院合議庭試行和解下，達成訴訟上和解〉，公平交易委員會新聞資料，2018年8月10日，https://www.ftc.gov.tw/internet/main/doc/docDetail.aspx?uid=126&docid=15551（最後瀏覽日：2019/09/23）。 [2]〈公平會處分高通案成立訴訟和解內容所涉權限之研析〉，立法院議題研析，2018年9月4日，https://www.ly.gov.tw/Pages/Detail.aspx?nodeid=6590&pid=173380（最後瀏覽日: 2019/09/23）。 [3]〈監察委員新聞稿〉，監察院，108年5月21日，https://www.cy.gov.tw/sp.asp?xdURL=./di/Message/message_1t2.asp&ctNode=2394&mp=1&msg_id=7111（最後瀏覽日: 2019/09/23）。 [4] 〈高通案和解遭糾正，公平會：兼顧競爭與產業利益〉，中央社，2019年05月30 日，https://money.udn.com/money/story/5612/3842772（最後瀏覽日: 2019/09/23）。 [5] FEDERAL TRADE COMMISSION v. QUALCOMM INCORPORATED, Case No. 17-CV-00220-LHK(2019). [6] Qualcomm Strongly Disagrees with Ruling in FTC Case and Will Seek Immediate Stay and Appeal of Ruling, Qualcomm, May 22, 2019, https://www.qualcomm.com/news/releases/2019/05/22/qualcomm-strongly-disagrees-ruling-ftc-case-and-will-seek-immediate-stay (last visited Sep. 23, 2019). [7] UNITED STATES' STATEMENT OF INTEREST CONCERNING QUALCOMM'S MOTION FOR PARTIAL STAY OF INJUNCTION PENDING APPEAL, U.S. Department of Justice, July 16, 2019, https://www.justice.gov/atr/case-document/369345 (last visited Sep.23, 2019). [8]〈回應有關立法院國民黨團召開「公平會遭監察院糾正」記者會一事公平會說明〉，公平交易委員會新聞資料，108年5月23日，https://www.ftc.gov.tw/internet/main/doc/docDetail.aspx?uid=126&docid=15886（最後瀏覽日: 2019/09/23）。
美國通過「開放、公開、電子化與必要的政府資料法」(Open, Public, Electronic, and Necessary Government Data Act)美國於2019年1月通過「開放、公開、電子化與必要的政府資料法」(Open, Public, Electronic, and Necessary Government Data Act)，以下簡稱「政府資料公開法」，於2018年12月經參議院、眾議院通過後，2019年1月14日經美國總統川普簽署公布，為具拘束力的聯邦法。 聯邦政府往往擁有大量的寶貴資料，本法旨在要求聯邦政府機關在網路上開放發布其非敏感性資料時，應以機器可讀取的格式為之，使之更容易透過手機或其他電子設備使用(access)。意在擴大對政府資料的使用和管理，及促進私部門的創新，讓其它政府單位、各個組織或每個人都能使用這些資訊，使政府資訊透明化，同時兼顧隱私與國家安全議題。 政府資料公開法的內容係將歐巴馬總統於2013年5月9日簽署生效的「政府資訊應具有開放性和機器可讀性」(Making Open and Machine Readable the New Default for Government Information)之行政命令(Executive Order)，正式立為聯邦法，促使數位政府之政策未來以開放為原則、不開放為例外。有論者認為本法原為行政指導性質之行政命令，改以法律位階為之，其原因係為了讓開放政府資料永續發展，以成文法框架拘束政府機關。 因此，該法內容在於修正美國法典第44編第35章「協調聯邦資訊政策」（Coordination of Federal Information Policy）之部分條文，主要重點整理如下： 第3502條中定義了資料資產(data asset)、開放政府資料資產(open Government data asset)、機器可讀性(machine- readable)和開放授權(open license)等。其中，「開放授權」之定義首次見於本法條文中，係指將資料資產開放供公眾近用時，針對該資料資產提供以下法律保障(legal guarantee)，包含：允許公眾在毋須支付任何成本即可使用(at no cost to the public)，而對於該資料資產的重製、發布、散布、傳播、引用，或改作皆不會受到限制。 聯邦政府向公眾釋出資料集時，除因智慧財產權之規定外，原則上不得加諸任何限制而影響到人民對於該資料的使用或再利用，並應以機器可讀格式(machine-readable)、開放格式(Open Format)、開放標準(Open Standard)的基礎下提供。 要求聯邦政府利用開放資料來強化其決策機制。 要求美國政府審計辦公室(Government Accountability Office, GAO)透過定期監督，來確保聯邦政府的問責制運作(accountability)。意即，GAO應向國會提交一份報告，該報告總結對機關的調查結果和趨勢，並給予其適當建議。(美國政府審計辦公室之角色為國會的監督審計機構，係立法部門的一部份，主要職責為協助、改善聯邦政府所訂的各項計畫及政策，向國會提供客觀、平衡的資訊。) 在第3520條、3520A條中，規範聯邦機構須編制首席資料專員(Chief Data Officers, CDO)及首席資料專員理事會(CDO Council)，負責資料治理和執行其職責，並確保該機構遵守本法。
歐盟發布「如何掌握歐洲的數位基礎建設需求？」白皮書暨公開意見諮，尋求成員國間更一致的頻率與海纜監理架構「安全、韌性、高效、永續的數位基礎設施」，是歐盟「數位十年計畫」（Digital Decade Policy Programme 2030）所擘劃的政策目標之一。執委會於2024年2月21日發布「如何掌握歐洲的數位基礎設施需求？」（How to master Europe's digital infrastructure needs ?）白皮書，詳細盤點歐盟數位基礎設施的發展現狀及所面臨的挑戰，提出可能的政策方案並公開諮詢各界意見。 其中有關頻率管理的部分，執委會認為成員國間各自為政的頻率釋出與管理政策拖累了整體歐盟的5G布建進程，目前5G的涵蓋率與普及率仍不如預期，成員國間的數位發展程度也參差不齊，法規環境差異對跨境提供服務所造成的障礙亦導致數位單一市場難以成形。為避免相同困境在6G重演及因應發展衛星通訊服務帶來的跨境頻率管理議題，歐盟將更進一步同調各成員國的頻率管理政策與規範環境，提高歐盟對頻率政策的掌控，確保歐盟通訊網路的安全性、獨立性和完整性。 海纜的安全性亦受到關注，歐盟既有電子通訊網路和服務的監管架構並未就雲端服務業者規範相關的義務，但隨著大型雲端服務業者持續投入海纜建設，歐盟已經有超過60% 的國際流量透過非公眾網路業者建設的海纜傳輸，監理上的漏洞已經形成歐盟通訊網路的安全隱患。 執委會將與各界展開廣泛的討論與磋商，研議能確保安全與韌性之數位基礎設施的政策工具及監理框架。在頻率管理方面，希望能提高歐盟的一致性與協調性，為地面通訊、衛星通訊及其他新興應用的頻率使用提供更統一甚至單一的授權流程及選擇條件，以促進數位單一市場的形成；在海纜方面亦規劃建立歐盟層級的聯合治理體系，將針對海纜的風險、弱點及依賴性做全面性的評估，亦將資助既有海纜的升級與新海纜的設立，同時確保供應鏈的安全性及降低對高風險第三國的依賴。