美國州隱私法要求企業揭露資訊 企業應如何平衡隱私法與營業秘密的衝突
美國目前沒有聯邦的隱私法，由各州訂定州隱私法、產業隱私法，要求企業應揭露資訊以提升資訊透明度，然而隱私法要求企業揭露的資訊多涵蓋了企業的營業秘密。美國華盛頓州州長於2023年4月27日簽署《我的健康資料法（My Health My Data Act）》的州隱私法，其將消費者的健康資料廣義定義為「與消費者有關或具合理關聯的個人資料，可用於識別消費者過去、現在或未來的物理或心理健康狀況」，例如醫療相關資料、患者接受醫療服務的精確地理位置、透過非健康資料可推斷得出的資料。「非健康資料可推斷得出的資料」，如零售業者蒐集消費者近期採購的訂單內容（非健康資訊），並透過AI機器學習分析得出消費者可能懷孕的比例及預產期，藉此對該消費者投放零售業者的嬰幼產品的個人化廣告。
於《我的健康資料法》廣義定義「健康資料」下，導致消費者可要求企業提供的資料可能涵蓋了「企業長期累積之消費者使用資料、經演算法分析運用之消費者使用資料、共享消費者資料的第三方企業名單」等企業認為屬於其營業秘密的資料。
為平衡隱私法的資訊透明度及企業想保護其營業秘密，建議企業可先採取：
1.使公司的智財部門與資料保護部門合作，確保公司人員對公司營業秘密標的及範圍的認知一致，並盤點企業所有的營業秘密以製作、持續更新營業秘密清單。
2.企業在揭露受營業秘密保護的資料給消費者前，先與消費者簽訂保密契約，並參考前述營業秘密清單約定契約之保密範圍。
如企業欲採取更完備的營業秘密管理措施，建議參考資策會科法所創意智財中心發布的《營業秘密保護管理規範》。
本文同步刊登於TIPS網站（https://www.tips.org.tw）。
洪亮瑄
副法律研究員 編譯整理
Jenny Colgate, Why Privacy And Trade Secret Law Are On A Collision Course, JD Supra, Aug. 8, 2023, https://www.jdsupra.com/legalnews/why-privacy-and-trade-secret-law-are-on-6821298/ (last visited Aug. 14, 2023).
WASHINGTON ATTORNEY GENERAL’S OFFICE, Protecting Washingtonians’ Personal Health Data and Privacy (2023), https://www.atg.wa.gov/protecting-washingtonians-personal-health-data-and-privacy (last visited Aug. 17, 2023).
財團法人資訊工業策進會科技法律研究所，《營業秘密保護管理規範》，https://stli.iii.org.tw/publish-detail.aspx?no=72&d=7212（最後瀏覽日：2023/08/14）。
日本數位市場競爭本部（デジタル市場競争本部）於2020年6月發布了「數位市場競爭中期展望報告」（デジタル市場競争に係る中期展望レポート案），該報告認為大型數位平台業者透過龐大的用戶資料，不斷地（1）擴大並連結用戶、（2）垂直整合上下游產業並（3）從虛擬鎖定實體的銷售，對市場形成動態競爭（ダイナミック競争）結果。此一結果將導致數位市場極易形成掠奪性定價或併購的風險、資料集中的風險、資料可靠性的風險，甚至是個人價值判斷的風險。 為促進數位市場的治理與信任，該報告提出了以下短期與中長期的政策方向： 鼓勵企業數位轉型以增加數位市場的多樣性：推廣數位轉型指標、擴大沙盒制度適用、加速數位政府戰略。 建立數位市場競爭制度：運用經濟分析強化競爭管制、推動《數位平臺交易透明法》（デジタルプラットフォーム取引透明化法）法制化、建立大型數位平台調查機制。 建構去中心化的資料治理技術：透過資料持有、交換的「去人工干預」，形成一個可信任的網路世界。 該報告已於2020年8月7日完成公眾意見募集，預計於2020年年底前提出最終報告。目前日本新經濟聯盟認為，高頻率的競爭策略以及智慧化交易模式下的反壟斷政策，除了不正競爭的禁止外，政府更應著重在透明化檢視機制的建立。此外報告目前並未處理到平台資料治理的課題，聯盟對此認為政府應更積極地從資料壟斷的概念，調整數位市場准入的障礙。
英國資訊委員會（ICO）：企業應用巨量資料技術時可能得以合法權益為由處理個人資料英國資訊委員會（Information Commissioner’s Office, 以下簡稱ICO）最近對於2014年「巨量資料與個資隱私保護報告」（Big Data and Data Protection）進行公眾意見徵集。其中有意見認為ICO過度聚焦於以取得資料當事人同意為前提，才得以進行巨量資料統計分析技術應用；且未充分認知當資料控制者（企業或組織）具合法權益（legitimate interest）時，可能得以處理個人資料的可能。意者並進一步建議當資料控制者（企業或組織）符合合法權益時，應可將個人資料用於新用途，強調這種依據合法權益所進行之資料處理，應著重於該資料控制者（企業或組織）對於個人資料的責任（accountability），而非各別取得資料當事人的同意。 對此，ICO回覆，認為巨量資料統計分析技術的應用，應在資料控制者（企業或組織）的合法權益、與資料當事人的權利、自由與合法權益間，取得平衡。依據歐盟資料保護指令（Data Protection Directive）與英國資料保護法（Data Protection Act）的規定，資料控制者（企業或組織）得於具法定依據時，處理個人資料，例如取得個資當事人的同意處理其個人資料，或資料控制者（企業或組織）具法定義務處理個人資料（例如法院命令）。除此之外，企業或組織還可以主張於其對於個人資料具合法權益（legitimate interest），主張進一步處理個人資料（新用途），除非資料處理對於資料當事人的權利、自由與合法權益造成過份偏頗（unduly prejudice）的損害。ICO亦同意，資料的應用應著重監督資料控制者（企業或組織）與加強其責任（accountability）。 ICO除再度闡明在「巨量資料與個資隱私保護報告」，資料控制者（企業或組織）必須公平且通透（transparent）地處理個人資料，對於當資料控制者（企業或組織）發現個人資料的新用途時，亦明列出得依據先前所取得之資料當事人的同意進行個人資料的各種情況。 ICO建議，資料控制者（企業或組織）應當先行檢視資料當事人是否確實同意其個人資料的處理，或該資料控制者具處理個人資料之其法定依據。再者，如果不具上述二者之一，資料控制者（企業或組織）若需將使用個人資料於新用途，則必須另行取得資料當事人的同意，始得為之。此時，必須同時評估為了新用途所為之個人資料處理，是否與資料蒐集之特定目的相容（compatible）。 至於，判斷新用途是否與個人資料蒐集與處理之特定目的相容，部分取決於個人資料處理是否公平（fair）。這意味著資料控制者（企業或組織）必須對於為新用途所為之個資處理，提出對於資料當事人隱私影響之評估，以及該個資的使用與處理，是否仍合於資料當事人的合理期待。
荷蘭公私協力機制PPP自2012年來，荷蘭政府鼓勵荷蘭科學研究機構(Netherlands Organization for Scientific Research, NWO) 隸屬教育文化科學部(Ministry of Education, Culture and Science, OCW)積極推動與9大重要領域(Top Sectors)與企業相關研究的合作，NWO同時是政策實施機構也是創新研發機構。OCW每年資助約275億歐元在重要領域，其中有超過100億歐元在協助公私協力機制 ( Public-Private Partnerships, PPP)。近年來，OCW增加編列給NWO的預算，2014年增加2千5百萬歐元；2015-2017年增加7千5百萬歐元；2018年預計增加1億歐元。PPP 參與者為研究機構（例如大學機構、公私立研究機構）及民間企業（國內國外企業皆可）。主要規範依據NWO-Framework for Public-Private Partnership，合作後以聯盟(consortium)形式運作，聯盟成員間可以契約個別約定合作內容，但相關權利義務仍須遵循NWO-Framework for Public-Private Partnership。關於既有智慧財產權之使用方式，聯盟成員間須另外約定非無償使用。為實現該聯盟之研發目的， NWO為主要出資者時，可成為該研發成果之所有人或共有人，待研發成果運用及收益可以獲得妥善安排時，得將研發成果轉讓予能將研發成果運用效益最大化之人。原則上，參與PPP的企業並不當然有優先權可將該研究成果運用於商業用途，除非參與企業出資額幾乎達到整個研發支出的百分之百，且已簽訂研發成果書面授權或轉讓契約後，始能將該研發成果運用於商業用途。
台灣智慧財產管理規範（TIPS）之發展與現況