美國州隱私法要求企業揭露資訊 企業應如何平衡隱私法與營業秘密的衝突
美國目前沒有聯邦的隱私法，由各州訂定州隱私法、產業隱私法，要求企業應揭露資訊以提升資訊透明度，然而隱私法要求企業揭露的資訊多涵蓋了企業的營業秘密。美國華盛頓州州長於2023年4月27日簽署《我的健康資料法（My Health My Data Act）》的州隱私法，其將消費者的健康資料廣義定義為「與消費者有關或具合理關聯的個人資料，可用於識別消費者過去、現在或未來的物理或心理健康狀況」，例如醫療相關資料、患者接受醫療服務的精確地理位置、透過非健康資料可推斷得出的資料。「非健康資料可推斷得出的資料」，如零售業者蒐集消費者近期採購的訂單內容（非健康資訊），並透過AI機器學習分析得出消費者可能懷孕的比例及預產期，藉此對該消費者投放零售業者的嬰幼產品的個人化廣告。
於《我的健康資料法》廣義定義「健康資料」下，導致消費者可要求企業提供的資料可能涵蓋了「企業長期累積之消費者使用資料、經演算法分析運用之消費者使用資料、共享消費者資料的第三方企業名單」等企業認為屬於其營業秘密的資料。
為平衡隱私法的資訊透明度及企業想保護其營業秘密，建議企業可先採取：
1.使公司的智財部門與資料保護部門合作，確保公司人員對公司營業秘密標的及範圍的認知一致，並盤點企業所有的營業秘密以製作、持續更新營業秘密清單。
2.企業在揭露受營業秘密保護的資料給消費者前，先與消費者簽訂保密契約，並參考前述營業秘密清單約定契約之保密範圍。
如企業欲採取更完備的營業秘密管理措施，建議參考資策會科法所創意智財中心發布的《營業秘密保護管理規範》。
本文同步刊登於TIPS網站（https://www.tips.org.tw）。
洪亮瑄
副法律研究員 編譯整理
Jenny Colgate, Why Privacy And Trade Secret Law Are On A Collision Course, JD Supra, Aug. 8, 2023, https://www.jdsupra.com/legalnews/why-privacy-and-trade-secret-law-are-on-6821298/ (last visited Aug. 14, 2023).
WASHINGTON ATTORNEY GENERAL’S OFFICE, Protecting Washingtonians’ Personal Health Data and Privacy (2023), https://www.atg.wa.gov/protecting-washingtonians-personal-health-data-and-privacy (last visited Aug. 17, 2023).
財團法人資訊工業策進會科技法律研究所，《營業秘密保護管理規範》，https://stli.iii.org.tw/publish-detail.aspx?no=72&d=7212（最後瀏覽日：2023/08/14）。
美國財政部外國資產控制辦公室（The US Department of the Treasury’s Office of Foreign Assets Control, OFAC）於2021年9月21日更新並發布了與勒索軟體支付相關之制裁風險諮詢公告（Updated Advisory on Potential Sanctions Risks for Facilitating Ransomware Payments）。透過強調惡意網絡活動與支付贖金可能遭受相關制裁之風險，期待企業可以採取相關之主動措施以減輕風險，此類相關之主動措施即緩減風險之因素（mitigating factors）。 該諮詢認為對惡意勒索軟體支付贖金等同於變相鼓勵此種惡意行為，故若企業對勒索軟體支付，或代替受害企業支付贖金，未來則有受到制裁之潛在風險，OFAC將依據無過失責任（strict liability），發動民事處罰（Civil Penalty制度），例如處以民事罰款（Civil Money Penalty）。 OFAC鼓勵企業與金融機構包括涉及金錢存放與贖金支付之機構，應實施合規之風險管理計畫以減少被制裁之風險，例如維護資料的離線備份、制定勒索事件因應計畫、進行網路安全培訓、定期更新防毒軟體，以及啟用身分驗證協議等；並且積極鼓勵受勒索病毒攻擊之受害者應積極聯繫相關政府機構，例如美國國土安全部網路安全暨基礎安全局、聯邦調查局當地辦公室。
綠色經濟草案（Green New Deal Resolution）簡介一、立法背景 由於美國國家海洋暨大氣總署（National Oceanic and Atmospheric Administration，縮寫NOAA）於2018年間發布關於氣候變遷將導致經濟發展受到影響之相關報告，同時間，美國最高法院拒絕駁回2015年由21位民眾及美國Our Children’s Trust（非政府組織）對聯邦政府所提起之訴訟，主張美國政府並未循正當法律程序，即鼓勵對環境保護傷害甚鉅之石化能源開發。因此聯合國人權暨環境特別報告（UN Special Rapporteur on human rights and the environment）呼籲各國盡快針對環境變遷採取相關行動，美國國會議員Ed Markey及Alexandria Ocasio-Cortez遂基於上述情事於2019年2月7偕同提出綠色經濟草案（下稱本草案）。 二、草案簡介 所謂綠色經濟，是因應全球經濟危機、氣候變遷、石油資源枯竭而提出，其內容包括金融及租稅政策的重建以及再生能源的運用，初始概念於2007年由一位記者刊載於時代雜誌與紐約時報，後相關倡議人士遂依此成立非政府組織The Green New Deal Group，並於2008年廣泛發行相關刊物。 三、草案內容 本草案賦予政府五大義務：溫室氣體零排放、創造百萬高薪工作機會、投資基礎設施及工業、永續環境（諸如確保空氣、水質、氣候、食品之安全、韌性社區之推動）、反壓迫等，且內容上更將前開義務再行細分為14項目標計畫，並訂定10年執行期間。 上揭14項目標計畫的內容大致可分為五類，分別為：提升基礎設施以因應各種氣候變遷所造成之災害、將政府所需能源全數轉換為零碳排放、提升電力及能源效率、消除製造業與農業所造成之汙染與溫室氣體的排放，另外亦全面將大眾運輸設施改建為高速及零碳排放系統。 為達成前述14項目標，本草案一共訂定15項須政府配合之細項，方向上包括：給予社區、組織、機關、地方政府及各法人相關協助、提供適切之訓練課程及高等教育、針對新興科技之研究與開發進行投資、提高家庭所得及保障各級勞工組織工會之權利、提供全民高品質之健康照護。
日本產業競爭力強化法內之灰色地帶消除制度日本經濟產業省（以下簡稱經產省）為了落實安倍內閣提出之日本再興戰略，希望透過相關法制規範之調整，促進產業新陳代謝機制，並喚起民間的投資，進一步解決日本國內企業「過多限制、過小投資、過當競爭」現象，前於2013年10月15日將「產業競爭力強化法」提交國會審議。經日本國會審議後，該法已於同年12月6日公布，計有8章、共156條之條文，另有附則45條，並取代原先於2011年修正之產業活力再生特別措施法的功能。因產業競爭力強化法之內容屬政策性規範，搭配之施行細則、施行令等也陸續於2014年1月20日公布。 自產業競爭力強化法施行後，對於日本企業預計開發新產品和新技術等放寬限制，讓企業有機會進入與原業務不同之領域，並進行業務整編。舉例而言，依該法第9條第1項之規定：「欲實施新事業活動者依據主務省令規定，可向主務大臣提出要求，確認規定其欲實施之新事業活動及與其相關之事業活動的規範限制之法律和其所根據法律之命令規定的解釋，以及該當規定是否適用於該當新事業活動及與其相關之事業活動」之規定，就相關事業活動是否符合法令與否，向經產省申請解釋。 此一制度被稱為「灰色地帶消除制度」，目的在於使日本企業規劃新事業之前，可先洽主管機關瞭解該新事業活動涉及之業務是否合法，在經產省網站上已有SOP與申請表格可供參考。而此制度功能在於透過日本主管機關的闡釋、說明或認定相關計畫，讓有意從事創新活動的業者有如吞下定心丸，得以積極規劃、推動後續作業。
英國發布人工智慧網路資安實務守則英國政府於2025年1月31日發布「人工智慧網路資安實務守則」（Code of Practice for the Cyber Security of AI，以下簡稱「實務守則」），目的是提供人工智慧（AI）系統的網路資安指引。該實務守則為英國參考國際上主要標準、規範後所訂定之自願性指引，以期降低人工智慧所面臨的網路資安風險，並促使人工智慧系統開發者與供應商落實基本的資安措施，以確保人工智慧系統的安性和可靠性。 由於人工智慧系統在功能與運作模式上與傳統網路架構及軟體有明顯的不同，因此產生新的資安風險，主要包含以下： 1. 資料投毒（Data Poisoning）：在AI系統的訓練資料中蓄意加入有害或錯誤的資料，影響模型訓練結果，導致人工智慧系統產出錯誤推論或決策。 2. 模型混淆（Model Obfuscation）：攻擊者有意識地隱藏或掩飾AI模型的內部運作特徵與行為，以增加系統漏洞、引發混亂或防礙資安管理，可能導致AI系統的安全性與穩定性受損。 3. 輸入間接指令（Indirect Prompt Injection）：藉由輸入經精心設計的指令，使人工智慧系統的產出未預期、錯誤或是有害的結果。 為了提升實務守則可操作性，實務守則涵蓋了人工智慧生命週期的各階段，並針對相關角色提出指導。角色界定如下： 1. 人工智慧系統開發者（Developers）：負責設計和建立人工智慧系統的個人或組織。 2. 人工智慧系統供應鏈（Supply chain）：涵蓋人工智慧系統開發、部署、營運過程中的的所有相關個人和組織。 實務守則希望上述角色能夠參考以下資安原則，以確保人工智慧系統的安全性與可靠性： 1. 風險評估（Risk Assessment）：識別、分析和減輕人工智慧系統安全性或功能的潛在威脅的過程。 2. 資料管理（Data management）：確保AI系統整個資料生命週期中的資料安全及有效利用，並採取完善管理措施。 3. 模型安全（Model Security）：在模型訓練、部署和使用階段，均應符合當時的技術安全標準。 4. 供應鏈安全（Supply chain security）：確保AI系統供應鏈中所有利益相關方落實適當的安全措施。 「人工智慧網路資安實務守則」藉由清晰且全面的指導方針，期望各角色能有效落實AI系統安全管控，促進人工智慧技術在網路環境中的安全性與穩健發展。