KISTEP發布〈強化企業創新活動之研發租稅優惠政策研究〉報告，建議擴大租稅優惠對象
韓國科學技術評估暨規劃研究院（Korea Institute of S&T Evaluation and Planning, KISTEP）於2023年5月3日發布〈強化企業創新活動之研發租稅優惠政策研究：以國家戰略技術研發企業為中心〉（A Study on R&D Tax Support Policy for Enhancing Corporate Innovation Activities：Focusing on National Strategic Technology R&D Firms，下稱本報告），提供政府擴大研發租稅優惠政策之建議，分述如下：
（1）擴大適用稅額抵減之技術領域
為強化競爭力，各國陸續鎖定重要技術產業，擴大研發租稅優惠政策，故本報告建議韓國政府就稅額抵減範圍，從3大領域（半導體、蓄電池與疫苗），擴大至12大國家戰略技術領域，進而增加民間企業之研發補助。
（2）擴大適用研發稅額抵減之對象
由於韓國目前適用研發稅額抵減之對象，不包括負責研發之新創企業負責人及管理階層，故本報告建議韓國應考量稅額抵減制度之效果與制度公平性，擬定一套新方案，擴大可享受稅額抵減優惠的對象。
（3）調高中大型企業之稅額抵減率
本報告指出，激進式創新及專利被引證次數高的創新技術研發，大多由中堅企業及大企業所主導，故建議應研擬一套以中堅企業與大企業為對象，大幅調高可抵減稅額比率之方案。
（4）透過政策組合（Policy mix）以提高政策效益
本報告指出，當企業獲得研發補助時，其研發稅額抵減效果更為顯著，故建議政府研擬以企業為對象，採用研發稅額抵減與補助並行之優惠方式。
（5）集中對技術水準高的企業提供租稅優惠
本報告指出，研發稅額抵減效果侷限於技術水準高的企業。換言之，與將租稅優惠分散給予各企業，不如選定具有技術能力的企業，使其獲得更多的研發稅額抵減優惠。
（6）擴大開放式創新企業之租稅優惠
本報告指出，研發租稅優惠效果對執行開放式創新之企業更為顯著，故建議將執行「產–研」、「產–學」、「產–產」合作的開放式創新企業納入租稅優惠對象。
本文為「經濟部產業技術司科技專案成果」
陳祺潔
副法律研究員 編譯整理
한국과학기술기획평가원（KISTEP）, 기업 혁신활동 제고를 위한 R&D 조세 지원 정책 연구 : 국가전략기술 연구개발 기업을 중심으로 (2023), https://www.kistep.re.kr/board.es?mid=a10306010000&bid=0031&list_no=43311&act=view (last visited July 10, 2023).
游詩喬，〈奈及利亞新創企業條例二讀通過，具體化對新創企業的定義〉，資訊工業策進會科技法律研究所，2022年06月，https://stli.iii.org.tw/article-detail.aspx?tp=1&d=8869&no=64（最後瀏覽日：2023/07/10）。
劉純妤，〈英國財政部公布研發租稅優惠措施公眾諮詢結果報告，說明最新制度調整規劃與統整回饋意見〉，《科技法律透析》，第34卷第05期，頁5（2022），https://stli.iii.org.tw/legal-details.aspx?no=65&d=7341&i=10018（最後瀏覽日：2023/07/10）。
2025年6月19日，英國《2025年資料（使用與存取）法》（Data（Use and Access）Act 2025，下簡稱DUA法）正式生效。DUA法的宗旨是在《英國一般資料保護規則》（United Kingdom General Data Protection Regulation, UK GDPR）的基礎上，放寬在特定情形下執法機關、企業與個人使用資料的限制，以提升資料管理及使用的便利性。 DUA法預計將於2025年8月開始分階段實施，重點如下： (1) 放寬自動化決策（Automated Decision-Making, ADM）條件：依據UK GDPR規定，個人有不受純粹基於自動化處理且產生法律效果或類似重大影響之決策所拘束之權利。此項規範確立自動化決策之原則性禁止，僅於符合特定例外事由時始得為之。DUA法則放寬此一限制，未來企業只要確保有向當事人提供自動化決策的資訊、決策結果申訴的管道，以及得人為干預設計之保障措施以後，即可做出對個人有重大影響的自動化決策。 (2) 資料主體存取請求權（Subject Access Request, SAR）規範明確化：當事人有權向持有自身個資的單位請求查閱，DUA法明訂組織在收到請求後應回應的時間，而當事人請求的範圍也應合理且合於比例，避免組織浪費人力搜索不重要的資訊。 (3) 建立有效申訴管道：規定任何使用個人資料的組織都必須設立有效的申訴機制、提供電子化申訴管道、並回報處理結果，若訴求未獲得解決，當事人即可向英國資訊專員辦公室（Information Commissioner’s Office, ICO）提出申訴。 (4) 科學研究得採概括同意機制，商業研究亦屬適用範疇：DUA法明確指出，基於科學研究目的，研究人員於確保適當個人資料保護措施之前提下，得以概括同意（broad consent）方式取得當事人之同意，以利進行科學研究活動。DUA法並明確界定科學研究之範疇可涵蓋商業研究（commercial research），擴大其適用領域。 (5) 允許網站直接使用Cookie：網站與應用程式的儲存與存取技術（Storage and Access Technologies）在低風險情況下，可不取得使用者事前同意，即紀錄使用者瀏覽紀錄。 DUA法將於2025年8月開始分階段實施。如何在科技發展的便利性與個人資料的安全性間取得平衡，是當代社會不容忽視的議題，可持續觀察追蹤英國施行DUA法的成效供我國參考。
印度藥廠、非政府組織對未來將簽屬之歐盟-印度FTA表示反對今(2011)年3月中旬，印度製藥業者代表及相關非政府組織團體共同對外表示，就印度與歐盟即將簽署之自由貿易協議(Free Trade Agreement；簡稱FTA)，將正式採取反對之立場。 關於上述印度製藥業者代表及非政府組織團體之所以表示反對歐-印兩國簽署FTA之理由，其主要，乃係因歐盟方面為保障歐盟自身製藥業者本身之利益而擬於日後雙方將所簽署之FTA文件中，設置「資料專屬」條款而生；對此，代表印度境內多家藥廠之印度製藥協會(Indian Pharmaceutical Alliance)秘書長Dilip Shah表示：「目前歐盟方面正利用各種高壓與不正之手段，來迫使印度政府同意其擬置入之資料專屬保護條款」；但歐盟官員John Clancy卻解釋：「歐盟政府之所以擬於將簽訂之FTA中設置資料專屬條款，所寄望者，無非是要為歐盟境內製藥業者，尋求一個平等互惠之立基點而已；換言之，歐盟政府所為之一切，乃是基於要為印度與歐盟兩國業者打造一個公平合理之貿易商業環境」，另外，其還強調：「針對資料專屬條款之簽訂，原則上應在雙方達成共識之前提下進行」。 雖然歐盟方面目前已嘗試作出如上解釋，但印度國內各界似仍普遍認為，一旦同意將資料專屬條款納入，未來除將嚴重影響廣大用藥病患近用低價救命藥品之權益外，亦將大幅限制新興國家產製學名藥品之能力；故包括HIV病患及其他印度民間團體共計超過2000名抗議者，於今年3月2日時，皆紛紛走上新德里市中心街頭，對歐-印即將簽署FTA表達其強烈之抗議與不滿；足見，該項條款將造成之實質影響，絕非歐盟單方三言兩語即可輕描淡寫地帶過；而最終之談判結果，是歐盟方面將作出合理之讓步？還是印度方面為挽最大貿易夥伴之心，而終以犧牲廣大病患及國內製藥業者權益來作為可能之對價？是破局？還是完滿結局？則皆有待後續觀察，方見分曉。
美國公布實施零信任架構相關資安實務指引美國公布實施零信任架構相關資安實務指引 資訊工業策進會科技法律研究所 2022年09月10日 美國國家標準技術研究院（National Institute of Standards and Technology, NIST）所管轄的國家網路安全卓越中心（National Cybersecurity Center of Excellence, NCCoE），於2022年8月前公布「NIST SP 1800-35實施零信任架構相關資安實務指引」（NIST Cybersecurity Practice Guide SP 1800-35, Implementing a Zero Trust Architecture）系列文件初稿共四份[1] ，並公開徵求意見。 壹、發布背景 此系列指引文件主要係回應美國白宮於2021年5月12日發布「改善國家資安行政命令」(Executive Oder on Improving the Nation’s Cybersecurity) [2]當中，要求聯邦政府採用現代化網路安全措施（Modernizing Federal Government Cybersecurity），邁向零信任架構（advance toward Zero Trust Architecture）的安全防護機制，以強化美國網路安全。 有鑑於5G網路、雲端服務、行動設備等科技快速發展，生活型態因疫情推動遠距工作、遠距醫療等趨勢，透過各類連線設備隨時隨地近用企業系統或資源進行遠端作業，皆使得傳統的網路安全邊界逐漸模糊，難以進行邊界防護，導致駭客可透過身分權限存取之監控缺失，對企業進行攻擊行動。為此NIST早於2020年8月已公布「SP 800-207零信任架構」（Zero Trust Architecture, ZTA）標準文件[3] ，協助企業基於風險評估建立和維護近用權限，如請求者的身分和角色、請求近用資源的設備狀況和憑證，以及所近用資源之敏感性等，避免企業資源被不當近用。 貳、內容摘要 考量企業於實施ZTA可能面臨相關挑戰，包含ZTA部署需要整合多種不同技術和確認技術差距以構建完整的ZTA架構；擔心ZTA可能會對環境運行或終端客戶體驗產生負面影響；整個組織對ZTA 缺乏共識，無法衡量組織的ZTA成熟度，難確定哪種ZTA方法最適合業務，並制定實施計畫等，NCCoE與合作者共同提出解決方案，以「NIST SP 800-207零信任架構」中的概念與原則，於2022年8月9日前發布實施零信任架構之實務指引系列文件初稿共四份，包含： 一、NIST SP 1800-35A：執行摘要（初稿）（NIST SP 1800-35A: Executive Summary (Preliminary Draft)） 主要針對資安技術長（chief information security and technology officers）等業務決策者所編寫，可使用該指引來瞭解企業於實施ZTA所可能遭遇挑戰與解決方案，實施ZTA所能帶來優點等。 二、NIST SP 1800-35B：方法、架構和安全特性（初稿）（NIST SP 1800-35B: Approach, Architecture, and Security Characteristics (Preliminary Draft)） 主要針對關注如何識別、理解、評估和降低風險的專案經理和中層管理決策者所編寫，闡述風險分析、安全/隱私控制對應業務流程方法（mappings）的設計理念與評估內容。 三、NIST SP 1800-35C：如何操作指引（初稿）（NIST SP 1800-35C: How-To Guides (Preliminary Draft)） 主要針對於現場部署安全工具的IT 專業人員所編寫，指導和說明特定資安產品的安裝、配置和整合，提供具體的技術實施細節，可全部或部分應用指引中所揭示的例示內容。 四、NIST SP 1800-35D：功能演示（初稿）（NIST SP 1800-35D: Functional Demonstrations (Preliminary Draft)） 此份指引主要在闡述商業應用技術如何被整合與使用以建構ZTA架構，展示使用案例情境的實施結果。 參、評估分析 美國自總統發布行政命令，要求聯邦機構以導入ZTA為主要目標，並發布系列指引文件，透過常見的實施零信任架構案例說明，消除零信任設計的複雜性，協助組織運用商用技術來建立和實施可互操作、基於開放標準的零信任架構，未來可預見數位身分將成為安全新核心。 此外，NIST於2022年5月發布資安白皮書－規劃零信任架構：聯邦管理員指引[4] ，描繪NIST風險管理框架（Risk Management Framework, RMF）逐步融合零信任架構的過程，幫助聯邦系統管理員和操作員在設計和實施零信任架構時使用RMF。 我國企業若有與美國地區業務往來者，或欲降低遠端應用的安全風險者，宜參考以上標準文件與實務指引，以建立、推動和落實零信任架構，降低攻擊者在環境中橫向移動和提升權限的能力，與保護組織重要資源。 [1] Implementing a Zero Trust Architecture, NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY, https://www.nccoe.nist.gov/projects/implementing-zero-trust-architecture (last visited Aug. 22, 2022). [2] Executive Order on Improving the Nation’s Cybersecurity, THE WHITE HOUSE, https://www.whitehouse.gov/briefing-room/presidential-actions/2021/05/12/executive-order-on-improving-the-nations-cybersecurity (last visited Aug. 22, 2022). [3] SP 800-207- Zero Trust Architecture, NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY, https://csrc.nist.gov/publications/detail/sp/800-207/final (last visited Aug. 22, 2022). [4] NIST Releases Cybersecurity White Paper: Planning for a Zero Trust Architecture, NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY, https://csrc.nist.gov/News/2022/planning-for-a-zero-trust-architecture-white-paper (last visited Aug. 22, 2022).
MPAA 藉由 BT 網站伺服器記錄對 P2P(BT) 軟體用戶提起訴訟追蹤、定位、起訴，所有 P2P(BT) 軟體使用者的噩夢再次上演。全美製片業團體「美國電影協會」 ( Motion Picture Association of America ； MPAA ) 在 8 月 25 日對美國境內 286 位居民提起訴訟，成為首宗利用 P2P(BT) 網站伺服器記錄 ( server logs ) 追蹤 ( track down ) 盜版電影下載者的案例。 今年 2 月，著名 BT 網站 LokiTorrent 與 MPAA 的大戰告一段落。德州法院下令 LokiTorrent 關閉網站外，並命令 LokiTorrent 將伺服器記錄轉交給 MPAA 的調查員 ( investigator ) 。 MPAA 的發言人聲稱本月 25 日的訴訟與此事件無關，但所有人都明白 MPAA 正是憑此線索，最終找到了 P2P(BT) 用戶的行蹤。好萊塢希望藉此行動阻嚇免費下載電影的行?， MPAA 資深副總裁 John Malcom 聲稱「下載盜版電影的人要當心了，當你為著作權侵害行為時，網路上並不會有朋友站出來替你撐腰。」 儘管 P2P(BT) 軟體背負著助長盜版的惡名，但 P2P(BT) 的合法用途也在逐漸增加，例如使用 P2P(BT) 技術分發 ( distribute ) 開放原始碼軟體 ( open-source software ) ，網路瀏覽器軟體公司 Opera 即在新版的程式中內建了此種技術。 BT 技術的發明人 Bram Cohen 曾警告用戶，使用 P2P(BT) 軟體下載盜版是個蠢主意，因?軟體在設計時並未刻意隱藏用戶的識別資訊，這也是為何 MPAA 此次能憑藉著伺服器記錄對用戶提起訴訟的主要原因。