日本經產省發布中小企業開發IoT機器之產品資安對策指引
日本經濟產業省（下稱經產省）於2023年6月6日發布中小企業開發IoT機器之產品資安對策指引（IoT機器を開発する中小企業向け製品セキュリティ対策ガイド），本指引彙整企業應該優先推動IoT機器資安對策，經產省提出具體資安對策如下：
1.制定產品資安政策（セキュリティポリシー）並廣為宣導：由企業經營者率先制定資安政策，進行教育宣導，並依實際需求修正調整。
2.建立適當的資安政策體制：確立實施資安政策必要之人員及組織，明確其職務及責任。
3.指定IoT機器應遵守之資安事項，並預測風險：決定IoT機器的預設使用者及使用案例，並於釐清使用者需求後，指定IoT機器應遵守之資安事項，預測衍生風險。
4.考量IoT機器應遵守之資安事項及預測風險，進行設計與開發：以預設IoT機器應遵守之資安事項衍生風險為基礎，從設計與開發階段開始採取風險對策。
5.檢測是否符合資安相關要件：從設計與開發階段開始制定檢測計畫，檢測是否符合資安要件，並依據檢測結果進行改善。
6.於產品出貨後蒐集風險資訊，與相關人員溝通並適時提供支援：蒐集全球資安事故與漏洞資訊，並設置可適時與委外廠商以及用戶溝通之窗口。
鄭岱宜
法律研究員 編譯整理
〈IoT機器を開発する中小企業向け製品セキュリティ対策ガイド〉，経済産業省，https://www.meti.go.jp/policy/netsecurity/chusyosecurityguide.pdf（最後瀏覽日期：2023/09/25）。
阮韻蒨，〈美國公布實施零信任架構相關資安實務指引〉，科技法律研究所，2022/09，https://stli.iii.org.tw/article-detail.aspx?tp=1&d=8885&no=64（最後瀏覽日︰2023/09/25）。
鄭岱宜，〈美國國家安全局發布「軟體記憶體安全須知」〉，科技法律研究所，2023/02，https://stli.iii.org.tw/article-detail.aspx?no=64&tp=1&d=8956（最後瀏覽日︰2023/09/25）。
2015年6月美國聯邦最高法院大法官以6比3的同意比例判決維持該法院於1964年所確立之Brulotte原則，即專利失效後禁止要求償付授權金之原則。聯邦最高法院重新檢討Brulotte原則之爭議係起源於Kimble et al. v. Marvel Enterprises Inc.（case num. 13-720）一案。該案中涉及到現實下專利權利人於面對財團時，是否能於專利權有效期間採取手段充分保護專利權之問題，故是否有必要放寬專利權於失效後，專利權人仍得以專利授權契約要求專利被授權人償付授權金。又本案原告知專利發明人Kimble主張放寬Brulotte原則亦有亦於刺激競爭，促進研發創新。 然而，主撰判決本文之美國卡根大法官（Justice Kagan）及贊同維持Brulotte原則之大法官認為，Brulotte原則屬於聯邦最高法院遵照執行之決議事項（stare decisis），必須具有超級特別的理由（superspecial justification）才足以立論推翻該原則。但大法官認為並無有該類理由，並且強調縱然放寬Brulotte原則在學理上證實有助於市場競爭，但這也並非聯邦最高法院在司法權限所應審查或判斷之事項，而應是美國國會於智財政策之取捨。 反對維持Brulotte原則之阿利托大法官（Justice Alito）、羅伯特首席大法官（Chief Justice Roberts）及湯瑪斯大法官（Justice Thomas）提出不同意見書。反對意見認為專利失效及失去任何專有權利，所以涉及授權金之唯一問題即在於最佳契約設計（optimal contract design）。Brulotte原則干預了各方協議授權內容時，可以反映專利真實價值的方式，破壞契約期望（contractual expectation）。 本案作成判決後，各專利事務所及專利律師普遍贊同聯邦法院維持Brulotte原則，主要係基於該原則可以使用來償付授權金之資金轉為用於他處，有助於資金流通，而非用於已失效之專利。
歐盟個資保護委員會對英國個資傳輸適足性認定之意見英國自2020年1月31日正式脫離歐盟後，即成為歐盟跨境傳輸的「第三國」。能否持續和歐盟國家進行個資傳輸，就須視歐盟對英國跨境資料保護方式和《一般資料保護規範》（General Data Protection Regulation，GDPR）有無認定雙方具有本質上相同的保護程度，又稱為「適足性」（adequacy）的認定。目前，歐盟給予英國跨境傳輸過渡期到2021年7月，在此之後若希望持續不受限制的交流，就須經歐盟執委會（European Commission, EC）通過適足性認定後才得以進行。 2021年2月19日，歐盟執委會提出草案，認為英國的個資保護標準與歐盟的「GDPR」、「執法機關資料保護指令」（Law Enforcement Directive，LED）有適足性之適用。又在4月14日，歐盟個資保護委員會（European Data Protection Board, EDPB）針對歐盟執委會於2月19日所做的認定草案提出兩項意見： 一、肯認英國現行國內資料保護的核心架構中有關個資保護、處理及控制者的要件及處理方式和GDPR的保護程度並駕其驅。另，肯定英國「2018年資料保護法」（Data Protection Act 2018）中有關GDPR及LED的適用及對「英國資訊委員辦公室」（Information Commissioner’s Office, ICO）所賦予的權利及義務。 但同時，EDPB也向歐盟執委會提出以下幾點注意事項： 英國政府若發展獨立的個資保護政策，將可能與歐盟的保護架構分歧，造成個資保護程度降低。 「2018年資料保護法」中的「移民豁免」政策，讓資料控制者在處理移民相關資料時有廣泛的例外，得免於遵循GDPR之義務。 從英國將歐盟成員的資料傳給「第三國」時，該「第三國」本身需要具有基本上等同於GDPR的資料保護程度，才得允許傳輸。 針對英國政府出於國家安全目的，將個人資料傳輸到英國境內，而有義務免除或特殊情狀時，歐盟執委會應進一步了解或審核。 二、 認為英國法律框架中的核心要件實質上與LED的基礎原則具有高度一致性。因此建議歐盟執委會引入四年的日落條款（four-year sunset clause）方式，並密切觀察英國資料保護的發展，在必要時得以要求修改或終止LED適足性的決定。 針對以上問題，歐盟執委會希望能在6月底前廣納各國意見並做出決定。屆時，若通過適足性認定，其效期將延續4年，之後再進行適足性評估。並可能在英國開始制定相關的適足性及資料保護架構時，歐盟執委會得將其納入定期審查的項目中，以確保歐盟的個資跨境傳輸進入英國後，仍受適當的保護。
澳洲提出《2023年法定聲明修正法案》，將正式認可數位化法定聲明的效力澳洲眾議院在2023年9月提出了《2023年法定聲明修正法案》（Statutory Declarations Amendment Bill 2023），法定聲明（statutory declaration）是大英國協法體系中的一種法律行為，效力相當於宣誓，以確認聲明人聲明內容為真。如受雇者可以法定聲明的方式聲明自己的工作經歷屬實，以做為受雇資料不全時的補充。該修正案將使數位方式（digital execution）進行的法定聲明和傳統書面形式具有相同效力。 澳洲政府在Covid-19期間，為了因應疫情對於整個社會的衝擊，在實體接觸困難的社會環境下導入大量臨時措施，但是這些臨時措施將會於2023年12月31日時效到期後失去效力。 本次的修正案除了將允許電子簽名（electronic signature）和視訊見證（video-link witnessing）等數位形式作為進行法定聲明的方式外，亦進一步規定只有在經過核可並且授權的數位平臺（如myGov）才可以進行有效的數位法定聲明。除此之外，使用者也需通過這些線上平臺的身分驗證（如myGovID）後才能使用這一服務，以確認法定聲明發表人的身份並確保該聲明之效力。 為了確保透明和釐清平臺的責任歸屬，該法案除了對數位平臺進行隱私、資安和防詐騙的規範外，亦禁止數位平臺儲存或保留使用者法定聲明的副本，因為這些法定聲明可能都含有高度敏感的個人資訊。 該法案的目的並非要完全取代傳統書面紙張在法定聲明中的地位，而是為了澳洲人民在做成法定聲明時提供另一個不受到地理、實體限制的選擇，這種改變讓個人和企業藉由數位化平臺快速且不受實體距離影響完備所需的法律文件，使他們能夠便捷的享有那些需要法定聲明的政府服務。 澳洲政府為了因應社會變遷及數位時代的來臨，在法律體系中賦予數位形式明確效力，並且嘗試建立起可信賴的數位平臺與路徑，其制度設計及後續影響，可以作為我國推動國家數位轉型時的參考。
中國大陸知識產權海關保護措施與因應對策中國大陸知識產權海關保護措施與因應對策 資策會科技法律研究所 法律研究員 林宜臻 104年12月30日 中國大陸是仿冒品的產銷大國，仿冒品除了於中國大陸盛行之外，更有可能於中國大陸製造後出口至海外銷售。若仿冒品不慎從中國大陸市場擴散至海外市場，將增加企業監控打擊仿冒品的成本。中國大陸為因應仿冒品的進出口，設置了知識產權(台灣稱為智慧財產權，以下同)海關保護規範和配套措施。企業可透過海關保護的行政力量，達到監控、扣留(台灣稱為查扣，以下同)仿冒品進出口的效果。甚至當仿冒品案件的損害達到一定金額時，海關會主動將案件移送刑事公安部門，權利人可利用公安部門介入調查仿冒案件的契機，找出整個仿冒製假鏈，進而從製假源頭開始打擊仿冒品。建議企業可妥善利用知識產權海關保護措施，以達成降低仿冒品擴散海外的風險。 壹、事件摘要 企業啟動知識產權海關保護措施有兩種方式，其一為事先將欲受保護之知識產權於「知識產權海關保護系統」中備案，其二為由企業自行監控仿冒品進出口情形，針對個案提出扣留申請。 第一種方式，權利人將知識產權在海關備案系統中登錄後，海關在日常監控進出口貨物時會依照權利人的備案內容檢查進出口貨物。當海關發現有疑似侵權的產品欲通關時，會主動將貨物扣留並通報權利人，權利人可立即知悉有仿冒品欲進出口並派員處理。若確認貨物的確有侵權疑慮，再向海關申請扣留該批貨物。扣留後海關即會調查貨物是否構成侵權，若發現案件侵害情節重大，即會將案件移送公安部門進行刑事立案。 第二種方式，若企業未事先於知識產權海關保護系統中備案，則可於發現仿冒貨品進出口的資訊後，個案向海關提出扣留申請[1]。權利人申請海關扣留，應繳納與貨物等值的擔保金[2]，提出申請書、證明文件[3]及足以證明侵權事實明顯存在的證據，證明貨物即將進出口且未經許可使用了其知識產權，始可向海關申請扣留貨物。海關依權利人的申請而扣留貨物後，不會調查該批貨品究竟侵權與否，而是留待權利人自行調查並該批仿冒品的相關業者起訴。若權利人在一定期限內沒有在法院起訴，則海關將放行貨物。 對企業而言，自行花時間成本監控是否有仿冒貨物進出口是較為困難且成效有限的。中國大陸各地關口甚多，可能因無法確切掌握仿冒品進出口的口岸和貨物進出口資訊而錯失申請查處的良機。根據中國海關總署的統計，查獲仿冒品的方式中，經權利人登錄備案而海關依職權扣留仿冒品的比例為99%，大幅超過依申請扣留的1%[4]。由此可知，有備案而海關主動依職權查緝扣留仿冒品的成效，遠超過企業自行查緝仿冒品進出口後申請扣留的成效。而若為海關依職權扣留，更有可能由海關移送公安部門而啟動刑事調查，降低企業自行蒐證調查的困難。 建議企業可積極執行知識產權海關備案，讓海關主動依職權查扣仿冒品，為企業減少日常監控所花費的人力資源等成本，並有效提升查扣成效。另外，即使於系統中完成備案，亦應於企業內部建立備案的相關因應機制，避免因未及達成海關扣留程序上的要求，而讓海關放行仿冒品，無法達成海關備案的目的。本文以下介紹企業執行備案採取知識產權海關保護措施時，企業內部應注意的事項及應建立的因應流程。 貳、重點說明 一、備案啟動海關知識產保護 在中國大陸註冊取得的商標權、專利權或符合著作權法中的著作權皆可登錄備案，有權登錄備案者為知識產權權利人。目前海關總署不接受知識產權的被許可人(台灣稱為被授權人，以下同)提出的備案申請，但是被許可人可以作為代理人代表權利人申請備案。中國大陸地區以外的權利人，則必須委託境內的自然人、法人或者其他組織（例如境外權利人在境內設立的辦事機構）向海關總署申請備案。備案系統為線上申請，於系統註冊成功後根據欄位填入對應資料[5]並隨附權利證明[6]，填寫並上傳完成相關證明文件後，系統即會提交至海關總署審核。海關總署將在收到申請後的30個工作日內作出准駁決定。備案申請費用一案為人民幣800元[7]，備案有效期為十年，於知識產權權利有效期限內可續展備案，每次續展十年。知識產權失效者或無續展者，海關備案失效。 因海關查緝仿冒品係依據備案內容審核進出口貨物，故備案時提供的資料與仿冒品查緝成效有相當程度的關聯，例如若備案時未詳細填寫合法授權人名單，將可能會導致合法經銷授權人進出口貨物遭海關扣留，延誤通關時間，或可能遭仿冒業者假冒為經銷授權人的名義進出口貨物，使海關誤認而放行。是故企業於備案系統中填寫資料時應力求詳盡完備，備案完成後若相關資料有所變更(例如經銷/代理商等授權名單變動)，應及時於備案系統中更新。 二、扣留流程中的注意事項 海關在監控進出口貨物時，若發現貨物有侵犯備案知識產權疑慮者，將書面通知備案權利人。權利人自通知送達日起3個工作日內需提出確認扣留申請並繳納擔保金，始可扣留該批貨物。申請扣留需出具扣留申請書、侵權鑑定書，並繳納擔保金。易言之，自收到海關扣留通知起只有3個工作天的時間可準備申請書、鑑定書和籌措擔保金，假設企業內部事先未建立相關處理流程，很容易因時間延誤而無法提出扣留申請，平白喪失扣留仿冒品的機會。建議企業在收到海關通知後，盡快派員前往海關現場處理侵權鑑定事宜，並應事先作成鑑定侵權貨物時的侵權檢視要點，避免人員特地到現場鑑定卻無功而返，反而浪費寶貴的時間。有備案的情形下，扣留所需的擔保金上限為十萬元[8]，建議企業可事先編列經費支付申請海關扣留擔保金的來源，避免無法在期限內籌措擔保金而錯過扣留機會。權利人逾期未提出申請或未提供擔保者，海關不得扣留貨物[9]。 海關扣留貨物後，自扣留之日起30個工作日內完成貨物侵權調查認定，不能認定是否侵權者亦會書面通知權利人[10]。海關調查時，若認定仿冒案件侵害情節重大[11]，會將案件移送公安部門刑事立案，立案成功後公安即介入以刑事案件調查仿冒貨物。若仿冒貨物可藉由海關刑事移送而轉以刑事案件調查，將可藉由公安部門的刑事力量降低企業自行蒐證上的困難。故在海關調查的階段，建議企業可積極提供侵權事證給海關，並確認海關核算的侵害金額是否合理，以確保可達刑事移送的標準。海關扣留的同時，權利人應積極向法院起訴，否則若海關調查完畢認定不侵權或無法認定是否侵權，且又未收到法院發出的協助執行通知，即會放行該批貨物[12]。另外，待案件結束後可向海關請求返還擔保金，返還的金額應為繳納的擔保金金額扣除處理仿冒貨物所發生的倉儲或侵權貨物銷毀等費用。但因擔保金返還的時程並未明文規定於知識產權海關保護相關條文中，故建議企業在案件結束後可積極向海關跟催擔保金返還進度，以免因延宕過久而不了了之。 參、小結 企業妥善利用知識產權海關保護措施，可更及時地阻止仿冒品進出口，避免仿冒侵權損失進一步擴大至其他市場。啟動知識產權海關保護措施可分為事先備案，和企業自行監控發現仿冒品欲進出口後向海關個案申請扣留兩種方式。若企業有執行海關備案，不需自行監控仿冒品的進出口，海關即會根據備案資料針對進出口貨物進行侵權與否的比對，發現有疑似侵權的貨品欲通關，即會扣留該批貨品並通知權利人處理，確認扣留後海關更會主動調查貨物的侵權情形。而透過知識產權海關保護措施的執行，企業更有機會藉由海關行政查處或移送刑事部門立案後的調查，取得更多仿冒品的相關資訊和證據，進而有效且徹底的打擊整個仿冒產業鏈，降低仿冒再發的風險。 除了事先於海關備案系統登錄備案外，企業亦應於企業內部建立海關扣留仿冒品的因應流程，以確保知識產權海關保護措施可發揮最大的效益。權利人在海關備案系統登錄欲受保護的知識產權後，海關即會於日常審閱報關單時依據權利人在備案系統中登錄的資料扣留有侵權疑慮的貨品。建議企業應盡可能詳盡填寫備案系統中的欄位並提供相關佐證資料，若備案完成後資料有任何更動也應即時在系統中更新，以提升海關查緝扣留仿冒品的機率。收到海關扣留通知後因提出確認扣留申請的時間很短，建議應事先做成侵權檢視要點清單，提高現場人員的鑑定效率，並預先編列支付擔保金的預算，以免超過支付期限而無法扣留。海關調查期間則應積極提供仿冒貨物的侵權證據給海關，並確保仿冒貨品的侵害金額計算無誤，以促成海關將案件移送刑事公安部門立案。同時建議企業應盡快向法院提起訴訟，避免海關因誤判貨物未侵權而放行。案件結束後應注意積極跟催擔保金返還進度，以免擔保金石沉大海。除此之外，因從收到海關通知到企業提出扣留申請的期限很短，建議企業應提早在企業內部建立海關扣留應對處理流程(包含權責主管及人員、處理時限、經費來源、外部合作顧問單位等)，以及時因應侵權案件的處理，使知識產權海關保護措施發揮最大效益，盡可能降低仿冒品擴散到海外市場的風險。 [1]中華人民共和國知識產權海關保護條例第12條：「知識產權權利人發現侵權嫌疑貨物即將進出口的，可以向貨物進出境地海關提出扣留侵權嫌疑貨物的申請。」 [2]中華人民共和國知識產權海關保護條例第14條：「知識產權權利人請求海關扣留侵權嫌疑貨物的，應當向海關提供不超過貨物等值的擔保，用於賠償可能因申請不當給收貨人、發貨人造成的損失，以及支付貨物由海關扣留後的倉儲、保管和處置等費用。」 未備案而依申請扣押的情形中，企業需負擔與貨物等值的擔保金金額，亦即擔保金金額無上限。而若有備案而依職權扣押，則擔保金支付最高上限為十萬元，大幅限縮了企業的負擔，是故此亦為建議企業事先備案的原因之一。 [3]中華人民共和國知識產權海關保護條例第13條：「知識產權權利人請求海關扣留侵權嫌疑貨物的，應當提交申請書及相關證明文件，並提供足以證明侵權事實明顯存在的證據。 申請書應當包括下列主要內容： （一）知識產權權利人的名稱或者姓名、註冊地或者國籍等； （二）知識產權的名稱、內容及其相關資訊； （三）侵權嫌疑貨物收貨人和發貨人的名稱； （四）侵權嫌疑貨物名稱、規格等； （五）侵權嫌疑貨物可能進出境的口岸、時間、運輸工具等。」 [4]海關總署政策法規司(2013)，《中國海關知識產權保護狀況及備案名錄(2013)》，北京：中國海關出版社 [5]中華人民共和國知識產權海關保護條例實施辦法第6條：「知識產權權利人向海關總署申請知識產權海關保護備案的，應當向海關總署提交申請書。申請書應當包括以下內容： （一） 知識產權權利人的名稱或者姓名、註冊地或者國籍、通信地址、連絡人姓名、電話和傳真號碼、電子郵箱位址等。 （二） 註冊商標的名稱、核定使用商品的類別和商品名稱、商標圖形、註冊有效期、註冊商標的轉讓、變更、續展情況等；作品的名稱、創作完成的時間、作品的類別、作品圖片、作品轉讓、變更情況等；專利權的名稱、類型、申請日期、專利權轉讓、變更情況等。 （三）被許可人的名稱、許可使用商品、許可期限等。 （四）知識產權權利人合法行使知識產權的貨物的名稱、產地、進出境地海關、進出口商、主要特徵、價格等。 （五）已知的侵犯知識產權貨物的製造商、進出口商、進出境地海關、主要特徵、價格等。 知識產權權利人應當就其申請備案的每一項知識產權單獨提交一份申請書。知識產權權利人申請國際註冊商標備案的，應當就其申請的每一類商品單獨提交一份申請書。」 [6] 權利證明文件如商標註冊證、著作權自願登記證明或可證明為著作權人的資料、專利證書等。其他文件如授權他人使用的合約、權利人合法行使知識產權的貨物及包裝照片、已知侵權貨物進出口資訊等。 [7]費用以「權利」計案。例如，五個專利使用在一個商品上，需提出五件備案申請；一個專利用在五種商品上，只需提出一件備案申請。 [8]中華人民共和國知識產權海關保護條例實施辦法第23條：「有事先備案之知識產權權利人請求海關扣留侵權嫌疑貨物的，應當按照以下規定向海關提供擔保： （一）貨物價值不足人民幣2萬元的，提供相當於貨物價值的擔保； （二）貨物價值為人民幣2萬至20萬元的，提供相當於貨物價值50％的擔保，但擔保金額不得少於人民幣2萬元； （三）貨物價值超過人民幣20萬元的，提供人民幣10萬元的擔保。」 [9]中華人民共和國知識產權海關保護條例第16條 [10]中華人民共和國知識產權海關保護條例第20條 [11] 例如侵害金額達十五萬元以上、著作權盜版光碟達五百片以上者。 [12]中華人民共和國知識產權海關保護條例第24條：「有下列情形之一的，海關應當放行被扣留的侵權嫌疑貨物： （一）海關依照本條例第十五條的規定扣留侵權嫌疑貨物，自扣留之日起20個工作日內未收到人民法院協助執行通知的； （二）海關依照本條例第十六條的規定扣留侵權嫌疑貨物，自扣留之日起50個工作日內未收到人民法院協助執行通知，並且經調查不能認定被扣留的侵權嫌疑貨物侵犯知識產權的； （三）涉嫌侵犯專利權貨物的收貨人或者發貨人在向海關提供與貨物等值的擔保金後，請求海關放行其貨物的； （四）海關認為收貨人或者發貨人有充分的證據證明其貨物未侵犯知識產權權利人的知識產權的； （五）在海關認定被扣留的侵權嫌疑貨物為侵權貨物之前，知識產權權利人撤回扣留侵權嫌疑貨物的申請的。」