生命科學領域的企業應透過營業秘密保護其部分創新
近期由於營業秘密議題受到重視，引起廣泛討論，美國實務界律師於彭博社法律專欄（Bloomberg Law Practical Guidance）指出生命科學領域的企業不應僅尋求專利的保護，而應考慮透過營業秘密來保護其部分創新，比如：製造技術、分析工具及方法、配方等，並指出保護營業秘密所應採取的具體措施。
在Mayo Collaborative Servs. v. Prometheus Labs一案中，美國最高法院認為診斷方法並非真正的應用，因此不符合可取得專利的資格；在Ass'n for Molecular Pathology v. Myriad Genetics一案中，美國最高法院認為將天然基因分離的技術不符合可取得專利的資格。由上述判決可以發現，生命科學領域的公司能取得專利的範圍被限縮了，因此該領域的企業應考慮透過營業秘密來保護其創新。
營業秘密相對於專利的優勢在於，專利有保護期限，但營業秘密若未公開揭露則能持續受到保護。另外，根據美國專利法（Patent Act），專利保護之客體限於有用且新穎的發明，但營業秘密保護之客體不僅限於此。不過，以營業秘密保護創新同樣存在風險，比如可能面臨前員工、現任員工將其洩露或是由於合作案導致其被竊取的情況等。
為避免上述情況之發生，企業應採取下列措施，包括：
1. 要求員工簽署保密協議，並於協議中具體說明營業秘密之範圍、保密期限，同時確保員工離職時歸還與營業秘密有關的資訊及設備；
2. 將涉及營業秘密的文件標示為機密；
3. 將機密文件及檔案儲存於上鎖的櫃子或受密碼保護的電腦中；
4. 根據員工的職責，僅允許必要的員工存取營業秘密資訊；
5. 對員工進行教育訓練，使其了解哪些資訊被視為營業秘密而不應洩露；
6. 透過監視設備監控保存營業秘密的位置；
7. 與合作單位簽署合作協議時，確保協議中有明確規定哪些資訊被視為營業秘密、分享營業秘密的方式、保密期限、授權的範圍等。
綜上所述，由於可取得專利的範圍被限縮，生命科學領域的企業應考慮透過營業秘密來保護其部分創新。在以營業秘密保護其創新時，應確保有採取與員工簽署保密協議、識別機密、權限控管、教育訓練、與合作單位簽署合作協議等措施。關於前述營業秘密管理措施之重要內容，企業可以參考資策會科法所創意智財中心發布的「營業秘密保護管理規範」，並進一步了解該如何管理，以降低自身營業秘密外洩之風險，並提升其競爭優勢。
本文同步刊登於TIPS網站（https://www.tips.org.tw）
葉承偉
副法律研究員 編譯整理
Eric J. Marandett & Sophie F. Wang, Trade Secrets in the Life Sciences Industry (Sep. 19, 2023), https://www.bloomberglaw.com/external/document/XD9RBMAK000000/health-care-operations-compliance-checklist-trade-secrets-in-the (last visited Sep. 22, 2023).
財團法人資訊工業策進會科技法律研究所，《營業秘密保護管理規範》，https://stli.iii.org.tw/publish-detail.aspx?no=72&d=7212（最後瀏覽日：2023/10/11）。
日本於2017年12月26日「第2次再生能源及氫氣等閣員會議」中，作為跨省廳之國家戰略，訂定「氫燃料基本戰略」（下稱「本戰略」），2050年為展望，以活用及普及氫燃料為目標，訂定至2030年為止之政府及民間共同行動計畫。此係在2017年4月召開之「第2次再生能源及氫氣等閣員會議」中，安倍總理大臣提出為了實現世界先驅之「氫經濟」，政府應為一體化策略實施，指示於年度內訂定基本戰略。為此，經濟產業省（下稱「經產省」）邀集產官學專家，召開「氫氣及燃料電池戰略協議會」為討論審議，擬定本戰略。其提示出2050年之未來之願景，從氫氣的生產到利用之過程，跨各省廳之管制改革、技術開發關鍵基礎設施的整備等各種政策，在同一目標下為整合，擬定過程中有經產省、國土交通省、環境省、文部科學省及內閣府為共同決定。 氫燃料基本戰略之訂定，欲解決之兩大課題： 第一，能源供給途徑多樣化及自給率的提高：日本94％的能源需依靠從海外輸入化石燃料，自給率僅有6-7％，自動車98％的燃料為石油，其中87％需從中東輸入。火力發電場所消費的燃料中，液態天然氣（LNG）所佔比例也在上升中，而LNG也幾乎全靠輸入。 第二，CO2排出量的削減。日本政府2030年度之CO2排出量預定比2013年度削減25％為目標。但是，受到東日本大地震後福島第一核能發電廠事故的影響，日本國內之核能電廠幾乎都停止運轉，因此LNG火力發電廠的運轉率也提高。LNG比起煤炭或石油，其燃燒時產生CO2之量較為少，但是現在日本電力的大部分是倚賴LNG火力發電，CO2排出量仍是增加中。 因此本次決定之氫燃料基本戰略，係以確實建構日本能源安全供給體制，並同時刪減CO2排出量為目標，能源如過度倚賴化石燃料，則係違反此二大目標，因此活用不產生CO2的氫燃料。但是日本活用氫燃料之狀況，尚處於極小規模，或者是實驗階段。把氫燃料作為能源之燃料電池車(FCV)，其流通數量也非常少，而氫燃料販賣價格也並非便宜。 氫燃料戰略之目標係以大幅提高氫燃料消費量，降低其價格為目的。現在日本氫燃料年間約200噸消費，預定2020年提高至4000噸，2030年提高至30萬噸，同時並整備相關商用流通網。為了提高氫燃料消費量，需實現低成本氫燃料利用，使氫燃料之價格如同汽油及LNG同一程度之成本。現在1Nm3約為100日圓，2030年降低至30日圓，最終以20日圓為目標，約為目前價格之5分之一為目標，在包含環境上價值考量，使其具備與既有能源有同等競爭力。 實現此一目標需具備：1.以便宜原料製造氫， 建立氫大量製造與大量輸送之供應鏈；2.燃料電池汽車（FCV）、發電、產業利用等大量氫燃料利用及技術之開發。 以便宜原料製造氫， 建立氫大量製造與大量輸送之供應鏈 透過活用海外未利用資源，以澳洲之「褐碳」以及汶萊之未利用瓦斯等得製造氫，目前正在大力推動國際氫燃料供應鏈之開發計畫。水分含量多之褐碳，價格低廉，製造氫氣過程中產生之CO2，利用目前正在研究進行中之CCS技術(「Carbon dioxide Capture and Storage，CO2回收及貯留技術)，將可製造低廉氫氣。為了將此等海外製造之氫氣輸送至日本，使設備大規模化，並開發特殊船舶運輸等，建立國際氫燃料供應鏈。再生能源採用的擴大與活化地方：再生能源利用擴大化下，為了確保能源穩定供應，以及有必要為剩餘電力之貯藏，使用過度發電之再生能源製造氫燃料（power to gas技術）而為貯藏，為可選擇之方法，目前正在福島浪江町進行相關實證。 燃料電池汽車、發電、產業利用等大量氫燃料之利用 （1）電力領域的活用：前述氫氣國際供應鏈建立後，2030年商用化實現，以17日圓/kwh為目標，氫燃料年間供應量約30萬噸左右（發電容量約為1GW）。未來，包含其環境上價值，與既有LNG火力發電具備相等之成本競爭力為目標。其供應量。年間500萬噸～1000萬噸左右（發電容量16～30GW）。2018年1月開始在神戶市港灣人工島（Port Island），以氫作為能源，提供街區電力與熱能，為世界首先之實證進行。 （2）交通上之運用：FCV預計至2020年為止，4萬台左右之普及程度，2025年20萬台左右，2030年80萬台左右為目標。氫氣充填站，2020年為止160站、2025年320站，2020年代後半使氫氣站事業自立化。因此，管制改革、技術開發及官民（公私）一體為氫氣充填站之策略整備，三者共同推進。 燃料電池（FC）巴士2020年引進100台左右、2030年為止1200台左右。（FC）燃料電池堆高機2020年引進500台左右，2030年1萬台左右。其他如：燃料電池卡車、燃料電池小型船舶等。 （3）家庭利用：家庭用氫燃料電池（ENE FARM），係以液態瓦斯作為能源裝置，使用改質器取得氫，再與空氣中氧發生化學變化，產生電力與熱能，同時供應電力與熱水。發電過程不產生CO2，但是改質過程抽出氫時，會排出CO2。降低價格，使其普遍化為目標，固體高分子型燃料電池（PEFC）在2020年約為80萬日圓，固態酸化物燃料電池（SOFC）約為100萬日圓價格。在集合住宅及寒冷地區、歐洲等需求較大都市，開拓其市場。2030年以後，開發不產生CO2之氫燃料，擴大引進純氫燃料電池熱電聯產。 其他例如： （4）擴大產業利用。 （5）革新技術開發。 （6）促進國民理解與地方合作。 （7）國際標準化作業等。 此一氫燃料戰略之推行下，本年3月5日為了擴大普及FCV，由氫氣充填營運業者、汽車製造業者、金融投資等11家公司，共同進行氫氣充填站整備事業，設立「日本氫氣充填站網路合作公司（英文名稱：Japan H2 Mobility，下稱「JHyM」）」，加速並具體化氫氣充填站之機制，今後以JHyM為中心，推動相關政策與事業經營。預定，本年春天再設立8個充氣站，完成開設100個氫氣充填站之目標。
歐盟資料保護工作小組修正通過個人資料侵害通報指引歐盟資料保護工作小組修正通過「個人資料侵害通報指引」 資訊工業策進會科技法律研究所 法律研究員 李哲明 2018年3月31日 壹、事件摘要 因應歐盟「通用資料保護規則」（The General Data Protection Regulation，或有譯為一般資料保護規則，下簡稱GDPR）執法即將上路，針對個人資料侵害之通報義務，歐盟資料保護工作小組（Article 29 Data Protection Working Party, WP29）特於本（2018）年2月6日修正通過「個人資料侵害通報指引」（Guidelines on Personal data breach notification under Regulation 2016/679），其中就GDPR所規範個資侵害之定義、對監管機關之通報、與個資當事人之溝通、風險及高風險評估、當責與紀錄保存及其他法律文件所規定之通報義務等，均設有詳盡說明與事例。 貳、重點說明 一、何謂個資侵害？個資侵害區分為哪些種類？ 依據GDPR第4條（12）之定義，個資侵害係指：「個人資料因安全性之侵害所導致意外或非法之毀損、喪失、修改、未經授權之揭露、存取、個資傳輸、儲存或其他處理。」舉例來說，個人資料之喪失包括含有控制者（controller）顧客資料庫的備份設備之遺失或遭竊取。另一例子則為整份個資的唯一檔案遭勒索軟體加密，或經控制者加密，但其金鑰已滅失。依據資訊安全三原則，個資侵害之種類區分為： 機密性侵害（Confidentiality breach）：未經授權、意外揭露或獲取個人資料。 完整性侵害（Integrity breach）：未經授權或意外竄改個人資料。 可用性侵害（Availability breach）：在意外或未經授權之情況下，遺失個人資料存取權限或資料遭銷燬。 二、何時應為通知？ 按GDPR第33條（1）之規定，當個資侵害發生時，在如果可行之情況下，控制者應即時（不得無故拖延）於知悉侵害時起72小時內，依第55條之規定，將個資侵害情事通報監管機關。但個資侵害不會對自然人之權利和自由造成風險者，不在此限。倘未能於72小時內通報監管機關者，應敘明遲延之事由。 三、控制者「知悉」時點之判斷標準為何？ 歐盟資料保護工作小組認為，當控制者對發生導致個人資料侵害的安全事件達「合理確信的程度」（reasonable degree of certainty）時，即應視為其已知悉。以具體事例而言，下列情況均屬所謂「知悉」： 在未加密個人資料的情況下遺失USB密鑰（USB Key），通常無法確定是否有未經授權者將獲致存取資料權限。即使控制者可能無法確定是否發生機密性侵害情事，惟仍應為通知，因發生可用性侵害之情事，且已達合理確信的程度。 故應以控制者意識到該密鑰遺失時起為其「知悉」時點。 第三人通知控制者其意外地收到控制者的客戶個人資料，並提供該揭露係未經授權之證據。當侵害保密性之明確證據提交控制者時，即為其「知悉」時點。如：誤寄之電子郵件，經非原定收件人通知寄件者之情形。 當控制者檢測到其網路恐遭入侵，並針對其系統進行檢測以確認個人資料是否遭洩漏，嗣後復經證實情況屬實，此際即屬「知悉」。 網路犯罪者在駭入系統後，聯繫控制者以索要贖金。在這種情況下，控制者經檢測系統並確認受攻擊後，亦屬「知悉」。 值得注意的是，在經個人、媒體組織、其他來源或控制者自我檢測後，控制者或將進行短暫調查，以確定是否發生侵害之事實。於此調查期間內所發現之最新侵害情況，控制者將不會被視為「知悉」。然而，控制者應儘速展開初步調查，以形成是否發生侵害事故之合理確信，隨後可另進行更詳盡之調查。 四、共同（聯合）控制者之義務及其責任分配原則 GDPR第26條針對共同控制者及其如何確定各自之法遵義務，設有相關規定，包括決定由哪一方負責遵循第33條（對主管機關通報）與第34條（對當事人通知）之義務。歐盟資料保護工作小組建議透過共同控制者間之契約協議，約明哪一方係居主要地位者，或須負責盡到個資侵害時，GDPR所定之通知義務，並載於契約條款中。 五、通報監管機關與提供資訊義務 當控制者通報監管機關個資侵害情事時，至少應包括下列事項 （GDPR第33條（3）參照）： 敘述個人資料侵害之性質，包括但不限於所涉之相關個資當事人、個資紀錄及其類別、數量。 傳達資料保護長（DPO）或其他聯絡人之姓名與聯絡方式，俾利獲得進一步資訊。 說明個資侵害可能之後果。 描述控制者為解決個資侵害業已採取或擬採行之措施，在適當情況下，酌情採取措施以減輕可能產生之不利影響。 以上乃GDPR要求通報監管機關之最基本事項，在必要時，控制者仍應盡力提供其他細節。舉例而言，控制者如認為其處理者係個資侵害事件之根因（root cause），此時通報並指明對象即可警示委託同一處理者之其他控制者。 六、分階段通知 鑒於個資事故之性質不一，控制者通常需進一步調查始能確定全部相關事實，GDPR第33條（4）爰設有得分階段通知（notification in phases）之規定。凡於通報時，無法同時提供之資訊，得分階段提供之。但不得有不必要之遲延。同理，在首次通報後之後續調查中，如發現該事件業已受到控制且並未實際發生個資侵害情事，控制者可向監管機關為更新。 七、免通報事由 依據GDPR第33（1）條規定，個資侵害不會對自然人之權利和自由造成風險者，毋庸向監管機關通報。如：該遭洩露之個人資料業經公開使用，故並未對個人資料當事人構成可能的風險。 必須強調的是，在某些情形下，未為通報亦可能代表既有安全維護措施之缺乏或不足。此時監管機關將可能同時針對未為通報（監管機關）或通知（當事人），以及安全維護措施之缺乏或不足，以違反第33條或（及）34條與第32條等獨立義務規定為由，而依第83條4（a）之規定，併予裁罰。 參、事件評析 一、我國企業於歐盟設有分支機構或據點者，宜指派專人負責法遵事宜 揆諸GDPR前揭規定，當個資侵害發生時，控制者應即時且不得無故拖延於知悉時起72小時內，將個資侵害情事通報監管機關。未能履踐義務者，將面臨最高達該企業前一會計年度全球營業額之2%或1千萬歐元，取其較高者之裁罰。我國無論金融業、航運業、航空運輸業、電子製造業及進出口貿易業者等，均或有於歐盟成員國境內或歐洲經濟區（European Economic Area）當地設立子公司或營業據點。因此，在GDPR法遵衝擊的倒數時刻，指派具瞭解GDPR規定、當地個資隱私法遵規範、擅長與隱私執法機構溝通及充要語言能力者專責法遵業務實刻不容緩。蓋此舉可避免我國企業母公司鞭長莫及，未能及時處置而致罹法典之憾。 二、全面檢視個資業務流程，完備個資盤點與風險評鑑作業，掌握企業法遵現況 企業應全面檢視業務流程，先自重要核心業務中析出個資作業流，搭配全面個資盤點，並利用盤點結果進行風險評鑑，再針對其結果就不同等級之風險採行相對應之管控措施。此外，於全業務流程中，亦宜採行最小化蒐集原則，避免蒐集過多不必要之個人資料，尤其是GDPR所定義之敏感個資（如：種族、民族血統、政治觀點、宗教信仰、哲學信仰、工會會員資格等個人資料，及遺傳資料的處理，用於識別特定自然人之生物識別資料、健康資料、性生活、性取向等）或犯罪前科資料，俾降低個人資料蒐集、處理、利用、檔案保存及銷燬之全生命週期流程中的風險。此舉亦契合我國個人資料保護法第5條所揭櫫之原則。 三、立法要求一定規模以上之企業須通過個資隱私法遵第三方認（驗）證，並建置認證資訊公開平台 鑒於國際法遵衝擊以及隱私保護要求之標準線日漸提升，我國企業除自主導入、建置並維運相關個資保護與管理制度以資因應，更有賴政府透過法令（如：修正個人資料保護法）強制要求一定規模以上之企業通過第三方專業驗證，俾消弭風險於日常準備之中。蓋我國具一定規模以上企業，無論其係屬何種業別，一旦違反國際法遵要求，遭致鉅額裁罰，其影響結果將不僅止於單一企業，更將嚴重衝擊該產業乃至於國家整體經貿發展。職是，採法律強制要求企業定期接受獨立、公正及專業第三方認（驗）證，咸有其實益性與必要性。
德國聯邦政府公布2016年《研究與創新成果報告》德國聯邦教育及研究部於6月1日公布《2016年德國研究與創新報告》（簡稱為BUFI) ，由聯邦教育及研究部部長Johanna Wanka 公布，這份報告每兩年由德國聯邦教育與研究部製作一次，作為2016年的趨勢展望。以下為報告中幾項重點： 德國政府在研發的支出創下歷史新高，在最新統計數據中，就2014年已有近840億歐元投入研究和發展領域，在歐洲位居首位。另外，德國聯邦政府在產業界投入570億歐元，占德國研發總預算約三分之二，已創下歷史新高。而2015年對產業界投入的研發支出又比前一年成長6.4%。而德國勞動總人口約434萬，目前統計從事研發活動的人口約60萬人，首次創下勞動人口比例歷史新紀錄。在歐盟國家中德國本已位於領先地位，在世界競爭力指數(WCI)排名中，德國更是遙遙領先其他國家，在140個國家中排名第六。德國的研究成果亦獲得國際間的肯定，德國在學術界的地位在最近一年持續領先。在德國關於德國科學家的著作，是躋身全球最常被引用的出版物的前十分之一。德國的專利申請數量在世界上排名領先，平均註冊專利數量從2003-2013年成長約9%，在歐盟遙遙領先其他成員國，在世界上專利數量則是美國的兩倍。 德國同時是研發產品輸出為主的國家，特別是在高科技產品輸出方面，即使中國如今名列前茅，德國依舊占據前排位置。在歐盟國家中，德國則位居第一。聯邦政府將研究與創新為財政編列預算優先事項，聯邦政府持續增加研發支出，根據目前2016年的總預算中，針對研發編列了1兆5800億歐元。聯邦政府補助德國在未來重點新興領域的研發及加強中小企業創新能力。聯邦政府在高科技戰略中所列的各大議題氣候變化與能源、健康與營養、移動、安全與通訊都將予以補助。又2015年政府已針對中小企業投資了1兆4500億歐元。各邦政府在研發支出亦占各邦年度總預算比例高達40%，由此可看出德國政府對創新與研發的重視。
電信業者提供視訊服務之外國法制研析