美國4州及司法部指控資料處理商（Agri Stats）的資料共享行為涉及聯合行為
美國明尼蘇達州、加州、北卡羅萊納州及田納西州之檢察總長於2023年11月加入「美國司法部（U.S. Department of Justice, DOJ）在同年9月對於肉品產業資料提供者（Agri Stats, Inc.，以下簡稱Agri Stats）提起的反壟斷訴訟」中，主張Agri Stats透過報告方式將肉品數據資料分享給訂閱服務之肉類加工商，此類資料共享行為削弱了市場競爭關係造成聯合行為，違反了休曼法（Sherman Act）。以下先就此案背景進行說明，以釐清此案象徵意義。
於2023年2月，美國司法部反壟斷部門撤回3項與資訊共享相關的聲明，該3聲明是為了醫療保健產業而發布，其中就資料分享之安全使用方式亦可讓其他產業的資料提供業者評估其資料分享行為是否造成反壟斷行為，惟在目前AI／演算法技術變革之下，利用共享所得之資料反推競爭對手之競爭策略具有可行性，因此當年認為有助於促進競爭之資料共享行為，現在反而有造成聯合行為之可能，故廢棄該3項已過時的聲明。
於2023年9月28日，美國司法部反壟斷部門於明尼蘇達州指控Agri Stats違反休曼法。Agri Stats為專門彙整、分析美國豬肉與家禽（肉雞、火雞）相關商業資料的資料處理商，並將其分析報告提供給具競爭關係的肉品加工商，肉品加工商可透過將Agri Stats分析報告反推以監控／預測出競爭對手之價格、供應量、營運計畫等，並依分析報告建議進行價格調高與減產的行為，而被美國司法部認定為聯合行為。
該訴訟所涉及的肉品加工商占了全美家禽（肉雞與火雞）銷售量的9成以上，豬肉銷售量的8成以上。目前已有前述4州加入該訴訟，法院後續會如何認定，將影響產業間的資料交換作法，也顯現出資料商業化前須先做好資料管理，確保在合規的範圍內進行資料利用，國內廠商可參資策會科法所公布之《重要數位資料治理暨管理制度規範（EDGS）》對自身資料管理機制進行檢視。
本文同步刊登於TIPS網站（https://www.tips.org.tw/）
- FRED ASHTON, DOJ Revs Up Scrutiny of Information Exchanges, AMERICAN ACTION FORUM, Nov. 29, 2023
- KRISSA WELSHANS & ANN HESS, Four states join DOJ lawsuit against Agri Stats, NATIONAL HOG FARMER, Nov. 7, 2023
- MAYDEEN MERINO, DOJ's Agri Stats Suit Could Spur Similar Cases in Other Industries, Antitrust Lawyers Say, ALM | LAW.COM, Oct. 6, 2023
- U.S. Department of Justice, Justice Department Withdraws Outdated Enforcement Policy Statements, Feb. 3, 2023
- JEFF VANHOOREWEGHE, KAREN SHARP & ROSE REINACHER, DOJ Sues Analytics Company for Facilitating Information Exchange, WILSON SONSINI, Oct. 27, 2023
莊越程
資深法律研究員 編譯整理
FRED ASHTON, DOJ Revs Up Scrutiny of Information Exchanges, AMERICAN ACTION FORUM, Nov. 29, 2023, https://www.americanactionforum.org/insight/doj-revs-up-scrutiny-of-information-exchanges/ (last visited Jan. 17, 2024).
KRISSA WELSHANS & ANN HESS, Four states join DOJ lawsuit against Agri Stats, NATIONAL HOG FARMER, Nov. 7, 2023, https://www.nationalhogfarmer.com/market-news/four-states-join-doj-lawsuit-against-agri-stats (last visited Jan. 17, 2024).
MAYDEEN MERINO, DOJ's Agri Stats Suit Could Spur Similar Cases in Other Industries, Antitrust Lawyers Say, ALM | LAW.COM, Oct. 6, 2023, https://www.law.com/nationallawjournal/2023/10/06/dojs-agri-stats-suit-could-spur-similar-cases-in-other-industries-antitrust-lawyers-say/ (last visited Jan. 17, 2024).
U.S. Department of Justice, Justice Department Withdraws Outdated Enforcement Policy Statements, Feb. 3, 2023, https://www.justice.gov/opa/pr/justice-department-withdraws-outdated-enforcement-policy-statements (last visited Jan. 17, 2024).
JEFF VANHOOREWEGHE, KAREN SHARP & ROSE REINACHER, DOJ Sues Analytics Company for Facilitating Information Exchange, WILSON SONSINI, Oct. 27, 2023, https://www.wsgr.com/en/insights/doj-sues-analytics-company-for-facilitating-information-exchange.html#2 (last visited Jan. 17, 2024).
科法觀點
網絡活動無遠弗屆，其所帶來的影響也逐漸引起世界各國的關注。依據歐盟針對網絡安全現況所做的調查發現，首先，現行估計存有150,000隻電腦病毒在網路間流竄，並已造成148,000部電腦受到威脅；第二，世界經濟論壇（World Economic Forum）指出，在未來的十年內，主要重大資訊基礎設施估計將有10%遭到破壞，其將導致2500億美金的損失；第三，著名資安公司（Symantec與McAfee）估計，全世界因網路犯罪而受害者，每年將會損失2900億歐元。相反地，因網路犯罪而受益者，其獲利將可高達每年7500億歐元；第四，依據 Eurobarometer在2012年針對網絡安全的民調指出，38%歐盟網路使用者因網絡安全因素已改變他們的網路行為方式；74%使用者同意，成為網絡安全受害者的風險已經逐漸增加；12%使用者已經遭受線上詐欺且89%使用者已避免在網上揭露個人資料；第五，據網絡暨資訊安全（NIS）的公眾諮詢發現，56.8%受訪者指出，在過去一年已經歷NIS事件對其網絡活動所帶來的嚴重影響；第六，Eurostat figures指出，直到2012年一月，在歐盟境內的企業僅有26%已經制定出完整的ICT安全政策。 有鑑於網路安全風險所帶來的效應已漸受重視，歐盟執委會（European Commission）會同歐盟外交暨安全政策高級代表（High Representative of the Union for Foreign Affairs and Security Policy共同發佈網絡安全策略，並計畫延引出歐盟執委會在NIS面向上的新指令（directive）。新的歐盟網絡安全策略，名為「開放、安全與可靠網絡空間」，代表著歐盟在預防和反應網絡攻擊和侵擾問題上的全面性預見。在該策略中，包含五個重大優先處理事項： 一、達到網絡韌性（Achieving cyber resilience） 二、徹底減少網路犯罪（Drastically reducing cybercrime） 三、針對一般安全暨防禦政策，發展網絡防禦政策和能力（Developing cyber defence policy and capabilities relatedto the Common Security and Defence Policy (CSDP)） 四、對網絡安全發展出企業性和技術性資源（Developing the industrial and technological resources for cyber-security） 五、為歐盟建立一個完整的國際網絡空間政策與促進歐盟核心價值（Establishing a coherent international cyberspace policy for the European Union and promoting core EU values） 為了達成歐盟網絡安全策略所形塑的優先事項，歐盟執委會亦計畫針對NIS來頒佈新的指令以落實策略項目，其中包含，首先，要求歐盟會員國必須採納NIS策略且指定國家級機關（需具有足夠人力和財務資源）來預防、處理和回應NIS風險與事件；第二，透過安全基礎設施和組成一般性的同儕審議，在歐盟會員國與執委會間建立合作機制來分享NIS風險和事件的早期預警；第三，某些領域重大基礎設施的運作者（金融服務、交通、能源或健康）、資訊社會服務的推動者（app商店電子商務平台、線上支付、雲端運算、搜尋引擎、社群網絡）和公家行政部門必須在其核心服務上，採納風險管理作法和報告主要網絡安全事件。 從歐盟網絡安全策略和執委會計畫頒佈的NIS指令可以發現，歐盟對於新世代的網絡安全風險已經有完整的預見與具體的因應措施。針對新型態的網絡安全威脅，我國如何能及早適時預警並作出相應的防範機制，以確保產業經濟、公共交通、資訊工業和國防安全等不會受到外部威脅，將是我國政府必須先行正視的問題。
衛生署將推動中草藥於兩年內強制包裝標示為強化中草藥現代化，保障民眾用藥安全，行政院衛生署自民國 93 年起提出「建構中藥用藥安全環境五年計畫」，中醫藥委員會主委林宜信最近並表示，將在 2008 年前，強制全台所有飲片及傳統藥材做好符合規定的包裝及標示，標示內容包括檢驗文號、有效期限，包裝後則需符合 GMP 的規範；至於規範標準，預計會在 2008 年起推動，初期採取廠商自由心證的做法，但未來會改為強制執行。 國內中草藥可區分為科學濃縮製劑，以及傳統的飲片和傳統劑型，科學濃縮製劑透過中醫醫療院所流通，目前產值約 250 億元；一般藥店販售的飲片及傳統劑型，產值則有 300 億元以上。傳統中草藥做好包裝標示，可確保民眾用藥安全，並帶動傳統中草藥品牌加值，而要求包裝標示符合 GMO 規範，也有利進入國際市場。中醫藥委員會預估，中草藥強制包裝標示可提升中草藥產值，由 300 億元倍數成長到 1,000 億元以上的規模。
美國消費者金融保護局發布最終規則強化消費者金融資料控制權與隱私保護.Pindent{text-indent: 2em;} .Noindent{margin-left: 22px;} .NoPindent{text-indent: 2em; margin-left: 38px;} .No2indent{margin-left: 3em;} .No2Pindent{text-indent: 2em; margin-left: 3em} .No3indent{margin-left: 4em;} .No3Pindent{text-indent: 2em; margin-left: 4em} 美國消費者金融保護局發布最終規則強化消費者金融資料控制權與隱私保護 資訊工業策進會科技法律研究所 2024年12月10日 美國消費者金融保護局（Consumer Financial Protection Bureau, CFPB）於2024年10月22日發布最終規則以落實2010年《消費者金融保護法》（Consumer Financial Protection Act, CFPA）第1033條規定之個人金融資料權利[1]，該規則即通常所稱之「開放銀行」（Open Banking）規則。 壹、事件摘要 本次CFPB頒布最終規則旨在賦予消費者對其個人金融資料更大的權利、隱私與安全性。透過開放消費者金融資料，消費者得更自由地更換金融服務提供者以尋求最佳交易，從而促進市場競爭，並激勵金融機構精進其產品與服務[2]。 貳、重點說明 最終規則要求資料提供者在消費者及授權第三方之請求下，提供消費者金融產品或服務相關資料，並應以消費者及授權第三方可使用之電子形式提供。最終規則亦制定標準，以促進資料標準化格式（standardized formats）之發展和使用，同時規範第三方近用消費者資料義務，包括對資料之蒐集、利用及保留限制。相關重點如下： 一、受規範機構主體 最終規則規範對象為資料提供者（data provider），包含銀行、信用合作社等存款機構（depository institution）；發行信用卡、持有交易帳戶、發行用於近用帳戶設備或提供支付促進服務（payment facilitation service）等非存款機構[3]。值得注意者，最終規則將數位錢包（digital wallet）及支付應用程式（payment app）業者納入資料提供者範圍，亦即被廣泛使用的金融科技服務亦將受到開放銀行規範體系之約束。此外，資料提供者不得向消費者或第三方收取資料近用之費用。 二、受規範資料範圍 最終規則規範之資料範圍涵蓋：資料提供者控制或擁有之24個月內之歷史交易資訊、帳戶餘額、付款資訊、契約條款與條件、即將到期之帳單、以及基本帳戶驗證資訊（Basic account verification information）等[4]，消費者得授權第三方近用此類資料。至於機密商業資訊、蒐集資料僅用於防止詐欺、洗錢，或為偵測或報告其他非法及潛在非法行為，又或基於其他法律要求保密之資訊，以及在正常業務過程中無法檢索之資料，則豁免最終規則之適用[5]。 三、消費者與開發者介面 根據最終規則，資料提供者須建立及維護兩個獨立的介面以利資料之近用，包含：消費者介面，例如提供消費者近用其資料之入口網站，以及授權第三方之開發者介面（developer interface），例如應用程式介面（Application Programming Interface, API），雖最終規則不要求使用任何特定技術，然仍要求資料提供者須以標準化機器可讀格式（Standardized and Machine-Readable Format）提供資料，介面功能要求須達每月最低99.5%之回應率（response rate）[6]。此類資訊須在每月最末日前揭露於資料提供者網站上。此外，介面之設計須遵守《美國金融服務業現代化法》(The Gramm-Leach-Bliley Act, GLBA)」及聯邦貿易委員會（Federal Trade Commission, FTC）之《消費者資訊保障標準》(Standards for Safeguarding Customer Information)等消費者資料保護法規義務[7]。 四、授權第三方之行為義務 授權第三方（authorized third party）為代表消費者向資料提供者請求近用資料，藉以提供消費者產品或服務者。為解決隱私與資料安全問題，該規則對尋求近用消費者資料之第三方提出數項要求[8]，包含但不限於： （一）知情同意之取得 第三方須取得消費者明確知情同意（express informed consent），以便代表消費者近用資料。 （二）資料利用之限制 第三方須確保將其資料之蒐集、利用及保留限制在提供消費者所請求的產品或服務之合理必要範圍內。就此部分，精準廣告（targeted advertising）、交叉銷售（Cross-selling），以及銷售資料並非提供產品或服務之合理必要範圍。 （三）遵守聯邦法規 第三方須依GLBA第501條規定或FTC之《消費者資訊保障標準》確保在其系統中採用「資訊安全計畫」（information security program）。 （四）政策與程序文件要求 第三方應擁有合理書面政策和程序，以確保從資料提供者處準確接收資料，並提供於其他第三方，即資料正確性之確保。 （五）資料撤回權之確保 第三方應向消費者提供撤回第三方授權之方法，撤回過程須簡易明瞭。在第三方收到消費者撤回授權之請求時，應通知資料提供者以及已向其提供消費者資料之其他第三方。 （六）第三方監督義務 第三方應透過契約要求其他第三方在向其提供消費者資料前遵守特定第三方法定義務。 （七）資料保存期限 消費者資料之保存期限最長為一年。若繼續蒐集，第三方應取得消費者重新授權。若消費者不提供重新授權或撤回授權，第三方應停止資料之蒐集，並停止利用與保留先前蒐集之資料。 五、實施日期 最終規則將依機構資產規模分階段實施[9]，最大規模之機構（資產總額為2500億美元以上之存款機構資料提供者，以及在2023年或2024年任一年中，總收入達到100億美元以上之非存款機構資料提供者）須在2026年4月1日前遵守最終規則。對於規模最小之機構（資產總額低於15億美元但高於8.5億美元之存款機構資料提供者）須於2030年4月1日前遵守該規則。另總資產低於8.5億美元之存款機構不受該規則限制，以減輕小型銀行及信用合作社合規負擔。 參、事件評析 CFPB之CFPA第1033條最終規則將重塑美國金融市場之監理格局，由市場驅動之開放銀行框架走向由政府透過法規實質監理之管制措施，要求業者開放消費者資料。值得留意者，歐盟執委會（European Commission）2023年6月推出之「金融資料近用」（Financial Data Access, FiDA）草案[10]亦基於消費者賦權理念，強化消費者對其資料權利之控制權。由此可觀察國際間金融資料利用與監理規範逐漸走向以消費者資料自主為中心之法制架構，當代金融資料監理趨勢或值得我國主管機關及業者留意關注，除可作為我國金融資料法制與政策制定之參考，亦供我國企業布局全球化金融服務提前作好準備。 [1]Required Rulemaking on Personal Financial Data Rights, 89 Fed. Reg. 90838. [2]Consumer Financial Protection Bureau, CFPB Finalizes Personal Financial Data Rights Rule to Boost Competition, Protect Privacy, and Give Families More Choice in Financial Services, available at https://www.consumerfinance.gov/about-us/newsroom/cfpb-finalizes-personal-financial-data-rights-rule-to-boost-competition-protect-privacy-and-give-families-more-choice-in-financial-services/(last visited Dec. 5, 2024). [3]12 C.F.R. § 1033.111. [4]12 C.F.R. § 1033.211. [5]12 C.F.R. § 1033.221. [6]12 C.F.R. § 1033.311. [7]See id. [8]12 C.F.R. § 1033.421. [9]12 C.F.R. § 1033.121. [10]Proposal for a REGULATION OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL on a framework for Financial Data Access and amending Regulations (EU) No 1093/2010, (EU) No 1094/2010, (EU) No 1095/2010 and (EU) 2022/2554.
瑞典Attunda地方法院關於Hyperlink之侵害著作權判決-透過輸入網址或點選超連結(Hyperlink)方式找尋資料，是網路運作基礎之一。而單純以Hyperlink方式另開新視窗呈現其他網頁，由於只是方便快速連結到其他網站或網頁內容，並無涉及重製行為，因此實務上普遍認為並無侵害著作權的問題。然而瑞典Attunda地方法院於2016/10/13，就一則使用Hyperlink方式之案例卻認定有侵害著作權。 此案例起因於瑞典原告Jonsson在非洲Zambezi河上，拍攝到高空彈跳發生意外之影片，後該影片未得原告同意遭他人上傳至YouTube網站。被告比利時L’Avenir新聞網站報導此事件時，於文中提供Hyperlink(lånkat från hemsidan till YouTube)，使讀者能連結到YouTube上之該則影片。本案原告主張並無授權上傳YouTube影片，也無允許被告在其網路報導得以提供Hyperlink連接至YouTube網站影片，以此要求L’Avenir新聞網站負擔侵害其公眾傳輸權之責任。 瑞典Attunda地方法院引用歐盟法院於2016/09/08GS Media, C-160/15案中關於Hyperlink判決見解，認定若超連結之內容有權利人合法授權，Hyperlink行為固無侵權可言，但若連結之內容未受權利人合法授權時，需先判定行為人是否是以營利為目的；若為肯定，則推定行為人明知其內容違法、Hyperlink行為構成公眾傳輸行為，但行為人可舉證推翻，證明其不知內容違法而未構成侵權。本案由於超連結內容是未經由原告授權，且瑞典Attunda法院認定L’Avenir新聞網站以營利為目的使用Hyperlink，於網站無法證明不知內容非法情況下，因此判定被告構成侵權。 瑞典法院所引用的歐盟判決引起諸多批評，論者有謂超連結功能是網路運作基礎之一，該判決認為以營利目的使用即應推定對內容違法有明知，不僅「營利目的」此一條件之內涵為何，需待後續更多判決個案方可確定具體內容；而且造成所有線上新聞網站擬使用超連結影片及內容、又無法得知內容是否有被合法授權時，必須承擔更大的侵權風險；因此產生的自我審查，將弱化網路之基本運作功能，且使言論自由及通訊自由受到侵害。