歐盟通過《歐盟綠色債券規則》，建立綠色債券監管框架
歐盟於2023年10月11日發布《歐洲綠色債券監管及環境永續債券市場與永續連結債券自願性揭露規則》（Regulation on European Green Bonds and optional disclosures for bonds marketed as environmentally sustainable and for sustainability-linked bonds，下稱《歐洲綠色債券規則》），預計於2023年12月20日生效，針對在歐盟境內發行之綠色債券建立一套監管框架，課予欲使用「歐洲綠色債券」（European Green Bond）或「EuGB」等名稱發行環境永續債券的發行人一定義務，促進綠色債券的一致性和可比性，以保障投資人。綠色債券是發展綠色技術、能源效率和提升資源運用以及其他永續相關基礎設施投融資的主要工具之一，本規則之通過也被視為落實歐盟永續成長融資策略以及向碳中和、循環經濟轉型的一大進展。
《歐洲綠色債券規則》規範重點如下：
1.資金用途限制：《綠色債券規則》所有透過歐盟綠色債券募得的資金，原則上均必須投資於符合《歐盟永續分類標準》（EU Taxonomy）技術篩選標準的永續經濟活動，只有在所欲投資的經濟活動類別尚未被納入該標準時得為例外，且以總額之15%為限；
2.資訊揭露：綠色債券之發行人有義務揭露該債券之概況介紹（Factsheet）、資本支出計畫、資金使用分配報告、衝擊報告，並於債券公開說明書敘明資金用途，並得選擇進一步說明該債券之資金如何與自身企業整體環境永續目標相結合；
3.外部審查：前述資訊均須由已向歐洲證券與市場管理局（European Securities and Markets Authority）註冊之外部機構進行審查，以確保其準確性及可靠性。
本文為「經濟部產業技術司科技專案成果」
蔡淳宇
副法律研究員 編譯整理
Council Directive 2023/2631, 2023 O.J. (L) 1.
顧典晉，〈歐盟執委會提出《淨零產業法》草案，促進歐盟淨零技術的發展〉，資策會科法所科技法制要聞，https://stli.iii.org.tw/article-detail.aspx?no=64&tp=1&d=8984（最後瀏覽日：2023/11/05）。
美國參議院於2015年4月底針對抗衡美國patent troll提出法案，該法案名為the Protecting American Talent and Entrepreneurship (PATENT) Act。希望能制止美國近年來濫用美國專利系統制度，造成許多不必要之專利訴訟案件等情形。 該法案指出，許多濫用之專利訴訟案不僅發生在大公司，許多中小公司也受到patent troll的侵擾，也許即使不著名的專利訴訟案也會花費被告方非常大筆之金額。法案內容指出，提起專利訴訟方需要清楚定義該專利的聲明(claim)及何種產品或是過程侵權，及其侵權之方法等。另外，勝訴方可以提出敗訴方在訴訟過程中所花費的費用並不客觀上合理等聲明。美國政府於2015年5月初表示支持該項提案，且認為該法案是合理且可理解的法案(common-sense legislation)，並希望能於今年簽訂通過該法案於國家專利法中，讓美國專利法系統不受到patent troll的氾濫使用。 美國眾議院於2015年5月底又針對PATENT Act法案做出修正，希望在打擊專利蟑螂時，又不至於過度保護AIA，而造成專利權人泛濫使用AIA保護而矯枉過正。主要的法案修正內容包括： 1.限制PTAB過度檢視專利有效性的範圍。PTAB為了防止過多的專利訴訟，對於專利的有效性較謹慎檢視，因而相對的判定許多專利無效。此法案要求PTAB的審查標準需與地方法院檢視專利有效性的標準相同，以避免過度不合理的專利無效決定。 2.專利權人若要聲訴原告的專利無效需具有大量且具體的證明，證明專利的無效性。若專利權人提出無理由的專利訴訟，即造成濫用專利權人權利的情形，該法案規定，其可對其律師相關的懲罰。 3.若專利權人像PTAB提出對方的專利無效，PTAB僅需一個成員來決定是否構成審視該專利有效性的決定。 提出這些修改法案，主要希望在打擊專利訴訟濫用的同時，又不會過度的保護專利權人而可能夠成不中立的結果。
英國通訊管理局決定擴張防止「不正當銷售」（mis-selling）的規定鑑於頻寬市場以及電信市場的競爭愈趨炙熱，不肖資通訊業者對於弱勢消費者，透過詐騙或其他不適當銷售手法而獲利的案例也層出不窮。爰此，英國通訊管理局（Office of Communication/ Ofcom）在2007年2月8日，決定擴張防止固網電信業者對消費者「不正當銷售」（mis-selling）的規範內容（General Condition）。 「不正當銷售」指的是電信公司或其雇員，利用不受歡迎或者非法的銷售產品技巧所從事的相關市場活動。其中最嚴重的銷售方式，又以「砰一聲」（slamming）的銷售行為，最令人詬病。因為該銷售行為是在未經消費者明示同意、或者未使其獲得足夠知識與資訊下，逕自將提供的服務轉換到另一家公司。例如：轉換服務提供者，但並未通知你；通知轉換服務提供者，但未經你同意；所簽約的服務與提供的服務不盡相同；銷售人利用使你倍感壓力的方式來銷售服務等等，均屬誤賣行為。 此次的規則擴張，在規範對象上也會納入那些使用用戶迴路的服務提供者。Ofcom認為在日益激勵的市場競爭下，這些擴張規則有助於消費者權益，並能保護他們免受不適當的銷售活動干擾，更可確保消費者追求更好消費標的市場信心。
國際能源總署發布2022年再生能源報告，分析全球再生能源發展現況並預估未來趨勢國際能源總署（International Energy Agency, IEA）於2022年12月6日發布2022年再生能源報告（Renewable 2022），其整理和分析各國之再生能源政策和市場發展現況，並預測再生能源於2022至2027年間在電力、交通和供熱的部署情況，同時提出相關產業在發展上的主要障礙。報告重點如下： （1）能源危機加速再生能源成長 烏俄戰爭所導致之能源危機，迫使各國加速其推動再生能源之政策，例：中國的十四五年規劃、歐盟的REPowerEU計畫，以及美國的降低通膨法案（Inflation Reduction Act）等等，將使2022至2027年間全球的再生能源裝置容量提升約2400GW，等同於中國目前電力的總量，其中歐盟、中國、美國和印度在未來五年間所建置之再生能源，將是過往五年的兩倍；而未來五年間全球成長之電力裝置容量中，再生能源的部分將占90%以上，並且，其總裝置容量將於2025年超越燃煤，成為最大宗的電力來源，其中，又將以太陽光電和風電為主要的發電方式。 （2）各國再生能源法制政策仍有進步空間 國家再生能源法制的不確定性、經濟措施不足、許可程序繁冗，以及電網設施的缺乏，都將阻礙再生能源的發展，若能消除該些障礙，包含簡化許可程序、改善競標方式及提升誘因機制，全球再生能源的成長速率將能再提升25%。 （3）再生能源轉換為氫氣之應用將大幅提升 隨著超過25個國家的氫能政策，全球用於電解產氫的風電和太陽光電裝置容量於2022至2027年間將達50GW，提升近100倍，而主要發展之國家為中國，其次則是澳洲、智利和美國。 （4）生質能的需求持續增加並需開發更多元的原料來源 國際對於生質能的需求將持續增加，在未來五年裡預計成長22%。其中，廢棄物和殘渣的利用是生質燃料重要的一環，至2027年時將有約三分之一的生質燃料來自該兩者，而在燃料需求擴增並造成供應壓力的情況下，則有待政策的推動和技術的研發，以開發更多元且永續的生質能原料。 （5）再生能源供熱的發展程度仍無法取代化石燃料 由於越來越多的供熱來源是依賴電力，而電力中再生能源的比例亦不斷提升，因此，2022至2027年間的再生能源供熱將會提升三分之一，而亦有部份原因是來自政策的推動，尤其是遭遇天然氣危機的歐盟。不過，依目前再生能源供熱技術的發展程度，還無法追上傳統化石燃料所能供熱的數量。
美國各州逐步研議透過立法豁免企業資安事件賠償責任美國各州逐步研議透過立法豁免企業資安事件賠償責任 資訊工業策進會科技法律研究所 2024年06月10日 為鼓勵企業採用資安標準與框架，美國已有幾州開始透過立法限縮企業資安事件賠償責任，企業若能舉證證明已符合法令或遵循業界認可之資安框架和標準，則於資安攻擊事件所致損害賠償訴訟中，將無需承擔賠償責任。 壹、事件摘要 為避免有心人士於未取得經授權下近用網路和敏感資料，企業往往投入大量資源打造資安防護架構，惟在現今網路威脅複雜多變的環境下，仍可能受到惡意資安攻擊，導致資料外洩事件發生，導致企業進一步面臨訴訟求償風險，其中多數指控為未實施適當的資安措施。為此美國佛羅里達州和西維吉尼亞州研議透過立法限縮企業之資安事件賠償責任，以鼓勵企業採用資安標準、框架與資安相關法令。 貳、重點說明 繼美國俄亥俄州[1]、猶他州[2]和康乃狄克州[3]相繼頒布法令，讓已實施適當安全維護措施之企業，豁免資安攻擊所致資料外洩之損害賠償責任，佛羅里達州和西維吉尼亞州近期亦提出相似法案，以下介紹兩州法案之重點： 一、佛羅里達州 美國佛羅里達州於2023年11月公布《資安事件責任法案》 （H.B 473: Cybersecurity Incident Liability）[4]，法案納入「安全港條款」（Safe Harbor），當企業遭受資安攻擊致生個資外洩事件，如可證明已遵循產業認可的資安標準或框架，實施適當的資安措施與風險控管機制，則可免於賠償責任，以鼓勵企業採納資安標準或框架。 為適用安全港條款，企業須遵循佛羅里達州資訊保護法（The Florida Information Protection Act），針對資料外洩事件，通知個人、監管機關和消費者，並建立與法案內所列當前產業認可的資安標準、框架，或是特定法令規範之內容具一致性的資安計畫（Cybersecurity Programs）： （一）當前產業認可的資安標準、框架 1. 國家標準暨技術研究院（National Institute of Standards and Technology, NIST）改善關鍵基礎設施資安框架（Framework for Improving Critical Infrastructure Cybersecurity）。 2. NIST SP 800-171－保護非聯邦系統和企業中的受控非機密資訊。 3. NIST SP 800-53 和 SP 800-53A－ 資訊系統和企業的安全和隱私控制/ 評估資訊系統和企業中的安全和隱私控制。 4. 聯邦政府風險與授權管理計畫（Federal Risk and Authorization Management Program, FedRAMP）安全評估框架。 5. 資安中心（ The Center for Internet Security, CIS）關鍵安全控制。[5] 6. ISO/IEC 27000系列標準。 7. 健康資訊信任聯盟（The Health Information Trust Alliance, HITRUST）通用安全框架（Common Security Framework）[6]。 8. 服務企業控制措施類型二（Service Organization Control Type 2, SOC 2）框架。 9. 安全控制措施框架（Secure Controls Framework）。 10. 其他類似的產業標準或框架。 （二）特定法令規範 企業（entity）如受以下法令規範，亦得適用安全港條款，如法令有修訂，企業應在發布修訂後的一年內更新其資安計畫： 1. 健康保險可攜與責任法（The Health Insurance Portability and Accountability Act, HIPAA）之安全要求。 2. 金融服務現代化法（The Gramm-Leach-Bliley Act）第五章。 3. 2014 年聯邦資訊安全現代化法（The Federal Information Security Modernization Act of 2014）。 4. 健康資訊科技促進經濟和臨床健康法（The Health Information Technology for Economic and Clinical Health Act, HITECH）之安全要求。 5. 刑事司法資訊服務系統 （The Criminal Justice Information Services, CJIS）安全政策。 6. 州或聯邦法律規定的其他類似要求。 該法案雖於2024年3月5日經佛羅里達州參議院三讀通過，但於2024年6月26日遭州長否決[7]，其表示法案對於企業的保障範圍過於廣泛，如企業採取基礎的資安措施與風險控管機制，便得主張適用安全港條款，將可能導致消費者於發生個資外洩事件時，無法受到足夠的保障。州政府鼓勵利害關係人與該州網路安全諮詢委員會（Florida Cybersecurity Advisory Council）合作，探求法案的替代方案，以保護消費者資料。 二、西維吉尼亞州 美國西維吉尼亞州於2024年1月29日提出眾議院第5338號法案[8]，修訂西維吉尼亞法典（Code of West Virginia），增訂第8H章資安計畫安全港條款（Safe Harbor for Cybersecurity Programs），如企業符合業界認可的資安標準、框架或依特定法令建立與實施資安計畫，包含個人資訊和機敏資料的管理、技術和企業保障措施，將能夠於侵權訴訟中，主張適用避風港條款。 法令內明列評估企業所建立的資安計畫規模和範圍是否適當之要素，包含： 1. 企業的規模和複雜性； 2. 企業的活動性質和範圍； 3. 受保護資訊的敏感性； 4. 使用資安防護工具之成本和可用性； 5. 企業可運用的資源。 （一）當前產業認可的資安標準、框架 除與佛羅里達州法案所列舉業界認可的資安標準之前六項相同，另增加： 1 NIST SP 800-76-2個人身分驗證生物辨識規範（Biometric Specifications for Personal Identity Verification）[9]。 2. 資安成熟度模型認證（The Cybersecurity Maturity Model Certification, CMMC）至少達到第2級，並經外部驗證（external certification）。 （二）特定法令規範 除與佛羅里達州法案所列舉特定法令之前四項相同，另增加：由聯邦環境保護局（Environmental Protection Agency, EPA）、資安暨基礎設施安全局（Cybersecurity and Infrastructure Security Agency, CISA）或北美可靠性公司（North American Reliability Corporation）[10]所採用任何適用於關鍵基礎設施保護的規則、法規或指南。 惟目前法案已於2024年3月27日被西維吉尼亞州長否決[11]，其表示透過安全港條款鼓勵企業實踐資安框架雖立意良好，但也可能遭濫用而帶來不當影響，例如TikTok等大型國際企業，如在違背公民意願情況下共享個人資料時，將免於訴訟，恐有損其公民權益，未來州政府將與利害關係人持續進行協商。 參、事件評析 佛羅里達州和西維吉尼亞州近期同步公布有關限制企業於資安事件之責任相關法案，內容亦為相似，西維吉尼亞州之法案目前已遭否決，主要係擔心該豁免條款遭到不當濫用；佛羅里達州之法案亦因對於企業保障過廣與無法保障消費者個資安全考量，而遭州長否決。 法案中明列受產業普遍認可的資安標準、框架與政府所頒布特定法令，有助企業明確遵循與採納，建立與實施資安計畫，惟如何舉證所建立之資安計畫或實施之資安措施，與法案所列之資安標準、框架，或是特定法令規範，具有實質上的一致性，仍不明確，將可能阻礙企業於訴訟上行使抗辯與主張責任豁免權。未來美國如何權衡產業穩健發展與民眾個資保障，仍有待持續觀察。 [1] Chapter 1354 - Ohio Revised Code, Ohio Laws, https://codes.ohio.gov/ohio-revised-code/chapter-1354 (last visited May 24, 2024). [2]Part 7 Cybersecurity Affirmative Defense Act, Utah StateLegislative, https://le.utah.gov/xcode/Title78B/Chapter4/78B-4-P7.html (last visited May 24, 2024). [3]Frederick Scholl, Connecticut’s New Breach Notification and Data Security Laws: Carrots and Sticks, Quinnipiac University, July,1,2021,https://www.qu.edu/quinnipiac-today/connecticuts-new-breach-notification-and-data-security-laws-2021-07-01/ (last visited May 24, 2024). [4]CSHB 473-Cybersecurity Incident Liability, The Florida Senate,https://www.flsenate.gov/Session/Bill/2024/473 (last visited Jun. 28, 2024). [5]資安中心（ The Center for Internet Security, CIS）為美國非營利組織，負責推動CIS Controls，針對實際發生的資安攻擊行為提供防禦建議，作為企業保護 IT 系統和資料時可參考之最佳實務作法。資料來源：About us, Center for Internet Security, https://www.cisecurity.org/about-us (last visited Jun. 6, 2024). [6]What is HITRUST?, Schneider Downs,https://schneiderdowns.com/cybersecurity/what-is-hitrust/ (last visited May 24, 2024). [7]Governor of Florida, Vote letter for House Bill 473(2024), https://www.flgov.com/wp-content/uploads/2024/06/Veto-Letter_HB-473.pdf (last visited Jun. 28, 2024). [8]2024 REGULAR SESSION ENROLLED Committee Substitute for House Bill 5338, WEST VIRGINIA LEGISLATURE,https://www.wvlegislature.gov/Bill_Status/bills_text.cfm?billdoc=hb5338%20sub%20enr.htm&yr=2024&sesstype=RS&i=5338 (last visited May 24, 2024). [9]NIST SP 800-76-2 Biometric Specifications for Personal Identity Verification, National Institute of Standards and Technology, https://csrc.nist.gov/pubs/sp/800/76/2/final (last visited May 24, 2024). [10]北美電力可靠性公司（North American Electric Reliability Corporation, NERC），為一家非營利機構，致力推動關鍵基礎設施保護相關標準，以強化北美大規模電力系統（亦即電網）的可靠性和安全性，資料來源：https://www.nerc.com/Pages/default.aspx (last visited May 24, 2024). [11]Governor of West Virginia, Enrolled Committee Substitute for House Bill 5338(2024),https://www.wvlegislature.gov/Bill_Text_HTML/2024_SESSIONS/RS/veto_messages/HB5338.pdf (last visited May 24, 2024).