簡析日本電子帳簿等保存制度與電子資料真實性之確保
資訊工業策進會科技法律研究所
2024年03月29日
日本一般社團法人數位信任協議會於2024年3月15日以數位資料真實性確保的重要性及證明其真實性的時戳技術為題,舉行JDTF電子帳簿保存法解說研討會。研討會中由國稅廳課稅總括課解說電子帳簿保存法上與資料真實性相關的利用者需留意的要點,以及時戳技術的利用意義,並舉出具體的利用者事例作為介紹。
壹、事件摘要
日本電子帳簿等保存制度係指,稅法上等有保存必要的「帳簿」或是「收據、請求書等與國稅相關的文件」,非以紙本方式,而是以電子資料的形式保存的制度,此制度被區分為電子帳簿等保存、掃描保存及電子商業交易資料保存等3種制度[1]。
貳、重點說明
日本電子帳簿保存法於2022年的修法中,廢除電子帳簿等保存制度以及掃描保存制度的承認制度等[2],其中尤其值得關注的是電子商業交易的電子保存義務化。意即,自2022年起個人事業者或法人需要以符合特定要件的方式保存該電子商業交易資料。惟由於日本過往對於所接收的電子商業交易資料均以書面原本的形式進行保存,因此2022年的電子帳簿保存法修正案,雖將所接收的電子商業交易資料以電子資料的形式進行保存作為原則,但是由於許多公司尚無法應對電子資料的保存要求,故日本將2022年1月1日至2023年12月31日的2年間,作為電子商業交易資料保存的宥恕期間,在宥恕期間內無法滿足電子商業交易資料且有正當理由的公司,仍然可以將電子商業交易資料以書面的形式保存,並在稅務調查時將所保存的資料以書面形式提交給稅務機關[3]。日本電子帳簿保存法中所指之宥恕期間,係指自2022年起至2023年12月31日間,無法將電子商業交易資料以電子資料形式進行保存的企業,在符合特定之條件下,使其得繼續維持書面資料保存的期間。須留意宥恕期間僅有2年,公司或法人須於宥恕期間的2年內建立可以符合電子資料保存要件的環境整備。以下就2024年實施的日本電子帳簿3種制度進行說明。
一、電子帳簿等保存制度
對於自身最初透過電腦等製作的帳簿如會計軟體製作的入出帳等,或是與國稅相關的資料如透過電腦製作的請求書、決算書等,在符合具備系統相關資料如系統概要書或操作說明書、在保存場所具備電腦、程式、螢幕、印表機及其操作指南,並將記錄事項以畫面或書面的形式呈現,使其可以快速輸出,以及可以應對稅務職員基於質問檢查權的電子資料下載要求等的要件下,可以不以書面列印紙本的方式,而係以數位資料的形式保存的制度[4][5]。
二、掃描保存制度
決算相關資料以外的國稅相關資料,在符合輸入期間的限制、時戳的付與、版本管理、具備可讀取的裝置、可以快速輸出、具備系統概要書等,以及確保檢索機能等的要件下,能以手機或掃描機器掃描的電子資料形式取代該資料書面原本進行保存[6][7]。
三、電子商業交易資料保存制度
被課與所得稅申告或法人稅等帳簿、資料保存義務者,在處理訂單、契約書、收據、報價單、請求書等或與其相當的電子資料時,在確保真實性及可視性的要件下,需要保存該電子商業交易資料[8]。
電子商業交易資料保存制度中的確保真實性要件包含接收已付與時戳的資料、對所保存的資料付與時戳、不論是資料的接收還是保存,皆已可留存訂正刪除履歷或無法進行訂正刪除的系統進行,以及制定關於防止不正當訂正刪除的事務處理規則並依循。可視性要件則包含具備監控、操作說明書等資料以及具備充足的資料檢索要件[9]。
日本電子帳簿等保存制度雖區分為3種不同的制度,惟其中對個人事業者及法人具有強制效力的僅有電子商業交易資料保存制度,電子帳簿等保存制度及掃瞄保存制度則係設置誘因機制促使業者遵循,如電子帳簿等保存制度中創設其所保存的帳簿如符合訂正刪除履歷留存等「優良電子帳簿」的要件,則可減輕過少申告加算稅的稅金[10];掃描保存制度則讓企業可以透過手機或掃描機器將資料原本掃描成電子資料並以之取代書面紙本進行保存,減少企業保存書面資料的空間成本,同時亦可減低資料檢索時所需花費的時間與人力成本。
參、事件評析
日本電子帳簿保存法中對個人事業者與法人在保存電子商業交易資料時,課以確保電子資料真實性以及可視性的義務,並透過時戳技術的利用,確保個人事業者與法人可以達成電子資料真實性以及可視性的要求。
對於電子資料真實性的管理,我國資訊工業策進會科技法律研究所創意智財中心於2021年發布重要數位資料治理暨管理制度規範(下稱EDGS),協助企業管理內部重要數位資料。EDGS中亦肯認應保存電子資料的訂正刪除歷程,並以時戳技術及存證技術確保資料未經變更、刪除及竄改之真實性。我國企業如欲對自身的數位資料進行管理及存證等,可參考資訊工業策進會科技法律研究所創意智財中心所發布之EDGS建立資料管理流程,以降低數位資料管理相關風險。
本文同步刊登於TIPS網站(https://www.tips.org.tw)
[1]国税庁,〈電子帳簿保存法の内容が改正されました〜 令和5年度税制改正による電子帳簿等保存制度の見直しの概要 〜〉,頁1(2023年),https://www.nta.go.jp/law/joho-zeikaishaku/sonota/jirei/pdf/0023003-082.pdf(最後閱覽日:2024/03/26)。
[2]〈税務手続の電子化に関する資料〉,財務省,https://www.mof.go.jp/tax_policy/summary/tins/i04.htm(最後閱覽日:2024/03/26)。
[3]国税庁,〈電子帳簿保存法一問一答【電子取引関係】〉,頁35(2022),https://www.nta.go.jp/law/joho-zeikaishaku/sonota/jirei/pdf/0021006-031_03.pdf(最後閱覽日:2024/03/26)。
[4]同註1。
[5]国税庁,〈はじめませんか、帳簿・書類のデータ保存(電子帳簿等保存)〉,頁1-2(2023),https://www.nta.go.jp/law/joho-zeikaishaku/sonota/jirei/tokusetsu/pdf/0023006-085_02.pdf(最後閱覽日:2024/03/26)。
[6]同註1。
[7]国税庁,〈はじめませんか、書類のスキャナ保存〉,頁1-2(2023),https://www.nta.go.jp/law/joho-zeikaishaku/sonota/jirei/tokusetsu/pdf/0023006-085_03.pdf(最後閱覽日:2024/03/26)。
[8]同註1。
[9]同註3,頁8。
[10]同註5,頁2。
歐盟GDPR保護適足性審核與因應作為 資訊工業策進會科技法律研究所 法律研究員 吳柏凭 2018年04月10日 壹、事件摘要 歐盟於 1995 年頒布個人資料保護指令(95/46/EC)[1],對歐洲各國甚至全世界個人資料保護法制發展有極大影響力。然隨著資通訊技術發展變化迅速,網際網路與各項應用興起,既有歐盟個人資料保護指令面對這些變化已經難以為繼,歐盟執委會(European Commission) 出新的資料保護規則(General Data Protection Regulation, GDPR),於2016年4月27日通過,5月4日公布,正式成為歐盟第2016/679號規則(Regulation (EU) 2016/679)[2]。由於歐盟原則上禁止個人資料跨境傳輸,只有在被認可具有保護適足性(Adequate level of protection)的國家或地區才能例外許可傳輸,因此如何獲得歐盟保護適足性認可,就成為能否跨境傳輸歐盟個資的關鍵。 貳、重點說明 一、個人資料保護指令保護適足性審查規定 1995年的個人資料保護指令,就有禁止會員國將個人資料跨境傳輸至對資料保護不具有保護適足性之國家[3]。在第25條第2項中,對於保護適足性的審查,包括資料的性質、處理目的和期間、資料的發生地及最終目的地、該國家施行的普通法及特別法規範、以及安全措施等,透過個案綜合判斷是否具有保護適足性[4]。而關於具體的判斷標準,則依照第29條規定資料保護工作小組(Article 29 Data Protection Working Party)的指導文件[5],其中對於法律規範審查,除了內容外,更重視個資保護的執行面。 二、GDPR保護適足性審查規定 GDPR延續了個人資料保護指令的規定,原則上禁止資料跨境傳輸至對資料保護不具有適足性之國家[6]。根據第45條第2項規定,適足性的評估包括以下要素: 法治、對人權與基本自由之尊重、一般與部門之相關立法,包括有關公共安全、防衛、國家安全及刑法、公務機關對個人資料之接近使用權、及該等立法、資料保護規則、專業規則及安全措施之執行。 有一個或以上獨立監管機關之存在及有效運作,或對象為國際組織時,確保及執行資料保護規則之遵守,包括充足之執行權,以協助及建議資料主體行使其權利,並與會員國之監管機關合作; 個人資料向其他第三國或國際組織進一步移轉,該其他第三國或國際組織之規則、判例法、及有效且可執行之資料主體權利及個人資料受移轉之資料主體有效之行政與司法救濟;第三國或國際組織所加入之國際協定,或其他因具法律拘束力之合約或辦法、及從其參與多邊或區域體系而生之義務,尤其關於個人資料保護者。 以上規定與個人資料保護指令最大不同在於將保護適足性的判斷標準明文化,同時補充個人資料向第三地再傳輸應注意的規範、具有獨立性監管機關等規定,填補原本個人資料保護指令的漏洞。 三、保護適足性認可程序與現況 保護適足性認可的程序[7]為: 來自歐盟執委會的提案。 得到由歐盟各國資料保護機關組成之作業會議(European Data Protection Board)的意見。 得到歐盟各國代表的承認。 歐盟執委會合意認可。 縱然取得認可,之後也會每四年檢驗一次[8],如果被判定不具保護適足性,則仍會取消原本的認可[9]。 現階段已通過保護適足性審核的國家地區包括:安道爾、阿根廷、加拿大(民間機構)、法羅群島、根西島、以色列、馬恩島、澤西島、紐西蘭、瑞士及烏拉圭,另有美國限於「隱私盾」框架(Privacy Shield framework)方可傳輸。 參、事件評析 (一)保護適足性認可的效益 除了取得適足性認可外,個別企業可以透過1.標準契約條款(Standard Contractual Clauses, SCC);2.拘束企業準則(Binding Corporate Rules, BCR);或3.取得同意方式進行跨境傳輸[10]。但是取得適足性認可不但可以節省企業在個資跨境傳輸的成本,減輕企業負擔,同時也有助於整體產業突破歐盟貿易壁壘。 (二)通過保護適足性審核的困難 雖然現行通過適足性審核的國家地區有11個,惟需注意的是,根西島、馬恩島、以及澤西島都是英國屬地,法羅群島是丹麥屬地,而安道爾和瑞士都是在歐洲境內,這些國家地區的法規範本來就與歐盟差距不大,加上美國及加拿大國家本身不被認可具適足性,實際上不屬於歐盟法體系而通過適足性審核的國家地區非常有限。而且包括以色列、烏拉圭或紐西蘭在申請認可都花超過三年的時間,因此也不能作為短期的因應措施。 此外,在要件方面,規範上雖然我國個資保護規範與GDPR未有極大歧異,但只要存有差異,要取得認可就有極高困難度,這些都需要與歐盟執委會溝通。而在監管機關要求方面,雖然沒有要求單一機關,但對於機關的「獨立性」仍有要求。關於機關的獨立性目前歐盟並沒有明確的標準,但在歐盟法院判決中,有因為德國的州對州層級的資料監管機關進行調查的權力,而被認為不具獨立性[11]。 (三)通過適足性審核的具體作為 以日本為例,為了取得歐盟適足性認可,在2015年9月就其個人資料保護法(個人情報保護法)進行修正,其中設立個人資料保護委員會(個人情報保護委員会)即是為了符合適足性要求中「獨立監管機關」規定,而第24條跨境傳輸的規定更是重要。 日本個人資料保護委員會在2016年就與歐盟執委會溝通三次[12],同時在2017年發出共同聲明[13]。在不修正法律的狀況下,日本個人資料保護委員會頒布一指導方針來消除差異,並於於2018年2月9日先揭示調適方向[14],包括: 將歐盟視為敏感性個人資料而日本未明文規定者,解釋上一律視為敏感性個人資料。 歐盟不管個人資料保管期間,一律可以主張權利,而日本則限保管期間6個月以上方可主張權利。指導方針對於歐盟跨境傳輸的個資,不管保管期限一律許其主張權利。 對歐盟跨境傳輸的個資將要求揭露特定利用目的。 對於歐盟跨境傳輸的個資再移轉,必需要透過契約等規制,確保資料受保護水準。 關於歐盟跨境傳輸的個資,在去識別化一定要確認無法再識別,以與歐盟去識別化資料定義相符。 肆、結語 歐盟GDPR已施行在即,如何因應以突破其跨境傳輸的限制將不只是單純避免業者受罰,更是跨越歐盟貿易壁壘的重要關鍵,而在眾多例外許可跨境傳輸的方法中,又以取得保護適足性認可為最根本因應之道。雖然現在取得認可的難度極高,但仍有許多能努力的空間,目前我國也著手申請適足性認可的準備,未來能得到何種程度的回應,值得後續觀察。 [1] Directive 95/46/EC of the European Parliament and of the Council of 24 October 1995 on the Protection of Individuals with regard to the Processing of Personal Data and on the Free Movement of Such Data. [2] Reform of EU data protection rules, European Commission, http://ec.europa.eu/justice/data-protection/reform/index_en.htm (last visited Apr.10, 2018). [3] Data Protection Directive, art. 25(1). [4] Data Protection Directive, art. 25(2). [5] European Commission, Working Party on Protection of Individuals with regard to the Processing of Personal Data, Working Documents Transfers of personal data to third countries: Applying Articles 25 and 26 of EU data protection directive, July 24, 1998. [6] General Data Protection Regulation, art. 45. [7] Adequacy of the protection of personal data in non-EU countries, https://ec.europa.eu/info/law/law-topic/data-protection/data-transfers-outside-eu/adequacy-protection-personal-data-non-eu-countries_en (last visited Apr.10, 2018). [8] General Data Protection Regulation, art. 45(3). [9] General Data Protection Regulation, art. 45(5). [10] General Data Protection Regulation, art. 46. [11]European Commission v. Federal Republic of Germany(C-518/07). [12]個人情報保護委員会,個人情報保護委員会の国際的な取組について,https://www.kantei.go.jp/jp/singi/keizaisaisei/miraitoshikaigi/4th_sangyokakumei_dai2/siryou3.pdf (last visited Apr.10, 2018). [13]JETRO,個人データ保護の「十分性認可」取得の好機に-日EU首脳が共同声明-,https://www.jetro.go.jp/biznews/2017/07/845f14ec50674c94.html (last visited Apr.10, 2018). [14]個人情報保護委員会,EU 域内から十分性認可により移転を受けた個人データの取扱いに関するガイドラインの方向性について ,https://www.ppc.go.jp/files/pdf/300209_siryou1.pdf (last visited Apr.10, 2018).
Horizon EuropeHorizon Europe為歐盟2021-2027年之科技研發架構計畫。科技研發架構計畫(Framework Programmes for Research and Technological Development,依不同期別縮寫為FP1-FP8)為全球最大型的多年期科研架構計畫,今期之Horizon 2020已進入尾聲,2021年起所實施的歐盟科研架構計畫──FP9正式命名為「Horizon Europe」。 為打造歐盟成為創新市場先鋒,延續Horizon 2020計畫成效,Horizon Europe重視投資研發與發展創新,包含強化歐盟的科學與技術基礎、促進歐洲創新能力,以及永續歐洲社會經濟的模式與價值。 Horizon Europe發展方向分為三大主軸,分別為: 卓越科學(Excellent Science):透過歐洲研究理事會(European Research Council, ERC)、新居禮夫人人才培育計畫(Marie Skłodowska-Curie Actions, MSCA)和研究基礎設施(Research Infrastructures)加強歐盟科學領導力。 全球挑戰與產業競爭力(Global Challenges and European Industrial Competitiveness):此主軸再分別發展6個子題,以應對歐盟和全球政策並加速產業轉型。該6個子題分別為(1)健康;(2)文化與創造力;(3)社會安全;(4)數位與太空產業;(5)氣候、能源與交通;(6)糧食、生物經濟(Bioeconomy)、自然資源、農業與永續環境。 創新歐洲(Innovative Europe):促進、培育和部署市場創新,維護友善創新環境之歐洲生態系統(European ecosystems)。 此外,Horizon Europe擬把實驗階段中具備高潛力和前瞻性的技術帶入市場,轉以任務導向協助新創產業設立,推動跨事業多方整合。
日本ICT全球化戰略日本總務省為透過推動社會全體數位化,實現SDGs及Society 5.0目標,自2018年12月起召開「數位變革時代之ICT全球化戰略懇談會」(デジタル変革時代のICTグローバル戦略懇談会)檢討具體對策,並於2019年5月31日公布「ICT全球化戰略」(ICTグローバル戦略)。「ICT全球化戰略」基於社會全體數位化、推廣Society 5.0,以及透過提昇產業構造和勞動環境效率,創造具備豐富多彩價值之社會等理念,提出(1)透過數位化達成SDGs戰略︰公私部門合作推動社會全體之數位化,解決日本及世界社會問題;(2)資料流通戰略︰以確保個人資料之可控性為前提,推動制定國際規範及進行法制環境整備;(3)AI/IoT加值運用戰略︰提出以人類為中心之AI原則,檢討AI時代之資料重要性,推動AI人才培育;(4)網路安全戰略︰因應IoT機器和服務發展,確保網路安全性;(5)ICT海外展開戰略︰因應世界數位市場發展趨勢,檢討如何推動日本企業於海外發展;(6)開放創新戰略︰從利用次世代溝通技術提高生活品質、實現由資料所驅動之社會、建構支援未來之高度化網路等方向出發,推動相關研發計畫等6大戰略。
未事先告知即監視員工之通訊 企業被判侵犯個人隱私根據2005年一項統計調查指出,員工超過一千人的公司中,36.1%對員工從公司內部外寄的電子郵件加以監視,而同時亦有26.5%的公司正準備對員工由公司內部發送的電子郵件加以監視。若是以員工超過二萬人的公司來看,更有高達40%的公司已然利用過濾科技對員工外寄的電子郵件加以監視,而正準備利用相關科技對員工外寄的電子郵件加以監視的公司亦高達32%。 然而根據歐洲人權法院近日所做出的判決,不論公司是否訂有清楚的員工使用政策,一旦公司並未告知員工其在公司內的通訊或電子郵件往來可能會受到公司的監視,則該公司將可能違反歐洲人權公約(European Convention on Human Rights)。 該案例乃是由於一位任職於英國南威爾斯之卡馬森學院(Carmarthenshire College)的員工—Lynette Copland發現自己的網路使用情形及電話均遭到工作單位之監視,憤而向歐洲法院提出告訴。由於卡馬森學院並未提醒員工在工作場合之電子郵件、電話或其他通訊可能遭到監視,因此Lynette Copland之律師主張當事人在工作場合之電話、電子郵件、網路使用等其他通訊都應具有合理的隱私權期待,而受到歐洲人權公約第8條的保障。歐洲法院判決Lynette Copland可獲得約5910美元之損害賠償以及1,1820美元之訴訟費用。