美國FTC通過「禁止企業簽訂競業禁止契約」的最終規定

美國聯邦貿易委員會(下稱FTC)於2024年4月23日通過「禁止企業簽訂競業禁止契約」最終版本的規定(以下稱「最終規定」) ,FTC認為「簽訂或執行競業禁止契約」違反《聯邦貿易委員會法》(Federal Trade Commission Act)第5條之防止不公平競爭之違法手段之規定。最終規定所禁止簽訂競業禁止契約的對象廣泛,包含獨立承包商、為營利企業工作的員工,並將可能取代其他規範競業禁止契約效力之州法。不過,尚有部分情形將排除最終規定的適用,如:

(1)公司與高階主管的既有競業禁止契約仍屬有效,而高階主管被定義為「年收入超過 151,164 美元(約新臺幣4,927,492元)且擔任決策職位」的員工,如總裁、首席執行長或其他擁有企業重大決策權的職位。

(2)允許出於善意收購企業的雙方簽訂競業禁止契約。

(3)因FTC對於某些產業無監管權,因此該等產業不適用於禁止簽訂競業禁止契約的最終規定,如非營利組織、銀行、保險公司以及航空公司。

FTC指出最終規定於美國聯邦公報上公布120天(約4個月)後生效,並要求現已簽訂競業禁止契約之雇主負有通知義務,雇主須透過數位(電子郵件或簡訊)或紙本方式,明確地通知現任、前員工,其既有的競業禁止契約即將失效。

但美國商會(U.S. Chamber of Commerce)已聲明表示該最終規定有超出FTC管轄範圍之疑慮,故後續可否執行最終規定,仍有待密切關注。

為因應FTC大範圍禁止簽訂競業禁止契約之法制方向,建議公司可參考資策會科法所發布之「營業秘密保護管理規範」以系統性方式檢視不同面向的既有管理作法,如人員面、內容面等,以落實對於營業秘密的保護。

1.關於文件的管理建議
先盤點紙本及數位機密文件;再設定文件之接觸權限。

2.關於人員的管理建議
留意人員的智財教育訓練;人員的保密或智財權歸屬契約,確保契約約定已納入公司想保護的機密資訊,比如客戶或供應商名單及聯絡資訊、產品規格、製程等;以及離職管理。

本文同步刊登於TIPS網站(https://www.tips.org.tw)。

相關連結
你可能會想參加
※ 美國FTC通過「禁止企業簽訂競業禁止契約」的最終規定, 資訊工業策進會科技法律研究所, https://stli.iii.org.tw/article-detail.aspx?d=9166&no=0&tp=1 (最後瀏覽日:2026/04/23)
引註此篇文章
你可能還會想看
AI 創作是否能獲得著作權?——Thaler 訴美國著作權局案解析

AI 創作是否能獲得著作權?——Thaler 訴美國著作權局案解析 資訊工業策進會科技法律研究所 2025年04月16日 美國哥倫比亞特區聯邦上訴法院於2025年3月18日裁定Stephen Thaler博士與美國著作權局的上訴案,認為AI繪圖作品無法受著作權保護,因為AI並非自然人,無法成為作品作者或進行「職務上創作」。此判決再次確認了美國對AI創作無著作權保護的立場。[1] 壹、事件摘要 此案起源於2019年,Thaler博士為AI繪圖作品「A Recent Entrance to Paradise」向著作權局申請著作權登記,但因AI非自然人創作者,著作權局於2022年駁回申請。[2]Thaler博士認為,這違反憲法對創作的保護,並主張其研發之AI系統「Creativity Machine」為作者,而其本人則透過AI的「職務上創作」享有著作權。Thaler博士不服2023年聯邦地方法院判決而提起上訴。[3] 貳、重點說明 從美國哥倫比亞特區聯邦上訴法院之判決觀之,本案爭點在於: 一、AI是否符合著作權法「作者」之定義:即AI生成作品是否滿足「原創性」與「獨立創作」標準;美國著作權法是否允許非人類創作者擁有著作權? 二、AI作品歸屬問題:Thaler博士主張AI創作之著作權應歸屬於開發者,或透過「職務上創作」使其本人取得著作權。然自然人與AI間關係;是否適用於人類創作者與雇主間法律關係;AI是否能被視為僱員? 上訴法院認同著作權局於2023年3月16日發佈之《AI生成作品著作權登記指引》,該指引強調著作權目前僅保護自然人創作。AI獨立創作或主導作品表達情況無法獲得著作權保護,即使使用者透過指令或調整輸出,亦無法改變此原則。經審查,法院認為因著作權法規定涉及生命週期、由自然人將作品視為遺產繼承,與創作意圖等概念,顯示立法者設定作者應為自然人。本案係爭作品仍由AI獨立創作,Thaler博士僅在初始階段下達指令,故不符「原創性門檻」(Threshold of Originality)之標準。[4] 職務上創作方面,該適用於人類創作者與雇主之間的法律關係,而AI並非法律上自然人,故無法簽署雇傭合約成為員工。[5]綜上,Thaler博士無法透過以上方式取得作品著作權。法院支持著作權局之裁定與意見,認為無需討論至憲法層面問題,僅就目前著作權法是否涵蓋AI自主創作作品及足夠。 參、事件評析 我國智財局已於2023年6月16日發布函釋[6],說明生成式AI模型生成內容是否為獨立之著作而受著作權法保護,視有無「人類精神創作」決定,目前與美國立場相似。美國聯邦上訴法院此次判決,確認AI無法成為著作權的作者,著作權保護僅限於人類創作者。雖然此判決不影響人類使用AI創作,但未來若要改變本案不保護AI自主生成的純機器作品的立場,或許不會從著作權法著手,而是透過立法方式創設新的法律權利來應對。美國國會與著作權局仍在持續研究AI相關法律,如2024年4月美國眾議院司法委員會舉行聽證會[7],討論AI輔助創作與發明的智慧財產權問題,會上專家認為現行法律已涵蓋大部分AI相關議題,新增著作權法規可能增加複雜性並抑制創新。資策會科法所目前持續協助國科會、國發會、文化部等政府部會,觀測研析AI著作權國際法制發展,後續將針對AI在文化藝術運用的著作權等風險與因應提供創作人指引,並因應行政院發展我國主權AI的政策,研提資料取得困境的法制面解決建議。 本文為資策會科法所創智中心完成之著作,非經同意或授權,不得為轉載、公開播送、公開傳輸、改作或重製等利用行為。 本文同步刊登於TIPS網站(https://www.tips.org.tw) [1]Thaler v. Perlmutter, 23-5233, (D.C. Cir. 2025), https://law.justia.com/cases/federal/appellate-courts/cadc/23-5233/23-5233-2025-03-18.html (last visited Mar. 26, 2025) [2]Re: Second Request for Reconsideration for Refusal to Register A Recent Entrance to Paradise (Correspondence ID 1-3ZPC6C3; SR # 1-7100387071), U.S. Copyright Office Review Board,https://www.copyright.gov/rulings-filings/review-board/docs/a-recent-entrance-to-paradise.pdf(last visited Mar. 26, 2025) [3]US appeals court rejects copyrights for AI-generated art lacking 'human' creator, https://www.reuters.com/world/us/us-appeals-court-rejects-copyrights-ai-generated-art-lacking-human-creator-2025-03-18/?utm_source=chatgpt.com(last visited Mar. 26, 2025) [4]Copyright Registration Guidance: Works Containing Material Generated by Artificial Intelligence, 88 Fed. Reg. 16,190, 16,192 (March 16, 2023), https://www.skadden.com/-/media/files/publications/2023/03/copyright-office-issues-guidance-on-ai-generated-works/formalguidance.pdf (last visited Mar. 26, 2025) [5]許慈真,美國聯邦地方法院判決Thaler v. Perlmutter : AI生成作品不受著作權保護,2023年9月20日,北美智權報,https://naipnews.naipo.com/9074 (最後點閱時間 : 2025年3月26日)。 [6]智財局函釋(2023年6月16日經授智字第11252800520號函),https://topic.tipo.gov.tw/copyright-tw/cp-407-855070-f1950-301.html (最後點閱時間 : 2025年3月26日)。 [7]HEARING BRIEF: Judiciary Subcommittee Hearing on Artificial Intelligence and Intellectual Property – IP Protection for AI-Assisted Inventions and Creative Works, April 10th, 2024, https://infojustice.org/archives/45692?utm_source=chatgpt.com (last visited Mar. 26, 2025)

歐盟資料保護工作小組修正通過個人資料侵害通報指引

歐盟資料保護工作小組修正通過「個人資料侵害通報指引」 資訊工業策進會科技法律研究所 法律研究員 李哲明 2018年3月31日 壹、事件摘要   因應歐盟「通用資料保護規則」(The General Data Protection Regulation,或有譯為一般資料保護規則,下簡稱GDPR)執法即將上路,針對個人資料侵害之通報義務,歐盟資料保護工作小組(Article 29 Data Protection Working Party, WP29)特於本(2018)年2月6日修正通過「個人資料侵害通報指引」(Guidelines on Personal data breach notification under Regulation 2016/679),其中就GDPR所規範個資侵害之定義、對監管機關之通報、與個資當事人之溝通、風險及高風險評估、當責與紀錄保存及其他法律文件所規定之通報義務等,均設有詳盡說明與事例。 貳、重點說明 一、何謂個資侵害?個資侵害區分為哪些種類?   依據GDPR第4條(12)之定義,個資侵害係指:「個人資料因安全性之侵害所導致意外或非法之毀損、喪失、修改、未經授權之揭露、存取、個資傳輸、儲存或其他處理。」舉例來說,個人資料之喪失包括含有控制者(controller)顧客資料庫的備份設備之遺失或遭竊取。另一例子則為整份個資的唯一檔案遭勒索軟體加密,或經控制者加密,但其金鑰已滅失。依據資訊安全三原則,個資侵害之種類區分為: 機密性侵害(Confidentiality breach):未經授權、意外揭露或獲取個人資料。 完整性侵害(Integrity breach):未經授權或意外竄改個人資料。 可用性侵害(Availability breach):在意外或未經授權之情況下,遺失個人資料存取權限或資料遭銷燬。 二、何時應為通知?   按GDPR第33條(1)之規定,當個資侵害發生時,在如果可行之情況下,控制者應即時(不得無故拖延)於知悉侵害時起72小時內,依第55條之規定,將個資侵害情事通報監管機關。但個資侵害不會對自然人之權利和自由造成風險者,不在此限。倘未能於72小時內通報監管機關者,應敘明遲延之事由。 三、控制者「知悉」時點之判斷標準為何?   歐盟資料保護工作小組認為,當控制者對發生導致個人資料侵害的安全事件達「合理確信的程度」(reasonable degree of certainty)時,即應視為其已知悉。以具體事例而言,下列情況均屬所謂「知悉」: 在未加密個人資料的情況下遺失USB密鑰(USB Key),通常無法確定是否有未經授權者將獲致存取資料權限。即使控制者可能無法確定是否發生機密性侵害情事,惟仍應為通知,因發生可用性侵害之情事,且已達合理確信的程度。   故應以控制者意識到該密鑰遺失時起為其「知悉」時點。 第三人通知控制者其意外地收到控制者的客戶個人資料,並提供該揭露係未經授權之證據。當侵害保密性之明確證據提交控制者時,即為其「知悉」時點。如:誤寄之電子郵件,經非原定收件人通知寄件者之情形。 當控制者檢測到其網路恐遭入侵,並針對其系統進行檢測以確認個人資料是否遭洩漏,嗣後復經證實情況屬實,此際即屬「知悉」。 網路犯罪者在駭入系統後,聯繫控制者以索要贖金。在這種情況下,控制者經檢測系統並確認受攻擊後,亦屬「知悉」。   值得注意的是,在經個人、媒體組織、其他來源或控制者自我檢測後,控制者或將進行短暫調查,以確定是否發生侵害之事實。於此調查期間內所發現之最新侵害情況,控制者將不會被視為「知悉」。然而,控制者應儘速展開初步調查,以形成是否發生侵害事故之合理確信,隨後可另進行更詳盡之調查。 四、共同(聯合)控制者之義務及其責任分配原則   GDPR第26條針對共同控制者及其如何確定各自之法遵義務,設有相關規定,包括決定由哪一方負責遵循第33條(對主管機關通報)與第34條(對當事人通知)之義務。歐盟資料保護工作小組建議透過共同控制者間之契約協議,約明哪一方係居主要地位者,或須負責盡到個資侵害時,GDPR所定之通知義務,並載於契約條款中。 五、通報監管機關與提供資訊義務   當控制者通報監管機關個資侵害情事時,至少應包括下列事項 (GDPR第33條(3)參照): 敘述個人資料侵害之性質,包括但不限於所涉之相關個資當事人、個資紀錄及其類別、數量。 傳達資料保護長(DPO)或其他聯絡人之姓名與聯絡方式,俾利獲得進一步資訊。 說明個資侵害可能之後果。 描述控制者為解決個資侵害業已採取或擬採行之措施,在適當情況下,酌情採取措施以減輕可能產生之不利影響。   以上乃GDPR要求通報監管機關之最基本事項,在必要時,控制者仍應盡力提供其他細節。舉例而言,控制者如認為其處理者係個資侵害事件之根因(root cause),此時通報並指明對象即可警示委託同一處理者之其他控制者。 六、分階段通知   鑒於個資事故之性質不一,控制者通常需進一步調查始能確定全部相關事實,GDPR第33條(4)爰設有得分階段通知(notification in phases)之規定。凡於通報時,無法同時提供之資訊,得分階段提供之。但不得有不必要之遲延。同理,在首次通報後之後續調查中,如發現該事件業已受到控制且並未實際發生個資侵害情事,控制者可向監管機關為更新。 七、免通報事由   依據GDPR第33(1)條規定,個資侵害不會對自然人之權利和自由造成風險者,毋庸向監管機關通報。如:該遭洩露之個人資料業經公開使用,故並未對個人資料當事人構成可能的風險。   必須強調的是,在某些情形下,未為通報亦可能代表既有安全維護措施之缺乏或不足。此時監管機關將可能同時針對未為通報(監管機關)或通知(當事人),以及安全維護措施之缺乏或不足,以違反第33條或(及)34條與第32條等獨立義務規定為由,而依第83條4(a)之規定,併予裁罰。 參、事件評析 一、我國企業於歐盟設有分支機構或據點者,宜指派專人負責法遵事宜   揆諸GDPR前揭規定,當個資侵害發生時,控制者應即時且不得無故拖延於知悉時起72小時內,將個資侵害情事通報監管機關。未能履踐義務者,將面臨最高達該企業前一會計年度全球營業額之2%或1千萬歐元,取其較高者之裁罰。我國無論金融業、航運業、航空運輸業、電子製造業及進出口貿易業者等,均或有於歐盟成員國境內或歐洲經濟區(European Economic Area)當地設立子公司或營業據點。因此,在GDPR法遵衝擊的倒數時刻,指派具瞭解GDPR規定、當地個資隱私法遵規範、擅長與隱私執法機構溝通及充要語言能力者專責法遵業務實刻不容緩。蓋此舉可避免我國企業母公司鞭長莫及,未能及時處置而致罹法典之憾。 二、全面檢視個資業務流程,完備個資盤點與風險評鑑作業,掌握企業法遵現況   企業應全面檢視業務流程,先自重要核心業務中析出個資作業流,搭配全面個資盤點,並利用盤點結果進行風險評鑑,再針對其結果就不同等級之風險採行相對應之管控措施。此外,於全業務流程中,亦宜採行最小化蒐集原則,避免蒐集過多不必要之個人資料,尤其是GDPR所定義之敏感個資(如:種族、民族血統、政治觀點、宗教信仰、哲學信仰、工會會員資格等個人資料,及遺傳資料的處理,用於識別特定自然人之生物識別資料、健康資料、性生活、性取向等)或犯罪前科資料,俾降低個人資料蒐集、處理、利用、檔案保存及銷燬之全生命週期流程中的風險。此舉亦契合我國個人資料保護法第5條所揭櫫之原則。 三、立法要求一定規模以上之企業須通過個資隱私法遵第三方認(驗)證,並建置認證資訊公開平台   鑒於國際法遵衝擊以及隱私保護要求之標準線日漸提升,我國企業除自主導入、建置並維運相關個資保護與管理制度以資因應,更有賴政府透過法令(如:修正個人資料保護法)強制要求一定規模以上之企業通過第三方專業驗證,俾消弭風險於日常準備之中。蓋我國具一定規模以上企業,無論其係屬何種業別,一旦違反國際法遵要求,遭致鉅額裁罰,其影響結果將不僅止於單一企業,更將嚴重衝擊該產業乃至於國家整體經貿發展。職是,採法律強制要求企業定期接受獨立、公正及專業第三方認(驗)證,咸有其實益性與必要性。

防範網路釣魚──事後追究有其侷限,多管齊下始屬正途

美國參議院通過CISA網路安全資訊共享法案

  美國參議院於2015年10月27號通過網路安全資訊共享法(Cybersecurity Information Sharing Act; CISA)。本案以74票對21票通過,今年稍早眾議院通過類似法案,預計接下來幾周送眾議院表決。歐巴馬政府及兩院議員已就資訊共享法案研議多年,目前可望兩院就立法版本達成一致而立法成功。   主導本案的參議院情報委員會(Intelligence Committee)主席Richard Burr於法案通過後發表聲明表示,「這個作為里程碑的法案最終會更周全地保護美國人的個資不受外國駭客侵害。美國商業與政府機構遭受以日計的網路攻擊。我們不能坐以待斃」。副主席Sen. Feinstein於肯定法案對網路安全的助益之外,認為「我們在杜絕隱私憂慮的方面上盡了所有努力」。   CISA授權私人機構於遭受網路攻擊,或攻擊之徵兆(threat indicators)時,基於網路安全的目的,立即將網路威脅的資訊分享給聯邦政府,並且取得洩漏客戶個資的責任豁免權。基於同樣的目的,私人機構也被授權得以監視其網路系統,甚至是其客戶或第三人的網路。但僅以防禦性措施為限,並且不得採取可能嚴重危害他人網路之行動。相對於此,聯邦政府所取得該等私人機構自發性提供的網路威脅資訊,係以具體且透明的條款規制。此外,國土安全部(Department of Homeland Security)於符合隱私義務方針的方式下,管理電子網路資訊得以共享給其他合適的聯邦機構。檢察總長及國土安全部門秘書並建立聯邦政府接收、共享、保留及使用該等網路資訊的要件,以保護隱私。   相對於此,許多科技公司對此持反對態度,例如蘋果與微軟。隱私支持者更是於法案通過前後呼籲抵制,稱其為監視法。主要的論點圍繞在企業洩漏個資訊的寬鬆免責條款,這將會促使隱私憂慮。另一方面,法案反對者也不信任聯邦政府機構將會落實隱私保護,FBI、國家安全局(National Security Agency, NSA)及國家安全部則樂於輕易地取得、共享敏感的個資而不刪除之。   這些憂慮或許可以由法案投票前,網路法及網路安全學者共同發出的公開信窺知。「整體來說,(CISA)對有缺陷的網路安全中非常根本但真切的問題一無所助,毋寧僅是為濫權製造成熟的條件」。信中提到,該法案使聯邦機構得近用迄今為止公眾的所有資訊,並且對公司授權的範圍無明確界線,使公司對判斷錯誤的可能性毫無畏懼。這對於網路安全沒有幫助,方向應該是引導各機構提高自身的資訊安全及良好管理。

TOP