經查,韓國《不正當競爭預防和營業秘密保護法》(下稱UCPA)之修正案於2024年1月國會通過、2月公布,預計將於8月21日生效。旨在加強對於營業秘密侵權行為的法規監管與處罰力度,故本次修訂以營業秘密相關規定之修正為主,以其他修正(如商標、標誌、地理標示誤用、侵權或其他不公平競爭行為)為輔,本文摘要如下:
一、與營業秘密相關
(一)懲罰性賠償之加重:根據第14-2條第6項規定,針對「故意」營業秘密侵權行為,將懲罰性賠償從3倍上修到5倍。
(二)增加營業秘密侵權行為之監管與罰責:新增第9-8條規定,將「任何人在未經正當授權或超越授權範圍的情況下,不得損害、破壞或改變他人的營業秘密」納入規範,如有違反,將透過新增之第18條第3項規定課予最高10年監禁或最高5億韓元的罰款。
(三)加強對於企業(組織犯罪)之管制效力:基於修法前法人與自然人之罰款數額相同、企業的追訴時效短於自然人,造成難以抑止組織犯罪行為,故新增第19條規定,使企業罰款最高可處自然人罰款3倍,並新增第19-2條規定,將對企業的公訴時效延長至10年(與自然人之訴訟時效同)。
(四)新增沒收規定:依據修法前規定,即使透過UCPA提起訴訟,且侵權人承認侵權,但因為缺乏沒收規定(需要另外依據民事訴訟法才能對犯罪所得進行沒收),導致防止二次侵權損害之效果有限,故修法後透過第18-5條之規定納入可沒收特定營業秘密所得之規定。
二、其他修正
以下兩項修正之對象涉及第2條第1項第1款、第3條、第3-2條第1款(主要為商標、標誌、地理標示等誤用、侵權或其他不公平競爭行為),並不包括營業秘密(營業秘密第2條第1項第2款以下):
(一)加強行政機關的職權:根據第8條規定,關於上述違規行為,相較修法前行政機關僅能提出「建議」(無強制力),修法後特別賦予智慧財產局(KIPO)可以「下令糾正」(시정을 명할 수 있다)之權利,即若未有正當理由依命令糾正者可依照第8條、第20條第1項第1、2款規定公布違反行為及糾正之建議或命令的內容,並對其進行罰款。
(二)法院查閱行政調查記錄的權力的擴張與限制:根據第14-7條規定賦予法院職權,即在法院在特定訴訟中認為必要時,可以要求相關行政單位向法院提出其依據第7條執行的調查紀錄(包括案件當事人的審問筆錄、速記紀錄及其他證據等),若相關紀錄涉及營業秘密,當事人或其代理人可向法院申請就查閱範圍、閱覽人數等進行限制。 綜上所述,可以發現此次修法除了加強法規的監管、處罰力度,顯示近年重視營業秘密爭議外,更特別修訂針對企業、法人等組織犯罪相關規定(如賠償金額的增加,甚至處罰力度大於自然人、訴訟時效的延長等),間接強調企業、法人等組織對於營業秘密侵權有內部管理與監督之責任,若參照資策會科法所創意智財中心於2023年發布之「營業秘密保護管理規範」對於企業內部管理與監督如何落實之研究,係透過將管理措施歸納成(包括從最高管理階層角色開始的整體規劃建議、營業秘密範圍確定、營業秘密使用行為管理、員工管理、網路與環境設備管理、外部活動管理,甚至是後端的爭議處理機制,如何監督與改善等)十個單元的PDCA管理循環,旨在提供企業作為機制建立之參考或自我檢視機制完善性的依據,期冀促進企業落實營業秘密管理。
本文同步刊登於TIPS網(https://www.tips.org.tw)
簡介美國營業秘密民事訴訟發展趨勢:以審前訴答階段(pleading)為中心 資訊工業策進會科技法律研究所 2023年02月16日 壹、前言 近年來,營業秘密侵害事件頻傳,我國企業除在國內提起訴訟外,美國亦為我國企業提起營業秘密訴訟的主要戰場之一[1]。美國於2016年通過《保護營業秘密法》(Defend Trade Secrets Act of 2016, 以下簡稱DTSA),營業秘密所有人可向聯邦法院尋求民事救濟,聯邦法院受理的案件量逐年增加。而美國民事訴訟中對審前程序訴答階段(pleading)的要求[2],自美國聯邦最高法院2007年Bell Atlantic Corp. v. Twombly[3](以下簡稱Twombly案)及2009年Ashcraft v. Iqbal[4](以下簡稱Iqbal案)兩案後趨於嚴格。 近年來聯邦法院的營業秘密判決趨勢顯示,當事人起訴時若未充分說明營業秘密侵害之相關事實[5],很有可能於訴答階段被法院駁回。因此,營業秘密所有人於訴答階段應針對營業秘密侵害事實說明到何種程度,以滿足Twombly、Iqbal兩案建立之合理可信標準(plausibility standards),近期也受到廣泛討論。 而2022年8月美國紐約東區聯邦地方法院(E.D.N.Y)在Core SWX, LLC v. Vitec Group, Inc.[6]一案(以下簡稱Core案)中,對於營業秘密案件在訴答階段的要求有較詳細的論述[7],因此本文以下將簡要介紹本案,以提供我國企業參考。 貳、美國民事訴訟審前訴答階段標準簡介 美國聯邦民事訴訟規則(Federal Rules of Civil Procedure, FRCP) 8(a)(2)規定,原告必須於訴狀中針對其有權獲得救濟簡要陳述[8];同法12(b)(6)規定被告得以原告訴狀中之說明不足以判定原告有權獲得救濟為由,聲請法院駁回[9]。美國聯邦最高法院於1957年Conley v. Gibson[10]一案確立了通知訴答(notice pleading)標準,此標準對於原告陳述門檻要求較低,亦即原告不必詳細陳述其有權獲得救濟所依據之具體事實,僅需簡要陳述讓對造瞭解請求之依據;除非原告主張之事實明顯無法(beyond doubt)支持其請求時,法院才會駁回起訴。 50多年後,聯邦最高法院於2007年Bell Atlantic Corp. v. Twombly案[11]中改變了見解,改採合理可信標準,此標準較為嚴格,亦即原告雖不用於訴答階段中揭露營業秘密的內容,但原告有義務提出其有權獲得救濟的根據,不能僅提出結論式的主張,亦不能僅是公式化地列出法律構成要件,原告提出之事實主張必須足以使其有權獲得救濟高於推測的程度(Factual allegations must be enough to raise a right to relief above the speculative level)[12]。其後,最高法院於2009年Ashcroft v. Iqbal 一案中[13],對此標準進一步闡釋,指出合理可信(plausibility)是介於可能性(possibility) 和蓋然性(probability)間的標準,原告於訴答階段提出之事實說明雖不用詳細,但應充分,在假設事實為真的前提下,使法院可以合理地推論被告需要為該行為負責;法院並指出此項標準適用於所有的聯邦民事案件。 參、Core案簡介 一、案例事實 本案原告Core SWX(以下簡稱Core公司)是美國電池、充電器的大廠,專門生產電影、專業影像、無人機等充電設備,其執行長為Ross Kanarek(以下簡稱Kanarek)、合夥人為Randolph Todd(以下簡稱Todd)。 被告Vitec Group(以下簡稱Vitec集團)[14]是影像擷取軟硬體的全球知名廠商,其產品包含影片設備、數位相機產品的配件電池,Vitec集團的電池產品以Anton/Bauer作為行銷品牌,在電影相關設備中具有相當高的市占率。 被告Vitec集團於2018年年初與原告Core公司洽談收購事宜,並持續有進展[15],但Vitec集團(VGUSH)於2019年7月以email通知Core公司終止收購事宜[16]。 在上述雙方洽談收購的期間內,Vitec集團(VPS)旗下品牌Anton/Bauer 也於2019年初開始進行兩個開發專案,分別是針對微型電池(micro battery)和Cine VCLX電池(一種便於攜帶的高功率電池)。而Anton/Bauer當時的產品經理是一名在Vitec集團(VPS)任職近30年的資深員工Joseph Teodosio(以下簡稱Teodosio),因職務關係能接觸(access)到上述兩個新專案相關的機密資訊。 Core公司於2019年年中開始與Teodosio私下進行會議,Teodosio並陸續將Anton/Bauer的機密資訊提供給Core公司。其後,Teodosio於2020年1月離職轉任Core公司的首席技術長,Core公司並於2020年春季,重啟了停產的微型電池專案,並推出了新的微型電池產品,接著於2020年秋季推出功能和操作相當類似於Cine VCLX電池的產品,上述兩項產品皆為Anton/Bauer的競爭性產品[17]。 資料來源:作者自繪 圖1 本案相關重要時點 然而,Core公司於 2021年3月率先對Vitec集團提起訴訟,主張Vitec集團構成商標侵權、商業表徵侵權(trademark dress infringement)、不公平競爭、違反契約等。本案被告Vitec集團亦對Core公司提起反訴[18],主張Teodosio盜用了Anton/Bauer的機密資訊,並提供給Core公司,侵害Vitec集團的營業秘密。Core公司向法院聲請駁回(motion to dismiss)被告Vitec提起之反訴,主張Vitec集團未充分說明營業秘密存在及盜用行為等;最終,法院駁回Vitec集團提起之反訴。本文以下將聚焦於Vitec集團於反訴中主張Core公司侵害其營業秘密的相關爭點。 資料來源:作者自繪 圖2 本案訴訟關係簡圖 二、本案爭點 本案關於侵害營業秘密的討論主要聚焦以下三個爭點,以下分述之: (一)爭點一:Vitec集團是否於反訴中充分說明(sufficiently plead)營業秘密存在? 1.判斷營業秘密是否存在的要件 首先,聯邦法院通常依以下6個要件來判斷系爭營業秘密是否存在[19]: (1)系爭資訊被外界知悉的程度; (2)企業內部員工與相關人員對系爭資訊知悉的程度; (3)企業對保護系爭資訊之秘密性所採取的保護措施; (4)系爭資訊對於企業及其競爭對手的價值性高低; (5)企業在開發系爭資訊所投入的精力和金錢; (6)他人正當取得或複製系爭資訊的難易度。 2.當事人主張[20] (1)Vitec集團於反訴中主張其離職員工Teodosio提供給Core公司,關於Anton/Bauer微型電池、Cine VCLX電池兩項產品的「產品設計」、「行銷戰略」等內容,屬於其機密資訊。Core公司抗辯Vitec集團的主張過於模糊,無法讓Core公司瞭解其所指控被盜用的營業秘密為何。 (2)Vitec集團則回應,其於訴狀中說明系爭機密資訊之類別(即上述兩項關鍵電池產品的「產品設計」和「行銷戰略」),已滿足合理可信標準。 3.法院判斷 法院指出,Vitec集團於訴狀中的說明,僅是對機密資訊所屬之一般類別(general categories of confidential information)的描述,未滿足合理可信標準。如第二巡迴法院的相關判決指出,當事人在訴答階段中主張被盜用之營業秘密為商業增長措施(growth initiative)、臨床方法、分析工具/程式、資料配置協定(data configuration protocols)、資料詮釋方法(data interpretation)、對潛在客戶廣告行銷的方法等,多認為這類說明僅是對於機密資訊/營業秘密的一般類別描述,未滿足合理可信標準[21]。 相對地,在其他判決中,法院認為當事人若能於訴答階段進一步說明,特定出營業秘密的輪廓,即可滿足合理可信標準,例如[22]: 1.當事人主張被盜用之營業秘密是BTW50品牌股價分析指數(BrandTransact 50 Index)的底層演算法。 2.當事人主張被盜用之營業秘密為零延遲傳輸軟體(zero-latency transmission software)的原始碼。 3.當事人主張被盜用之營業秘密包含客戶名單、客戶偏好、契約細節、專家名單和績效標準等,並進一步指出包含這些機密資訊的檔案和文件,如關於當事人履約能力說明的一份PowerPoint、兩位客戶的契約、一份續約建議書等。 本案法院認為,Vitec集團於反訴中僅說明了被盜用之營業秘密是微型電池、Cine VCLX電池產品的「產品設計」和「行銷戰略」,未指出哪些檔案包含了這些機密資訊,亦未說明這些機密資訊與整個電池產品中的哪個部分或功能具有關聯性,因此法院認為Vitec集團於反訴中的事實說明不夠充分,無法滿足合理可信標準[23]。 (二)爭點二: Vitec集團是否於訴答階段充分說明合理保護措施? 1.當事人主張[24] Core公司主張Vitec集團未充分說明其所稱「安全」之電子系統為何,故聲請法院駁回反訴。Vitec集團則主張已具體說明合理保密措施,包含系爭機密資訊:(i)未與公司外部分享;(ii)儲存在安全的電子系統中;(iii) 僅限專案人員有接觸(access)權限;且Teodosio知道系爭資訊具有機密性。 2.法院判斷[25] (1)Vitec集團未於訴答階段中充分說明前員工Teodosio如何知道系爭資訊的機密性質,譬如Vitec集團(VPS)在公司的員工手冊是否有說明這些資訊之機密性質,或透過其他方式提醒員工這些資訊的機密性質;此外,Vitec集團亦未說明是否與Teodosio簽署任何形式的保密協議。 (2)Vitec集團僅攏統地說明這些資訊是儲存在「安全」的電子系統,但未充分說明這些資訊是否有加密、透過密碼保護、限制未經授權的使用、是否有追蹤人員不當傳送行為等。 (三)爭點三:Vitec集團是否於訴答階段充分說明Core公司的盜用行為? 1.當事人主張[26] Core公司主張Vitec集團未說明Teodosio 盜用機密資訊的具體方式、將機密資訊提供給Core公司的日期和時間、何時發現Teodosio實施了這些行為等事實。而Vitec集團抗辯由於Teodosio以前長期擔任其產品經理,在任職期間能接觸到相關機密資訊,且Core公司私底下和Teodosio接觸並挖角以取得這些機密資訊,並在Vitec集團不知情的情況下使用。 2.法院判斷[27] 法院認為Vitec集團於訴狀中的事實主張過於模糊,屬於間接資訊(circumstantial datapoints),其未說明誰有權接觸系爭機密資訊、有多少人接觸過、這些資訊被接觸的方式等;此外,也未說明前員工Teodosio具體取得系爭機密資訊的方式。因此,法院認為無法滿足合理可信標準。 肆、結論 從本案可以瞭解,企業平時應落實營業秘密管理和重視證據保存。若我國企業在發生營業秘密侵害事件後,規劃在美國尋求民事救濟時,應留意於訴答階段雖不用揭露營業秘密的詳細內容,但應能清楚識別系爭機密資訊,並盡量於起訴狀中進一步說明爭營業秘密與特定產品、文件、檔案的關聯性,避免流於營業秘密一般類別的描述[28]。 同時,亦應於訴狀中具體節錄針對前述營業秘密所採取之合理保密措施,如簽訂保密協議、員工手冊中針對機密資訊之提醒、公司關於營業秘密的政策與落實情況(包含保留接觸系爭營業秘密之人員、內容、時間、方式、理由等紀錄)等[29]。此外,關於系爭營業秘密的經濟價值,也應該具體描述,避免泛泛地說明系爭機密資訊具有實際或潛在的經濟價值,或僅說明因系爭機密外洩將造成銷量損失、市場產品的混淆等[30]。針對營業秘密盜用行為,企業亦須具體提出行為人作了什麼而取得、揭露、使用系爭營業秘密;若有透過數位鑑識取證(forensic examination),其細節應加以說明[31]。 透過上述提醒,期能協助企業瞭解並預先準備,以滿足美國民事訴訟審前訴答階段中對於合理可信之要求,避免在訴答階段就被聯邦法院駁回,以有效捍衛企業之權利。 本文同步刊登於TIPS網站(https://www.tips.org.tw) [1]如近期我國知名機械公司控告其四名離職員工竊取公司之全自動精密輪刀裁斷機(Rotary Die Cutting, RDC)相關機密文件,私下與公司客戶進行交易,離職員工並於2021年4月成立競爭公司;該機械公司除在臺灣提起營業秘密訴訟外,並於2022年10月向美國麻州聯邦地方法院(D. Mass)提起訴訟。請參考智慧財產及商業法院111年度民暫字第3號民事裁定;Sysco Machinery Corp. v. Cymtek Solutions Inc. et al., No. 1:2022cv11806(D. Mass. filed October 21, 2022). [2]所謂訴答階段,即當事人起訴和對造答辯,為美國民事訴訟審前程序(Pre-trial Procedures)之一環,審前程序包含訴答(Pleadings)、動議(Motions)、證據開示(Discovery)、審前會議(Pre-Trial Conferences)等。請參考How Courts Work:Pre-trial Procedures in Civil Cases, American Bar Association [ABA], https://www.americanbar.org/groups/public_education/resources/law_related_education_network/how_courts_work/cases_pretrial/ (last visited Feb. 01, 2023). [3]Bell Atlantic Corp. v. Twombly, 550 U.S. 544 (2007). [4]Ashcroft v. Iqbal, 556 U.S. 662 (2009). [5]當事人未能於起訴時充分說明相關事實的原因包含:(1)由於營業秘密的價值來自於其秘密性,營業秘密所有人顧慮於訴答階段揭露的過於詳細,將不小心使其喪失秘密性;(2)或由於營業秘密被盜用的關鍵事實通常掌握在被告手上,營業秘密所有人於起訴時所能掌握的資訊有限;(3)或營業秘密所有人於起訴前未詳加調查被盜用的相關事實,而欲於證據開示階段透過摸索證明(fishing expedition)拼湊出相關事證。Gabrielle Giombetti, Pleading Trade Secret Misappropriation Claims:There is a delicate balance between specificity and secrecy, https://www.americanbar.org/groups/litigation/committees/business-torts-unfair-competition/practice/2022/pleading-trade-secret-misappropriation-claims/ (last visited Feb. 2, 2023);R. Mark Halligan, Plausibility: the gatekeeper role in trade secret misappropriation cases, https://www.reuters.com/legal/legalindustry/plausibility-gatekeeper-role-trade-secret-misappropriation-cases-2022-03-16/ (last visited Feb. 2, 2023). [6]本案於2022年7月14日由紐約東區聯邦地方法院的助理法官(Magistrate Judge)提出一份「報告及建議」(Report and Recommendation, R&R),建議駁回Vitec公司提起之反訴,經聯邦地方法院法官採用,並於2022年8月15日駁回Vitec公司提起之反訴。R&R內容請參考Core SWX, LLC v. Vitec Group, Inc., NO. 21-CV-1697 (JMA)(JMW), 2022 LEXIS 125198(E.D.N.Y July 14, 2022);駁回訴訟的裁定請參考Core SWX, LLC v. Vitec Group, Inc., NO. 21-CV-1697 (JMA)(JMW) (E.D.N.Y Aug 15). [7]Shelby Garland, Fisher Phillips, A 5-Step Action Plan to Plead Your Trade Secrets Case: Dancing on the Head of a Pin with Possibility, Plausibility, and Probability (2022/09/30), https://www.fisherphillips.com/news-insights/5-step-action-plan-trade-secrets-case-possibility-plausibility-probability.html(last visited Dec. 30, 2022). [8]Fed. R. Civ. P. 8(a)(2) (“a short and plain statement of the claim showing that the pleader is entitled to relief”). [9]Fed. R. Civ. P. 12(b)(6) (“failure to state a claim upon which relief can be granted”). [10]Conley v. Gibson, 355 U.S. 41,45-46 (1957). [11]Bell Atlantic Corp. v. Twombly, 550 U.S. 544, 555 (2007). [12]舉例而言,當事人於訴狀中僅概略地描述事實結論,或把法律要件抄一遍,就得出被告侵害其權利的結論;若採合理可信標準,當事人應就請求權的要件,逐一提出相應的事實主張。 [13]Ashcroft v. Iqbal, 556 U.S. 662, 678, 684 (2009). [14]本案被告包含(1)Vitec Group, PLC(Vitec集團之英國總公司,判決中簡稱Vitec);(2)Vitec Group US Holdings, Inc.(Vitec集團之美國子公司,判決中簡稱VGUSH);(3)Vitec Production Solutions, Inc.(Vitec集團之美國子公司,判決中簡稱VPS),雙方於訴訟初期協議撤回(stipulation of dismissal)對於上述(1)Vitec Group, PLC(Vitec)之起訴。本文以下為行文方便,於文章內文中統一以Vitec集團稱之,於必要處以括號註明為何者。 [15]由於雙方於收購期間簽訂之若干保密協議與本文以下要討論的營業秘密爭點無直接關係,故簡要說明如下:(1)2018年5月,Vitec集團(VPS)與原告Core公司簽署了雙向保密協議(Mutual Confidentiality Agreement), Vitec集團(VGUSH及VPS)在洽談收購的期間因此能接觸Core公司的相關機密資訊,包含Core公司的開發計畫、產品製造方法、供應商資訊、市場策略、公司財務狀況、銷售預測等;(2)Vitec集團(Vitec英國總公司)與Core公司於2018年10月簽署了意向書(Letter of Intent),雙方同意未來將由Vitec集團(VGUSH)或其關係企業收購Core公司;(3)2019年4月,Core公司的老闆 Kanarek 和Todd兩人以Core公司所有人的身分(賣家)與Vitec集團(VGUSH)簽署了保密意向書(Confidential Letter of Intent),本份意向書獨立於前述2018年5月Core公司與Vitec集團(VPS)所簽訂之保密協議,內容為未經雙方事先書面同意,不得揭露本交易案的相關細節資訊,並重申2018 年 5月簽署之保密協議對雙方均具有約束力。Core SWX, LLC v. Vitec Group, Inc., NO. 21-CV-1697 (JMA)(JMW), 2022 LEXIS 125198(E.D.N.Y July 14, 2022), supra note 6, at 3-4. [16]Id. at 4. [17]Id. at at 5-6. [18]被告Vitec集團於反訴中亦主張原告Core公司之老闆(Kanarekr及Todd)於起訴時提出雙方洽談收購過程中相關的機密資訊(如雙方洽談過程的機密通訊、VPS的專有資訊、交易細節等),已違反2019年4月簽署之保密意向書,故主張Core公司老闆(Kanarekr及Todd)違反契約。然本項爭點與下述營業秘密爭點無直接關係,礙於篇幅,本文僅簡要說明之。id. at 1-2, 33-37. [19]Id. at 11-12. [20]Id. at 12-13. [21]Id. at 14-16. [22]Id. at 16-21. [23]Id. at 20,21. [24]Id. at 21,23. [25]Id.at 23-24. [26]Id. at 28-29. [27]Id. at 31-32. [28]如同美國實務界律師指出,這兩者的差異事實上相當細微,但已經逐漸成為美國聯邦法院對於營業秘密民事案件的審理趨勢。Shelby Garland, supra note 7. [29]Id. [30]Core SWX, LLC v. Vitec Group, Inc, supra note 6, at 25-26. [31]Shelby Garland, supra note 7.
德國完成800MHz頻譜重分配德國電信監理機關Bundesnetzagentur (BNetzA)於2010年5月宣告完成包括800MHz、1.8GHz、2GHz和2.6GHz等多頻帶中共計41塊頻段的頻譜拍賣,成為歐洲第一個完成數位紅利頻譜重分配的國家。 本次拍賣主要由四個行動營運商(E-Plus、T-Mobile、Vodafone、O2)參與投標,歷經224回合競標,挹注政府約43.8億歐元收入,遠低於之前預估的80億歐元,也遠低於10年前的3G頻譜500億歐元。 只有三家業者(T-Mobile、Vodafone、O2)取得數位紅利800MHz頻譜使用權;未得標的E-Plus公司則早已表達意願,將租用其中一個得標者的新網路頻寬,以使用數位紅利。 本次拍賣並沒有產生新的市場參進者,此狀況讓那些希望開放新頻譜即可刺激新的市場競爭的人頗為失望。惟BNetzA以為,目前市場上已經有約100家的MVNO業者和為數眾多的次品牌服務經營者在競爭,監管機關看不出應執行拍賣條款中「應有利新的市場參進者」的理由。 市場主導者T-Mobile已經宣稱,將率先於今年開始利用800MHz測試發展LTE服務。但由於在800MHz段部署LTE網路將與歐洲其他國家(主要指TeliaSonera公司在瑞典和挪威)早先同意於2.6GHz佈建的網路技術有異,而在密集的城市環境中,在800MHz與2.6GHz頻段同時部署LTE被視為是相當理想的網路佈建策略,歐盟現階段正在想辦法調和兩個頻段的和諧使用策略中。
歐盟個資保護委員會公布GDPR裁罰金額計算指引歐盟個人資料保護委員會 (European Data Protection Board, EDPB)在徵詢公眾意見後,於今(2023)年5月24日通過了「歐盟一般資料保護規則行政裁罰計算指引04/2022」(Guidelines 04/2022 on the calculation of administrative fines under the GDPR)。此一指引,旨在協調各國資料保護主管機關(Data Protection Authorities, DPAs)計算行政罰鍰的方法,以及建立計算《歐盟一般資料保護規則》(General Data Protection Regulation, GDPR )裁罰金額的「起點」(Starting Point)。 時值我國於今(2023)年5月29日甫通過《個人資料保護法》之修法,將違反安全措施義務的行為提高裁罰數額至最高1500萬,金額之提高更需要一個明確且透明的定裁罰基準,因此該指引所揭露的裁罰計算步驟值得我國參考。指引分為五個步驟,說明如下: 1.確定案件中違反GDPR行為的行為數以及各行為最高的裁罰數額。如控管者或處理者以數個行為違反GDPR時,應分別裁罰;而如以一行為因故意或過失違反數GDPR規定者,罰鍰總額不得超過最嚴重違規情事所定之數額(指引第三章)。 2.確定計算裁罰金額的起點。EDPB將違反GDPR行為嚴重程度分為低度、中度與高度三個不同的級別,並界定不同級別的起算金額範圍,個案依照違反GDPR行為嚴重程度決定金額範圍後,尚需考量企業的營業額度以定其確切金額作為裁罰數額起點(指引第四章)。 3.控管者/處理者行為對金額的加重或減輕。評估控管者/處理者過去或現在相關行為的作為加重或減輕的因素而相應調整罰鍰金額(指引第五章)。 4.針對各違反行為,參照GPDR第83條第4項至第6項確定行政裁罰上限。GDPR並沒有對具體的違反行為設定固定的罰款金額,而是對不同違反行為規範了裁罰最高額度上限,EDPB提醒,適用第三步驟或下述第五步驟所增加的額度不能超過GDPR第83條第4至第6項度對不同違反行為所訂的最高額度限制(指引第六章)。 5.有效性、嚇阻性與比例原則的考量。個資保護主管機關應針對具體個案情況量以裁罰,必須分析計算出的最終額度是否有效、是否發揮嚇阻以及是否符合比例原則,而予以相應調整裁罰額度,而如果有客觀證據表明裁罰金額可能危及企業的生存,可以考慮依據成員國法律減輕裁罰金額(指引第七章)。 EDPB重申其將不斷審查這些步驟與方法,其亦提醒上述所有步驟必須牢記,罰鍰並非簡單數學計算,裁罰金額的關鍵因素應取決具體個案實際情況。
資通訊安全下之訊息分享與隱私權保障—簡析美國2015年網路保護法