美國財政部投資安全辦公室發布有關對外投資審查議題的法規預告
資訊工業策進會科技法律研究所
2024年09月16日
隨著地緣政治局勢升溫,國際主要國家為強化技術保護,並防止資源持續流入國族國家敵對勢力(Nation-state adversaries),有研議新增「對外投資審查」為監管工具的趨勢,例如歐盟執委會(European Commission)於2024年1月發布「對外投資白皮書」(White Paper on Outbound Investments),以及美國總統拜登於2023年8月9日發布《第14105號行政命令》(Executive Order 14105,以下簡稱《對外投資命令》),確立美國應增設對外投資審查制度之目標。
壹、事件摘要
為了落實《對外投資命令》,美國財政部(Department of the Treasury)投資安全辦公室(Office of Investment Security)於2024年7月5日發布「有關美國於關切國家投資特定國家安全技術與產品」的法規預告(Notice of Proposed Rulemaking:Provisions Pertaining to U.S. Investments in Certain National Security Technologies and Products in Countries of Concern,以下簡稱法規預告),將半導體與微電子、量子資訊技術以及人工智慧列為三大目標監控領域。
依據法規預告,未來「美國人」(U.S. Person)若從事涉及「特定外國人」(Covered Foreign Person)的三大「特定領域活動」(Covered Activity)投資交易,除合乎例外交易(Excepted Transactions)情形外,皆屬未來對外投資審查法規的管轄範圍。
貳、重點說明
以下簡介法規預告的重點規範內容:
一、三大特定領域活動:包含半導體與微電子、量子資訊技術以及人工智慧三個領域。
二、美國人:指美國公民、美國法定永久居留權人、任何依照美國法律設立或受美國管轄的法人實體(Entity),及任何在美國境內的自然人。
三、關切國家:指中國大陸,並包含香港及澳門地區。
四、特定外國人:指「屬於關切國家的個人或法人實體,並從事三大特定領域活動者」,具體而言包含關切國家公民或法定永久居留權人、政府單位或人員、依關切國家法律設立的法人實體、總部位於關切國家的法人實體等。
五、雙軌制:法規預告將對外投資分為兩大交易類別,即「禁止交易」(Prohibited Transactions)及「通報交易」(Notifiable Transactions)。原則上投資若涉及三大特定領域活動且屬於法規預告指定之「先進技術項目」者,為禁止交易;未涉及先進技術項目,則屬通報交易。
六、半導體領域之禁止交易:
鑒於半導體產業對於我國影響重大,且亦為我國管制重點項目,以下簡要說明半導體領域之禁止交易:
(一)先進設計:禁止任何涉及超出美國《出口管制規則》(Export Administration Regulation, EAR)的「出口管制分類代碼」(Export Control Classification Number, ECCN)3A090.a技術參數,或可於4.5克耳文(Kelvin)以下溫度運作的半導體先進設計相關投資。ECCN 3A090.a技術參數係指半導體「總處理效能」(Total Processing Performance, TPP)為4800以上;或TPP為1600以上且「性能密度」(Performance Density, PD)為5.92以上者。
(二)先進製造:
禁止涉及以下項目的先進半導體製造相關投資:
1.使用非平面晶體管架構(non-planar transistor architecture)或16奈米、14奈米或以下製程技術的邏輯晶片。
2.具有128層以上的快閃(NOT-AND)記憶半導體。
3.使用18奈米以下半週距製程技術的動態隨機存取記憶體(dynamic random-access memory)晶片。
4.使用鎵化合物(gallium-based compound)的化合物半導體。
5.使用石墨稀電晶體(graphene transistors)或奈米碳管(carbon nanotubes)的半導體。
6.能於4.5克耳文以下溫度運行的半導體。
(三) 先進封裝:法規預告禁止任何使用先進封裝技術的半導體封裝相關投資。先進封裝係指「以2.5D及3D進行半導體封裝」,例如透過矽穿孔(through-silicon vias)、黏晶或鍵合技術(die or wafer bonding)、異質整合等先進技術進行半導體封裝。
(四) 電子設計自動化軟體(electronic design automation software,以下簡稱EDA軟體):禁止開發、生產用於先進半導體設計或先進封裝的任何EDA軟體。
七、不採取逐案審查模式:法規預告不採取逐案審查模式,而係由美國人自行判斷投資類型為禁止或通報交易。
八、通報程序:原則採取「事後通報」模式,美國人應於通報交易完成日(completion date)後的30個日曆天(calendars day)內,透過財政部對外投資安全計畫(Department of the Treasury’s Outbound Investment Security Program)網站進行通報,並應將相關需求文件提供予財政部,如投資交易雙方的交易後組織結構圖(post-transaction organizational chart)、交易總價值及其計算方式、交易對價描述、交易後對特定外國人的控制狀況等。
九、例外交易:
法規預告的例外交易主要包含兩大類別,分述如下:
(一) 技術不當外流風險較低的例外交易:某些交易類型的技術不當移轉風險較低,若實質上亦未賦予美國人超出「標準少數股東保護範圍之權限」(rights beyond standard minority shareholder protections),則此種投資即可排除於法規預告外,例如於公開交易市場的證券買賣、買斷關切國家法人實體的所有權,以及不取得管理決策權或出資金額低於100萬美元的有限合夥投資等。
(二) 基於其他外交、政治因素的例外交易:若交易發生於美國境外,且經財政部部長認為該國或地區已具備足以應對國安威脅的措施,或經財政部認定為對國家安全有利的交易,皆可排除於法規預告的管轄之外。
參、事件評析
美國財政部發布對外投資的法規預告,顯示出美國政府認為既有技術管制措施,如出口管制、營業秘密及對內投資審查等,已不足以涵蓋對外投資所生之技術外流風險,且對外投資若涉及關鍵領域的先進技術,所帶來的無形技術移轉利益,可能遠大於投資資金本身。
我國基於兩岸情勢及國安考量,自1992年以來即透過《臺灣地區與大陸地區人民關係條例》第35條,就赴中國大陸之投資進行審查。隨著地緣政治複雜化,加諸我國處於半導體等關鍵產業供應鏈的重要地位,我國應持續關注及研析美國等國家之對外投資審查制度發展,以利定期檢視相關機制的妥適性,並達到維護產業競爭力及防範先進技術遭到不當外流之目標。
本文為「經濟部產業技術司科技專案成果」
英國資訊委員辦公室(Information Commissioner’s Office,ICO)認定知名共享公司Uber未能在網路攻擊期間保護客戶的個人資料,故處以罰款385,000英鎊。 ICO調查發現Uber的諸多過失,包含系統存有一系列原可避免的數據安全漏洞,使得攻擊者可透過Uber美國母公司旗下所營運的雲端儲存系統,下載大約270萬筆英國客戶個人資料,例如全名、電子郵件及電話號碼等。該事件亦影響了Uber在英國8萬多名司機的相關營運紀錄,如旅程詳情及支付金額。然而,受影響的客戶和司機竟達一年多未被告知此個資外洩事故。相反的,Uber反而向攻擊者妥協並支付了10萬美元,以銷毀被盜取的數據。 ICO認為,這不僅為Uber資料安全之問題,且當時未採取任何措施通知可能受影響的人,或對其提供任何協助,已完全忽視受害客戶和司機之權益。而對攻擊者支付贖金後即保持沉默,亦非對於網路攻擊之適當反應,Uber未完善的數據保護措施,以及隨後的決策與行為,反將可能會加劇受害者權益的受損。 因此,ICO認為該事件已嚴重違反了英國1988年資料保護法(Data Protection Act 1998, DPA)第7條的原則,有可能使受影響的客戶和司機面臨更高的詐欺風險,故從嚴判處Uber高達385,000英鎊罰款。
美國對於聯網環境中「關鍵基礎設施」之資訊安全議題展開行動面對境外網路安全的風險,美國歐巴馬總統於2013年2月12日,正式簽署「改善關鍵基礎設施之網路安全」行政命令(Executive Order 13636–Improving Critical Infrastructure Cyber security),據該行政命令第二款,將「關鍵基礎設施」定義為,「對於美國至關重要,而當其無法運作或遭受損害時,將削弱國家安全、經濟穩定、公共健康或安全之有形或虛擬系統或資產」,遂採取相對廣義之解釋。該行政命令第七款,亦指示美國商務部「國家標準技術研究所」(National Institute of Standard and Technology, NIST),將研議ㄧ個提升關鍵基礎設施資通訊安全之架構(Framework to Improve Critical Infrastructure Cybersecurity),將美國聯邦憲法所保障的企業商業機密、個人隱私權和公民自由等法益納入考量。 針對關鍵基礎設施引發重要之法制議題,美國副司法部長Mr. James M. Cole表示,由於關鍵基礎設施影響所及者,乃人民在法律下的權益,公部門政府將在該項議題上與私部門共同合作(partnership),且未來將研議通過立法途徑(legislation),將隱私權和公民權保護(the incorporation of privacy and civil liberties safeguards)納入關鍵基礎設施資通訊安全法制之全盤考量,相關趨勢殊值注意。
德國立法通過反駭客法德國政府為減少官方與民間的電腦受到網路駭客的攻擊,於2007年5月正式立法通過「反駭客法(Antihacker Law)」,並藉此擴大了現行德國法律中網路犯罪的懲處範圍,從僅處罰破壞或攻擊商業或政府機關之電腦系統,擴及至破壞或攻擊個人電腦或DOS系統之犯罪。 依德國「反駭客法」之規定,凡任何個人或團體意圖非法使用而故意製造、散播或購買駭客工具(hacker tools)者,將可能被處十年以上有期徒刑。而所謂的「駭客(hacking)」在新法中則被定義為,凡是侵入電腦系統並獲取資訊者,不論是否有竊取該資訊的行為,均屬之。 上述立法結果,反對人士擔心恐將適得其反,因駭客工具的存在具有一體兩面,研發並利用駭客工具來測試電腦以及網路系統的安全性,在德國已行之有年,如果一旦加以禁止,不但無法達到預期目的,也過於輕視網路駭客者的能力;又將來持有駭客工具者,未來必須在法庭上主張係出於善意持有,亦是增加了持有者的舉證責任。該法已經於2007年8月實施。