模型內記憶化即構成重製--德國慕尼黑地方法院 判決Suno敗訴對AI訓練合理使用之衝擊

模型內記憶化即構成重製--德國慕尼黑地方法院 判決Suno敗訴對AI訓練合理使用之衝擊

資訊工業策進會科技法律研究所
2026年08月24日

前言

生成式人工智慧以受著作權保護之作品為訓練資料,其行為是否構成著作權侵害、又能否主張合理使用或文字與資料探勘之限制,是人工智慧快速應用以後在著作權領域最主要的核心爭議。德國慕尼黑第一地方法院於2026年7月31日就 GEMA 控告 Suno 案作成終局判決[1],首度就生成式音樂AI的「模型內記憶化」特點給予著作權定性,並明確指出引據主張文字與資料探勘限制之適用界線。

壹、事件摘要

德國慕尼黑第一地方法院(Landgericht München I,LG München I)於2026年7月31日就德國著作權集體管理團體「音樂表演權與機械性重製權協會」(Gesellschaft für musikalische Aufführungs- und mechanische Vervielfältigungsrechte,下稱 GEMA)訴美國 AI 音樂生成器業者(被告即 Suno)案(案號42 O 763/25)作成終局判決,認定被告將受著作權保護之音樂著作「記憶化」(Memorisierung)於其模型中,構成德國著作權法(Urheberrechtsgesetz,UrhG)第16條第1項之重製,並侵害權利人之「公開再現(öffentliche Wiedergabe)」利用權[2](相當於我國著作權法上提供或傳達著作內容,包括使公眾得於其各自選定之時間或地點,以上述方法接收著作內容的公開傳輸)。

本案系爭標的為六首德語經典流行音樂:「Atemlos durch die Nacht」、「Daddy Cool」、「Rasputin」、「Big in Japan」、「Forever Young」,以及「Mambo No. 5」之副歌。原告主張,使用者僅需輸入原曲歌詞、風格或標題等簡單提示,被告之音樂生成器即會輸出與原曲高度近似之音樂[3]。法院判決被告不得以系爭音樂著作訓練模型、於模型中儲存系爭著作、在德國境內提供以系爭著作訓練之模型,以及製作侵害系爭著作之著作物[4]。本判決尚未確定,被告得提起上訴[5]

貳、重點說明

一、模型內「記憶化」構成重製

法院認為 AI訓練依時間先後區分為三階段:抽取訓練素材並轉入機器可讀格式,即訓練資料之製作;資料之分析及以後設資訊加以增益,即模型之訓練;其後藉提示與輸出對已訓練模型之利用。整體流程依訓練性質可區分為--「僅為轉入數位格式或為分析目的而作之重製」與「留存於模型中之重製」[6]。本件關鍵在於第二階段:系爭音樂著作以可再現之方式含於模型中,其記憶化即構成著作權上相關之重製[7]

(一)模型記憶化之概念

法院認定系爭音樂著作含於模型中,得作為輸出而被抽取,此即「記憶化」;其係指模型於訓練時,非特定之參數不僅自訓練資料集抽取資訊,且於訓練後所特定化之參數中,可見對訓練資料之完整承接(Übernahme,意指納入其中)[8]。所謂「完整」指承接超出單純資訊(如模式與相關性)之部分,非指承接之數量須完整或精確,而係至少部分地承接其內容[9]。模型自訓練資料習得統計規律,本身不受著作權法非難,然若所承接者已是著作的內容而非關於著作的資訊,性質不再只是「分析」而是「留存」 [10]。而且,被告之模型格外易受影響,特別擅長把與該提示相符之受著作權保護曲目,以極貼近原曲之方式生成為輸出[11]。換言之,使用者毋須指名要哪一首歌,只要在語音節奏上仿寫得夠像,模型即可能把原曲於輸出中再現。

法院指出記憶化判定標準因模型類型而異,有的研究要求原作與輸出內容同一,有的以部分一致為已足;就生成圖像或音訊之模型,訓練時僅抽取經選取之基礎特徵,細節資訊則被有意捨棄,故要求百分之百精確一致並不實際亦非必要。而且,模型因訓練時採「量化」(Quantisierung)而有意捨棄細節資訊,因此難以想像有一訓練資料被百分之百精確相符的記憶化,不過法院指出這些被捨棄的本就是人類感官難以掌握之細節,所以記憶化之認定應兼採「檢視旋律、節奏、和聲、識別度與風格相似值之自動檢核」及「人為評價」[12]。而記憶化的原因來自於模型自含有著作各種變體之訓練資料學習後,特定後設資料(如標題、類型或歌詞)與著作音樂特性(調性、節奏等)間之統計關聯被強化,造成使用者於提示中使用此等後設資料時,AI以所學得之統計機率導出「音樂特性大致相似」之輸出[13]。至於證明方法,法院認為訓練資料為已知時,得逕以訓練資料與輸出之比對認定;訓練資料不明時,則得借助「熵」(Entropy)與「困惑度」(Perplexity)等參數,探究模型再現一輸出之確定性[14]

(二)記憶化之事實認定

法院以系爭著作為訓練資料一事並無爭執,而且系爭著作可藉「原歌詞、音樂風格及著作標題」之提示,明顯可辨識地再現於所提出之輸出中,認定本件記憶化已得逕以系爭音樂著作與輸出之比對認定[15] 。法院就被告之抗辯,逐一駁斥:

1. 系爭提示為簡單、開放結果之提示,輸出並非藉操控性提示所誘發:雖然被告主張原告以歷時數月、上千次、高度脈絡化之提示故意誘發記憶化,但法院認為原告固曾為3,779次提示,惟其中僅338次涉及系爭六曲;且同一提示之反覆輸入並未將輸出導向特定方向,此有別於「以評價性或暗示性指定改變脈絡」之誘發性提示[16]

2. 系爭輸出不應歸類為偶然:鑑於所生成音樂之複雜性、長度及其與訓練資料之廣泛相符,已可排除係偶然出現的相似[17]

3. 原告每曲僅提出一則輸出並無妨害:因為記憶化之存在,與「以不變提示是否生成同一輸出」無關[18]

4. 無關訓練資料全部存儲可能性:雖然被告主張其模型儲存空間於數學上不足以精確儲存全部訓練資料,但法院認為重要的僅為系爭六曲是否可辨識地被記憶化[19]

(三)記憶化含攝於著作權法之重製概念

法院就被告聲請鑑定「系爭著作是否於模型中儲存或記憶化」予以駁回,認為「權重與參數之區分於何範圍構成重製」係法律問題、非鑑定所能及[20]。法院基於下述理由認為記憶化已構成著作權法之重製:

1. 重製含「直接或間接」、「暫時或永久」及「以任何方法及任何形式」,不僅為與原件同一原樣之重製,亦包括以變更形式對著作之固著,例如類比著作之數位化、以 MP3 等壓縮檔格式之儲存,或以縮小版本之儲存[21]

2. 因為記憶化是透過模型特定化參數中之資料,而該等參數本身又具體存於伺服器上,所以系爭著作之著作權重製要件「具體固著」。至於採何等技術固著並非決定性,模型若因訓練所導出之統計資訊而具「生成可辨識地再現該音樂著作之統計上可能詞元序列(Tokenfolgen)」之能力,即為已足[22]

3. 固著於模型中之著作,得藉音樂生成器、一具螢幕之終端裝置及簡單、開放結果之提示,讓一般使用者以其可及之技術輔助接觸,感知並不困難。而且,重製不以可反覆之再現為前提,故認為被告要求評估的「特定輸出之機率與可反覆性」,頂多涉「是否存有記憶化」之事實問題,而非「法律意義之重製是否存在」[23]

二、模型內重製不能主張文字與資料探勘

(一)文字與資料探勘之定義與目的拘束

法院認為「文字與資料探勘」(Text and Data Mining,TDM)係指對數位著作之自動化分析,以自其中取得特別是關於模式、趨勢與相關性之資訊[24]。而自動化分析本身並非著作權上相關之行為,蓋著作中所含非創作性之資訊本身不受保護。但因為文字與資料探勘有時須有可能侵及利用權之準備措施而涉及重製,故 TDM 的核心思想在於此等重製僅為其後分析目的而作,不損及著作人之利用利益,故人工智慧訓練為準備訓練語料之重製行為,為 TDM 所涵蓋[25];惟本案所爭執者,並非此等準備階段之重製,而是訓練後留存於模型內、並得於輸出中再現之重製[26]

(二)記憶化逾越文字與資料探勘

法院認定系爭著作於模型中之重製並非文字與資料探勘,因為文字與資料探勘旨在抽取單純資訊,將此等資訊轉入模型參數。惟系爭著作之記憶化讓作為訓練資料之音樂著作不僅被分析,而且被承接入模型參數,並損及著作人之利用利益。因此,藉由模型記憶化所生之重製,並非「不觸及利用利益」之第一階段(製作訓練資料),文字與資料探勘限制於此不成立[27]

(三)不得類推、無合法接觸

法院進一步排除歐盟數位單一市場著作權指令第4條[28]之類推適用,因為該條所規範的是「僅抽取單純資訊、著作本身未被重製」之情形,反之於模型內重製則使著作利用受持續損害;若類推適用,權利人將陷於無保護狀態,明顯有違該指令前言認限制對權利人所生損害僅屬「極微」之考量[29]。因此,法院進一步認為若依技術現狀無從防止訓練資料之記憶化,則以受保護資料訓練模型,即不能適用文字與資料探勘限制[30]。另外,法院亦認為本件被告係破解 Rolling Cipher 保護裝置、以串流側錄(Stream-Ripping)自 YouTube 下載系爭著作;Rolling Cipher 係為阻止下載而設,被告欠缺合法接觸,不能主張德國著作權法第44b條第2項「合法接觸」之規定[31]

三、模型提供與生成記憶內容構成公開再現的侵害

法院認定藉模型之提供、生成音樂之應用及系爭輸出,造成權利人所享之公開再現權利受侵害[32]

(一)公開再現之判斷標準與認定

法院指出公開再現之保護範圍,判斷標準在於著作之原創要素於另一標的中可辨識,亦即受保護著作中足以反映著作人人格之創作抉擇,是否可辨識地被承接於被指摘之標的。縱使所涉僅為著作之一小部分,只要該部分本身表達著作人自己之精神創作,即構成侵害[33]。其判斷只須以一般平均音樂聽者之聽覺理解為準[34]

經比對譜例與聽覺印象,法院認定輸出廣泛承接六曲之旋律、作曲與編曲,各輸出均未與原曲保持充分距離。例如「Big in Japan」創意在於旋律自主歌經前副歌至副歌之三段式遞升,表達蓄積而終告釋放,同時和弦速度加快而傳遞急迫印象;AI輸出重演此整體情況,聽者因而體驗到相同之音樂起伏與情感效果[35]

(二)被告直接為再現行為並應歸責

法院認為「再現行為」(Handlung der Wiedergabe)應不問技術手段,廣義涵蓋受保護著作之一切傳輸,故認定被告藉模型之提供及生成音樂之應用,經由使用者介面使系爭著作可被存取,模型並儲存於德國境內之邊緣伺服器,故其侵害公開再現之利用權[36]。而且只要有被存取之可能即構成,著作實際是否被存取並非所問[37]

而且法院認被告應歸類為正犯,蓋其對藉內容輸出所為重製具行為支配(Tatherrschaft)。被告基於訓練決定輸出內容,於再現中扮演核心角色,並決定模型運作方式、訓練資料選取與訓練鋪陳,係自身為公眾開啟著作享用,非僅只是中介角色。且此等內容藉簡單提示即被再現,決定輸出具體內容的不是提示而是被告所運作之模型,被告未將行為支配給予使用者。是以,被告之模型並非僅提供「錄製私人重製所需之器械」,亦不能與不負內容責任之販售平台相比擬[38]

基於上述理由,法院未採被告主張援引歐盟數位服務法第6條[39]的責任限制,認為該條僅限制「儲存使用者所提供資訊之中介服務」之責任,就服務提供者自身之內容並不適用。本件被告非僅提供技術中立之基礎設施,而係提供模型並製作系爭輸出,其前之提示簡單且未於內容上指定或誘發,故各輸出為被告自身之資訊,就此其扮演主動角色,而非被動中介之外來資訊[40]

四、合理使用抗辯不成立

針對被告在美國境內之訓練行為,法院依美國著作權法(17 U.S.C.)審酌是否構成合理使用(Fair Use),認為四項因素綜合觀之均不利於被告[41]

(一)利用之目的與性質

本件被告之應用並未生成新音樂著作,而係生成與訓練所用系爭著作實質相似之錄音,音樂著作並未被轉化[42]。被告之利用亦為商業性利用,其重製與原作追求相同的目的[43]。法院並將被告規避 Rolling Cipher、以串流側錄取得訓練資料一節,評價為惡意而顯著不利於被告[44]

(二)著作之性質

系爭音樂著作為涉著作權核心之創意著作,被告所製作之音樂非僅承接概念,而係承接系爭曲之創意要素,故非如逆向工程般僅為研究功能而重製[45]

(三)所利用之質量

被告為訓練其模型而對系爭音樂著作為廣泛重製,且未闡明其何以必須依賴此等廣泛重製。法院指出於大量重製之情形,關鍵在於所重製之著作係向公眾提供,抑或僅參與技術上不可見之後端程序;本件與 Google Books 案顯著不同,該案被告並未將重製向公眾提供[46]

(四)對潛在市場或價值之影響

法院認為訓練所生之輸出構成取代原作之替代物,在「使用者直接消費之娛樂音樂」市場與原作競爭[47]。被告抗辯系爭輸出係在同一提示反覆輸入多次之後才出現,故不足以認定市場影響;而且第四項因素不僅看具體侵害行為之影響,還要看此類利用行為一般而言是否可能對原作市場產生顯著負面效果。本件原告就各曲分別輸入4至176則相同提示始取得系爭輸出,惟被告之音樂生成器於2024年單一月份即錄得220萬名訪客,以此流行程度計,縱使平均每4次或每176次輸入才得到一個與原作實質相似之音樂,累積於市場上之替代效果仍屬顯著[48]

法院特別強調本件輸入僅含歌詞之提示後生成實質相似輸出,與美國 Bartz、Kadrey 兩案顯著不同,該兩案中訓練資料未實質於輸出中讓使用者可觸及,未因生成實質相似輸出而明顯可看到對市場的影響[49]。權衡一切因素,法院認被告之具體利用不為合理使用所涵蓋,且並非所有模型均記憶化其訓練資料,故於本案件否定合理使用既不妨礙進步或競爭,亦不牴觸模型之發展公益[50]

參、事件評析

本案立於歐盟資訊社會著作權指令與數位單一市場著作權指令所建構之重製權與文字與資料探勘體系,其「公開再現」與我國由公開播送、公開演出、公開傳輸等權能概念亦並不全等同,而其本身能否維持猶待上訴審檢驗,亦有待後續觀察。但本案的重點在於,把過去類似爭議的爭訟焦點由「訓練是否構成重製」展開為「模型是否留存並於輸出中再現受保護著作」,並進一步加重AI開發與服務提供者被歸責可能性,本文認為可歸納其重點如下:

一、法院未全面否定訓練之資料取用可主張合理使用,但前提須為合法取得

本判決雖判被告不得援引合理使用,惟其論證重心並不在「以受保護著作訓練模型」這件事本身。法院明白表示訓練一個能生成新音樂作品的模型,一般而言確實可能是具轉化性、追求更進一步目的而為合理使用所涵蓋之利用。本案之所以認定不同,是被告之應用並未生成新的音樂作品,而係以系爭輸出生成與訓練所用著作實質相似之錄音,音樂著作因而未受轉化。法院於綜合權衡時亦明言,並非所有模型都會記憶其訓練資料,於本案否定合理使用既不妨礙進步與競爭,也不牴觸公共利益,蓋須取得授權不等於不能訓練。因此,本判決所否定的是「訓練後留存於模型、並得於輸出中再現」,而非概括否定 AI 訓練之資料取得有主張合理使用之餘地。但法院對被告規避 Rolling Cipher、以串流側錄取得訓練資料一節評價為惡意,顯示取得手段是否合法,從目前國際上的司法案例看來,仍是決定是否能主張合理使用的重要環節。

二、能否主張合理使用或文字與資料探勘,取決於一般提示下是否再現實質近似內容

法院認定本案與美國 Bartz、Kadrey 二案顯著不同,關鍵在於本案訓練資料實質地在使用者僅輸入歌詞、未作任何音樂上要求之簡單且結果開放之提示下,即可生成與原曲實質相似之輸出。而文字與資料探勘之審酌,法院並不否認為準備訓練語料所為之第一階段重製落入德國著作權法第44b條範圍,真正逾越限制者是第二階段留存於模型內之記憶化。是以,若訓練所得之模型不會在一般、未經特別設計引導之提示下再現實質近似之內容,主張文字與資料探勘限制或合理使用仍有空間。而且必須注意的是,倘依技術現狀無從防止訓練資料之記憶化,法院認為將受保護資料訓練模型即不為該限制所涵蓋,則「能否防止記憶化」就是AI開發與服務業者重要的技術降險研發重點。

三、AI記憶化的輸出由模型提供者承擔侵權責任

本判決外溢效果最大者為責任歸屬,法院認定AI記憶化的輸出產生的再現行為,是源自於被告以模型與使用者介面,開啟讓公眾對已記憶化著作可存取。就輸出所生之重製,被告因對模型架構、訓練資料選取與訓練設計負責而具行為支配,應歸類為正犯;僅輸入提示觸發生成之使用者,不被視為重製行為人。顯見有關AI責任的認定,法院著重於誰對於結果具有實質主導的控制能力,AI 服務提供者將來可能更難以主張模型只是提供「工具」、由使用者決定產出,也不能主張自己是中立平台而把使用責任歸予使用者。

本案法院判決提出的模型記憶化(留存受保護著作)構成重製的觀點,其重點在於一定程度緩解權利人的內容再現舉證困難,並透過受訓練資料與特徵近似的生成結果判斷記憶化的存在,進一步認定存在重製結果,而且該重製欠缺轉化性、具商業目的、結果對權利人市場造成明顯負面影響。我國對於AI 訓練是否合法的認定,仰賴著作權法第65條合理使用之一般條款判斷,雖須個案、事後之權衡,但從本案法院見解可見,避免AI的記憶與所記憶內容的出現是關鍵點,如技術上可能,業者須溯源在訓練過程採取去記憶化的事前避險措施,以避免成為記憶內容之提供者而須自行承責。

本文著作權屬財團法人資訊工業策進會科技法律研究所所有,如需引用或轉載,請註明出處。

本文同步刊登於TIPS網站(https://www.tips.org.tw

[1]LG München I, Endurteil vom 31.07.2026, Az. 42 O 763/25。

[2]Id., Rn. 239, 262, 317, 375.

[3]Id., Rn. 4, 26.

[4]Id., Urteilstenor Nr. 1 a) aa), a) bb), b), c). 原告依德國著作權法第19a條公開提供權所為之聲明則遭駁回,法院認一次調取至多需輸入176個相同提示,該調取非於使用者所選定之時間發生;其餘之訴亦經駁回。Rn. 315, 316, 554.

[5]Landgericht München I, Pressemitteilung vom 31.07.2026, https://www.justiz.bayern.de/gerichte-und-behoerden/landgericht/muenchen-1/presse/2026/16.php (last visited Aug. 21, 2026).

[6]LG München I, supra note 1, Rn. 240.

[7]Id., Rn. 241.

[8]Id., Rn. 243.

[9]Id.

[10]Id., Rn. 240, 243, 283, 294.

[11]Id., Rn. 244.

[12]Id., Rn. 245.

[13]Id., Rn. 246.

[14]Id., Rn. 247.

[15]Id., Rn. 249.

[16]Id., Rn. 250-253.

[17]Id., Rn. 258.

[18]Id., Rn. 259.

[19]Id., Rn. 260.

[20]Id., Rn. 261.

[21]Id., Rn. 263, 264.

[22]Id., Rn. 268-270.

[23]Id., Rn. 276-279.

[24]Id., Rn. 283.

[25]Id., Rn. 284, 285.

[26]Id., Rn. 289, 293.

[27]Id., Rn. 294, 295.

[28]Directive (EU) 2019/790 of the European Parliament and of the Council of 17 April 2019 on copyright and related rights in the Digital Single Market and amending Directives 96/9/EC and 2001/29/EC, art. 4, 2019 O.J. (L 130) 92.

[29]LG München I, supra note 1, Rn. 299.

[30]Id., Rn. 304.

[31]Id., Rn. 13, 308, 310.

[32]Id., Rn. 317.

[33]Id., Rn. 321.

[34]Id., Rn. 323.

[35]Id., Rn. 197, 349.

[36]Id., Rn. 373, 374.

[37]Id., Rn. 375, 376.

[38]Id., Rn. 399-401.

[39]Regulation (EU) 2022/2065 of the European Parliament and of the Council of 19 October 2022 on a Single Market For Digital Services and amending Directive 2000/31/EC (Digital Services Act), art. 6, 2022 O.J. (L 277) 1.

[40]LG München I, supra note 1, Rn. 408, 409.

[41]Id., Rn. 447-449.

[42]Id., Rn. 484-486, 493, 494.

[43]Id., Rn. 498-500.

[44]Id., Rn. 504-510.

[45]Id., Rn. 511, 512.

[46]Id., Rn. 514-518.

[47]Id., Rn. 519-523.

[48]Id., Rn. 27, 492, 527.

[49]Id., Rn. 480, 526.

[50]Id., Rn. 530, 531.

你可能會想參加
※ 模型內記憶化即構成重製--德國慕尼黑地方法院 判決Suno敗訴對AI訓練合理使用之衝擊, 資訊工業策進會科技法律研究所, https://stli.iii.org.tw/article-detail.aspx?d=9530&no=64&tp=1 (最後瀏覽日:2026/08/31)
引註此篇文章
你可能還會想看
加拿大隱私專員辦公室針對聯邦廣播與電信修法提出隱私權與個資保護建議

  加拿大隱私專員辦公室(Office of the Privacy Commissioner of Canada, OPC)於2019年1月11日就其聯邦廣播通訊法(Radiocommunication Act, RA)與電信法(Telecommunications Act, TA)提出隱私權與個資保護建議。現行加拿大聯邦廣播通訊法針對個資保護並無特別立法,而其電信法第七條雖有提及要注重個資隱私,卻無實質責任規範。惟廣播與電信公司蒐集、處理及利用個資時,如何確保當事人之個資隱私受到保護,就此加拿大隱私專員辦公室提出三點修法建議。 一、電信法及廣播通訊法應包含哪些隱私安全與資訊安全之概念?   基於人民將大量敏感個資委託給電信業者,以獲得互聯網、電話及電視通信便利服務。惟個人資訊不但具有龐大商業價值,對於執法機關和情報安全機構也具有相當利益。基於以下因素,加拿大隱私專員辦公室建議制定電信業者更新之安全機制與公共安全義務。 保護措施 現行法規之保護措施應該適用於現代通訊工具,所有設備儲存與傳輸之敏感性個資都應受到保護,而非僅限於被使用之個人資訊。 門檻提升 數據蒐集之法律標準需加強,提升隱私保護。 保存期限要求 除法律特別規定之保存期限外,相關通訊數據保存應於最短時間內刪除,通盤完整保留數據為不必要之風險。 強制協助命令 強制監督 關於電信商既已存在之標準,監視與保留通訊之數據,依據政府要求提供者,政府須解釋其合理性。 透明度 除加拿大電信商提供年度報告,政府單位依據合法授權來請求加拿大客戶數據之情況下,應有相關報告以示公平。 二、政府管理政策與產業治理之有效性衡平   鑑於資訊技術與商業模式蒐集數據為不透明,普通消費者根本無從得知個人資訊是如何被取得及利用分享,當事人較難根據資訊來識別問題,亦難區別是否當事人是否為有效性之同意,故加拿大隱私專員辦公室認為其應該有權審核或檢查電信業者使用技術範圍內之事務,以確保現實情況與隱私法規範保護一致。故應使加拿大隱私專員辦公室能與其他聯邦監管機構(Canadian Radio-television and Telecommunications Commission, CRTC加拿大廣播電視和電信委員會與加拿大競爭局)共享資訊,並授予加拿大隱私專員辦公司發布命令與實施行政罰鍰之權力,且允許其進行積極之合規性審查。 三、立法設計中應包含消費者保護、權利行使及可及性   加拿大人民享受數位經濟帶來之好處,同時希望個人資訊之利用為無疑慮地,人民相信政府及立法機關會做好保護措施。惟目前加拿大之隱私立法仍為相當寬鬆,近期相關數據洩漏事件亦已證實電信公司無法善盡管理負責任,透明度與問責制度皆不足,相關消費者保護與權利行使皆須更完善,並需要更多資金進行改善。   加拿大個人資料保護和電子文件法(Personal Information Protection and Electronic Documents Act, PIPEDA)個資隱私法下,公司或組織於所提供服務相關時,可獲取、使用及共享資訊,但在提供服務之資訊外,尚有許多資訊共享於其他目的。電信公司蒐集日常生活資訊,針對敏感性個資,隱私法規範為明確的,但若個人數據非敏感性,則會帶來許多隱含空間,當事人是否為有意義之同意?加拿大隱私專員辦公室認為他們應該要有更多法律權力,透過執法確保電信數據生態系統之信任,並整合聯邦與省之法規。政府與業者創新使用數據皆能受到監管,於事件未發生時,則有前端監督其合規性,將使市場有明確性,且能向人民進一步保證其關注將獲得解決。

新加坡物聯網產品網路安全防護之初探

新加坡物聯網產品網路安全防護之初探 資訊工業策進會科技法律研究所 2023年06月30日 壹、事件摘要 近年物聯網(Internet of Things,簡稱IoT)產品蓬勃發展,伴隨著資通安全之威脅卻也日益加增,新加坡為此陸續訂定國內法規,以強化保障新加坡人民資訊流通之自由,並確立了網路安全標籤機制,藉以提高消費者對於物聯網產品資安的認識。另一方面,標籤制度能於消費者使用物聯網產品時,將產品受到不同層級之網路安全防護,或有別於一般用途使用等資訊,迅速傳達給消費者。據此,本文觀測新加坡近年主要的物聯網產品驗證制度與相關法規,供我國參考與借鏡。 貳、重點說明 一、新加坡物聯網網路安全法規 新加坡於2015年成立新加坡網路安全局[1](CSA),陸續為新加坡建立完善之物聯網產品網路安全防護機制,且新加坡於2018年訂定《網路安全法》[2],法案的第一部分已明示將「網路安全」列為實質保障內涵[3],並明訂須透過識別與分析威脅,以有效降低網路安全威脅帶來的風險。另為提高物聯網安全性,首先於亞太地區推出物聯網產品等級評估機制,即新加坡網路安全標籤機制[4](Cybersecurity Labelling Scheme, CLS),致力於保障新加坡的網路空間,並使消費者能夠識別符合網路安全規定之物聯網產品,以利消費者辨認選購。此外,CLS架構下設有驗證中心、通用標準以及標籤分級等措施,以強化物聯網產品資安防護為目的,也能落實《網路安全法》保障新加坡網路安全之精神。 (一)設置網路安全驗證中心[5](Cybersecurity Certification Centre, CCC):為驗證資安相關產品與服務之權責機關,透過CSA建置的驗證標準,成為新加坡企業採用資安產品之參考依據。 (二)建立通用標準(Common Criteria, CC):最初是由加拿大、法國、德國、荷蘭、英國與美國等多個國家安全標準組織聯合提出,以國際標準ISO/IEC 15408(Common Criteria for Information Technology Security Evaluation)作為替代其現有安全評估標準的通用標準。由於通用標準已於國際上受多國承認,資訊服務業者若經過相關驗證時,較易被新加坡企業採用。 (三)建立網路安全標籤機制(Cybersecurity Labelling Scheme, CLS):CSA針對智慧裝置推出網路安全標籤機制CLS,是以《網路安全法》做為上位精神而訂,但並不具強制力,而是以計畫推行之自願性認驗證機制。新加坡政府將物聯網設備根據其網路安全規定之級別進行評估分級,使消費者能夠識別符合較高等級網路安全規定的產品,並做出明智的決定。CLS共可分為4個等級(Level 1~4),第1級為產品滿足相關之基本要求(如密碼要求、提供軟體更新);第2級為該產品係使用安全設計原則進行開發(如進行相關之威脅評估、審驗程序);第3級為該產品經過第三方測試實驗室評估;第4級則經過第三方實驗室之滲透測試。此外,值得注意的是,新加坡亦與德國、芬蘭簽署備忘錄,以相互承認,也因此新加坡CLS網路安全標籤機制與德國的網路安全標籤制度(IT-Sicherheitskennzeichen)、芬蘭的網路安全標籤制度(Finnish Cybersecurity Label),可以進行互通使用。 參、事件評析 新加坡透對於物聯網產品之資安,透過訂定法規、成立權責機關與建立國際通用之標準與標籤機制,針對物聯網產品資安進行不同層次的保障。此外,採「驗證」方式保障人民生活不受網路威脅侵害,同時提高消費者對於物聯網產品資安之意識,可謂一舉數得之作法。而我國於物聯網產品發展以來,有政府以計畫支持「行動應用資安聯盟」提供相關物聯網產品之資安檢測認驗證標章,以供企業或消費者識別,物聯網產品經由實驗室檢測並由行動應用資安聯盟[6]審核通過後,核發合格證書及資安標章,並依照資安風險高低及安全技術實現複雜度,區分三個等級(L1~L3),分為適合一般家庭、商業用途與最高防護強度。於此認驗證機制下,已推出6項產品系列之驗證[7],並且採消費者導向之標章,足見我國政府同樣致力於提高消費者對於物聯網產品資安防護識別之意識;但此認驗證機制或有優化空間,今後可以參考新加坡作法,擴增可進行驗證的產品項目,持續提升保障消費者選購物聯網產品之資訊知悉權,同時可參酌國際上其他重點國家之風險評估方式,以系統性建置物聯網產品資安之風險評估通用標準,以確保該制度未來有機會被其他國家直接或間接承認,為國際接軌做準備,作為今後精進物聯網產品資安之目標,方可促使我國與國際產業鏈、海外市場逐步銜接,提升產業競爭力。 [1]新加坡網路安全局CSA(Cyber Security Agency),隸屬於總理辦公室(Prime Minister’s Office, PMO),由新加坡通訊暨新聞部(Ministry of Communications and Information)管理,https://www.csa.gov.sg/,(最後瀏覽日:2023/6/30)。 [2]Cybersecurity Act 2018, Singapore Statutes Online, https://sso.agc.gov.sg/Acts-Supp/9-2018/Published/20180312?DocDate=20180312, (last visited June 30, 2023). [3]Cybersecurity Act 2018, Part 1 PRELIMINARY, 2.—(1), (i)providing advice in relation to cybersecurity solutions, including— (i) providing advice on a cybersecurity program; or (ii) identifying and analysing cybersecurity threats and providing advice on solutions or management strategies to minimise the risk posed by cybersecurity threats. [4]Cybersecurity Labelling Scheme (CLS), CSA, https://www.csa.gov.sg/our-programmes/certification-and-labelling-schemes/cybersecurity-labelling-scheme, (last visited June 30, 2023). [5]SINGAPORE CSA, Certification and Labelling Schemes, About the Cybersecurity Certification Centre (CCC), https://www.csa.gov.sg/our-programmes/certification-and-labelling-schemes, (last visited June 30, 2023). [6]行動應用資安聯盟(Mobile Application Security Alliance),關於我們〈推動架構〉,https://www.mas.org.tw/about/background,(最後瀏覽日:2023/6/30)。 [7]包含:影像監控系統、智慧巴士、智慧路燈、空氣品質微型感測裝置、消費性網路攝影機、門禁系統等項目。行動應用資安聯盟(Mobile Application Security Alliance),IoT Q&A〈聯盟負責的物聯網資安檢測認證項目有哪些?〉,https://www.mas.org.tw/iot/questAndAnswer,(最後瀏覽日:2023/6/30)。

阿爾卡特朗訊上訴要求微軟支付15億美元的損害賠償

  對於微軟的Windows Media player侵害MP3科技的兩項專利,阿爾卡特朗訊公司7月7日向美國巡迴上訴法院提起訴訟,要求回復對微軟的專利侵權懲罰。     聖地牙哥陪審團在去年2月裁定微軟應就侵害兩項專利權支付15億美元賠償金。微軟爭執這項裁定沒有任何法律或事實上的依據,對此,美國地方法院法官Brewster同意微軟的主張,認為兩項專利侵權的標的中,微軟並未侵害其中一項,而另一項專利,微軟擁有德國Fraunhofer公司的授權,因此法官判定陪審團的裁定並無充足的證據支持,微軟無須支付15億美元的損害賠償。     阿爾卡特朗訊公司宣稱MP3的專利在1989年由AT&T的研發部門貝爾實驗室與Fraunhofer公司共同研發,但朗訊科技在1996年脫離AT&T成為一家獨立的公司,並保留貝爾實驗室的多項專利資產。2006年阿爾卡特與朗訊合併為阿爾卡特朗訊公司,所以該項專利係屬阿爾卡特朗訊公司所有。     微軟發言人表示,Brewster法官的判決是正確的。其中一項專利是微軟向Fraunhofer支付一千六百萬美元授權金而獲得的授權。     阿爾卡特朗訊和微軟對於這場專利爭訟都十分堅持自己的立場,目前尚未有任何跡象顯示未來雙方有和解的可能,看來這場專利戰爭還會持續很久。

美國最高法院肯定電玩同樣受到憲法第一修正案言論自由之保護

  美國最高法院日前針對Brown v. EMA & ESA(即之前的Schwartzenegger v. EMA)一案作出決定,確認加州政府於2005年制定的一項與禁止販賣暴力電玩(violent video games)有關的法律,係違反聯邦憲法第一修正案而無效。   該加州法律係在阿諾史瓦辛格(Arnold Alois Schwarzenegger)擔任加州州長時通過。根據該法規定,禁止販售或出租暴力電玩給未滿18歲的未成年人,且要求暴力電玩應在包裝盒上加註除現行ESRB分級標誌以外的特別標誌,故有侵害憲法第一修正案所保障的言論自由之虞。本案第一審、第二審法院均認定加州「禁止暴力電玩」法案係屬違憲。   而最高法院日前於6月27日以7比2的票數判決,肯定下級審的見解。最高法院認為,電玩(video games)係透過角色、對話、情節和音樂等媒體,傳達其所欲表達的概念,就如同其他呈現言論的方式(如書本、戲劇、電影),皆應受到憲法言論表達自由原則之保護。   因此,對同樣受到憲法保障的遊戲內容表達,只有在有重大(值得保護)的公益須維護時,才能對其加以限制;同時,限制手段亦須通過最嚴格的審查標準(stringent strict scrutiny test)。最高法院認為,本案中加州政府並無法證明有重大(值得保護)的公益存在,且以法律禁止販賣的手段也無法通過審查標準。   如同美國娛樂軟體協會(ESA)CEO Michael D. Gallagher所說,政府不應採取立法禁止的方式,限制遊戲內容的表達自由;反之,美國電玩產業一直以來都遵守一套自願性的分級制度(Entertainment Software Rating Board rating system),藉以提供消費者有關遊戲內容的資訊。這套分級制度已足以協助家長從包裝盒上辨認出遊戲內容,確保未成年人不接觸不適宜的遊戲。   判決出爐後,產業界紛紛表示這是對遊戲產業的一大勝利。本案也證明,即使面臨日新月異科技發展的挑戰,憲法所保障的言論自由表達原則,同樣適用在新興科技的表現媒介。

TOP