日本公布新創事業與廠商合作之指針草案,統整雙方不對等契約關係之問題並提出改善建議

  日本經濟產業省、公平交易委員會及特許廳於2020年12月23日發布「Startup與廠商合作之相關指針」(スタートアップとの事業連携に関する指針)草案,並自同日起至2021年1月25日止向外徵求公眾意見。近年,日本國內一方面看重新創事業與大型企業合作所帶來的優勢;另一方面,在此種合作關係下,雙方的契約關係亦浮現如名為共同研究、卻由大型企業方獨占專利權等問題。基此,配合2020年4月未來投資會議的決議要求,統整新創事業與大型企業間不對等契約關係的問題與提出改善建議,並參考同年11月公平交易委員會所發布的「Startup交易習慣之現況調查報告最終版」(スタートアップの取引慣行に関する実態調査について最終報告),擬定本指針草案。

  本指針主要著眼於新創事業與企業間的保密協議(Non-disclosure agreement, NDA)、概念驗證(Proof of Concept, PoC)契約、共同研究契約與授權(license)契約等四種契約類型。除了統整包含訂約階段在內的各種問題實例、以及日本獨占禁止法(私的独占の禁止及び公正取引の確保に関する法律)對此的適用現況外,亦提出了相應的改善與解決方案。舉例而言,指針草案指出,新創事業可能會被合作廠商要求對其公開營業秘密,卻未能簽訂保密協議。對此,合作廠商即可能構成獨占禁止法上濫用其優勢地位之行為。會造成此狀況發生的實務情境,可能為合作廠商承諾事後會簽署保密協議,但要求新創事業先行揭露其程式的原始碼等營業秘密等。而原因則主要包含新創事業缺乏足夠法律素養(literacy)、以及有關開放式創新的相關知識不足等。基此,指針提出改善方案,例如,締約前新創事業即先行區分出可直接向契約他方揭露的營業秘密、得透過締結NDA約定揭露之營業秘密、以及不得揭露之營業秘密等;締結NDA時,應盡可能具體約定營業秘密的使用目的、對象及範圍,並且考量到通常難以舉證廠商違反保密協議,因此不建議揭露攸關新創事業核心能力(core competence)的營業秘密。

本文為「經濟部產業技術司科技專案成果」

相關連結
相關附件
你可能會想參加
※ 日本公布新創事業與廠商合作之指針草案,統整雙方不對等契約關係之問題並提出改善建議, 資訊工業策進會科技法律研究所, https://stli.iii.org.tw/article-detail.aspx?no=55&tp=1&d=8616 (最後瀏覽日:2024/04/19)
引註此篇文章
你可能還會想看
機關實體安全維護現行法制與實務運作之研析(下)

機關實體安全維護現行法制與實務運作之研析(下) 科技法律研究所 2013年08月25日 貳、澳洲防護性安全政策架構:機關實體安全維護政策暨相關規範 一、「防護性安全政策架構」概說   防護性安全政策架構(Protective Security Policy Framework)[1]由澳洲司法部(Attorney-General’s Department)發布,最新版本修訂於101年12月,其宗旨在協助機關有效鑑別安全風險容忍度的等級、達成安全維護之要求並因應各機關業務目標發展適合的安全文化,同時也能達到預期的行政效能、獲得人民及國際間的信任。其架構設計成四個層次。   最上層為「政府業務安全性指令(Directive on the security of government business)」,屬於防護性安全政策架構的基石,訂明機關及委外廠商的安全性要求。第二層進一步訂定「核心政策/法定強制要求(Core Policies/Mandatory Requirements)」,核心政策從三大面向出發:人員安全、資訊安全及實體安全。第三層則分別就三大核心政策制訂細節性的實施指引、安全保護措施和風險管理文件的範本,包含應用標準,使所有機關作法具一致性,使跨部門的業務執行更加順暢。最末層則為「機關特定防護安全政策與程序(Agency-Specific Protective Security Policies& Procedures)」,協助機關發展出合乎自身特性和業務需求的專屬政策和程序,同時補充和支援其他機關的的營運程序。 二、機關實體安全管理指引:管制區及風險減輕控制[2]   本指引的規範客體為政府機關內所有人員及接受政府機關委外安全維護服務的承包商(contractor)及個人。保護範圍涵蓋所有政府設備設施、實體資產及機關人員駐點場所,但若澳洲法律有比本指引更嚴格的要求,應優先遵守。規範內容可分成四大項:降低風險與確保措施(risk mitigation and assurance measure)、管制區方法論及要求(the security zones methodology and requirements)、個別控制要素(detail of individual control measures)、行政管理上的實體安全要素(Physical security elements in administrative security)。 (一) 降低風險與確保措施   機關應依指定之標準和要求進行風險評估[3]及風險管理[4]。風險評估是設計安全維護措施的基礎,且至少每兩年便應重新評估。又機關可能因為某些特別的原因易生潛在的特定威脅,需要額外的加強實體安全性,機關可以透過檢視自己業務是否具爭議性、辦公場所地區犯罪發生率、出入訪客數量及以往發生衝突的機率、是否因持有特定資訊或資產而易於成為攻擊目標、設施是否與民間企業共構及其他誘因等進行風險評估。   接著,機關應依風險程度差異區分不同安全等級的工作區,或區分上下班時間,評估可能遇到不同的風險。例如,上班時間會有洽公民眾或訪客,需特別注意內部威脅;下班後則要特別注意外部入侵問題。又辦公室動線的設計與有效的安全控制攸關,故可以考慮進行「關鍵路徑規劃(Critical path)」,亦即在動線設計上,讓可能的外來危險入侵到辦公場所核心領域的成功時間盡可能延長,使應變小組有時間偵測、延遲並能及時回應跟阻止入侵。最後,機關若能擁有獨立建物時,於設計時需考量「透過環境設計預防犯罪(Crime prevention through environmental design/CPTED )」,避免建物有太多死角而易於進行不法或犯罪行為[5]。 (二)管制區方法論及要求   管制區(Security Zone)共分為五個安全等級,也就是依風險評估劃分工作區,並賦予相應的控管措施[6]。機關得按自身需求決定要設置幾個等級的管制區。例如,一級管制區指公眾可出入的場所、車輛會不斷進出的作業區,故得使用、儲存的資訊及資產敏感性不得超過一定等級;二級管制區是所有員工及委外廠商的自由出入的區域,公眾在一定條件下得出入,通常是指標準辦公場所、機場工作區或具一定隔離、出入管制措施的訪客區或展示區;三級以上管制區則對於能進出的內部人員的資格益加限縮,且外部人士或委外廠商可能需由專人全程護送,同時也能使用或儲存高重要性的資產和資訊,如情報機構本身即屬五級管制區。 (三)個別控制要素   此部分在提供機關判斷、選擇控制措施的準則,機關可以根據風險評估的結果選擇相應的安全控制措施,共分為15項,主要包括了澳洲安全建設及設備委員會(The Security Construction Equipment Committee/SCEC)認可的產品目錄清單及產品選擇標準的指導手冊、建築物安全配備的標準、警報系統與相關設備、門禁管制、訪客管控、警衛與保全人員的聘用、安全置物箱或保險庫及周遭環境的安全管制(Perimeter access control)等。   又警衛與保全人員之聘用,必須擇用有證照者。澳洲依行政區有不同的保全證照制度與規定[7],以澳洲首都區(ACT)為例,主要係依2003年保全業法(Security Industry Act 2003)[8]、2011年保全業修正法(Security Industry Amendment Act 2011)[9]及2003保全業規則(Security Industry Regulation 2003)[10],證照共分五種:保全公司證照、保全人員證照、保全教官證照、見習保全證照及臨時保全證照。保全證照每三年需換發一次。另外,若在販賣酒精的場所工作或需使用槍枝,則需另外取得許可。   澳洲保全業的主管機關為法制服務辦公室(Office of Regulatory Service),職掌教育訓練、監督與查核、自我規範、資訊分享及強制執行。主要查核項目為定期檢查及工時外的抽查(afterhours inspection),前者著重於申訴案,證照的暫時中止或撤銷懲處;後者著重於高風險事件,例如非法經營的保全公司、不適當行為及保全業非法雇用未成年人員等[11]。 (四)行政管理上的實體安全要素   在行政作業程序上,機關得運用一些實體設備設施達成安全管理的需求,例如在傳遞小量的實體資產或資訊(如公文紙本)至其他機關,應使用保險箱、集裝箱;又銷毀機密紙本時使用碎紙機或水銷方式等。 三、防護性安全管理指引:委外服務與職能安全性 [12]   本指引在協助機關將業務委外時,如何建立完善的委外政策和擬定契約,詳述防護性安全政策架構4.12節以及機關要如何遵守政策架構下第12條規定:「機關必須確定委外服務廠商遵守本政策架構及所有的防護性安全規則書(protective security protocols)的要求」。由於委外服務的執行人員能夠進入機關內部辦公場所、接近機關資訊資產,故機關有責任建立人員安全控管程序(necessary personnel security procedures),管理委外服務的安全性風險。本指引提供一個持續性、結構性的方法幫助機關決定:委外廠商經營場所應有的安全維護措施、委外廠商使用人員的安全調查程序(security clearance requirements)及契約中安全管理措施的約定(protective security management arrangements)[13]。   契約中必須明訂委外廠商應遵守的相關法律規定、機關所需的必要安全維護要求與遵守期間、規律和持續性的監督辦法(例如機關代表可進入委外廠商的經營場所進行查核,檢視各項紀錄或設備設施)及危安事件發生時廠商的通報義務。機關依防護性安全政策架構所擬訂獨有的政策與程序,其內容必須於契約中明確的約定,不允許概括約定委外廠商必須遵守防護性安全政策架構。又機關的安全性要求可能會隨時間而變化,所以該部分的約定宜與本約分開,以利日後修正與變更。   若委外廠商的執行人員因業務得接近機密或敏感性資訊資產,必須通過安全查核程序(Security Clearance)[14];若不需接受安全查核,則需簽署保密條款(Non-Disclosure Agreement),機關應諮詢法律專業意見制訂屬於機關本身特定的保密條款[15],有複委外情形時亦同。機關可以從澳洲政府安全調查局(Australian Government Security Vetting Agency /AGSVA)調出相關人員的安全調查資料,如果該人員擁有尚未逾期且屬機關需求等級的安全資格,機關就不需要再做一次調查。 參、建議與結語   藉由對澳洲立法例之研析,可發現澳洲對於機關的辦公場所、設備設施及出入之內外部人員的控管,有嚴謹縝密的管理機制與具體標準供機關依循。相較於此,我國相關法制框架尚有強化空間,建置更明確性、細節性之規範及標準作業流程。例如我國法制上僅有「責任區」的概念,可考慮引進「管制區」及「關鍵路徑規劃」等項目。其次,機關宜將自訂的安全維護機制確實內化至與委外保全業者的契約內,訂明權利義務關係、落實監督管理辦法、監控畫面資料儲存、備份和刪除方式及保密義務範圍(如機關監視系統配置、巡邏時間)等,另考量當機關日後對於安全性要求之修正與變更可能,委外契約與安全性要求的細部文件宜分開訂立。至人員管控部分,應重視預防勝於治療之概念,於適當時(例如對負責監控機關內部監視系統或夜間巡邏等對機關生態、人員活動及弱點相當清楚者)採取如澳洲的安全查核程序,對人員擔任保全工作的適性程度進行評價,而不僅以保全業法所訂之資格條件作為唯一判準。   末者,機關之實體安全維護,是否適合全權委外保全業者,尤以本身屬高重要性的機敏機關而言,值得再斟酌,在保全人員素質頗受爭議與警政機關因業務繁重而無法有效輔導管理保全業的困境下,或可考慮是否有必要在組織內編列專職維安人員。 [1]Australian Government: Attorney-General’s Department (2012, December). Protective Security Policy Framework-securing Government business. Version1.5. Retrieved from http://www.protectivesecurity.gov.au/pspf/Documents/Protective%20Security%20Policy%20Framework%20amended%20December%202012.pdf (last accessed May.29,2013) [2]Australian Government: Attorney-General’s Department (2011, June), Physical security management guidelines: Security zones and risk mitigation control measures, Retrieved from http://www.protectivesecurity.gov.au/physicalsecurity/Documents/Security-zones-and-risk-mitigation-control-measures.pdf ,下稱「本指引」. [3]Australian Standard AS/NZS ISO 31000:2009 Risk Management–Principles and guidelines, Australian Standards HB 167:2006 Security risk management. [4]Australian Standards HB 167:2006 Security risk management . [5]相關建議可參考以下連結:Designing Out Crime: crime prevention through environmental design,Crime Prevention through Environmental Design Guidelines for Queensland. [6]詳細規定由機關安全顧問(Agency security advisers /ASAs)發布,請參本指引第15至20頁 [7]Australian Security Industry Association Limited (n.d.). Information about security licensing requirements and regulators in each state or territory. Retrieved from http://www.asial.com.au/Whoshouldholdasecuritylicence.(last accessed June.4,2013). [8]ACT Government(n.d.). Security Industry Act 2003..Retrieved from http://www.legislation.act.gov.au/a/2003-4/default.asp(last accessed June.4,2013) . [9]ACT Government(n.d.). Security Industry Amendment Act 2011. Retrieved from http://www.legislation.act.gov.au/a/2011-37/ (last accessed June.4,2013).其他相關規範請參http://www.ors.act.gov.au/industry/security_industry/legislation (last accessed June.4,2013). [10]ACT Government(n.d.). Security Industry Regulation 2003. Retrieved from http://www.legislation.act.gov.au/sl/2003-30/default.asp (last accessed June.4,2013). [11]ACT Government(n.d.).Security Industry Licensing Practice Manual. Retrieved from http://www.ors.act.gov.au/publication/view/1689/title/security-industry-licensing-practice-manual (last accessed June.4,2013). [12]Australian Government: Attorney-General’s Department (2011, September). Protective security governance guidelines-security of outsources services and functions. Version1.0. Retrieved from http://www.protectivesecurity.gov.au/governance/contracting/Pages/Supporting-guidelines-for-contracting.aspx (last accessed June.7, 2013). [13]「防護性安全措施」Protective security依澳洲政府所發佈的「專門術語詞彙表」(glossary of security terms)的定義,指一套包括程序、實體、人員及資訊四大方向的安全維護措施,保護資訊、機關機能運作、內部人員和外部訪客。請參http://www.protectivesecurity.gov.au/pspf/Pages/PSPF-Glossary-of-terms.aspx [14]請參PSPF Australian Government personnel security core policy – PERSEC 1.。 [15]請參本指引第11頁的附件A:NDA範本。

新版個資法與個資保護管理制度

新版個資法與個資保護管理制度 科技法律研究所 2013年4月1日 壹、事件摘要   國內於1995年制定施行「電腦處理個人資料保護法」,在資訊科技日新月異下,加諸法規本身適用上的限制,原有法制設計已不符實務需求。考量個資外洩事件日漸增加,歷經長時間討論,國內於2010年4月三讀通過新版個資法,將法律名稱調整為「個人資料保護法」,並在2012年10月1日正式實施新制。新法不僅全面調整法規內容,並大幅加重企業所負義務與責任,就民事責任而言,單一事件 賠償金額最高達到10億。對國內產業而言,如何有效因應個資法要求,採取妥適的對應策略降低風險,已成為企業運營上的關鍵課題。 貳、重點說明 一、新版個資法暨施行細則正式施行   個人資料保護可說是近期國內最受重視的議題,事實上國內早於1995年8月即制定施行「電腦處理個人資料保護法」,惟經過十餘年的發展,在電腦與資訊科技日新月異下,包括電子商務等新興商務模式,均廣泛蒐集個人資料,個人隱私的妥善保護,日益重要。然而,原有的「電腦處理個人資料保護法」,於適用主體方面,存在著行業別的限制,僅有「徵信業、醫院、學校、電信業、金融業、證券業、保險業及大眾傳播業」等八種特定事業,以及經由法務部會同中央目的事業主管機關共同指定的行業,方受到規範;此外,該法所保護的客體,亦限於經由「電腦或自動化設備」處理的個人資料,才受到保護,不包括非經電腦處理的個人資料,對於保護個人資料隱私權益規範,明顯不足。   個資外洩事件層出不窮下,2007年行政院消費者保護委員會提出的十大消費新聞中,「電子商務、電視購物個資外洩事件」即高居首位,促使法務部與經濟部透過「共同指定」方式,使無店面零售業(包括網路購物、型錄購物、電視購物等三種交易態樣)自2010年7月1日起適用「電腦處理個人資料保護法」。   為使個人資料保護法制規範內容,得以因應急速變遷的社會環境,行政院甚早即已提出「電腦處理個人資料保護法修正草案」,並將名稱修正為「個人資料保護法」,歷經立法院會多次討論,終於在2010年4月三讀通過,法律名稱調整為「個人資料保護法」,於5月26日由總統府正式公布。新法雖於2010年4月三讀通過,但為使企業及民眾有充分時間了解並因應新法,新版個資法並未於公布日施行,而是於該法第56條規定,由行政院另訂施行日期。經過長時間討論,「個人資料保護法」已由行政院決定在2012年10月1日正式實施,惟新法第6條關於特種資料原則上不得蒐集、處理與利用,以及第54條要求新法實施前已間接取得的個人資料,必須在一年內補行告知等二項規定,保留暫緩實施。   就個人資料保護法制而言,除最為重要的「個人資料保護法」外,依據母法制定的施行細則,也扮演著關鍵性的角色。原有的「電腦處理個人資料保護法施行細則」於1996年5月1日發布施行,鑒於「電腦處理個人資料保護法」已於2010年進行修正,並將名稱修正為「個人資料保護法」,法務部也配合新法修正內容,積極研商「電腦處理個人資料保護法施行細則修正草案」。隨著新版個人資料保護法確定於2012年10月1日正式上路,法務部另於2012年9月26日正式公告?正後的施行細則,並將細則名稱修正為「個人資料保護法施行細則」。新版個資法暨施行細則正式上路,促使國內個人資料保護工作,邁入全新的紀元。 二、個人資料管理制度與資料隱私保護標章   在「個人資料保護法」修正通過前,2008年6月立法院即已提案,建議政府參考國外作法,推動我國隱私權管理保護認證制度,隔年8月「行政院產業科技策略會議」(Strategic Review Board)中,決議推動「電子商務個人資料管理暨資訊安全行動方案」,並於同年12月核定放入99年至102年政府關鍵推動方案。   基於上述行動方案,經濟部自2010年10月起,委由財團法人資訊工業策進會執行「電子商務個人資料管理制度建置計畫」,並自2012年起續行推動「電子商務個人資料管理制度推動計畫」,建置推動「臺灣個人資料保護與管理制度」(Taiwan Personal Information Protection and Administration System, TPIPAS),期使企業於遵守個人資料保護法制的前提下,透過建立內部管理機制,適當保障消費者的個人資料,並在嚴謹的驗證要求下,確認導入企業是否符合制度要求,同時搭配「資料隱私保護標章」(Data Privacy Protection Mark, dp.mark)的發放,作為消費者判斷企業隱私維護能力的客觀指標。   針對個人資料管理制度的導入,事業應依循「臺灣個人資料保護與管理制度規範」逐步建立內容管理機制,該制度規範同時也是國內企業能否取得「資料隱私保護標章」(dp.mark)的審查指標。由於國內業者過往並無建立內部個資管理制度的經驗,「臺灣個人資料保護與管理制度」自2011年起,協助企業培訓「個人資料管理師」及「個人資料內評師」等制度專業人員,合格的個人資料管理師可協助企業於事業內部建立完整的制度,而內評師則是扮演確認企業建立的制度,是否符合制度規範要求的角色。截至2012年,國內已有近百家企業參與制度人員培訓,合計達426位管理師及131位內評師。在TPIPAS導入上,事業除了由合格的管理師自行建置導入管理制度外,也可尋求專業的外部輔導機構協助,「臺灣個人資料保護與管理制度」自2012年起,開放輔導機構登錄之申請,並於制度網站上公告符合資格要求的制度輔導機構,目前已有九家合格的輔導機構完成登錄作業,提供事業個資輔導服務。   事業完成內部管理體系建置後,便可向「臺灣個人資料保護與管理制度」提出驗證申請,驗證流程包括「書面審查」及「現場審查」二階段,事業通過驗證後,即具備使用「資料隱私保護標章」(dp.mark)的資格。目前國內已有統一超商、全家、博客來、樂天、亞東、康迅數位及欣亞等七家業者通過TPIPAS驗證並取得dp.mark,透過導入個資管理制度,強化消費者隱私資料的維護。 參、事件評析   「臺灣個人資料保護與管理制度」(TPIPAS)是以國內新版個人資料保護法內容為基礎,並參考國際組織對個人資料保護的最新要求,以及主要國家個資管理制度的推動經驗,所建立的專業個人資料管理制度。TPIPAS配合產業個人資料保護實務需求,將專業的法律要件轉化為內部個資管理流程,可有效協助產業建立完善妥適的個人資料管理制度,符合個資法規要求。在新版個人資料保護法上路之際,導入TPIPAS取得dp.mark,不啻是企業降低個資法風險,提升內部個人資料管理能力的最佳策略。

共享經濟創新商業模式於歐盟各國發展所遭遇之公平競爭議題

  共享經濟(Sharing-economy)為近來很夯的議題,其概念係藉由網路平台分享自有資產、資源、時間及技能及其他有用的事物,透過資源分享能更有效利用或者獲得收入。共享經濟不僅能夠促進經濟成長、鼓勵創業,同時也促進資產有效再利用,許多創新服務成功案例,例如Uber、Lyft、Airbnb等因此產生,然而,這類型之創新商業模式推展至世界其他各國發展時,卻遭遇到法規範的差異,與各國政府監督與管理出發點的不同,對各國政府與創新商業模式皆成為未來的挑戰。   舉例來說,目前Uber公司在法國、西班牙和德國等國禁止其提供服務,由於德國政府認為Uber未事先依法律規定辦理司機與營業車輛登記,故禁止Uber於德國境內服務;而西班牙政府認為Uber公司未取得經營執照,亦禁止其於西班牙提供服務。然而Uber公司認為,上述國家對於公司的發展已產生限制競爭與不公平的對待,進而向歐盟執委會(European Commission)提出申訴。   依歐盟條約(The Treaty on the Functioning of the EU, TFEU)規定,歐盟會員國各該內國法之制定原則上不可抵觸歐盟競爭法(EU competition laws),是以,各該歐盟會員國必須遵守歐盟競爭法訂立至少符合歐盟競爭法的相關規範。因此,若認為歐盟會員國的規範與實務操作有悖於歐盟條約所制定之公平競爭規則時,可向歐盟執委會提出申訴,該委員會如發現確實有違背公平競爭規則時,可要求該歐盟會員國修訂其國家的監管制度。   對此,歐盟、各該會員國之監管部門、市場競爭當局試圖尋找解決問題的平衡點,並在適當的監管與促進創新與競爭的環境下,俾利共享經濟於各國的推動與發展。

FDA發布「制定醫療器械在上市前核准(PMA)、低風險創新器材(De Novo)分類和人道用途器材免除(HDE)的利益-風險決策之不確定性考量指引草案

  美國食品和藥物管理局(FDA)於2018年9月6日發布關於「制定醫療器械在上市前核准(PMA)、低風險創新器材(De Novo)分類和人道用途器材免除(HDE)的利益-風險決策之不確定性考量指引草案。」   為滿足FDA促進公共健康的使命,醫療器械上市前核准(PMA)通常涉及較高的不確定性,因此本指引是適當的解決利益風險的判定以支持FDA的決策。包含考量患病群願意接受醫療器械帶來的益處及風險之更多不確定性,特別是沒有可接受的替代治療方案時。   根據指引草案,FDA依據具體情況,判定其利益-風險的適當程度之不確定性,包括: (1) 醫療器械可能帶來好處程度。 (2) 醫療器械存在的風險程度。 (3) 關於替代治療或診斷的利益-風險之不確定程度。 (4) 如果可能,需瞭解患者對醫療器械可能帶來的益處和風險之不確定性觀點。 (5) 公共衛生需求的程度。 (6) 依據臨床證據可支持上市前之可行性。 (7) 能夠減少或解決醫療器械的上市後利益-風險留下之不確定性。 (8) 上市後緩解措施的有效性。 (9) 建立決策類型。(如上市前核准(PMA)和人道用途器材免除(HDE)的核准標準不同。) (10) 對於早期患者訪問醫療器械的可能帶來的益處。   本指引草案中,FDA基於考量有關醫療器械臨床/非臨床訊息之利益風險,需與FDA的規範、監管機關和要求要有一致性。

TOP