歐盟發布《個資侵害通知範例指引》說明個資侵害案例解析以利個資事故因應
歐洲資料保護委員會（European Data Protection Board, EDPB）於2021年1月18日發布《個資侵害通知範例指引》（Guidelines 01/2021 on Examples regarding Data Breach Notification）草案，並進行為期六週之公眾諮詢。該指引針對2017年10月所發布之《個資侵害通知指引》（Guidelines on Personal data breach notification under Regulation 2016/679）透過案例分析進行補充說明，對於資料控制者如何識別侵害類別以及評估風險提出更詳細的實務建議，協助資料控制者處理資料外洩及風險評估考量因素之認定。
個資侵害係指違反安全性規定而導致傳輸、儲存或以其他方式處理之個資，遭意外或非法破壞、遺失、變更、未獲授權之揭露或近用之情形，由於個資事故將對資料主體可能造成重大不利影響，該指引首先要求資料控制者進行侵害類別之辨識，依據2017年指引將個資侵害分為機密性侵害（confidentiality breach）、完整性侵害（integrity breach）以及可用性侵害（availability breach）。而資料控制者最重要的義務在於主動識別系統漏洞，評估侵害對資料主體權利所產生之風險，制定適當計畫及程序採取適當因應措施，確定侵害事件之問題根因及安全漏洞，加強員工認知培訓及制定操作手冊，並確實記錄各項侵害行為，以提升個資事故因應效率及降低時間延誤。
此外，該指引彙整自GDPR實施以來個資侵害通知具體案例，分為勒索軟體攻擊、資料外洩攻擊、內部人為風險、硬體設備或紙本檔案失竊、誤發郵件以及電子郵件內容外洩，共六大主題十八件案例，針對不同程度風險提供最典型的正確及錯誤作法，並提出資料控制者有關預防潛在攻擊及減輕影響之措施建議。
- 製造業及技術服務業個資保護及資安落實－經濟部工業局112年企業個人資料保護暨資訊安全宣導說明會
- 【已額滿】2023科技研發法制推廣活動—科專個資及反詐騙實務講座
- 供應鏈資安國際法制與政策趨勢分享會
- 【實體】數位發展部數位經濟相關產業個資安維辦法說明會（南部場）
- 【線上】數位發展部數位經濟相關產業個資安維辦法說明會（南部場）
- 數位發展部數位產業署113年資訊服務業安維計畫常見問題分享說明會
- 商業服務業個資保護宣導說明會
- 個人資料保護新思維企業法遵論壇
- 【實體】2024科技研發法制推廣活動— 科專個資及反詐騙實務講座
- 【直播】2024科技研發法制推廣活動— 科專個資及反詐騙實務講座
- 中部場–商業服務業個資保護工作坊
- 南部場–商業服務業個資保護工作坊
- 北部場–商業服務業個資保護工作坊
- 數位發展部數位產業署113年資訊服務業者個資安維辦法宣導說明會
- 電商零售業法制宣導說明會暨產學研座談會
- 數位海盜時代來臨–抵禦海上資安威脅的實踐與挑戰
- 零售業個資保護宣導暨座談會
- 零售業個資保護及資訊安全教育講習
林佩瑩
組長 編譯整理
EUROPEAN DATA PROTECTION BOARD, Guidelines 01/2021 on Examples regarding Data Breach Notification (2021), available at https://edpb.europa.eu/sites/edpb/files/consultation/edpb_guidelines_202101_databreachnotificationexamples_v1_en.pdf (last visited Apr. 1, 2021).
李哲明，〈歐盟資料保護工作小組修正通過個人資料侵害通報指引〉，2018年5月，https://stli.iii.org.tw/article-detail.aspx?tp=1&i=158&d=8028&no=64 （最後瀏覽日：2021/04/01）。
2013年6月13日美國最高法院（the Supreme Court of the United States）就備受矚目之Association for Molecular Pathology v. Myriad Genetics, Inc.一案做出判決，認定如乳癌易感基因BRCA1、BRCA2等經單離（isolated）的人類DNA片段不具美國專利法第101條（35 U.S.C. §101）所規定之專利標的適格性。 美國最高法院指出，雖然專利權人發現了BRCA1與BRCA2基因的位置與序列，但是其並未創造或改變BRCA1與BRCA2基因上的任何遺傳資訊，亦並未創造或改變該DNA片段的基因結構，所以即使其是發現了一個重要而有用的基因，但僅是將其從周遭其他基因材料中分離出來，並非為一項發明行為。亦即是說，突破性、創新或卓越的發現並不必然符合美國專利法第101條之要件要求。 不過，美國最高法院認為，cDNA片段可以具備專利標的適格性，因為其為從mRNA所創造出來、僅具備外顯子（exons-only）的分子，而非自然發生之自然產物。然而美國最高法院對於cDNA是否符合其他可專利要件之要求並不表示意見。 美國最高法院亦強調，本案判決並未涉及任何方法發明，亦未就將有關BRCA1與BRCA2基因之知識予以應用的發明做出判斷，且未判斷自然發生之核苷酸順序經改變的DNA片段是否具備專利標的適格性的問題。
被遺忘權的地域化與全球化2014年5月，歐洲法院（European Court of Justice）判決認定，歐洲人民有權要求搜尋引擎移除特定搜尋結果之聯結，亦即承認了ㄧ項新穎且從未見過的網路權利─被遺忘權（The Right to Be Forgotten）。對於此判決，正反論述各有見地，贊成有如隱私權的提倡者，因恐網路紀錄永不流失，網路網羅並刺探生活細節的功能將嚴重影響隱私權；反對者則有如言論自由學派，憂慮訊息的有限揭露將影響人民獲得資訊的自由與正確性。該歐州法院判決效力僅限定於歐洲網域，例如，若有一法國人要求移除其破產的資訊，則Google僅會在法國google.fr和德國google.de的網域中移除該搜尋結果，至於google.com則因被視為美國網域而能免於移除。然而，近來法國國家資訊自由委員會（CNIL）積極要求Google一旦確定移除某項聯結，其效力應及於所有的網域而一併移除。 為回應法國主管機關之要求，有鑒於有高達百分之97的法國人至今仍多習慣使用其歐洲國內網域的搜尋引擎，再加上沒有一個國家有權限要求或限制他國人民如何獲得資訊，Google認為法國的要求無必要，且不成比例，故不贊同法國國家資訊自由委員會的主張並要求其撤回聲明。由於Google未於15日內依指示遵循，法國主管機關將可考慮後續制裁。因此，被遺忘權目前仍舊維持地域化，然而，即便仍維持現狀，但歐洲法院的判決亦已造成網路資訊的分割，資訊的獲得將因網域的差別而有如小國林立。
英國發布出口軍用與軍民兩用技術定義與範圍之指南英國國際貿易部（Department for International Trade, DIT）於2021年3月22日發布《出口軍用與軍民兩用技術定義與範圍之指南》（Exporting military or dual-use technology Guidance: definitions and scope），以協助使用者定義「技術」與「轉讓軍用或軍民兩用技術的法規範圍」。指南中說明，出口管制目的旨在防止出口技術及技轉可能導致開發或製造武器而危及國家安全，而非禁止合法貿易或知識傳播。任何管制技術的永久或暫時性出口或技轉（Technology transfer）均應取得出口許可證，包括展演、海外招標或投標、履約等行為。 首先在適用主體上，指南說明適用出口管制規範，為所有在英國國境內之人（不論國籍）和組織以及特定情況下的海外英國人，向外國人或海外地區為出口、技轉、或是使海外人員取得受管制技術之情況。 指南中所謂技術者，包含《英國戰略出口管制清單》（UK Strategic Export Control Lists）、《2008年出口管制命令》（The Export Control Order 2008）與歐盟理事會第428/2009號規則（Council Regulation No 428/2009）之內容。有些管制技術會以不同形式呈現，例如藍圖、計畫、模型、程式、指導手冊等，其呈現的形式亦屬管制範圍。此外，部分技術若與大規模破壞武器（Weapon of Mass Destruction, WMD）、武器貿易禁令（arms embargoes）以及未經授權的軍事出口有關者，亦可能屬於受管制之技術，因此定義上十分廣泛。因應科技和網路發展，出口和技轉亦會以不同方式呈現。指南中說明，技轉包含（1）以有形的物理文件或存載於媒體的方式技轉，例如隨身碟、硬碟、筆電或平板等；（2）以電子式等無形形式技轉，例如電子郵件傳送等。無論受管制技術之技轉是否加密，均需取得出口許可證。 針對前述定義之出口和技轉方式，指南中也例示技術移轉或出口的不同態樣，例如（1）電話會議及視訊會議；（2）電子郵件；（3）筆電、手機等可記憶之設備；（4）跨國公司內部傳送；（5）雲端儲存；（6）在國外下載使用管制技術；（7）員工在海外使用/存取內部網路；（8）第三方在海外使用/存取公司內部網路或雲端服務；（9）IT系統維護與測試。以上方式均應個別判斷是否需要申請出口許可證。此外，技術所有者應主導出口管制規範之法遵，故應了解客戶、供應商、分包商等第三方服務業者之詳細資訊，且於契約中明訂各方的出口管制責任及相關條款，並隨時確認接受者或第三方是否得自不同管道取得管制技術及相關訊息，並於可能出口和或技轉管制技術時，立即申請出口許可證。
德國大學研發成果商業化模式初探— 以拜揚專利聯盟為例德國大學研發成果商業化模式初探— 以拜揚專利聯盟為例 資訊工業策進會科技法律研究所 法律研究員 余承穎 2018年07月30日 壹、背景 「研發成果商業化」向來為我國政府關注議題。自2000年起，我國積極推動技轉中心設立，並在2002年後，宣導技轉業務推動以績效為導向，同時進行相關配套之獎助[1]。科技基本法下放政府資助之研究計畫成果下放予計畫執行單位，並允許執行單位可自行運用其研發成果將技術知識擴散於業界，且也開始有技轉金的收入，只是真正能技轉的技術件數並不多，還需要強化技轉中心的功能，以利未來更能聚焦學校的研發能量並有效的商業化。 近年來，德國聯邦政府在高等教育產學合作上，提出《知識創造市場》（Knowledge Creates Markets）[2]之報告，並提出四個行動方案，主要支持知識與技術的移轉在國家政策中給予最高的優先性。也因政府的支持下，德國聯邦政府斥資46.2百萬歐元建立專利利用局 (Patentverwertungsagentur，以下簡稱PVA)，截至2016年止已成立29間PVA[3]，每一間PVA對於區域性大學進行商業化的服務。 本篇就以德國各區的PVA中，技轉成績最好的拜揚專利聯盟(BayPat)進行介紹，並了解德國大學在國家政策支持下的專利聯盟運作機制。 貳、德國大學商業化困境及解決方案 西元2000年初，德國大學和我國一樣面臨研發成果無法商業化的問題，其主因可分為兩部分來說[4]： 大學教授以學術發表論文為主要目標且大學也擁有很多的研發成果，卻無法轉化成專利或推廣至市場上運用。 德國大學很早就開始推產學合作和技術移轉，由於技轉人員沒經驗，無法強化技轉人員的職能，導致校內研發成果無法集中管理而妥善的運用。 基於德國聯邦政府積極想讓高等教育的研發成果能夠商業化，並可以和產業建立溝通橋樑，因此德國聯邦政府推出了《知識創造市場》四個行動方案，其中一個行動方案Exploitation Offensive(市場開發)[5]的目標是希望將科學研發成果快速推至市場，其所採取的策略主要包含：建立專業的專利利用開發之基礎建設和大學教授特權之改革。 依據此策略目標，聯邦政府首先於1998年修訂高等學校框架法(Hochschulrahmengesetz，簡稱HRG) [6]，擴大大學 (Hochschule)的任務與增加大學促進技術移轉之規定，但此修法的成效不佳，未見各大學技轉中心的研發成果運用有逐漸轉好；另一方面《知識創造市場》報告也指出因大學教授特權的規定，大學教授研發成果屬於自由發明，不須告知大學，則可自由運用，除大學教授接受大學資助外，原則上大學無法向教授請求研發成果。因此，教授特權使得大學無法從研發成果運用中受到利益，而許多教授發明也都沒有申請專利，這確實影響成果運用之推廣。因此聯邦政府於議會修訂受雇人發明(Arbeitnehmererfindungsgesetz, cf. ArbEG, 2002) [7]第42條規定，其主要能落實前述的策略目標之一，主要廢止「教授特權」的規定，原本屬於教授可自由運用之研發成果歸屬於大學，讓大學教授享有研發成果商業化所得淨利之30%為收益[8]，這樣的改革可讓大學教授願意投入研究和申請專利，進而達到商業化的發展。 行動方案Exploitation Offensive(市場開發)的另一個策略目標就是其能建造一個有效的專利利用基本設施。因此聯邦教育與研究部（Bundesministerterium für Bildung und Forschung，簡稱BMBF）挹注大筆的經費以支持改革大學的結構措施。前期依據高等學校框架法(HRG)的改革，而大學紛紛設立技術移轉中心，但專利申請件數和商業化的比率沒有因此提高。 因此2002年起，聯邦政府以「商業利用創業保護」(Schutz für Ideen für die gewerbliche Nutzung, 簡稱SIGNO)計畫中以補助對象為大學的分項計畫延伸出「SIGNO高等學校-專利開發資助的計畫」建設專利利用的專業機構。其計畫資助重點在於對高等學校、企業以及發明者的創新發明構想提供智慧財產等法律保障與經濟利用，進而達到技術移轉[9]，也因如此，造成德國各邦設立獨立的PVA[10]，針對區域性大學進行智財服務和商業化規劃。 自2008年， BMBF將部分技轉業務交由經濟及科技部(Bundesministerium für Wirtschaft und Energie，簡稱BMWi)負責，原則上還是以「SIGNO高等學校-專利開發資助的計畫」持續補助成立PVA，針對各邦的PVA之補助比率由100%，逐漸降至50%，2011年起更不超過40%，BMWi的補助從全額補助逐年遞減來觀看，可促使各邦的PVA能集中研發成果的能量，強化與產業界的媒合進而達到合作夥伴或新創公司，進而達到自足營運，所得的收益可以自給自足。 藉由政府資助成立PVA，截至2016年左右已有29 家PVA成立[11]，而其中拜揚專利聯盟(BayPat)內的三間夥伴大學連續兩年被評鑑(Technical University of Munich, Friedrich-Alexander University of Erlangen-Nuremberg , Ludwig-Maximilians-University of Munich )是全歐洲最具創新性的學校[12]，這也代表拜揚專利聯盟的運作機制是有目共睹的，本文以下將提供進一步介紹。 参、拜揚專利聯盟的發展 德國高等教育框架法修正後，德國聯邦政府亦交由各邦制定高等教育法規。拜揚邦政府於2007年修正高等教育法(Bayerisches Hochschulgesetz, BayHSchG)，增加學校運作的自由[13]。拜揚邦於2000年制定創新及知識經濟政策，並策劃新創資助、協助技術移轉、及創業孵化器空間等技轉系列政策；其中即包含拜揚專利聯盟(BayPat)。 拜揚專利聯盟(BayPat)源自拜揚邦政府技轉計畫中的拜揚大專院校專利計畫(Die Bayerische HochschulPatentinitiative)[14]，也是由拜揚邦政府主導拜揚邦內大學進行技術移轉服務的完整機構，即專利利用局(PVA)。整體計畫是由拜揚邦政府與當時德國三大科研機構之一的弗勞恩霍夫爾協會(Fraunhofer-Gesellschaft zur Forderung der angewandten Forschung e.V.)[15]協助邦內大學進行技術移轉，一開始參加學校有8所，之後陸續累積至33所大學及科技大學[16]。 (一)弗勞恩霍夫爾協會輔導時期 拜揚專利聯盟一開始是由弗勞恩霍夫爾協會的慕尼黑技術移轉中心(Die Fraunhofer-Patentstellefür die DeutscheForschung，PST)[17]撥出10名人員擔任拜揚大專院校專利計畫的技術經理，各校內建1~2名校內技轉人員窗口，PST處理弗勞恩霍夫爾協會的技轉案件，累積相當的經驗，所以他們培育拜揚專利聯盟的技轉人員，以強化大學技術移轉人才的職能。以下分別說明聯盟在專利申請以及專利技術商業化流程的運轉機制： (1)專利申請：發明人提出技術揭露，校內技轉人員初步判斷可專利性。隨後校內技轉人員將技術揭露文件提供給拜揚聯盟，經聯盟評估後給予專利佈局策略建議。後續專利申請流程(包含答辯、費用)都是由專利聯盟主導。 (2)專利技術商業化的流程：提出專利申請之後，聯盟開始進行技術行銷推廣以及後續授權合約草擬、談判和最後的收益分潤等事務。 值得一提的是，德國修訂受雇人發明法第42條後，專利所有權歸屬於大學，雖然大學專利申請的所有費用都是由拜揚專利聯盟所負擔，但專利的所有權人還是隸屬於大學。 至於專利商業化所得的收益分配比率，拜揚專利聯盟分得25%，大學分得52.5%，大學教授分得22.5%。拜揚專利聯盟執行長佛茲堡大學校長Axel Haase曾表示，雖然2002年修法後教授僅能保障收益分配，但透過集中資源讓教授最終獲得的利潤比當初教授完全擁有成果時更多[18]。 (二)拜揚專利聯盟公司之成立 因為拜揚專利聯盟內部逐漸累積技術移轉經驗，2007年弗勞恩霍夫爾協會退出營運，由拜揚邦內所有33所大專院校(拜揚大學及應用科技大學)共同創立拜揚專利聯盟公司[19]，而拜揚專利聯盟公司仍沿襲當初弗勞恩霍夫爾協會所建立的專利聯盟制度[20]，仍以技術移轉及商業化為主要任務。 自拜揚專利聯盟在大學成立公司之後，截至2015年，聯盟公司累積2263件技術揭露評估，559件專利申請，連結1800位潛在的被授權人，締結共223份合約，並累積收益達6.7億歐元（約240億台幣）[21]。 肆、結論 綜上所述，德國聯邦政府為強化大學產學合作及技術移轉能商業化，促使產業推動，政府將此議題列入國家重要政策並積極推動，從高等教育框架法鬆綁，受雇人發明法修正以及德國各邦建立PVA等，將原來大學技轉中心的職能藉由PVA而強化，協助邦內大學專利申請、佈局、尋找技轉對象或是以新創公司進行研發成果商業化，這樣一站式的服務，將周邊大學的技術集中整合，提供產業更多方面的技術資訊[22]。 我國目前各大學技轉中心皆獨立處理各大學研發成果商業化作業，可學習德國模式進行區域型技轉聯盟，以聯盟的方式來進行專利佈局以及商業化推廣，以達到規模經濟，並建立明確的商業化推廣模式，確定每項研發成果商業化皆能得到有效率的行銷推廣。 [1] 余曉雯、鍾宜興，＜德國聯邦政府高等教育產學合作政策之探究＞，《教育研究及刊》，第61輯第3期，頁47-79（2015）。 [2] BMBF/BMWi, Knowledge Creates Markets Action Scheme of the German Government (2001) [3] Czarnitzki, Dirk and Doherr, Thorsten and Schliessler, Paula and Toole, Andrew A., Knowledge Creates Markets: The Influence of Entrepreneurial Support and Patent Rights on Academic Entrepreneurship, European Economic Review, 86, 131–146 (2016) [4] 同前註2 [5] 同前註2。 [6] 1999年德國修正《高等學校框架法》(Hochschulrahmengesetz)第58條第1項：「高等學校是公法社團法人，同時也是國家設施，或以其他法律形式設立……」，在修正文中增加了「或以其他法律形式設立」之規定，賦予各邦具有較大的組織法形成自由，得以其他法律形式設置大學，以此開始鬆動了大學之法律地位，且國家開始從大學的具體管制中抽離出來。 [7] ArbEG (Employee Invention Act) 2002, Gesetz zur Änderung des Arbeitnehmererfindungsgesetzes. Berlin: Bundesgesetzblatt - Bundesministerium der Justiz, January 24th 2002. [8] 陳麗娟，＜從德國受雇人發明法第42條論國立大學研究人員研發成果歸屬＞，《科技法律透析》，第20卷第1期，頁48-61（2008） [9] 同前註1。 [10] Weyand, Haase, Der Innovationstransfer an Hochschulen nach Novellierung des Hochschulerfindungsrechts – eine Zwischenbilanz in rechtspolitischer Absicht, GRUR, S.28, 2007 [11] Czarnitzki, Dirk and Doherr, Thorsten and Schliessler, Paula and Toole, Andrew A., Knowledge Creates Markets: The Influence of Entrepreneurial Support and Patent Rights on Academic Entrepreneurship, European Economic Review, 86, 131–146 (2016) [12] 〈THREE BAYPAT PARTNER UNIVERSITIES AMONG THE TOP 12 MOST INNOVATIVEUNIVERSITIES IN EUROPE〉, Bayerische Patentallianz GmbH https://www.baypat.de/newsroom-de/three-baypat-partner-universities-among-the-top-12-most-innovative-universities-in-europe (最後瀏覽日：2018/07/04). [13] 由於德國大學具有公法上的人格權，學校可以在其權利範圍內創設公司，另一方面，拜揚邦政府引入基金董會制度，讓大學在此制度之下，可以增加學校的決策效率。 [14] 〈Presentation of the Bayern Patent Initiative - Promotion of Patenting and Exploitation of Inventionsby Bavarian Universities 〉, World Intellectual Property Organization，http://www.wipo.int/edocs/mdocs/innovation/en/wipo_inv_mty_02/wipo_inv_mty_02_10.pdf（最後瀏覽日：2018/06/11） [15] 〈60 years of fraunhofer-Gesellschaft〉, FRAUNHOFER GESELLSCHAFThttps://www.germaninnovation.org/shared/content/documents/60YearsofFraunhoferGesellschaft.pdf (最後瀏覽日：2018/06/10). [16] 〈Volljurist (m/w) Vertragsrecht / gewerblicher Rechtsschutz〉, Bayerische Patentallianz GmbHhttps://www.baypat.de/newsroom-de/volljurist-m-w-vertragsrecht-gewerblicher-rechtsschutz-in-teilzeit-bis-20-stunden-woche (最後瀏覽日：2018/07/04). [17] 佛勞恩霍夫研究院技轉中心(Fraunhofer-Patentstelle)，資訊工業策進會科技法律研究所，https://stli.iii.org.tw/article-detail.aspx?no=67&tp=4&i=65&d=194 (最後瀏覽日：2018/06/10). [18] Axel Haase, 30 Prozent besser als 100, ERFINDUNGEN AN HOCHSCHULEN, 7(8), 461 (2008). [19] 同前註16 [20] 值得注意的是，雖然統稱為拜揚專利聯盟(BayPat)，拜揚專利聯盟在此階段時仍就以政府計畫的形式存在，由各校技轉人員分別與德國發明專利辦公室內歸屬該計畫的人員合作，未有正式的法人格基礎 [21] 同前註14 [22] 跨領域科技管理研習班(MMOT)，＜大學研發成果歸屬對產學合作之影響-以德國制度為觀察對象＞，跨領域科技管理與智財運用國際人才培訓計畫-103年海外培訓成果發表會，頁 1-63( 103 )