中國駭客入侵德國政府電腦
中國總理溫家寶對於最近發生疑似中國駭客入侵德國政府機關電腦事件表示關心，並於2007年8月27日宣布–中國將與德國共同合作解決此一問題。
本起事件起因於德國總理Angela Merkel宣稱中國駭客企圖利用間碟軟體影響德國政府的電腦運作。其特別強調中國在快速工業化的過程中，與其他國家的關係正在不斷增強，不應放任駭客恣意入侵他國電腦，以免損害中、德長期的友好關係。
德國政府資料安全暨保護部的資安專家在今年五月份早已發現電腦駭客曾企圖利用間碟軟體經由網際網路入侵德國政府部門的電腦，且有若干政府部門被植入特洛伊木馬程式，其中包括外交部、經濟部、研究發展部等。他們曾監測到有一個約160G-bye的電腦檔案正從德國政府部門的電腦傳送到中國，幸好及時阻止資料傳送而得以避免損害發生。倘若當時中國駭客成功竊取德國政府的電腦資料，後果恐怕難以預料。
對於此一事件，德國的內政部發言人始終不願予以證實或作任何評論。僅強調德國政府將會持續增強所有政府部門的電腦防駭能力，保證能夠確實防止駭客的攻擊和入侵。
為對付駭客行為，德國在2007年8月7日公布「反駭客法」，即使駭客僅有侵入他人電腦系統的行為而未有竊取資料或造成損害，仍須面臨十年的刑則。另外，任何故意設計、散佈或購買非法駭客工具程式的行為亦同。
在現今資訊流通快速蓬勃發展的時代，巨量資料(Big Data)帶來效率與生產力等龐大效益已無庸置疑。相較於將資料以「資料倉儲」(Data Warehouse)模式儲存，「資料湖泊」(Data Lake)被廣泛視為巨量資料快速演進的下一步。 美國的醫療保健領域為因應巨量資料發展並提升醫療保健系統的透明度與有責性，美國醫療保險與補助中心(Centers for Medicare & Medicaid Services, CMS)於2013年底建立CMS虛擬研究資料中心(Virtual Research Data Center, VRDC)，讓研究員能夠以安全有效率的方式取得並分析CMS的龐大醫療保健資料。此種資料倉儲模式會對進入的資料預先分類，並整合為特定形式以指導後續分析的方式。缺點在於為讓資料更易於分享，會進行「資料清理」(data cleaning)以檢測及刪除不正確資訊並將其轉換成機器可讀取格式，各資料版本會被強制整合為特別形式，但資料清理和轉換的過程會導致明顯的數據流失，對研究產生不利的限制。有鑑於此，為更有效益的應用巨量資料，Pentaho首席技術官James Dixon提出新的資料儲存理論—資料湖泊(Data Lake)，此概念於2011年7月21日首先被討論於美國《富士比》雜誌中，目前在英美國家公部門和民間企業間已被熱烈討論。 與Data Warehouse最大不同在於Data Lake可包含「未被清理的資料」(unclean data)，保持其最原始的形式。故使用者可取得最原始模式的資料，減少資源上處理數據的必要，讓來自全國各政府機關的資料來源更易於結合。Data Lake主要有四點特性：1.以低成本保存巨量資料(Size and low cost)2.維持資料高度真實性(Fidelity)3.資料易取得(Ease of accessibility)4.資料分析富彈性(Flexible)。儲存超過百萬筆病患資料的加州大學歐文分校醫療中心(UC Irvine Medical Center)即以Hadoop架構為技術建立了一個Data Lake，該中心能以最原始的形式儲存各種不同的紀錄數據直到日後需要被分析之時，可協助維持資料的來源與真實性，並得以不同形式的醫療數據進行分析項目，例如患者再住院可能性的預測分析。 但相對的Data Lake在安全性和檢視權限上也有一定的風險，尤其是醫療保健領域，因為這意味著病患的資料在個資生命週期裡隨時可被取得，因此資訊的取得應被嚴密控制以維持各層級的安全與保障，在建立安全的Data Lake之前，必須審慎考慮誰有資訊檢視權限以及透過什麼媒介取得Data Lake中的資料等問題。
德國營業秘密保護法之鑑古推今德國營業秘密保護法之鑑古推今 資訊工業策進會科技法律研究所 李莉娟 副法律研究員 2019年12月24日 儘管國際間已有TRIPS協議[1]（Agreement on Trade Related Aspects of Intellectual Property Rights），但歐盟各成員國就營業秘密保護立法仍存在重大差異，如各成員國內國法對於營業秘密定義或非法獲取、使用或揭露營業秘密之行為定義、對營業秘密被害人之民事上補救措施等規範不一致，甚至部分成員國並無營業秘密的保護專法。 事實上早在2013年時，歐盟執委會即已針對歐盟內部市場營業秘密保護現況進行相關實證研究，研究結果顯現歐盟零散的營業秘密保護制度可認定是削弱歐洲工業發展的癥結點[2]。為彌補這些差異並在不侵害言論及資訊使用自由前提下，歐盟於2016年6月8日通過關於保護營業秘密的指令EU 2016/943，主要立法方向為[3]： 一、明文化歐盟成員國間一致的營業秘密定義與營業秘密侵害方式 二、在刑事制裁外，增訂了被害人可尋求的民事保護手段： （一）停止非法使用以及進一步揭露非法侵占之營業秘密的行為 （二）將非法取得營業秘密所製成的產品自市場中下架 （三）因他人非法使用或揭露營業秘密之損害的賠償請求權 壹、立法背景及法規重點 依據前述指令，歐盟成員國必須於2018年6月9日之前完成國內立法任務。身為歐盟最大經濟體、但原先並無營業秘密保護法的德國，經過了近兩年的討論後，於2018年4月提出「營業秘密保護法(Gesetz zum Schutz von Geschäftsgeheimnissen，GeschGehG)」草案，並於 2019年4月26日登於聯邦公報正式生效，同年月刪除不正競爭防止法(Gesetz gegen den unlauteren Wettbewerb, UWG)中營業秘密保護相關條文。 本次德國新營業秘密保護法於法規中明文營業秘密定義、提供被害人多種民事保護機制，以及營業秘密不當獲取手段排除以逆向工程、獨立衍生或相關其他合法方法取得等立法方式，同於美國保護營業秘密法(Defend Trade Secrets Act，DTSA)之立法框架與精神，而新法的出現不僅在營業秘密保護制度上達到法安定性之目的，對權利人而言亦有不少權利保障上、訴訟程序上之益處，以下本文將逐一探討。 貳、修法前德國營業秘密保護制度介紹 修法前的德國對營業秘密並無統一定義，多以聯邦憲法法院之判決[4]唯是，所謂營業秘密定義指： 一、為特定企業所有 二、僅為少數人所知 三、基於經濟利益而必須受到保密 四、維持保密對企業而言具有明顯的合法利益 在修法前，營業秘密的保護以不正競爭防止法第17條至第19條為依據。其立法目的在於保護競爭者、消費者及其他市場參與者免於受不正當交易行為影響、保護公眾在未經扭曲之競爭上的利益。並以刑罰作為規制手段，存有未遂犯、預備犯之明文，且當於境外遭營業秘密侵害時，可準用德國刑法第5條第7款[5]，得依該法處理。再者，雖為告訴乃論之罪，但基於法規保護客體涉及重要公共利益特性，司法機關可依職權介入處理。 不正競爭防止法所保護的客體為「交易行為」及「營業秘密」。前者之定義指有利自己或其他事業於交易締結前、締結時與締結後的一切行為，與促進銷售、或促進商品或服務之購買、或與商品或服務契約之進行客觀上具有關連；後者之定義則並無於不正競爭防止法中具體明文而是依據聯邦法院就個案認定，並且採取推定方式認定。 就營業秘密保護主要適用對象為：任職於事業者、就交易行為中受託保管、使用原型（特別為草稿、模型、模板、剖面以及配方）或技術性資料者。所謂任職於事業者指公司雇員；而就交易行為受託被交付原型或技術性規定者，所指為事業單位所委託之製造業者、設計業者等人。 不正競爭防止法規範的不法行為如，未經允許而將營業秘密告知他人；將營業秘密以技術工具、以有體化方式重現後加以製作，或以取走含營業秘密的實體物方式未經允許取得或備份營業秘密；就受託保管、使用之原型或技術性資料未經允許利用或告知他人；以及教唆或期約方式進行前述三類不法行為[6]。 但如屬特別保護客體、法益、特定職業人員或特定不法行為時，另適用不同法規，如： 一、民法第242條，關於員工基於普通善意履行原則，需對雇主之營業秘密負起保密義務[7] 二、刑法第203條，針對專門職業人員、公職人員獲知資訊後無故洩漏資訊，而妨害私人之秘密或業務秘密或經營秘密罪[8] 三、刑法第355條，關於公務員於行政程序、查核程序、稅法訴訟程序、稅法犯罪刑事訴訟程序、稅務罰鍰程序，其他相關金融局通知程序中，獲知資訊後無權公開或利用之違反稅務保密罪[9] 四、財政法第30條第2項，公職人員在執行稅收業務時，基於職務上取得資訊而非法披露、或使用之妨害營業秘密罪[10] 因此，德國於營業秘密保護法施行前針對營業秘密的保護並無統一專法規範。 參、德國營業秘密保護法重點介紹 德國營業秘密保護法(以下稱新法)的誕生除了履行歐盟成員國的立法義務，更重要的是保護營業秘密，防止未經授權的獲取、使用與揭露，並且將原先已受到保護的「營業秘密」以專法提高保護力及法安定性[11]。尤其是關於營業秘密之定義[12]，必須符合以下要件： 一、一般處理該等資訊者，既無法輕易了解也不會獲知資訊整體、確切組成與排序內容 二、資訊具有經濟價值 三、資訊所有權人有採取合理保密措施 四、對該資訊合理保密具有正當合法利益 適用對象包含雇員、代理人、管理人、其他侵權行為人（自然人及法人）[13]；行為類型包含無法律授權取得、使用、揭露，或違反保密義務，及違反營業秘密使用限制義務之行為[14]。而營業秘密使用限制義務屬於誠實商業慣例[15]，新法特此將該行為明文規制，屬於具重要性的新法特色。不過，若是以獨家技術發現、製造營業秘密，以公開取得的方法觀察、拆解、測試產品或物品以得知營業秘密，或以前述方法由未受營業秘密權限限制之觀察、測試、調查人員得知營業秘密；行使員工合法的參與權限與資訊權限；法律上或合法交易允許獲取、使用或披露營業秘密時，以上為新法所允許的情況[16]。 再者，亦規範營業秘密所有權人可對侵權人提起民事求償[17]，並且提供多種求償、補救以及賠償機制，如：訴訟前禁制令(如，禁止侵權人繼續製造產品)、合乎比例原則下請求實際損害賠償或請求被害人之預期利益、要求銷毀本案相關營業秘密並交由法院人員處理[18]。 再者，新法規定於訴訟程序證據保密令，只要與本案相關的部分或全部營業秘密，於訴訟程序開始時到訴訟結束前當事人可向法院提出保密令的要求；在法院同意後，則僅在該案相關文件中營業秘密無法被識別的情況下，才可向第三人提供該案相關營業秘密文件[19]。而當事人的保密義務將持續到訴訟程序終結後[20]，但如案件資料秘密性遭法院推翻或被公眾周知時，則不在此限[21]。如於司法程序中違反保密義務者，得處以最高10萬歐元罰鍰，或6個月以下拘留，並立即執行[22]。 肆、代結論—新法評析 今（2019）年4月下旬甫施行的德國營業秘密保護法，對企業而言無不感到衝擊，特別是以往企業多無盤點營業秘密並予以保密措施的習慣，在新法通過後不可避免的第一步必須先盤點內部可能的營業秘密，並施以適當保護措施以符合新法規定，保護自身利益；但新法對於營業秘密權利人而言無須再就被侵害之權利是否符合營業秘密定義舉證證明、可於訴訟程序開始前聲請禁制令預防侵權風險擴大、訴訟程序開始時即可聲請證據保密令且效力可持續到訴訟程序結束後、損害賠償額可納入比例原則衡量等正面效益。但新法也明文了數種非屬侵害營業秘密之例外情狀，故企業在新法施行後，將更需要在保密措施、與內外部利害關係人之間的商業相關合約、協議多加琢磨。 另外，尚有以下三點值得關注： 一、營業秘密保護法應用於舊案之情形 由於新法中無過渡條款，導致舊案之處理在新法施行後無所適從，特別是關於營業秘密所有權人可出於避免權利再次受害或遭侵權的風險向法院聲請禁制令使侵權者不得繼續生產或製造產品等要求[23]，該規範於不正競爭防止法(以下稱舊法)第8條同有明文，但新法多了比例原則的折衷考量。 舊法之不法行為，在證明符合新法第3條規定允許之情況下，可援引並作為免除禁制令的依據。在實務上，禁制令的決定取決侵權事實帶來的風險以及第一審法院最後一次言詞辯論後之評估，即使是針對舊法行為提出的禁制令或不作為令，仍有新法第二章損害賠償合理性及比例原則考量的適用，此點對企業於訴訟程序上有一定實益，避免被索求過多金錢賠償超乎原先侵權範圍，且新法已明文出法官在權衡之際可納入考量之要件[24]，同樣可降低企業在訴訟攻防上的不確定風險。 二、允許逆向工程明文化 新法第3條明文允許以「逆向工程[25]」方式獲取營業秘密。以往舊法並未規範，我國營業秘密法實務應用上雖允許逆向工程，但法規上亦無類似明文。 因此企業必須注意，應透過契約、調整保密政策或以更精進的保密技術來防止該類法所「允許」之情形發生，並調整其保護策略以求在保護秘密以及取得智財權間取得平衡[26]，此點亦非常值得我國企業特別關注。 三、英美法系懲罰性或懲戒性賠償金制度引進之可能 懲罰性或懲戒性賠償金制度為英美法系民事損害賠償制度底下的賠償措施之一，與歐陸法民事損害賠償法理，屬「損害填補性賠償」性質之「有損害，始有賠償」原則不同[27]。 但近年來德國學界採取開放態度認為在例外情況下可承認適用懲罰性賠償金，例如：尊重懲罰性賠償金之市場機能、對被告程序保障足夠、懲罰性賠償金數額納入比例原則之考量，且德國聯邦最高法院對此制度亦持友善立場，認為符合特定情況下懲罰性賠償金適用是合法的，以預留未來制度借鏡之可能[28]。 因此可肯定者為，依據德國民事損害賠償法理及實務見解，賠償數額必須符合比例原則之要求，而目前德國營業秘密保護法雖不同於我國並未納入懲罰性或懲戒性賠償金，但未來是否將引進制度或適用於判決中，亦值得關注[29]。 [1]TRIPS屬於與貿易有關之智慧財產權協定，但對各成員並無強制力，成員國可在內國法律制度中以適當方式實踐該協定規定之方法。 [2]Protection of trade secrets and know-how in the European Union: the EU Trade Secrets Directive (EU) 2016/943,ip-iurisdictio, Aug,20,2019, https://ip-iurisdictio.org/protection-of-trade-secrets-and-know-how-in-the-european-union-the-eu-trade-secrets-directive-eu-2019-943/#_ftn4(last visited Nov. 4,2019) [3]Council Directive 2016/943, Whereas (6),2016( L 157/1). [4]BVerfG vom14.3.2006, BvR 2087/03. [5]§5 Abs.7 StGB. [6]林易典教授譯，德國不正競爭防止法(Gesetz gegen den unlauteren Wettbewerb, UWG) 2017年新法，2017年8月 [7]§242 BGB. [8]§203 StGB. [9]§355 StGB. [10]§30 Abs.2 AO. [11]§1 GeschGehG. [12]§2 GeschGehG. [13]§2 GeschGehG. [14]§4 GeschGehG. [15]Friedrich Scheele, Germany’s New Trade Secret Laws,https://www.ratnerprestia.com/2018/06/21/germanys-new-trade-secret-laws/ (last visisted Sep.24,2019)，所謂誠實商業慣例常指契約約定、市場交易慣例，如誠實信用原則。 [16]§3 GeschGehG.但在此並非「例外」情形，「例外」情形規範於第5條中，專指為了保護合法利益而獲知、使用或披露營業秘密時，即排除第4條所禁止之情形。 [17]Abschnitt 2 GeschGehG. [18]Bird&Bird Trade Secret Directive Tracker，https://www.twobirds.com/en/in-focus/trade-secrets/trade-secrets-directive-tracker/germany (last visisted Dec.23,2019) [19]§16 GeschGehG. [20]我國營業秘密保密令之申請時間，依照智財案件審理法第11條第一項規範：「當事人或第三人就其持有之營業秘密，經釋明符合下列情形者，法院得依該當事人或第三人之聲請，對他造當事人、代理人、輔佐人或其他訴訟關係人發秘密保持命令：一、當事人書狀之內容，記載當事人或第三人之營業秘密，或已調查或應調查之證據，涉及當事人或第三人之營業秘密。二、為避免因前款之營業秘密經開示，或供該訴訟進行以外之目的使用，有妨害該當事人或第三人基於該營業秘密之事業活動之虞，致有限制其開示或使用之必要。…」於訴訟審理階段可向法官聲請，且依照條文內容應指已提出書狀後，但如在書狀提出前即有保密之急迫性應亦可提出，似於法無違。而保密令失效規範於第14條，情形如喪失第11條第一項申請要件時、保密令聲請原因嗣後已消滅，或他造當事人、代理人、輔佐人或其他訴訟關係人，在聲請保密令前已以第11條第一項第一款規定之書狀閱覽或證據調查以外方法，取得或持有該營業秘密時。 [21]§18 GeschGehG. [22]§17 GeschGehG. 對應我國智財案件審理法第35條秘密保持令罰則，我國違反秘密保持令者處三年以下有期徒刑、拘役或科或併科新臺幣十萬元以下罰金；並採告訴乃論之方式起訴。 [23]Daniel Hoppe&Preu Bohlig&Dr. Axel Oldekop,&Preu Bohlig, Behandlung von Unterlassungsansprüchen für Altfälle nach dem Gesetz zum Schutz von Geschäftsgeheimnissen (GeschGehG), GRUR-Prax,324(2019) [24]§9 GeschGehG，如營業秘密之價值、權利人採取之保密程度、侵權人揭露或使用或獲知營業秘密行為嚴重程度，或其他公共利益之考量。 [25]對他人產品或服務進行解構以獲知其設計方法等重要資訊，或直接從產品、服務中擷取資訊。 [26]Dr. Henrik Holzapfel，New german law on the protection of trade secrets, https://www.mwe.com/insights/new-german-law-protection-trade-secrets/ (last visisted Sep.25,2019). [27]陳聰富，美國法上之懲性賠償金制度，臺大法學論叢第31 卷第5 期，164 頁(2002)。 [28]陳聰富、陳忠五、沈冠伶、許士宦，《美國懲罰性賠償金判決之承認與執行》，新學林文化事業有限公司，頁195-197(2004)。 [29]Friedrich Scheele, Germany’s New Trade Secret Laws,https://www.ratnerprestia.com/2018/06/21/germanys-new-trade-secret-laws/ (last visisted Sep.24,2019)
醫療與健康資料創新應用法制研析醫療與健康資料創新應用法制研析 資訊工業策進會科技法律研究所 2022年06月25日 壹、事件摘要 配合未來智慧醫療與精準健康之發展，民眾的健康、醫療資料將成為相關創新技術之基礎，且需整合許多異質資料庫（包括：生物資料、病歷、環境資料、基因資料等）作為相關研究與診斷基礎。然而，在創新實驗階段，個人資料保護向來是最核心之議題，如何在「創新技術」與「資料保護」間需取得衡平，於保護民眾個資權利的同時，又能滿足規範緩解或彈性化之明顯需求，便成為亟待解決的問題。 近年來，我國積極透過「法規沙盒」（Regulatory Sandbox）制度，來創造一個兼顧技術創新與有效監理的機制，例如《金融科技發展與創新實驗條例》與《無人載具科技創新實驗條例》皆是設立法規沙盒制度，在確保法律監管的前提下，依個案情形適度地鬆綁法規，為業者打造出恰當的實驗空間，以鼓勵創新發展。然而，我國於金融與交通領域訂立沙盒制度之時，關於個資法是否能被豁免，一度成為討論重點，最後二條例皆明文規定實驗進行以遵守個資法為原則，因此法規沙盒制度宜否用以緩解醫療與健康資料相關法律限制，仍堪研探；此外，醫療法規沙盒所涉及的醫療或健康資料主要落入敏感性資料之範疇，在個資法監管密度更高的情形下，更加限制了智慧醫療與精準健康產品或服務之發展，則如何突破此等醫療領域創新困境，即屬我國未來應密切關注之焦點。 職是之故，本文將研探國際上涉及醫療健康資料之機制，以作為我國法規沙盒等制度措施抑或設計其他方式運作之借鏡，讓創新者能獲有個資法等法規之規範彈性空間以進行創新活動。 貳、重點說明 以下對於英國、日本及新加坡等國制度，觀測分析其如何緩解資料法規而創造出彈性化空間，使創新者有機會藉此活用醫療健康資料，進行醫療領域之創新發展。 一、英國 （一）ICO法規沙盒 英國資訊專員辦公室（Information Commissioner's Office, ICO）於2019年推出法規沙盒計畫，希望可向利用個人資料開發具有明顯公共利益的創新產品和服務的組織，提供必要的試驗空間。在進入沙盒之前，ICO將會要求申請者簽署相關條款，並有專屬ICO沙盒成員與之聯繫，安排會議協助制訂沙盒計畫，同時也會要求申請者進行資料保護自我評估清單，以利沙盒計畫之制定[1]。 此沙盒的特色之一，在於不會完全排除資料保護規範之適用，而是著重於如何協助業者遵法，參與者能透過此計畫借助ICO在資料保護方面的專業知識和建議，從而在測試創新服務時減輕風險，並確保適當的個資保護措施臻於完備[2]。此外，參與者也將會收到一份暫緩執法聲明（statement of comfort from enforcement），亦即在參與沙盒期間，若產品或服務因疏忽而有違反資料保護相關法規之情形，只要違規行為未超出原先進入沙盒所預想的情況，便不會立即導致ICO的監管行動，暫緩程度則取決於創新團隊與ICO保持協作與對話之狀況[3]。 截至2021年2月，其尚有9個測試案例正在進行中，而與健康、醫療資料有關者為CDD服務有限公司（CDD Services）及諾華製藥的語音解決方案（Novartis Voice Enabled Solutions project）[4]。 （二）動態同意機制 「動態同意」（Dynamic Consent）是指一種基於網路與資通訊技術的即時同意程序，透過利用資通訊技術建立的動態同意網路平台，研究者得即時通知資料當事人其研究進度、研究目的變更等事項，資料當事人則得隨時修改同意範圍或撤銷同意[5]。 動態同意機制的優點，對研究者而言，在於節省許多徵詢同意所需之成本，也能清楚瞭解資料庫中的資料附加了哪種類型的同意或是資料當事人要求徵詢同意的密度[6]，並且可以更加容易地整合其他多媒體技術（例如播放影片、照片與錄音）進行研究內容與風險之說明。而對於資料當事人而言，動態同意則可解決同意成本過高而不得不實施過於寬泛的概括同意之情形，從而更加保障資料主體之資料自主權[7]。 在英國，動態同意之原型係於2008年左右ENCoRe計畫提出；國際間較為有名的計畫皆實施於英國，例如曼徹斯特大學inBank團隊開發的蒐集與處理電子健康紀錄系統、牛津大學主導的參與式Rudy研究等[8]。 二、日本 日本於2018年實施「專案型沙盒」制度，建立特定不受現有法規限制之情境，使業者得於限定期間及場域內，以「新興技術」進行實證[9]。所謂「新興技術」，係指在創新事業活動中所使用具有顯著新穎性之技術或方法，且該技術或手法可創造出高附加價值者[10]，而「具顯著新穎性」者，則指相較於該領域的常用技術和方法，更有新穎性且得以衍生實用化和事業化討論的技術與方法，例如AI、IoT、巨量資料、區塊鏈等[11]。 專案型沙盒中，有3件與醫療相關的案例，其中涉及個資法規範的是「以生物辨識技術了解本人意思（Digital Living Will）」一案。本案情境為考量到獨居老人數量增加，其因急救被送往醫療機關時，尚需時間確認其身分，甚至須向家屬說明治療方式且獲同意後，始得開始檢查和治療，而常有遲延急救時間之情事，故醫院及醫療業者共同申請一項專案型沙盒實證計畫，藉由「預立同意」之方式保存個人手術及檢查等意願，待患者發生急救情形時，將依指紋、手指靜脈、人臉等生物辨識技術準確且迅速地確認身分，向醫院提供患者的個人意願資料。本計畫採取的新技術，涉及日本個資法第18條、第19條及第23條規定，申請者表示將依法辦理之，例如告知參加者「獲取生物辨識資料之利用目的」、經參加者同意後始向第三方提供生物辨識資料等，並由厚生勞動省和個人情報保護委員會等主管機關進行監督[12]。 三、新加坡 新加坡於2012年10月通過《個人資料保護法》（Personal Data Protection Act 2012, PDPA）[13]，同時依法設置個資保護委員會（Personal Data Protection Commission, PDPC）。該法旨在規範「非公務機關」之個人或組織對於個人資料的蒐集、利用及揭露（例如與第三方共享）等相關行為。該法第62條設計了豁免權（Exemption），個人或組織可於備妥申請文件後，向個資保護委員會預先申請尋求《個人資料保護法》任何條文之豁免；經審查批准後，個資保護委員會可以透過命令（order），在特定的規則或情況下，豁免任何個人或組織遵守本法的全部或部分規定[14]。 再者，新加坡提出「資料協作計畫」，以促進組織、政府、個人三方間資料無障礙流通，創造更多合作機會進行創新應用。該計畫可分作兩部分，首先建立「可信賴資料共享框架」（Trusted Data Sharing Framework），為企業對企業的資料交換方法步驟提供指南；其次提出「資料共享安排」（Data Sharing Arrangements）的資料法規沙盒計畫[15]，排除企業以創新模式近用個人資料時發生的阻礙，「資料共享安排」係依據上述個人資料保護法第62條所賦予的豁免權，讓個人或組織可在個人資料保護委員會訂定的規則下，依照個案給予組織免除個資法部分規範（例如：不須取得當事人同意、免除跨境傳輸之限制）。故總體而言，「資料協作計畫」下的「可信賴資料共享框架」與「資料共享安排」，將由政府擔任監管角色，申請者只要符合指南建議方向，例如遵循法律、達到一定資料技術應用品質、實施資安與個資保護措施等，便可進行個人與商業資料之共享。 以「中風患者於資料共享安排（資料法規沙盒計畫）之運作」為例，醫院、志願福利組織（Voluntary Welfare Organization, VWO）[16]與行政機關之資料共享計畫，彼此之間分享病患個人資料，毋須再經患者之同意，由資料中介機構進行資料分析，以改善服務並確保有效媒合老年中風患者之援助。經分析後，志願福利組織可主動與醫院患者接觸以利其提供收入援助或社會支持，行政機關則可利用相關資訊改善政策[17]。 參、事件評析 隨著新興科技崛起，資料驅動之技術創新需求於近年大幅顯現，若個資法規範始終缺乏彈性，又無相關機制確保創新空間，我國社會經濟發展將嚴重受影響。對此，面對「創新技術」與「資料保護」間如何取得衡平的難題，各國政府透過不同規範及政策手段，給予個資法規範一定彈性，以促進國內創新與轉型的腳步，可見個資法既定規範並非絕對，重點仍在於如何做好個資保護評估及風險管控，使資料主體於創新實驗下仍可受到隱私保護。 綜觀上開國家的資料法規彈性化措施，主要以兩大方式進行，其一為「針對法規提出整體鬆綁或彈性化機制」（法規面），例如英國ICO法規沙盒、日本專案型沙盒、新加坡資料共享安排機制皆屬之，雖各國立法模式或依據有所不同，但主要仍是利用法規沙盒或性質相近之措施，於運作上賦予個資法規一定彈性。其二則為「利用技術解消資料利用障礙」（技術面），例如動態同意機制，透過科技來擴大個資法規的適法及遵法態樣。 據此，我國在研議「醫療領域宜否應用法規沙盒等制度，緩解個資法等相關法規現行規範」時，或可先肯認個資法確有（有條件地）豁免適用之餘地，且得以法規沙盒作為個資法限制之彈性機制。其次，在立法模式的選擇上，由於我國已著手立法《智慧醫療創新實驗條例》（草案）[18]或考量規劃泛用型法規沙盒，未來或可於「醫療法規沙盒」或「泛用型法規沙盒」立法過程中，研議是否豁免創新實驗有關個資法令之適用。再者，針對個資法豁免條件，有鑑於沙盒實驗期間不能忽視個人利益之隱私保障措施，故應有一套完善機制協助法規沙盒之監管，相關豁免事項及條件設計，也須考量創新、公共利益與資料當事人權利侵害之比例原則。最後，在實作方面，機關亦可協助與輔導業者引進動態同意等措施及其新技術，以利業者遵法。 [1] ICO, What will happen if our application to the Sandbox is successful?, https://ico.org.uk/for-organisations/the-guide-to-the-sandbox/what-will-happen-if-our-application-to-the-sandbox-is-successful/ (last visited Feb. 6, 2021). [2] ICO selects first participants for data protection Sandbox, https://www.computerweekly.com/news/252467504/ICO-selects-first-innovation-Sandbox-participants (last visited Feb. 6, 2021) [3] ICO, What will happen if our application to the Sandbox is successful?, https://ico.org.uk/for-organisations/the-guide-to-the-sandbox/what-will-happen-if-our-application-to-the-sandbox-is-successful/ (last visited Feb. 6, 2021). [4] ICO, Current Projects, https://ico.org.uk/for-organisations/regulatory-sandbox/current-projects (last visited Feb. 6, 2021). [5] Jane Kaye, Edgar A Whitley, David Lund, Michael Morrison, Harriet Teare & Karen Melham, Dynamic consent: a patient interface for twenty-first century research networks, European Journal of Human Genetics, 23, 141–146 (2015) [6] 動態同意平台上的研究者介面，可能顯示資料當事人對於哪種類型的研究給予何種同意（例如對於心臟病研究給予概括同意；對於癌症研究給予特定同意），允許概括同意的時候也可以註記同意期限，或設定其他限制。 [7] Rasmus Bjerregaard Mikkelsen, Mickey Gjerris, Gunhild Waldemar & Peter Sandøe, Broad consent for biobanks is best - provided it is also deep, BMC Med Ethics, 20(1),71 (2019) [8] 義大利、美國、日本與澳洲等國目前皆有實施動態同意之機制，但都是以特定疾病或研究主題為主，尚未有全國通用的動態同意系統。義大利有名為「CHRIS」的慢性病研究動態同意平台；美國有非營利組織架設名為「PEER」的基因研究動態同意平台；日本有名為「Rudy Japan」的動態同意平台；澳洲有名為「CTRL」的動態同意平台。 [9] 生産性向上特別措置法第2條第2項。 [10] 同前註。 [11] 新技術等実証の総合的かつ効果的な推進を図るための基本的な方針，頁1（2018），https://www.kantei.go.jp/jp/singi/keizaisaisei/pdf/underlyinglaw/basicpolicy.pdf（最後瀏覽日：2021/2/10）。 [12] 〈生体認証を用いた本人意思に基づく救急医療の実証〉，首相官邸，https://www.kantei.go.jp/jp/singi/keizaisaisei/project/gaiyou7.pdf （最後瀏覽日：2021/2/19）。 [13] Personal Data Protection Act 2012, No. 26 of 2012. [14] Personal Data Protection Act 2012, Section 62. [15] Data Collaboratives Programme, https://www.imda.gov.sg/programme-listing/data-collaborative-programme (last revised Jun. 8, 2021) [16] 獨立於政府與市場運作之外的團體或組織。 [17] PDPC, Guide to Data Sharing (2018), https://www.pdpc.gov.sg/-/media/Files/PDPC/PDF-Files/Other-Guides/Guide-to-Data-Sharing-revised-26-Feb-2018.pdf (last revised Jun. 8, 2021). [18] 鄭鴻達，〈政院BTC閉幕 吳政忠：推智慧醫療沙盒、生醫條例修法〉，聯合新聞網，2021/09/01，https://udn.com/news/story/7238/5715580（最後瀏覽日：2022/06/13）。
美國聯邦貿易委員會插手企業資訊安全引起爭議美國聯邦貿易委員會(Federal Trade Commission, FTC)於2013年8月29日對位於亞特蘭大的一家小型醫療測試實驗室LabMD提出行政控訴，指控LabMD怠於以合理的保護措施保障消費者的資訊（包括醫療資訊）安全。FTC因此依據聯邦貿易委員會法(Federal Trade Commission Act, FTC Act)第5條展開調查，並要求LabMD需強化其資安防護機制（In the Matter of LabMD, Inc., a corporation, Docket No. 9357）。 根據FTC網站揭示的資訊，LabMD因為使用了點對點（Peer to Peer）資料分享軟體，讓客戶的資料暴露於資訊安全風險中；有將近10,000名客戶的醫療及其他敏感性資料因此被外洩，至少500名消費者被身份盜用。 不過，LabMD反指控FTC，認為國會並沒有授權FTC處理個人資料保護或一般企業資訊安全標準之議題，FTC的調查屬濫權，無理由擴張了聯邦貿易委員會法第5條的授權。 本案的癥結聚焦於，FTC利用了對聯邦貿易委員會法第5條「不公平或欺騙之商業行為(unfair or deceptive acts)」的文字解釋，涉嫌將其組織定位從反托拉斯法「執法者」的角色轉換到（正當商業行為）「法規與標準制訂者」的角色，逸脫了法律與判例的約束。由於FTC過去曾對許多大型科技公司（如google）提出類似的控訴，許多公司都在關注本案後續的發展。