日本用老鼠複製人類腎臟
日本慈惠醫科大學研究人員用人類幹細胞，植入實驗鼠胚胎中，培育出具有人基因的複製腎，能過濾尿液。
研究人員先把生成腎臟的神經營養因子基因植入骨髓含有的幹細胞，然後在實驗鼠胚胎未生成腎臟前，將幹細胞注入胚胎中可生成腎臟的部位。隨後，研究人員摘出胚胎中相當於腎臟的部分。經過六天的培養，這部分組織長出了讓腎臟發揮功能的腎單位及其周圍的腎間質。基因檢查結果確認該腎臟是由人的骨髓幹細胞生成。研究人員再將這一"複製腎"移植到其他實驗鼠的腹部，約二周時間後，"複製腎"生長到一百五十毫克。
利用骨髓幹細胞進行再生醫療，生成皮膚和軟骨等已經進入實用階段，但利用動物再生人類器官還沒有先例。參加研究的橫尾隆認為，從理論上說，用這種方法生成的器官不會發生排異反應。除腎臟外，這種方法還可用來生成胰腺和肝臟。
本文為「經濟部產業技術司科技專案成果」
陳怡玫
副主任兼規章法制組組長 編譯整理
日本文化廳文化審議會著作權分科會於2018年2月13日，出具分科會報告書，內容說明著作權法修正之方向。書中提及「重新檢視並修正違法下載之態樣」一點，擬將違法下載之態樣及動作，由「影音」擴及到所有靜態圖文（如漫畫、照片、小說、雜誌及論文等），「下載」擴及「截圖」（スクショ，screenshot）。 此次修法，起因於近來日本大量出現線上盜版漫畫網站，推估其半年所造成之損失可達4000億日幣以上。該報告書公布後，隨即湧現大量反對之聲浪。反對者認為修法之弊大於利，日本漫畫學會對此發表反對聲明，會長竹宮惠子對於修法表示憂心，認為修法將導致以下問題： 阻礙創作研究（如二次創作）； 創作萎縮（日常下載及剪輯將被禁止）； 難以判斷網路靜態圖文是否為違法上傳； 即使「下載」違法化，仍然無法根除線上盜版漫畫流通平台。 報告書中亦提及，在個人部落格及需加入會員之社群網（SNS）上傳或下載未經著作權人同意而公開之著作，亦屬違法。倘若為全書掃描上傳等惡性重大之行為，應科以刑責。 針對上述疑慮，報告書中的確未排除修法後將造成著作物在網路上利用萎縮之可能，然仍強調應透過官民間之合作努力，傳達正確之修法内容。並由出版社端導入「ABJ Mark」，推動正版漫畫流通平台，透過科技推動盜版網頁近用警示制度，使大眾知悉其行為即將侵害著作權等。由於法令修正之内容，影響人民日常生活甚鉅，後續修法將在各團體間如何折衝，上述措施能否普及或啟發人民觀念，值得後續持續關注。
手機軟體（APP）辨識來電號碼之法律問題手機軟體（APP）辨識來電號碼之法律問題 科技法律研究所 102年03月25日 壹、事件摘要 我國自2005年開始推展行動電話「號碼可攜」服務，允許使用者將行動電話號碼申請移轉至另一業者。當號碼進行移轉時，為降低通話路由資訊傳遞之延遲、避免業者間轉換作業之延宕，通傳會指導各業者共同建立集中式資料庫，整合業者號碼管理資源，增進號碼可攜服務之效率。 日前有某非屬電信事業之業者，設計一款應用軟體，提供智慧型手機使用者下載、安裝後，可自行上傳通訊錄內之電話號碼，並透過電信事業之「號碼可攜集中式資料庫」，確認並辨識通訊錄內電話號碼所屬電信業者，將資訊回傳於使用者之智慧型手機。由於電話號碼屬於使用者個人資料之一環，本文以下分析「非電信事業與電信事業合作，於號碼可攜目的外，對資料庫內之資料進行蒐集、處理與利用是否違反個資法」之疑義。 貳、重點說明 「號碼可攜集中式資料庫」之設立主要目的在使不同業者間能準確的完成通訊的連接。然而，通傳會於96年10月亦有要求各電信業者設置查詢系統，提供用戶查詢欲致電之受話方是否係屬同家業者，進而協助用戶瞭解可能之通訊資費計算。換言之，通傳會認為辨識電信號碼屬於網內/外，屬於消費者規劃、理解其電信資費之權益。而目前亦有手機軟體可輔助消費者查詢相關資訊。 那麼，可否允許消費者進一步查詢致電對象所屬的業者呢？是否違反個人資料保護法的規定呢？ 如前所述，通傳會認為使消費者瞭解電信號碼屬於網內/外，有助於資費理解之權益。我們更進一步說，允許查詢號碼所屬門號，不僅消費者可知悉資費之數額計算以決定是否致電，尚可決定是否使用相同電信業者之服務來打電話。我國行動電話普及率早已超過120%，有相當比例之消費者擁有二個以上之門號，若可揭露致電號碼所屬電信業者，使消費者可刻意選擇以網內門號致電，無疑具有相當實益。因此我們認為電信業者提供消費者以手機軟體查詢門號所屬業者，並不違反個資法上針對電信服務規範之「特定目的」（第133項：經營電信業務與電信加值網路業務）。一般的行動電話用戶，可透過電信業者查詢其所致電對象之門號所屬業者，則居於輔助地位的APP軟體，與用戶直接向業者查詢相比，實則無任何不同，應視為用戶之合理行為。 參、事件評析 個資法修正後，對於個人資料之保護更加的完善，但科技之發展使得個人資料之利用呈現多樣性，難以釐清某些利用行為是好是壞，然而本文基於鼓勵科技發展以及創新研發的立場，當面對某些個資利用情狀產生疑義時，應加以釐清其運用之情狀，避免在情境不明時，過度的擴張個資保護的界線，對市場發展以及消費者權益而言，並非好事。 當然另一方面而言，濫用科技便利的情形是存在的，如同2012年12月甫結束之ITU國際電信大會（WCIT2012），多國所簽署之修正電信管制規則第5B條所示，要求各國應努力採取必要措施，防止未經許可之濫發電子訊息，以減少對國際電信業務之影響。由於網路無遠弗屆，具騷擾性、浮濫發送之訊息，已從早期之垃圾電子郵件，擴及網路即時通訊軟體，不但時常造成使用者之困擾，甚至造成詐騙橫行。而這些狀況，光依靠個資法也是不足的，尚須主管機關對於濫用電信資源加以管制，從個人資料與電信資源等層面多管其下，方能維護良好之產業環境。
歐盟資料保護工作小組修正通過個人資料侵害通報指引歐盟資料保護工作小組修正通過「個人資料侵害通報指引」 資訊工業策進會科技法律研究所 法律研究員 李哲明 2018年3月31日 壹、事件摘要 因應歐盟「通用資料保護規則」（The General Data Protection Regulation，或有譯為一般資料保護規則，下簡稱GDPR）執法即將上路，針對個人資料侵害之通報義務，歐盟資料保護工作小組（Article 29 Data Protection Working Party, WP29）特於本（2018）年2月6日修正通過「個人資料侵害通報指引」（Guidelines on Personal data breach notification under Regulation 2016/679），其中就GDPR所規範個資侵害之定義、對監管機關之通報、與個資當事人之溝通、風險及高風險評估、當責與紀錄保存及其他法律文件所規定之通報義務等，均設有詳盡說明與事例。 貳、重點說明 一、何謂個資侵害？個資侵害區分為哪些種類？ 依據GDPR第4條（12）之定義，個資侵害係指：「個人資料因安全性之侵害所導致意外或非法之毀損、喪失、修改、未經授權之揭露、存取、個資傳輸、儲存或其他處理。」舉例來說，個人資料之喪失包括含有控制者（controller）顧客資料庫的備份設備之遺失或遭竊取。另一例子則為整份個資的唯一檔案遭勒索軟體加密，或經控制者加密，但其金鑰已滅失。依據資訊安全三原則，個資侵害之種類區分為： 機密性侵害（Confidentiality breach）：未經授權、意外揭露或獲取個人資料。 完整性侵害（Integrity breach）：未經授權或意外竄改個人資料。 可用性侵害（Availability breach）：在意外或未經授權之情況下，遺失個人資料存取權限或資料遭銷燬。 二、何時應為通知？ 按GDPR第33條（1）之規定，當個資侵害發生時，在如果可行之情況下，控制者應即時（不得無故拖延）於知悉侵害時起72小時內，依第55條之規定，將個資侵害情事通報監管機關。但個資侵害不會對自然人之權利和自由造成風險者，不在此限。倘未能於72小時內通報監管機關者，應敘明遲延之事由。 三、控制者「知悉」時點之判斷標準為何？ 歐盟資料保護工作小組認為，當控制者對發生導致個人資料侵害的安全事件達「合理確信的程度」（reasonable degree of certainty）時，即應視為其已知悉。以具體事例而言，下列情況均屬所謂「知悉」： 在未加密個人資料的情況下遺失USB密鑰（USB Key），通常無法確定是否有未經授權者將獲致存取資料權限。即使控制者可能無法確定是否發生機密性侵害情事，惟仍應為通知，因發生可用性侵害之情事，且已達合理確信的程度。 故應以控制者意識到該密鑰遺失時起為其「知悉」時點。 第三人通知控制者其意外地收到控制者的客戶個人資料，並提供該揭露係未經授權之證據。當侵害保密性之明確證據提交控制者時，即為其「知悉」時點。如：誤寄之電子郵件，經非原定收件人通知寄件者之情形。 當控制者檢測到其網路恐遭入侵，並針對其系統進行檢測以確認個人資料是否遭洩漏，嗣後復經證實情況屬實，此際即屬「知悉」。 網路犯罪者在駭入系統後，聯繫控制者以索要贖金。在這種情況下，控制者經檢測系統並確認受攻擊後，亦屬「知悉」。 值得注意的是，在經個人、媒體組織、其他來源或控制者自我檢測後，控制者或將進行短暫調查，以確定是否發生侵害之事實。於此調查期間內所發現之最新侵害情況，控制者將不會被視為「知悉」。然而，控制者應儘速展開初步調查，以形成是否發生侵害事故之合理確信，隨後可另進行更詳盡之調查。 四、共同（聯合）控制者之義務及其責任分配原則 GDPR第26條針對共同控制者及其如何確定各自之法遵義務，設有相關規定，包括決定由哪一方負責遵循第33條（對主管機關通報）與第34條（對當事人通知）之義務。歐盟資料保護工作小組建議透過共同控制者間之契約協議，約明哪一方係居主要地位者，或須負責盡到個資侵害時，GDPR所定之通知義務，並載於契約條款中。 五、通報監管機關與提供資訊義務 當控制者通報監管機關個資侵害情事時，至少應包括下列事項 （GDPR第33條（3）參照）： 敘述個人資料侵害之性質，包括但不限於所涉之相關個資當事人、個資紀錄及其類別、數量。 傳達資料保護長（DPO）或其他聯絡人之姓名與聯絡方式，俾利獲得進一步資訊。 說明個資侵害可能之後果。 描述控制者為解決個資侵害業已採取或擬採行之措施，在適當情況下，酌情採取措施以減輕可能產生之不利影響。 以上乃GDPR要求通報監管機關之最基本事項，在必要時，控制者仍應盡力提供其他細節。舉例而言，控制者如認為其處理者係個資侵害事件之根因（root cause），此時通報並指明對象即可警示委託同一處理者之其他控制者。 六、分階段通知 鑒於個資事故之性質不一，控制者通常需進一步調查始能確定全部相關事實，GDPR第33條（4）爰設有得分階段通知（notification in phases）之規定。凡於通報時，無法同時提供之資訊，得分階段提供之。但不得有不必要之遲延。同理，在首次通報後之後續調查中，如發現該事件業已受到控制且並未實際發生個資侵害情事，控制者可向監管機關為更新。 七、免通報事由 依據GDPR第33（1）條規定，個資侵害不會對自然人之權利和自由造成風險者，毋庸向監管機關通報。如：該遭洩露之個人資料業經公開使用，故並未對個人資料當事人構成可能的風險。 必須強調的是，在某些情形下，未為通報亦可能代表既有安全維護措施之缺乏或不足。此時監管機關將可能同時針對未為通報（監管機關）或通知（當事人），以及安全維護措施之缺乏或不足，以違反第33條或（及）34條與第32條等獨立義務規定為由，而依第83條4（a）之規定，併予裁罰。 參、事件評析 一、我國企業於歐盟設有分支機構或據點者，宜指派專人負責法遵事宜 揆諸GDPR前揭規定，當個資侵害發生時，控制者應即時且不得無故拖延於知悉時起72小時內，將個資侵害情事通報監管機關。未能履踐義務者，將面臨最高達該企業前一會計年度全球營業額之2%或1千萬歐元，取其較高者之裁罰。我國無論金融業、航運業、航空運輸業、電子製造業及進出口貿易業者等，均或有於歐盟成員國境內或歐洲經濟區（European Economic Area）當地設立子公司或營業據點。因此，在GDPR法遵衝擊的倒數時刻，指派具瞭解GDPR規定、當地個資隱私法遵規範、擅長與隱私執法機構溝通及充要語言能力者專責法遵業務實刻不容緩。蓋此舉可避免我國企業母公司鞭長莫及，未能及時處置而致罹法典之憾。 二、全面檢視個資業務流程，完備個資盤點與風險評鑑作業，掌握企業法遵現況 企業應全面檢視業務流程，先自重要核心業務中析出個資作業流，搭配全面個資盤點，並利用盤點結果進行風險評鑑，再針對其結果就不同等級之風險採行相對應之管控措施。此外，於全業務流程中，亦宜採行最小化蒐集原則，避免蒐集過多不必要之個人資料，尤其是GDPR所定義之敏感個資（如：種族、民族血統、政治觀點、宗教信仰、哲學信仰、工會會員資格等個人資料，及遺傳資料的處理，用於識別特定自然人之生物識別資料、健康資料、性生活、性取向等）或犯罪前科資料，俾降低個人資料蒐集、處理、利用、檔案保存及銷燬之全生命週期流程中的風險。此舉亦契合我國個人資料保護法第5條所揭櫫之原則。 三、立法要求一定規模以上之企業須通過個資隱私法遵第三方認（驗）證，並建置認證資訊公開平台 鑒於國際法遵衝擊以及隱私保護要求之標準線日漸提升，我國企業除自主導入、建置並維運相關個資保護與管理制度以資因應，更有賴政府透過法令（如：修正個人資料保護法）強制要求一定規模以上之企業通過第三方專業驗證，俾消弭風險於日常準備之中。蓋我國具一定規模以上企業，無論其係屬何種業別，一旦違反國際法遵要求，遭致鉅額裁罰，其影響結果將不僅止於單一企業，更將嚴重衝擊該產業乃至於國家整體經貿發展。職是，採法律強制要求企業定期接受獨立、公正及專業第三方認（驗）證，咸有其實益性與必要性。
受傷的機車騎士就機器自動駕駛的車輛控訴過失駕駛美國通用汽車公司（General Motors，下稱通用汽車）於2018年01月間向美國運輸部（United States Department of Transportation）遞出請求展示雪弗蘭（Chevrolet）第4代自動駕駛車（此款車種無裝備方向盤與踏板，號稱世界上第一輛可以自我安全駕駛，且無需人類介入駕駛的車輛）的申請，不久後關於以下車禍事件的訴訟即遭提起。 根據Oscar Willhelm Nilsson（即原告，下稱Nilsson）於2018年01月22日向美國舊金山區地方法院針對前開車禍事件提起訴訟的主張，於2017年12月07日早上，其在加州舊金山Oak Street的中央車道上騎乘機車往東行駛，Manuel DeJesus Salazar（即被告，下稱Salazar）於同時地駕駛由通用汽車製造之Chevrolet Bolt vehicle（下稱自駕車），並開啟自動駕駛模式且雙手放開方向盤。Nilsson原騎乘於自駕車後方，不久，自駕車自Nilsson正前方變換車道至左側，Nilsson則繼續筆直前行，但自駕車又隨即往回駛入Nilsson直行騎乘的車道，因此撞擊Nilsson摔倒在地。據此，Nilsson主張通用汽車公司欠缺對於自駕車的自我操作應符合交通法規及規定所賦之注意義務，換言之，自駕車前揭操作車輛駕駛的行為（未注意其他正在行駛的駕駛人而轉換至比鄰車道）具有過失，造成Nilsson受到嚴重的生理及心理損害，且無法工作，產生高額的醫療、護理費用，故請求法院判決原告即Nilsson之主張不少於7萬5千美元之損害賠償、懲罰性損害賠償、律師委任費用以及其他適當且公正之侵權損害賠償等有理由。 然而，根據先前加州車輛管理局所提之文件，通用汽車對Nilsson所描述之車禍經過提出了以下爭執，通用汽車表示自駕車側面有一條長磨損痕跡，應是當時右邊的車道正要匯入中央車道，而自駕車正在自我校正回車道中央，Nilsson卻騎乘機車從兩個車道中間切出來，導致與自駕車發生擦撞。此外，案發當時自駕車的時速為了順應車流而保持在每小時12英里（每小時19公里）行進，而摩托車卻是以大概每小時17英里（每小時27公里）行進，故自駕車應無不當駕駛之情形，反應由機車騎士Nilsson負擔肇事責任，因其未在確認安全之情況下，即從自駕車右側超車，以上通用汽車反駁Nilsson主張的結論，更與舊金山警察局的報告結果不謀而合，即舊金山警察局認為Nilsson在確定安全以前，就嘗試要超越自駕車。 此外，在前開訴訟提起前的2018年01月14日至01月20日的當週，加州車輛管理局表列出自2014年至2018年間的54起自動駕駛車意外報告，大部分的狀況係由駕駛人（而非自動駕駛車本身）對事故負責（雖開啟自動駕駛模式，但駕駛人仍在特定條件下需要自行駕駛）。 即便前開各個報告看似不利Nilsson，但Nilsson的律師Sergei Lemberg卻表示警方的報告應是有利Nilsson，因自駕車早在車禍發生前就已經發覺Nilsson，但卻沒有預留足夠的時間剎車與閃避，因此通用汽車公司所稱之主張並不足採信，更可見自駕車的行為是危險且難以被預測的。 就此，一位南加大研究自駕車法律問題的法律系教授Bryant Walker Smith表示，未來發生事故的時候，駕駛人在大多數的狀況下比較不會被苛責，但自動駕駛系統會被檢討應該可以做得更完善。 （註：本件訴訟仍在繫屬中，尚未判決。）