簡介美國700MHz頻段之使用規劃
簡介〈歐盟提供合格信任服務者依循標準建議〉 資訊工業策進會科技法律研究所 2021年6月25日 壹、事件摘要 歐盟於2014年通過「歐盟內部市場電子交易之電子身分認證及信賴服務規章」（簡稱eIDAS規章）[1]，並於2016年7月正式生效。eIDAS規章是在歐盟1999年電子簽章指令[2]的基礎上，進一步建構一個更安全、更具信賴、更易於使用電子簽章的法律框架，以促進整個歐盟跨境間的電子交易環境，進而達到歐盟數位單一市場的目標[3]。 eIDAS規章共有六章，其核心包含兩大部分[4]，在第二章中規範了電子識別機制（Electronic Identification），並於第三章中建構一系列電子交易中相關信任服務（Trust Services, TS）的法律架構，包含電子簽章（Electronic signatures）、電子封條（Electronic seals）、電子時戳（Electronic time stamps）、電子註冊傳輸服務（Electronic registered delivery services）、網站認證（Website authentication）。每種信任服務，又可以區分由一般的信任服務提供者（Trust Service Provider, TSP）或由合格信任服務提供者（Qualified Trust Service Provider, QTSP）提供，要成為QTSP必須經各成員國的監督機關授予合格地位後，才能提供該類合格信任服務（Qualified Trust Service, QTS），在eIDAS規章中合格信任服務具有更高的法律效力。譬如，根據eIDAS規章第25條第2項規定，合格電子簽章（qualified electronic signature）與手寫簽章具有同等的法律效力。 歐盟網路安全局（European Union Agency for Cybersecurity, ENISA[5]）於2021年3月發布一份報告，提供合格信任服務者依循標準的建議（Recommendations For QTSPs Based On Standards） [6]，給想要申請成為QTSP的業者參考。 貳、重點說明 承前所述，eIDAS規章的目的是要建構一個促進跨境、跨產業的電子交易的環境，為弭平各會員國對於電子識別服務的落差，報告中指出，必須透過法律框架（Legal framework）、信賴框架（Trust framework）、標準化框架（Standardisation framework）共同達成，以提升歐盟數位單一市場中企業和消費者的信任，並促進信任服務和產品的使用。 （一）法律框架 eIDAS規章中規定了9種QTS的安全要求及其提供者的義務，包括： 1.電子簽章的合格憑證； 2.電子封條的合格憑證； 3.網站認證的合格憑證； 4.合格電子時戳服務； 5.合格電子簽章的合格驗證服務； 6.合格電子封條的合格驗證服務； 7.合格電子簽章的合格維護服務； 8.合格電子封條的合格維護服務； 9.合格電子註冊傳輸服務。 （二）信賴框架 其次，eIDAS規章透過事前（ex ante）和事後（ex post）監督的方式，來確保QTSP及其提供的QTS符合eIDAS規章中的法律要求。欲申請成為QTSP須先經過符合性評估機構（Conformity Assessment Body, CAB）的評估，由其出具評估報告後，再由各成員國的監督機關決定是否授予QTSP資格；取得QTSP資格後會受到不定期稽核，且至少每24 個月須再次自費通過CAB評估審核[7]。 （三）標準化框架 eIDAS規章中對各項TS的安全要求是採取技術中立（technology-neutral）的態度，並未限定要採用何種特定技術。換言之，TSP可以透過不同的技術達到eIDAS規章中要求的必要安全程度。事實上，歐盟希望在eIDAS規章所建構的法律框架和信賴框架中，透過產業自律，慢慢形成相關的標準共識。 歐盟從2009年開始，就由歐洲標準化委員會（European Committee for Standardization, CEN）、歐洲電信標準協會（European Telecommunications Standards Institute, ETSI）等歐盟標準化組織協助擬定和更新電子簽章的相關標準，希望可以建立一個更完整的標準化框架，以解決歐盟跨境使用電子簽章遭遇的問題，至今已經建構出一系列電子簽章和相關信任服務的標準，以滿足國際及eIDAS規章的要求，ETSI/CEN與數位簽章有關的標準包含七個面向。 1.介紹性 此類標準主要是關於各類簽章的共通定義、研究、其他關於整體性架構的介紹。 2.簽章的建立與驗證 此類標準主要是關於簽章建立及驗證的政策與安全要求、所要遵循的規則和程序、格式、保護剖繪（Protection Profiles, PP）[8]。 3.簽章建立和其他相關設備 此類標準主要是與電子簽章產生的設備，以及其他與數位簽章相關服務的設備有關。 4.加密 此類標準主要是與簽章的加密有關，譬如金鑰產生演算法（key generation algorithms）和雜湊函數（hash functions）等。 5.支持數位簽章及相關服務的TSP 此類標準主要是關於核發合格憑證的QTSP、網站認證憑證的TSP、時戳服務的TSP、提供簽章驗證服務的TSP等。 6.信任應用服務提供者 此類標準主要與應用電子簽章提供加值服務的TSP有關，如電子傳輸服務、資料檔案長期保存服務等。 7.信任服務資格提供者 此類標準主要與eIDAS規章中信任名單（trusted lists）相關的程序和格式有關[9]。 其中，在ETSI/CEN關於數位簽章的標準中，主要與QTSP有關的標準如下： 1.電子簽章的合格憑證（eIDAS規章第28條） ETSI EN 319 411-2（且要符合EN 319 401、EN 319 411-1、EN 319 412-2、EN 319 412-5）。 2.電子封條的合格憑證（eIDAS規章第38條） ETSI EN 319 411-2（且要符合EN 319 401、EN 319 411-1、EN 319 412-3、EN 319 412-5）。 3.網站認證的合格憑證（eIDAS規章第45條） ETSI EN 319 411-2（且要符合EN 319 401、EN 319 411-1、EN 319 412-4、EN 319 412-5）。 4.合格電子時戳（eIDAS規章第42條） ETSI EN 319 421（且要符合EN 319 401）、EN 319 422。 5.合格電子簽章的合格驗證服務（eIDAS規章第33條） ETSI TS 119 441（且要符合EN 319 401）、TS 119 442、EN 319 102-1、TS 119 102-2、TS 119 172-4。 6.合格電子封條的合格驗證服務（eIDAS規章第40條） ETSI TS 119 441（且要符合EN 319 401)、TS 119 442、EN 319 102-1、TS 119 102-2、TS 119 172-4。 7.合格電子簽章的合格維護服務（eIDAS規章第34條） ETSI EN 319 401、TS 119 511、TS 119 512。 8.合格電子封條的合格維護服務（eIDAS規章第40條） ETSI EN 319 401、TS 119 511、TS 119 512。 9.合格電子註冊傳輸服務（eIDAS規章第44條） ETSI EN 319 401、EN 319 521、EN 319 522、EN 319 531、EN 319 532。 參、事件評析 從歐盟ENISA的建議可以瞭解，歐盟希望透過介紹歐盟標準化組織所制定的相關電子簽章標準，來引導資通訊廠商申請成為QTSP，提供歐盟企業和使用者更安全、更值得信賴的電子簽章相關服務，以強化使用者的信心，進而促進整個歐盟電子交易的蓬勃發展。 近年來，我國企業也積極投入數位轉型，在邁向數位化的過程通常需要由外部的資通訊廠商協助。然而，由於企業對於資通訊技術不熟悉，因此在選擇資通訊廠商時，往往不知道如何判斷其專業能力，或許企業可以參考上述的介紹，以該廠商是否符合歐盟相關標準的要求，作為選擇資通訊廠商的參考依據，以確保資通訊廠商的能力具有一定水準，這樣對於企業數位轉型及進軍歐盟市場會相當有助益。 [1]Regulation (EU) No 910/2014 of the European Parliament and of the Council of 23 July 2014 on electronic identification and trust services for electronic transactions in the internal market and repealing Directive 1999/93/EC, https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=uriserv%3AOJ.L_.2014.257.01.0073.01.ENG (last visited Jun. 24, 2021). [2]Directive 1999/93/EC of the European Parliament and of the Council of 13 Dec. 1999 on the a Community Framework for Electronic Signatures, https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=celex%3A31999L0093 (last visited Jun. 24, 2021). [3]參前註1，eIDAS前言(3). [4]中文介紹可參考李姿瑩，〈歐盟eIDAS對國內電子簽章和身分認證規範之可能借鏡〉，《科技法律透析》，第31卷第11期，25-32頁，（2019年11月）。 [5]「歐盟網路安全局」原名為「歐盟網路及資訊安全局」(European Union Agency for Network and Information Security)，2019年更改為現名，但該局的英文縮寫仍維持舊稱ENISA。The European Union Agency for Cybersecurity - A new chapter for ENISA, ENISA, https://www.enisa.europa.eu/news/enisa-news/the-european-union-agency-for-cybersecurity-a-new-chapter-for-enisa (last visited Jun. 24, 2021). [6]European Union Agency for Cybersecurity [ENISA], Recommendations for Qualified Trust Service Providers based on Standards (2021), https://www.enisa.europa.eu/publications/reccomendations-for-qtsps-based-on-standards (last visited Jun. 24, 2021). [7]參前註1，eIDAS規章第20條。 [8]保護剖繪是指申請者依共同準則規章（common criteria, CC）製作之資通安全產品安全基本需求文件，可提供資通安全產品開發者開發產品之依據。〈常見問題/Q02.何謂保護剖繪?〉，國家通訊傳播委員會，https://ise.ncc.gov.tw/faq（最後瀏覽日：2021/06/24）。 [9]參前註1，eIDAS規章第22條第2項、第4項。
美國聯邦地方法院駁回臨床試驗軟體公司Medidata對競爭對手Veeva的營業秘密訴訟美國紐約南區聯邦地方法院(S.D.N.Y.)於2022年7月15日駁回了臨床試驗軟體公司Medidata Solutions Inc. (以下簡稱Medidata公司)控告競爭對手Veeva Systems Inc. (以下簡稱Veeva公司)竊取其營業秘密的請求。 原告Medidata公司於2017年1月指控被告Veeva公司陸續挖角其數名離職員工，部份員工離職時私自拷貝公司檔案，其中包含原告的產品研發、商業策略等營業秘密，而被告根據這些資訊開發了和原告相似的軟體，造成其重大損害，因此向被告請求4.5億美元的損害賠償。 被告Veeva公司抗辯雖然這些員工離職時私自保留原告的檔案，但原告在訴訟中並未明確說明哪些屬於該公司的營業秘密，亦即未特定營業秘密標的；此外，即便這些離職員工自行保留的檔案中有包含原告所稱之營業秘密，但原告提出的證據不足以證明被告有不當取用(misappropriation)其營業秘密，僅根據被告有僱用原告離職員工等事實，即推論被告有不當取用。原告試圖透過此模糊和毫無根據的主張，限制產業的創新、競爭、人才流動。 本案歷經五年的纏訟，法院最終駁回原告請求。法官指出，原告在整個訴訟過程中並未明確定義哪些資訊屬於營業秘密，原告似乎認為任何資訊皆屬於其營業秘密，這樣的主張無異於代表任何公司永遠無法挖角其他公司的員工，因為這些員工到新公司任職後所說的任何話，都會間接地揭露他們在之前工作中所學習到的事情，因此駁回原告之訴。 從本案可以觀察到，企業應定期盤點公司內部資訊，明確界定營業秘密範圍，並落實管理及妥善留存相關證據，發生侵害營業秘密爭議時才能有效舉證。 「本文同步刊登於TIPS網站（https://www.tips.org.tw ）」
全美各州醫療委員會聯合會發布人工智慧（AI）治理指引，並要求醫師為AI之利用結果負最終責任全美各州醫療委員會聯合會（The Federation of State Medical Boards, FSMB）於2024年4月發布「引導人工智慧以負責任與符合倫理方式融入臨床實務」（Navigating the Responsible and Ethical Incorporation of Artificial Intelligence into Clinical Practice）指引，明確概述醫師於利用AI協助提供照護時可採取之步驟，以履行其倫理與專業職責，期能藉此降低對患者造成傷害之風險；本指引之特色在於，其要求醫師為AI之利用結果負最終之責任。 FSMB 向各州醫療委員會與其他利害關係人所提供之原則與建議如下，以支持對包含AI之臨床照護進行負責任與符合倫理之監管： （1）透明度與揭露（Transparency and Disclosure）： 應要求維持於醫療照護領域使用AI之透明度；各州醫療委員會應制定明確之指導方針，向患者揭露AI之使用情況，其有助於患者與醫師之理解，但不會造成不必要之行政負擔；FSMB 應制定文件，詳細說明最常用之AI工具之功能與局限性，以協助醫療委員會發揮監管者之角色，並應制定常見問題與最佳實務文件，作為提供照護時利用AI方面關於透明度之資源。 （2）教育與理解（Education and Understanding）： FSMB及其於醫學教育界之合作夥伴，應為醫師、醫療委員會與患者，確認有關醫療照護中AI之結構化教育資源，該等資源應包括協助瞭解AI如何運作、其優點、潛在風險以及對患者照護之影響。 （3）負責任之使用與問責（Responsible Use and Accountability）： 開發人員應協助醫師瞭解何時、以及如何於患者之照護中利用AI工具；選擇AI工具支援臨床決策之醫院系統、保險公司或其他機構應向醫師提供有關AI工具之教育、存取各工具之性能報告，並應設計一個定期檢視工具功效的流程；AI工具應以得使各州醫療委員會能稽核與理解之方式設計，以便適當評估依賴工具輸出結果之醫師是否偏離照護標準（standard of care）；FSMB 應支持各州醫療委員會針對臨床醫師如何負責任、可問責地使用AI之解釋。 （4）公平性與近用（Equity and Access）： 應努力確保所有患者皆能公平地近用AI帶來之好處；FSMB與各州醫療委員會致力於以下原則：醫療人員所提供之照護是公平的、且不受基於種族、民族或其他形式歧視之偏見影響；FSMB應與其他利害關係人一起理解並解決演算法偏差問題。 （5）隱私與資料安全（Privacy and Data Security）： AI工具之開發者必須實施嚴格之保護措施，以保護AI開發與評估時所利用之患者資料，通常情況下應告知患者資料如何被利用，且FSMB應與行業利害相關人一起制定AI系統使用與散布患者資料之政策，包括針對AI開發或評估中使用之患者資料之最低資料保護措施。 （6）監督與監管（Oversight and Regulation）： 各州醫療委員會必須保留對於提供醫療服務時，不當應用AI工具之醫生進行紀律處分之權力，其包括問責議題之考慮，特別是當AI系統變得更加自主時；各州醫療委員會應審查其管轄範圍內如何對「醫療行為」（practice of medicine）進行法律定義，以確保對提供醫療照護、人力或其他方面進行持續之監管監督。 （7）法律法規之持續審查與調整（Continual Review and Adaptation of Law and Regulations）： 各州醫療委員會應在FSMB之支持下，隨著AI之不斷發展，持續檢視與更新與AI相關之指引與法規；政策制定者應考慮AI對基本法律原則的影響，例如醫療行為之定義以及AI對企業醫學實務之影響；FSMB 應建立一個專門團隊，持續檢視與調整AI指引與法規。 本指引指出，AI工具通常無能力取代醫師之專業判斷、道德責任或對州醫療委員會之責任，醫療行為中之關鍵職業責任始終為確保診斷、臨床決策與建議不存在偏差。與用於診斷或治療疾病之任何其他工具或鑑別方法相同，醫療專業人員有責任確保基於證據結論之準確性與真實性，因此於將AI系統用於患者照護前，醫師應以合理努力識別與解決偏差（如虛假或不準確之資訊等）。
Google預期推出智慧金融卡科技巨頭Google目前預計依循Apple Card模式，與花旗銀行、Stanford Federal Credit Union合作開發「Google Card」智慧簽帳金融卡。 雖目前尚未正式發行，但根據TechCrunch報導指出，使用者在連結銀行帳戶後，可向Google Card轉入資金或從卡中轉出資金，消費時會直接從個人連結的銀行帳戶扣款。此外，Google Card將連接到具有新功能的Google應用程式，讓使用者得以輕鬆監管消費狀況、確認餘額或鎖定帳戶。 這對於Google來說，為非常重要的一步，因Google本身掌握巨量資料，因此透過Google Card，Google有機會獲得新的收入和消費數據，其將向消費店家酌收交易手續費，再與銀行拆分；此外，Google Card的隱私權政策中，可能利用用戶消費的交易數據，以改善投放商品廣告的衡量標準，若Google可以其金融商品推動銷售，將使更多的品牌願意購買Google廣告。 長期影響來看，Google Card可為Google提供銀行業務，包括股票經紀業務、財務建議或AI會計、保險、借貸諮詢，而因Google掌握大量數據，將可能使Google比傳統金融機構更能準確的管理金融風險，透過應用程式、廣告、搜尋和Android系統，Google和消費者之間建立深厚關聯，為推廣和提供金融服務建立一個充足的背景。隨著武漢肺炎疫情的漸緩，高利潤的金融商品也將幫助 Google 開發有效的收入機會並藉此提升股價。