解析生技製藥研發成果涉及智慧財產保護之新課題
本文為「經濟部產業技術司科技專案成果」
近期軟體產品(特別是演算法)的智慧財產權保護受到各界廣泛注意，2022年12月美國實務界律師特別撰文對此提出相關智財權保護建議。軟體產品通常涉及演算法，指由人工智慧(AI)和分析組成，用於解決特定問題的一組規則。專利通常被企業預設為保護技術產品的最佳形式。 然而在2014年，美國最高法院在Alice Corp. v. CLS Bank International一案中可以發現將軟體申請專利保護可能存在風險，如：（一）軟體可能被認為是抽象概念(abstract ideas)，非專利適格標的，而無法受專利法保護；（二）通常不易主張專利權，或可能在訴訟過程中因舉證責任造成機密資訊揭露等風險。因此該文作者認為難以受專利法保護之演算法、用於基於機器學習或訓練模型的資訊和資料集等軟體資料，亦可考慮透過營業秘密來保護，並提出以下營業秘密管理的建議： 1.員工教育訓練：建議企業可在僱傭的各階段(僱傭時、每年、終止時)採行相關措施、訓練，以減少營業秘密的竊用，及防止未來員工抗辯不知道該資訊是營業秘密。 2.機密標示：建議企業透過此階段審視組織對於機密文件之界定，再透過機密標示配合存取權限設定，協助企業控管與防止機密外流。 3.執行：瞭解需要受管理的營業秘密是什麼以及其為何重要。 4.監控和衡量員工參與度：建議企業採取相關監測機制檢視員工活動，及早發現離職動向與管控營業秘密資訊。 5.避免資訊揭露：建議企業應確保在向消費者或客戶行銷的過程中不洩露營業秘密，或至少採取相關保護措施，如簽訂保密契約。 6.確保資料安全：建議企業可建置網路安全策略、設置密碼、存取限制、外部設備使用下載或儲存限制等管控措施。 綜上所述，對於從事軟體開發的企業，除以專利保護產出成果外，還可從技術本質、後續是否容易主張、是否適合公開等面向，評估搭配營業秘密保護成果。並在選擇以營業秘密保護成果時，採行相關的管理措施避免營業秘密外洩而造成企業損失，包括：劃定需管理的營業秘密、制定員工教育訓練與相關管制措施，如機密標示、權限控管，並可搭配預警機制以便能夠即早發現異常。 本文同步刊登於TIPS網站（https://www.tips.org.tw）
巴西基因改造科技管理法制簡介 印度隱私權制度下兒童資料安全的保護現狀印度電子資訊產業技術部（MeitY）2022年11月在網站上公布了個人資料資訊保護法草案（Digital Personal Data Protection Bill,以下簡稱該法案），並於2023年7月提交議會審查。目前印度民法不承認未成年人(未滿18歲者)具有自主簽訂契約的能力。因此，取得的兒童同意不具有法律效力，必須徵得父母或是監護人的同意才能合法蒐集兒童個人資料。 根據印度2022年個人資料資訊保護法案草案，任何未滿18歲的人都被歸類為「兒童」。該法案中同時限制專門向兒童發送的廣告，並且監管任何追蹤兒童行為的情況。目前國際隱私法(例如：歐盟通用資料保護條例 (GDPR)、加州消費者隱私法(CCPA)等)的兒童定義多在13至17歲之間。但考慮到兒童個人資訊的敏感性和潛在危害，印度政府採取了較保守嚴謹的路線。政府也已被授權制定有關處理兒童個人資訊的細則，特别是確保資料使用人不可使用可能對兒童造成傷害的個人資料。 根據社會發展狀況，兒童若每次在網路平台上進行活動時都需經過父母或是監護人同意不甚妥適，且根據前述說明，兒童界定年齡為18歲以下，若依照統一年齡範圍進行控管，實際執行上面臨窒礙難行之處。故修法者在對於該法案修改意見中，引用了其他國家隱私法中的不同年齡分類限制，以求降低年齡門檻限制，或是根據用戶的年齡制定差異化的授權要求。 另一個產生的爭議為，該如何驗證父母或是監護人的同意表示。法條中目前無明確規範何為「有效之同意表示」，現行各平台使用不同的方法獲得父母或是監護人的同意，目前有兩種方式，包括點選「同意」按鈕，或是在用戶條款中表示若使用服務等同於監護人同意。 關於兒童年齡之界定，是否將參考其他國家規範進行差異化設定，目前暫無明確定論(包括如何調整、年齡級距設定)，根據資訊使用的普及，兒童年齡的界定可以預期的將會進行調整；關於如何有效驗證父母或是監護人的同意表示，目前在技術上大多服務商都偏好透過會員註冊時的同意按鈕或是用戶條款中列明若使用服務即代表同意這兩種方式認定，在這兩種方式之後，系統是否有設定驗證機制，以及需要何種驗證方式才可以認定父母或是監護人的同意表示是符合法律效力的，都需後續再進行研擬。
美國衛生及公共服務部提出雲端服務適用健康保險可攜與責任法之相關指引美國醫療產業使用境內或境外雲端服務（Cloud Services）急速成長，導致「健康保險可攜與責任法」（Health Insurance Portability and Accountability Act，以下簡稱HIPAA）規範下之「適用機構」（Covered Entities）與其「商業夥伴」（Business Associate），對於雲端服務業者如何適用HIPAA感到疑惑。因此，衛生及公共服務部民權辦公室（Department of Health and Human Services, Office for Civil Rights）於10月7日公布相關業者如何適用HIPAA之指引，以釐清爭議。 於該指引中，該部指出，雲端服務業者若替適用機構或是商業夥伴創造、接收、維護、傳送被HIPAA所保護之「資療資訊」（Protected Health Information），則該雲端業者就被視為HIPAA下規範之商業夥伴，原因在於該服務具有儲存與維護醫療資訊功能，非屬該法排除適用之「網路服務業者」（Internet Service Providers）資料傳輸服務類型。 該指引有幾大重點：首先，雲端服務業者如將該醫療資訊提供加密儲存服務，仍應盡到HIPAA中規範商業夥伴之責任。原因在於加密資料不足以保護HIPAA有關資訊安全章節所要求醫療資訊之「機密性、完整性和可用性」之相關規範。再者，雲端業者皆須與委託方簽署商業夥伴協議（Business Associate Agreements）。此外，使用雲端服務儲存資療資訊時，委託方皆能使用行動設備進入雲端儲存之醫療資料，但應建立合乎HIPPA所要求相關之安全措施。最後，HIPAA並未禁止將醫療資訊儲存至伺服器為於美國境外之雲端業者，但使用前應自行評估該資訊遭駭客攻擊之可能性。