美國聯邦貿易委員會(Federal Trade Commission,FTC)鑒於近期授權學名藥(Authorized Generic,指由原專利藥廠於專利到期後自行或授權所推出之學名藥)上市申請頻率遽增,且授權學名藥專利和解協議日多之現況,自今(2009)年起,即積極展開一系列調查行動,先後於3月首度對授權學名藥和解協議案件祭出處罰裁決,並於6月公佈一份有關授權學名藥報告(Authorized Generic: An Interim Report)。
在美國授權學名藥法規(即Hatch-Waxman Act)架構下,首次提出簡易新藥審查申請取得學名藥上市許可之第一申請者(first-filer),得享有180日之市場專屬保護期間,除授權學名藥外,保護期間內其他藥廠一概不得推出相仿學名藥。
美國學名藥市場專屬保護期間之設計,原是希望藉此加速學名藥研發與上市,達到降低藥品取得價格之效,但根據FTC調查顯示,由於授權學名藥在市場專屬保護期間內依法得進入市場,於受到授權學名藥介入競爭之壓力下,第一申請者學名藥零售價格會比原先下降4.2%,經銷價格會下降6.5%,並減少該第一申請者藥廠47-51%的收入。在此背景下,越來越多第一申請者藥廠傾向採擬與原專利品牌藥廠達成延遲學名藥上市協議之策略,藉此互為其利。根據FTC統計,2004-2008年間約有25%的專利和解案件涉及授權學名藥條款,76%的對造為第一申請者學名藥藥廠,其中有25%的和解,是由授權學名藥藥廠與第一申請者藥廠就於一定期間(平均約為34.7月)不進入市場互為承諾。
FTC目前唯一的監管機制,係依據醫療照護現代化法(The Medicare Prescription Drug, Improvement, and Modernization Act of 2003,MMA),要求專利藥廠若與學名藥廠做成任何專利訴訟和解協議或相關協議時,應於協議生效10日內向FTC通報,以供FTC決定是否展開反競爭調查。FTC對於此類協議之審查上,終於今年3月有所進展,宣布必治妥(Bristol-Myers Squibb,BMS)應就其與Apotex公司間所達成專利訴訟和解協議繳交210萬美元。
本文為「經濟部產業技術司科技專案成果」
英國競爭與市場管理局(Competition and Markets Authority,簡稱CMA)於2025年9月9日發布人才競爭指引(Competing for Talent),說明企業在勞動市場中採取何種行為可能會違反競爭法。 指引中指出三項於勞動市場中可能會違反競爭法的行為,分別是: (1)禁止挖角(no poach):指企業同意不向其他企業招募現職員工,或同意在未經他企業許可前,接觸或招募該公司的現職員工,此一行為可能違反競爭法;惟須考量與禁止招募條款(no-solicitation clauses)之差異,禁止招募條款係為避免企業離職員工或合作企業於一定期間內直接或間接招募企業員工、客戶或其餘合作夥伴,禁止招募條款於合理必要範圍內之限制並不違反競爭法。 (2)固定薪資(wage fixing):此為CMA近期的執法重點,指二個以上之企業就薪資及員工福利達成協議,包含薪資調漲幅度、設定薪資上限,或是依產業工會建議薪資來固定員工薪資等等。 (3)交換競爭敏感資訊(exchange of competitively sensitive information):係指競爭對手間不應交換競爭敏感資訊,包含定價方式、商業策略等等,即使接收方未根據獲得的敏感資訊採取對應措施,提供資訊方仍被認定為違反競爭法。 上述協議不以正式或是書面之方式達成一致為必要,企業間的社交聯繫、非正式的互動或君子協議(gentleman’s agreements)均屬之,且皆可能違反競爭法,違法之企業可能會面臨全球營業總額10%的罰款、禁止參與政府採購、面臨私人損害賠償訴訟等結果。 近年勞動市場與競爭法之議題正逐漸受到重視,除了英國,美國、歐盟、日本等亦發布相關指引文件,或對違反競爭法之企業進行調查或裁罰。我國公平交易委員會目前尚未針對此議題提出明確的論述,企業於勞動市場中限制競爭之行為,究竟如何適用公平交易法或屬勞動法範疇,仍有待相關部會進一步討論,相關國際發展趨勢仍可持續觀察作為我國公平交易法制發展後續參考方向。
何謂「LAB- FAB - APP- Investing in the European future we want」?歐盟執委會研究創新總署之高級專家小組(High Level Group)2017年7月3日提交名為《研究、生產、應用—投資於我們所期待的歐洲未來》(LAB- FAB - APP- Investing in the European future we want)報告,呼籲歐盟及成員國大幅增加對研發創新的投入。該報告認為過去20年,工業化國家2/3的經濟增長歸功於研發創新。歐洲必須妥善利用大量知識,將創新潛力轉化為現實的經濟增長,從而促進歐洲繁榮,解決社會挑戰。該報告提出11項建議:(1)將歐盟及成員國的預算優先考慮投入研發創新,將下一個歐盟研發創新計畫的預算提高一倍;(2)建立可創造未來市場的歐盟創新政策;(3)投入未來教育培訓,投資創新人才;(4)編制能夠發揮更大影響力的歐盟研發創新計畫,堅持目標、完善評估系統以增加計畫靈活度;(5)採取任務導向、焦點式措施應對全球挑戰;(6)使歐盟資金分配更加合理,實現與歐盟結構性基金的協同效應;(7)進一步簡化計畫管理模式,更注重效果而不是過程;(8)激勵公眾參與創新;(9)更好地促進歐盟及成員國的研發創新投資合作;(10)使國際合作成為歐盟研發創新的特徵,通過共同資助等方式,開放歐盟研發創新計畫;(11)將歐盟研發創新品牌化,擴大研究創新成果及作用。
新加坡國會通過支付服務法修正案,以降低洗錢及犯罪風險隨著新型態支付服務應用不斷推陳出新,利用數位支付型代幣(digital payment token)進行洗錢與犯罪愈加猖獗,新加坡國會(Parliament of Singapore)於2021年1月4日通過「支付服務法修正案」(Payment Services (Amendment) Bill),擴大監管範圍,以降低與數位支付型代幣有關的洗錢、資助恐怖主義(money laundering and terrorism financing, ML/TF)及隱匿非法資產風險。 本次修正重點包含(1)賦予新加坡金融管理局(Monetary Authority of Singapore, MAS)更大權責,可要求支付服務供應商落實相關客戶保護措施,例如要求數位支付型代幣服務供應商所保管之資產與自有資產分開存放,以確保客戶資產不受損失;(2)將虛擬資產服務供應商(virtual assets service providers)納入法規監管,擴大數位支付型代幣服務定義,使其包括代幣轉讓、代幣保管服務與代幣兌換服務;(3)擴大跨境匯兌服務(cross‑border money transfer service)定義,凡是與新加坡支付服務供應商進行資金轉移,不論資金是否流經新加坡,皆受新加坡金融管理局監管;(4)擴大國內匯款服務(domestic money transfer service)範圍,以涵蓋收付雙方均為金融機構之情形。 新加坡金融管理局表示,本次修法目的是為了因應支付服務產業的廣泛應用,降低潛在犯罪風險與維護金融安全,有效保護消費者權益,並維持金融穩定性與維護貨幣政策有效性。
美國各州逐步研議透過立法豁免企業資安事件賠償責任美國各州逐步研議透過立法豁免企業資安事件賠償責任 資訊工業策進會科技法律研究所 2024年06月10日 為鼓勵企業採用資安標準與框架,美國已有幾州開始透過立法限縮企業資安事件賠償責任,企業若能舉證證明已符合法令或遵循業界認可之資安框架和標準,則於資安攻擊事件所致損害賠償訴訟中,將無需承擔賠償責任。 壹、事件摘要 為避免有心人士於未取得經授權下近用網路和敏感資料,企業往往投入大量資源打造資安防護架構,惟在現今網路威脅複雜多變的環境下,仍可能受到惡意資安攻擊,導致資料外洩事件發生,導致企業進一步面臨訴訟求償風險,其中多數指控為未實施適當的資安措施。為此美國佛羅里達州和西維吉尼亞州研議透過立法限縮企業之資安事件賠償責任,以鼓勵企業採用資安標準、框架與資安相關法令。 貳、重點說明 繼美國俄亥俄州[1]、猶他州[2]和康乃狄克州[3]相繼頒布法令,讓已實施適當安全維護措施之企業,豁免資安攻擊所致資料外洩之損害賠償責任,佛羅里達州和西維吉尼亞州近期亦提出相似法案,以下介紹兩州法案之重點: 一、佛羅里達州 美國佛羅里達州於2023年11月公布《資安事件責任法案》 (H.B 473: Cybersecurity Incident Liability)[4],法案納入「安全港條款」(Safe Harbor),當企業遭受資安攻擊致生個資外洩事件,如可證明已遵循產業認可的資安標準或框架,實施適當的資安措施與風險控管機制,則可免於賠償責任,以鼓勵企業採納資安標準或框架。 為適用安全港條款,企業須遵循佛羅里達州資訊保護法(The Florida Information Protection Act),針對資料外洩事件,通知個人、監管機關和消費者,並建立與法案內所列當前產業認可的資安標準、框架,或是特定法令規範之內容具一致性的資安計畫(Cybersecurity Programs): (一)當前產業認可的資安標準、框架 1. 國家標準暨技術研究院(National Institute of Standards and Technology, NIST)改善關鍵基礎設施資安框架(Framework for Improving Critical Infrastructure Cybersecurity)。 2. NIST SP 800-171-保護非聯邦系統和企業中的受控非機密資訊。 3. NIST SP 800-53 和 SP 800-53A- 資訊系統和企業的安全和隱私控制/ 評估資訊系統和企業中的安全和隱私控制。 4. 聯邦政府風險與授權管理計畫(Federal Risk and Authorization Management Program, FedRAMP)安全評估框架。 5. 資安中心( The Center for Internet Security, CIS)關鍵安全控制。[5] 6. ISO/IEC 27000系列標準。 7. 健康資訊信任聯盟(The Health Information Trust Alliance, HITRUST)通用安全框架(Common Security Framework)[6]。 8. 服務企業控制措施類型二(Service Organization Control Type 2, SOC 2)框架。 9. 安全控制措施框架(Secure Controls Framework)。 10. 其他類似的產業標準或框架。 (二)特定法令規範 企業(entity)如受以下法令規範,亦得適用安全港條款,如法令有修訂,企業應在發布修訂後的一年內更新其資安計畫: 1. 健康保險可攜與責任法(The Health Insurance Portability and Accountability Act, HIPAA)之安全要求。 2. 金融服務現代化法(The Gramm-Leach-Bliley Act)第五章。 3. 2014 年聯邦資訊安全現代化法(The Federal Information Security Modernization Act of 2014)。 4. 健康資訊科技促進經濟和臨床健康法(The Health Information Technology for Economic and Clinical Health Act, HITECH)之安全要求。 5. 刑事司法資訊服務系統 (The Criminal Justice Information Services, CJIS)安全政策。 6. 州或聯邦法律規定的其他類似要求。 該法案雖於2024年3月5日經佛羅里達州參議院三讀通過,但於2024年6月26日遭州長否決[7],其表示法案對於企業的保障範圍過於廣泛,如企業採取基礎的資安措施與風險控管機制,便得主張適用安全港條款,將可能導致消費者於發生個資外洩事件時,無法受到足夠的保障。州政府鼓勵利害關係人與該州網路安全諮詢委員會(Florida Cybersecurity Advisory Council)合作,探求法案的替代方案,以保護消費者資料。 二、西維吉尼亞州 美國西維吉尼亞州於2024年1月29日提出眾議院第5338號法案[8],修訂西維吉尼亞法典(Code of West Virginia),增訂第8H章資安計畫安全港條款(Safe Harbor for Cybersecurity Programs),如企業符合業界認可的資安標準、框架或依特定法令建立與實施資安計畫,包含個人資訊和機敏資料的管理、技術和企業保障措施,將能夠於侵權訴訟中,主張適用避風港條款。 法令內明列評估企業所建立的資安計畫規模和範圍是否適當之要素,包含: 1. 企業的規模和複雜性; 2. 企業的活動性質和範圍; 3. 受保護資訊的敏感性; 4. 使用資安防護工具之成本和可用性; 5. 企業可運用的資源。 (一)當前產業認可的資安標準、框架 除與佛羅里達州法案所列舉業界認可的資安標準之前六項相同,另增加: 1 NIST SP 800-76-2個人身分驗證生物辨識規範(Biometric Specifications for Personal Identity Verification)[9]。 2. 資安成熟度模型認證(The Cybersecurity Maturity Model Certification, CMMC)至少達到第2級,並經外部驗證(external certification)。 (二)特定法令規範 除與佛羅里達州法案所列舉特定法令之前四項相同,另增加:由聯邦環境保護局(Environmental Protection Agency, EPA)、資安暨基礎設施安全局(Cybersecurity and Infrastructure Security Agency, CISA)或北美可靠性公司(North American Reliability Corporation)[10]所採用任何適用於關鍵基礎設施保護的規則、法規或指南。 惟目前法案已於2024年3月27日被西維吉尼亞州長否決[11],其表示透過安全港條款鼓勵企業實踐資安框架雖立意良好,但也可能遭濫用而帶來不當影響,例如TikTok等大型國際企業,如在違背公民意願情況下共享個人資料時,將免於訴訟,恐有損其公民權益,未來州政府將與利害關係人持續進行協商。 參、事件評析 佛羅里達州和西維吉尼亞州近期同步公布有關限制企業於資安事件之責任相關法案,內容亦為相似,西維吉尼亞州之法案目前已遭否決,主要係擔心該豁免條款遭到不當濫用;佛羅里達州之法案亦因對於企業保障過廣與無法保障消費者個資安全考量,而遭州長否決。 法案中明列受產業普遍認可的資安標準、框架與政府所頒布特定法令,有助企業明確遵循與採納,建立與實施資安計畫,惟如何舉證所建立之資安計畫或實施之資安措施,與法案所列之資安標準、框架,或是特定法令規範,具有實質上的一致性,仍不明確,將可能阻礙企業於訴訟上行使抗辯與主張責任豁免權。未來美國如何權衡產業穩健發展與民眾個資保障,仍有待持續觀察。 [1] Chapter 1354 - Ohio Revised Code, Ohio Laws, https://codes.ohio.gov/ohio-revised-code/chapter-1354 (last visited May 24, 2024). [2]Part 7 Cybersecurity Affirmative Defense Act, Utah StateLegislative, https://le.utah.gov/xcode/Title78B/Chapter4/78B-4-P7.html (last visited May 24, 2024). [3]Frederick Scholl, Connecticut’s New Breach Notification and Data Security Laws: Carrots and Sticks, Quinnipiac University, July,1,2021,https://www.qu.edu/quinnipiac-today/connecticuts-new-breach-notification-and-data-security-laws-2021-07-01/ (last visited May 24, 2024). [4]CSHB 473-Cybersecurity Incident Liability, The Florida Senate,https://www.flsenate.gov/Session/Bill/2024/473 (last visited Jun. 28, 2024). [5]資安中心( The Center for Internet Security, CIS)為美國非營利組織,負責推動CIS Controls,針對實際發生的資安攻擊行為提供防禦建議,作為企業保護 IT 系統和資料時可參考之最佳實務作法。資料來源:About us, Center for Internet Security, https://www.cisecurity.org/about-us (last visited Jun. 6, 2024). [6]What is HITRUST?, Schneider Downs,https://schneiderdowns.com/cybersecurity/what-is-hitrust/ (last visited May 24, 2024). [7]Governor of Florida, Vote letter for House Bill 473(2024), https://www.flgov.com/wp-content/uploads/2024/06/Veto-Letter_HB-473.pdf (last visited Jun. 28, 2024). [8]2024 REGULAR SESSION ENROLLED Committee Substitute for House Bill 5338, WEST VIRGINIA LEGISLATURE,https://www.wvlegislature.gov/Bill_Status/bills_text.cfm?billdoc=hb5338%20sub%20enr.htm&yr=2024&sesstype=RS&i=5338 (last visited May 24, 2024). [9]NIST SP 800-76-2 Biometric Specifications for Personal Identity Verification, National Institute of Standards and Technology, https://csrc.nist.gov/pubs/sp/800/76/2/final (last visited May 24, 2024). [10]北美電力可靠性公司(North American Electric Reliability Corporation, NERC),為一家非營利機構,致力推動關鍵基礎設施保護相關標準,以強化北美大規模電力系統(亦即電網)的可靠性和安全性,資料來源:https://www.nerc.com/Pages/default.aspx (last visited May 24, 2024). [11]Governor of West Virginia, Enrolled Committee Substitute for House Bill 5338(2024),https://www.wvlegislature.gov/Bill_Text_HTML/2024_SESSIONS/RS/veto_messages/HB5338.pdf (last visited May 24, 2024).