奈米產業民間導引規範先行－以美國推動奈米保險機制及自願性計畫法制為例
本文為「經濟部產業技術司科技專案成果」
李科逸
副主任 編譯整理
2022年3月9日美國聯邦第二巡迴上訴法院（下稱上訴法院）於Turret Labs USA, Inc. （下稱Turret） v. CargoSprint, LLC（下稱CargoSprint）案，維持紐約東區聯邦地區（下稱原審法院）的結論，駁回Turret的請求。依照上訴法院判決的結論，確認在原告主張軟體功能被盜用時，必須證明其與軟體供應商及使用者均簽訂保密協議，始符合保護營業秘密法（Defend Trade Secrets Act，DTSA）所定之營業秘密。 2021年2月Turret指控CargoSprint及其CEO，以詐欺的方式，進入其授權Lufthansa Cargo Americas（下稱Lufthansa）使用的Dock EnRoll軟體，並對於軟體的技術資訊及演算法，進行逆向工程，盜用其營業秘密。CargoSprint則抗辯Turret所主張者，不成立營業秘密。 對於軟體功能的合理保密措施認定標準，不論是原審法院及上訴法院均指出，應在於「誰被允許接觸」及「保密協議」。首先，對於「誰被允許接觸」之認定，原審法院指出Turret完全把軟體控制權委由Lufthansa，而Lufthansa使其顧客了解Dock EnRoll軟體功能。上訴法院則指出雖然Lufthansa已限制僅得貨運代理相關的使用者，能夠接觸軟體，但Turret並不能證明其與Lufthansa達成協議，由Lufthansa作出前述的軟體使用者限制。其次，對於「保密協議」之認定，不論原審法院及上訴法院均指出Turret未能證明其與Lufthansa及其他軟體使用者已簽訂保密協議。綜上所述，兩審級法院均認為Turret未採取合理保密措施。 本文同步刊登於TIPS網站（https://www.tips.org.tw）
猶他州選民詳細資料遭網站公開，引起社會大眾關注據猶他州政府檔案存取及管理法（the Government Records Access and Management Act，簡稱GRAMA），該州選民註冊資料及投票歷史紀錄檔案屬於得公開資訊，據此，猶他州民得給付1,050元美金並填寫申請表，向政府申請取得全州選民數據庫之資料。 上開法令作為申請之依據，UTvoters.com創辦人Tom Alciere透過向該州政府申請並取得該州選民資訊後，建置該網站。透過該網站系統，任何人可查詢該州選民選舉資料。Tom Alciere指出，倘選民認為他們資訊被公布網站上並不合理，他們可以要求移除網站上的資訊，但這些資訊仍被記錄在該州數據庫中，且仍可被公開取得。 該州負責選舉主任委員Mark Thomas指出，倘能證明自身安全因資料遭公開而陷入危險，或具有某些情況如屬政府官員（例如州市長或參議員）等資料，基於安全考量，得移除數據庫之資料。 該州選民認為他們資料如同信用卡被竊一般的遭到洩漏，且不應被公開於網路；該州參議員Karen Mayne亦認為該不合理制度須做改變，政府一方面應鼓勵民眾參與投票，但非在過程中犧牲與公開選民的個人資料。 相關修正案之建議，限制該類資料僅能作為「政治」上的使用，且應排除與網路連結。若違反，則將面臨6個月以上有期徒刑及1,000美元以上之罰金。
日本經產省公布AI、資料利用契約指引伴隨IoT和AI等技術發展，業者間被期待能合作透過資料創造新的附加價值及解決社會問題，惟在缺乏相關契約實務經驗的狀況下，如何締結契約成為應首要處理的課題。 針對上述狀況，日本經濟產業省於2017年5月公布「資料利用權限契約指引1.0版」（データの利用権限に関する契約ガイドラインVer1.0），隨後又設置AI、資料契約指引檢討會（AI・データ契約ガイドライン検討会），展開後續修正檢討，在追加整理資料利用契約類型、AI開發利用之權利關係及責任關係等內容後，公布「AI、資料利用契約指引草案」（AI・データの利用に関する契約ガイドライン（案）），於2018年4月27日至5月26日間公開募集意見，並於2018年6月15日正式公布「AI、資料利用契約指引」（「AI・データの利用に関する契約ガイドライン）。 「AI、資料利用契約指引」分為資料篇與AI篇。資料篇整理資料契約類型，將資料契約分為「資料提供型」、「資料創造型」和「資料共用型（平台型）」，說明個別契約架構及主要的法律問題，並提示契約條項及訂定各條項時應考慮的要點，希望能達成促進資料有效運用之目的。 AI篇說明AI技術特性和基本概念，將AI開發契約依照開發流程分為（1）評估（assessment）階段；（2）概念驗證（Proof of Concept, PoC）階段；（3）開發階段；（4）進階學習階段，並針對各階段契約方式和締結契約時應考慮的要點進行說明，希望達成促進AI開發利用之目的。
歐洲議會全體會議投票通過《資安韌性法》草案，以提高數位產品安全性歐洲議會於2024年3月12日全體會議投票通過《資安韌性法》（Cyber Resilience Act）草案，後續待歐盟理事會正式同意後，於官方公報發布之日起20天後生效。該草案旨於確保具有數位元件之產品（products with digital elements, PDEs）（下簡稱為「數位產品」）具備對抗資安威脅的韌性，並提高產品安全性之透明度。草案重點摘要如下： 一、數位產品進入歐盟市場之條件 課予數位產品之製造商及其授權代理商、進口商與經銷商法遵義務，規定產品設計、開發與生產須符合資安要求（cybersecurity requirements），且製造商須遵循漏洞處理要求，產品始得進入歐盟市場。 二、數位產品合規評估程序（conformity assessment procedures） 為證明數位產品已符合資安及漏洞處理要求，依數位產品類別，製造商須對產品執行（或委託他人執行）合規評估程序：重要（無論I類或II類）數位產品及關鍵數位產品應透過第三方進行驗證，一般數位產品得由製造商自行評估。通過合規評估程序後，製造商須提供「歐盟符合性聲明」（EU declaration of conformity），並附標CE標誌以示產品合規。 三、製造商數位產品漏洞處理義務 製造商應識別與記錄數位產品的漏洞，並提供「安全更新」（security updates）等方式修補漏洞。安全更新後，應公開已修復漏洞之資訊，惟當製造商認為發布相關資訊之資安風險大於安全利益時，則可推遲揭露。 四、新增開源軟體管理者（open-source software steward）之義務 開源軟體管理者應透過可驗證的方式制定書面資安政策，並依市場監管機關要求與其合作。當開源軟體管理者發現其所參與開發的數位產品有漏洞，或遭受嚴重事故時，應及時透過單一通報平臺（single reporting platform）進行通報，並通知受影響之使用者。