澳洲聯邦法院判決藥品仿單受著作權保護
澳洲聯邦法院近日在Sanofi-Aventis Australia Pty Ltd與Apotex Pty Ltd一案中([2011] FCA 846)，首次針對記載藥品資訊的仿單著作權侵權問題進行處理。法院判決Sanofi的Leflunomide藥品仿單含有Sanofi員工相當的知識與判斷，係Sanofi員工的共同著作，受到著作權的保護。法院並進一步判決Apotex的Leflunomide藥品仿單重製了Sanofi 的Leflunomide藥品仿單的重要部分，在係爭案件中，亦無法推斷出有默示的授權，因此判決Apotex侵犯了Sanofi的Leflunomide藥品仿單的著作權。
儘管藥品仿單的複雜問題目前仍備受爭議與討論，澳洲將在醫療物品修正法案(Therapeutic Goods Legislation Amendment (Copyright) Act 2011)中，針對相關問題加以釐清。前述修正案針對1968年著作權法(Copyright Act 1968)新增44BA條，該條項賦予在1989年醫療產品法(Therapeutic Goods Act 1989)25AA條款下有關醫藥產品資訊的合理使用範疇，明確規範包括供給、重製、發行、散佈/傳播(communicating)、改作等利用全部或部分醫療藥品資訊的行為不侵害產品資訊的著作權。
.Pindent{text-indent: 2em;} .Noindent{margin-left: 22px;} .NoPindent{text-indent: 2em; margin-left: 38px;} .No2indent{margin-left: 3em;} .No2Pindent{text-indent: 2em; margin-left: 3em} .No3indent{margin-left: 4em;} .No3Pindent{text-indent: 2em; margin-left: 4em} 美國消費者金融保護局發布最終規則強化消費者金融資料控制權與隱私保護 資訊工業策進會科技法律研究所 2024年12月10日 美國消費者金融保護局（Consumer Financial Protection Bureau, CFPB）於2024年10月22日發布最終規則以落實2010年《消費者金融保護法》（Consumer Financial Protection Act, CFPA）第1033條規定之個人金融資料權利[1]，該規則即通常所稱之「開放銀行」（Open Banking）規則。 壹、事件摘要 本次CFPB頒布最終規則旨在賦予消費者對其個人金融資料更大的權利、隱私與安全性。透過開放消費者金融資料，消費者得更自由地更換金融服務提供者以尋求最佳交易，從而促進市場競爭，並激勵金融機構精進其產品與服務[2]。 貳、重點說明 最終規則要求資料提供者在消費者及授權第三方之請求下，提供消費者金融產品或服務相關資料，並應以消費者及授權第三方可使用之電子形式提供。最終規則亦制定標準，以促進資料標準化格式（standardized formats）之發展和使用，同時規範第三方近用消費者資料義務，包括對資料之蒐集、利用及保留限制。相關重點如下： 一、受規範機構主體 最終規則規範對象為資料提供者（data provider），包含銀行、信用合作社等存款機構（depository institution）；發行信用卡、持有交易帳戶、發行用於近用帳戶設備或提供支付促進服務（payment facilitation service）等非存款機構[3]。值得注意者，最終規則將數位錢包（digital wallet）及支付應用程式（payment app）業者納入資料提供者範圍，亦即被廣泛使用的金融科技服務亦將受到開放銀行規範體系之約束。此外，資料提供者不得向消費者或第三方收取資料近用之費用。 二、受規範資料範圍 最終規則規範之資料範圍涵蓋：資料提供者控制或擁有之24個月內之歷史交易資訊、帳戶餘額、付款資訊、契約條款與條件、即將到期之帳單、以及基本帳戶驗證資訊（Basic account verification information）等[4]，消費者得授權第三方近用此類資料。至於機密商業資訊、蒐集資料僅用於防止詐欺、洗錢，或為偵測或報告其他非法及潛在非法行為，又或基於其他法律要求保密之資訊，以及在正常業務過程中無法檢索之資料，則豁免最終規則之適用[5]。 三、消費者與開發者介面 根據最終規則，資料提供者須建立及維護兩個獨立的介面以利資料之近用，包含：消費者介面，例如提供消費者近用其資料之入口網站，以及授權第三方之開發者介面（developer interface），例如應用程式介面（Application Programming Interface, API），雖最終規則不要求使用任何特定技術，然仍要求資料提供者須以標準化機器可讀格式（Standardized and Machine-Readable Format）提供資料，介面功能要求須達每月最低99.5%之回應率（response rate）[6]。此類資訊須在每月最末日前揭露於資料提供者網站上。此外，介面之設計須遵守《美國金融服務業現代化法》(The Gramm-Leach-Bliley Act, GLBA)」及聯邦貿易委員會（Federal Trade Commission, FTC）之《消費者資訊保障標準》(Standards for Safeguarding Customer Information)等消費者資料保護法規義務[7]。 四、授權第三方之行為義務 授權第三方（authorized third party）為代表消費者向資料提供者請求近用資料，藉以提供消費者產品或服務者。為解決隱私與資料安全問題，該規則對尋求近用消費者資料之第三方提出數項要求[8]，包含但不限於： （一）知情同意之取得 第三方須取得消費者明確知情同意（express informed consent），以便代表消費者近用資料。 （二）資料利用之限制 第三方須確保將其資料之蒐集、利用及保留限制在提供消費者所請求的產品或服務之合理必要範圍內。就此部分，精準廣告（targeted advertising）、交叉銷售（Cross-selling），以及銷售資料並非提供產品或服務之合理必要範圍。 （三）遵守聯邦法規 第三方須依GLBA第501條規定或FTC之《消費者資訊保障標準》確保在其系統中採用「資訊安全計畫」（information security program）。 （四）政策與程序文件要求 第三方應擁有合理書面政策和程序，以確保從資料提供者處準確接收資料，並提供於其他第三方，即資料正確性之確保。 （五）資料撤回權之確保 第三方應向消費者提供撤回第三方授權之方法，撤回過程須簡易明瞭。在第三方收到消費者撤回授權之請求時，應通知資料提供者以及已向其提供消費者資料之其他第三方。 （六）第三方監督義務 第三方應透過契約要求其他第三方在向其提供消費者資料前遵守特定第三方法定義務。 （七）資料保存期限 消費者資料之保存期限最長為一年。若繼續蒐集，第三方應取得消費者重新授權。若消費者不提供重新授權或撤回授權，第三方應停止資料之蒐集，並停止利用與保留先前蒐集之資料。 五、實施日期 最終規則將依機構資產規模分階段實施[9]，最大規模之機構（資產總額為2500億美元以上之存款機構資料提供者，以及在2023年或2024年任一年中，總收入達到100億美元以上之非存款機構資料提供者）須在2026年4月1日前遵守最終規則。對於規模最小之機構（資產總額低於15億美元但高於8.5億美元之存款機構資料提供者）須於2030年4月1日前遵守該規則。另總資產低於8.5億美元之存款機構不受該規則限制，以減輕小型銀行及信用合作社合規負擔。 參、事件評析 CFPB之CFPA第1033條最終規則將重塑美國金融市場之監理格局，由市場驅動之開放銀行框架走向由政府透過法規實質監理之管制措施，要求業者開放消費者資料。值得留意者，歐盟執委會（European Commission）2023年6月推出之「金融資料近用」（Financial Data Access, FiDA）草案[10]亦基於消費者賦權理念，強化消費者對其資料權利之控制權。由此可觀察國際間金融資料利用與監理規範逐漸走向以消費者資料自主為中心之法制架構，當代金融資料監理趨勢或值得我國主管機關及業者留意關注，除可作為我國金融資料法制與政策制定之參考，亦供我國企業布局全球化金融服務提前作好準備。 [1]Required Rulemaking on Personal Financial Data Rights, 89 Fed. Reg. 90838. [2]Consumer Financial Protection Bureau, CFPB Finalizes Personal Financial Data Rights Rule to Boost Competition, Protect Privacy, and Give Families More Choice in Financial Services, available at https://www.consumerfinance.gov/about-us/newsroom/cfpb-finalizes-personal-financial-data-rights-rule-to-boost-competition-protect-privacy-and-give-families-more-choice-in-financial-services/(last visited Dec. 5, 2024). [3]12 C.F.R. § 1033.111. [4]12 C.F.R. § 1033.211. [5]12 C.F.R. § 1033.221. [6]12 C.F.R. § 1033.311. [7]See id. [8]12 C.F.R. § 1033.421. [9]12 C.F.R. § 1033.121. [10]Proposal for a REGULATION OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL on a framework for Financial Data Access and amending Regulations (EU) No 1093/2010, (EU) No 1094/2010, (EU) No 1095/2010 and (EU) 2022/2554.
歐盟「藥品法規包裹法案」（Pharma Package）重點說明與簡析歐盟「藥品法規包裹法案」（Pharma Package）重點說明與簡析 資訊工業策進會科技法律研究所 2025年09月10日 歐盟理事會（the Council of the European Union）於2025年6月4日就歐盟「藥品法規包裹法案」（Pharma Package）取得一致立場，且正與歐洲議會及歐盟執委會展開三方協商（trilogue），以共同研議最終立法版本[1]。法案預計於2026年初進行表決，若順利通過且加上過渡期，最快將於2028年正式施行，並可能重塑歐盟藥品市場之上市與投資規劃。 壹、背景摘要 有鑑於歐盟現行的藥品法規制度，自2004年修正後施行至今已逾20年，難以充分回應公共衛生需求、藥品可及性落差以及國際市場競爭等多重挑戰。因此，歐盟執委會（European Commission, EC）於2023年4月公布「藥品法規包裹法案」，旨在強化藥品供應鏈穩定性、提升藥品創新與競爭力，以建立更公平、具韌性與永續性的歐洲醫藥市場[2]。而2024年4月歐洲議會（European Parliament）[3]、2025年6月歐盟理事會亦分別提出不同版本，以促進歐洲整合為單一藥品市場。 本次改革對生技製藥產業影響深遠，為協助我國製藥產業在進入歐洲市場前先行掌握相關動向，以下將進行重點說明與分析。 貳、立法重點與比較 一、藥品監管保護期間之修正 在本次藥品法規包裹法案中，有關藥品監管保護期間之修正，為歐盟執委會、歐洲議會與歐盟理事會分歧最大，也是外界高度關注之核心重點。首先，現行歐盟新藥保護是由8年資料專屬保護期（Regulatory Data Protection, RDP）[4]與2年市場獨占期（Market Exclusivity, ME）所構成[5]，若於資料專屬保護期間內取得新適應症可再延長1年市場獨占期，亦即保護期共為10~11年。 歐盟執委會則提議將資料專屬保護期縮短至6年，並搭配延長誘因機制，最多可再延長3年，條件包含： 1.滿足現有醫療需求可延長0.5年。 2.藥品在所有歐盟成員國上市可延長2年。 3.進行比較性臨床試驗可延長0.5年。 此外，不同於現行制度將新適應症延長1年納入市場獨占期，歐盟執委會則提議將此移至資料專屬保護期，因此合併原有2年市場獨占期後，保護期共為8~12年。 反之，歐洲議會則擬將資料專屬保護期調整為7.5年，並同樣設有延長誘因機制，但總延長上限至多1年，條件包含： 1.滿足現有醫療需求可延長1年。 2.進行比較性臨床試驗可延長0.5年。 3.在歐盟境內透過公私協力進行研發可延長0.5年。 若公司另取得比現有療法更有顯著臨床優勢之新適應症，則原有2年市場獨占期可再延長1年，合併計算後保護期共為9.5~11.5年。 而歐盟理事會則不同於歐盟執委會、歐洲議會，選擇將資料專屬保護期維持現行8年，但無法再延長。然而，市場獨占期則提議縮減為1年，但若符合特定條件則可再延長至2年，合併計算後保護期共為9~10年。條件包括： 1.滿足現有醫療需求。 2.產品含有新活性物質，並同時符合以下3項要件： (1)上市許可申請具關聯性且有證據基礎的比較性臨床試驗結果作為支持。 (2)在一個以上的歐盟成員國內進行臨床試驗。 (3)申請人須證明已優先於歐盟申請上市許可，或於首次向歐盟以外地區提出申請後90日內完成歐盟上市申請。 圖一、歐盟藥品法規包裹法案提議版本比較 資料來源：本研究整理 二、針對抗菌藥物引入創新研發機制 抗菌藥物抗藥性（Antimicrobial resistance, AMR）為近年全球公共衛生重要議題，並為世界衛生組織（World Health Organization, WHO）所列全球十大健康威脅之一[6]。因此，除嚴格限制抗菌藥物濫用外，為有效促進新型抗菌藥物之研發，本次藥品法規包裹法案中亦引入「可轉讓資料專屬保護權憑證」（Transferable Exclusivity Voucher, TEV）作為獎勵措施。 使用此憑證可賦予持有人額外1年資料專屬保護期，且除可用於抗菌藥品外，亦可適用於公司內其他更具商業價值藥品，或將此憑證轉賣給其他藥廠，為藥廠提供額外收入，但每張憑證僅能轉讓一次。 考量到憑證可能被用於商業利益龐大之藥品，藉此延緩學名藥與生物相似藥進入市場，並影響病患取得藥物之可及性，歐盟執委會於提議時亦強調此制度預計僅實施15年，或至多核發10張憑證後即停止適用[7]。此外，在歐盟執委會所提議之版本中，對於憑證使用亦設有限制，包含必須於憑證核發後5年內使用，且僅限用於尚在資料專屬保護期前4年之藥品，以確保市場可預測性。 歐洲議會與歐盟理事會雖然大致表態支持，但對憑證效力採取不同立場。歐洲議會態度較為保留，其提議使用憑證所額外延長之資料專屬保護期應依據抗菌藥品優先等級區分為6個月、9個月或12個月，且同樣受有總延長至多1年之限制。換言之，在歐洲議會提議版本下，無論延長事由為何，資料專屬保護期至多僅能延長至8.5年。 相對而言，歐盟理事會並未採納歐洲議會之提議，而是維持歐盟執委會提出增加1年資料專屬保護期之優惠設計。然而，為避免過度限制市場競爭，歐盟理事會亦新增規定，若憑證用於非抗菌藥品，則僅能在該藥品資料專屬保護期的第5年使用，且須證明過去4年內該藥品任一年銷售額均未超過4.9億歐元。 參、總結 「藥品法規包裹法案」反映出歐盟執委會、歐洲議會與歐盟理事會對新藥保護政策之差異，雖然三者皆試圖在鼓勵創新研發與提升藥品可近性之間取得平衡，但在藥品監管保護期間具體設計上仍有差異。歐盟執委會雖提議縮減資料專屬保護期，但也透過延長制度維持研發誘因。而歐洲議會則提議更高的初始保護門檻，但限制總延長期，且更著重在鼓勵研發活動而非市場擴張。至於歐盟理事會則維持現行保護年限，以持續激勵研發投入，但也透過縮短市場獨占期，加速學名藥與生物相似藥上市，以降低藥品價格並滿足醫療需求。 至於「可轉讓資料專屬保護權憑證」制度固然能為抗菌藥物提供研發誘因，但也伴隨著一定的潛在風險與利益分配爭議，如何確保該制度所帶來之公共利益超過公共衛生成本與風險，仍取決於未來最終立法版本應該如何調整與落實。對於我國製藥產業而言，此次改革有可能加速學名藥與生物相似藥進入歐洲市場，亦可能因延長誘因制度而遲延競爭時機，故仍應持續密切關注並審慎調整研發與市場策略。 [1]EUROPEAN COUNCIL, ‘Pharma package’: Council agrees its position on new rules for a fairer and more competitive EU pharmaceutical sector (2025), https://www.consilium.europa.eu/en/press/press-releases/2025/06/04/pharma-package-council-agrees-its-position-on-new-rules-for-a-fairer-and-more-competitive-eu-pharmaceutical-sector/#:~:text=The%20Council's%20position&text=obligation%20to%20supply%3A%20a%20new,patients%20in%20the%20member%20state (last visited Aug. 28, 2025). [2]EUROPEAN COMMISSION [EC], Reform of the EU pharmaceutical legislation (2023), https://health.ec.europa.eu/medicinal-products/legal-framework-governing-medicinal-products-human-use-eu/reform-eu-pharmaceutical-legislation_en (last visited Aug. 28, 2025). [3]EUROPEAN PARLIAMENT, Parliament adopts its position on EU pharmaceutical reform (2024), https://www.europarl.europa.eu/news/en/press-room/20240408IPR20308/parliament-adopts-its-position-on-eu-pharmaceutical-reform (last visited Aug. 28, 2025). [4]「資料專屬保護期」是指專利藥提出新藥上市申請時，所檢附證明藥品安全性與療效之相關申請數據資料，其他藥廠非經原廠同意，於法定保護期間內不得引用，為行政機關針對原廠新藥上市申請資料給予之保護權益。詳請參考：台灣光鹽生物學苑，〈【醫藥小專欄】什麼是資料專屬權（data exclusivity）〉，台灣光鹽生物學苑，https://www.biotech-edu.com/%E3%80%90%E9%86%AB%E8%97%A5%E5%B0%8F%E5%B0%88%E6%AC%84%E3%80%91%E4%BB%80%E9%BA%BC%E6%98%AF%E8%B3%87%EF%A6%BE%E5%B0%88%E5%B1%AC%E6%AC%8A-data-exclusivity/ （最後瀏覽日：2025/08/28）。 [5]「市場獨占期」則是指在一定期間內，即使學名藥或生物相似藥已可向主管機關提出上市許可之申請並獲得核准，但仍不得實質上市銷售，須直到市場獨占期屆滿為止。市場獨占期與資料專屬保護期之比較，詳請參考：Specialist Pharmacy Service, Understanding data exclusivity and market protection (2025), https://www.sps.nhs.uk/articles/understanding-data-exclusivity-and-market-protection/ (last visited Aug. 28, 2025). [6]〈世界抗生素週〉，衛生福利部疾病管制署，https://www.cdc.gov.tw/En/Category/MPage/t2VWXn93ooNVJPuQRF7jzg （最後瀏覽日：2025/08/28） [7]CROWELL & MORING LLP, The New EU “Pharma Package”: The transferable exclusivity voucher—A comparison of Commission/Parliament/Council positions(2025),https://www.crowell.com/en/insights/client-alerts/the-new-eu-pharma-package-the-transferable-exclusivity-vouchera-comparison-of-commissionparliamentcouncil-positions (last visited Aug. 28, 2025).
歐洲專利局(EPO)發布新版審查指南明訂申請人就提交之人工智慧內容負責歐洲專利局於2026年4月所生效的歐洲專利局審查指南（Guidelines for Examination in the European Patent Office，下稱審查指南），此次新增General Part, 5人工智慧使用部分，說明專利提交文件若包含人工智慧所產出的部分，仍由文件提交人對其內容進行負責，明確定義人工智慧只是輔助工具。 審查指南於2024年在Part G, Chapter II, 3.3.1人工智慧與機器學習部分，增加人工智慧工具達成效果之特徵需被揭露並具可被再現性之要求，於2025年進一步明確定義人工智慧工具之使用需對於技術具有貢獻才會被視為技術特徵，2026年另於Part F, Chapter III, 3公開揭露資訊不足（Insufficient disclosure）部分，說明若與人工智慧相關之專利，所揭露之數學方法、訓練集等資訊揭露不足會無法滿足可據以實施的要求，新增如申請範圍揭露內容未能使人相信可達成技術效果為例子，此次審查指南僅是針對專利文件揭露要求的補充，並未對於使用人工智慧工具所產出的技術內容認定增加著墨，顯見就人工智慧工具產出技術的專利要件在實務認定上已可被執行，此次修改在明定自然人／申請人使用人工智慧工具對於所提交文件內容仍應負起責任。 智財法規與相關審查實務可能會因應新興技術而有變動調整，故企業在建立內部智財管理制度後，亦應檢視制度得否因應外部變化而產生新的風險並評估制度是否調整。以前述歐洲專利局近年來持續因應人工智慧議題明確審查標準為例，建議企業可因應專利審查標準對於人工智慧相關技術之說明檢視現行機制是否需要調整，例如檢視現行研發紀錄得否區隔人員與人工智慧之產出紀錄或貢獻程度、專利提案審查是否確認運用人工智慧所揭露部分是否符合可再現性、可據以實施之要求等，以有系統的持續變化調整組織內部智財管理制度。企業可參考台灣智慧財產管理規範建立管理循環，落實管理制度的定期檢視，以系統化方式因應外部環境持續優化內部智財制度。 本文為資策會科法所創智中心完成之著作，非經同意或授權，不得為轉載、公開播送、公開傳輸、改作或重製等利用行為。 本文同步刊登於TIPS網站（https://keid.nat.gov.tw/tips/）
機關實體安全維護現行法制與實務運作之研析（下）機關實體安全維護現行法制與實務運作之研析（下） 科技法律研究所 2013年08月25日 貳、澳洲防護性安全政策架構：機關實體安全維護政策暨相關規範 一、「防護性安全政策架構」概說 防護性安全政策架構（Protective Security Policy Framework）[1]由澳洲司法部（Attorney-General’s Department）發布，最新版本修訂於101年12月，其宗旨在協助機關有效鑑別安全風險容忍度的等級、達成安全維護之要求並因應各機關業務目標發展適合的安全文化，同時也能達到預期的行政效能、獲得人民及國際間的信任。其架構設計成四個層次。 最上層為「政府業務安全性指令（Directive on the security of government business）」，屬於防護性安全政策架構的基石，訂明機關及委外廠商的安全性要求。第二層進一步訂定「核心政策/法定強制要求（Core Policies/Mandatory Requirements）」，核心政策從三大面向出發：人員安全、資訊安全及實體安全。第三層則分別就三大核心政策制訂細節性的實施指引、安全保護措施和風險管理文件的範本，包含應用標準，使所有機關作法具一致性，使跨部門的業務執行更加順暢。最末層則為「機關特定防護安全政策與程序（Agency-Specific Protective Security Policies& Procedures）」，協助機關發展出合乎自身特性和業務需求的專屬政策和程序，同時補充和支援其他機關的的營運程序。 二、機關實體安全管理指引：管制區及風險減輕控制[2] 本指引的規範客體為政府機關內所有人員及接受政府機關委外安全維護服務的承包商（contractor）及個人。保護範圍涵蓋所有政府設備設施、實體資產及機關人員駐點場所，但若澳洲法律有比本指引更嚴格的要求，應優先遵守。規範內容可分成四大項：降低風險與確保措施（risk mitigation and assurance measure）、管制區方法論及要求（the security zones methodology and requirements）、個別控制要素（detail of individual control measures）、行政管理上的實體安全要素（Physical security elements in administrative security）。 （一） 降低風險與確保措施 機關應依指定之標準和要求進行風險評估[3]及風險管理[4]。風險評估是設計安全維護措施的基礎，且至少每兩年便應重新評估。又機關可能因為某些特別的原因易生潛在的特定威脅，需要額外的加強實體安全性，機關可以透過檢視自己業務是否具爭議性、辦公場所地區犯罪發生率、出入訪客數量及以往發生衝突的機率、是否因持有特定資訊或資產而易於成為攻擊目標、設施是否與民間企業共構及其他誘因等進行風險評估。 接著，機關應依風險程度差異區分不同安全等級的工作區，或區分上下班時間，評估可能遇到不同的風險。例如，上班時間會有洽公民眾或訪客，需特別注意內部威脅；下班後則要特別注意外部入侵問題。又辦公室動線的設計與有效的安全控制攸關，故可以考慮進行「關鍵路徑規劃（Critical path）」，亦即在動線設計上，讓可能的外來危險入侵到辦公場所核心領域的成功時間盡可能延長，使應變小組有時間偵測、延遲並能及時回應跟阻止入侵。最後，機關若能擁有獨立建物時，於設計時需考量「透過環境設計預防犯罪（Crime prevention through environmental design/CPTED ）」，避免建物有太多死角而易於進行不法或犯罪行為[5]。 （二）管制區方法論及要求 管制區（Security Zone）共分為五個安全等級，也就是依風險評估劃分工作區，並賦予相應的控管措施[6]。機關得按自身需求決定要設置幾個等級的管制區。例如，一級管制區指公眾可出入的場所、車輛會不斷進出的作業區，故得使用、儲存的資訊及資產敏感性不得超過一定等級；二級管制區是所有員工及委外廠商的自由出入的區域，公眾在一定條件下得出入，通常是指標準辦公場所、機場工作區或具一定隔離、出入管制措施的訪客區或展示區；三級以上管制區則對於能進出的內部人員的資格益加限縮，且外部人士或委外廠商可能需由專人全程護送，同時也能使用或儲存高重要性的資產和資訊，如情報機構本身即屬五級管制區。 （三）個別控制要素 此部分在提供機關判斷、選擇控制措施的準則，機關可以根據風險評估的結果選擇相應的安全控制措施，共分為15項，主要包括了澳洲安全建設及設備委員會（The Security Construction Equipment Committee/SCEC）認可的產品目錄清單及產品選擇標準的指導手冊、建築物安全配備的標準、警報系統與相關設備、門禁管制、訪客管控、警衛與保全人員的聘用、安全置物箱或保險庫及周遭環境的安全管制（Perimeter access control）等。 又警衛與保全人員之聘用，必須擇用有證照者。澳洲依行政區有不同的保全證照制度與規定[7]，以澳洲首都區（ACT）為例，主要係依2003年保全業法（Security Industry Act 2003）[8]、2011年保全業修正法（Security Industry Amendment Act 2011）[9]及2003保全業規則（Security Industry Regulation 2003）[10]，證照共分五種：保全公司證照、保全人員證照、保全教官證照、見習保全證照及臨時保全證照。保全證照每三年需換發一次。另外，若在販賣酒精的場所工作或需使用槍枝，則需另外取得許可。 澳洲保全業的主管機關為法制服務辦公室（Office of Regulatory Service），職掌教育訓練、監督與查核、自我規範、資訊分享及強制執行。主要查核項目為定期檢查及工時外的抽查（afterhours inspection），前者著重於申訴案，證照的暫時中止或撤銷懲處；後者著重於高風險事件，例如非法經營的保全公司、不適當行為及保全業非法雇用未成年人員等[11]。 （四）行政管理上的實體安全要素 在行政作業程序上，機關得運用一些實體設備設施達成安全管理的需求，例如在傳遞小量的實體資產或資訊（如公文紙本）至其他機關，應使用保險箱、集裝箱；又銷毀機密紙本時使用碎紙機或水銷方式等。 三、防護性安全管理指引：委外服務與職能安全性 [12] 本指引在協助機關將業務委外時，如何建立完善的委外政策和擬定契約，詳述防護性安全政策架構4.12節以及機關要如何遵守政策架構下第12條規定：「機關必須確定委外服務廠商遵守本政策架構及所有的防護性安全規則書（protective security protocols）的要求」。由於委外服務的執行人員能夠進入機關內部辦公場所、接近機關資訊資產，故機關有責任建立人員安全控管程序（necessary personnel security procedures），管理委外服務的安全性風險。本指引提供一個持續性、結構性的方法幫助機關決定：委外廠商經營場所應有的安全維護措施、委外廠商使用人員的安全調查程序（security clearance requirements）及契約中安全管理措施的約定（protective security management arrangements）[13]。 契約中必須明訂委外廠商應遵守的相關法律規定、機關所需的必要安全維護要求與遵守期間、規律和持續性的監督辦法（例如機關代表可進入委外廠商的經營場所進行查核，檢視各項紀錄或設備設施）及危安事件發生時廠商的通報義務。機關依防護性安全政策架構所擬訂獨有的政策與程序，其內容必須於契約中明確的約定，不允許概括約定委外廠商必須遵守防護性安全政策架構。又機關的安全性要求可能會隨時間而變化，所以該部分的約定宜與本約分開，以利日後修正與變更。 若委外廠商的執行人員因業務得接近機密或敏感性資訊資產，必須通過安全查核程序（Security Clearance）[14]；若不需接受安全查核，則需簽署保密條款（Non-Disclosure Agreement），機關應諮詢法律專業意見制訂屬於機關本身特定的保密條款[15]，有複委外情形時亦同。機關可以從澳洲政府安全調查局（Australian Government Security Vetting Agency /AGSVA）調出相關人員的安全調查資料，如果該人員擁有尚未逾期且屬機關需求等級的安全資格，機關就不需要再做一次調查。 參、建議與結語 藉由對澳洲立法例之研析，可發現澳洲對於機關的辦公場所、設備設施及出入之內外部人員的控管，有嚴謹縝密的管理機制與具體標準供機關依循。相較於此，我國相關法制框架尚有強化空間，建置更明確性、細節性之規範及標準作業流程。例如我國法制上僅有「責任區」的概念，可考慮引進「管制區」及「關鍵路徑規劃」等項目。其次，機關宜將自訂的安全維護機制確實內化至與委外保全業者的契約內，訂明權利義務關係、落實監督管理辦法、監控畫面資料儲存、備份和刪除方式及保密義務範圍（如機關監視系統配置、巡邏時間）等，另考量當機關日後對於安全性要求之修正與變更可能，委外契約與安全性要求的細部文件宜分開訂立。至人員管控部分，應重視預防勝於治療之概念，於適當時（例如對負責監控機關內部監視系統或夜間巡邏等對機關生態、人員活動及弱點相當清楚者）採取如澳洲的安全查核程序，對人員擔任保全工作的適性程度進行評價，而不僅以保全業法所訂之資格條件作為唯一判準。 末者，機關之實體安全維護，是否適合全權委外保全業者，尤以本身屬高重要性的機敏機關而言，值得再斟酌，在保全人員素質頗受爭議與警政機關因業務繁重而無法有效輔導管理保全業的困境下，或可考慮是否有必要在組織內編列專職維安人員。 [1]Australian Government: Attorney-General’s Department （2012, December）. Protective Security Policy Framework-securing Government business. Version1.5. Retrieved from http://www.protectivesecurity.gov.au/pspf/Documents/Protective%20Security%20Policy%20Framework%20amended%20December%202012.pdf （last accessed May.29,2013） [2]Australian Government: Attorney-General’s Department （2011, June）, Physical security management guidelines: Security zones and risk mitigation control measures, Retrieved from http://www.protectivesecurity.gov.au/physicalsecurity/Documents/Security-zones-and-risk-mitigation-control-measures.pdf ,下稱「本指引」. [3]Australian Standard AS/NZS ISO 31000:2009 Risk Management–Principles and guidelines, Australian Standards HB 167:2006 Security risk management. [4]Australian Standards HB 167:2006 Security risk management . [5]相關建議可參考以下連結：Designing Out Crime: crime prevention through environmental design,Crime Prevention through Environmental Design Guidelines for Queensland. [6]詳細規定由機關安全顧問（Agency security advisers /ASAs）發布，請參本指引第15至20頁 [7]Australian Security Industry Association Limited （n.d.）. Information about security licensing requirements and regulators in each state or territory. Retrieved from http://www.asial.com.au/Whoshouldholdasecuritylicence.（last accessed June.4,2013）. [8]ACT Government（n.d.）. Security Industry Act 2003..Retrieved from http://www.legislation.act.gov.au/a/2003-4/default.asp（last accessed June.4,2013） . [9]ACT Government（n.d.）. Security Industry Amendment Act 2011. Retrieved from http://www.legislation.act.gov.au/a/2011-37/ （last accessed June.4,2013）.其他相關規範請參http://www.ors.act.gov.au/industry/security_industry/legislation （last accessed June.4,2013）. [10]ACT Government（n.d.）. Security Industry Regulation 2003. Retrieved from http://www.legislation.act.gov.au/sl/2003-30/default.asp （last accessed June.4,2013）. [11]ACT Government（n.d.）.Security Industry Licensing Practice Manual. Retrieved from http://www.ors.act.gov.au/publication/view/1689/title/security-industry-licensing-practice-manual （last accessed June.4,2013）. [12]Australian Government: Attorney-General’s Department （2011, September）. Protective security governance guidelines-security of outsources services and functions. Version1.0. Retrieved from http://www.protectivesecurity.gov.au/governance/contracting/Pages/Supporting-guidelines-for-contracting.aspx （last accessed June.7, 2013）. [13]「防護性安全措施」Protective security依澳洲政府所發佈的「專門術語詞彙表」（glossary of security terms）的定義，指一套包括程序、實體、人員及資訊四大方向的安全維護措施，保護資訊、機關機能運作、內部人員和外部訪客。請參http://www.protectivesecurity.gov.au/pspf/Pages/PSPF-Glossary-of-terms.aspx [14]請參PSPF Australian Government personnel security core policy – PERSEC 1.。 [15]請參本指引第11頁的附件A：NDA範本。