英國皇家內科醫學院等三個團體聯合發布基因檢測醫療之指引建議書
近年隨基因檢測技術成熟及成本下降的影響，基於醫療診斷或照護目的，而對於血液、其他體液、細胞或DNA所進行之基因檢測行為已有逐漸增多的趨勢，惟基因資訊使用本身往往容易觸及倫理、道德或法律層面的爭議，導致專業醫療人員在實際為檢測時容易產生法規遵循上的困難；因此，若能有明確的程序或標準可供依循，將能大幅增進基因檢測技術的商業運用價值。
1. 有鑑於此，三個英國醫療團體-英國皇家內科醫學院(Royal College of Physicians)、英國皇家病理科醫學院(Royal College of Pathologists)及英國人類遺傳協會(British Society for Human Genetics)於今(2011)年9月聯合公布了一份『診療性基因使用行為的同意及秘密性：基因檢測及基因資訊的分享指引』報告書(Consent and confidentiality in clinical genetic practice：Guidance on genetic testing and sharing genetic information)。該建議書之主要目的即在於指引醫療人員在使用基因資料及樣本時，應如何遵循相關的法律規範，包括1998年資料保護法(the Data Protection Act of 1998)及人類組織法(the Human Tissue Act)等；內容上則涵蓋病患同意、基因醫療行為、家族史與醫療資訊的秘密性，以及當病患所提供之基因樣本可能作為研究用途時，應如何告知等事項。
建議書中特別強調當病患選擇接受基因檢測以獲得更好的診療建議時，基因資訊也開始對病患個人及其家族成員帶來的風險。基此，該報告對基因檢測行為提出三項主要建議：1. 基因檢測所得到的家族史及診斷資訊只有在其他家族成員出現健康照護(healthcare)需求時，才能進行共享，且必須在醫療人員不違反保密義務的前提下進行。2. 醫療人員應當告知病患包括基因調查對其近親屬的潛在好處、部分基因訊息可能會提供給家族親屬、基因檢測可能會得到不確定或非預期的發現、其所提供之樣本及基因資訊將如何被運用，以及該樣本若對於該類型之檢測具有相當重要性時，其檢測結果可能會被收錄於國家資料庫以作為未來醫療研究之用。3. 由於醫療干預行為可能會導致基因診斷(genetic diagnoses)結果的改變，所以應該由病患本人或專業醫師直接告知其親屬，此誤差所可能導致的遺傳風險(例如血友病患者的基因診斷結果發生誤差，可能導致其近親屬生下患有血友病的下一代)。
目前基因檢測技術雖已趨向商業化及普及化發展，但由於基因訊息一般被界定為個人隱私資訊，因此在使用、分享及儲存上有相當之限制規範，並造成醫療人員遵循上的難度。而英國皇家內科醫學院等三個醫療團體所公佈的這份指引建議書，在內容上聚焦於告知病患的程序及病患的同意，同時擬定明確的流程圖及同意表格供各醫療人員參考使用，相信對於未來英國基因檢測技術的普及化會有相當正面之幫助。
本文為「經濟部產業技術司科技專案成果」
德國專利商標局（DPMA）於2015年7月6日加入全球專利審查高速公路（Global Patent Prosecution Highway，簡稱GPPH），基於此，德國在現有的PPH合作基礎上拓展12個其他的合作專利局。 PPH的目的是經由雙方交流和跨國界專利檢索與審查結果的使用以加速專利登記的處理，一方面維持專利審查的品質，同時形成有效率的專利審查程序。 從2015年7月6日起，一個加速審查的申請不只在德國專利商標局之前合作的9大PPH專利局，即：中國國家知識產權局、日本專利局、英國知識產權局、美國專利商標局、韓國知識產權局、加拿大知識產權局、芬蘭國家專利注冊委員會、新加坡知識產權局、奧地利專利局，還可以在下述12個國家或地區試行，即：澳大利亞知識產權局、丹麥專利商標局、俄羅斯聯邦知識產權局、匈牙利知識產權局、西班牙專利商標局、瑞典專利注冊局、葡萄牙工業產權局、愛沙尼亞專利局、以色列專利局、挪威知識產權局、冰島專利局、北歐專利局（包括丹麥專利商標局、挪威知識產權局、冰島專利局）。 對申請人來說這個制度的優點是，未來若申請人的專利申請案的請求項在參與GPPH的任一國家或地區的專利機構已經被認為具有可專利性，那麼申請人可以要求作為後續申請受理局的德國專利商標局進入簡易程序，以獲得加速審查。
美國國會議員（Patrick Leahy）提案（PROTECT IP Act）封鎖違反智慧財產權的非法網站美國國會議員日前提案，擬立法對抗違反智慧財產權的非法網站。該法案（Preventing Real Online Threats to Economic Creativity and Theft of Intellectual Property Act, 或稱PROTECT IP Act）主要係針對侵害智慧財產權的非法網站，擬賦予美國司法部或著作權人，可向法院聲請於網路上封鎖該網站，或者不讓其在搜尋引擎上顯示，亦即讓該非法網站從網路徹底消失。同時，經營網路金流的業者以及網路廣告商，也不得再提供服務給予這些違反智慧財產權或者是販售贗品的非法網站。 該法案明確的規定，舉凡與非法網站相關的資料、數據、索引、超連結等，皆需從網際網路上移除。亦即，美國人民在網路上將不會再看到這些非法網站的任何資訊，若該法案通過，將連帶影響到Google、Yahoo等搜尋引擎的實務運作。有反對者指出，此舉將使得美國政府可以決定美國人民在網路上應該看什麼內容，因此戲稱該法案為網路審查法案（Internet censorship bill）。 網路巨擘Google執行長（Eric Schmidt）也於今年5月中聲明反對該提案，認為該提案已經嚴重侵害言論自由。執行長Eric Schmidt表示，美國政府試圖以立法手段解決複雜的網路侵權爭議，以立法封鎖、移除非法網站所有資料，跟中國限制網路言論自由的方式如出一轍。 目前該法案尚未通過，已出現不少反對聲浪，財產權以及言論自由同樣是憲法上保障的權利，究竟應如何在保障著作財產權人與言論自由間取得平衡，該法案未來發展值得密切注意。
簡介〈歐盟提供合格信任服務者依循標準建議〉簡介〈歐盟提供合格信任服務者依循標準建議〉 資訊工業策進會科技法律研究所 2021年6月25日 壹、事件摘要 歐盟於2014年通過「歐盟內部市場電子交易之電子身分認證及信賴服務規章」（簡稱eIDAS規章）[1]，並於2016年7月正式生效。eIDAS規章是在歐盟1999年電子簽章指令[2]的基礎上，進一步建構一個更安全、更具信賴、更易於使用電子簽章的法律框架，以促進整個歐盟跨境間的電子交易環境，進而達到歐盟數位單一市場的目標[3]。 eIDAS規章共有六章，其核心包含兩大部分[4]，在第二章中規範了電子識別機制（Electronic Identification），並於第三章中建構一系列電子交易中相關信任服務（Trust Services, TS）的法律架構，包含電子簽章（Electronic signatures）、電子封條（Electronic seals）、電子時戳（Electronic time stamps）、電子註冊傳輸服務（Electronic registered delivery services）、網站認證（Website authentication）。每種信任服務，又可以區分由一般的信任服務提供者（Trust Service Provider, TSP）或由合格信任服務提供者（Qualified Trust Service Provider, QTSP）提供，要成為QTSP必須經各成員國的監督機關授予合格地位後，才能提供該類合格信任服務（Qualified Trust Service, QTS），在eIDAS規章中合格信任服務具有更高的法律效力。譬如，根據eIDAS規章第25條第2項規定，合格電子簽章（qualified electronic signature）與手寫簽章具有同等的法律效力。 歐盟網路安全局（European Union Agency for Cybersecurity, ENISA[5]）於2021年3月發布一份報告，提供合格信任服務者依循標準的建議（Recommendations For QTSPs Based On Standards） [6]，給想要申請成為QTSP的業者參考。 貳、重點說明 承前所述，eIDAS規章的目的是要建構一個促進跨境、跨產業的電子交易的環境，為弭平各會員國對於電子識別服務的落差，報告中指出，必須透過法律框架（Legal framework）、信賴框架（Trust framework）、標準化框架（Standardisation framework）共同達成，以提升歐盟數位單一市場中企業和消費者的信任，並促進信任服務和產品的使用。 （一）法律框架 eIDAS規章中規定了9種QTS的安全要求及其提供者的義務，包括： 1.電子簽章的合格憑證； 2.電子封條的合格憑證； 3.網站認證的合格憑證； 4.合格電子時戳服務； 5.合格電子簽章的合格驗證服務； 6.合格電子封條的合格驗證服務； 7.合格電子簽章的合格維護服務； 8.合格電子封條的合格維護服務； 9.合格電子註冊傳輸服務。 （二）信賴框架 其次，eIDAS規章透過事前（ex ante）和事後（ex post）監督的方式，來確保QTSP及其提供的QTS符合eIDAS規章中的法律要求。欲申請成為QTSP須先經過符合性評估機構（Conformity Assessment Body, CAB）的評估，由其出具評估報告後，再由各成員國的監督機關決定是否授予QTSP資格；取得QTSP資格後會受到不定期稽核，且至少每24 個月須再次自費通過CAB評估審核[7]。 （三）標準化框架 eIDAS規章中對各項TS的安全要求是採取技術中立（technology-neutral）的態度，並未限定要採用何種特定技術。換言之，TSP可以透過不同的技術達到eIDAS規章中要求的必要安全程度。事實上，歐盟希望在eIDAS規章所建構的法律框架和信賴框架中，透過產業自律，慢慢形成相關的標準共識。 歐盟從2009年開始，就由歐洲標準化委員會（European Committee for Standardization, CEN）、歐洲電信標準協會（European Telecommunications Standards Institute, ETSI）等歐盟標準化組織協助擬定和更新電子簽章的相關標準，希望可以建立一個更完整的標準化框架，以解決歐盟跨境使用電子簽章遭遇的問題，至今已經建構出一系列電子簽章和相關信任服務的標準，以滿足國際及eIDAS規章的要求，ETSI/CEN與數位簽章有關的標準包含七個面向。 1.介紹性 此類標準主要是關於各類簽章的共通定義、研究、其他關於整體性架構的介紹。 2.簽章的建立與驗證 此類標準主要是關於簽章建立及驗證的政策與安全要求、所要遵循的規則和程序、格式、保護剖繪（Protection Profiles, PP）[8]。 3.簽章建立和其他相關設備 此類標準主要是與電子簽章產生的設備，以及其他與數位簽章相關服務的設備有關。 4.加密 此類標準主要是與簽章的加密有關，譬如金鑰產生演算法（key generation algorithms）和雜湊函數（hash functions）等。 5.支持數位簽章及相關服務的TSP 此類標準主要是關於核發合格憑證的QTSP、網站認證憑證的TSP、時戳服務的TSP、提供簽章驗證服務的TSP等。 6.信任應用服務提供者 此類標準主要與應用電子簽章提供加值服務的TSP有關，如電子傳輸服務、資料檔案長期保存服務等。 7.信任服務資格提供者 此類標準主要與eIDAS規章中信任名單（trusted lists）相關的程序和格式有關[9]。 其中，在ETSI/CEN關於數位簽章的標準中，主要與QTSP有關的標準如下： 1.電子簽章的合格憑證（eIDAS規章第28條） ETSI EN 319 411-2（且要符合EN 319 401、EN 319 411-1、EN 319 412-2、EN 319 412-5）。 2.電子封條的合格憑證（eIDAS規章第38條） ETSI EN 319 411-2（且要符合EN 319 401、EN 319 411-1、EN 319 412-3、EN 319 412-5）。 3.網站認證的合格憑證（eIDAS規章第45條） ETSI EN 319 411-2（且要符合EN 319 401、EN 319 411-1、EN 319 412-4、EN 319 412-5）。 4.合格電子時戳（eIDAS規章第42條） ETSI EN 319 421（且要符合EN 319 401）、EN 319 422。 5.合格電子簽章的合格驗證服務（eIDAS規章第33條） ETSI TS 119 441（且要符合EN 319 401）、TS 119 442、EN 319 102-1、TS 119 102-2、TS 119 172-4。 6.合格電子封條的合格驗證服務（eIDAS規章第40條） ETSI TS 119 441（且要符合EN 319 401)、TS 119 442、EN 319 102-1、TS 119 102-2、TS 119 172-4。 7.合格電子簽章的合格維護服務（eIDAS規章第34條） ETSI EN 319 401、TS 119 511、TS 119 512。 8.合格電子封條的合格維護服務（eIDAS規章第40條） ETSI EN 319 401、TS 119 511、TS 119 512。 9.合格電子註冊傳輸服務（eIDAS規章第44條） ETSI EN 319 401、EN 319 521、EN 319 522、EN 319 531、EN 319 532。 參、事件評析 從歐盟ENISA的建議可以瞭解，歐盟希望透過介紹歐盟標準化組織所制定的相關電子簽章標準，來引導資通訊廠商申請成為QTSP，提供歐盟企業和使用者更安全、更值得信賴的電子簽章相關服務，以強化使用者的信心，進而促進整個歐盟電子交易的蓬勃發展。 近年來，我國企業也積極投入數位轉型，在邁向數位化的過程通常需要由外部的資通訊廠商協助。然而，由於企業對於資通訊技術不熟悉，因此在選擇資通訊廠商時，往往不知道如何判斷其專業能力，或許企業可以參考上述的介紹，以該廠商是否符合歐盟相關標準的要求，作為選擇資通訊廠商的參考依據，以確保資通訊廠商的能力具有一定水準，這樣對於企業數位轉型及進軍歐盟市場會相當有助益。 [1]Regulation (EU) No 910/2014 of the European Parliament and of the Council of 23 July 2014 on electronic identification and trust services for electronic transactions in the internal market and repealing Directive 1999/93/EC, https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=uriserv%3AOJ.L_.2014.257.01.0073.01.ENG (last visited Jun. 24, 2021). [2]Directive 1999/93/EC of the European Parliament and of the Council of 13 Dec. 1999 on the a Community Framework for Electronic Signatures, https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=celex%3A31999L0093 (last visited Jun. 24, 2021). [3]參前註1，eIDAS前言(3). [4]中文介紹可參考李姿瑩，〈歐盟eIDAS對國內電子簽章和身分認證規範之可能借鏡〉，《科技法律透析》，第31卷第11期，25-32頁，（2019年11月）。 [5]「歐盟網路安全局」原名為「歐盟網路及資訊安全局」(European Union Agency for Network and Information Security)，2019年更改為現名，但該局的英文縮寫仍維持舊稱ENISA。The European Union Agency for Cybersecurity - A new chapter for ENISA, ENISA, https://www.enisa.europa.eu/news/enisa-news/the-european-union-agency-for-cybersecurity-a-new-chapter-for-enisa (last visited Jun. 24, 2021). [6]European Union Agency for Cybersecurity [ENISA], Recommendations for Qualified Trust Service Providers based on Standards (2021), https://www.enisa.europa.eu/publications/reccomendations-for-qtsps-based-on-standards (last visited Jun. 24, 2021). [7]參前註1，eIDAS規章第20條。 [8]保護剖繪是指申請者依共同準則規章（common criteria, CC）製作之資通安全產品安全基本需求文件，可提供資通安全產品開發者開發產品之依據。〈常見問題/Q02.何謂保護剖繪?〉，國家通訊傳播委員會，https://ise.ncc.gov.tw/faq（最後瀏覽日：2021/06/24）。 [9]參前註1，eIDAS規章第22條第2項、第4項。
日本資訊信託功能認定指引第二版日本於2018年6月公布「資料信託功能認定指引第一版」（情報信託機能の認定に係る指針ver1.0），期待藉此推動資料銀行發展，促進資料流通和利用。第一版指引係以資料銀行應具備之功能為中心，惟伴隨資料銀行業務發展，指引內除資料銀行基本功能外，亦應規範個人資料管理及向第三方提供資料之條件等內容，加上有論者認為第一版內有關資料銀行定義過於偏重功能描述，故總務省和經濟產業省於2019年1月起召開檢討會，重新檢討上開指引，最終於2019年10月8日公布「資料信託功能認定指引第二版」（情報信託機能の認定に係る指針ver2.0）。 第二版指引更新重點包括︰（1）修正資料銀行定義︰第一版指引僅強調資料銀行之功能，第二版則增加資料銀行之目的和資料銀行與個人間關係等內容；（2）重新定義並詳細說明資料種類和蒐集方法；（3）修正資料信託功能認定基準︰新增複數業者共同經營資料銀行，隱私保護對策以及確保資料銀行透明性和個人資料之自主控制等規定；（4）新增資料信託功能模範條款之應記載事項︰包括與限制行為能力人締結契約之程序，以及向第三方提供資料之條件等規定。為確保資料銀行透明性和個人資料之自主控制，第二版指引新增資料倫理審查會規定，要求資料銀行設置資料倫理審查會並定期向其報告，審查會則應就個人與資料銀行間契約、個資利用目的、向第三方提供資料之條件等事項提供建議。