歐盟專利強化合作方案 不同意見再起
2011年3月，25個歐盟國家提案成立專利合作強化方案，以強化歐洲境內的專利申請以及審查速度。然而原本在波蘭接下2011年下半年歐盟主席後，希望於任內完成此一強化合作方案的簽署，目前似已遭遇瓶頸。義大利與西班牙兩國與其他25國不同，而對於歐盟（執委會）所提出之「強化專利合作程序」採取反對立場，他們認為因為該程序以英文、法文與德文為專利申請的官方語言，故羅馬及馬德里方面認為這將使得來自這「三大」國家的企業享有不公平的競爭優勢。
前揭方案的背景架構可放大到歐洲專利制度的整合規劃，2011年12月5日召開的歐盟競爭委員會，於有關歐洲專利統合的議題，原預計討論專利法庭所在城市（倫敦、慕尼黑與巴黎被提名）、上訴法庭、仲裁機構、財務分攤與程序接軌等議題。最後經過兩天的會議，只有專利法庭一案的討論，在多國表示願意擔任第一審法庭的情況下，獲得處理方向的決議。而有關財務負擔及其他仍未有確定共識的議題，有待丹麥主席任期中去進行最後協定的催生了。
本文為「經濟部產業技術司科技專案成果」
陳世傑
組長 編譯整理
The k/s/n/h:law blog，2011年12月17日，http://blog.ksnh.eu/en/2011/12/17/polish-presidency-may-not-celebrate-warsaw-convention/，最後瀏覽日：2010年12月26日
European Commission，2011年12月06日，http://www.consilium.europa.eu/ueDocs/cms_Data/docs/pressData/en/intm/126579.pdf，最後瀏覽日：2010年12月26日
美國奧克拉荷馬州修正《個資事故通報法》，擴充個資定義範圍並強化通報機制 資訊工業策進會科技法律研究所 2025年07月22日 現行我國關於非公務機關就個資事故進行通報之規定，散落於各中央目的事業主管機關制定之各業別個人資料檔案安全維護管理辦法或相關辦法中，且前揭各辦法對於通報之標準不盡相同。各國主管機關紛紛強化個資治理法制，而美國奧克拉荷馬州修正關於個人資料定義、適當防護措施及個資事故通報機制等事項，以建立更完善之規範。 壹、事件摘要 美國奧克拉荷馬州議會業於2025年5月20日通過第626號法案（Senate Bill 626）[1]，修正《個資事故通報法》（Security Breach Notification Act）[2]，其目的係為補充現行治理規範之不足，修正重點涵蓋：擴充法定用詞之定義，針對「個人資料」（Personal Information）與「適當防護措施」（Reasonable Safeguards）等條文予以補充與增列；強化個資事故（Breach of the security of a system）之通報機制與設立豁免條款，並釐清與其他法規間之適用關係；以及修訂違法情事之民事裁罰。此外，本次修法亦明定，若機構或個人已採取適當防護措施，得作為民事訴訟中之抗辯理由。本法將自2026年1月1日起正式生效，並適用於自該日起所發現、判定或通報之個資事故，相關單位應即早進行法遵準備，以確保制度落實。 貳、修法重點 本次修法主要包含三大核心面向，簡要說明如下： 一、擴充法定用詞之定義 （一）個人資料 於現行法規對個人資料之定義下，再增加新資料類別： 1.與驗證碼、存取碼或密碼結合使用時，可用以登入特定個人金融帳戶之專屬電子識別碼（Electronic Identifier）或路由代碼（Routing Code）； 2.用以辨識特定自然人之獨特生物特徵資料，例如指紋、視網膜或虹膜影像，或其他具體實體或數位形式之生物辨識資料。 （二）適當防護措施 適當防護措施係指，為確保個人資料安全而考量組織或機構之規模、產業別、以及保有之個資類別與數量所制定之政策及作業實務。此概念包括但不限於：進行風險評估、建立技術面及實體面之多層次保護機制、對人員實施教育訓練，及建立個資事故應變計畫等。 二、強化事故通報機制與設立豁免條款 本法要求於發現系統個資事故並已通知受影響之當事人後，應於60日內向州檢察總長（Attorney General）提交書面通報，載明涉及之個人資料類別、事故性質、受影響人數、預估之財務損失、所採行之適當防護措施等必要內容。惟若事故影響人數低於500名州民，或事故發生於徵信機構且影響人數未達1,000人，則可免除向檢察總長通報之義務。 此外，本法明確規範，若特定機構已依據其他法律，如《奧克拉荷馬州醫療資安保護法》（Oklahoma Hospital Cybersecurity Protection Act of 2023）或聯邦《健康保險可攜及責任法》（Health Insurance Portability and Accountability Act of 1996）等履行相關通報義務，則視為已符合本法之要求。 三、民事裁罰 本法明定，民事罰鍰之裁量將審酌事故規模、事故發生後組織之因應作為及是否履行事故通報義務等因素而定，以確保裁量之比例原則。裁量情形說明如下： 1.若機構已採行適當防護措施且依法進行事故通報者，得免除民事責任； 2.若未採取適當防護措施，惟仍依規定完成事故通報者，則須負擔實際損害賠償責任並處以最高75,000美元罰鍰； 3.未落實適當防護措施與事故通報法定義務者，最高處以150,000美元罰鍰。 參、事件評析 本次修法可見奧克拉荷馬州就數位時代資安威脅所採行之積極因應作為，其修正重點包含：擴充個人資料之定義並明定適當防護措施之內容，俾利降低企業法遵成本及法律適用之不確定性；強化事故通報機制並設置合理豁免條款，以確保資訊透明度；於罰則規範中明定民事罰鍰之裁量，應審酌事故規模及是否履行事故通報義務等因素，以符合比例原則。 有鑑於本法修正後所課予之法定義務，建議企業應採行下列因應措施：(1)全面盤點所保有之個人資料，尤應注意新增納管之電子識別碼及生物特徵等資料；(2)檢視並強化現有防護機制，確保符合適當防護措施之要求；(3)建立標準化通報應變程序；(4)強化教育訓練。此外，企業宜定期檢視法規動態，以確保持續符合法規要求。 [1] Bill Information for SB 626, OKLAHOMA STATE LEGISLATURE, http://www.oklegislature.gov/BillInfo.aspx?Bill=sb626&Session=2500 (last visited June 1, 2025). [2] BILL NO. 626, OKLAHOMA STATE LEGISLATURE, https://www.oklegislature.gov/cf_pdf/2025-26%20ENR/SB/SB626%20ENR.PDF (last visited June 2, 2025).
英國資訊專員辦公室對連鎖藥局違反GDPR存放敏感個資作成裁罰首例英國資訊專員辦公室（Information Commissioner's Office, ICO）於2019年12月20日發布首宗依據歐盟一般資料保護規則（General Data Protection Regulation, GDPR）之裁罰。 本案源於英國藥物及保健產品管理局（Medicines and Healthcare products Regulatory Agency, MHRA）接獲投訴前往倫敦當地一家名為Doorstep Dispensaree Ltd之連鎖藥局進行藥品違規調查，卻意外發現其後院存放大量敏感個資文件，約五十萬個文件檔案皆未做任何資料檔案保護措施，上面更記載名字、地址、出生日期、NHS號碼、醫療資料及處方籤等患者之個人資料，旋即通報英國資訊專員辦公室展開調查。最終英國資訊專員辦公室以該藥局違反歐盟一般資料保護規則（General Data Protection Regulation, GDPR）第5條1項第f款、第24條第1項及第32條，裁罰275,000英鎊。其裁罰理由如下： 一、隱私政策並不符合要求，如未述明蒐集個人資料之類別，未訂定個資保存期限，當事人告知聲明不完備，無當事人權利行使等。 二、無適當安全維護措施 三、涉及敏感性個資，違法情狀嚴重 四、未積極配合調查 五、影響層面甚深，導致該藥局配合之上百家療養院，近千名當事人個資受損害。 此為英國資訊專員辦公室首宗依據歐盟一般資料保護規則確定裁罰之案例且涉及敏感性個資，有其指標性。除此之外，英國航空與萬豪酒店之個資外洩案亦欲依GDPR進行裁罰，實值持續關注後續發展。
歐盟2019電子政府基準報告歐盟執委會（European Commission, EC）於2019年10月18日發布電子政府基準報告（eGovernment Benchmark 2019: trust in government is increasingly important for people）。電子政府基準是歐盟的年度檢測工具，用以確認公部門中資通訊技術使用狀況，亦是歐盟2016-2020年的重點政策之一：2016年4月，歐盟執委會發布「歐盟e政府四年行動計畫」（EU eGovernment Action Plan 2016-2020），歐盟應致力落實「公共行政現代化」、「跨境數位行動服務」和「加強公部門與公民和企業的數位互動」等三面向。電子政府基準報告即因應此一政策方向而生。 電子政府基準的評測指標有四：以使用者為中心（User centricity）、透明度（Transparency）、跨境移動（Cross-border mobility）、其他關鍵促成因素（Key enablers）。報告中評估2019年總體表現最佳的國家是馬爾他、奧地利等；立陶宛和芬蘭等國則為其次；表現低於平均者則多為東南歐國家。報告中亦提到，現階段公民已十分容易在機關官網上取得所需資訊，但相較於提供給一般公民的服務，機關官網對企業提供之服務通常更加完整及清楚。另外，在推行各項電子政府措施時，公民對政府的信任益發重要。唯有公民信任該機關，包含對機關安全在線服務、個人資料透明度、公共網路安全等的信賴，機關數位化改革才能常態運作。因此，電子政府的發展是建立在人們信任相關數位服務，並與政府交流時更容易知悉並利用該服務。 再觀我國電子化政府之發展，自民國87年至今已進入第五階段。初期致力建設政府骨幹網路和電子認證、90年代持續深化及擴大政府網路應用，並推動10大旗艦計畫實現網路政府主動、分眾、持續及紮根之服務。101年後建構電子化政府之設備、網路和應用服務，發展資訊服務系統整合、全程服務及跨部門協調。近期分別有「第五階段電子化政府計畫-數位政府」和「服務型政府推動計畫」，以資料驅動、公私協力、以民為本之核心理念，透過巨量資料、開放資料和服務個人化等工具，發展跨機關一站式整合服務及打造多元協作環境，落實數位政府服務。
奈米產業民間導引規範先行－以美國推動奈米保險機制及自願性計畫法制為例