中國 REACH 成形，台灣準備好了嗎？－從中國新化學物質環境管理辦法看我國新化學物質管理
本文為「經濟部產業技術司科技專案成果」
美國奧克拉荷馬州修正《個資事故通報法》，擴充個資定義範圍並強化通報機制 資訊工業策進會科技法律研究所 2025年07月22日 現行我國關於非公務機關就個資事故進行通報之規定，散落於各中央目的事業主管機關制定之各業別個人資料檔案安全維護管理辦法或相關辦法中，且前揭各辦法對於通報之標準不盡相同。各國主管機關紛紛強化個資治理法制，而美國奧克拉荷馬州修正關於個人資料定義、適當防護措施及個資事故通報機制等事項，以建立更完善之規範。 壹、事件摘要 美國奧克拉荷馬州議會業於2025年5月20日通過第626號法案（Senate Bill 626）[1]，修正《個資事故通報法》（Security Breach Notification Act）[2]，其目的係為補充現行治理規範之不足，修正重點涵蓋：擴充法定用詞之定義，針對「個人資料」（Personal Information）與「適當防護措施」（Reasonable Safeguards）等條文予以補充與增列；強化個資事故（Breach of the security of a system）之通報機制與設立豁免條款，並釐清與其他法規間之適用關係；以及修訂違法情事之民事裁罰。此外，本次修法亦明定，若機構或個人已採取適當防護措施，得作為民事訴訟中之抗辯理由。本法將自2026年1月1日起正式生效，並適用於自該日起所發現、判定或通報之個資事故，相關單位應即早進行法遵準備，以確保制度落實。 貳、修法重點 本次修法主要包含三大核心面向，簡要說明如下： 一、擴充法定用詞之定義 （一）個人資料 於現行法規對個人資料之定義下，再增加新資料類別： 1.與驗證碼、存取碼或密碼結合使用時，可用以登入特定個人金融帳戶之專屬電子識別碼（Electronic Identifier）或路由代碼（Routing Code）； 2.用以辨識特定自然人之獨特生物特徵資料，例如指紋、視網膜或虹膜影像，或其他具體實體或數位形式之生物辨識資料。 （二）適當防護措施 適當防護措施係指，為確保個人資料安全而考量組織或機構之規模、產業別、以及保有之個資類別與數量所制定之政策及作業實務。此概念包括但不限於：進行風險評估、建立技術面及實體面之多層次保護機制、對人員實施教育訓練，及建立個資事故應變計畫等。 二、強化事故通報機制與設立豁免條款 本法要求於發現系統個資事故並已通知受影響之當事人後，應於60日內向州檢察總長（Attorney General）提交書面通報，載明涉及之個人資料類別、事故性質、受影響人數、預估之財務損失、所採行之適當防護措施等必要內容。惟若事故影響人數低於500名州民，或事故發生於徵信機構且影響人數未達1,000人，則可免除向檢察總長通報之義務。 此外，本法明確規範，若特定機構已依據其他法律，如《奧克拉荷馬州醫療資安保護法》（Oklahoma Hospital Cybersecurity Protection Act of 2023）或聯邦《健康保險可攜及責任法》（Health Insurance Portability and Accountability Act of 1996）等履行相關通報義務，則視為已符合本法之要求。 三、民事裁罰 本法明定，民事罰鍰之裁量將審酌事故規模、事故發生後組織之因應作為及是否履行事故通報義務等因素而定，以確保裁量之比例原則。裁量情形說明如下： 1.若機構已採行適當防護措施且依法進行事故通報者，得免除民事責任； 2.若未採取適當防護措施，惟仍依規定完成事故通報者，則須負擔實際損害賠償責任並處以最高75,000美元罰鍰； 3.未落實適當防護措施與事故通報法定義務者，最高處以150,000美元罰鍰。 參、事件評析 本次修法可見奧克拉荷馬州就數位時代資安威脅所採行之積極因應作為，其修正重點包含：擴充個人資料之定義並明定適當防護措施之內容，俾利降低企業法遵成本及法律適用之不確定性；強化事故通報機制並設置合理豁免條款，以確保資訊透明度；於罰則規範中明定民事罰鍰之裁量，應審酌事故規模及是否履行事故通報義務等因素，以符合比例原則。 有鑑於本法修正後所課予之法定義務，建議企業應採行下列因應措施：(1)全面盤點所保有之個人資料，尤應注意新增納管之電子識別碼及生物特徵等資料；(2)檢視並強化現有防護機制，確保符合適當防護措施之要求；(3)建立標準化通報應變程序；(4)強化教育訓練。此外，企業宜定期檢視法規動態，以確保持續符合法規要求。 [1] Bill Information for SB 626, OKLAHOMA STATE LEGISLATURE, http://www.oklegislature.gov/BillInfo.aspx?Bill=sb626&Session=2500 (last visited June 1, 2025). [2] BILL NO. 626, OKLAHOMA STATE LEGISLATURE, https://www.oklegislature.gov/cf_pdf/2025-26%20ENR/SB/SB626%20ENR.PDF (last visited June 2, 2025).
歐盟將通過新的指令加強科學研究所中所使用之動物的保護2010年9月歐洲議會通過第2010/63/EU號指令（DIRECTIVE 2010/63/EU）修正文本，新的指令將修正第86/609/EEC 指令（Directive 86/609/EEC）原有規定，以加強對科學實驗用動物的保護。 2010年5月世界動物健康組織（the World Organisation for Animal Health, OIE）第78屆 大會中通過了第一個國際動物福祉標準，該標準納入OIE陸棲動物健康法典規範（OIE Terrestrial Animal Health Code）做為研究與教育用動物保護的準則，歐盟作為主要的提案者於是加速規範修正作業以回應OIE之承諾。新指令將規定歐盟各國主管機關必須在同意研究採用動物實驗前，評估其他研究方式的可能性並進行倫理評估，如需採用動物實驗應儘可能減少被試驗動物之痛楚，此外新指令也確保被實驗動物享有應有的生存環境，如適當大小的籠子等的要求。 新指令適用範圍將包括教育、訓練與基礎研究用的動物，其包含所有人類以外的活體脊椎動物以及某些可能感受痛楚的物種。靈長類動物如人猿的實驗也被禁止，除非為了該物種本身之生存所需，或者其他可能造成人類生存威脅或疾病之避免所必要方得於各國政府同意下進行之。新的指令將擴大禁止使用人猿、黑猩猩、彌猴等靈長類動物的實驗，除非有證據顯示其他物種的實驗無以達成靈長類動物實驗所能達成之目的，但也有成員國表示擴大靈長類動物實驗的限制將對於神經退化性疾病如阿茲海默症等的研究造成阻礙。 動物實驗的3R原則—取代、減量與改善（replacing, reducing, and refining）在第2010/63/EU號指令修正文本都已有相關規範，歐盟執委會表示歐盟將繼續致力於強化實驗用動物的福祉，同時為了確保新法的貫徹，新指令將授權設立歐盟層級的示範實驗室（Reference Laboratory at European Union level）協調各國採取替代動物實驗的方式。歐盟執委會表示新的指令將會在今年秋天公布。
什麼是「瑞典創新夥伴計畫」？瑞典創新夥伴計劃（Innovation partnership programmes），起源於瑞典企業與創新部下屬的國家創新委員會所強調的三個社會挑戰：數字化，環境氣候變遷和人口老齡化。創新夥伴計畫最重要的任務，在於公部門、企業界和學術界間的交流，為社會挑戰尋求創新解決方案，同時加強瑞典的全球創新和競爭力。創新夥伴計畫具體可分為五項重點發展領域。 一、下一代交通：目標是成為運輸效率更高的社會，以智能方式運輸，使用更多的節能型車輛。 二、智慧城市：智慧城市係利用訊息和通訊技術提高政策服務的質量，提升效能和互動性，降低成本和資源消耗，改善公民與政府的聯繫。 三、循環經濟：開創世界資源的新途徑，目標是可持續和無毒的原料生產。包括糧食供應管理、能源問題、及循環生物經濟轉型。 四、生命科學：透過醫療、商業和學術界合作，研發創新藥物，使健保和醫療技術惠及社會，並運用數位技術為強化。 五、新材料：為刺激瑞典工業的廣泛數位化運用，必須在各種成熟行業、新創公司和研究環境中加強夥伴關係，提升瑞典的產業競爭力。
歐盟根據資料治理法及實施規則，透過通用標章管理資料中介服務提供者及資料利他主義組織歐洲執委會（European Commission）根據2022年6月23日生效的資料治理法（Data Governance Act, DGA）第11條及第17條，於2023年8月9日公布資料治理法及實施規則（Commission Implementing Regulation (EU) 2023/1622 of 9 August 2023），該規則明定可用於識別「受認證的歐盟資料中介服務提供者（data intermediation services providers）及資料利他主義組織（data altruism organisations）」的通用標章（Common logos）之細節，且該通用標章已申請商標註冊，以保護其免於遭受不當利用。 經歐盟認證的「資料中介服務提供者」向服務利用者提供服務時，應確保服務利用者（個人及公司）可以有效的控制自己的資料，包含共享資料的對象及時間、可在不同裝置間共享資料等。經歐盟認證的「資料利他主義組織」則應以全歐盟通用之統一格式的歐洲利他主義同意書（data altruism consent form）在各成員國之間蒐集資料，並應確保資料主體（data subject）可以隨時撤回其同意。 識別受認證的「資料中介服務提供者」及「資料利他主義組織」是實施資料治理法的一環。受認證的「資料中介服務提供者」及「資料利他主義組織」選擇使用通用標章時，不僅須將通用標章清楚標示在所有線上的出版品上，亦須將通用標章清楚標示在所有線下的出版品。經歐盟認證的「資料利他主義組織」在標示通用標章時須附上可連結到「歐盟認證的『資料利他主義組織』之公開登記資料庫（public register of data-altruism organisations）」的QR code，歐盟將於2023年9月24日開始提供該公開登記資料庫。在歐盟層面，這些通用標章的利用可以易於識別被認證的「資料中介服務提供者」及「資料利他主義組織」與其他未經認證的服務提供者，有助於提高整體資料市場的透明度。 由於數位資料具有易於竄改、複製等特性，因此需要透過「可信任工具」來證明其來源正確、內容真實等，歐盟即以「通用標章」來識別「資料中介服務提供者」及「資料利他主義組織」。我國法務部、司法院、高等檢察署、法務部調查局和內政部警政署等機關共同推動司法聯盟鏈，並於2022年推出「b-JADE證明標章」，透過認證機制確保鏈下之數位資料於上鏈前具有可信任性。通過驗證並取得「b-JADE證明標章」的機關、機構或團體等組織，對外可證明其具備資料治理暨管理能力及保護數位資料之能力，且可取得申請加入「司法聯盟鏈」之機會。 本文同步刊登於TIPS網站（https://www.tips.org.tw）