資訊安全與電子商務－談資訊安全通報機制
本文為「經濟部產業技術司科技專案成果」
壹、義大利最新AI法案簡介 義大利於2025年9月17日通過《人工智慧規範與政府授權》立法法案（Disposizioni e delega al Governo in materia di intelligenza artificiale，下稱1146‑B法案），為該國首次針對AI全面立法，亦為歐盟成員國內AI專法先驅。義大利將歐盟《人工智慧法》（AI Act，下稱AIA）框架轉化為國內法，並設立獨立窗口與歐盟對接。為確保落地效率並兼顧國家安全與資料治理，本法採「雙主管機關制」，由隸屬於總理府（Presidenza del Consiglio dei Ministri）之數位局（Agenzia per l’Italia Digitale，AgID）及國家網路安全局（Agenzia per la Cybersicurezza Nazionale，ACN）共同執行。AgID 負責AI技術標準、互通性與公共行政實務執行；ACN則負責資安韌性、事故通報與高風險AI安全性。 目前該法案已由參議院（Senato della Repubblica）審議並表決通過，2025年9月25日已載於義大利《官方公報》（Gazzetta Ufficiale），再經過15天緩衝期後，預計於2025年10月10日正式生效。然截至2025年10月27日為止，未有官方宣布該法案正式生效之證明，故法案是否依該版本內容正式施行仍待確認。其中醫療為AIA顯示之高風險領域之一，亦涉及資料隱私與病患權益等敏感法益，可謂本法落地機制中具代表性之政策面向，故本文特以醫療AI應用為分析重點。 貳、設立醫療AI應用平臺，輔助專業醫護及強化醫療服務取得 1146‑B法案第10條規定，將由義大利衛生服務局（Agenzia nazionale per i servizi sanitari regionali，AGENAS）主導設立該國家醫療AI應用平臺。該平臺定位為全國級資料治理與AI導入審查機制工具，主要功能為對醫療專業人員提供照護病患與臨床實踐時無法律約束力之建議，並對病患提供接觸社區醫療中心AI服務之管道與機會。該平臺僅得依「資料最小化原則」（dati strettamente necessary）蒐集以上醫療服務所需之必要資料，經向衛生部（Ministero della salute）、資料保護局（Garante per la protezione dei dati personali）及CAN徵詢意見後，由 AGENAS 負責資料處理，並經地方常設協調會議同意後，得以公告方式制定符合歐盟《一般資料法規》（General Data Protection Regulation，GDPR）之風險控管與敏感健康資料處理細則。 在確保資料安全合規後，法案強調對醫療保健之服務可及性（accesso ai servizi）進行改善，病人能透過此平臺更便利地接觸到社區醫療中心所提供之各類AI健康醫療服務，如診斷輔助、數位健康檔案調閱等，亦符合AIA強調AI發展應確保社會公益等權利之宗旨。 參、醫療用AI之限制與目標 法案第7條第5項規定AI僅能作為醫療決策輔助工具提供無拘束力之建議，重申前述醫療平臺相關規定；AI亦不得根據歧視性標準選擇或限制病人獲取醫療服務。病人享有「知情權」（diritto di essere informato），即有權知悉診療過程中是否使用有使用AI、使用方式（如僅為輔助）及其限制。針對健康資料之隱私處理方面，如病歷、基因資料、診斷紀錄等，要求醫用AI系統須持續監測、定期驗證與更新，以降低錯誤風險，維護病人健康安全，亦明文強調醫療AI之使用應以改善身心障礙者生活為目標。 四、總結 1146-B法案在醫療 AI 治理上，透過雙主管機關制平衡歐盟對接、技術發展與風險控管，符合AIA要求並避免權責衝突。建立由 AGENAS 主導的醫療 AI 應用平臺，在相關部門意見下運作，確保資料處理與服務推動合規與安全。病人權利方面，強調知情權、健康資料隱私與地方醫療AI普及，符合資料最小化與 GDPR 規範，展現義大利在醫療 AI 上兼顧創新、透明與權益保障之立場，往後應持續關注AGENAS釋出之關於該平臺使用之相關細則。 本文為資策會科法所創智中心完成之著作，非經同意或授權，不得為轉載、公開播送、公開傳輸、改作或重製等利用行為。 本文同步刊登於TIPS網站（https://www.tips.org.tw）
歐盟「第五洗錢防制指令」將新科技於金融體系的應用納入管制歐盟於2018年4月19日宣布通過「第五洗錢防制指令」(the Fifth Anti-Money Laundering Directive)，並於同年6月19日公布確定案文，其要求歐盟成員國必須於18個月內將該命令納入國內法律中。 歐盟在本次指令中，特別針對恐怖主義組織財政和運作方式揭示出所觀察的新趨勢，其指出某些作為替代金融體系的新技術服務越來越受歡迎，但卻不受法令所拘束，或是被豁免於相關法律適用外等不合理情事，因此「第五洗錢防制指令」為了跟上不斷進步的科技環境，乃要求法人、其他法律實體(legal entities)、信託及具有與信託類似結構或功能的法律協議(類似的法律協議) 應採取進一步措施，以確保提高金融交易的透明度，並藉此改進現有的預防框架，達到更有效地打擊資助恐怖主義行為的目的；另外歐盟亦於該指令中提醒所有採取的措施應和洗錢風險成比例。 有關「第五洗錢防制指令」主要新增及修正包含： 迎接新技術：託管錢包供應商(custodian wallet providers)和虛擬貨幣交換平臺將被視為新的義務主體而納入於洗錢防制法的範圍。另外「第五洗錢防制指令」還允許使用電子身分證明進行客戶盡職調查。 改進執法：各成員國須建立自身國家的銀行帳戶登記系統，以便執法當局能夠方便地查閱在該成員國內的所有銀行帳戶資訊。另外該登記系統須與其他成員國互相連線，並且即便在沒有提交可疑活動報告的情況下，執法當局也可以要求義務主體提供資料。 明確定義"重要政治性職務人士"：各成員國都必須發佈一份清單，列出哪些屬於 "重要的公共職能"。 針對高風險第三國為更嚴格的管制：「第五洗錢防制指令」要求涉及高風險第三國的商業關係或交易須採取強化盡職調查措施,，並允許成員國限制義務主體在高風險第三國設立分支機搆或子公司，亦禁止總部設在高風險第三國的義務主體於成員國設立分支機搆。 提高公司實質受益權的透明度：各成員國的公司實質受益權登記將放寬查詢限制，公眾無須提出任何合法權益證明即可查閱基本資訊。另外還要求企業(登記義務主體)必須針對持有資訊與在登記系統上資訊的差異提出報告。 信託的實質受益權：「第五洗錢防制指令」擴大實質受益權申報義務主體範圍，要求任何類似信託的法律安排及租稅中立性的信託均須申報；另外還擴大該實質受益權申報的查閱至任何能提出具有合法利益的人，但其並未對合法利益提出定義，而是讓各成員國自行訂定。然而「第五洗錢防制指令」指出，該合法利益的定義不應侷限在行政或法律訴訟未決的案件，而是應針對洗錢防制及反資助恐怖組織領域的預防工作為考量。 禁止匿名保險箱。 調整預付工具(prepaid instruments)需進行盡職調查的門檻(如禮品卡、旅遊卡)：價值要求從250歐元降低到150歐元。
法國CNIL認Google於Gmail中投放之偽裝廣告及個人化廣告因欠缺當事人有效同意而違法，開罰3.25億歐元法國國家資訊與自由委員會（Commission Nationale de l’Informatique et des Libertés, CNIL）於2025年9月1日針對一起由歐洲數位權利中心（noyb - The European Center for Digital Rights）提出的申訴做成決議，指Google未經Gmail使用者同意，將廣告偽裝為電子郵件進行「偽裝廣告」（Disguised Ads）投放，以及在對Gmail使用者投放個人化廣告前，未能於Gmail帳號申請流程中提供當事人提供較少cookies、選擇非個人化之通用廣告（generic ads）的選項，違反了《電子通訊法》（code des postes et des communications électroniques）與《資訊與自由法》（loi Informatique et Libertés）中關於歐盟《電子隱私指令》（ePrivacy Directive）之施行規定，對Google裁處了3.25億歐元的罰鍰，並要求改善。以下節錄摘要該裁決之重點： 一、 偽裝成電子郵件的偽裝廣告與電子郵件廣告均須獲當事人同意始得投放 歐盟《電子隱私指令》第13條1項及法國《電子通訊法》規定，電子郵件直接推銷（direct marketing）僅在其目標是已事先給予同意的使用者時被允許。CNIL，依循歐盟法院（CJEU）判例法（C-102/20）見解，認為若廣告訊息被展示在收件匣中，且形式類似真實電子郵件，與真實電子郵件相同位置，則應被認為是電子郵件直接推銷，須得到當事人之事前同意。因此，CNIL認定偽裝廣告即便技術上不是狹義的電子郵件，僅僅因其在通常專門用於私人電子郵件的空間中展示，就足以認為這些廣告是透過使用者電子郵件收件匣傳遞的廣告，屬於電子郵件廣告，而與出現在郵件列表旁邊且獨立分開的廣告横幅不同，後者非屬電子郵件廣告。 二、 Cookie Wall下當事人的有效同意：「廣告類型」的選擇、服務申請流程的隱私設計與資訊透明 CNIL參酌歐盟個人資料保護委員會（European Data Protection Board, EDPB）第2024/08號關於「同意與付費模式」意見，認為同意接受廣告在特定條件下得作為使用Gmail服務的條件。換言之，以「cookie wall」（註：拒絕cookie的蒐集即無法獲得服務之網站設計）取得之當事人「同意」，非當然不自由或無效。CNIL認為，在免費服務的框架下，cookie wall在維持提供服務與服務成本之間的經濟平衡上，要求服務申請者須接受投放廣告的cookie是合法的。惟CNIL認為，這不代表Google可以任意決定所蒐集的cookies和相應廣告模式的類型。 CNIL要求，當事人在cookie wall的框架內仍應享有選擇自由，才能取得蒐集為投放個人化廣告之cookies的當事人有效同意，亦即：在個人化廣告處理更多個資和對當事人造成更多風險的情況下，當事人應被給予機會選擇「等值的替代選項」，亦即通用廣告，並完全且清晰地了解其選擇的價值、範圍及後果。 然而，CNIL發現，Google將與廣告個性化相關的cookies拒絕機制設計得比接受機制更複雜，實際上阻礙了使用者拒絕隱私干預程度更高的cookies。這種拒絕途徑偏袒了允許個人化廣告的cookies的同意，從而影響了當事人的選擇自由。CNIL也發現，Google從未以明確方式告知使用者建立Gmail帳戶時面臨cookie wall，以及對此使用者享有甚麼選擇，而其提供的資訊更引導使用者選擇個人化廣告，導致選擇一般廣告的機會遭到犧牲。 三、 為何不是愛爾蘭資料保護委員會（Data Protection Commission, DPC）管轄？ GDPR設有「單一窗口機制」，依據該合作機制，對Google進行的GDPR調查，應由作為主任監管機關（Lead Supervisory Authority）的愛爾蘭DPC管轄。惟在本案，CNIL認為並不適用於單一窗口機制。因為與cookies使用及電子推銷相關的處理並非屬於GDPR範疇，而是適用電子隱私指令，CNIL對法國境內的cookies使用及電子推銷處理享有管轄權。此爭議反映出即便GDPR旨在確保標準化單一市場內的數位管制，但尚不足以弭平成員國間監管強度之差異。
關於中國大陸商標不予註冊事由—在先著作權的認定關於中國大陸商標不予註冊事由—在先著作權的認定 科技法律研究所 法律研究員 林昭如 2014年12月26日 壹、前言 《中華人民共和國商標法》（下稱《商標法》）第32條規定，申請商標註冊不得損害他人現有的在先權利。中國大陸的商標確權案件中，常有以著作權登記證書主張在先著作權。然實務上，在部分情況，單以著作權登記證書證明著作權歸屬，其證明力仍嫌不足。 有一文化用品，將其完成幾乎與畢卡索名畫「夢」完全相同的作品，向上海市版權局申請著作權登記。隨後，亦向國家工商行政管理總局商標局申請商標註冊，指定使用於筆類等商品。國家工商行政管理總局商標評審委員會認為，該商標侵害他人的在先著作權，因而裁定不予核准註冊。該文化用品公司不服，因此向北京市第一中級人民法院提起行政訴訟，主張被異議的商標圖形為原創作品，且已取得上海市版權局之著作權登記證書，然法院表示，畢卡索的《夢》世界聞名，推定有接觸可能；且以被異議商標圖形的著作權登記證書為單一證據，尚無法證明系爭圖形之著作權歸屬於該公司[1]。 由於畢卡索的《夢》世界聞名，法院推定有接觸可能，較無疑問，故本文將分析除了著作權登記證書外，其他可作為著作權歸屬的佐證資料，提供台灣企業為著作產出過程的證據保存與管理之參考。 貳、重點說明 由上述事例案可知，當被推定有接觸據爭著作可能時，縱使已取得著作權登記證書，仍不足證明著作權歸屬。實務上，除了以著作權登記證書證明在先著作權外，亦有以在先商標註冊證，證明在先著作權者，關於其證據力分述如下。 一、著作權登記證書之證據力 最高人民法院《關於審理著作權民事糾紛案件適用法律若干問題的解釋》第7條規定，當事人提供的涉及著作權的底稿、原件、合法出版物、著作權登記證書、認證機構出具的證明、取得權利的合同等，可以作為證據。但，此僅作為登記人擁有該登記作品著作權的初步證明，因登記機關是根據登記人主張的創作完成時間為登記，並未進行創作歷程、有無抄襲等實質審查。 當作品早於系爭商標註冊申請日的著作權登記，若無反證推翻，即可能認定在先著作權成立，具有相對高的證明力。問題在於，晚於系爭商標註冊申請日的著作登記，又無法提出其他證據時，如：創作歷程佐證，即使著作權登記證書所載之創作完成時間，早於系爭商標註冊申請日，仍無法證明為著作人。 二、在先商標註冊證之證據力 實務上，有些圖形商標亦構成《中華人民共和國著作權法》（下稱著作權法）第3條的作品。惟原定既是作為商標使用，故通常僅取得商標註冊證，未另為著作權登記。有依據《著作權法》第11條第4款規定，如無相反證明，在作品上署名的公民、法人或者其他組織為作者。主張以商標註冊證所載之註冊人等資訊，為上揭條文之「署名」。有多件法院判決認為，在先商標註冊不足證明在先著作權成立[2]，原因在於《著作權法》中的「署名」為作者的姓名表示，然商標註冊證所載之註冊人則在於表示商標專用權人，與《著作權法》的姓名表示權意義不同。 參、事件評析 由上述重點說明可知，儘管有著作權登記證書或在先商標權註冊證，在多數情況下，如無其他佐證，仍無法證明在先著作權。著作權登記制度僅具公示力，證明某個著作在某個時點的特定人主張著作權，登記機關以登記人主張的創作完成時點、首次發表時點為準，並不進行實質審查，有可能發生非真正的著作權人進行登記。 故當對造當事人提出證據推翻著作權登記證書的公示資訊時，尚須再提出其他證據，證明作品為自行創作，其方式有： 一、在著作原件署名 依據《著作權法》第11條第4款規定，如無相反證明，即推定作品上之署名為作者。因此推定的效果，對於著作權人而言，在主張在先著作權利時，可以降低舉證責任。 二、保留創作紀錄 此為證明著作為自行創作的最直接證據，例如：工作會議紀錄、草稿、創作使用的素材、創意發想紀錄、依照日期進行不同階段的存檔…等。這些紀錄除可證明為原創，亦可證明是獨立創作而非抄襲他人。 最後，通常原規劃作為商標使用的圖形設計，大多不會進行創作歷程紀錄，甚或在作品署名，他日如有第三人主張在先著作權，往往面臨無法提出證據推翻之窘境，故建議針對具備創作高度而該當著作權保護之標的，比照上述方式，進行創作歷程保留並進行著作權登記，確保權利之取得與維護。 [1]谭乃文，〈商标确权案中的在先著作权〉，国家知识产权战略网，2014/08/29，http://www.nipso.cn/onews.asp?id=22682 (最後瀏覽日：2014/8/29) [2]徐琳，〈商標圖樣的著作權保護之困境與出路—《商標法》保護在先著作權條款的立法精神與審理標準探析〉，《電子知識產權》，第278期，頁54（2014）。