智慧聯網時代巨量資料法制議題研析－以美國隱私權保護為核心
本文為「經濟部產業技術司科技專案成果」
Generic Drug’s Patent Infringement v. Sham Litigation in Antitrust
美國聯邦第三巡迴上訴法院於2014年時對於Takeda Pharmaceutical Co.(Takeda) v. Zydus Pharmaceuticals (Zydus) 一案判定：學名藥廠Zydus並無構成專利侵權，且原廠Takeda於本案的系爭專利並無失效[1]。惟本案的學名藥廠Zydus隨後向Takeda提起另一訴訟：Zydus聲稱該案的專利侵權訴訟是假訴訟(sham litigation)[2]，亦即，Takeda 提起專利侵權訴訟之本意在於阻卻Zydus的學名藥參與市場競爭，而非旨在確認侵權事實或請求賠償。Takeda隨後提起反訴，主張美國The 1984 Hatch-Waxman Act[3]已明確賦予專利權人提起專利權侵權訴訟之權利，既有訴訟權，便無假訴訟之虞。 美國聯邦貿易委員會(Federal Trade Commission, FTC)對於上述兩藥廠間的假訴訟爭議，在2018年6月時發布法庭之友意見書(amicus brief [4])，以5-0決議呼籲本案法院應對於假訴訟爭議進行審查。本意見書指出，The 1984 Hatch-Waxman Act、競爭法、專利法或其他醫藥法規，無任何關於藥品侵權訴訟得以免除假訴訟審查之規定。再者，FTC實有權限依據豁免原則（Noerr-Pennington Doctrine）及相關判例，就主觀與客觀要件，審查相關爭訟是否為假訴訟：(1)該爭訟程序客觀上是否無理由，提出爭訟者現實上是否不期待勝訴；(2)該爭訟程序當事人主觀上是否有意利用程序，直接地干擾競爭對手的商業關係。本意見書並進一步說明，原廠Takeda所提專利權侵權訴訟，即使學名藥廠Zydus之專利侵權事實為真，惟只要Takeda行為符合假訴訟主、客觀要件，仍有可能構成假訴訟；亦即，「是否侵權」與「是否該當假訴訟」兩者之判斷是分開的。 [1] 原廠藥之英文為branded drug，指一個藥廠自研發、生產、上市，而握有專利權之藥品，通常具有強大品牌名聲、價格通常也高；學名藥廠則是待原廠藥專利權屆滿後、或以侵權之方式，而製造與原廠藥相同或相似之藥物，學名藥價格相對較低，但在安全與效用上時常有疑慮。 [2] 美國競爭法豁免原則(Noerr Pennington Doctrine)下，私人爭訟方或單位，運用爭訟或政府程序等以促進法案的通過、增進法律執行等，免除競爭法之相關責任。但該責任免除之原則下，當事人若僅是利用政府或爭訟程序作為有害市場競爭的工具，並無合法地尋求正面結果; 或該爭訟僅是純粹的假訴訟，以干擾正當商業關係或市場競爭時，無該原則免除競爭法相關責任的適用，亦即，仍須受到競爭法的檢視與求責可能。 [3] The 1984 Hatch-Waxman Act 旨在促進學名藥參進市場競爭、兼顧學名藥與原廠藥間的利益保護，並明定原廠藥與學名藥廠均有權利提起專利權合法爭訟(validity)，以避免學名藥進入市場的受阻、也欲杜絕學名藥廠進行藥品侵權行為。 [4] 此指法庭意見書，乃為了釐清法律爭議或協助解釋法律等所提之文書，供參考用、不具強制法律效力，我國翻譯則稱法庭之友。
歐盟執委會發布「2016-2020年e政府行動計畫」並展開公眾諮詢歐盟執委會先前自2015年10月30日到2016年1月22日，針對其2016-2020年e政府行動計畫（eGovernment Action Plan）進行了公眾諮詢程序。執委會依據其公眾意見諮詢之初步分析，於2016年2月23日說明其2016-2020年的e政府行動計畫政策，將藉由公共行政管理措施（包含司法部分）的e化，實現歐盟數位單一市場的目標，提高跨境的互通性以及促進歐盟公民間的便捷交流。 歐盟執委會就該計畫目前有以下四項目標： (1) 透過資通訊之技術促進公共管理措施的現代化。 (2) 藉由數位化的公共服務提高跨境行動（cross-border mobility）的可能。 (3) 加強行政單位與歐盟公民及企業間的數位互動交流（digital interaction）。 (4) 推動數位化的關鍵措施。 相關監測及措施期程的指標，執委會將於未來幾個月內再為詳細之說明。而所有e政府行動計畫均應依循下列原則進行： (1) 數位化設定（digital-by-default）：若其他可傳送服務之管道能選擇中斷服務或必須中斷服務時，行動措施應給予服務線上傳輸的特權。 (2) 跨境設定（cross-border by default）：行動措施不應於歐盟內部市場製造新的跨境障礙。 (3) 一次性原則（once-only principle）：行動措施應僅得於行政單位從未持有數據或資訊時，要求歐盟公民或企業提供該數據或資訊。 (4) 內含設定（inclusive by default）：行動措施應促進所有歐盟公民或企業與公共行政單位的互動交流。 (5) 不保留原則（no legacy principle）：超過15年的基礎設施或應用服務不再維護保留。 (6) 隱私及資料保護（privacy & data protection）：所有數位化的公共服務皆應就個人資料之基本權利為完善的保護。 (7) 開放及透明化設定（open & transparency by default）：行動措施應就重複使用及透明化為開放之設定。
美國OMB發布M-26-04備忘錄，確立聯邦採購之「無偏見原則」與透明度義務美國白宮管理與預算辦公室（Office of Management and Budget，以下簡稱OMB）在2025年12月11日發布M-26-04備忘錄（以下簡稱本指引），目標是落實第14319號行政命令「防止聯邦政府中的覺醒AI」（Preventing Woke AI in the Federal Government）。本指引闡述「追求真相」（Truth-seeking）、「意識型態中立」（Ideological Neutrality）兩大「無偏見AI原則」（Unbiased AI Principles），並強制要求聯邦機構在採購大型語言模型（LLM）時，必須將此二原則納入合約條款。 為確保符合規定，本指引要求聯邦機構在進行採購時，應避免強制供應商揭露過於敏感的技術資料（如模型權重），而是採取以下兩層級的資訊揭露架構： 1. 基本透明度要求（Minimum Threshold for LLM Transparency） 各機構於招標階段，應要求供應商提供以下資訊： (1) 可接受的使用政策：界定產品適當與不適當用途的文件。 (2) 模型、系統和/或資料的摘要卡（Model, System, and/or Data Cards）：包含訓練摘要、風險緩解措施及基準測試評分。 (3) 終端用戶資源與意見回饋機制：包含用戶教程及針對違反無偏見原則產出的回報管道。 2. 強化透明度門檻（Threshold for Enhanced LLM Transparency） 若機構擬將模型整合至其他軟體或服務中，則需獲取更深入的開發與運作資訊，例如： 1. 預訓練和後訓練（Pre-Training and Post-Training）：如影響產出事實性（factuality）的活動、系統提示詞（System Prompts）、以及內容審查過濾器的具體運作。 2. 模型評估：針對政治議題的偏見測試結果與方法論。 3. 模型中嵌入的企業控制（Enterprise-Level Controls）: 如可客製化的系統指令或來源引用功能。 4. 第三方對模型的修改：非原廠開發者所施加的額外控制層。 本指引對聯邦行政機構具有行政拘束力。機構必須於2026年3月11日前更新採購政策，並將上述要求納入新舊合約中。值得注意的是，本指引引入了「實質性要求」（Materiality Requirement），即若供應商拒絕針對違反無偏見原則的產出採取糾正措施，將構成合約違約之重要事由，機構得據此終止合約。 觀察美國OMB此次發布的內容，係透過將「意識形態中立」轉化為具體的採購合規要件，OMB利用聯邦政府龐大的購買力，在採購合約中確立供應商的「透明度義務」，OMB指引不僅建立了明確的法遵標竿，更可能發揮示範效應，將政府端的無偏見規範逐步推廣至私營部門，轉化為產業的最佳實踐標準。
美國衛生及公共服務部提出雲端服務適用健康保險可攜與責任法之相關指引美國醫療產業使用境內或境外雲端服務（Cloud Services）急速成長，導致「健康保險可攜與責任法」（Health Insurance Portability and Accountability Act，以下簡稱HIPAA）規範下之「適用機構」（Covered Entities）與其「商業夥伴」（Business Associate），對於雲端服務業者如何適用HIPAA感到疑惑。因此，衛生及公共服務部民權辦公室（Department of Health and Human Services, Office for Civil Rights）於10月7日公布相關業者如何適用HIPAA之指引，以釐清爭議。 於該指引中，該部指出，雲端服務業者若替適用機構或是商業夥伴創造、接收、維護、傳送被HIPAA所保護之「資療資訊」（Protected Health Information），則該雲端業者就被視為HIPAA下規範之商業夥伴，原因在於該服務具有儲存與維護醫療資訊功能，非屬該法排除適用之「網路服務業者」（Internet Service Providers）資料傳輸服務類型。 該指引有幾大重點：首先，雲端服務業者如將該醫療資訊提供加密儲存服務，仍應盡到HIPAA中規範商業夥伴之責任。原因在於加密資料不足以保護HIPAA有關資訊安全章節所要求醫療資訊之「機密性、完整性和可用性」之相關規範。再者，雲端業者皆須與委託方簽署商業夥伴協議（Business Associate Agreements）。此外，使用雲端服務儲存資療資訊時，委託方皆能使用行動設備進入雲端儲存之醫療資料，但應建立合乎HIPPA所要求相關之安全措施。最後，HIPAA並未禁止將醫療資訊儲存至伺服器為於美國境外之雲端業者，但使用前應自行評估該資訊遭駭客攻擊之可能性。