美國第二大連鎖商信用卡資料外洩
美國第二大連鎖商塔吉特（Target）在12月19日正式發出郵件通知客戶，表示公司資訊系統因遭駭客入侵，從2013年11月27日至12月15日期間內的刷卡記錄可能遭竊，約莫共4千萬筆，遭竊內容包含姓名、卡號、卡片到期日和卡片驗證碼。目前美國的塔吉特連鎖店推出全面9折的優惠來挽回消費者的信心，並對資料外洩的個別民眾提供免費的信用監督作為補償。
每當資安事件發生時，所有防毒軟體公司及資安管理服務都會跳出來大肆評論，並宣稱這是因為沒有購買自家資安服務或產品的關係，但在塔吉特事件，此番事後諸葛的批判方式顯然不再行得通。
塔吉特的資訊系統先前接受過檢驗，完全符合「支付卡產業資料安全標準（PCI DSS）」，有專家評析不太可能是在銷售點管理（POS）設備上（指擁有收銀、進銷存作業功能的機器）植入惡意軟體，比較可能是從授權與結算的交換系統竊取資料。
塔吉特的信用卡資料外洩事件，引發了一連串的訴訟案件及犯罪調查，目前加州提起了兩件團體訴訟、奧勒岡州一件，損害賠償額估計高於5百萬美元；另外，目前至少有四州的州檢察長（Attorney General）展開了聯合調查，直接要求塔吉特配合提出信用卡資料遭竊事件的相關資訊，民眾和調查機關最關注的在於塔吉特何時得知資料遭竊事件的發生、花了多久時間進行應變以及是否有盡到立即通知當事人的義務。同時間，從塔吉特流出去的數百萬筆信用卡和簽帳卡資料已經開始在黑市中販售每筆價格20至100美元不等。
芬蘭財政部(Ministry of Finance)在2016年4月7日將群眾募資法(Crowdfunding Act)草案提交國會，本法案預訂在2016年7月1日生效。芬蘭金融監管局(Finnish Financial Supervisory Authority)曾於2014年7月1日針對債權模式群眾募資(loan-based crowdfunding)以及投資模式群眾募資(investment-based crowdfunding)發布指導原則 ，為其法制進行說明與解釋，然而並未進行立法為群眾募資作出法規鬆綁。 本次芬蘭所提出的法案將有助於企業運用債權(debt)以及證券(securities)模式群眾募資進行籌資活動，本法案將鬆綁證券模式群眾募資並釐清債權模式群眾募資法制基礎。芬蘭財政部長表示：「本法案目標在於創造新的融資來源，特別是在傳統融資管道經歷困難的新創成長公司。群眾募資將增加融資可能，特別是中小企業以及新創公司。透過群眾募資，將可以提升他們的成長機會，投資選項，商業化創新，我們希望進而能增加就業率。」。 目前歐洲投資模式群眾募資市場規模為1550萬歐元，債權模式群眾募資約6890萬歐元。歐洲2015年群眾募資整體市場規模為8440萬歐元，較去年成長48%。 芬蘭群眾募資法只規範證券模式群眾募資以及債權模式群眾募資，不包含P2P借貸(peer-to-peer lending)。目前在芬蘭，P2P借貸由消費者保護法(Consumer Protection Act)規範；捐贈模式群眾募資(Donation-based crowdfunding)由集資法(Money Collection Act)規範，由內政部(Ministry of the Interior)管理；回饋模式群眾募資(Reward-based crowdfunding)由消保法規範，消費者之間以及企業之間則有商品銷售法(Sale of Goods Act)。 新法規定，經營群眾募資必需要取得芬蘭金融監管局取得執照。目前投資模式的群眾募資所適用的法規為投資服務法(Investment Services Act)，同樣為金融監管局主管之範疇。信用機構則無需依照新法另外取得執照即可於其原營運執照下提供群眾募資中介服務。 新法做出下述變革： 1. 過去繁重耗時的營運執照申請行政程序，將被簡化，由較便宜、簡易且快速的註冊程序所取代。 2. 群眾募資中藉機構不需要再參加投資人補償基金(Investors’ Compensation Fund)。 3. 群眾募資中介機構的最低資本額由目前的125,000歐元降低為50,000歐元。 4. 提供最低資本額替代方案，例如專業的責任保險、銀行擔保或者是其它金融監管局認為足夠的相應的擔保。 5. 本法只是用於在芬蘭境內擔任群眾募資中介機構或者取得群眾募資，如果要在其它歐盟國家營運，建議中介機構仍應取得投資服務公司營運執照，以加速進入歐盟市場。 目前債權模式群眾募資被認定為金融中介機構，但是不受任何法規範。新法對於債權模式群眾募資提出管理規範，將適用證券模式群眾募資的管理規範，包含： 1. 群眾募資中介者以及募資人都具備資訊揭露義務。 2. 管理群眾募資中介者流程，以及對於投資人的義務。 3. 群眾募資中介者的監管規範，包含處罰規定。 目前具備群眾募資法制的歐洲國家包含義大利、法國、英國、德國、西班牙、奧地利以及葡萄牙。比利時、荷蘭以及立陶宛法案則預計在近期生效。而瑞典、愛沙尼亞以及拉脫維亞則仍在探詢法制之需求。雖然歐洲早於2011年就成立歐洲群眾募資網路(European Crowdfunding Network)，但迄今歐盟尚未有群眾募資指令。歐洲各國不同的群眾募資國內法制造成目前歐盟協商群眾募資法制之困難。
美國專利商標局宣布快軌上訴試驗計畫美國專利商標局（The United States Patent and Trademark Office, USPTO）於今年7月1日發布新聞稿，即專利審判及上訴委員會（Patent Trial and Appeal Board, PTAB）開始加速處理單方上訴的計畫。該計畫名為「快軌上訴試驗計畫（Fast-Track Appeals Pilot Program）」並於今年7月2日正式啟動。 根據該計畫，專利審判及上訴委員會上訴裁決的目標時間預計為該上訴被賦予快軌（即批准加速審查）之日起六個月內，此與美國專利商標局之期望相符。蓋目前單方面上訴的裁決時間平均約14個月，因此，對於申請該計畫的人來說，該計畫平均應將上訴程序縮短約8個月。惟申請該計畫所需費用為400美元，且被批准的申請案會被限制在每季125件，會計年度最多500件，預計施行一年。 美國商務部負責智慧財產權事務副部長兼USPTO局長Andrei Iancu表示：「這是USPTO史上首次，申請人將能夠加快專利審查和單方上訴的速度，從而能較典型申請案約一半的時間內，就其最重要的發明做出決定。」。PTAB首席法官Scott Boalick亦表示：「近年來，我們取得了長足的進步，將上訴待決時間從2015年的平均30個月減少到目前的平均14個月。很高興PTAB現在能夠為申請人提供更快的途徑，從而使發明人和企業能夠更快地將其專利發明商業化。」 值得一提的是，我國智慧財產局亦有發明專利加速審查（Accelerated Examination Program, AEP）及商標加速審查機制。而AEP更早於民國98年1月1日起試辦實施，依據申請事由之不同，智財局將在申請人齊備相關文件後，於6個月內或9個月內發出審查結果通知。
歐洲議會通過《人工智慧法案》朝向全球首部人工智慧監管標準邁進下一步歐洲議會通過《人工智慧法案》 朝向全球首部人工智慧監管標準邁進下一步 資訊工業策進會科技法律研究所 2023年06月26日 觀察今年的科技盛事屬ChatGPT討論度最高，將人們從區塊鏈、元宇宙中，帶入人工智慧（AI）領域的新發展。ChatGPT於2022年11月由OpenAI開發的生成式人工智慧，透過深度學習模型，理解和生成自然語言，其功能包含回答各類型問題（如科學、歷史）、生成邏輯結構之文章（如翻譯、新聞標題）、圖形、影像等內容。然而對於人工智慧的發展，究竟如何去處理人機間互動關係，對於風險之管理及相關應用之規範又該如何，或許可從歐盟的法制發展看出端倪。 壹、事件摘要 面對人工智慧的發展及應用，歐盟執委會（European Commission）早在2018年6月成立人工智慧高級專家組（AI HLEG），並於隔年（2019）4月提出「可信賴的人工智慧倫理準則」（Ethics Guidelines for Trustworthy AI），要求人工智慧需遵守人類自主、傷害預防、公平、透明公開等倫理原則。於2021年4月21日歐盟執委會提出「人工智慧法律調和規則草案」（Proposal for a Regulation Laying Down Harmonised Rules on Artificial Intelligence (Artificial Intelligence Act) and Amending Certain Union Legislative Acts）（以下稱人工智慧法案），於2023年內部市場委員會（Internal Market Committee）與公民自由委員會（Civil Liberties Committee）通過並交由歐洲議會審議（European Parliament），最終《人工智慧法案》於2023年6月14日通過。後續將再歐盟理事會（Council of the European Union）與辯論協商，尋求具共識的最終文本[1]。 貳、重點說明 由於「歐盟議會通過」不等於「法案通過」，實際上歐盟立法機制不同於我國，以下透過法案內容說明的契機，概述一般情況下歐盟之立法流程： 一、歐盟立法過程 通常情況下，法案由歐盟執委會（下簡稱執委會）提出，送交歐盟理事會及歐洲議會，作為歐盟的「立法者」歐洲理事會（下簡稱理事會）與歐洲議會（下簡稱議會）將針對法案獨立討論並取得各自機關內之共識。大致上立法程序有可分為三階段，在一讀階段若理事會與議會對於執委會版本無修改且通過，則法案通過，若任一機關修改，則會進行到二讀階段。針對法案二讀若仍無法取得共識，則可召開調解委員會（Conciliation）協商，取得共識後進入三讀。簡單來說，法案是否能通過，取決於理事會與議會是否取得共識，並於各自機關內表決通過[2]。 目前《人工智慧法案》仍處於一讀階段，由於法案具備爭議性且人工智慧發展所因應而生之爭議迫在眉睫，議會通過後將與執委會、理事會進入「三方會談」（Trilogue）的非正式會議，期望針對法案內容取得共識。 二、人工智慧法案 （一）規範客體 《人工智慧法案》依風險及危害性程度分級，其中「不可接受風險」因抵觸歐盟基本價值原則禁止（符合公益目標，如重大或特定犯罪調查、防止人身安全遭受危害等例外許可）。「高風險」則為法案規範之重點，除針對系統技術穩健、資料處理及保存訂有規範外，針對人為介入、安全性等也訂定標準。 而針對高風險之範疇，此次議會決議即擴大其適用範圍，將涉及兒童認知、情緒等教育及深度偽造技術（Deepfake）納入高風險系統，並強調應遵循歐盟個人資料保護規範。此外對於社會具有高影響力之系統或社群平臺（法案以4500萬用戶做為判斷基準），由執委會評估是否列為高風險系統。針對目前討論度高的生成式人工智慧（ChatGPT），議會針對法案增訂其系統於訓練及應用目的上，應揭露其為生成式人工智慧所產出之內容或結果，並摘要說明所涉及之智慧財產權[3]。 （二）禁止項目 關於《人工智慧法案》對於高風險系統之要求，從執委會及理事會的觀點來看，原則上重點在於對弱勢的保護及生物資料辨識之權限。歐盟禁止人工智慧系統影響身理及心理，包含對於特定族群如孩童、身心障礙者等弱勢族群之不平等待遇。同時原則禁止即時遠端的生物辨識利用，包含對於人性分析、動作預測等對於人類評價、分類之應用，例外情況如犯罪調查、協尋失蹤兒童、預防恐怖攻擊、關鍵基礎設施破壞等情況時方被允許。此次議會決議提高禁止即時遠端生物辨識的標準，包含納入敏感資訊的蒐集如性別、種族、政治傾向等，及其他臉部辨識、執法、邊境管制、情緒辨識等項目[4]。 參、事件評析 有關《人工智慧法案》雖歐洲議會已一讀通過，然而後續仍要面對與歐盟理事會的協商討論，並取得共識才能規範整個歐盟市場。因此上述規範仍有變數，但仍可推敲出歐盟對於人工智慧（含生成式）的應用規範態度。在面對日新月異的新興科技發展，其立法管制措施也將隨著橫向發展，納入更多種面向並預測其走向趨勢。因人工智慧有應用多元無法一概而論及管制阻礙創新等疑慮，觀察目前國際上仍以政策或指引等文件，宣示人工智慧應用倫理原則或其風險之管理，偏重產業推動與自律。 觀察歐盟《人工智慧法案》之監管目的，似期望透過其市場規模影響國際間對於人工智慧的監管標準。倘若法案後續順利完成協商並取得共識通過，對於如OpenAI等大型人工系統開發商或社群平臺等，若經執委會評估認定為高風險系統，勢必對於未來開發、應用帶來一定衝擊。因此，歐盟對於人工智慧監管的態度及措施實則牽一髮而動全身，仍有持續觀察之必要。 本文同步刊登於TIPS網站（https://www.tips.org.tw） [1]The AI Act, Future of Life Institute, https://artificialintelligenceact.eu/developments/ (last visited Jun. 20, 2023) [2]The ordinary legislative procedure, Council of European Union, https://www.consilium.europa.eu/en/council-eu/decision-making/ordinary-legislative-procedure/ (last visited Jun. 19, 2023) [3]EU AI Act: first regulation on artificial intelligence, European Parliament, Jun. 14, 2023, https://www.europarl.europa.eu/news/en/headlines/society/20230601STO93804/eu-ai-act-first-regulation-on-artificial-intelligence (last visited Jun. 21, 2023) [4]MEPs ready to negotiate first-ever rules for safe and transparent AI, European Parliament, Jun. 14, 2023, https://www.europarl.europa.eu/news/en/press-room/20230609IPR96212/meps-ready-to-negotiate-first-ever-rules-for-safe-and-transparent-ai(last visited Jun. 21, 2023)
英國資訊專員辦公室對連鎖藥局違反GDPR存放敏感個資作成裁罰首例英國資訊專員辦公室（Information Commissioner's Office, ICO）於2019年12月20日發布首宗依據歐盟一般資料保護規則（General Data Protection Regulation, GDPR）之裁罰。 本案源於英國藥物及保健產品管理局（Medicines and Healthcare products Regulatory Agency, MHRA）接獲投訴前往倫敦當地一家名為Doorstep Dispensaree Ltd之連鎖藥局進行藥品違規調查，卻意外發現其後院存放大量敏感個資文件，約五十萬個文件檔案皆未做任何資料檔案保護措施，上面更記載名字、地址、出生日期、NHS號碼、醫療資料及處方籤等患者之個人資料，旋即通報英國資訊專員辦公室展開調查。最終英國資訊專員辦公室以該藥局違反歐盟一般資料保護規則（General Data Protection Regulation, GDPR）第5條1項第f款、第24條第1項及第32條，裁罰275,000英鎊。其裁罰理由如下： 一、隱私政策並不符合要求，如未述明蒐集個人資料之類別，未訂定個資保存期限，當事人告知聲明不完備，無當事人權利行使等。 二、無適當安全維護措施 三、涉及敏感性個資，違法情狀嚴重 四、未積極配合調查 五、影響層面甚深，導致該藥局配合之上百家療養院，近千名當事人個資受損害。 此為英國資訊專員辦公室首宗依據歐盟一般資料保護規則確定裁罰之案例且涉及敏感性個資，有其指標性。除此之外，英國航空與萬豪酒店之個資外洩案亦欲依GDPR進行裁罰，實值持續關注後續發展。