文創法第26條第1項第4款適用疑義─營利事業對國家電影中心之捐贈列支為例
文創法第26條第項第4款適用疑義─
以營利事業對國家電影中心之捐贈列支為例
科技法律研究所
法律研究員 尤騰毅
2015年02月10日
壹、事實說明
日前根據報載「…金馬影后、也是湯臣影業負責人徐楓，響應搶救老電影計畫，一舉捐出510萬元修復胡金銓導演、也是她自己的代表作《俠女》，作為國家電影中心的開門之喜。…」（「國家電影中心」成立 徐楓捐款510萬，經濟日報，2014.07.28）。營利事業對於財團法人國家電影中心之捐贈列支，係依所得稅法第36條，或文創法第26條第1項第4款申請？
貳、法律評析
一、依所得稅法第36條第1款以專案核准方式辦理，得不受列支金額限制
營利事業針對政府捐助成立之特定財團法人，目前財政部依所得稅法第36條第1項規定，以專案核准方式作成多號函釋，其捐贈列支，不受金額限制，包括財團法人法律扶助基金會、財團法人中央廣播電台等，參附錄一。以本案例而言，若能依所得稅法第36條第1款向財政部申請以專案核准方式辦理，可享有無認列金額上限之待遇，係優於文創法的處理方式；惟本案捐贈款項有指定用途，捐贈人宜以捐贈契約明文，以確保捐贈目的的達成。
二、本案例事實亦可適用文創法第26條
(一)受贈對象
文創法第26條之立法意旨在於鼓勵民間企業參與，帶動文創產業發展，達到以短期租稅減收換取未來長期經濟發展之目的。希望將企業資金導入民間之文創產業，其受捐贈目的與所得稅法第36條第2款所稱之教育、文化、公益、慈善機關或團體有別。惟其受贈對象未限於營利之民間企業，亦包括從事文創事業之非營利法人，故本案捐助對象雖為財團法人國家電影中心，因其亦為從事文創產業活動之事業，仍屬文創法第26條之適用對象。
(二)捐贈事由
文創法第26條第1項所列3款法定事由，同項第4款並授權中央主管機關可認定得列為當年度費用或損失之事項（屬概括規定）[1]。關於文創法第26條所列3款法定事由，茲先說明如下：
（一）購買由國內文化創意事業原創之產品或服務，並經由學校、機關、團體捐贈學生或弱勢團體。（文創法第26條第1項第1款）
所稱國內文化創意事業，係指「在我國依法設立之法人、合夥或獨資事業，或具有中華民國國籍之國民，從事文化創意產業者」（營利事業捐贈文化創意相關支出認列費用或損失實施辦法第2條，下稱認列辦法）。只要是國內文化創意事業所研發創作，提供消費者消費之產品或服務，均適用捐贈認列抵稅。
營利事業所捐贈之原創產品或服務，須經由學校、機關或團體，核轉給適格的捐贈對象。所稱「學校」，包括所有各級依法設立、實施正規教育的公、私立學校，故不包含補習學校與社區大學（認列辦法第2條）。另為確保捐贈為弱勢團體所用，針對受贈團體之認定標準，限於依法設立或登記之非營利組織。透過符合上述資格之學校、機關或團體，將購買之原創產品或服務核轉給各級公私立學校之在學學生，以及依法設立或登記專門協助身心障礙者、原住民及其他弱勢族群之團體。
（二）偏遠地區舉辦之文化創意活動。（文創法第26條第1項第2款）
所稱偏遠地區係指人口密度較低、或交通較為不便、地理位置偏遠之地區，如離島（認列辦法第2條）。考量我國文化活動在城鄉的相較之下，仍多集中於城市，為兼顧文化創意產業之均衡發展，縮短城鄉差異，故以本款規定鼓勵營利事業捐贈國內文化創意事業於偏遠地區舉辦文化創意活動，以提高民眾參與文化創意活動意願及文化素養，同時達到發展國內文化創意事業之立法目標。凡屬於對公眾舉辦之展覽、表演、映演、拍賣或其他經各中央目的事業主管機關認定之活動，並應以公開且無償之方式服務偏遠地區之民眾者為限。
（三）捐贈文化創意事業成立育成中心。（文創法第26條第1項第3款）
雖然文創法第26條第1項第3款規定捐贈於「成立」的費用或損失才可認列，但避免育成中心設置過於浮濫，「營利事業捐贈文化創意相關支出認列費用或損失實施辦法」第5條規定設計育成中心應以設立後已有營運經營活動為限，且針對經營團隊管理階層人員之專業及其相關工作年資、育成空間之坪數空間，均有所規範，俾利徵納雙方遵循，以免流弊。
由於本案捐贈目的在於搶救老電影的修復費用，並不符合上述明列的事由，須由中央主管機關認定系爭事實是否得適用前述第4款規定。本文認為例舉之三款法定認列事由可歸納出以下三個構成要件，本件案例事實是否得適用文創法第26條第1項第4款之規定，中央主管機關得以下述要件檢視之：
1.應符合鼓勵民間企業參與文創事業活動，帶動產業發展之立法意旨
文創法第26條之立法意旨在於鼓勵民間企業參與，帶動文創產業發展，達到以短期租稅減收換取未來長期經濟發展之目的。因此，營利事業之捐贈、購買行為，應透過參與文創事業活動，而達到帶動文創產業發展之效。
2.為捐贈、購買或其他可促進文創產品創作、或舉辦文創活動所支出之費用
營利事業之捐贈、購買標的，包括文創產品或服務，以及可促進文創產品創作之行為（例如成立育成中心），以及舉辦文創活動（如對公眾公眾舉辦之展覽、表演、映演）等。
3.捐贈或購買對象應為文化創意事業
營利事業所捐贈或購買的對象應限定為文化創意事業，其範圍依照文化創意產業發展法第4條規定，係指從事文化創意產業之法人、合夥、獨資或個人。
因此，本案捐助對象為財團法人國家電影中心，亦為從事文創產業活動之事業，其費用雖非為購買特定產品、服務或捐贈特定活動，惟具備促進文創產品創作之效用，與文創法第26條鼓勵企業資源挹注文創產業之立法意旨相符，應有同條第1項第4款之適用。
參、結語
為善用民間企業挹注文化創意產業發展，文化創意產業發展法26條以認列損失或費用之方式，鼓勵民間營利事業購買文化創意事業之原創產品與服務，或贊助偏遠地區舉辦之文化創意活動，以及捐贈文化創意事業成立育成中心。其捐贈總額在新台幣1千萬元或所得額10%之額度內，以額度較高者為準，得列為當年度費用或損失，以租稅優惠作為營利企業團體支持文化創意產業之誘因。本案的捐贈金額並未超出文創法第26條的限額，若經主管機關認定為可認列之費用，其稅賦優惠其實與適用所得稅法第36條第1款以專案核准方式辦理相同，惟捐贈人所需考量者，在於上述二個租稅優惠途徑的申請程序繁簡與獲准機會。
台灣正面臨產業轉型階段，文化創意產業若干的活動（如設計、廣告、出版、文化等），可以提供製造業周邊服務並提高其附加價值，將是台灣未來升級轉型的希望所冀。從我國科技產業發展歷程觀之，運用租稅獎勵政策工具以發展特定產業，其成效卓著已獲得印證。為動文創產業發展，文創主管機關勢必會妥善利用租稅獎勵政策工具，因此以簡便且較容易獲租稅優惠角度來看，只要金額未超過限制，對於財團法人的文創活動捐贈，建議優先嘗試適用文創法第26條規定。
附錄一：財政部依所得稅法第36條第1款專案核准之函釋
【財政部 103.2.06. 臺財稅字第10304516880號函】
營利事業對財團法人法律扶助基金會之捐贈，可依所得稅法第36條第1款規定，列為當年度費用或損失，不受金額之限制。
【財政部 92.06.16. 台財稅字第 0920454411 號函】
營利事業對財團法人中央廣播電台之捐贈，准依所得稅法第三十六條第一款規定列為當年度費用或損失，不受金額之限制。
【財政部 92.04.09. 台財稅字第 0920452425 號】
設立財團法人證券人及期貨交易人保護中心之捐助款，准列為當年費用或損失，不受金額限制。
【財政部 90.11.09. 台財稅字第 0900457122 號】
金融機構對財團法人中小企業信用保證基金之捐助准列為當年度費用或損失，不受金額限制。
【財政部 85.12.19. 台財稅字第 851172920 號】
營利事業或個人對財團法人中央通訊社之捐贈，可依所得稅法規定認列費用或列報扣除額。
【財政部 80.10.21. 台稅一發字第 800739322 號】
對海華文教基金會之捐款得限額列為費用。
美國公布實施零信任架構相關資安實務指引 資訊工業策進會科技法律研究所 2022年09月10日 美國國家標準技術研究院（National Institute of Standards and Technology, NIST）所管轄的國家網路安全卓越中心（National Cybersecurity Center of Excellence, NCCoE），於2022年8月前公布「NIST SP 1800-35實施零信任架構相關資安實務指引」（NIST Cybersecurity Practice Guide SP 1800-35, Implementing a Zero Trust Architecture）系列文件初稿共四份[1] ，並公開徵求意見。 壹、發布背景 此系列指引文件主要係回應美國白宮於2021年5月12日發布「改善國家資安行政命令」(Executive Oder on Improving the Nation’s Cybersecurity) [2]當中，要求聯邦政府採用現代化網路安全措施（Modernizing Federal Government Cybersecurity），邁向零信任架構（advance toward Zero Trust Architecture）的安全防護機制，以強化美國網路安全。 有鑑於5G網路、雲端服務、行動設備等科技快速發展，生活型態因疫情推動遠距工作、遠距醫療等趨勢，透過各類連線設備隨時隨地近用企業系統或資源進行遠端作業，皆使得傳統的網路安全邊界逐漸模糊，難以進行邊界防護，導致駭客可透過身分權限存取之監控缺失，對企業進行攻擊行動。為此NIST早於2020年8月已公布「SP 800-207零信任架構」（Zero Trust Architecture, ZTA）標準文件[3] ，協助企業基於風險評估建立和維護近用權限，如請求者的身分和角色、請求近用資源的設備狀況和憑證，以及所近用資源之敏感性等，避免企業資源被不當近用。 貳、內容摘要 考量企業於實施ZTA可能面臨相關挑戰，包含ZTA部署需要整合多種不同技術和確認技術差距以構建完整的ZTA架構；擔心ZTA可能會對環境運行或終端客戶體驗產生負面影響；整個組織對ZTA 缺乏共識，無法衡量組織的ZTA成熟度，難確定哪種ZTA方法最適合業務，並制定實施計畫等，NCCoE與合作者共同提出解決方案，以「NIST SP 800-207零信任架構」中的概念與原則，於2022年8月9日前發布實施零信任架構之實務指引系列文件初稿共四份，包含： 一、NIST SP 1800-35A：執行摘要（初稿）（NIST SP 1800-35A: Executive Summary (Preliminary Draft)） 主要針對資安技術長（chief information security and technology officers）等業務決策者所編寫，可使用該指引來瞭解企業於實施ZTA所可能遭遇挑戰與解決方案，實施ZTA所能帶來優點等。 二、NIST SP 1800-35B：方法、架構和安全特性（初稿）（NIST SP 1800-35B: Approach, Architecture, and Security Characteristics (Preliminary Draft)） 主要針對關注如何識別、理解、評估和降低風險的專案經理和中層管理決策者所編寫，闡述風險分析、安全/隱私控制對應業務流程方法（mappings）的設計理念與評估內容。 三、NIST SP 1800-35C：如何操作指引（初稿）（NIST SP 1800-35C: How-To Guides (Preliminary Draft)） 主要針對於現場部署安全工具的IT 專業人員所編寫，指導和說明特定資安產品的安裝、配置和整合，提供具體的技術實施細節，可全部或部分應用指引中所揭示的例示內容。 四、NIST SP 1800-35D：功能演示（初稿）（NIST SP 1800-35D: Functional Demonstrations (Preliminary Draft)） 此份指引主要在闡述商業應用技術如何被整合與使用以建構ZTA架構，展示使用案例情境的實施結果。 參、評估分析 美國自總統發布行政命令，要求聯邦機構以導入ZTA為主要目標，並發布系列指引文件，透過常見的實施零信任架構案例說明，消除零信任設計的複雜性，協助組織運用商用技術來建立和實施可互操作、基於開放標準的零信任架構，未來可預見數位身分將成為安全新核心。 此外，NIST於2022年5月發布資安白皮書－規劃零信任架構：聯邦管理員指引[4] ，描繪NIST風險管理框架（Risk Management Framework, RMF）逐步融合零信任架構的過程，幫助聯邦系統管理員和操作員在設計和實施零信任架構時使用RMF。 我國企業若有與美國地區業務往來者，或欲降低遠端應用的安全風險者，宜參考以上標準文件與實務指引，以建立、推動和落實零信任架構，降低攻擊者在環境中橫向移動和提升權限的能力，與保護組織重要資源。 [1] Implementing a Zero Trust Architecture, NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY, https://www.nccoe.nist.gov/projects/implementing-zero-trust-architecture (last visited Aug. 22, 2022). [2] Executive Order on Improving the Nation’s Cybersecurity, THE WHITE HOUSE, https://www.whitehouse.gov/briefing-room/presidential-actions/2021/05/12/executive-order-on-improving-the-nations-cybersecurity (last visited Aug. 22, 2022). [3] SP 800-207- Zero Trust Architecture, NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY, https://csrc.nist.gov/publications/detail/sp/800-207/final (last visited Aug. 22, 2022). [4] NIST Releases Cybersecurity White Paper: Planning for a Zero Trust Architecture, NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY, https://csrc.nist.gov/News/2022/planning-for-a-zero-trust-architecture-white-paper (last visited Aug. 22, 2022).
從美國「聯邦風險與授權管理計畫」看我國促進政府部門導入雲端運算之策略與機制從美國「聯邦風險與授權管理計畫」看我國促進政府部門導入雲端運算之策略與機制 科技法律研究所 2013年07月03日 資訊科技的發展，從早期「超級電腦/大型電腦」、近期「個人電腦」，到即將邁入以超大規模數量電腦主機虛擬集結的「雲端運算」時代。雲端運算將電腦集中運用，未來電腦運算設施就像是水、電；資料儲存與應用就像是銀行，只要連上網路就可以使用，不必各自投資發展。因此，「雲端運算」未來將成為每個國家的重要基礎建設。 將雲端運算列為重要的產業發展重心，已是各國的趨勢，而運用雲端運算所帶來的效益，如節省經費、提升效率等，亦為普遍地承認，再加上公部門相較於民間，其擁有較多的經費及資源來進行雲端運算的導入，而藉由公部門導入雲端運算，可以帶動雲端運算產業的發展以及雲端運算應用的普及化。因此，各國均皆致力於促進公部門導入雲端運算。 然而，在雲端運算帶來龐大經濟效益的同時，伴隨而來的，是新的資訊管理議題，雲端安全防護聯盟（Cloud Security Alliance, CSA）提出了雲端運算可能遭遇的九大安全威脅 ： 一、資料外洩（Data Breaches） 二、資料遺失（Data Loss） 三、帳號被駭（Account Hijacking） 四、不安全的APIs程式（Insecure APIs） 五、拒絕服務（Denial of Service） 六、惡意的內部人員（Malicious Insiders） 七、濫用雲端服務（Abuse of Cloud Services） 八、審慎評鑑不足（Insufficient Due Diligence） 九、共享環境議題（Shared Technology Issues） 面對前述的安全威脅，政府部門在考量導入雲端服務時，首先面對的就是要探討如何在導入雲端運算後仍能維持資訊安全的強度，以及政府部門要從何尋找符合其需求的業者。 壹、事件摘要 美國政府在2010年12月發表了25項聯邦IT轉型重點政策，其中一項核心的政策便是「雲優先政策」（cloud first policy）。根據「雲優先政策」，聯邦機構必須在三個月內找出三項轉移到雲端的政府服務，並且要在一年內導入其中一項。 然而，此種新型態的雲端運算服務為聯邦機構帶來資安管理的新挑戰，傳統由各機關分頭洽談所導入資訊系統與應用規格之方法，並實施個別的資訊安全需求與政策的作法，對服務商而言，其所提供的相同服務，在各機關導入時，卻必須將受各個機關的審查，造成各機關投入過多的資源在審查程序上，導致政府資源的浪費，不但耗費時間、審查重複，且無法達到建構妥善操作程序的效果。 2012年6月6日，聯邦政府總務管理局（General Service Administration, GSA）宣布「聯邦風險與授權管理計畫」（Federal Risk and Authorization Management Program,以下稱FedRAMP）開始正式運作，GSA並表示，「FedRAMP」的正式運作，將解決美國政府在雲端產品及服務需求上，因各自導入之標準不一致所導致的系統相容性問題、重複投資浪費，並可降低各政府機關自行進行風險評估及管理相關系統所耗費的人力、金錢成本。預估該計畫可為美國政府節省高達40%的預算及費用，預期效益相當可觀。 「FedRAMP」的目的是要為全國政府機關針對雲端產品與服務的風險評估、授權管理以及持續監控等標準作業規範，建立一套可遵循之依據。未來所有雲端產品的服務提供者，都必須遵守及達到該計畫的標準規範，才能為美國政府機關提供雲端產品及服務。 貳、重點說明 「聯邦風險與授權管理計畫」主要由預算與管理辦公室（Office of Management and Budget, OMB）負責組織預算與管理；聯邦資訊長（the Federal Chief Information Officer，CIO）負責跨部門的整合；國土安全部(Department of Homeland Security, DHS)負責網際網路的監控與分析；總務管理局(General Services Administration, GSA) 則建立FedRAMP之架構與程序，並成立計畫管理辦公室（ Program Management Office， PMO）負責FedRAMP之操作與管理；以及國家科技研究所(National Institute of Science and Technology, NIST)負責提供技術分析與標準；最後由國防部(Department of Defense, DoD) 、國土安全部、總務管理局，組成共同授權委員會（Joint Authorization Board, JAB），負責對服務提供者的授權與定期檢視。 FedRAMP制度的精神在於「作一次並重複使用」（Do once ,Use Many Times），同一內容的雲端服務，透過FedRAMP，僅須經過一次的評估與授權，即得被多個機關所採用。早期各機關重複檢驗同一廠商的同一服務之安全性，造成資源浪費的問題，將可獲得解決。當其他機關欲採用雲端服務時，可透過FedRAMP，免去再一次的評估與驗證。 FedRAMP主要由第三方評估機構、對服務提供者的評估、以及持續監督與授權等三個部份所構成，簡單介紹如下： 一、第三方評估機構的認證 FedRAMP的特殊之處，在於雲端服務提供者應由通過FedRAMP認證的第三方評估機構（3PAO）來進行審查，而第三方評估機構欲通過認證，除了要符合FedRAMP的需求外，還必須具備雲端資訊系統的評估能力、備妥安全評估計畫、以及安全評估報告等，另外亦同時引進了ISO/IEC17020作為評估機構的資格。其認證程序如下： （一）申請檢視 機構首先必須符合ISO/IEC 17020 檢驗機構的品質與技術能力，並且自行檢視FedRAMP網站上的申請表，自行檢視是否合乎要求，然後決定是否提出申請。 （二）完成要求 機構須分別完成申請表所要求的系統安全計畫（system security plan, SSP）、系統評估計畫（system assessment plan, SAP）、安全評估報告（security assessment report, SAR）。於完成後向計畫管理辦公室提出申請。 （三）審查 在接受申請後，總務管理局會與ISO網路安全專家共同組成「專家審查委員會」（Expert Review Board , ERB），審查該申請。 （四）決議 審查完畢後，FedRAMP計畫管理辦公室（PMO）會檢視ERB的意見，決議是否通過該申請。 於通過申請後，該機構將會被列入FedRAMP官方網站（www.FedRAMP.gov）的第三方評估機構名單，目前為止，陸續已有十五個機構通過共同授權委員會的授權，日後得對雲端服務商進行評估。 二、對雲端服務提供者的評估 在「聯邦風險與授權管理計畫」的機制設計中，政府機關或雲端服務提供者任一方，皆可提出申請（Request）啟動雲端服務的安全性評估（Security Assessment）程序，此程序中共有四個主要階段： （一）提出申請 在申請人將所須文件初步填寫完畢之後，計畫管理辦公室（PMO）即會指派資訊系統安全官（Information Systems Security Officer, ISSO）進行指導，使之得進行安全控制、出具必要文件、並實施安全測試。之後，PMO會與雲端服務提供者簽署協議，並要求相關機關實施對雲端服務系統的安全性測試。 （二）檔案安全控管 雲端服務提供者必須作成系統安全計畫（System Security Plan, SSP），表明安全控制之實施方法，及其相關文件如IT系統永續計畫（IT Contingency Plan）、隱私衝擊調查（Privacy Impact Questionnaire），並送交ISSO進行審查，再由雲端服務提供者就對審查意見予以回覆之後，由ISSO將案件送至共同授權委員會（Joint Authorization Board, JAB）進行審查，以確認所提交的SSP安全措施符合雲端系統所需。 （三）進行安全測試 服務提供者與第三方評估機構（Third Party Assessment Organization, 3PAO）簽約，且由PMO約集雲端服務提供者與3PAO，確認雙方對於安全測試實施的期待與時程，再由3PAO獨立進行該雲端系統測試，並完成安全評估報告（Security Assessment Report, SAR），闡述評估結果並確認所暴露的風險。雲端服務提供者針對此評估結果，作成行動與查核點報告（Plan of Action & Milestones (POA&M)），以提出矯正弱點與殘餘風險（residual risks）的措施、資源與時程規劃。 雲端服務提供者再將前述SAR與POA&M提交予PMO，由JAB決定是否接受該弱點及其修正計畫，或者提出修正建議。倘若JAB可接受該弱點及其他因應措施，則由ISSO通知雲端服務提供者即將進入安全評估的最後階段。 （四）完成安全評估 雲端服務提供者將所有安全控制相關文件彙成單一的安全評估方案，並提出證明將確實執行其安全控制措施。由JAB檢視此方案，並作出最終決定是否授予「附條件之授權」（Provisional Authorization）。得到此授權的雲端服務提供者名單，將會被列在FedRAMP官方網站上。倘若雲端服務提供者未獲得此授權，PMO會指導如何進行重新申請。 三、持續的評估與授權 持續的評估與授權（ongoing Assessment and Authorization, A&A）通常也被稱為持續監控（Continuous Monitoring），在FedRAMP中第三個也是最後一個流程，透過持續的評估與授權機制，來確保雲端服務提供者持續的安全性授權。其中包含了三個主要層面： （一）操作的能見度 操作能見度的目標，是藉由自動化的方式來減少政府機構在監督作業上的行政耗費。亦即雲端服務提供者透過自動化的資料提供、定期提交具體控制的證據文件、以及年度自我認證報告等安全控制措施來說明操作的能見度，而不必政府機構另行要求。 （二）變更控制程序 雲端服務提供者更新她們的系統是常有的事，此處的變更控制程序並非針對例行性的維修或變更，而是要求若有發生影響臨時性授權或的顯著變更時，服務提供者必須提供此種具衝擊性變更的有效資訊，使FedRAMP得以評估此變更的影響與衝擊。 （三）事件回應 事件回應方面聚焦於新風險和漏洞的因應，服務提供者在發現影響授權的新風險或漏洞時，應向機構說明其針對保持系統安全的因應對策與作法。 參、事件評析 在各國紛紛投入雲端運算的推動熱潮中，我國也不能在此項產業推動中缺席。2010年4月，行政院科技顧問組（現已改組為行政院科技會報）責成經濟部，研擬「雲端運算產業發展方案」；2011年5月，行政院研究發展考核委員會亦公布了「第四階段電子化政府計畫」，在內部運作管理面向，將運用新興雲端運算技術推動以全國性的政府雲端應用服務，減少機關重複開發成本，並達成節能減碳效果。 雲端的安全問題，無論在私人企業或政府部門，均為選擇導入雲端服務的第一要務，「第四階段電子化政府計畫」中亦指出第四階段電子化政府將以雲端資安防護推動為重點，運用雲端運算技術，創新資安服務價值，確保政府資通安全防護。 然而，在服務提供者的安全性方面，我國並沒有像美國FedRAMP計畫般適度地提供服務提供者的安全性保證。對此，我國可借鏡各國的作法，適度的以透過公正第三方機構驗證，來消除雲端服務安全性的疑惑，並推動一個公開的平台，將通過驗證的廠商公布出來，提供公部門甚至私人企業作選擇，不僅可免去同一服務廠商不斷重複驗證的麻煩，亦可削減選擇上的難題，並藉此發展雲端資安技術與推動雲端產業，使我國的雲端環境能夠更臻成熟。
歐洲食品安全局頒佈利益申報實施細則為了有效管理歐洲食品安全局（European Food Safety Authority, EFSA）內部各項活動間之利益管控與監督，EFSA日前於3月5日公布利益申報（Declarations of Interest, DOIs）施行規則（Implementing Rules），並計畫於2012年7月1日正式實施，且同時搭配一個為期4個月的過渡（Transition Period）配套措施方案。該利益申報施行規則，乃為EFSA於今年初所核准之「獨立性與科學決策過程」（Independence and Scientific Decision-Making Processes）政策的基礎規範項目之一。 本次EFSA所頒布之利益申報施行規則，其訂定之理由係因，原任職於EFSA旗下基因工程植物之首席風險評估專家，轉任至一家專門研發及生產該種植物之生物科技公司；為避免並且釐清相關因該事件所衍生之利益衝突問題，乃制定本規範。故此，為具體有效管理EFSA內部人員與其他涉及EFSA各項活動之機構間的利益監督事宜，EFSA遂進一步於今年初開始著手進行相關措施之規劃。目前該利益申報施行規則除了主要針對EFSA旗下之各層級人員訂定各項利益類型之規範準則外，更重要的是，其亦提供其旗下之專業科學研究人員，各項能有效具體確認其利益界線之劃分的保護措施。由於該利益申報施行規則授與EFSA選取與管理利益申報議題若干彈性，因此EFSA能具體且有效的利用相關規範延攬頂尖研究人員，進而協助EFSA提升其內部研發人員之創新研發能力。 政府機關成員之利益申報與迴避問題，乃為全球各國政府需面對之問題，而對於如何有效且彈性的進行相關議題之管控，更是相關政策制訂時需加以考量之點。EFSA之利益申報施行規則不僅有效管理內部人員之利益衝突與申報問題，同時亦藉由彈性的管理規範方式，延攬優秀頂尖人才，達到具體提升研發水準之功效；對此，EFSA之規範方式與運作成效，實值得加以觀察與效仿。
英國發布「2017年資料保護法」草案，以符合數位時代之需求數位技術改變人們的生活，為使英國人民、企業及組織接受數位時代的變革，並確保英國做好脫離歐盟（European Union）的準備，英國數位文化媒體及運動部（Department for Digital, Culture Media & Sport）修正1998年的資料保護法（Data Protection Act 1998），於2017年9月14日，提交2017資料保護法草案（Data Protection Bill 2017）（以下簡稱：本草案）予上議院審議，以因應數位時代的來臨。 此次本草案修正的方向為： 一般資料處理（§3-26）： 一般資料處理係依歐盟的一般資料保護規則（General Data Protection Regulation，簡稱GDPR）為標準，將歐盟GDPR一般資料處理的相關規範之標準制定於此次修正之資料保護法中，並確保健康、社會安全與教育資料等個人資料之安全維護。另對於個人資料的近用與刪除予以規範以強化公共政策，並維護國家安全。 執法程序（§27-79）： 拜科技進步所賜，網路世界如遠弗屆，透過網路跨境傳輸、分享、蒐集資料，並非難事，因此，更需要一個強而有力且一致性的個人資料保護規範框架。警方、檢方或司法刑事機關為偵查犯罪行為，而蒐集、處理或利用個人資料，須有明確、正當、合法的執法目的，對於國際間個人資料的交流利用須依明確的程序規範並賦與相當之保護措施，確保英國退出歐盟後，仍可繼續與歐盟各成員國間聯手偵辦重大犯罪案件，以維護國際間之資訊安全。 國家安全（§80-111）： 因國家安全事項不在歐盟法（EU Law）規範範圍之列，故GDPR或指令法律（Law Enforcement Directive，LED）之效力不及於各成員國對於國安全之情資蒐集。故英國本次修法參採個人資料保護公約（Convention for the Protection of Individuals with regard to Automatic Processing of Personal Data，又稱現代化公約108（modernised Convention 108））之精神，將情報單位基於維護國家安全之必要蒐集個人資料之規範，明文納入個人資料保護法之適用，以符合國際間的資訊安全規範標準。 資訊委員與執行（§112-168）： 資訊委員（Information Commissioner）係指保護資訊權之公共利益、促使公務機關公開資訊與維護個人資料隱私權之獨立政府官員，得主動偵查犯罪，並得通知或教育廣泛的資料管理者，以提高資料保護之標準。繼2010年賦與資訊委員針對金融犯罪之執法權限之後，本草案亦增列意圖還原已去識別化之個人資料、禁止不當揭露個人資料兩種犯罪類型，賦與資訊委員更廣的處理權責。違反資料保護法（如不當揭露個人資料），將處以行政罰責（最高可處1,700萬英鎊/2,000萬歐元罰鍰）。 本草案除建制一個一般資料處理、執法程序及國家安全的資料保護體系外，更加強對於學術研究、金融服務及兒童保護等領域的資料保護，以因應數位時代之變革。