巴西政府公布個人數據保護法草案
巴西政府於2015年1月28日公布個人資料保護法草案（Regulation Of The Brazilian Internet Act And Bill Of Law On Personal Data Protection），該草案適用於個人和通過自動化方式處理個人資料的公司，惟前提是（1）處理行為發生在巴西或（2）蒐集個人資料行為發生在巴西。該草案將強加規範企業處理其在巴西的個人資料，包括資料保護義務和要求：
一、企業必須使資料當事人能夠自由的、直接的，具體的使當事人知悉並取得人同意以處理個人資料。
二、除了在有限的例外情況下，禁止處理敏感個人資料。例如資料當事人已被告知處理敏感個人資料的相關風險，並有具體的同意。敏感的個人資料包括，種族和民族淵源，宗教，哲學或道德信仰，政治觀點，健康和性取向資料，以及遺傳數據。
三、資料外洩時有義務立即報告主管機關。
四、當個人資料是不完整，不準確或已經過期時，允許資料當事人查詢他們的個人資料並更正之。
五、不得提供個人資料給資料保護水平不相似的國家。
六、有義務依比例原則採取安全保障措施以處理個人數據，防止未經授權的訪問，破壞，丟失，篡改，通訊或傳播資料。
蕭崴仁
法律研究員 編譯整理
Brazil Releases Draft Personal Data Protection Bill, available at https://www.huntonprivacyblog.com/2015/02/articles/brazil-releases-draft-personal-data-protection-bill/ (last visited Feb. 16, 2015).
Brazil: Public Consultation - Regulation of the Brazilian Internet Act and Bill of Law on Personal Data Protection, available at http://www.tozzinifreire.com.br/en/news/intellectual-property-ittelecom-news/?utm_source=Mondaq&utm_medium=syndication&utm_campaign=View-Original (last visited Feb. 16, 2015).
Gilead Sciences之子公司Kite Pharma（以下簡稱Kite）所推出之Yescarta®（Axicabtagene Ciloleucel）為治療復發型或難治型瀰漫性大B細胞淋巴瘤（Diffuse Large B-Cell Lymphoma, DLBCL）之CAR-T細胞治療產品，其為美國FDA第二個核准上市之CAR-T產品。 上述產品於2017年獲美國FDA核准上市後，Juno therapeutics公司隨即於美國加州中區聯邦地院起訴Kite，主張Yescarta侵害Juno therapeutics之美國7,446,190號專利「編碼嵌合T細胞受體之核酸（Nucleic acids encoding chimeric T cell receptors）」（以下簡稱190專利），2019年陪審團認定Kite成立專利侵權，裁定損害賠償額為7.78億美元；於2020年法院進一步認定Kite有蓄意侵權行為，再判定需增加50%之損害賠償金，使損害賠償總額超過11億美元。 本案上訴後，美國聯邦巡迴上訴法院（US Court of Appeals for the Federal Circuit, 以下簡稱 CAFC）於2021年8月26日推翻原審判決，認定190專利不符書面說明（Written Description）要件而無效。CAFC認為190專利請求項所請求之單鏈可變區片段抗體（single-chain variable fragment, scFv）結合部涵蓋過廣，包括可結合「任何」標的之「任何」scFv，惟其說明書未能提供其中之代表性物種（species）、或界定其共通結構特徵，於說明書中僅揭露可結合兩種不同標的之兩種scFv作為實施例，但未能說明此二物種如何、或是否能夠代表其所請求的整個上位之屬（genus）。CAFC指出，若要滿足書面說明要件之要求，說明書應揭露與代表性數量之標的結合之特定scFv物種，Juno雖提出專家證詞主張此二scFv實施例已具代表性，惟CAFC仍認為該證詞過於籠統而未能解釋何種scFv將與何種標的結合。CAFC指出，書面說明要件之目的在於確保專利排他權範圍不會超出發明人記載於說明書中之貢獻範圍，190專利發明人證稱其申請發明時只使用過說明書所載之兩個scFv實施例，且說明書未提供確認何種scFv將結合至何種標的之方法與指導，但190專利卻請求可與任何標的結合之scFv，因此，190專利之揭露內容未能證明發明人擁有結合至各種選定標的之所有可能scFvs，無法滿足書面說明要件之要求。 醫藥專利以上位請求項（genus claim）尋求保護時，可能因說明書記載內容不容易滿足書面說明與可據以實施（Enablement）要件而受到挑戰。除本案外，美國近期亦有數件醫藥專利因不符書面說明要件與可據以實施要件而被宣告無效，如Amgen Inc. v. Sanofi（Fed. Cir. 2021）、Idenix Pharmaceuticals LLC v. Gilead Sciences Inc.（Fed. Cir. 2019）、Enzo v. Roche（Fed. Cir. 2019），未來醫藥專利以上位請求項尋求保護是否會變得更加困難，值得繼續觀察。
美國財政部投資安全辦公室發布有關對外投資審查議題的法規預告美國財政部投資安全辦公室發布有關對外投資審查議題的法規預告 資訊工業策進會科技法律研究所 2024年09月16日 隨著地緣政治局勢升溫，國際主要國家為強化技術保護，並防止資源持續流入國族國家敵對勢力（Nation-state adversaries），有研議新增「對外投資審查」為監管工具的趨勢，例如歐盟執委會（European Commission）於2024年1月發布「對外投資白皮書」（White Paper on Outbound Investments），以及美國總統拜登於2023年8月9日發布《第14105號行政命令》（Executive Order 14105，以下簡稱《對外投資命令》），確立美國應增設對外投資審查制度之目標。 壹、事件摘要 為了落實《對外投資命令》，美國財政部（Department of the Treasury）投資安全辦公室（Office of Investment Security）於2024年7月5日發布「有關美國於關切國家投資特定國家安全技術與產品」的法規預告（Notice of Proposed Rulemaking：Provisions Pertaining to U.S. Investments in Certain National Security Technologies and Products in Countries of Concern，以下簡稱法規預告），將半導體與微電子、量子資訊技術以及人工智慧列為三大目標監控領域。 依據法規預告，未來「美國人」（U.S. Person）若從事涉及「特定外國人」（Covered Foreign Person）的三大「特定領域活動」（Covered Activity）投資交易，除合乎例外交易（Excepted Transactions）情形外，皆屬未來對外投資審查法規的管轄範圍。 貳、重點說明 以下簡介法規預告的重點規範內容： 一、三大特定領域活動：包含半導體與微電子、量子資訊技術以及人工智慧三個領域。 二、美國人：指美國公民、美國法定永久居留權人、任何依照美國法律設立或受美國管轄的法人實體（Entity），及任何在美國境內的自然人。 三、關切國家：指中國大陸，並包含香港及澳門地區。 四、特定外國人：指「屬於關切國家的個人或法人實體，並從事三大特定領域活動者」，具體而言包含關切國家公民或法定永久居留權人、政府單位或人員、依關切國家法律設立的法人實體、總部位於關切國家的法人實體等。 五、雙軌制：法規預告將對外投資分為兩大交易類別，即「禁止交易」（Prohibited Transactions）及「通報交易」（Notifiable Transactions）。原則上投資若涉及三大特定領域活動且屬於法規預告指定之「先進技術項目」者，為禁止交易；未涉及先進技術項目，則屬通報交易。 六、半導體領域之禁止交易： 鑒於半導體產業對於我國影響重大，且亦為我國管制重點項目，以下簡要說明半導體領域之禁止交易： （一）先進設計：禁止任何涉及超出美國《出口管制規則》（Export Administration Regulation, EAR）的「出口管制分類代碼」（Export Control Classification Number, ECCN）3A090.a技術參數，或可於4.5克耳文（Kelvin）以下溫度運作的半導體先進設計相關投資。ECCN 3A090.a技術參數係指半導體「總處理效能」（Total Processing Performance, TPP）為4800以上；或TPP為1600以上且「性能密度」（Performance Density, PD）為5.92以上者。 （二）先進製造： 禁止涉及以下項目的先進半導體製造相關投資： 1.使用非平面晶體管架構（non-planar transistor architecture）或16奈米、14奈米或以下製程技術的邏輯晶片。 2.具有128層以上的快閃（NOT-AND）記憶半導體。 3.使用18奈米以下半週距製程技術的動態隨機存取記憶體（dynamic random-access memory）晶片。 4.使用鎵化合物（gallium-based compound）的化合物半導體。 5.使用石墨稀電晶體（graphene transistors）或奈米碳管（carbon nanotubes）的半導體。 6.能於4.5克耳文以下溫度運行的半導體。 （三） 先進封裝：法規預告禁止任何使用先進封裝技術的半導體封裝相關投資。先進封裝係指「以2.5D及3D進行半導體封裝」，例如透過矽穿孔（through-silicon vias）、黏晶或鍵合技術（die or wafer bonding）、異質整合等先進技術進行半導體封裝。 （四） 電子設計自動化軟體（electronic design automation software，以下簡稱EDA軟體）：禁止開發、生產用於先進半導體設計或先進封裝的任何EDA軟體。 七、不採取逐案審查模式：法規預告不採取逐案審查模式，而係由美國人自行判斷投資類型為禁止或通報交易。 八、通報程序：原則採取「事後通報」模式，美國人應於通報交易完成日（completion date）後的30個日曆天（calendars day）內，透過財政部對外投資安全計畫（Department of the Treasury’s Outbound Investment Security Program）網站進行通報，並應將相關需求文件提供予財政部，如投資交易雙方的交易後組織結構圖（post-transaction organizational chart）、交易總價值及其計算方式、交易對價描述、交易後對特定外國人的控制狀況等。 九、例外交易： 法規預告的例外交易主要包含兩大類別，分述如下： （一） 技術不當外流風險較低的例外交易：某些交易類型的技術不當移轉風險較低，若實質上亦未賦予美國人超出「標準少數股東保護範圍之權限」（rights beyond standard minority shareholder protections），則此種投資即可排除於法規預告外，例如於公開交易市場的證券買賣、買斷關切國家法人實體的所有權，以及不取得管理決策權或出資金額低於100萬美元的有限合夥投資等。 （二） 基於其他外交、政治因素的例外交易：若交易發生於美國境外，且經財政部部長認為該國或地區已具備足以應對國安威脅的措施，或經財政部認定為對國家安全有利的交易，皆可排除於法規預告的管轄之外。 參、事件評析 美國財政部發布對外投資的法規預告，顯示出美國政府認為既有技術管制措施，如出口管制、營業秘密及對內投資審查等，已不足以涵蓋對外投資所生之技術外流風險，且對外投資若涉及關鍵領域的先進技術，所帶來的無形技術移轉利益，可能遠大於投資資金本身。 我國基於兩岸情勢及國安考量，自1992年以來即透過《臺灣地區與大陸地區人民關係條例》第35條，就赴中國大陸之投資進行審查。隨著地緣政治複雜化，加諸我國處於半導體等關鍵產業供應鏈的重要地位，我國應持續關注及研析美國等國家之對外投資審查制度發展，以利定期檢視相關機制的妥適性，並達到維護產業競爭力及防範先進技術遭到不當外流之目標。
歐洲議會近日通過《數位營運韌性法案》，堅守數位金融市場安全為因應金融產業數位化及鼓勵金融業創新，並在打造歐盟金融業競爭之同時，確保消費者之保護及金融市場之穩定，歐盟執委會於2020年9月間通過「數位金融整體計畫」（Digital Finance Package），該計劃包含之項目十分廣泛，建構了歐盟未來對於數位金融市場之整體性立法框架。 而2022年11月甫通過之「數位營運韌性法案」 （Digital Operational Resilience Act, DORA）便是數位金融整體計畫中之一分支，該法案預計將於2025年生效。有鑑於過去歐盟會員國各自對資通安全事件行動效果有限，且國家措施之不同調導致重疊、不一致、重複之要求而產生高昂之行政和法遵成本，此情況分裂了單一市場，破壞了歐盟金融機構之穩定性和完整性，並危及消費者和投資者保護，遂有本法案之誕生。 本法案主要之訂定目的在於建立資通安全事件之要求標準及通報流程機制以加強銀行、保險業、投信投顧等金融業者之資通安全，使其面臨網路攻擊時，能保有韌性及恢復力，並維持正常之營運狀態。具體而言，本法案為促金融業者達成高度數位經營韌性之統一要求，遂要求金融業者採取以下手段： （一）資通風險管理監控 （二）資通事件之報告及建立於自願基礎上之重大網路威脅通報 （三）向主管機關通報重大營運或支付安全有關之事件 （四）數位營運韌性檢測 （五）有關網路威脅或漏洞有關之資訊情報共享 （六）健全控管對第三方資通技術供應者之機制。 總地而論，本法案透過建立歐盟統一之資通安全事件通報原則及營運韌性檢測標準等方式加強歐盟之眾金融機構在受網路攻擊之應對能力，且將可避免過去各國間無法取得共識，金融機構於發生資通安全事件時手足無措之窘境，值得讚許，或可為我國未來借鏡採納。