日本醫藥品醫療器材等法修正研析─以醫療應用軟體為中心
何亦婕
法律研究員 編譯整理
位於美國紐約州的一家知名藥廠2007年9月初宣佈其已確認大約有34000名員工的個人資料從某位員工的電腦外洩並遭人非法下載。 整起事件係導因於一位藥廠的員工自行於公司配發的筆記型電腦上安裝未經授權的檔案分享軟體，導致大約有34000名員工的個人資料在網路上被人下載流傳。至於因這起事件遭到外洩的個人機密資料包括員工姓名、社會福利號碼、出生日期、電話號碼和銀行信用狀況等等。 美國司法部門目前已針對這起資料外洩事件展開調查，並要求這家藥廠針對他們用來防止資料外洩的處理方式以及事件發生時的所有相關應變措施提出報告。根據調查，事實上早在今年7月10日這家藥廠即已發現這起大量個人資料外洩事件，卻遲至8月24日才以電子郵件通知資料外洩的被害人，反應時間長達六個星期之久，導致損害持續擴大。 由這起藥廠員工個人資料外洩事件正可顯示點對點(P2P)網路分享軟體確實潛藏著嚴重的資訊安全風險。透過此類軟體，網路駭客得以完整地掃描他人電腦硬碟中的檔案，讓不知情使用者的機密資料隨時處於高度的風險當中。 點對點檔案分享軟體(P2P)，當初開發的目的在於集合眾人電腦之力，增加網路的連結數量，進而快速傳輸檔案。但以此作為入侵他人電腦的工具，甚至未經允許盜取他人的電腦中檔案資料等之新電腦犯罪型態，值得相關主管機關注意。
英國Ofcom公佈光纖網路備援電池之管制指引因預期超高速網路在英國將被廣泛佈建，Ofcom於2011年6月啟動諮詢程序，徵詢各界光纖網路備援電池的管制指引，以確保消費者的緊急電話服務；並於同年12月公佈諮詢結果與更新管制指引。 英國境內光纖到終端（FTTP）服務的覆蓋率已達到58％，雖得以提供消費者更高速的上網與影音內容，但卻有停電時無法運作的先天缺陷。由於傳統電話運作所需的電力係經由業者機房透過銅絞線供應，故即便消費者終端停電，仍能緊急電話。因此Ofcom曾於2009年要求公眾電話業者（PATS）確保消費者終端有維持供電4小時以上的備援電池，以保障民眾的身家安全。而此項管制則是納入ECN/ECS業者之第3項一般條件的管制中，業者有因而有遵守的義務。 此次徵詢結果，Ofcom確立了以下兩點管制指引： 1. PATS必須確保提供備援電池：PATS若由消費者選擇是否安裝備援電池，將被認為不符義務。若PATS選擇由消費者負擔更換電池之責任，應提供適切指引並確保易於取得電池；若責任由PATS承擔，則應建立適切處理程序。 2. 備援電池最低供電時數降為1小時：主要理由為英國大部分的斷電事件都不超過1小時；且行動電話相當普及，增加了安全保障。而備援電力降為1小時後，將使其電池更輕便和更易分離，因而更易於產製購買、取得與安裝。不過對於歷史上曾發生斷電超過1小時的家戶，PATS仍有義務確保較長時間的備援電力。
加拿大政府就生成式人工智慧對著作權的影響進行公眾諮詢加拿大政府於2023年10月23日至12月4日針對「生成式人工智慧對著作權的影響」（consultation on the implications of generative artificial intelligence for copyright）進行公眾諮詢，以期了解生成式人工智慧對於加拿大著作權市場之變化，進而修訂《著作權法》（Copyright Act），本次諮詢文件中討論重點整理如下： 1.文字和資料探勘（Text and Data Mining, TDM）：是否需要因應TDM修改加拿大原本的著作權法，包含著作權法中合理使用行為（29條）和暫時性重製行為（30.71條）等得不構成侵害之例外條款。學者、AI使用者以及AI技術團體大多持肯定見解，認為TDM行為中使用的著作時不需要權利人的著作權授權；然創意產業則多持否定見解，認為不應該為TDM創設例外，否則將會使得TDM所使用之作品原著作人無法主張權利以獲得授權金。 2.人工智慧生成作品之著作人身分及著作權歸屬：因利用生成式人工智慧所創作或輔助創作之文字、圖像和音樂有作者身分不明確之虞，因此加拿大政府希望可以對此加以澄清，並討論是否需要修改原本的著作權法案中相關規定。針對作者身分不明確之爭議，加拿大政府提出了三種可能的規範模式： (1)闡明著作權保護只適用於自然人創作的作品； (2)將人工智慧生成作品之作者歸屬於在創作作品時運用技能和判斷力的自然人，凡自然人可以在人工智慧技術輔助下創作的作品中貢獻足夠的技能和判斷力，即可被視為該作品的作者； (3)為人工智慧生成的作品創設一套新的權利。 3.人工智慧之侵權責任：人工智慧係透過大量的資料庫來生成一項作品，過程中可能出現侵害他人著作權之情形，而加拿大現行的著作權法框架下很難認定侵權行為之責任歸屬。加拿大現行的著作權法要求被侵權人（著作人）必須證明侵權人明知其重製行為侵犯他人著作權，且就該他人著作加以重製，但一般人難以瞭解人工智慧系統開發及訓練過程，因此難證明人工智慧系統研發與利用過程中的業者、工程師或其他相關人等是否有侵權行為。因此加拿大政府希望利害關係人就此議題提供更多意見，以協助將來修法、提高市場透明度。 生成式人工智慧雖然提供了便利的創作方式並帶來巨大經濟利益，卻也可能侵害他人著作權，因此平衡著作人之權利並兼顧經濟發展是加拿大政府及國際社會課正積極解決的議題。
馬來西亞通過修正《個人資料保護法》馬來西亞個人資料保護委員會（Personal Data Protection commissioner，下稱個資保護委員會）於2023年度收受與個人資料（下稱個資）濫用、外洩相關申訴案件數量達779件，成長數量令人憂心。為確保對於個資保護規範能與國際標準發展同步，並加強個資遭洩漏時即時採取應變措施等相關政策，以解決前述憂心狀況，數位部（Ministry of Digital）於2024年7月10日提出《個人資料保護法》（Personal Data Protection Act 2010, PDPA）修正案，並於同年7月16日經下議院（Dewan Rakyat，馬來語直譯）表決通過。 本次PDPA修正重點包含： 1.設立個資保護官（data protection officer, DPO）制度：強制要求蒐集、處理、利用個資之資料控管者（data controller），及受資料控管者委託而實質處理個資之資料處理者（data processor），均需指派個資保護官。 2.擴張對於敏感性個資（sensitive personal data）定義：與個人身體、生理或行為特徵相關之技術處理所生個資（即生物辨識資料），皆屬之。 3.制訂個資外洩通報制度：強制要求發生個資外洩時須通報個資保護委員會，以及可能受到任何重大損害之個資當事人，惟對於「重大損害」尚未有明確定義。 4.導入資料可攜性：在遵守技術可行性（technical feasibility）與資料格式相容性（data format compatibility）之情境下，允許資料控管者之間在當事人要求下進行資料傳輸。 5.資料處理者的合規遵循義務：舊法僅要求資料控管者須遵守PDPA所規定的安全原則（security principle）；新法則擴及要求資料處理者亦有安全原則之合規遵循義務。 6.提高罰則：舊法對於違反個資保護原則者，最高僅得處300,000馬幣和/或2年監禁；新法提高罰則最高得處1,000,000馬幣和/或最高3年監禁。 7.跨境傳輸規範修正：原則允許資料控管者將個資傳輸至馬來西亞以外，惟應採取適當措施確認及確保資料接收方保護個資之水準與馬來西亞個資法程度相當；並將跨境白名單制度調整為黑名單制度，不得傳輸至政府公布黑名單所列地區。 馬來西亞數位部本次修正PDPA，彰顯該國政府對個資保護之重視，惟關於任命個資保護官資格要求、個資外洩通報重大程度標準等細部規範，則仍須待修正案通過後，經個資保護委員會發布相關指引再行釐清。