英國科學辦公室發布分佈式分類帳技術報告，提出八大建議
2016年1月， 隸屬英國商業、創新和技術部 (Department for Business, Innovation and Skills，BIS)的科學辦公室(Government Office for Science)發布「分佈式分類帳技術：區塊鏈以外(Distributed Ledger Technology：beyond block chain)」研究報告。本篇報告由產官學界合作完成，主要在評估分佈式分類帳技術可以運用在哪一些公私領域，並決定政府以及私人應該採取哪些行動以促進分佈式分類帳技術可被有益運用，並避免可能帶來的傷害。
該份研究報告認為，分佈式分類帳技術可在多個領域協助政府機構，包含徵稅、提供福利、發行護照、土地登記、確保商品供應鏈並且確保政府記錄與服務的完整性。相較於其他網路系統，分佈式分類帳技術較不易受駭客攻擊，而且由於每個参與者都有一份帳簿副本，如果有惡意竄改的狀況，也可以輕易被發現，但這不表示分佈式分類帳技術就不會被駭客攻擊。
數位五國(Digital 5，D5)之一的愛沙尼亞，已多年實驗運用分佈式分類帳技術於公領域服務多年。愛沙尼亞政府透過私人公司運用分佈式分類帳技術建制「免金鑰簽名設施(Keyless Signature Infrastructure，KSI)」，KSI允許愛沙尼亞公民驗證其在政府資料庫資訊的完整性，並避免內部人透過政府網路從事非法活動。KSI確保公民資訊安全以及準確，因而可協助愛沙尼亞政府提供數位化的公司登記以及稅務服務，減少政府以及社會大眾的行政作業負擔。
除此之外，分佈式分類帳技術也有助於確保商品以及智慧財產權的所有以及出處。例如Everledger此一系統可用於確保鑽石的身分，從礦產、切割到銷售，可減少並避免欺詐以及「血鑽石」進入市場。
簡而言之，分佈式分類帳技術提供政府可減少詐欺、腐敗、錯誤以及紙上作業成本的框架，並透過資訊分享、公開透明以及信任，具有可重新定義政府與公民關係的潛力。對於私領域而言也具有同樣可能性，報告特別提出可透過分佈式分類帳技術發展「智慧契約」，可增加信任度並提高效率。據此，本報告針對政府部門提出八大建議：
(1) 應成立專責部門，並與產業、學界緊密合作，並應考慮成立臨時性的專家諮詢團隊。
(2) 英國的研究社群應該要投入研究確保分佈式分類帳技術具備可即性、安全性以及內容準確性。
(3) 政府應支持為地方政府成立分佈式分類帳技術實地教學者，匯聚所有測試技術以及其運用的所需元素。
(4) 政府需要思考如何為分佈式分類帳技術建立妥適的法制框架。法規需要配合新科技應用技術的發展而進步。
(5) 政府應該與產學合作確保相關標準可以符合分佈式分類帳技術及其內容完整性、安全性以及隱私的需求。
(6) 政府應與產學合作確保最有效率以及最可用的身分認證網路協議可為個人及組織所使用，這項工作應與國際標準的發展與執行緊密連結。
(7) 政府應對分佈式分類帳技術進行試驗，以評估該項技術在公領域的可行性。
(8) 建議成立跨部門的利益群體，結合分析以及政策群體，以生成並發展潛在使用案例，並且在公民服務中提供具備知識的專家人員。
除了八大建議，管理與法制上，本報告指出分佈式分類帳技術具有兩種管理規範：法律規範以及技術規範。法律規範是「外部」規範，法律規範可能會被違反，緊接著面臨違法處罰的問題。技術規範是「內部」規範，假如違反技術規範，「錯誤(error)」產生無法運作，因此「規範」本身就可以確保會被遵循。換句話說，技術規範可以節省法律規範的執法成本。另外一方面，分佈式分類帳技術為去中心化技術，如果要以法制管理，也只能在参與者身上施加法律義務，例如Bitcoin，只能對於提供Bitcoin交易服務的平台施加法律義務。美國紐約州金融服務部所發行的比特幣交易執照BitLicnese即為一例。因此，基於去中心化的特性，報告建議政府單位應該要儘量参與技術標準的制定，並且配合技術標準制定相關法律，法律規範與技術規範兩者應該要交互影響。
謝孟珊
資深法律研究員 編譯整理
Distributed Ledger Technology: beyond block chain, https://www.gov.uk/government/uploads/system/uploads/attachment_data/file/492972/gs-16-1-distributed-ledger-technology.pdf
Report Urges UK Government to Test Blockchain Tech, http://www.coindesk.com/report-uk-government-test-blockchain-tech/
由於近年來勒索軟體對國際金融帶來重大影響，七大工業國組織G7成立網路專家小組CEG（Cyber Expert Group），並於2022年10月13日訂定了「金融機關因應勒索軟體危脅之基礎要點」（Fundamental Elements of Ransomware Resilience for the Financial Sector），本份要點是為因應勒索軟體所帶來之危脅，提供金融機關高標準之因應對策，並期望結合G7全體成員國已施行之政策辦法、業界指南以及最佳之實踐成果，建立處置應變之基礎，加強國際金融的韌性。該份要點內容著重於民營之金融機關（private sector financial entities），或關鍵之第三方提供商（critical third party providers），因其本身有遵守反洗錢和反恐怖主義之融資義務，但也可依要點訂定之原意，在減少自身受到勒索軟體之損害上，或在處置與應變上有更多的彈性。而日本金融廳於2022年10月21日公布該份要點之官方翻譯版本，要點所提列之重點如下： 1.網路安全策略與框架（Cybersecurity Strategy and Framework）： 將因應勒索軟體威脅之措施，列入金融機關整體的網路安全策略與框架之中。 2.治理（Governance）： 支付贖金本身可能於法不容許，也可能違背國家政策或業界基準，金融機關須在事件發生前，檢視相關法規，並針對潛在的被制裁風險進行評估。 3.風險及控制評估（Risk and Control Assessment）： 針對勒索軟體之風險，應建立控制評估機制並實踐之。因此可要求金融機關簽訂保險契約，填補勒索軟體造成的損害。 4.監控（Monitoring）： 針對潛在的勒索軟體，金融機關有監控其活動進而發現隱藏風險之義務，並向執法與資通安全機關提供該惡意行為之相關資訊。 5.因應處置、回覆（Response）： 遭遇勒索軟體攻擊之事件，就其處置措施，須依原訂定之計劃落實。 6.復原（Recovery）： 遭遇勒索軟體攻擊之事件，將受損之機能復原，須有明確的程序並加以落實。 7.資訊共享（Information Sharing）： 須與組織內外之利害關係人共享勒索軟體之事件內容、資訊以及知識。 8.持續精進（Continuous Learning）： 藉由過往之攻擊事件獲取知識，以提高應變勒索軟體之能力，建立完善的交易環境。 此要點並非強制規範，因此不具拘束力，且整合了2016年G7所公布的「G7網路安全文件之要素」（G7 Fundamental Elements of Cybersecurity document）之內容。綜上述CEG所提列重點，針對我國金融機關在抵禦網路攻擊之議題上，應如何完善資安體制，與日本後續因應勒索軟體之政策，皆值得作為借鏡與觀察。
美國衛生暨福利部於09年8月公布關於醫療資訊外洩通知義務之暫行最終規則於2000年基因圖譜解碼後，「基因歧視」議題成為各界關注焦點，而在電子通訊技術之配合下，更加速了包括基因資訊之個人醫療資訊的流通。在此時空背景下，如何能在善用相關技術所帶來的便捷同時，也對於相關資訊不甚外流時，得以有適切的因應措施以保障患者之隱私，成為了必須處理的問題。 美國國會甫於今年(2009年)2月所通過的「經濟與臨床健康資訊科技法」 (The Health Information Technology for Economic and Clinical Health Act, HITECH) 之相關修正中，強化了對醫療資訊之保護，其中要求美國衛生暨福利部(the Department of Health and Human Service, HHS )，針對受保護之醫療資訊未經授權而取得、侵入、使用或公開外洩之情形擬定「暫行最終規則」(interim final rule)進行管理，該項規則亦於今年(2009年)8月24日公布。值得注意的是，HITECH之規範主體(適用主體、商業夥伴)與保護客體(未依法定方式做成保護措施之健康資訊)皆沿用「1996醫療保險可攜性與責任法案」（the Health Insurance Portability and Accountability Act of 1996, HIPAA）之定義。然而，與HIPPA最大的不同在於， HIPAA中僅以私人契約之隱私權政策間接地管理醫療資料外洩事件，但於暫行最終規則中直接課以相關主體一項明確且積極的法定通知義務。HITECH之規範主體，基於其注意義務，應於得知或可得而知之日起算，60日內完成通知義務；視醫療資訊外洩之嚴重程度，其通知之對象亦有所不同，必要時應通知當地重要媒體向外發布訊息，HHS也將會以表單方式公布於其網站中。 整體而言，HITECH首次課以規範主體主動向可能受影響個人通知醫療資訊外洩事件之義務，此為HIPPA過去所未規範者；其次HITECH也突破HIPAA過往基於契約關係執行相關隱私權及安全規定之作法，於法規上直接對於洩露醫療資訊之相關主體課以刑責，強化了違反HIPAA隱私權與安全規定之法律效果。惟值得注意的是，受限於美國國會對HHS提出最終規則之期限要求，HHS現階段所提出的版本僅屬暫行規定，最終規定之最終確切內容仍有待確定，也值得我們持續觀察。
淺析侵害智慧財產權與定暫時狀態假處分－以智財法院102年度民暫字第3號裁定為例淺析侵害智慧財產權與定暫時狀態假處分－以智財法院102年度民暫字第3號裁定為例 資策會科技法律研究所 法律研究員 盧藝汎 106年03月22日 壹、背景說明 數位經濟的進步，智慧財產權受侵害的方式日趨多樣，從過去以實體面對面交易，到電視購物提供平台供買賣兩方遠端交易，再走到網路購物，網路已成為最便利的交易平台。為此，我國智慧財產局（下稱智財局）於2013年曾計畫修法，針對伺服器設置於境外的網站，如其網站大量專從進行網路侵權行為、或其內容有重大明顯侵害著作權者，智財局得經一定法定程序，令網路服務提供者（即ISP）以封鎖網際網路位址(Internet Protocol Address)或網域名稱系統(Domain Name System，簡稱 DNS)進行封鎖，使該等侵權內容無法透過連結進入我國境內[1]，惟各界反對聲浪頗多，經漫長討論後仍回歸由司法程序處理之方向，而停止推動由行政機關封鎖境外侵權網站修法[2]。 惟回歸到司法認定後，針對智慧財產權於境外網站受侵害之情況，如有意向法院提起訴訟，即面臨到須先確認境外網站為何者之問題。為避免在曠日費時的調查期間，侵權行為仍持續進行，對權利人造成損害，即有必要探討向法院提起定暫時狀態之假處分以封鎖該境外網站，避免損害持續擴大。爰此，本文以下便以被侵害人針對境外網站侵害智慧財產權之情形，提起定暫時狀態假處分時所面臨之問題，以智財法院102年度民暫字第3號裁定為例進行討論。 貳、境外網站與平台提供者之侵權關係 有關智慧財產權侵害類型可分為「直接侵害」及「間接侵害」。前者係指完全符合構成智慧財產權侵害之法定要件；後者則係相對於前者而言，雖未構成直接侵害，惟其行為可認為對侵害智慧財產權之行為構成誘引或幫助[3]，如提供場所、工具、服務、系統等[4]。 然而，網路服務提供者是否應就其使用者之侵權行為負擔法律責任，存有不同見解。有認為因其提供使用者平台，自應負擔共同侵權責任[5]；亦有認為，其服務提供性質上為民法上居間[6]，既未直接參與交易且獨立於當事人外，如有侵害智慧財產權，應僅負擔間接侵權責任；另有認為其概念與土地出租人同，故亦僅係負擔間接侵權責任[7]。 查民法第185條有關共同侵權責任之成立不以犯意聯絡為必要，其個別過失行為所生損害之共同原因如關聯共同，亦足成立共同侵權行為[8]。從而，共同侵權行為之成立，仍以個別行為具有故意或過失而成立侵權行為為必要，縱為幫助犯亦須有幫助之意思，尚無法遽認網路服務提供者提供平台必然應負共同侵權責任。而仍需就電視購物平台或網路服務提供者是否對侵害智慧財產權有主觀上的認識，進行個案事實判斷。綜上，網路服務提供者就使用者侵害智慧財產權，尚無從直接逕認屬直接侵權或間接侵權，應就具體個案認定是否構成民法上共同侵權，如成立共同侵權，性質上應屬直接侵權；反之，則為間接侵權。 是我國著作權法第3條第1項第19款，無論是提供搜尋服務的Google、提供二手交易平台的露天、Yahoo奇摩等拍賣網站、提供我國網域登記的財團法人台灣網路資訊中心或是管理境外網際網路位址網域名稱系統之中華電信等，均屬網路服務提供者。依前開說明，如使用者僅係利用其等而侵害他人智慧財產權，網路服務提供者並非共同侵權之行為人，其侵權行為僅係「間接侵害」。 參、定暫時狀態假處分之定義 於智慧財產權民事案件中，雖專利法、商標法、著作權法未有規定訴訟前應提起何程序，以保全其權利。然核其性質究屬民事爭議，是我國智慧財產權遭到侵害或有被侵害之虞時，權利人尚未向法院提請排除該侵害之訴訟前，就雙方爭執之法律關係，為防止發生重大之損害或避免急迫之危險或有其他相類似之情形而有必要時，自得按民事訴訟法第538條第1項規定，向法院聲請定暫時狀態假處分。復按智慧財產案件審理法第22條第2項規定，聲請定暫時狀態之處分時，聲請人就其爭執之法律關係，為防止發生重大之損害或避免急迫之危險或有其他相類之情形而有必要之事實，應釋明之；其釋明有不足者，法院應駁回聲請。 從而，法院審理智財權案件之定暫時狀態假處分須符合以下要件：㈠有爭執法律關係存在；㈡聲請人釋明[9]有定暫時狀態之必要性[10]。 肆、司法實務間接侵權與定暫時狀態假處分之運用 統一製藥股份有限公司（下稱統一製藥）主張其為「我的美麗日記及圖」商標權人，並於其官網設有「我的美麗日記」面膜之防衛查詢。然「Tenghoo」竟以統一製藥官網之「beautydiary」ㄧ字之差改為「beautydairy」向財團法人台灣網路資訊中心（下稱資訊中心）註冊網域名稱，且其網頁內容與統一製藥官網幾乎相同，並使用「我的美麗日記」註冊商標。為此，統一製藥以「Tenghoo」及「資訊中心」為相對人向智財法院聲請定暫時狀態假處分，請求「Tenghoo」停止使用網域名稱及網頁內容，及「資訊中心」停止使用「Tenghoo」網域名稱。法院最終認定，「Tenghoo」應停止其於「資訊中心」註冊之網域名稱[11]；然「資訊中心」因依法僅形式審查是否符合申請條件，統一製藥未積極「釋明」[12]該中心與「Tenghoo」有何共同或幫助侵權之情事，且該中心亦陳明如經法院裁定「Tenghoo」禁止使用命令後，亦會停止「Tenghoo」之使用，聲請人目的亦可達成而欠缺聲請必要性，是對該中心聲請部分予以駁回[13]。 由上裁定可知，網路服務使用者（即直接侵權人）如有侵害智慧財產權之行為，且符合前揭定暫時狀態假處分之要件，法院得裁定命使用者暫停使用。至於相關之網路服務提供者是否有間接侵權，則需由被害人「釋明」與其是否有「爭執之法律關係」，且如法院已命使用者暫停使用，則對間接侵權人聲請亦欠缺「必要性」之要件。換言之，權利人對間接侵權人聲請定暫時狀態假處分必要性之有無，與對網路服務使用者有無定暫時狀態假處分具有程度上的依從關係；此外，權利人尚需就「爭執法律關係」及「必要性」雙重要件為「釋明」。 舉例言之，被害人如發現境外網站侵害其智慧財產權，因需費時查知該網站為何人所有，於得知前先向我國法院聲請中華電信暫停該境外網際網路位址，此際固可認有提起必要性，惟爭執之法律關係，依前開法院裁定尚需釋明間接侵權人有「幫助」使用者之情事，於我國網域聲請公司或搜尋網站連結至境外網站均採形式審查之情形下，尚難認構成該項要件，故權利人對間接侵權人聲請定暫時狀態假處分將十分困難。 伍、代結論 目前司法實務對平台或網路服務提供者是否構成間接侵權，係由個案事實中具體判斷是否對網路服務使用者（直接侵權人）有「共同」或「幫助」侵權之主觀意思。又因智慧財產案件審理法有關定暫時狀態假處分之規定與民事訴訟法幾無二致，故被害人於聲請人需釋明與間接侵權人有何爭執之法律關係，以及有何必要性。 必要性之審理，如網路服務使用者已受法院命令而須暫停使用，此際對間接侵權人提起定暫時狀態假處分當無必要性；然若無法知悉網路服務使用者為何人，實務上雖可能認有提起必要性，惟爭執之法律關係因我國網域聲請公司或連結至境外網站之搜尋平台均採形式審查之情形下，尚難認已釋明間接侵權人有「共同」或「幫助」使用者之意思，實務未考量間接侵權與直接侵權不同性質，逕認間接侵權人未有「共同」或「幫助」情形，未盡釋明爭執法律關係為由駁回聲請，對於權利人受間接侵權之程序保障恐怕有所不足。 考量科技發展使智慧財產權侵害型態有所變更，現行規定對間接侵權提起定暫時狀態假處分需釋明間接侵權人有「共同」或「幫助」使用者，此將放任無法確悉使用者為何人之情形擴大損害，故宜就間接侵權部分修正智慧財產案件審理法，使被侵害者在無法知悉使用者為何之情形，仍得藉定暫時狀態假處分制度避免其損害擴大。 [1] 境外侵權影音網站 將修法封鎖／智慧局增訂條文 立院下會期審查，http://news.ltn.com.tw/news/life/paper/681280（最後瀏覽日：2017/3/22）。 [2] 歡呼吧！智財局封侵權網政策急轉彎，決定罷手不封了，http://www.techbang.com/posts/13534-give-it-up-chi-choi-tort-net-policies-threw-it-back（最後瀏覽日：2017/3/22）。 [3] 楊宏暉，＜論專利權之間接侵害與競爭秩序之維護＞，《公平交易季刊》，第16卷第1期，頁99至頁100(2009)。 [4] 李揚，＜日本著作權間接侵害的典型案例、學說及其評析＞，《法学家》，第6期，頁53(2010)。 [5] 民法第185條：「數人共同不法侵害他人之權利者，連帶負損害賠償責任﹔不能知其中孰為加害人者，亦同。造意人及幫助人，視為共同行為人。」可資參照。 [6] 民法第565條：「稱居間者，謂當事人約定，一方為他方報告訂約之機會，或為訂約之媒介，他方給付報酬之契約。」可資參照。 [7] 馮震宇，＜網路服務提供者商標間接侵權責任之研究＞，《智慧財產權月刊》，第175期，頁10至頁11(2013)。 [8] 參司法院六十六年六月一日例變字第一號。 [9] 釋明則係指當事人提出證據，使法院產生較薄弱之心證，相信其主張之事實大致可信之行為，最高法院99年度台抗字第768號、98年台抗字第913號裁定參照。 [10] 必要之有無實務上以利益衡量原則為判准，最高法院98年度台抗字第359 號裁定意旨參照。另可參智慧財產案件審理細則第37條第3項規定「法院審理定暫時狀態處分之聲請時，就保全之必要性，應審酌聲請人將來勝訴可能性、聲請之准駁對於聲請人或相對人是否將造成無法彌補之損害，並應權衡雙方損害之程度，及對公眾利益之影響。」 [11] 對使用網域侵害智慧財產權之使用者聲請定暫時狀態假處分，另可參智財法院105年度民暫抗字第9號裁定及105年度民暫抗字第4號裁定，iTutor Group及英美語言訓練股份有限公司爭議案。 [12] 對網路服務提供者提起定暫時狀態假處分，實務上另有智財法院105年度民暫字第11號裁定，聲請人向法院聲請臉書、google、露天等公司應將其廣告放置網路上，然經法院認因聲請人未釋明與該等公司有何法律關係之爭執而駁回聲請。 [13] 參智慧財產法院102年度民暫字第3號裁定。
美伊利諾最高法院判決：醫療服務提供者例外不受生物資訊隱私法保護美國伊利諾州伊利諾最高法院（Illinois Supreme Court）於2023年11月30日對Mosby v. The Ingalls Memorial Hospital et al.案做出判決：認定符合聯邦法規健康保險流通與責任法（Health Insurance Portability and Accountability Act, HIPAA）規定，基於「治療、付款或健康照護運作」之前提下，除病患外即使是醫療服務提供者的生物識別資訊被蒐集、利用或揭露，同樣不受伊利諾州生物資訊隱私法（Biometric Information Privacy Act, BIPA）的保護。 伊利諾州現行以BIPA對蒐集或保留任何個人的生物識別資訊（如虹膜、聲紋、指紋或生物樣本等）做了較為嚴格的限制，原則上這些資訊不能在未經當事人同意的情況下被蒐集、利用或揭露。除非是1.由醫療保健機構從患者身上蒐集的生物識別資訊；或2.根據HIPAA規定，基於進行治療、付款或健康照護運作的前提來蒐集、使用或儲存的生物識別資訊，才可例外免經當事人同意（biometric identifiers do not include information captured from a patient in a health care setting or information collected, used, or stored for health care treatment, payment, or operations under the federal HIPAA.）。然而，基於進行治療、付款或健康照護運作的前提，資料主體除接受治療或健康照護的病患外，是否涵蓋醫療服務提供者（如醫護人員），則有疑義。 本案因醫院的護理人員認為醫療院所未經同意，使用帶有指紋掃描功能的藥品櫃，來蒐集、使用或儲存了他們的生物識別資訊，因此提起訴訟。伊利諾州的地方法院和巡迴上訴法院於本案均支持原告提出的主張。然而，伊利諾州最高法院審理時則透過文義解釋以及條文結構分析之方式，認為立法者係有意於例外規定中重複使用「資訊」一詞，兩次「資訊」之內涵應有不同。故前段的資訊係指患者的資訊，而後段的資訊來源則應包含了醫療照護提供者，方符合立法者真意。 生物識別資訊風險較高，過去被認為需要取得當事人積極同意授權；於本案中伊利諾州最高法院權衡認為基於「治療、付款或健康照護運作」情境下，如本案情形係用來確保醫藥品被正確分配給需要的患者，因此對患者以外的醫療人員隱私權做出限制符合例外規定。本案揭示了個資隱私得為合理利用的情境之一，然而HIPAA對於資料傳輸較寬鬆的規範會否又與資料保護的趨勢有所違背，仍須持續關注相關案例發展。