科技部產學合作企業資格認定釋疑
科技部產學合作企業資格認定釋疑
資策會科技法律研究所
法律研究員 林思妤
105年02月15日
壹、前言
產學合作，顧名思義，是指產業界與學界合作的模式，為的是讓產業界能有來自學界源源不絕的創新想法以及研發能量；相對地，學界人員自身的知識亦可與產業界作連結，甚至進一步於產業界獲取實務經驗。透過產學合作，雙方得以人才流通、資源共享，以創造更多雙贏局面，促進產業發展，提升國家競爭力。
日前我國產學合作有由科技部補助或是由經濟部、教育部建立產學合作資訊平台供相關單位申請利用，各有不同的運作方式。而隨著申請者增加，申請者類型也更多元，些許問題漸漸浮上檯面，尤以「科技部補助產學合作研究計劃作業要點」（以下簡稱作業要點）中合作企業的認定備受關注。
故本文將就該作業要點的合作企業認定作一討論。首先，分析合作企業組織型態的適用範圍，再由其組織形態進一步探討合作企業是否應以營利為目的；並就近期部分申請者如補習班、醫療機構、公益性社團法人等，是否符合要點中合作企業的要件一一進行說明。
貳、科技部產學合作要點合作企業認定
作業要點第二點第三項中對於「合作企業」定義如下：「係指依我國相關法律設立之獨資事業、合夥事業及公司，或以營利為目的，依照外國法律組織登記，並經中華民國政府認許，在中華民國境內營業之公司，並以全程參與本部產學合作研究計畫（以下簡稱產學合作計畫）為原則」。
一、合作企業應以營利為目的
作業要點第二點第三項規範，合作企業為獨資、合夥事業及公司，亦即：一人出資經營、獨掌主權、獨享利益、獨負虧損責任的獨資事業；兩人以上互約出資，以經營共同事業之契約（民法第667條）:共同從事商業經營、共享營利、共負虧損的合夥組織；以營利為目的，依照公司法組織、登記成立之社團法人（含無限公司、兩合公司、有限公司、股份有限公司、閉鎖性股份有限公司等）。申言之，上述各項組織型態皆以營利為目的，故本作業要點合作企業對象應以營利為必要，僅法無明示而已。
至於該點後段特明訂以營利為目的之外國公司在我國政府認許之下亦得為合作企業，便再次顯示了以營利為目的之重要性。該項之所以會在外國公司部分特別說明，應是為了避免我國與他國之間對於組織型態在是否以營利為目的的要件上有所不同而強調。
故國內補習班、診所為獨資、合夥事業或公司組織，並依相關法規進行設立登記後，應符合作業要點中合作企業之資格。另外，像是各式醫療機構、財團法人、公益性社團法人，則不符合現行合作要點合作企業的要件。
二、補習班及診所適用現行作業要點之合作企業
(一)、補習班組織形態以獨資、公司為主
根據經濟部商業司商業登記資料查詢系統[1]，目前我國補習班有獨資、公司的組織型態，像是一般的文理補習班多為獨資[2]，而以公司組織形態設立者，如沈赫哲文教事業股份有限公司等。
而在現今強調知識經濟的環境下，數位教育，知識庫的建立是不可或缺的。相關學術單位與補習班可藉由產學合作，達到師資、教材資源的共享、流通，相信多元化的學習方式對於學子必有幫助；同時，這樣的資源分享，亦可降低雙方教學成本。但學校教師是否會因此有被認為是在補習班兼任，以及產學合作產出之教學產品是否需要在行銷方面作限制，以免有學校教師利用產學合作圖利等疑慮皆是隱憂，必須注意。
(二)、診所組織形態以獨資為主
診所組織型態則多為獨資，尤以一般常見診所為主[3]。一般而言，各式醫療機構與學界的合作，不外乎是讓醫學體系學生能有機會實習，與實務界共同研究醫療議題，期待醫療技術之進步。然而，在業界的醫護人員，不管是醫院或是診所，都有由醫師公會與學校一起合辦的強制進修課程[4]，課程時數多寡類別，則依醫護人員所持有之專業執照有所不同。姑且不論醫護人員進修效果如何，但診所成為合作企業對象之實益可能有限。
(三)、有限合夥應納入作業要點合作企業範圍
2015年6月24日增訂公告有限合夥法所規定之有限合夥組織[5]，亦屬以營利為目的之事業，科技部應可將其納入作業要點合作企業對象範圍。有限合夥組織的增訂是為了提供單純投資者與積極經營者共同從事商業活動的新選擇樣態，賦予投資者與經營者不同權責，期能促進我國產業發展，提升國際競爭力。
三、其他合作企業組織型態認定疑義
(一)、社團法人醫療機構有解釋空間
就醫療機構的部分，根據醫療法第十二條，醫療機構設有病房收治病人者為醫院，僅門診者為診所；非以直接診治病人為目的而辦理醫療業務之機構為其他醫療機構。除診所以外，目前醫療機構有由政府機關、公營事業機構或公立學校所設立之公立醫療機構（醫療法第三條）；由醫師或依有關法律規定辦理醫療業務之公益法人及事業單位所設立之私立醫療機構（醫療法第四條）；由捐助人捐助一定財產，以從事醫療業務為目的，經許可設立為財團法人之醫療機構（醫療法第五條），以從事醫療事業辦理醫療機構為目的，經中央主管機關許可登記之社團法人醫療機構（醫療法第五條）[6]。
當中，就是否為營利事業的角度來看，社團法人醫療機構結餘可按出資比例分配予社員，具有營利性質，屬所得稅法第11條第2項所稱之其他組織方式成立之營利事業，卻非作業要點稱之獨資、合夥或公司之組織型態，故有其解釋空間，建議可修正作業要點納入之。
(二)、財團法人及公益性社團法人非現行作業要點合作企業
財團法人如基金會、協會，以及公益性社團法人等，非公司法及商業登記法所規範之獨資、合夥或公司等，且非以營利為目的之組織，不適用商業法令之相關規定，其是否得經營營利組織（事業）須依各主管法令規定辦理。又依商業登記法第9條第1項第6款及第7款之立法意旨，係指自然人始得經營商業，則政府機關、人民團體及財團法人均不得為獨資、合夥事業之負責人或合夥人，自無商業登記法之適用。老人安養院，依據老人福利法第37條，老人福利機構不得兼營營利行為，可能不符合本作業要點精神。
(三)、專門職業人員組織非作業要點合作企業組織
根據經濟部函釋[7]，依法令規定應由專門職業人員辦理之業務，尚非公司或商業得登記經營之營業項目，自不得以組織公司或獨資、合夥之事業經營。故不符合作業要點合作企業資格。
1.查建築師係建築師法規定之專門職業人員。是以「○○○聯合建築師事務所」之名稱自無涉及商業登記法之適用[8]。
2.物理治療師、技師、護理師[9]亦同。
參、建議與結論
綜上所述，現行作業要點之合作企業組織型態唯獨資、合夥，以及公司，且由該組織型態觀之，合作企業對象應以營利為目的。補習班與診所的組織型態因多在規定之合作企業組織型態範圍內，其資格當無疑義。然就醫療機構、財團法人，以及公益性社團法人等組織型態並非現行作業要點合作企業組織型態範圍內，又非皆以營利為目的，是否得申請科技部產學合作相關補助，具有疑義。
儘管如此，若由產學合作的目的性為考量依據，放寬科技部產學合作企葉對象，似無不可。當中，建議科技部可隨現行組織型態的增加納入有限合夥，亦可補充非商業登記法範圍內之組織型態，甚至是否有可能於作業要點中納入「不以營利為必要條件」的相關字語，放寬合作企業的認定。如此放寬合作企業對象，必能使產學合作更加多元，促進產業提升。惟放寬資格之際，為了同時把守產學合作素質及效益，或可進行實質必要性檢視，如：合作企業資本額、內部人員持有專業證照類型及比例等，達到產學合作最高效益。
[1]經濟部商業司-商業登記資料查詢。
http://gcis.nat.gov.tw/moeadsBF/bms/bmsInfoListAction.do?method=first&agencyCode=allbf&showGcisLocation=true&showBusi=true&showFact=false (最後流覽日:2015/2/22)
[2]以補習班為關鍵字輸入經濟部商業司商業資料查詢系統，點入之後，可看見多數診所為獨資。
http://gcis.nat.gov.tw/moeadsBF/bms/bmsInfoListAction.do
[3]以診所為關鍵字輸入經濟部商業司商業資料查詢系統，點入之後，可看見多數診所為獨資。
http://gcis.nat.gov.tw/moeadsBF/bms/bmsInfoListAction.do (最後流覽日:2015/2/22)
[4]中華民國醫師公會全國聯合會醫師繼續教育課程一覽表。
http://www.tma.tw/credit/credit_4.asp (最後流覽日:2015/2/22)
[5]有限合夥法是有鑒於先前我國營利事業組織型態，大致上可分為具有法人格的公司，以及不具有法人格的獨資及合夥。在實務運作上，因合夥不具法人格，不僅對合夥的經營造成困擾，亦間接降低合夥的競爭力。此外，合夥人對於事業須負連帶無限清償責任，未實際參與合夥事業經營的合夥人承受過大的經營風險，也降低投資者選擇以合夥型態經營商業的誘因。
[6]醫療法人經中央主管機關及目的事業主管機關之許可，得附設下列機構：護理機構、精神復健機構、關於醫學研究之機構、以及老人福利法等社會福利法規規定之相關福利機構。
[7] 經濟部96.11.15經商字第09602149510號函。
[8] 同註3。
[9] 經濟部100.9.16經商字第10002120700號函。
林思妤
法律研究員 編譯整理
美國FDA擬修法調整臨床實驗知情同意義務之豁免標準 資訊工業策進會科技法律研究所 蔡宜臻法律研究員 2018年11月27日 壹、事件摘要 知情同意（informed consent）是人體試驗受試者保護重要的一環，同時也是生物醫學長期以來的研究傳統，然其規範內容卻會因科技與研究方式的改變而略有調整。美國食品藥物管理局（Food and Drug Administration, FDA）於2018年11月15日發布一份法規提案（proposed rule），公開徵求意見評論。該提案目的在於調整FDA知情同意的相關規定，未來FDA希望允許人體試驗倫理委員會（Institutional Review Boards, IRB）在試驗僅有最小風險（minimal risk）的情況下，得以裁決一臨床實驗案可豁免知情同意的責任，或更改某些「告知要項」[1]。本次法規提案徵詢終止日為2019年1月14日，FDA並規劃於本法規命令正式公告施行後，廢止其於2017年7月所發佈之《IRB豁免或變更臨床實驗之知情同意指南》（IRB Waiver or Alteration of Informed Consent for Clinical Investigations Involving No More Than Minimal Risk to Human Subjects）[2] 貳、重點說明 目前FDA僅允許在危及生命[3]或緊急研究（emergency research）[4]的情況下，得以例外不必符合知情同意的一般要求（general requirements）[5]。而根據FDA於2018年11月15日發布於聯邦公報（Federal Register）的法規提案內容，FDA打算新增「試驗僅有最小風險」（The research involves no more than minimal risk to subjects）做為豁免或變更知情同意項目的甄別標準之一。如此一來若是修法通過，FDA對於知情同意豁免與否的認定標準就會跟1991年制訂的《美國聯邦受試者保護通則》（Federal Policy for the Protection of Human Subjects，簡稱the Common Rule）[6]更加接近。換言之，未來修法通過後，由FDA管理的人體臨床實驗將有三種情形得以豁免或變更知情同意義務：危及生命、緊急研究與僅具有最小風險的研究。 所謂最小風險，係指「研究中預期的傷害或不適的概率和程度，不大於在日常生活中或在進行常規身體或心理檢查時通常遇到的傷害或不適」[7]，比如：不需新藥研究申請（investigational new drug application, IND）的新藥研究；醫療器材臨床試驗豁免（investigational device exemption, IDE）之醫療器材研究；檢體之取得為無創（受試者之頭髮或指甲）的臨床研究；為研究目的而蒐集聲音、影片、數據或圖像紀錄；研究個體或群體的特徵或行為；個人或焦點團體訪談等質性研究[8]。FDA指出本次法規提案當中所指的最小風險定義與其附隨條件將與《美國聯邦受試者保護通則》自1991年施行以來之規定一致，即該研究只要同時符合以下四點便可望由IRB審查豁免或變更知情同意義務[9]： 僅有最小風險的研究[10]。 若不豁免或變更知情同意義務，則研究無法順利進行[11]。 不造成受試者權利跟福祉之負面影響[12]。 受試者將在適當時機獲悉進一步研究資訊[13]。 此次提案的法源依據是2016年通過的《21世紀治癒法》（21st Century Cures Act）第3024節所修正之《聯邦食品藥物化妝品法》（Federal Food, Drug, and Cosmetic Act）第505(i)(4)、520(g)(3)節。《21世紀治癒法》第3024節賦予FDA權力放寬臨床實驗的知情同意義務，其立法背景是由於目前FDA相關規範對知情同意要求相對嚴格，當研究者無法滿足現有法規對於知情同意的要求，便可能使潛在的有價值的研究被迫停止[14]；又或在某些情形下，要求研究者在進行臨床實驗時取得研究對象的知情同意並不切實際[15]。《21世紀治癒法》通過後，FDA隨即於2017年7月發布《IRB豁免或變更臨床實驗之知情同意指南》，當中指出FDA並不打算在僅有最小風險的臨床研究中，反對IRB做出豁免或變更知情同意項目的判定，若本次法規提案後續正式生效，FDA便會廢止此指南，使其轉為FDA規則（regulation）。 參、事件評析 知情同意是生物醫學研究的學術傳統，包含兩大重點，一是令研究對象充分知悉其所參與的研究，包含其研究目的、內容、風險與預期利益；二是確保研究對象在做出同意或不同意之意思表示時，其意思表示之真實性，由此保障受試者的自主權[16]。 知情同意之概念最早源自1947年的紐倫堡法典（Nuremburg Code），其規範內涵在過去數十年間因為生物醫學的研究方法與進行模式的變革而產生變化。早年的臨床研究主要由政府資助、在單一的機構進行，涉及的受試者人數相對有限；而近三、四十年，醫學研究漸漸發展成多機構、多中心甚至跨國的研究案，受試者可能高達數萬甚至數十萬，同時也逐漸形成跨領域的研究轉型，涉及如社會學、心理學、教育、環境、氣候等學科。在此情形下，研究方法與資料取得勢必與過去截然不同，傳統的知情同意的制度漸漸無法滿足現代醫學研究的需要。1978年貝爾蒙特報告（Belmont Report）便強調應評估臨床研究的風險是否超過日常可接受範圍[17]，1981年美國據此制定《美國衛生及公共服務部人體研究保護政策最終規則》（Final regulations amending basic HHS policy for the protection of human research subjects）[18]便首次將「不超過日常風險的臨床實驗」[19]納為知情同意之豁免或變更之標準；1991年制定的《美國聯邦受試者保護通則》亦延續此概念並進一步做出更明確定義（見前述），惟當時FDA基於其業務為確保藥品、生物製劑以及醫療器材安全與執照核發，與《美國聯邦受試者保護通則》作為拘束十六個聯邦機關的一般性規範不同，因此未將「僅有最小風險的臨床實驗」納為豁免或變更知情同意義務的標準[20]。 時序進展至今，資通訊技術的進步所累積的巨量資料逐漸成為生醫研究的重要研究資源，面對這項轉變與研究者對於倫理審查委員會專業性的質疑，美國近年再度嘗試調整修法。2016年通過之《21世紀治癒法》便要求FDA將「僅有最小風險的臨床實驗」納為得豁免或變更免除知情同意的標準之一，可被視為是期望FDA向更為寬鬆的《美國聯邦受試者保護通則》靠攏；另方面，2017年修訂《美國聯邦受試者保護通則》之最終規則（final rule，將於2019年1月生效），也新增「若是研究涉及取得可識別的個人資料或可識別的生物標本，需要證明若無這些資料研究將無法進行」[21]，作為豁免或變更知情同意義務的要件，許是為避免個人資料因知情同意的放寬而有遭受濫用之虞。不過這項要件在本次FDA法規提案並未提及。 綜上述，本文整理兩大爭點： 一、最小風險判定標準之不確定性。 最小風險之定義雖明確指「研究中預期的傷害或不適的概率和程度，不大於在日常生活中或在進行常規身體或心理檢查時通常遇到的傷害或不適」[22]，惟最小風險之判定仍存在不確定空間。FDA雖強調將承繼《美國聯邦受試者保護通則》自1991年施行以來個案累積之最小風險判定標準，但此一不確定性直接影響的是受試者的自主權，侵害美國憲法所保障的人權精神；此外，也有批評指出FDA所援引的《美國聯邦受試者保護通則》對於最小風險的定義文字過於模糊，容易造成誤解或誤判[23][24][25]。 二、本次法規提案並未新增《美國聯邦受試者保護通則》即將於2019年1月生效的項目，或再度造成FDA規定與其他聯邦機構未能一致的情形。 FDA本次法規提案新增「最小風險」的其中一個原因便是希望盡可能與《美國聯邦受試者保護通則》標準一致。然令人困惑的是，其並未新增《美國聯邦受試者保護通則》即將於2019年1月實施的豁免或變更知情同意義務的要件：「若是研究涉及取得可識別的個人資料或可識別的生物標本，需要證明若無這些資料研究將無法進行」[26]。換言之，即便此次修法提案通過，依舊與會與《美國聯邦受試者保護通則》有落差。更甚者，《美國聯邦受試者保護通則》所新增的要件，實意在保障個人資料不會因知情同意的豁免範圍改變而遭到恣意使用或揭露，有助於保護個人隱私與資料自主，而FDA並未將其納入法規提案內容，或可能造成個資保護之漏洞。此項缺失FDA於法規提案當中亦有提及，或可期待後續修正[27]。 肆、結語 FDA原有關於豁免或變更知情同意的規定與《美國聯邦受試者保護通則》存有寬嚴程度落差，FDA此前僅限定在有生命危險與緊急研究的情形方可為之；而《美國聯邦受試者保護通則》由於是一種一般性規範，所以保障程度較為寬鬆。FDA本次修法將使部分僅有最小風險的臨床實驗可以更為順利進行，同時也使FDA知情同意的規範更加接近當前《美國聯邦受試者保護通則》的規定。惟最小風險的認定存在不確定性，其所可能侵害的是受試者自主權，不可不慎。又，《美國聯邦受試者保護通則》即將在2019年1月規定研究蒐集之個人資料必須對研究有絕對必要方可，而本次FDA的法規提案未見跟進此一新增要件。由於本提案仍在意見評論階段，是以FDA後續是否再度更新提案內容，值得後續關注。 [1] Institutional Review Board Waiver or Alteration of Informed Consent for Minimal Risk Clinical Investigation, 83 Fed. Reg. 57378-57386(Nov. 15, 2018) https://www.federalregister.gov/documents/2018/11/15/2018-24822/institutional-review-board-waiver-or-alteration-of-informed-consent-for-minimal-risk-clinical (last visited Nov. 26, 2018) [2] FOOD AND DRUG ADMINISTRATION[FDA], FDA In Brief: FDA takes steps to allow greater flexibility for clinical investigators about informed consent in minimal risk situations.(2018/11/13) https://www.fda.gov/NewsEvents/Newsroom/FDAInBrief/ucm625747.htm (last visited Nov. 26, 2018) [3] 21 CFR 50.23 [4] 21 CFR 50.24 [5] 有關更多FDA豁免告知同意之項目類別與細部說明，可參考https://www.accessdata.fda.gov/scripts/cdrh/cfdocs/cfcfr/CFRSearch.cfm?fr=50.23； https://www.accessdata.fda.gov/scripts/cdrh/cfdocs/cfcfr/CFRSearch.cfm?fr=50.24 (last visited Jan. 8, 2019) [6] 45 CFR 46, subpart A. [7]“the probability and magnitude of harm or discomfort anticipated in the research are not greater in and of themselves than those ordinarily encountered in daily life or during the performance of routine physical or psychological examinations or tests.” (46 CFR 102(i); 21 CFR 50.3(k); 21 CFR 56.102(i)). [8] U.S. DEPARTMENY OF HEALTH & HUMAN SERVICES [HHS], OHRP Expedited Review Categories.(1998) https://www.hhs.gov/ohrp/regulations-and-policy/guidance/categories-of-research-expedited-review-procedure-1998/index.html (last visited Nov. 26, 2018) [9] 45 CFR 46.116 [10] “The research involves no more than minimal risk to subjects” [11] “The research could not be carried out practicably without the waiver or alteration” [12] “The waiver or alteration will not adversely affect the rights and welfare of the subjects” [13] “Where appropriate, the subjects will be provided with additional information about their participation” [14] FOOD AND DRUG ADMINISTRATION[FDA], FDA In Brief: FDA takes steps to allow greater flexibility for clinical investigators about informed consent in minimal risk situations.(2018/11/13) https://www.fda.gov/NewsEvents/Newsroom/FDAInBrief/ucm625747.htm (last visited Nov. 26, 2018) [15] id. [16] 陳子平，〈醫療上「充分說明與同意」之法理在刑法上的效應（上）〉，《月旦法學雜誌》，第278期，頁224（2010）。 [17] THE NATIONAL COMMISSION FOR THE PROTECTION OF HUMAN SUBJECTS OF BIOMEDICAL AND BEHAVIORAL RESEARCH, The Belmont Report—Ethical Principles and Guidance for the Protection of Human Subjects of Research(1978), https://videocast.nih.gov/pdf/ohrp_appendix_belmont_report_vol_2.pdf (last visited Jan. 9, 2019) [18] Final regulations amending basic HHS policy for the protection of human research subjects. 46(16) Fed. Reg. 8366–8391 (Jan. 26, 1981) [19] “those risks encountered in the daily lives of the subjects of the research” (46(16) FR 8373) [20] NATIONAL CENTER FOR BIOTECHNOLOGY INFORMATION[NCBI], Determining Minimal Risk in Social and Behavioral Research(2014), https://www.ncbi.nlm.nih.gov/books/NBK217976/ (last visited Jan. 9, 2019) [21]“if the research involves using identifiable private information or identifiable biospecimens, the research could not practicably be carried out without using such information or biospecimens in an identifiable format” (45 CFR 46.116(f)(3)(iii)) [22] 21 CFR 50.3(k), 56.102(i) [23] Regulations.gov, https://www.regulations.gov/document?D=FDA-2018-N-2727-0010 (last visited Dec. 20, 2018) [24] Shah S, Whittle A, Wilfond B, Gensler G & Wendler D., How do institutional review boards apply the federal risk and benefit standards for pediatric research, JOURNAL OF THE AMERICAN MEDICAL ASSOCIATION, 291(4), 476–482(2004). [25] Lidz C & Garverich S., What the ANPRM missed: Additional needs for IRB reform. JOURNAL OF LAW, MEDICINE AND ETHICS, 41(2), 390–396(2013). [26] 45 CFR 46.116(f)(3)(iii) [27] Supra note No. 1
歐盟針對個人資料傳輸第三國之規範提出參考指引歐盟資料保護監督機關(European Data Protection Supervisor, 下稱EDPS)於2014年7月14日，針對利用雲端運算以及行動設備，將個人資料從歐盟境內傳輸至非歐盟國家之部分，提出意見書作為參考指引。EDPS通常會針對雲端業者在從事商業服務時，進行監督審查，當個人資料透過雲端運算服務進行傳輸或處理時，會由EDPS先行確認，以確保該傳輸是否符合歐盟之個人資料保護指令(Directive 95/46/EC)與規則(Regulation (EC) No 45/2001)之規範。 有鑑於跨境合作或使用傳輸服務等需求，歐盟境內將個人資料傳輸至第三國或國際組織之情形日益劇增，此參考指引之主要目的在於詳加解釋歐盟資料保護規則(Regulation (EC) No 45/2001)中關於國際間個人資料傳輸之規定以及應該如何適用。 首先，該指引針對何謂個人資料傳輸以及歐盟資料保護規則第9條之範圍做出說明，後續則分別就適當保護之意涵，以及由歐盟執委會基於規則第9.5條之規定依權限得決定第三國是否已達適當保護標準之國家等部分加以論述。最後，該指引則提供確認表，在資料傳輸前應經過一定的確認流程，包括確認資料接收的國家或組織是否已有適當的保護層級，若無，則是否尚有其他資料可證明。如上述皆無法證明，則應考慮是否有例外情況，例如:取得資料所有人同意得進行傳輸、資料所有人與資料控管者因契約約定同意傳輸、資料控管者與第三人因契約約定，基於資料所有人之利益而傳輸、基於重要公益事由或其他法律上之事項必要傳輸、基於保護資料所有人之重要利益而傳輸、基於資料提供於大眾而傳輸等。倘缺乏以上例外情形，則可考慮資料控管者是否得援引自己已經具備適當的安全機制而可進行資料傳輸。最後，如無任何安全之保護，則資料將無法進行傳輸至第三國。 綜上，歐盟針對資料傳輸予第三國之部分做出更詳細之說明作為參考指引，使資料之傳輸與流通更有明確的規範方向，其後續適用之成效為何應可持續觀察。
英國資訊委員辦公室表示個人資料之處理應遵循GDPR，公務機關也不例外自西元2017年1月以來，英國稅務海關總署（Her Majesty's Revenue and Customs, HMRC）開始要求英國民眾使用線上語音方式進行身分認證，而民眾的聲音檔案亦被儲存至英國稅務海關總署的語音資料庫內。英國資訊委員辦公室（Information Commissioner's Office, ICO）深入調查後發現英國稅務海關總署的語音身分認證系統存在下列兩種違法情形： 未能向民眾充分揭露、告知民眾其語音、聲紋等生物識別資料如何被處理等資訊。 蒐集民眾的生物識別資料時，未能給予民眾自由行使同意或拒絕權利的機會。 英國資訊委員辦公室認為英國稅務海關總署前開情形已經違反了歐盟一般資料保護規則（General Data Protection Regulation, GDPR），根據歐盟一般資料保護規則，英國稅務海關總署在蒐集、處理或利用民眾個人資料時，必須合法、公正及透明，並應取得民眾的明確同意。英國資訊委員辦公室後續將要求英國稅務海關總署應刪除違法蒐集的生物識別資料。 本次英國資訊委員辦公室的執法行動是基於2018年5月25日生效的歐盟一般資料保護規則與英國2018年資料保護法（The Data Protection Act 2018），英國資訊委員辦公室強調創新的數位服務雖有助於民眾的生活更輕鬆，但絕不能以犧牲民眾的隱私為代價，同時也隱約透露著：「沒有一個組織（包含政府機關）能夠凌駕於法律之上。」。