無線網路溢波盜用之法律議題初探
歐盟對於體外診療器材（In Vitro Diagnostic Medical Devices，以下簡稱IVDs）之管制，最早起始於1998年的體外診療器材指令（Directive 98/79/EC on In Vitro Diagnostic Medical Devices，以下簡稱「1998年IVDD指令」)，該指令依IVDs是否具有侵入性、接觸病人的時間長短及是否需要能源加以驅動等條件，進一步區分為四種風險等級：第1級（Class I）－低風險性、第2a級（Class IIa）－低至中風險性、第2b級（Class IIb）－中至高風險性、第3級（Class III）－高風險性。Class I因風險性最低，故1998年IVDD指令僅要求廠商建立品管系統、保留產品技術檔案、並自為符合性聲明後，即得於市場上流通；Class IIa與Class IIb則由於風險略高，所建立之品管系統需經過「符合性評鑑」；而Class III的風險最高，故其品管系統除須符合前述要求外，更應由經歐盟認證的代檢機構（Notified Body）進行審查，通過前述評鑑及審查後，始可於歐洲市場流通使用。 然而，隨著科學及技術的進步，市場上不斷出現創新性的產品，使得1998年IVDD指令已逐漸無法滿足管理需求，輔以各會員國對於指令的解釋和實施各有不同，致使歐盟內部在病患及公共健康的保護上有程度不一的落差，為歐盟單一市場的運作埋下隱憂。因此，歐盟執委會（European Commission）於2012年9月26日提出新的管制架構（Proposal for a Regulation of the European Parliament and of the Council on in vitro diagnostic devices），其主要變革包括： 1. 擴大IVDs的定義：將IVDs的範圍擴及用以獲取醫療狀況或疾病罹患傾向資訊（如基因檢測）的器材及醫療軟體（medical software）等。 2. 新的分類標準及評估程序：將診療器材重新分為A、B、C、D四類，A類為風險最低，D類為風險最高。A類維持原先1998年IVDD指令中的廠商自我管控機制，但當A類器材欲進行臨床測試（near-patient testing）、具備評量功能或用於殺菌者，須先由代檢機構就其設計、評量功能及殺菌過程進行驗證。B類器材因風險略高，故須通過代檢機構之品管系統審查；C類產品除品管系統審查外，需再提交產品樣本的技術文件；而D類由於風險最高，除前述品管系統審查外，需經過核准使能進入市場。至於A、B、C、D類產品進入市場後，代檢機構會定期進行上市後（the post-market phase）監控。 3. 導入認證人員（qualified person，簡稱GP）：診療器材製造商應於組織內導入GP人員，負責確保製造商組織內部的一切法令遵循事宜。 4. 落實提升透明度（transparency）之相關措施：為確保醫療器材的安全性和效能，要求：(1) 歐盟市場內之經濟經營商（economic operator）應能夠辨認IVDs的供應者及被供應者；(2) 製造商應將單一裝置辨識碼（Unique Device Identification）導入產品中，以利日後之追蹤；(3) 歐盟單一市場中的所有製造商及進口商，應將其企業及產品資訊於歐洲資料庫（European database）中進行註冊；(4) 製造商有義務向大眾公開高風險性裝置的安全性與效能等相關說明資訊。 歐盟執委會已提交新管制架構予歐洲議會，若順利通過將可望於2015年起正式實施，未來將對歐洲IVDs產業有何影響，值得持續觀察之。
網路服務提供者於2016中國大陸反恐法下之通報義務中華人民共和國第12屆全國人民代表大會常務委員會第18次會議於2015年12月27日通過並公布《中華人民共和國反恐怖主義法》(以下簡稱反恐法)，並自2016年1月1日開始施行。反恐法第18條與第19條要求電信業務經營者與互聯網服務提供者，應當為公安機關、國家安全機關依法進行防範、調查恐怖活動「提供技術接口和解密等技術支持和協助」，並應當依照法律與行政法規規定，「落實網絡安全、信息內容監督制度和安全技術防範措施，防止含有恐怖主義、極端主義內容的信息傳播；發現含有恐怖主義、極端主義內容的信息的，應當立即停止傳輸，保存相關記錄，刪除相關信息，並向公安機關或者有關部門報告。」倘有違反以上規定且情節嚴重者，反恐法第84條授權由主管部門對該公私處50萬人民幣以上罰款，並對該公司直接負責之主管人員與其他直接責任人員處10萬元人民幣以上50萬人民幣以下罰款，並可由公安機關對該等人員處5日以上15日以下之拘留。 我國刻正進行資通安全管理法之制定，以為範圍更廣之資訊基本法的作用法。資通安全管理法當中考量納入與關鍵基礎建設相關之民間產業，使之成為資安通報之一環，政府需要民間企業配合時也將於法有據。於恐怖攻擊事件頻傳之今日，倘我國需要就此等事件要求電信業者或服務提供者進行通報時，相關國際立法例及其實踐，即值參酌。
Regolith的試煉：太空物質私有化美國國家航空暨太空總署(National Aeronautics and Space Administration，NASA)向企業購買月球Regolith(岩屑層)與岩石物質，並於2020年9月提出《月球Regolith採購工作績效聲明》(Lunar Regolith Purchase Request Performance Work Statement)。惟月球的物質，是否可以開採？ 依據《各國探索與應用外太空、月球暨其他天體之活動管理原則條約》(Treaty on Principles Governing the Activities of States in the Exploration and Use of Outer Space, Including the Moon and Other Celestial Bodies)第2條，外太空、月球與其他星體，非任何國家可藉由使用、占領與其他方式，或應用國家經費，而宣稱擁有主權。針對NASA的月球物質採購計畫，是否合乎該條約？NASA署長Jim Bridenstine指出，Artemis計畫增加商業參與，要求企業蒐集小型的月球「塵埃」(dirt)，或月球表面的岩石。Jim Bridenstine並認為此項提案，充分遵守該條約與其他國際義務。申言之，NASA認為月球之物質，具有私有化之可能性。 為採購企業蒐集之月球物質，NASA擬定《月球Regolith採購工作績效聲明》，規範企業的義務為：1、自月球表面蒐集50克至500克的Regolith或岩石物質；2、提供NASA蒐集與物質的影像，該資料足以識別蒐集地點為月球表面；3、就地(in-place)移轉NASA蒐集物質的所有權，此些物質並將成為NASA得以使用的私有財產(sole property)。企業得以決定在月球表面的任何地點蒐集，且無須評估蒐集的材料；NASA係採購蒐集狀態(“as-collected” condition)，並有權利獨立確認企業蒐集物質的聲明。亦即企業的任務為採購物質，並提出證明；對月球物質的評估，則由NASA為之。 企業對NASA採購月球物質之履行，須於2024年以前完成；NASA對契約的獎勵，並不以月球物質蒐集的數量為基準。NASA對企業採購月球物質的支付依據：10%來自於企業完成NASA概念審查的提案；10%係企業為此蒐集任務，而由企業系統發射航空器至太空；80%為達成移轉NASA太空物質的所有權。另外，機器人登陸器(robotic lander)的設計與建構，並非屬NASA向企業徵集太空物質之內容。換言之，NASA之採購計畫並非強調太空物質之蒐集數量，而係著重於太空物質所有權之移轉。 綜上所論，NASA向企業採購月球Regolith與岩石物質，並以所有權之移轉為主，開啟太空物質私有化的可能性。
歐盟NIS 2指令生效，為歐盟建構更安全與穩固的數位環境歐盟第2022/2555號《於歐盟實施高度共通程度之資安措施指令》（Directive (EU) 2022/2555 on measures for a high common level of cybersecurity across the Union, NIS 2 Directive）於2023年1月16日正式生效，其於《網路與資訊系統安全指令》（Directive on Security of Network and Information Systems, NIS Directive）之基礎上，對監管範圍、成員國協調合作，以及資安風險管理措施面向進行補充。 （1）監管範圍： NIS 2納入公共電子通訊網路或服務供應、特定關鍵產品（如藥品與醫療器材）製造、社交網路平台與資料中心相關數位服務、太空及公共行政等類型，並以企業規模進行區分，所有中大型企業皆須遵守NIS 2之規定，而個別具高度安全風險之小型企業是否需要遵守，則可由成員國自行規範。 （2）成員國協調合作： NIS 2簡化資安事件報告流程，對報告程序、內容與期程進行更精確的規定，以提升成員國間資訊共享的有效性；建立歐洲網路危機聯絡組織網路（European cyber crisis liaison organisation network, EU-CyCLONe），以支持對大規模資安事件與危機的協調管理；為弱點建立資料庫及揭露之基本框架；並引入更嚴格的監督措施與執法要求，以使成員國間之裁罰制度能具有一致性。 （3）資安風險管理措施： NIS 2具有更為詳盡且具體之資安風險管理措施，包含資安事件回報與危機管理、弱點處理與揭露、評估措施有效性的政策與程序、密碼的有效使用等，並要求各公司解決供應鏈中的資安風險。