何謂「企業實證特例制度」?
企業實證特例制度規定於日本產業競爭力強化法第8條、第10條、第14條及第15條，在企業或任何事業團體有進行新事業活動(引進新商品或服務之開發或生產、新商品或服務之導入)之需要時，若現行法規上有滯礙難行之處，則可提出創設新規制措施之申請，藉以排除某些法令之限制，使新事業活動得以進行。
企業實證特例制度分為兩階段，首先由欲實施新事業活動者向事業主管機關提出申請，而事業主管機關將會與法規主管機關討論後，在安全性得到確保之情形下，由事業主管機關同意創設新規制措施。第二階段則需提出新事業活動計畫申請核准，經核准後便得在一定期間內於一定地區進行新事業活動。
新事業活動計畫備核准後，事業團體得進行新事業之活動，其需於各事業年度終了後3個月內向事業主管機關提出報告，就新事業活動之進行情形(包含新事業活動目標達成程度、新特例措施施形狀況、法規所要求之安全性目的之確保措施…等事項)為報告。法規主管機關亦會綜合新事業活動之施形狀況、國外相關法制情形以及技術進步等等情形，決定是否進行修法。
本文為「經濟部產業技術司科技專案成果」
蔡佳穎
法律研究員 編譯整理
美國聯邦貿易委員會（Federal Trade Commission, FTC）於2024年2月6日針對「介入權指引草案」（Draft Interagency Guidance Framework for Considering the Exercise of March-In Rights）提交意見書。介入權指引草案由美國國家標準技術研究院（National Institute of Standards and Technology, NIST）2023年12月8日公布於聯邦公報（Federal Register），旨在訂立政府機關發動《拜杜法》（Bayh-Dole Act）第203條「介入權」（March-in rights）之判斷流程與標準，以確保介入權發動具一致性。根據草案內容，當受政府補助之研發成果若經商業運用後被以「不合理價格」販售，而未滿足民眾健康與安全需求時，提供補助之政府機關應適時介入。 然而，介入權指引草案將「價格合理性」納入介入權發動要件，被美國各界質疑係為達成拜登政府打擊藥價之政策目的，亦即透過擴大、強化介入權之方式，將「受政府補助之專利藥」強制再授權專利，以降低藥品價格。 FTC於意見書中亦對此爭議提出看法，認為美國人民就處方藥須支付不斷上漲之昂貴價格，雖然賦予各機關審查「價格合理性」，將使得介入權發動更為廣泛且靈活，並得以監督藥品價格。惟擴大、強化介入權仍有隱患，尤其製藥公司恐為了保護其藥品專利，因此擴大申請專利權範圍導致專利叢林（patent thicket）現象產生，例如除將活性成分申請專利外，另將製程、劑型亦申請專利，此為未來各政府機關應該共同解決之問題。
歐盟委員會發布NIS 2實施條例以定義資安重大事件.Pindent{text-indent: 2em;} .Noindent{margin-left: 2em;} .NoPindent{text-indent: 2em; margin-left: 2em;} .No2indent{margin-left: 3em;} .No2Pindent{text-indent: 2em; margin-left: 3em} .No3indent{margin-left: 4em;} .No3Pindent{text-indent: 2em; margin-left: 4em} 歐盟委員會於2024年10月17日通過了歐盟第2022/2555號《於歐盟實施高度共通程度之資安措施指令》（Directive (EU) 2022/2555 on measures for a high common level of cybersecurity across the Union，下稱NIS 2）的第一個實施條例（下稱「實施條例」）。NIS 2要求企業發生重大事件（Significant incident）後24小時內，應向會員國主管機關通報，依實施條例之規定，符合以下任一條件會被視為重大事件： 1. 造成超過50萬歐元或上一年度營業額5%以上的直接財務損失。 2. 造成商業機密洩漏。 3. 已造成或能造成自然人死亡。 4. 對自然人健康已造成或能造成大量傷害。 5. 疑似惡意且未經授權的存取網路和資訊系統造成嚴重運作中斷。 6. 反覆發生的事件。 7. 符合第5條至第14條特定資訊服務的事件。 實施條例主要在於補充上述條件的第6項及第7項。第6項規定於實施條例的第4條，定義「反覆發生」的要件，包含：(1)6個月內發生兩次；(2)有相同的根本原因；(3)大致符合超過50萬歐元或年營業額5%以上的直接財務損失。第7項則在實施條例的第5條至第14條列舉特定資訊服務提供者的重大事件條件，而其他資訊服務則包含DNS（domain name system）服務、TLD（top-level domain）網域註冊管理、雲端運算服務、資料中心服務、內容交換網路、託管服務、網路商城、搜尋引擎、社群網路服務、信託服務等，對於不同服務可能造成的影響各別列舉視為重大事件的條件。 歐盟委員會發布該實施條例確立何謂重大事件，並依歐盟考量資訊安全威脅所制定的NIS 2，將公共電子通訊網路或服務、會員國等進行連結，要求會員國設置資訊安全主管機關、危機管理機構、資訊安全聯絡點等義務，建立資訊安全通報機制，確保歐盟有整體的資訊安全戰略及框架，阻止潛在危機擴散。我國於2018年已制定《資通安全事件通報及應變辦法》並建立四級資通安全事件的標準，其標準以機敏或業務資訊遭洩漏對機密性的影響、資通系統遭竄改對完整性的影響，以及資通系統運作遭中斷對可用性的影響為依據，但並未對不同類型服務有制定更精細的定義。歐盟實施條例中有關重大事件之定義，可做為我國相關主管機關參考對象，研擬更準確的資通安全事件標準。
日本內閣府公布生成式AI初步意見彙整文件，提出風險因應、應用及開發兩大關注重點日本內閣府於2023年5月26日召開第2次「AI戰略會議」（AI戦略会議），並公布「AI相關論點之初步整理」（AIに関する暫定的な論点整理）。鑒於AI對於改善國人生活品質、提高生產力無疑有相當助益，考量生成式AI甫問世，社會大眾對其潛在風險尚心存疑慮，內閣府遂以生成式AI為核心，延續先前已公布之「AI戰略2022」（AI 戦略 2022）、「以人為中心的AI社會原則」（人間中心の AI 社会原則），以「G7廣島峰會」（G7広島サミット）所提出之願景—「符合共同民主價值的值得信賴AI」為目標，提出「風險因應」及「應用與開發」兩大關注重點，供政府有關部門參考之同時，並期待可激起各界對於生成式AI相關議題之關注與討論： 一、風險因應：AI開發者、服務提供者與使用者應自行評估風險並確實遵守法規及相關指引；政府則應針對風險應對框架進行檢討，對於已知的風險，應先以現有的法律制度、指引與機制進行處理，假如現有法制等無法完全因應這些風險，則應參考各國作法盡速對現行制度進行修正。 AI的透明度與可信賴度於風險因應至關重要。若能掌握AI學習使用哪些資料、所學習資料之來源、AI如何產生結果等，就能針對使用目的選擇適合的AI，也較易因應發生之問題，並避免AI產生錯誤結果或在對話中洩漏機密資訊等。對此，本文件呼籲AI開發者及服務提供者依據現行法令和指引主動揭露資訊，政府則應對透明度和可信賴度相關要求進行檢討，並應依普及程度及各國動向對既有的指引進行必要之修正。 二、應用與開發：本文件建議政府部門積極使用生成式AI於業務工作上，找出提升行政效率同時不會洩漏機密之方法，並向民眾宣導AI應用之益處與正確的使用方式，以培養民眾AI相關技能與素養，藉以更進一步建構AI應用與開發之框架，如人才培育、產業環境準備、相關軟硬體開發等。
美國消費者金融保護局發布最終規則強化消費者金融資料控制權與隱私保護.Pindent{text-indent: 2em;} .Noindent{margin-left: 22px;} .NoPindent{text-indent: 2em; margin-left: 38px;} .No2indent{margin-left: 3em;} .No2Pindent{text-indent: 2em; margin-left: 3em} .No3indent{margin-left: 4em;} .No3Pindent{text-indent: 2em; margin-left: 4em} 美國消費者金融保護局發布最終規則強化消費者金融資料控制權與隱私保護 資訊工業策進會科技法律研究所 2024年12月10日 美國消費者金融保護局（Consumer Financial Protection Bureau, CFPB）於2024年10月22日發布最終規則以落實2010年《消費者金融保護法》（Consumer Financial Protection Act, CFPA）第1033條規定之個人金融資料權利[1]，該規則即通常所稱之「開放銀行」（Open Banking）規則。 壹、事件摘要 本次CFPB頒布最終規則旨在賦予消費者對其個人金融資料更大的權利、隱私與安全性。透過開放消費者金融資料，消費者得更自由地更換金融服務提供者以尋求最佳交易，從而促進市場競爭，並激勵金融機構精進其產品與服務[2]。 貳、重點說明 最終規則要求資料提供者在消費者及授權第三方之請求下，提供消費者金融產品或服務相關資料，並應以消費者及授權第三方可使用之電子形式提供。最終規則亦制定標準，以促進資料標準化格式（standardized formats）之發展和使用，同時規範第三方近用消費者資料義務，包括對資料之蒐集、利用及保留限制。相關重點如下： 一、受規範機構主體 最終規則規範對象為資料提供者（data provider），包含銀行、信用合作社等存款機構（depository institution）；發行信用卡、持有交易帳戶、發行用於近用帳戶設備或提供支付促進服務（payment facilitation service）等非存款機構[3]。值得注意者，最終規則將數位錢包（digital wallet）及支付應用程式（payment app）業者納入資料提供者範圍，亦即被廣泛使用的金融科技服務亦將受到開放銀行規範體系之約束。此外，資料提供者不得向消費者或第三方收取資料近用之費用。 二、受規範資料範圍 最終規則規範之資料範圍涵蓋：資料提供者控制或擁有之24個月內之歷史交易資訊、帳戶餘額、付款資訊、契約條款與條件、即將到期之帳單、以及基本帳戶驗證資訊（Basic account verification information）等[4]，消費者得授權第三方近用此類資料。至於機密商業資訊、蒐集資料僅用於防止詐欺、洗錢，或為偵測或報告其他非法及潛在非法行為，又或基於其他法律要求保密之資訊，以及在正常業務過程中無法檢索之資料，則豁免最終規則之適用[5]。 三、消費者與開發者介面 根據最終規則，資料提供者須建立及維護兩個獨立的介面以利資料之近用，包含：消費者介面，例如提供消費者近用其資料之入口網站，以及授權第三方之開發者介面（developer interface），例如應用程式介面（Application Programming Interface, API），雖最終規則不要求使用任何特定技術，然仍要求資料提供者須以標準化機器可讀格式（Standardized and Machine-Readable Format）提供資料，介面功能要求須達每月最低99.5%之回應率（response rate）[6]。此類資訊須在每月最末日前揭露於資料提供者網站上。此外，介面之設計須遵守《美國金融服務業現代化法》(The Gramm-Leach-Bliley Act, GLBA)」及聯邦貿易委員會（Federal Trade Commission, FTC）之《消費者資訊保障標準》(Standards for Safeguarding Customer Information)等消費者資料保護法規義務[7]。 四、授權第三方之行為義務 授權第三方（authorized third party）為代表消費者向資料提供者請求近用資料，藉以提供消費者產品或服務者。為解決隱私與資料安全問題，該規則對尋求近用消費者資料之第三方提出數項要求[8]，包含但不限於： （一）知情同意之取得 第三方須取得消費者明確知情同意（express informed consent），以便代表消費者近用資料。 （二）資料利用之限制 第三方須確保將其資料之蒐集、利用及保留限制在提供消費者所請求的產品或服務之合理必要範圍內。就此部分，精準廣告（targeted advertising）、交叉銷售（Cross-selling），以及銷售資料並非提供產品或服務之合理必要範圍。 （三）遵守聯邦法規 第三方須依GLBA第501條規定或FTC之《消費者資訊保障標準》確保在其系統中採用「資訊安全計畫」（information security program）。 （四）政策與程序文件要求 第三方應擁有合理書面政策和程序，以確保從資料提供者處準確接收資料，並提供於其他第三方，即資料正確性之確保。 （五）資料撤回權之確保 第三方應向消費者提供撤回第三方授權之方法，撤回過程須簡易明瞭。在第三方收到消費者撤回授權之請求時，應通知資料提供者以及已向其提供消費者資料之其他第三方。 （六）第三方監督義務 第三方應透過契約要求其他第三方在向其提供消費者資料前遵守特定第三方法定義務。 （七）資料保存期限 消費者資料之保存期限最長為一年。若繼續蒐集，第三方應取得消費者重新授權。若消費者不提供重新授權或撤回授權，第三方應停止資料之蒐集，並停止利用與保留先前蒐集之資料。 五、實施日期 最終規則將依機構資產規模分階段實施[9]，最大規模之機構（資產總額為2500億美元以上之存款機構資料提供者，以及在2023年或2024年任一年中，總收入達到100億美元以上之非存款機構資料提供者）須在2026年4月1日前遵守最終規則。對於規模最小之機構（資產總額低於15億美元但高於8.5億美元之存款機構資料提供者）須於2030年4月1日前遵守該規則。另總資產低於8.5億美元之存款機構不受該規則限制，以減輕小型銀行及信用合作社合規負擔。 參、事件評析 CFPB之CFPA第1033條最終規則將重塑美國金融市場之監理格局，由市場驅動之開放銀行框架走向由政府透過法規實質監理之管制措施，要求業者開放消費者資料。值得留意者，歐盟執委會（European Commission）2023年6月推出之「金融資料近用」（Financial Data Access, FiDA）草案[10]亦基於消費者賦權理念，強化消費者對其資料權利之控制權。由此可觀察國際間金融資料利用與監理規範逐漸走向以消費者資料自主為中心之法制架構，當代金融資料監理趨勢或值得我國主管機關及業者留意關注，除可作為我國金融資料法制與政策制定之參考，亦供我國企業布局全球化金融服務提前作好準備。 [1]Required Rulemaking on Personal Financial Data Rights, 89 Fed. Reg. 90838. [2]Consumer Financial Protection Bureau, CFPB Finalizes Personal Financial Data Rights Rule to Boost Competition, Protect Privacy, and Give Families More Choice in Financial Services, available at https://www.consumerfinance.gov/about-us/newsroom/cfpb-finalizes-personal-financial-data-rights-rule-to-boost-competition-protect-privacy-and-give-families-more-choice-in-financial-services/(last visited Dec. 5, 2024). [3]12 C.F.R. § 1033.111. [4]12 C.F.R. § 1033.211. [5]12 C.F.R. § 1033.221. [6]12 C.F.R. § 1033.311. [7]See id. [8]12 C.F.R. § 1033.421. [9]12 C.F.R. § 1033.121. [10]Proposal for a REGULATION OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL on a framework for Financial Data Access and amending Regulations (EU) No 1093/2010, (EU) No 1094/2010, (EU) No 1095/2010 and (EU) 2022/2554.