何謂瑞典「VINNOVA」？VINNOVA的組織地位與功能為何？
瑞典近年來積極制定科技創新政策，為了提升政策協調度，瑞典於2001年繼續進行組織改造，創立瑞典創新系統署（Swedish Governmental Agency for Innovation Systems, VINNOVA）與瑞典研究委員會（Swedish Research Council），成為創新發展最主要的兩大支柱。
VINNOVA是瑞典推動科研創新重要的一個部署，瑞典政府相當重視此單位，每年投入約20億瑞典克朗的經費於此，且除了在斯德哥爾摩（Stockholm）設有總部外，更在比利時的布魯塞爾（Brussels）及美國矽谷（Silicon Valley）設有辦公室，以掌握世界最新的產業創新動態，其組織單位約有兩百多名員工，負責VINNOVA計畫推動等工作 。由於VINNOVA的特別地位及其執行許多協助瑞典產業創新之計畫。
VINNOVA在科技創新扮演重要的推手，政府也希望藉VINNOVA的成立促進產業社會的發展，尤其重視產業創新領域。為能順利推動科研創新的過程，且加強學術、產業及公共行政單位的研究合作，VINNOVA建立三螺旋（Triple Helix）模式，希望藉由合作而相互學習。
本文為「經濟部產業技術司科技專案成果」
王怡婷
法律研究員 編譯整理
為反制專利蟑螂利用訴訟方式滋擾實際從事研發以及實施專利者，美國國會於2012年8月提出SHIELD法案（Saving High-Tech Innovators from Egregious Legal Disputes Act of 2012 ），顧名思義本法案之目的在於防免高科技創新者陷於惡意挑起的法律爭端之中。該法案補充美國聯邦專利法規定，使得法院得在發現當事人一造並無合理勝訴之可能而仍舊對電腦硬體或軟體專利之有效性提起訴訟，或主張被侵權時，法院得判決其回復全部訴訟之費用支出予除美國以外勝訴之一造（the prevailing party），包括合理之律師費。 SHIELD法案原立意良善，但其也可能就像兩面刃，例如法案的規範內容用語抽象，以致於在企圖達到其立法目的外，未同時設想可能造成的法律陷阱或未預期之法律效果。就法案內容來看，其賦予法院得判決要求回復訴訟費用及律師費之人（所謂勝訴之一造）並不限於原告。又本法案得適用在任何電腦或軟體專利的訴訟，因此，當兩家大型公司相互就專利實施進行對決時，SHIELD法案無異使得原本已經成本很高的競爭更提高雙方的賭注。此外，法案中對「電腦」的定義，不限於一般認知的「軟體或電腦硬體公司」，使得從金融業到汽車製造都可能涵蓋在內，例如銀行就有許多系統可能同時連接具專利之電腦或其他軟體組件。更重要的是，何時勝訴方可獲得律師費之補償判決，法案亦沒有給法院明確之範圍。 雖然本法案最後通過與否或通過施行後的樣貌仍未可知，但可得知的是對於部分NPE之負面利用專利制度之行為，已促使政府與法界思索專利制度如何衡平專利權保護而更能達到專利制度設置之目的，而其未來顯然仍有一段遙遠的路要走。
美國和歐盟合作推動統一優良臨床試驗規範美國聯邦食品藥物管理局(U.S. Food and Drug Administration)和歐洲醫藥局(European Medicines Agency)在2009年7月31日共同公佈了一項名為優良臨床試驗行動(Good Clinical Practices Initiative)的合作計畫，期能藉由該計畫，使得不論是在美國或歐盟，所有臨床試驗之執行，都有遵守相同且適當的規範。 在醫藥品上市申請的實務中，因為大部份的醫藥品都會企圖向廣大的歐美市場扣關，同樣的臨床試驗通常也會分別提交到兩地的醫藥品上市許可申請程序中。故若兩地主管機關可以合作訂出統一的優良臨床試驗規範，則可避免因重複審查所造成的資源浪費，申請者也可以因為統一的規範而加速其在兩地審查的程序，且在跨國資訊交流整合下，也可為臨床試驗研究的參與者提供更好的安全基礎。 此次美國聯邦食品藥物管理局，和歐洲醫藥局合作之優良臨床試驗行動的幾個主要目標如下： 一、定期交換有關優良臨床試驗之實務操作資訊：交換的資訊包括(1)彼此的優良臨床試驗(Good Clinical Practices, GCP)查核計畫，以了解有那些臨床試驗或地點是對方會去查核的，就不需要重覆查核；(2)彼此受理的上市申請案件中，有關GCP的如科學上的建議或上市申請的結果等；以及(3)彼此執行GCP查核之結果。二、共同執行優良臨床試驗審查：藉此了解對方之GCP查核程序，並進而信賴彼此之程序，也藉由共同執行時之交流，提昇彼此查核之技巧，及精進查核之程序。 三、合作增進優良臨床試驗規範：藉由對彼此GCP相關法規、指導原則、和政策等的交流及了解，找出現有規範中可予以改進之處，以增進臨床試驗研究的品質。 自2009年9月1日起，此項合作行動將首先開始一個為期18個月的先期行動，在此先期行動結束後，兩主管機關將會共同發布一份包含其整體行動計畫，及雙方就各自既有法規或程序應予以調整部分。
美國各州逐步研議透過立法豁免企業資安事件賠償責任美國各州逐步研議透過立法豁免企業資安事件賠償責任 資訊工業策進會科技法律研究所 2024年06月10日 為鼓勵企業採用資安標準與框架，美國已有幾州開始透過立法限縮企業資安事件賠償責任，企業若能舉證證明已符合法令或遵循業界認可之資安框架和標準，則於資安攻擊事件所致損害賠償訴訟中，將無需承擔賠償責任。 壹、事件摘要 為避免有心人士於未取得經授權下近用網路和敏感資料，企業往往投入大量資源打造資安防護架構，惟在現今網路威脅複雜多變的環境下，仍可能受到惡意資安攻擊，導致資料外洩事件發生，導致企業進一步面臨訴訟求償風險，其中多數指控為未實施適當的資安措施。為此美國佛羅里達州和西維吉尼亞州研議透過立法限縮企業之資安事件賠償責任，以鼓勵企業採用資安標準、框架與資安相關法令。 貳、重點說明 繼美國俄亥俄州[1]、猶他州[2]和康乃狄克州[3]相繼頒布法令，讓已實施適當安全維護措施之企業，豁免資安攻擊所致資料外洩之損害賠償責任，佛羅里達州和西維吉尼亞州近期亦提出相似法案，以下介紹兩州法案之重點： 一、佛羅里達州 美國佛羅里達州於2023年11月公布《資安事件責任法案》 （H.B 473: Cybersecurity Incident Liability）[4]，法案納入「安全港條款」（Safe Harbor），當企業遭受資安攻擊致生個資外洩事件，如可證明已遵循產業認可的資安標準或框架，實施適當的資安措施與風險控管機制，則可免於賠償責任，以鼓勵企業採納資安標準或框架。 為適用安全港條款，企業須遵循佛羅里達州資訊保護法（The Florida Information Protection Act），針對資料外洩事件，通知個人、監管機關和消費者，並建立與法案內所列當前產業認可的資安標準、框架，或是特定法令規範之內容具一致性的資安計畫（Cybersecurity Programs）： （一）當前產業認可的資安標準、框架 1. 國家標準暨技術研究院（National Institute of Standards and Technology, NIST）改善關鍵基礎設施資安框架（Framework for Improving Critical Infrastructure Cybersecurity）。 2. NIST SP 800-171－保護非聯邦系統和企業中的受控非機密資訊。 3. NIST SP 800-53 和 SP 800-53A－ 資訊系統和企業的安全和隱私控制/ 評估資訊系統和企業中的安全和隱私控制。 4. 聯邦政府風險與授權管理計畫（Federal Risk and Authorization Management Program, FedRAMP）安全評估框架。 5. 資安中心（ The Center for Internet Security, CIS）關鍵安全控制。[5] 6. ISO/IEC 27000系列標準。 7. 健康資訊信任聯盟（The Health Information Trust Alliance, HITRUST）通用安全框架（Common Security Framework）[6]。 8. 服務企業控制措施類型二（Service Organization Control Type 2, SOC 2）框架。 9. 安全控制措施框架（Secure Controls Framework）。 10. 其他類似的產業標準或框架。 （二）特定法令規範 企業（entity）如受以下法令規範，亦得適用安全港條款，如法令有修訂，企業應在發布修訂後的一年內更新其資安計畫： 1. 健康保險可攜與責任法（The Health Insurance Portability and Accountability Act, HIPAA）之安全要求。 2. 金融服務現代化法（The Gramm-Leach-Bliley Act）第五章。 3. 2014 年聯邦資訊安全現代化法（The Federal Information Security Modernization Act of 2014）。 4. 健康資訊科技促進經濟和臨床健康法（The Health Information Technology for Economic and Clinical Health Act, HITECH）之安全要求。 5. 刑事司法資訊服務系統 （The Criminal Justice Information Services, CJIS）安全政策。 6. 州或聯邦法律規定的其他類似要求。 該法案雖於2024年3月5日經佛羅里達州參議院三讀通過，但於2024年6月26日遭州長否決[7]，其表示法案對於企業的保障範圍過於廣泛，如企業採取基礎的資安措施與風險控管機制，便得主張適用安全港條款，將可能導致消費者於發生個資外洩事件時，無法受到足夠的保障。州政府鼓勵利害關係人與該州網路安全諮詢委員會（Florida Cybersecurity Advisory Council）合作，探求法案的替代方案，以保護消費者資料。 二、西維吉尼亞州 美國西維吉尼亞州於2024年1月29日提出眾議院第5338號法案[8]，修訂西維吉尼亞法典（Code of West Virginia），增訂第8H章資安計畫安全港條款（Safe Harbor for Cybersecurity Programs），如企業符合業界認可的資安標準、框架或依特定法令建立與實施資安計畫，包含個人資訊和機敏資料的管理、技術和企業保障措施，將能夠於侵權訴訟中，主張適用避風港條款。 法令內明列評估企業所建立的資安計畫規模和範圍是否適當之要素，包含： 1. 企業的規模和複雜性； 2. 企業的活動性質和範圍； 3. 受保護資訊的敏感性； 4. 使用資安防護工具之成本和可用性； 5. 企業可運用的資源。 （一）當前產業認可的資安標準、框架 除與佛羅里達州法案所列舉業界認可的資安標準之前六項相同，另增加： 1 NIST SP 800-76-2個人身分驗證生物辨識規範（Biometric Specifications for Personal Identity Verification）[9]。 2. 資安成熟度模型認證（The Cybersecurity Maturity Model Certification, CMMC）至少達到第2級，並經外部驗證（external certification）。 （二）特定法令規範 除與佛羅里達州法案所列舉特定法令之前四項相同，另增加：由聯邦環境保護局（Environmental Protection Agency, EPA）、資安暨基礎設施安全局（Cybersecurity and Infrastructure Security Agency, CISA）或北美可靠性公司（North American Reliability Corporation）[10]所採用任何適用於關鍵基礎設施保護的規則、法規或指南。 惟目前法案已於2024年3月27日被西維吉尼亞州長否決[11]，其表示透過安全港條款鼓勵企業實踐資安框架雖立意良好，但也可能遭濫用而帶來不當影響，例如TikTok等大型國際企業，如在違背公民意願情況下共享個人資料時，將免於訴訟，恐有損其公民權益，未來州政府將與利害關係人持續進行協商。 參、事件評析 佛羅里達州和西維吉尼亞州近期同步公布有關限制企業於資安事件之責任相關法案，內容亦為相似，西維吉尼亞州之法案目前已遭否決，主要係擔心該豁免條款遭到不當濫用；佛羅里達州之法案亦因對於企業保障過廣與無法保障消費者個資安全考量，而遭州長否決。 法案中明列受產業普遍認可的資安標準、框架與政府所頒布特定法令，有助企業明確遵循與採納，建立與實施資安計畫，惟如何舉證所建立之資安計畫或實施之資安措施，與法案所列之資安標準、框架，或是特定法令規範，具有實質上的一致性，仍不明確，將可能阻礙企業於訴訟上行使抗辯與主張責任豁免權。未來美國如何權衡產業穩健發展與民眾個資保障，仍有待持續觀察。 [1] Chapter 1354 - Ohio Revised Code, Ohio Laws, https://codes.ohio.gov/ohio-revised-code/chapter-1354 (last visited May 24, 2024). [2]Part 7 Cybersecurity Affirmative Defense Act, Utah StateLegislative, https://le.utah.gov/xcode/Title78B/Chapter4/78B-4-P7.html (last visited May 24, 2024). [3]Frederick Scholl, Connecticut’s New Breach Notification and Data Security Laws: Carrots and Sticks, Quinnipiac University, July,1,2021,https://www.qu.edu/quinnipiac-today/connecticuts-new-breach-notification-and-data-security-laws-2021-07-01/ (last visited May 24, 2024). [4]CSHB 473-Cybersecurity Incident Liability, The Florida Senate,https://www.flsenate.gov/Session/Bill/2024/473 (last visited Jun. 28, 2024). [5]資安中心（ The Center for Internet Security, CIS）為美國非營利組織，負責推動CIS Controls，針對實際發生的資安攻擊行為提供防禦建議，作為企業保護 IT 系統和資料時可參考之最佳實務作法。資料來源：About us, Center for Internet Security, https://www.cisecurity.org/about-us (last visited Jun. 6, 2024). [6]What is HITRUST?, Schneider Downs,https://schneiderdowns.com/cybersecurity/what-is-hitrust/ (last visited May 24, 2024). [7]Governor of Florida, Vote letter for House Bill 473(2024), https://www.flgov.com/wp-content/uploads/2024/06/Veto-Letter_HB-473.pdf (last visited Jun. 28, 2024). [8]2024 REGULAR SESSION ENROLLED Committee Substitute for House Bill 5338, WEST VIRGINIA LEGISLATURE,https://www.wvlegislature.gov/Bill_Status/bills_text.cfm?billdoc=hb5338%20sub%20enr.htm&yr=2024&sesstype=RS&i=5338 (last visited May 24, 2024). [9]NIST SP 800-76-2 Biometric Specifications for Personal Identity Verification, National Institute of Standards and Technology, https://csrc.nist.gov/pubs/sp/800/76/2/final (last visited May 24, 2024). [10]北美電力可靠性公司（North American Electric Reliability Corporation, NERC），為一家非營利機構，致力推動關鍵基礎設施保護相關標準，以強化北美大規模電力系統（亦即電網）的可靠性和安全性，資料來源：https://www.nerc.com/Pages/default.aspx (last visited May 24, 2024). [11]Governor of West Virginia, Enrolled Committee Substitute for House Bill 5338(2024),https://www.wvlegislature.gov/Bill_Text_HTML/2024_SESSIONS/RS/veto_messages/HB5338.pdf (last visited May 24, 2024).
美國國防部5G戰略因應5G通訊技術快速發展與關鍵應用逐漸普及之趨勢，美國國防部於2020年5月2日由部長批准「國防部5G戰略」（Department of Defense 5G Strategy，以下簡稱5G戰略）；同月發布之公開版（unclassified）5G戰略，為美國軍方第一份公開發布的5G戰略性指導文件，主要內容包含指出國防部面對5G帶來的挑戰、設定5G技術發展目標、擬定5G發展行動計畫（lines of effort）等，以確保美國在軍事與經濟上的優勢地位。 5G戰略指出，5G技術對於維持美國軍事與經濟優勢至關重要，為關鍵戰略性科技（critical strategic technology）。5G技術為產業與軍事帶來重大變革的契機，同時也帶來對資通安全的挑戰，特別是由於美國潛在的競爭對手國家，正試圖在美國的關鍵合作夥伴國家的5G市場占據主導地位，使得5G基礎建設供應鏈成為競爭對手利用有害元件、惡意軟體或非法存取等方式入侵美國與其合作夥伴的破口，最終將損害美國的國家安全與利益。 因此美國國防部將鼎力協助美國與其合作夥伴提升5G技術力、提高對5G的風險意識至國安層級、開發保護5G基礎設施與技術之措施。具體行動計畫包含：一、藉由大量的實驗場域驗證5G應用，推動技術發展；二、掌握5G資安威脅情報與威脅，評估、識別資安風險採取必要措施，並採取零信任（Zero Trust）反覆驗證之資安模式；三、積極加入5G技術相關標準訂定與規劃5G國防政策；四、吸引國際組織、國家與相關產業的合作夥伴，積極溝通協調以維持美國與合作夥伴間的共同利益，協助美國的盟友與合作夥伴識別5G風險。