美國衛生及公共服務部提出雲端服務適用健康保險可攜與責任法之相關指引
美國醫療產業使用境內或境外雲端服務（Cloud Services）急速成長，導致「健康保險可攜與責任法」（Health Insurance Portability and Accountability Act，以下簡稱HIPAA）規範下之「適用機構」（Covered Entities）與其「商業夥伴」（Business Associate），對於雲端服務業者如何適用HIPAA感到疑惑。因此，衛生及公共服務部民權辦公室（Department of Health and Human Services, Office for Civil Rights）於10月7日公布相關業者如何適用HIPAA之指引，以釐清爭議。
於該指引中，該部指出，雲端服務業者若替適用機構或是商業夥伴創造、接收、維護、傳送被HIPAA所保護之「資療資訊」（Protected Health Information），則該雲端業者就被視為HIPAA下規範之商業夥伴，原因在於該服務具有儲存與維護醫療資訊功能，非屬該法排除適用之「網路服務業者」（Internet Service Providers）資料傳輸服務類型。
該指引有幾大重點：首先，雲端服務業者如將該醫療資訊提供加密儲存服務，仍應盡到HIPAA中規範商業夥伴之責任。原因在於加密資料不足以保護HIPAA有關資訊安全章節所要求醫療資訊之「機密性、完整性和可用性」之相關規範。再者，雲端業者皆須與委託方簽署商業夥伴協議（Business Associate Agreements）。此外，使用雲端服務儲存資療資訊時，委託方皆能使用行動設備進入雲端儲存之醫療資料，但應建立合乎HIPPA所要求相關之安全措施。最後，HIPAA並未禁止將醫療資訊儲存至伺服器為於美國境外之雲端業者，但使用前應自行評估該資訊遭駭客攻擊之可能性。
- Dena Feldman, Department of Health and Human Services Issues Guidance on HIPAA and Cloud Providers, The National Law Review, Oct. 21, 2016,
- Gretchen A. Ramos, Health and Human Services Issues Guidance on HIPAA and Cloud Computing, The National Law Review, Nov. 3, 2016,
- Guidance on HIPAA & Cloud Computing, U.S. Department of Health & Human Services,
- 零售業個資安全宣導暨安全維護計畫規劃說明會
- 數位經濟時代的隱私保護與商機－CBPR跨境隱私規則體系解析
- 零售業個資安全宣導暨安全維護計畫說明會（高雄場）
- 零售業個資安全宣導暨安全維護計畫說明會（台中場）
- 【台北場1】通訊傳播事業個資法遵教育訓練
- 【台中場】通訊傳播事業個資法遵教育訓練
- 【新北場】通訊傳播事業個資法遵教育訓練
- 【高雄場】通訊傳播事業個資法遵教育訓練
- 【台北場2】通訊傳播事業個資法遵教育訓練
- 零售業個資法遵實務與資訊安全說明會
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 零售業個資法遵實務與資訊安全說明會（台中場）
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
陳仕偉
法律研究員 編譯整理
Dena Feldman, Department of Health and Human Services Issues Guidance on HIPAA and Cloud Providers, The National Law Review, Oct. 21, 2016, http://www.natlawreview.com/article/department-health-and-human-services-issues-guidance-hipaa-and-cloud-providers (last visited Nov.8, 2016)
Gretchen A. Ramos, Health and Human Services Issues Guidance on HIPAA and Cloud Computing, The National Law Review, Nov. 3, 2016, http://www.natlawreview.com/article/health-and-human-services-issues-guidance-hipaa-and-cloud-computing (last visited Nov.8, 2016)
Guidance on HIPAA & Cloud Computing, U.S. Department of Health & Human Services, http://www.hhs.gov/hipaa/for-professionals/special-topics/cloud-computing/index.html (last visited Nov. 8, 2016)
美國網路安全暨基礎設施安全局（CISA）於2025年8月13日發布該機關與美國、澳洲、加拿大、德國、荷蘭、紐西蘭等國共計八個國安資安相關機構，合作訂定之《工控資安基礎：適用於擁有者與營運者的資產清冊指引》文件，旨在針對易受惡意網路行為攻擊且提供重要服務的能源、水務、製造業及其他領域關鍵基礎設施營運技術（Operational Technology，OT）系統，協助其資產擁有者與營運者建置與維護完整的OT資產清冊，並輔以OT分類體系（Taxonomy）。 OT資產清冊範圍涵蓋組織OT系統與相關軟、硬體，該指引主要說明OT資產擁有者與營運者建置與維護OT資產清冊的流程，包含： 1. 定義清冊範疇與目標（Define Scope and Objectives） 2. 辨識資產及蒐集屬性資料（Identify Assets and Collect Attributes） 3. 建立分類體系（Create a Taxonomy to Categorize Assets） 4. 管理與蒐集資料（Manage and Collect Data） 5. 實現資產全生命週期管理（Implement Life Cycle Management）； 此外透過OT分類體系可幫助區分優先序、管理所有OT資產，有助於風險識別、漏洞管理，以及資安事件應變；有關如何建立OT分類體系，該指引亦提供流程建議如： 1. 根據功能及關鍵性執行資產分類（Classify Assets） 2. 對資產功能類型與其通訊路徑進行分類（Categorize (Organize) Assets and their Communications Pathways） 3. 建構體系架構與互動關係（Organize Structure and Relationships） 4. 驗證資產清冊資料準確度與圖像化（Validate and Visualize） 5. 定期檢查並更新（Periodically Review and Update） 該指引認為，建置OT資產清冊並輔以OT分類體系對期望建立現代化防禦架構的擁有者與營運者而言至關重要。透過上述作為，資產擁有者與營運者得以識別其環境中應加以防護及管控的關鍵資產，並據以調整防禦架構，建構相應的資安防禦措施，以降低資安事件對組織任務（Mission）與服務持續性（Service Continuity）的風險與影響。該指引亦強調關鍵基礎設施之OT與IT（資訊技術）部門間之跨部門協作，並鼓勵各產業組織參考指引步驟落實OT資產盤點與分類，以提升整體關鍵基礎設施資安韌性。
德國大學研發成果商業化模式初探— 以拜揚專利聯盟為例德國大學研發成果商業化模式初探— 以拜揚專利聯盟為例 資訊工業策進會科技法律研究所 法律研究員 余承穎 2018年07月30日 壹、背景 「研發成果商業化」向來為我國政府關注議題。自2000年起，我國積極推動技轉中心設立，並在2002年後，宣導技轉業務推動以績效為導向，同時進行相關配套之獎助[1]。科技基本法下放政府資助之研究計畫成果下放予計畫執行單位，並允許執行單位可自行運用其研發成果將技術知識擴散於業界，且也開始有技轉金的收入，只是真正能技轉的技術件數並不多，還需要強化技轉中心的功能，以利未來更能聚焦學校的研發能量並有效的商業化。 近年來，德國聯邦政府在高等教育產學合作上，提出《知識創造市場》（Knowledge Creates Markets）[2]之報告，並提出四個行動方案，主要支持知識與技術的移轉在國家政策中給予最高的優先性。也因政府的支持下，德國聯邦政府斥資46.2百萬歐元建立專利利用局 (Patentverwertungsagentur，以下簡稱PVA)，截至2016年止已成立29間PVA[3]，每一間PVA對於區域性大學進行商業化的服務。 本篇就以德國各區的PVA中，技轉成績最好的拜揚專利聯盟(BayPat)進行介紹，並了解德國大學在國家政策支持下的專利聯盟運作機制。 貳、德國大學商業化困境及解決方案 西元2000年初，德國大學和我國一樣面臨研發成果無法商業化的問題，其主因可分為兩部分來說[4]： 大學教授以學術發表論文為主要目標且大學也擁有很多的研發成果，卻無法轉化成專利或推廣至市場上運用。 德國大學很早就開始推產學合作和技術移轉，由於技轉人員沒經驗，無法強化技轉人員的職能，導致校內研發成果無法集中管理而妥善的運用。 基於德國聯邦政府積極想讓高等教育的研發成果能夠商業化，並可以和產業建立溝通橋樑，因此德國聯邦政府推出了《知識創造市場》四個行動方案，其中一個行動方案Exploitation Offensive(市場開發)[5]的目標是希望將科學研發成果快速推至市場，其所採取的策略主要包含：建立專業的專利利用開發之基礎建設和大學教授特權之改革。 依據此策略目標，聯邦政府首先於1998年修訂高等學校框架法(Hochschulrahmengesetz，簡稱HRG) [6]，擴大大學 (Hochschule)的任務與增加大學促進技術移轉之規定，但此修法的成效不佳，未見各大學技轉中心的研發成果運用有逐漸轉好；另一方面《知識創造市場》報告也指出因大學教授特權的規定，大學教授研發成果屬於自由發明，不須告知大學，則可自由運用，除大學教授接受大學資助外，原則上大學無法向教授請求研發成果。因此，教授特權使得大學無法從研發成果運用中受到利益，而許多教授發明也都沒有申請專利，這確實影響成果運用之推廣。因此聯邦政府於議會修訂受雇人發明(Arbeitnehmererfindungsgesetz, cf. ArbEG, 2002) [7]第42條規定，其主要能落實前述的策略目標之一，主要廢止「教授特權」的規定，原本屬於教授可自由運用之研發成果歸屬於大學，讓大學教授享有研發成果商業化所得淨利之30%為收益[8]，這樣的改革可讓大學教授願意投入研究和申請專利，進而達到商業化的發展。 行動方案Exploitation Offensive(市場開發)的另一個策略目標就是其能建造一個有效的專利利用基本設施。因此聯邦教育與研究部（Bundesministerterium für Bildung und Forschung，簡稱BMBF）挹注大筆的經費以支持改革大學的結構措施。前期依據高等學校框架法(HRG)的改革，而大學紛紛設立技術移轉中心，但專利申請件數和商業化的比率沒有因此提高。 因此2002年起，聯邦政府以「商業利用創業保護」(Schutz für Ideen für die gewerbliche Nutzung, 簡稱SIGNO)計畫中以補助對象為大學的分項計畫延伸出「SIGNO高等學校-專利開發資助的計畫」建設專利利用的專業機構。其計畫資助重點在於對高等學校、企業以及發明者的創新發明構想提供智慧財產等法律保障與經濟利用，進而達到技術移轉[9]，也因如此，造成德國各邦設立獨立的PVA[10]，針對區域性大學進行智財服務和商業化規劃。 自2008年， BMBF將部分技轉業務交由經濟及科技部(Bundesministerium für Wirtschaft und Energie，簡稱BMWi)負責，原則上還是以「SIGNO高等學校-專利開發資助的計畫」持續補助成立PVA，針對各邦的PVA之補助比率由100%，逐漸降至50%，2011年起更不超過40%，BMWi的補助從全額補助逐年遞減來觀看，可促使各邦的PVA能集中研發成果的能量，強化與產業界的媒合進而達到合作夥伴或新創公司，進而達到自足營運，所得的收益可以自給自足。 藉由政府資助成立PVA，截至2016年左右已有29 家PVA成立[11]，而其中拜揚專利聯盟(BayPat)內的三間夥伴大學連續兩年被評鑑(Technical University of Munich, Friedrich-Alexander University of Erlangen-Nuremberg , Ludwig-Maximilians-University of Munich )是全歐洲最具創新性的學校[12]，這也代表拜揚專利聯盟的運作機制是有目共睹的，本文以下將提供進一步介紹。 参、拜揚專利聯盟的發展 德國高等教育框架法修正後，德國聯邦政府亦交由各邦制定高等教育法規。拜揚邦政府於2007年修正高等教育法(Bayerisches Hochschulgesetz, BayHSchG)，增加學校運作的自由[13]。拜揚邦於2000年制定創新及知識經濟政策，並策劃新創資助、協助技術移轉、及創業孵化器空間等技轉系列政策；其中即包含拜揚專利聯盟(BayPat)。 拜揚專利聯盟(BayPat)源自拜揚邦政府技轉計畫中的拜揚大專院校專利計畫(Die Bayerische HochschulPatentinitiative)[14]，也是由拜揚邦政府主導拜揚邦內大學進行技術移轉服務的完整機構，即專利利用局(PVA)。整體計畫是由拜揚邦政府與當時德國三大科研機構之一的弗勞恩霍夫爾協會(Fraunhofer-Gesellschaft zur Forderung der angewandten Forschung e.V.)[15]協助邦內大學進行技術移轉，一開始參加學校有8所，之後陸續累積至33所大學及科技大學[16]。 (一)弗勞恩霍夫爾協會輔導時期 拜揚專利聯盟一開始是由弗勞恩霍夫爾協會的慕尼黑技術移轉中心(Die Fraunhofer-Patentstellefür die DeutscheForschung，PST)[17]撥出10名人員擔任拜揚大專院校專利計畫的技術經理，各校內建1~2名校內技轉人員窗口，PST處理弗勞恩霍夫爾協會的技轉案件，累積相當的經驗，所以他們培育拜揚專利聯盟的技轉人員，以強化大學技術移轉人才的職能。以下分別說明聯盟在專利申請以及專利技術商業化流程的運轉機制： (1)專利申請：發明人提出技術揭露，校內技轉人員初步判斷可專利性。隨後校內技轉人員將技術揭露文件提供給拜揚聯盟，經聯盟評估後給予專利佈局策略建議。後續專利申請流程(包含答辯、費用)都是由專利聯盟主導。 (2)專利技術商業化的流程：提出專利申請之後，聯盟開始進行技術行銷推廣以及後續授權合約草擬、談判和最後的收益分潤等事務。 值得一提的是，德國修訂受雇人發明法第42條後，專利所有權歸屬於大學，雖然大學專利申請的所有費用都是由拜揚專利聯盟所負擔，但專利的所有權人還是隸屬於大學。 至於專利商業化所得的收益分配比率，拜揚專利聯盟分得25%，大學分得52.5%，大學教授分得22.5%。拜揚專利聯盟執行長佛茲堡大學校長Axel Haase曾表示，雖然2002年修法後教授僅能保障收益分配，但透過集中資源讓教授最終獲得的利潤比當初教授完全擁有成果時更多[18]。 (二)拜揚專利聯盟公司之成立 因為拜揚專利聯盟內部逐漸累積技術移轉經驗，2007年弗勞恩霍夫爾協會退出營運，由拜揚邦內所有33所大專院校(拜揚大學及應用科技大學)共同創立拜揚專利聯盟公司[19]，而拜揚專利聯盟公司仍沿襲當初弗勞恩霍夫爾協會所建立的專利聯盟制度[20]，仍以技術移轉及商業化為主要任務。 自拜揚專利聯盟在大學成立公司之後，截至2015年，聯盟公司累積2263件技術揭露評估，559件專利申請，連結1800位潛在的被授權人，締結共223份合約，並累積收益達6.7億歐元（約240億台幣）[21]。 肆、結論 綜上所述，德國聯邦政府為強化大學產學合作及技術移轉能商業化，促使產業推動，政府將此議題列入國家重要政策並積極推動，從高等教育框架法鬆綁，受雇人發明法修正以及德國各邦建立PVA等，將原來大學技轉中心的職能藉由PVA而強化，協助邦內大學專利申請、佈局、尋找技轉對象或是以新創公司進行研發成果商業化，這樣一站式的服務，將周邊大學的技術集中整合，提供產業更多方面的技術資訊[22]。 我國目前各大學技轉中心皆獨立處理各大學研發成果商業化作業，可學習德國模式進行區域型技轉聯盟，以聯盟的方式來進行專利佈局以及商業化推廣，以達到規模經濟，並建立明確的商業化推廣模式，確定每項研發成果商業化皆能得到有效率的行銷推廣。 [1] 余曉雯、鍾宜興，＜德國聯邦政府高等教育產學合作政策之探究＞，《教育研究及刊》，第61輯第3期，頁47-79（2015）。 [2] BMBF/BMWi, Knowledge Creates Markets Action Scheme of the German Government (2001) [3] Czarnitzki, Dirk and Doherr, Thorsten and Schliessler, Paula and Toole, Andrew A., Knowledge Creates Markets: The Influence of Entrepreneurial Support and Patent Rights on Academic Entrepreneurship, European Economic Review, 86, 131–146 (2016) [4] 同前註2 [5] 同前註2。 [6] 1999年德國修正《高等學校框架法》(Hochschulrahmengesetz)第58條第1項：「高等學校是公法社團法人，同時也是國家設施，或以其他法律形式設立……」，在修正文中增加了「或以其他法律形式設立」之規定，賦予各邦具有較大的組織法形成自由，得以其他法律形式設置大學，以此開始鬆動了大學之法律地位，且國家開始從大學的具體管制中抽離出來。 [7] ArbEG (Employee Invention Act) 2002, Gesetz zur Änderung des Arbeitnehmererfindungsgesetzes. Berlin: Bundesgesetzblatt - Bundesministerium der Justiz, January 24th 2002. [8] 陳麗娟，＜從德國受雇人發明法第42條論國立大學研究人員研發成果歸屬＞，《科技法律透析》，第20卷第1期，頁48-61（2008） [9] 同前註1。 [10] Weyand, Haase, Der Innovationstransfer an Hochschulen nach Novellierung des Hochschulerfindungsrechts – eine Zwischenbilanz in rechtspolitischer Absicht, GRUR, S.28, 2007 [11] Czarnitzki, Dirk and Doherr, Thorsten and Schliessler, Paula and Toole, Andrew A., Knowledge Creates Markets: The Influence of Entrepreneurial Support and Patent Rights on Academic Entrepreneurship, European Economic Review, 86, 131–146 (2016) [12] 〈THREE BAYPAT PARTNER UNIVERSITIES AMONG THE TOP 12 MOST INNOVATIVEUNIVERSITIES IN EUROPE〉, Bayerische Patentallianz GmbH https://www.baypat.de/newsroom-de/three-baypat-partner-universities-among-the-top-12-most-innovative-universities-in-europe (最後瀏覽日：2018/07/04). [13] 由於德國大學具有公法上的人格權，學校可以在其權利範圍內創設公司，另一方面，拜揚邦政府引入基金董會制度，讓大學在此制度之下，可以增加學校的決策效率。 [14] 〈Presentation of the Bayern Patent Initiative - Promotion of Patenting and Exploitation of Inventionsby Bavarian Universities 〉, World Intellectual Property Organization，http://www.wipo.int/edocs/mdocs/innovation/en/wipo_inv_mty_02/wipo_inv_mty_02_10.pdf（最後瀏覽日：2018/06/11） [15] 〈60 years of fraunhofer-Gesellschaft〉, FRAUNHOFER GESELLSCHAFThttps://www.germaninnovation.org/shared/content/documents/60YearsofFraunhoferGesellschaft.pdf (最後瀏覽日：2018/06/10). [16] 〈Volljurist (m/w) Vertragsrecht / gewerblicher Rechtsschutz〉, Bayerische Patentallianz GmbHhttps://www.baypat.de/newsroom-de/volljurist-m-w-vertragsrecht-gewerblicher-rechtsschutz-in-teilzeit-bis-20-stunden-woche (最後瀏覽日：2018/07/04). [17] 佛勞恩霍夫研究院技轉中心(Fraunhofer-Patentstelle)，資訊工業策進會科技法律研究所，https://stli.iii.org.tw/article-detail.aspx?no=67&tp=4&i=65&d=194 (最後瀏覽日：2018/06/10). [18] Axel Haase, 30 Prozent besser als 100, ERFINDUNGEN AN HOCHSCHULEN, 7(8), 461 (2008). [19] 同前註16 [20] 值得注意的是，雖然統稱為拜揚專利聯盟(BayPat)，拜揚專利聯盟在此階段時仍就以政府計畫的形式存在，由各校技轉人員分別與德國發明專利辦公室內歸屬該計畫的人員合作，未有正式的法人格基礎 [21] 同前註14 [22] 跨領域科技管理研習班(MMOT)，＜大學研發成果歸屬對產學合作之影響-以德國制度為觀察對象＞，跨領域科技管理與智財運用國際人才培訓計畫-103年海外培訓成果發表會，頁 1-63( 103 )
中國人行等十部委發布《關於促進互聯網金融健康發展的指導意見》為鼓勵金融創新，促進互聯網金融健康發展，明確監管責任，規範市場秩序，中國人民銀行、工業和信息化部、公安部、財政部、國家工商總局、國務院法制辦、中國銀行業監督管理委員會、中國證券監督管理委員會、中國保險監督管理委員會、國家互聯網信息辦公室，在經中國共產黨中央、國務院同意後，於7月18日聯合發布了《關於促進互聯網金融健康發展的指導意見》。(下稱《指導意見》) 該《指導意見》首次讓中國的互聯網金融正式從「野蠻生長」、「監管真空」，走向了「分類監管」和「有法可依」，按照《指導意見》，未來在監管職責劃分上，人民銀行將負責互聯網支付業務的監督管理；銀監會負責包括個體網路借貸和網路小額貸款在內的網路借貸以及互聯網信託和互聯網消費金融的監督管理；證監會負責股權式群眾募資和互聯網基金銷售的監督管理；保監會負責互聯網保險的監督管理。 同時，《指導意見》提出了一系列鼓勵創新、支援互聯網金融穩步發展的政策措施，積極鼓勵互聯網金融平臺、產品和服務創新，鼓勵從業機構相互合作，拓寬從業機構融資管道，堅持簡政放權和落實、完善財稅政策，推動信用基礎設施建設和配套服務體系建設。 值得注意的是，近年高速發展的借貸式群眾募資、股權式群眾募資以及網路支付等目前在中國互聯網金融領域主要的行業型態，在《指導意見》中形成框架性政策，上至監管原則，下至第三方存管等具體事項上，均有所涉及。由於《指導意見》是經由中共黨中央、國務院同意，再經中國人民銀行等十部委所發布，也說明了該意見的出臺是在中國共產黨中央和國務院的認可下制訂，是故若政策未出現重大轉向，該《指導意見》的規定待相關機關部門細化後，未來可預見將以法律、或行政法律等形式進一步頒布落實。
蘋果申請新專利，使點餐不再需要大排長龍蘋果電腦設計一項系統，能使個人利用數位裝置來進行點餐，未來將不用在咖啡店或是速食店排隊等候也可訂到美味餐點。 蘋果公司就此項技術已經向美國商標專利局申請專利，倘若此項專利變成產品，那蘋果公司的產品就不再只限於電腦、iPod、線上音樂收費的市場。不僅如此，蘋果將變成餐廳、咖啡店甚至是零售商與顧客間的媒介。蘋果在2007年12月20日就此項技術申請專利，在申請案中，說明人們可以利用這項系統對餐廳進行點餐，而餐廳也能利用此項系統接收訊息。未來餐廳運用此項系統後，消費者就可以藉由數位PDA、手機來進行點餐，點餐者只須在線上排隊，無須為了他們喜愛的漢堡、飲料在店裡大排長龍。 此外，此項技術不僅僅是點咖啡的工具，蘋果在去年九月宣佈與星巴克簽約，所提供的技術還包括下載音樂，使用者將可以在喝咖啡時利用i-phone下載音樂並播放，消費者可以一邊享用咖啡，一邊聽喜愛的音樂。