標準必要專利法制發展及對應策略
本文為「經濟部產業技術司科技專案成果」
劉憶成
法律研究員 編譯整理
美國網際網路安全聯盟（Internet Security Alliance，ISA）日前公佈一份新的報告，期使歐巴馬政府之「網路空間政策檢討」（Cyberspace Policy Review）能更進一步的落實。 網路安全聯盟主席Larry Clinton指出：「ISA對歐巴馬政府的網路安全政策表示支持，而目前民間機構需要設計一套規範，去落實ISA與政府對於網路安全重要議題共通之協議。本次所提出的報告，就是為了要提供能解決此一關鍵問題的架構。」 此份報告之標題為「利用ISA之社會契約模型執行歐巴馬政府之網路安全策略」（Implementing the Obama Cyber Security Strategy via the ISA Social Contract Model），而此報告強調必須重視網路安全的經濟意義。 Clinton認為，一旦討論到網路安全議題，會發現所有的經濟因素都對攻擊者有利，攻擊者總是能以簡單、成本低廉之攻擊方式得到巨大的利益。相對地，防守者（網路使用者）卻往往要付出高昂的成本。需要防護的領域太廣，而投資的回收通常很有限。必須從經濟的角度去平衡考慮成本與回收，才能建立具實效性且持續穩固的網路安全系統。 此份報告包含下列事項之架構：1.在商業計劃層面，創設政府與民間機構的合作夥伴關係，以強化網路安全；2.提出關於網路安全的國際議題；3.維持全球IT產業供應鏈的安全；4.建立新式資訊分享範例。 上述架構均依循ISA之網路安全社會契約模型，此一模型是源自於20世紀早期美國政府為了提供民間企業電信與電力服務，所成功建立之夥伴關係。
美國商務部工業暨安全局公布「確保聯網車輛資通訊技術及服務供應鏈安全」法規預告.Pindent{text-indent: 2em;} .Noindent{margin-left: 2em;} .NoPindent{text-indent: 2em; margin-left: 2em;} .No2indent{margin-left: 3em;} .No2Pindent{text-indent: 2em; margin-left: 3em} .No3indent{margin-left: 4em;} .No3Pindent{text-indent: 2em; margin-left: 4em} 美國商務部工業暨安全局（Bureau of Industry and Security, BIS）於2024年9月23日公布「確保聯網車輛資通訊技術及服務供應鏈安全」（Securing the Information and Communications Technology and Services Supply Chain: Connected Vehicles）法規預告（Notice of Proposed Rulemaking, NPRM），旨在透過進口管制措施，保護美國聯網車供應鏈及使用安全，避免國家受到境外敵對勢力的威脅。 相較於BIS於2024年3月1日公布的法規制定預告（Advanced Notice of Proposed Rulemaking, ANPRM），NPRM明確指出受進口管制的國家為中國及俄國，並將聯網車輛資通訊技術及服務之定義，限縮於車載資通訊系統、自動駕駛系統及衛星或蜂巢式通訊系統，排除資訊洩漏風險較小的車載操作系統、駕駛輔助系統及電池管理系統。NPRM定義三種禁止交易型態：（1）禁止進口商將任何由中國或俄國擁有、控制或指揮的組織（下稱「中俄組織」）設計、開發、生產或供應（下稱「提供」）的車輛互聯系統（vehicle connectivity system, VCS）硬體進口至美國；（2）禁止聯網車製造商於美國進口或銷售含有中俄組織所提供的軟體之聯網整車；（3）禁止受中俄擁有、控制或指揮的製造商於美國銷售此類整車。 NPRM亦提出兩種例外授權的制度：在特定條件下，例如年產量少於1000輛車、每年行駛公共道路少於30天等，廠商無須事前通知BIS，即可進行交易，然而須保存相關合規證明文件；不符前述一般授權資格者，可申請特殊授權，根據國安風險進行個案審查。其審查重點包含外國干預、資料洩漏、遠端控制潛力等風險。此外，為提升供應鏈透明度並檢查合規性，BIS預計要求VCS硬體進口商及聯網車製造商，每年針對涉及外國利益的交易，提交符合性聲明，並附軟硬體物料清單（Bill of Materials, BOM）證明。BIS針對此規範是否有效且必要進行意見徵詢，值得我國持續關注。
2016年生物支付技術將可能取代傳統支付型態根據美國公共電視台在2016年1月6日的新聞，指出生物支付將可能成為新興支付工具。生物支付之定義為利用生物辨識(biometric)技術驗證個人生物特徵，諸如：指紋、虹膜等進行支付。採用生物支付技術，未來將無須使用信用卡或行動裝置，僅需要個人生物特徵之辨識即可完成交易。此轉變將使未來交易更加快速、便利，但同時，生物支付的安全性卻也不無疑義。 即便生物辨識屬於高層級的資訊安全保護機制，但水能載舟，亦能覆舟。生物辨識利用生物不可變之特性進行身分識別，涉及高度個人隱私，為妥善保護個人資訊安全，需訂立生物辨識相關規範加以管制，否則將衍生許多法律問題。 例如：在2015年6月，美國線上出版商Shutterfly公司被控訴違法蒐集個人資料。原告稱其並非Shutterfly公司之註冊使用者，也從未同意其生物辨識資訊被該公司蒐集，但其面紋(Face print)卻被上傳至該公司網站，並標註姓名，儲存在自動針對相片標記臉部辨識系統之資料庫。 依據BIPA針對生物辨識定義及蒐集規範： 1.第10條： 生物辨識之態樣，包含視網膜、虹膜掃描、指紋或是手部、臉部外觀之掃描，但不包括簽名、照片、用於科學檢測之人體樣本、頭髮顏色等。 2.第15條(a)： 規定公司蒐集個人生物特徵資訊應有相關規範供公眾查閱，並應提供生物辨識資訊之保管及銷毀日期及相關資訊。 3.第15條(b)(1)： 蒐集生物辨識資訊應告知當事人。 Shutterfly公司提出要求法院不受理之抗辯，主張BIPA規定之臉部外觀，其文意解釋應為物理上個人親自接受掃描所得之資訊，並非原告所主張以照片辨識之臉部外觀，但法院認為Shutterfly之主張並不合理，因此同意受理此案。 觀察該案可發現，儘管生物辨識提高資訊安全之保護，但相關法規範解釋仍待實務完備。另一方面，生物特徵資訊極易被他人蒐集，因此，如何建置蒐集個人辨識資訊及完善相關措施，也是推行生物支付措施所需突破的關口。
智慧財產風險管理與公司治理的匯流