美國專利商標局結束專利申請審查後試行程序
美國專利商標局(United States Patent and Trademark Office, USPTO)於2017年1月12日宣布其不再依其審查後試行程序(Post-Prosecution Pilot Program, P3 Program)受理新的案件。該程序係用以使發明人在專利申請程序受到駁回以後得提出更多回饋意見，以期減少上訴至專利審判暨上訴委員會(Patent Trial and Appeal Board, PTAB)之數量。
該程序係在2016年7月11日公布施行，在該程序中，申請人在最終駁回做成後兩個月內得請求召開聽證；申請人得對審查員進行20分鐘內之口頭簡報。簡報進行完畢以後，申請人即被排除於會議之外，審查委員之裁決將會以書面之形式通知申請人。
在P3程序創設以前，專利申請被駁回的發明人得採取上訴前先期審查會議試行計畫(Pre-Appeal Brief Conference Pilot Program)或是最終審議後試行程序2.0(After Final Consideration Pilot 2.0, AFCP2.0)的方式提出明顯錯誤的爭執或是申請內容的修改，但這兩種申訴方式並無法讓申請人取得直接向專利審查員進行簡報的機會。
在2016年7月11日公布本項試行程序時，USPTO即宣布本項計畫試行時間直到2017年1月12日，或是USPTO受理1600位合格申請為止，在本計畫按照預定時程結束後，USPTO表示將會依公眾回饋意見以及試行程序的結果來決定未來是否會施行類似於本計畫之措施。
本文為「經濟部產業技術司科技專案成果」
李祖劭
法律研究員 編譯整理
Post-Prosecution Pilot, United States Patent and Trademark Office, https://www.uspto.gov/patent/initiatives/post-prosecution-pilot (last visited Feb.2, 2017).
Post-Prosecution Pilot FAQs, United States Patent and Trademark Office, https://www.uspto.gov/patent/initiatives/post-prosecution-pilot-faqs (last visited Feb.2, 2017).
初探物聯網的資通安全與法制政策趨勢 資訊工業策進會科技法律研究所 2021年03月25日 壹、事件摘要 在5G網路技術下，物聯網（Internet of Things, IoT）的智慧應用正逐步滲入各場域，如智慧家庭、車聯網、智慧工廠及智慧醫療等。惟傳統的資安防護已不足以因應萬物聯網的技術發展，需要擴大供應鏈安全，以避免成為駭客的突破口[1]。自2019年5月「布拉格提案[2]」（Prague Proposal）提出後，美國、歐盟皆有相關法制政策，試圖建立各類資通訊設備、系統與服務之安全要求，以強化物聯網及相關供應鏈之資安防護。是以，本文觀測近年來美國及歐盟主要的物聯網安全法制政策，以供我國借鏡。 貳、重點說明 一、美國物聯網安全法制政策 （一）核心網路與機敏性設備之高度管制 1.潔淨網路計畫 基於資訊安全及民眾隱私之考量，美國政府於2020年4月提出「5G潔淨路徑倡議[3]」（5G Clean Path initiative），並區分成五大構面，包括：潔淨電信（Clean Carrier）、潔淨商店（Clean Store）、潔淨APPs（Clean Apps）、潔淨雲（Clean Cloud）及潔淨電纜（Clean Cable）；上述構面涵蓋之業者只可與受信賴的供應鏈合作，其可信賴的標準包括：設備供應商設籍國的政治與治理、設備供應商之商業行為、（高）風險供應商網路安全風險緩和標準，以及提升供應商信賴度之政府作為[4]。 2.政府部門之物聯網安全 美國於2020年12月通過《物聯網網路安全法[5]》（IoT Cybersecurity Improvement Act of 2020），旨在提升聯邦政府購買和使用物聯網設備的安全性要求，進而鼓勵供應商從設計上導入安全防範意識。本法施行後，美國聯邦政府機關僅能採購和使用符合最低安全標準的設備，將間接影響欲承接政府物聯網訂單之民間業者及產業標準[6]。 另外，美國國防部亦推行「網路安全成熟度模型認證[7]」（Cybersecurity Maturity Model Certification, CMMC），用以確保國防工程之承包商具備適當的資訊安全水平，確保政府敏感文件（未達機密性標準）受到妥適保護。透過強制性認證，以查核民間承包商是否擁有適當的網路安全控制措施，消除供應鏈中的網路漏洞，保護承包商所持有的敏感資訊。 （二）物聯網安全標準與驗證 有鑑於產業界亟需物聯網產品之安全標準供參考，美國國家標準暨技術研究院（National Institute of Standards and Technology, NIST）提出「物聯網網路安全計畫」，並提出各項標準指南，如IR 8228：管理物聯網資安及隱私風險、IR 8259（草案）：確保物聯網裝置之核心資安基準等。 此外，美國參議院民主黨議員Ed Markey亦曾提出「網路盾」草案[8]（Cyber Shield Act of 2019），欲建立美國物聯網設備驗證標章（又稱網路盾標章），作為物聯網產品之自願性驗證標章，表彰該產品符合特定產業之資訊安全與資料保護標準。 二、歐盟物聯網安全法制政策 （一）核心網路安全建議與風險評估 歐盟執委會於2019年3月26日提出「5G網路資通安全建議[9] 」，認為各會員國應評鑑5G網路資通安全之潛在風險，並採取必要安全措施。又在嗣後提出之「5G網路安全整合風險評估報告[10]」中提及，5G網路的技術漏洞可能來自軟體、硬體或安全流程中的潛在缺陷所導致。雖然現行3G、4G的基礎架構仍有許多漏洞，並非5G網路所特有，但隨著技術的複雜性提升、以及經濟及社會對於網路之依賴日益加深，必須特別關注。同時，對供應商的依賴，可能會擴大攻擊表面，也讓個別供應商風險評估變得特別重要，包含供應商與第三國政府關係密切、供應商之產品製造可能會受到第三國政府施壓。 是故，各會員國應加強對電信營運商及其供應鏈的安全要求，包括評估供應商的背景、管控高風險供應商的裝置、減少對單一供應商之依賴性（多元化分散風險）等。其次，機敏性基礎設施禁止高風險供應商的參與。 （二）資通安全驗證制度 歐盟2019年6月27日生效之《網路安全法[11]》（Cybersecurity Act），責成歐盟網路與資訊安全局（European Union Agency for Cybersecurity, ENISA）協助建立資通訊產品、服務或流程之資通安全驗證制度，確保資通訊產品、服務或流程，符合對應的安全要求事項，包含：具備一定的安全功能，且經評估能減少資通安全事件及網路攻擊風險。原則上，取得資安驗證之產品、服務及流程可通用於歐盟各會員國，將有助於供應商跨境營運，同時能協助消費者識別產品或服務的安全性。目前此驗證制度為自願性，即供應商可以自行決定是否對將其產品送交驗證。 參、事件評析 我國在「資安即國安」之大架構下，行政院資通安全處於2020年底提出之國家資通安全發展方案（110年至113年）草案[12]，除了持續強化國家資安防禦外，對於物聯網應用安全亦多有關注，其間，策略四針對物聯網應用之安全，將輔導企業強化數位轉型之資安防護能量，並強化供應鏈安全管理，包括委外供應鏈風險管理及資通訊晶片產品安全性。 若進一步參考美國與歐盟的作法，我國後續法制政策，或可區分兩大性質主體，採取不同管制密度，一主體為受資安法規管等高度資安需求對象，包括公務機關及八大領域關鍵基礎設施之業者與其供應鏈，其必須遵守既有資安法課予之高規格的安全標準，未來宜完善資通設備使用規範，包括：明確設備禁用之法規（黑名單）、高風險設備緩解與准用機制（白名單）。 另一主體則為非資安法管制對象，亦即一般性產品及服務，目前可採軟性方式督促業者及消費者對於資通設備安全的重視，是以法制政策推行重點包括：發展一般性產品及服務的自我驗證、推動建構跨業安全標準與稽核制度，以及鼓勵聯網設備進行資安驗證與宣告。 [1]經濟部工業局，〈物聯網資安三部曲：資安團隊+設備安全+供應鏈安全〉，2020/08/31，https://www.acw.org.tw/News/Detail.aspx?id=1149 （最後瀏覽日：2020/12/06）。 [2]2019年5月3日全球32個國家的政府官員包括歐盟、北大西洋公約組織 （North Atlantic Treaty Organization, NATO）的代表，出席由捷克主辦的布拉格5G 安全會議 （Prague 5G Security Conference），商討對5G通訊供應安全問題。本會議結論，即「布拉格提案」，建構出網路安全框架，強調5G資安並非僅是技術議題，而包含技術性與非技術性之風險，國家應確保整體性資安並落實資安風險評估等，而其中最關鍵者，為確保5G基礎建設的供應鏈安全。是以，具體施行應從政策、技術、經濟、安全性、隱私及韌性（Security, Privacy, and Resilience）之四大構面著手。Available at GOVERNMENT OF THE CZECH REPUBLIC, The Prague Proposals, https://www.vlada.cz/en/media-centrum/aktualne/prague-5g-security-conference-announced-series-of-recommendations-the-prague-proposals-173422/ (last visited Jan. 22, 2021). [3]The Clean Network, U.S Department of State, https://2017-2021.state.gov/the-clean-network/index.html (last visited on Apr. 09, 2021)；The Tide Is Turning Toward Trusted 5G Vendors, U.S Department of State, Jun. 24, 2020, https://2017-2021.state.gov/the-tide-is-turning-toward-trusted-5g-vendors/index.html (last visited Apr. 09, 2021). [4]CSIS Working Group on Trust and Security in 5G Networks, Criteria for Security and Trust in Telecommunications Networks and Services (2020), https://csis-website-prod.s3.amazonaws.com/s3fs-public/publication/200511_Lewis_5G_v3.pdf (last visited Nov. 09, 2020). [5]H.R. 1668: IoT Cybersecurity Improvement Act of 2020, https://www.govtrack.us/congress/bills/116/hr1668 (last visited Mar. 14, 2021). [6]孫敏超，〈美國於2020年12月4日正式施行聯邦《物聯網網路安全法》〉，2020/12，https://stli.iii.org.tw/article-detail.aspx?no=64&tp=1&d=8583 （最後瀏覽日：2021/02/19）。 [7]U.S. DEPARTMENT OF DEFENSE, Cybersecurity Maturity Model Certification, https://www.acq.osd.mil/cmmc/draft.html (last visited Nov. 09, 2020). [8]H.R.4792 - Cyber Shield Act of 2019, CONGRESS.GOV, https://www.congress.gov/bill/116th-congress/house-bill/4792/text (last visited Feb. 19, 2021). [9]COMMISSION RECOMMENDATION Cybersecurity of 5G networks, Mar. 26, 2019, https://eur-lex.europa.eu/legal-content/EN/TXT/PDF/?uri=CELEX:32019H0534&from=GA (last visited Feb. 18, 2021). [10]European Commission, Member States publish a report on EU coordinated risk assessment of 5G networks security, Oct. 09, 2019, https://ec.europa.eu/commission/presscorner/detail/en/IP_19_6049 (last visited Feb. 18, 2021). [11]Regulation (EU) 2019/881 of the European Parliament and of the Council of 17 April 2019 on ENISA and on Information and Communications Technology Cybersecurity Certification and Repealing Regulation (EU) No 526/2013 (Cybersecurity Act), Council Regulation 2019/881, 2019 O.J. (L151) 15. [12]行政院資通安全處，〈國家資通安全發展方案（110年至113年）草案〉，2020/12，https://download.nccst.nat.gov.tw/attachfilehandout/%E8%AD%B0%E9%A1%8C%E4%BA%8C%EF%BC%9A%E7%AC%AC%E5%85%AD%E6%9C%9F%E5%9C%8B%E5%AE%B6%E8%B3%87%E9%80%9A%E5%AE%89%E5%85%A8%E7%99%BC%E5%B1%95%E6%96%B9%E6%A1%88(%E8%8D%89%E6%A1%88)V3.0_1091128.pdf （最後瀏覽日：2021/04/09）。
太空經濟浪潮下的太空製造零組件出口策略太空經濟浪潮下的太空製造零組件出口策略 資訊工業策進會科技法律研究所 2025年05月06日 2025年上半，隨太空研發實戰活動開跑，新年度的太空供應鏈整備工作及人培活動承接過往成果，開始積極推動[1]。隨近年各國搶進太空經濟領域，我國政府亦善用台灣現有晶片元件技術優勢及民間製造業能量，協助我國太空製造業及衛星射頻零組件製造廠商參進國際太空產業供應鏈，期許創造出口順差並提升台灣的國際經濟地位。惟與其他傳統產業相較，太空產業高速發展之時間尚短，尚未形成完善的國際貿易網絡及相關協定，且所屬市場受各國技術及進出口法制整備情況所限，推動相關產品進出口時，仍有眾多議題待處理和釐清。 壹、推動太空射頻零組件出口策略 我國太空製造業者、衛星射頻零組件製造廠商於晶片元件領域具有明顯技術優勢。近年來，我國業者為搶占國際市場，積極發展與重要衛星營運商、各國業者間之貿易關係。然目前各國對於射頻器材進口，多設有審驗管控及品項限制規定，使我國衛星射頻零組件製造廠商於出口、貿易過程中，負擔繁重程序成本。 前揭情況下，政府若期許協助我國廠商將產品輸出他國，或協助我國廠商切入各大衛星營運商供應鏈，透過國際協定、約定及類似貿易機制，降低我國廠商將產品輸出他國之驗測、程序成本，應為第一要務。而電信設備互認協議（Mutual Recognition Agreement）即為目前國際間，降低射頻器材進出口驗測、程序成本之重要協議之一。 一、一般射頻器材進口及審驗機制 我國電信管制射頻器材依據對電波秩序之影響程度，區分為第一級、第二級。第一級包含公眾電信網路設置使用之無線發射或收發設備、供專用電信網路設置使用之無線發射或收發設備等四項，第二級則包含無線電信終端設備、有線電話無線主副機、天線直徑三公尺以下之固定衛星地球電臺、行動衛星地球電臺等八項。依據不同層級，進行進口核准證申請時，應備妥不同文件。惟無論為第一級、第二級電信管制射頻器材，進口我國後皆須進行測試、審驗(認證)。具體流程如圖一。[2] 圖一 電信管制射頻器材測試審驗流程 資料來源:詹中耀，〈淺談電信管制射頻器材審驗及後市場管理〉，《NCC NEWS》，第19卷第1期，頁2-3（2025）。 通常情況下，預估於我國銷售之電信射頻設備，測試、審驗(認證)程序多於我國進行。此慣例亦常見於各國廠商進出口業務，以確保設備符合進口國或銷售國法規要求。惟於廠商而言，於他國推進繁複測試、審驗(認證)程序，所需耗費之倉儲、物流、人力、行政成本高昂。此情況雖有助於電信射頻設備安全與市場管理，惟不利於貿易效率。為調適前揭有礙貿易之困境，眾多國家開始積極促進電信設備互認協議（Mutual Recognition Agreement）關係之建構。 二、電信設備互認協議（Mutual Recognition Agreement）運作機制 1998年亞太經濟合作會議（Asia-Pacific Economic Cooperation, APEC）旗下電信及資訊工作小組通過電信設備合格互認協議（The APEC-TEL Mutual Recognition Arrangement, APEC TEL MRA），並於1999年正式實施。該協議主要目標在於簡化APEC成員國進行電信設備貿易時的測試和核准流程，降低貿易壁壘及市場進入障礙，範圍囊括所有受電信法規規範的設備，包含應用於電信功能的有線與無線設備、地面與衛星設備等。[3] 電信設備互認協議的實施方式，是由各協議簽署國自願約定。由約定國業務主管機關，提出電信設備合格測試實驗室或認證機構名單，並經他方約定國認可。經認可後，若電信設備出口至他方約定國前，已在本國受認可實驗室測試或認證機構認證，出口時，即無需在他方約定國複行測試或認證程序。[4] 考量各國測試、認證機構技術與標準之差異，並因應各國貿易政策限制，目前電信設備互認協議下之相互承認模式區分為二類型。其一是測試結果之相互承認，意即二國有互相認可之測試實驗室，約定互相承認測試報告。電信設備自一國出口至另一國時，若已在出口國受認可實驗室進行測試，設備輸入時，即可直接進行認證程序，不必再行測試。[5] 圖二 Phase I of the MRA 資料來源:Asia-Pacific Economic Cooperation Telecommunications & Information Working Group [APEC TELWG], A Guide for Industry to the APEC TEL Mutual Recognition Arrangement (3rd Edition), 1, 6, APEC#201-TC-01 (2015). 其二為認證結果之相互承認，意即二國不僅有互相認可之測試實驗室，更有互相認可之認證機構。電信設備自一國出口至另一國時，若已在出口國通過受認可認證機構之認證，設備輸入時，即可逕為銷售。[6] 圖三 Phase II of the MRA 資料來源:Asia-Pacific Economic Cooperation Telecommunications & Information Working Group [APEC TELWG], A Guide for Industry to the APEC TEL Mutual Recognition Arrangement (3rd Edition), 1, 6, APEC#201-TC-01 (2015). 貳、協議關係建構流程 通常情況下，與一國約定實施電信設備互認協議之程序分為三大階段。其一，是確認雙方皆為APEC會員國，並曾簽署電信設備互認協議。該協議為多邊協議，非與特定國簽署，而是多國共同承諾參與。於此階段，該協議僅為形式承諾，對各簽署國並無實際執行效力。而待確認兩國同為簽署國後，即可進一步商討雙方是否有意願在電信設備互認協議框架下，約定實施實質上的測試報告、認證結果互認約定。 其二，兩國先依一般國際協議簽訂程序與雙方外交主管機關接觸，確定雙方合作意向。確定意向後，接洽兩國電信設備產業主管機關接觸，進入具體之約定流程。如兩國需協商、起草具體之約定內容，包含互相承認測試報告之細節、兩國實驗室申請認可標準等。 於此階段，兩國電信設備產業主管機關不僅需彼此協商，更需彙整本國利害關係人意見，如相關政府部門、業者與產業公會、消保團體、測試或認證機構、專家之建議，以確保在起草具體之約定內容時，為本國爭取最大利益[7]。同時，兩國主管機關亦將開放各方單位申請為受認可實驗室或認證機構，並將申請通過之名單，提請對方國家之主管機關認可。一旦對方國家認可，未來該實驗室或認證機構出具之結果，將受對方國家承認。 申請為受認可實驗室或認證機構之時點，不必然限於電信設備互認協議關係協商建構期間。依我國目前申請機制，但凡有意願成為受認可實驗室之單位，可隨時函請NCC協助辦理，以成為任一我國電信設備互認協議約定國認可之實驗室[8]。依目前辦理流程，應備文件包含APEC TEL MRA符合性評鑑機構（測試實驗室）指派聲明書、認證證書測試範圍異動前後對照表、財團法人全國認證基金會中英文認證證書等。而若欲申請美國、加拿大認可，則另須提供經全國認證基金會案件承辦人簽註之技術查檢表。[9] 其三，為最終之外交談判與約定，意即與對方國家談判，確定是否認可彼此提出之實驗室、認證機構名單，並確定所有互認協議約定細節，包含約定囊括之設備種類、約定生效時間等。待雙方皆無疑義，達成約定並通過各國國內立法程序，整體約定程序即完備。未來兩國設備出口對方國家前，已於本國通過受認可實驗室測試、認證機構認證者，即不需於對方國家再行測試或認證，可直接銷售。 參、協議排除情境 若欲免除約定電信設備互認協議之繁雜程序，並期許設備出口他國時免除測試、認證等流程，以降低成本，應可考察設備輸入國是否有豁免特定設備測試、認證之規範或政策。各國之規範、政策各有其差異。如加拿大對於供研發測試、組裝後專供輸出之電信設備、低功率射頻設備、無線電話家庭系統設備有豁免之規定。韓國對於供研發測試、組裝後專供輸出之電信設備亦有豁免規定。日本則規定除了非商用設備外，電信設備進口一律需經認證。[10] 肆、政策建議 近年衛星通訊成為電信產業發展之新興趨勢之一，衛星通訊領域電信設備之進出口，亦成為各國約定實施電信設備互認協議時關注的重點。我國作為科技製造產品之重要出口國，近年積極促進衛星通訊設備輸出，並同時已與部分國家為電信設備互認協議之約定[11]。惟目前互為約定之國別尚少，為趕上衛星通訊網路帶來的新一波經濟浪潮。我國應可在徵集各方利害關係人意見後，持續建構我國與其他友好國家之電信設備互認協議約定。 而為進一步強化電信設備互認協議之效益，我國應可進一步積極鼓勵有能力進行衛星電信射頻設備測試之實驗室，申請成為電信設備互認協議關係下之受認可實驗室，或鼓勵業界廠商持續發展衛星電信射頻設備領域之驗測能力。期許透過前揭建議，得以降低我國衛星電信射頻設備製造商出口產品前之驗測成本和驗測排程壓力，為我國廠商創造更多參進他國市場、切入國際供應鏈的可能性。 [1]訊息公告，太空產業供應鏈暨網通產業新星飛揚計畫，https://www.satcom.org.tw/zh-tw/bulletin （最後瀏覽日: 2025/04/21）。 [2]詹中耀，〈淺談電信管制射頻器材審驗及後市場管理〉，《NCC NEWS》，第19卷第1期，頁2-3（2025）。 [3]APEC-TEL MRA, Asia-Pacific Economic Cooperation, https://www.apec.org/groups/som-steering-committee-on-economic-and-technical-cooperation/working-groups/telecommunications-and-information/apec_tel-mra (last visited Apr. 21, 2025)；Asia-Pacific Economic Cooperation [APEC], A Guide for Conformity Assessment Bodies to the APEC TEL Mutual Recognition Arrangement (3rd Edition), at 1, 3, APEC#201-TC-03(2015). [4]Asia-Pacific Economic Cooperation Telecommunications & Information Working Group [APEC TELWG], Mutual Recognition Arrangement for Conformity Assessment of Telecommunications Equipment (1st Edition), 1, 7-15, 22-31, APEC#202-TC-01 (2002). [5]Asia-Pacific Economic Cooperation Telecommunications & Information Working Group [APEC TELWG], A Guide for Industry to the APEC TEL Mutual Recognition Arrangement (3rd Edition), 1, 6, APEC#201-TC-01 (2015). [6]id. [7]APEC-TEL MRA, Asia-Pacific Economic Cooperation, https://www.apec.org/groups/som-steering-committee-on-economic-and-technical-cooperation/working-groups/telecommunications-and-information/apec_tel-mra (last visited Apr. 21, 2025). [8]我國目前已與五國(或地區)為約定，分別為美國、加拿大、澳洲、新加坡、香港。 [9]林怡萱，〈我國參與亞太經濟合作電信設備符合性評鑑相互承認協定(APEC TEL MRA)之緣起與發展〉，《NCC NEWS》，第19卷第1期，頁15（2025）。 [10]財團法人台灣經濟研究院，〈國際上對非成品射頻器材管理規定及國內廠商對進口研發測試或組裝後輸出器材類別意見委託研究採購案-期末報告〉，國家通訊傳播委員會委託研究，頁312-365（2019）。 [11]Asia-Pacific Economic Cooperation ICT Conformity Assessment and Interoperability Steering Group Meeting, Mutual Recognition Arrangement for Conformity Assessment of Telecommunications Equipment Participation and Implementation Chart, 1, 2023/SOM2/TEL68/CISG/003 Agenda Item: 2 (2024).
我國去識別化實務發展－「個人資料去識別化過程驗證要求及控制措施」我國關於個人資料去識別化實務發展 財團法人資訊工業策進會科技法律研究所 2019年6月4日 壹、我國關於個人資料去識別化實務發展歷程 我國關於個資去識別化實務發展，依據我國個資法第1條立法目的在個資之隱私保護與加值利用之間尋求平衡，實務上爭議在於達到合理利用目的之個資處理，參酌法務部103年11月17日法律字第10303513040號函說明「個人資料，運用各種技術予以去識別化，而依其呈現方式已無從直接或間接識別該特定個人者，即非屬個人資料，自非個資法之適用範圍」，在保護個人隱私之前提下，資料於必要時應進行去識別化操作，確保特定個人無論直接或間接皆無從被識別；還得參酌關於衛生福利部健保署資料庫案，健保署將其所保有之個人就醫健保資料，加密後提供予國衛院建立健保研究資料庫，引發當事人重大利益爭議，終審判決（最高行政法院106年判字第54號判決）被告（即今衛福部）勝訴，法院認為去識別化係以「完全切斷資料內容與特定主體間之連結線索」程度為判準，該案之資料收受者（本案中即為衛福部）掌握還原資料與主體間連結之能力，與健保署去識別化標準不符。但法院同時強調去識別化之功能與作用，在於確保社會大眾無法從資料內容輕易推知該資料所屬主體，並有提到關於再識別之風險評估，然而應採行何種標準，並未於法院判決明確說明。 我國政府為因應巨量資料應用潮流，推動個資合理利用，行政院以推動開放資料為目標，104年7月重大政策推動會議決議，請經濟部標檢局研析相關規範（如CNS 29191），邀請相關政府機關及驗證機構開會討論，確定「個人資料去識別化」驗證標準規範，並由財政部財政資訊中心率先進行去識別化驗證；並以我國與國際標準(ISO)調和之國家標準CNS 29100及CNS 29191，同時採用作為個資去識別化驗證標準。財政部財政資訊中心於104年11月完成導航案例，第二波示範案例則由內政部及衛生福利部（105年12月通過）接續辦理。 經濟部標準檢驗局目前不僅將ISO/IEC 29100:2011「資訊技術－安全技術－隱私權框架」(Information technology – Security techniques – Privacy framework)、ISO/IEC 29191:2012「資訊技術－安全技術－部分匿名及部分去連結鑑別之要求事項」(Information technology – Security techniques – Requirements for partially anonymous, partially unlinkable authentication)，轉換為國家標準CNS 29100及CNS 29191，並據此制訂「個人資料去識別化過程驗證要求及控制措施」，提供個資去識別化之隱私框架，使組織、技術及程序等各層面得整體應用隱私權保護，並於標準公報(107年第24期)徵求新標準之意見至今年2月，草案編號為1071013「資訊技術－安全技術－個人可識別資訊去識別化過程管理系統－要求事項」(Management systems of personal identifiable information deidentification processes – Requirements)，主要規定個資去識別化過程管理系統(personal information deidentification process management system, PIDIPMS)之要求事項，提供維護並改進個人資訊去識別化過程及良好實務作法之框架，並適用於所有擬管理其所建立之個資去識別化過程的組織。 貳、個人資料去識別化過程驗證要求及控制措施重點說明 由於前述說明之草案編號1071013去識別化國家標準仍在審議階段，因此以下以現行「個人資料去識別化過程驗證要求及控制措施」（以下簡稱控制措施）[1]說明。 去識別化係以個資整體生命週期為保護基礎，評估資料利用之風險，包括隱私權政策、隱私風險管理、隱私保護原則、去識別化過程、重新識別評鑑等程序，分別對應控制措施之五個章節[2]。控制措施旨在使組織能建立個資去識別化過程管理系統，以管理對其所控制之個人可識別資訊(personal identifiable information, PII)進行去識別化之過程。再就控制措施對應個人資料保護法（下稱個資法）說明如下：首先，組織應先確定去識別化需求為何，究係對「個資之蒐集或處理」或「為特定目的外之利用」（對應個資法第19條第1項第4、5款）接著，對應重點在於「適當安全維護措施」，依據個資法施行細則第12條第1項規定，公務機關或非公務機關為防止個資被竊取、竄改、毀損、滅失或洩漏，採取技術上及組織上之措施；而依據個資法施行細則第12條第2項規定，適當安全維護措施得包括11款事項，並以與所欲達成之個資保護目的間，具有適當比例為原則。以下簡要說明控制措施五大章節對應個資法： 一、隱私權政策 涉及PII處理之組織的高階管理階層，應依營運要求及相關法律與法規，建立隱私權政策，提供隱私權保護之管理指導方針及支持。對應個資法施行細則第12條第2項第5款適當安全維護措施事項「個人資料蒐集、處理及利用之內部管理程序」，即為涉及個資生命週期為保護基礎之管理程序，從蒐集、處理到利用為原則性規範，以建構個資去識別化過程管理系統。 二、PII隱私風險管理過程 組織應定期執行廣泛之PII風險管理活動並發展與其隱私保護有關的風險剖繪。直接對應規範即為個資法施行細則第12條第2項第3款「個人資料之風險評估及管理機制」。 三、PII之隱私權原則 組織蒐集、處理、利用PII應符合之11項原則，包含「同意及選擇原則」、「目的適法性及規定原則」、「蒐集限制原則」、「資料極小化原則」、「利用、保留及揭露限制」、「準確性及品質原則」、「公開、透通性及告知原則」、「個人參與及存取原則」、「可歸責性原則」、「資訊安全原則」，以及「隱私遵循原則」。以上原則涵蓋個資法施行細則第12條第2項之11款事項。 四、PII去識別化過程 組織應建立有效且周延之PII去識別化過程的治理結構、標準作業程序、非預期揭露備妥災難復原計畫，且組織之高階管理階層應監督及審查PII去識別化過程之治理的安排。個資法施行細則第17條所謂「無從識別特定當事人」定義，係指個資以代碼、匿名、隱藏部分資料或其他方式，無從辨識該特定個人者，組織於進行去識別化處理時，應依需求、風險評估等確認注意去識別化程度。 五、重新識別PII之要求 此章節為選驗項目，需具體依據組織去識別化需求，是否需要重新識別而決定是否適用；若選擇適用，則保留重新識別可能性，應回歸個資法規定保護個資。 參、小結 國際上目前無個資去識別化驗證標準及驗證作法可資遵循，因此現階段控制措施，係以個資整體生命週期為保護基礎，評估資料利用之風險，使組織能建立個資去識別化過程管理系統，以管理對其所控制之個人可識別資訊進行去識別化之過程，透過與個資法對照個資法施行細則第12條規定之安全維護措施之11款事項，內化為我國業者因應資料保護與資料去識別化管理制度。 控制措施預計於今年下半年發展為國家標準，遵循個資法與施行細則，以及CNS 29100、CNS 29191之國家標準，參照國際上相關指引與實務作法，於技術上建立驗證標準規範供產業遵循。由於國家標準無強制性，業者視需要評估導入，仍建議進行巨量資料應用等資料經濟創新業務，應重視處理個資之適法性，建立當事人得以信賴機制，將有助於產業資料應用之創新，並透過檢視資料利用目的之合理性與必要性，作為資料合理利用之判斷，是為去識別化治理之關鍵環節。 [1] 參酌財團法人電子檢驗中心，個人資料去識別化過程驗證，https://www.etc.org.tw/%E9%A9%97%E8%AD%89%E6%9C%8D%E5%8B%99/%E5%80%8B%E4%BA%BA%E8%B3%87%E6%96%99%E5%8E%BB%E8%AD%98%E5%88%A5%E5%8C%96%E9%81%8E%E7%A8%8B%E9%A9%97%E8%AD%89.aspx（最後瀏覽日：2019/6/4） 財團法人電子檢驗中心網站所公告之「個人資料去識別化過程自評表_v1」包含控制措施原則、要求事項與控制措施具體內容，該網站並未公告「個人資料去識別化過程驗證要求及控制措施」，故以下整理係以自評表為準。 [2] 分別為「隱私權政策」、「PII隱私風險管理過程」、「PII之隱私權原則」、「PII去識別化過程」、「重新識別PII之要求」。
歐盟法院判決在歐盟境內網路下載出售之電腦軟體適用權利耗盡原則說明歐盟法院（Court of Justice of the European Union）於2012年7月3日對於UsedSoft GmbH v. Oracle International Corp.案作出判決，判定電腦程式法律保護指令（Directive 2009/24/EC of the European Parliament and the Council of 23 April 2009 on the legal protection of computer programs）第1條第2款規定，指令適用於任何形式的電腦程式，第4條第2款進一步說明，指令對於電腦程式的保護不區分實體載具（例如CD或DVD）或網路下載，均有權利耗用原則（exhaustion right）或稱第一次銷售原則（first sale doctrine）的適用。授權人的權利在第一次出售軟體並換以價金時即耗盡，權利轉移至被授權人。因此，在歐盟境內網路下載購買無限期專屬授權的數位軟體之被授權人，可將所有的軟體再出售，而在歐盟境內不受授權條款中「權利不可移轉」等文字的限制。不過，被授權人再出售軟體時必須不可再使用該軟體，歐盟法院允許軟體提供商利用類似產品金鑰（product keys）的保護技術管理其權利。