何謂日本拜杜法「事前承認制」？
事前承認制為日本基於科研成果廣泛運用之目的，透過產業技術力強化法第19條的增修正式引入拜杜法制度後，針對政府資助研發成果移轉或授權予計畫外第三人的情形賦予委託機關與執行單位的義務。在日本拜杜法制度下，政府資助研發成果的相關專利權原則上得歸屬於執行單位，但考量到這些研發成果若移轉給未預備活用該些成果之人，將會造成由國家資金所衍生的科研成果難以被運用，從而無法達成促進成果運用的法目的，因此在該法第19條第4項增訂事前承認制。
依該制度，執行單位若欲讓與歸屬於執行單位之政府資助研發成果所涉及專利權給第三人，或將使用該些專利權的權利設定或移轉予第三人時，除了符合政令所定不妨礙專利權運用之情形外，委託機關須和執行單位約定為上開移轉等行為前，須先取得委託機關的同意。
本文為「經濟部產業技術司科技專案成果」
劉純妤
法律研究員 編譯整理
美國各州逐步研議透過立法豁免企業資安事件賠償責任 資訊工業策進會科技法律研究所 2024年06月10日 為鼓勵企業採用資安標準與框架，美國已有幾州開始透過立法限縮企業資安事件賠償責任，企業若能舉證證明已符合法令或遵循業界認可之資安框架和標準，則於資安攻擊事件所致損害賠償訴訟中，將無需承擔賠償責任。 壹、事件摘要 為避免有心人士於未取得經授權下近用網路和敏感資料，企業往往投入大量資源打造資安防護架構，惟在現今網路威脅複雜多變的環境下，仍可能受到惡意資安攻擊，導致資料外洩事件發生，導致企業進一步面臨訴訟求償風險，其中多數指控為未實施適當的資安措施。為此美國佛羅里達州和西維吉尼亞州研議透過立法限縮企業之資安事件賠償責任，以鼓勵企業採用資安標準、框架與資安相關法令。 貳、重點說明 繼美國俄亥俄州[1]、猶他州[2]和康乃狄克州[3]相繼頒布法令，讓已實施適當安全維護措施之企業，豁免資安攻擊所致資料外洩之損害賠償責任，佛羅里達州和西維吉尼亞州近期亦提出相似法案，以下介紹兩州法案之重點： 一、佛羅里達州 美國佛羅里達州於2023年11月公布《資安事件責任法案》 （H.B 473: Cybersecurity Incident Liability）[4]，法案納入「安全港條款」（Safe Harbor），當企業遭受資安攻擊致生個資外洩事件，如可證明已遵循產業認可的資安標準或框架，實施適當的資安措施與風險控管機制，則可免於賠償責任，以鼓勵企業採納資安標準或框架。 為適用安全港條款，企業須遵循佛羅里達州資訊保護法（The Florida Information Protection Act），針對資料外洩事件，通知個人、監管機關和消費者，並建立與法案內所列當前產業認可的資安標準、框架，或是特定法令規範之內容具一致性的資安計畫（Cybersecurity Programs）： （一）當前產業認可的資安標準、框架 1. 國家標準暨技術研究院（National Institute of Standards and Technology, NIST）改善關鍵基礎設施資安框架（Framework for Improving Critical Infrastructure Cybersecurity）。 2. NIST SP 800-171－保護非聯邦系統和企業中的受控非機密資訊。 3. NIST SP 800-53 和 SP 800-53A－ 資訊系統和企業的安全和隱私控制/ 評估資訊系統和企業中的安全和隱私控制。 4. 聯邦政府風險與授權管理計畫（Federal Risk and Authorization Management Program, FedRAMP）安全評估框架。 5. 資安中心（ The Center for Internet Security, CIS）關鍵安全控制。[5] 6. ISO/IEC 27000系列標準。 7. 健康資訊信任聯盟（The Health Information Trust Alliance, HITRUST）通用安全框架（Common Security Framework）[6]。 8. 服務企業控制措施類型二（Service Organization Control Type 2, SOC 2）框架。 9. 安全控制措施框架（Secure Controls Framework）。 10. 其他類似的產業標準或框架。 （二）特定法令規範 企業（entity）如受以下法令規範，亦得適用安全港條款，如法令有修訂，企業應在發布修訂後的一年內更新其資安計畫： 1. 健康保險可攜與責任法（The Health Insurance Portability and Accountability Act, HIPAA）之安全要求。 2. 金融服務現代化法（The Gramm-Leach-Bliley Act）第五章。 3. 2014 年聯邦資訊安全現代化法（The Federal Information Security Modernization Act of 2014）。 4. 健康資訊科技促進經濟和臨床健康法（The Health Information Technology for Economic and Clinical Health Act, HITECH）之安全要求。 5. 刑事司法資訊服務系統 （The Criminal Justice Information Services, CJIS）安全政策。 6. 州或聯邦法律規定的其他類似要求。 該法案雖於2024年3月5日經佛羅里達州參議院三讀通過，但於2024年6月26日遭州長否決[7]，其表示法案對於企業的保障範圍過於廣泛，如企業採取基礎的資安措施與風險控管機制，便得主張適用安全港條款，將可能導致消費者於發生個資外洩事件時，無法受到足夠的保障。州政府鼓勵利害關係人與該州網路安全諮詢委員會（Florida Cybersecurity Advisory Council）合作，探求法案的替代方案，以保護消費者資料。 二、西維吉尼亞州 美國西維吉尼亞州於2024年1月29日提出眾議院第5338號法案[8]，修訂西維吉尼亞法典（Code of West Virginia），增訂第8H章資安計畫安全港條款（Safe Harbor for Cybersecurity Programs），如企業符合業界認可的資安標準、框架或依特定法令建立與實施資安計畫，包含個人資訊和機敏資料的管理、技術和企業保障措施，將能夠於侵權訴訟中，主張適用避風港條款。 法令內明列評估企業所建立的資安計畫規模和範圍是否適當之要素，包含： 1. 企業的規模和複雜性； 2. 企業的活動性質和範圍； 3. 受保護資訊的敏感性； 4. 使用資安防護工具之成本和可用性； 5. 企業可運用的資源。 （一）當前產業認可的資安標準、框架 除與佛羅里達州法案所列舉業界認可的資安標準之前六項相同，另增加： 1 NIST SP 800-76-2個人身分驗證生物辨識規範（Biometric Specifications for Personal Identity Verification）[9]。 2. 資安成熟度模型認證（The Cybersecurity Maturity Model Certification, CMMC）至少達到第2級，並經外部驗證（external certification）。 （二）特定法令規範 除與佛羅里達州法案所列舉特定法令之前四項相同，另增加：由聯邦環境保護局（Environmental Protection Agency, EPA）、資安暨基礎設施安全局（Cybersecurity and Infrastructure Security Agency, CISA）或北美可靠性公司（North American Reliability Corporation）[10]所採用任何適用於關鍵基礎設施保護的規則、法規或指南。 惟目前法案已於2024年3月27日被西維吉尼亞州長否決[11]，其表示透過安全港條款鼓勵企業實踐資安框架雖立意良好，但也可能遭濫用而帶來不當影響，例如TikTok等大型國際企業，如在違背公民意願情況下共享個人資料時，將免於訴訟，恐有損其公民權益，未來州政府將與利害關係人持續進行協商。 參、事件評析 佛羅里達州和西維吉尼亞州近期同步公布有關限制企業於資安事件之責任相關法案，內容亦為相似，西維吉尼亞州之法案目前已遭否決，主要係擔心該豁免條款遭到不當濫用；佛羅里達州之法案亦因對於企業保障過廣與無法保障消費者個資安全考量，而遭州長否決。 法案中明列受產業普遍認可的資安標準、框架與政府所頒布特定法令，有助企業明確遵循與採納，建立與實施資安計畫，惟如何舉證所建立之資安計畫或實施之資安措施，與法案所列之資安標準、框架，或是特定法令規範，具有實質上的一致性，仍不明確，將可能阻礙企業於訴訟上行使抗辯與主張責任豁免權。未來美國如何權衡產業穩健發展與民眾個資保障，仍有待持續觀察。 [1] Chapter 1354 - Ohio Revised Code, Ohio Laws, https://codes.ohio.gov/ohio-revised-code/chapter-1354 (last visited May 24, 2024). [2]Part 7 Cybersecurity Affirmative Defense Act, Utah StateLegislative, https://le.utah.gov/xcode/Title78B/Chapter4/78B-4-P7.html (last visited May 24, 2024). [3]Frederick Scholl, Connecticut’s New Breach Notification and Data Security Laws: Carrots and Sticks, Quinnipiac University, July,1,2021,https://www.qu.edu/quinnipiac-today/connecticuts-new-breach-notification-and-data-security-laws-2021-07-01/ (last visited May 24, 2024). [4]CSHB 473-Cybersecurity Incident Liability, The Florida Senate,https://www.flsenate.gov/Session/Bill/2024/473 (last visited Jun. 28, 2024). [5]資安中心（ The Center for Internet Security, CIS）為美國非營利組織，負責推動CIS Controls，針對實際發生的資安攻擊行為提供防禦建議，作為企業保護 IT 系統和資料時可參考之最佳實務作法。資料來源：About us, Center for Internet Security, https://www.cisecurity.org/about-us (last visited Jun. 6, 2024). [6]What is HITRUST?, Schneider Downs,https://schneiderdowns.com/cybersecurity/what-is-hitrust/ (last visited May 24, 2024). [7]Governor of Florida, Vote letter for House Bill 473(2024), https://www.flgov.com/wp-content/uploads/2024/06/Veto-Letter_HB-473.pdf (last visited Jun. 28, 2024). [8]2024 REGULAR SESSION ENROLLED Committee Substitute for House Bill 5338, WEST VIRGINIA LEGISLATURE,https://www.wvlegislature.gov/Bill_Status/bills_text.cfm?billdoc=hb5338%20sub%20enr.htm&yr=2024&sesstype=RS&i=5338 (last visited May 24, 2024). [9]NIST SP 800-76-2 Biometric Specifications for Personal Identity Verification, National Institute of Standards and Technology, https://csrc.nist.gov/pubs/sp/800/76/2/final (last visited May 24, 2024). [10]北美電力可靠性公司（North American Electric Reliability Corporation, NERC），為一家非營利機構，致力推動關鍵基礎設施保護相關標準，以強化北美大規模電力系統（亦即電網）的可靠性和安全性，資料來源：https://www.nerc.com/Pages/default.aspx (last visited May 24, 2024). [11]Governor of West Virginia, Enrolled Committee Substitute for House Bill 5338(2024),https://www.wvlegislature.gov/Bill_Text_HTML/2024_SESSIONS/RS/veto_messages/HB5338.pdf (last visited May 24, 2024).
中研院開發「奈米質譜檢測技術」1小時知道是否罹癌「蛋白質體學」是醫學研究的新領域，透過對「蛋白質變異」的研究來瞭解疾病的機制，現在已經可以成功診斷出許多疾病。不過，因為血液中跟疾病有關的「標記蛋白質」，含量往往很低；傳統「酵素免疫法」（ ELISA ）的檢測流程總得進行個大半天，往往造成時間的浪費。 中央研究院發表獨步全球的「磁性奈米粒子」質譜驗血技術，只要使用小學生使用的磁鐵，就可以迅速「大海撈針」，從血液中吸出和ＳＡＲＳ、癌症、中風等病症相關的標記蛋白質，可以在一小時內診斷病情。這項研究成果正在申請國內外專利，臨床實驗、認證後，民眾未來只要多花幾百塊錢，就能夠享受這項最新的奈米科技。不管胃癌、乳癌或大腸癌，只要 ELISA 能夠檢測的項目，這套技術都可以更有效率地完成。不過因為「質譜儀」價格昂貴，臨床運用又需相關認證，普及化可能還得再等一段時間。
美國白宮發佈「AI應用監管指南」十項原則美國白宮科技政策辦公室（Science and Technology Policy, OSTP）在2020年1月6日公布了「人工智慧應用監管指南（Guidance for Regulation of Artificial Intelligence Applications）」，提出人工智慧（AI）監管的十項原則，此份指南以聯邦機構備忘錄（Memorandum for the Heads of Executive Departments and Agencies）的形式呈現，要求政府機關未來在起草AI監管相關法案時，必須遵守這些原則。此舉是根據美國總統川普在去（2019）年所簽署的行政命令「美國AI倡議」（American AI Initiative）所啟動的AI國家戰略之一，旨在防止過度監管，以免扼殺AI創新發展，並且提倡「可信賴AI」。 這十項原則分別為：公眾對AI的信任；公眾參與；科學誠信與資訊品質；風險評估與管理；效益與成本分析；靈活性；公平與非歧視；揭露與透明；安全保障；跨部門協調。旨在實現三個目標： 一、增加公眾參與：政府機關在AI規範制定過程中，應提供公眾參與之機會。 二、限制監管範圍：任何AI監管法規實施前，應進行成本效益分析，且機關間應溝通合作，建立靈活的監管框架，避免重複規範導致限制監管範圍擴大。 三、推廣可信賴的AI：應考慮公平性、非歧視性、透明性、安全性之要求，促進可信賴的AI。 這份指南在發佈後有60天公開評論期，之後將正式公布實施。白宮表示，這是全球第一份AI監管指南，以確保自由、人權、民主等價值。
日本公布設立AI安全研究所與著手訂定AI安全性評鑑標準日本於2023年12月1日舉辦G7數位技術委員會（G7デジタル・技術大臣会合），由日本數位廳、總務省、經濟產業省共同會晤G7會員國代表，基於人工智慧（Artificial Intelligence，下稱AI）可能帶給全球創造性、革命性的轉變，同時也可能伴隨侵害著作權與擴散假訊息的風險，尤其是生成式AI可能對經濟、社會影響甚鉅，因此針對如何妥善使用AI技術，G7全體會員國共同訂定《廣島AI進程》（広島AIプロセス）文件，其聲明內容簡述如下： 1.訂定涵蓋《廣島AI進程》之政策框架（Framework） 2.訂定涵蓋AI設計、系統開發、規劃、提供與使用等所有與AI有關人員，（All AI actors, when and as applicable, and appropriate, to cover the design, development, deployment, provision and use of advanced AI systems）適用之《廣島AI進程》國際標準（Principle） 3.針對開發高階AI系統之組織，訂定可適用之國際行為準則（Code of Conduct） 為此，日本內閣府於2024年2月14日公布，於經濟產業省政策執行機關—獨立行政法人資訊處理推動機構（独立行政法人情報処理推進機構，下稱IPA）轄下設立日本AI安全研究所（Japan AI Safety Institute，下稱AISI），作為今後研擬AI安全性評鑑標準（據以特定或減少AI整體風險）與推動方式之專責機構，以實現安心、安全以及可信賴之AI為目標。AISI所職掌的業務範圍如下： 1.進行AI安全性評鑑之相關調查 2.研擬AI相關標準 3.研擬安全性評鑑標準與實施方式 4.研擬與各國AI專責機關進行國際合作，例如：美國AI安全研究所（U.S. Artificial Intelligence Safety Institute, USAISI） 另一方面，IPA將以內部人才招聘作為AISI成員之任用方式，預計組成約數十人規模的團隊。日本以與G7會員國共識為基礎，採專責機關—AISI進行研究與規劃，並推動日後擬定AI相關使用規範與安全性評鑑標準，據以實現AI應用安全之目標。我國對於AI技術之應用領域，未來應如何訂定使用安全規範，將涉及專業性與技術性事項之整體性規劃，日本因應AI課題而採行的做法值得我國未來持續關注。