美國FDA擬修法調整臨床實驗知情同意義務之豁免標準

隸屬計畫成果
自主研究
 

美國FDA擬修法調整臨床實驗知情同意義務之豁免標準

資訊工業策進會科技法律研究所
蔡宜臻法律研究員
2018年11月27日

壹、事件摘要

  知情同意(informed consent)是人體試驗受試者保護重要的一環,同時也是生物醫學長期以來的研究傳統,然其規範內容卻會因科技與研究方式的改變而略有調整。美國食品藥物管理局(Food and Drug Administration, FDA)於2018年11月15日發布一份法規提案(proposed rule),公開徵求意見評論。該提案目的在於調整FDA知情同意的相關規定,未來FDA希望允許人體試驗倫理委員會(Institutional Review Boards, IRB)在試驗僅有最小風險(minimal risk)的情況下,得以裁決一臨床實驗案可豁免知情同意的責任,或更改某些「告知要項」[1]。本次法規提案徵詢終止日為2019年1月14日,FDA並規劃於本法規命令正式公告施行後,廢止其於2017年7月所發佈之《IRB豁免或變更臨床實驗之知情同意指南》(IRB Waiver or Alteration of Informed Consent for Clinical Investigations Involving No More Than Minimal Risk to Human Subjects)[2]

貳、重點說明 

  目前FDA僅允許在危及生命[3]或緊急研究(emergency research)[4]的情況下,得以例外不必符合知情同意的一般要求(general requirements)[5]。而根據FDA於2018年11月15日發布於聯邦公報(Federal Register)的法規提案內容,FDA打算新增「試驗僅有最小風險」(The research involves no more than minimal risk to subjects)做為豁免或變更知情同意項目的甄別標準之一。如此一來若是修法通過,FDA對於知情同意豁免與否的認定標準就會跟1991年制訂的《美國聯邦受試者保護通則》(Federal Policy for the Protection of Human Subjects,簡稱the Common Rule)[6]更加接近。換言之,未來修法通過後,由FDA管理的人體臨床實驗將有三種情形得以豁免或變更知情同意義務:危及生命、緊急研究與僅具有最小風險的研究。

  所謂最小風險,係指「研究中預期的傷害或不適的概率和程度,不大於在日常生活中或在進行常規身體或心理檢查時通常遇到的傷害或不適」[7],比如:不需新藥研究申請(investigational new drug application, IND)的新藥研究;醫療器材臨床試驗豁免(investigational device exemption, IDE)之醫療器材研究;檢體之取得為無創(受試者之頭髮或指甲)的臨床研究;為研究目的而蒐集聲音、影片、數據或圖像紀錄;研究個體或群體的特徵或行為;個人或焦點團體訪談等質性研究[8]。FDA指出本次法規提案當中所指的最小風險定義與其附隨條件將與《美國聯邦受試者保護通則》自1991年施行以來之規定一致,即該研究只要同時符合以下四點便可望由IRB審查豁免或變更知情同意義務[9]

  1. 僅有最小風險的研究[10]
  2. 若不豁免或變更知情同意義務,則研究無法順利進行[11]
  3. 不造成受試者權利跟福祉之負面影響[12]
  4. 受試者將在適當時機獲悉進一步研究資訊[13]

  此次提案的法源依據是2016年通過的《21世紀治癒法》(21st Century Cures Act)第3024節所修正之《聯邦食品藥物化妝品法》(Federal Food, Drug, and Cosmetic Act)第505(i)(4)、520(g)(3)節。《21世紀治癒法》第3024節賦予FDA權力放寬臨床實驗的知情同意義務,其立法背景是由於目前FDA相關規範對知情同意要求相對嚴格,當研究者無法滿足現有法規對於知情同意的要求,便可能使潛在的有價值的研究被迫停止[14];又或在某些情形下,要求研究者在進行臨床實驗時取得研究對象的知情同意並不切實際[15]。《21世紀治癒法》通過後,FDA隨即於2017年7月發布《IRB豁免或變更臨床實驗之知情同意指南》,當中指出FDA並不打算在僅有最小風險的臨床研究中,反對IRB做出豁免或變更知情同意項目的判定,若本次法規提案後續正式生效,FDA便會廢止此指南,使其轉為FDA規則(regulation)。

參、事件評析

  知情同意是生物醫學研究的學術傳統,包含兩大重點,一是令研究對象充分知悉其所參與的研究,包含其研究目的、內容、風險與預期利益;二是確保研究對象在做出同意或不同意之意思表示時,其意思表示之真實性,由此保障受試者的自主權[16]

  知情同意之概念最早源自1947年的紐倫堡法典(Nuremburg Code),其規範內涵在過去數十年間因為生物醫學的研究方法與進行模式的變革而產生變化。早年的臨床研究主要由政府資助、在單一的機構進行,涉及的受試者人數相對有限;而近三、四十年,醫學研究漸漸發展成多機構、多中心甚至跨國的研究案,受試者可能高達數萬甚至數十萬,同時也逐漸形成跨領域的研究轉型,涉及如社會學、心理學、教育、環境、氣候等學科。在此情形下,研究方法與資料取得勢必與過去截然不同,傳統的知情同意的制度漸漸無法滿足現代醫學研究的需要。1978年貝爾蒙特報告(Belmont Report)便強調應評估臨床研究的風險是否超過日常可接受範圍[17],1981年美國據此制定《美國衛生及公共服務部人體研究保護政策最終規則》(Final regulations amending basic HHS policy for the protection of human research subjects)[18]便首次將「不超過日常風險的臨床實驗」[19]納為知情同意之豁免或變更之標準;1991年制定的《美國聯邦受試者保護通則》亦延續此概念並進一步做出更明確定義(見前述),惟當時FDA基於其業務為確保藥品、生物製劑以及醫療器材安全與執照核發,與《美國聯邦受試者保護通則》作為拘束十六個聯邦機關的一般性規範不同,因此未將「僅有最小風險的臨床實驗」納為豁免或變更知情同意義務的標準[20]

  時序進展至今,資通訊技術的進步所累積的巨量資料逐漸成為生醫研究的重要研究資源,面對這項轉變與研究者對於倫理審查委員會專業性的質疑,美國近年再度嘗試調整修法。2016年通過之《21世紀治癒法》便要求FDA將「僅有最小風險的臨床實驗」納為得豁免或變更免除知情同意的標準之一,可被視為是期望FDA向更為寬鬆的《美國聯邦受試者保護通則》靠攏;另方面,2017年修訂《美國聯邦受試者保護通則》之最終規則(final rule,將於2019年1月生效),也新增「若是研究涉及取得可識別的個人資料或可識別的生物標本,需要證明若無這些資料研究將無法進行」[21],作為豁免或變更知情同意義務的要件,許是為避免個人資料因知情同意的放寬而有遭受濫用之虞。不過這項要件在本次FDA法規提案並未提及。

  綜上述,本文整理兩大爭點:

一、最小風險判定標準之不確定性。

  最小風險之定義雖明確指「研究中預期的傷害或不適的概率和程度,不大於在日常生活中或在進行常規身體或心理檢查時通常遇到的傷害或不適」[22],惟最小風險之判定仍存在不確定空間。FDA雖強調將承繼《美國聯邦受試者保護通則》自1991年施行以來個案累積之最小風險判定標準,但此一不確定性直接影響的是受試者的自主權,侵害美國憲法所保障的人權精神;此外,也有批評指出FDA所援引的《美國聯邦受試者保護通則》對於最小風險的定義文字過於模糊,容易造成誤解或誤判[23][24][25]

二、本次法規提案並未新增《美國聯邦受試者保護通則》即將於2019年1月生效的項目,或再度造成FDA規定與其他聯邦機構未能一致的情形。

  FDA本次法規提案新增「最小風險」的其中一個原因便是希望盡可能與《美國聯邦受試者保護通則》標準一致。然令人困惑的是,其並未新增《美國聯邦受試者保護通則》即將於2019年1月實施的豁免或變更知情同意義務的要件:「若是研究涉及取得可識別的個人資料或可識別的生物標本,需要證明若無這些資料研究將無法進行」[26]。換言之,即便此次修法提案通過,依舊與會與《美國聯邦受試者保護通則》有落差。更甚者,《美國聯邦受試者保護通則》所新增的要件,實意在保障個人資料不會因知情同意的豁免範圍改變而遭到恣意使用或揭露,有助於保護個人隱私與資料自主,而FDA並未將其納入法規提案內容,或可能造成個資保護之漏洞。此項缺失FDA於法規提案當中亦有提及,或可期待後續修正[27]

肆、結語

  FDA原有關於豁免或變更知情同意的規定與《美國聯邦受試者保護通則》存有寬嚴程度落差,FDA此前僅限定在有生命危險與緊急研究的情形方可為之;而《美國聯邦受試者保護通則》由於是一種一般性規範,所以保障程度較為寬鬆。FDA本次修法將使部分僅有最小風險的臨床實驗可以更為順利進行,同時也使FDA知情同意的規範更加接近當前《美國聯邦受試者保護通則》的規定。惟最小風險的認定存在不確定性,其所可能侵害的是受試者自主權,不可不慎。又,《美國聯邦受試者保護通則》即將在2019年1月規定研究蒐集之個人資料必須對研究有絕對必要方可,而本次FDA的法規提案未見跟進此一新增要件。由於本提案仍在意見評論階段,是以FDA後續是否再度更新提案內容,值得後續關注。

[1] Institutional Review Board Waiver or Alteration of Informed Consent for Minimal Risk Clinical Investigation, 83 Fed. Reg. 57378-57386(Nov. 15, 2018) https://www.federalregister.gov/documents/2018/11/15/2018-24822/institutional-review-board-waiver-or-alteration-of-informed-consent-for-minimal-risk-clinical (last visited Nov. 26, 2018)

[2] FOOD AND DRUG ADMINISTRATION[FDA], FDA In Brief: FDA takes steps to allow greater flexibility for clinical investigators about informed consent in minimal risk situations.(2018/11/13)
https://www.fda.gov/NewsEvents/Newsroom/FDAInBrief/ucm625747.htm (last visited Nov. 26, 2018)

[3] 21 CFR 50.23

[4] 21 CFR 50.24

[5] 有關更多FDA豁免告知同意之項目類別與細部說明,可參考https://www.accessdata.fda.gov/scripts/cdrh/cfdocs/cfcfr/CFRSearch.cfm?fr=50.23; https://www.accessdata.fda.gov/scripts/cdrh/cfdocs/cfcfr/CFRSearch.cfm?fr=50.24 (last visited Jan. 8, 2019)

[6] 45 CFR 46, subpart A.

[7]“the probability and magnitude of harm or discomfort anticipated in the research are not greater in and of themselves than those ordinarily encountered in daily life or during the performance of routine physical or psychological examinations or tests.” (46 CFR 102(i); 21 CFR 50.3(k); 21 CFR 56.102(i)).

[8] U.S. DEPARTMENY OF HEALTH & HUMAN SERVICES [HHS], OHRP Expedited Review Categories.(1998) https://www.hhs.gov/ohrp/regulations-and-policy/guidance/categories-of-research-expedited-review-procedure-1998/index.html (last visited Nov. 26, 2018)

[9] 45 CFR 46.116

[10] “The research involves no more than minimal risk to subjects”

[11] “The research could not be carried out practicably without the waiver or alteration”

[12] “The waiver or alteration will not adversely affect the rights and welfare of the subjects”

[13] “Where appropriate, the subjects will be provided with additional information about their participation”

[14] FOOD AND DRUG ADMINISTRATION[FDA], FDA In Brief: FDA takes steps to allow greater flexibility for clinical investigators about informed consent in minimal risk situations.(2018/11/13)
https://www.fda.gov/NewsEvents/Newsroom/FDAInBrief/ucm625747.htm (last visited Nov. 26, 2018)

[15] id.

[16] 陳子平,〈醫療上「充分說明與同意」之法理在刑法上的效應(上)〉,《月旦法學雜誌》,第278期,頁224(2010)。

[17] THE NATIONAL COMMISSION FOR THE PROTECTION OF HUMAN SUBJECTS OF BIOMEDICAL AND BEHAVIORAL RESEARCH, The Belmont Report—Ethical Principles and Guidance for the Protection of Human Subjects of Research(1978),   https://videocast.nih.gov/pdf/ohrp_appendix_belmont_report_vol_2.pdf  (last visited Jan. 9, 2019)

[18] Final regulations amending basic HHS policy for the protection of human research subjects. 46(16) Fed. Reg. 8366–8391 (Jan. 26, 1981)

[19] “those risks encountered in the daily lives of the subjects of the research” (46(16) FR 8373)

[20] NATIONAL CENTER FOR BIOTECHNOLOGY INFORMATION[NCBI], Determining Minimal Risk in Social and Behavioral Research(2014), https://www.ncbi.nlm.nih.gov/books/NBK217976/ (last visited Jan. 9, 2019)

[21]“if the research involves using identifiable private information or identifiable biospecimens, the research could not practicably be carried out without using such information or biospecimens in an identifiable format” (45 CFR 46.116(f)(3)(iii))

[22] 21 CFR 50.3(k), 56.102(i)

[23] Regulations.gov, https://www.regulations.gov/document?D=FDA-2018-N-2727-0010 (last visited Dec. 20, 2018)

[24] Shah S, Whittle A, Wilfond B, Gensler G & Wendler D., How do institutional review boards apply the federal risk and benefit standards for pediatric research, JOURNAL OF THE AMERICAN MEDICAL ASSOCIATION, 291(4), 476–482(2004).

[25] Lidz C & Garverich S., What the ANPRM missed: Additional needs for IRB reform. JOURNAL OF LAW, MEDICINE AND ETHICS, 41(2), 390–396(2013).

[26] 45 CFR 46.116(f)(3)(iii)

[27] Supra note No. 1

相關連結
相關附件
※ 美國FDA擬修法調整臨床實驗知情同意義務之豁免標準, 資訊工業策進會科技法律研究所, https://stli.iii.org.tw/article-detail.aspx?d=8184&no=67&tp=1 (最後瀏覽日:2026/01/10)
引註此篇文章
你可能還會想看
G7第四屆資料保護與隱私圓桌會議揭示隱私保護新趨勢

G7第四屆資料保護與隱私圓桌會議揭示隱私保護新趨勢 資訊工業策進會科技法律研究所 2025年03月10日 七大工業國組織(Group of Seven,下稱G7)於2024年10月10日至11日在義大利羅馬舉辦第四屆資料保護與隱私機構圓桌會議(Data Protection and Privacy Authorities Roundtable,下稱圓桌會議),並發布「G7 DPAs公報:資料時代的隱私」(G7 DPAs’ Communiqué: Privacy in the age of data,下稱公報)[1],特別聚焦於人工智慧(AI)技術對隱私與資料保護的影響。 壹、緣起 由美國、德國、英國、法國、義大利、加拿大與日本的隱私主管機關(Data Protection and Privacy Authorities, DPAs)組成本次圓桌會議,針對數位社會中資料保護與隱私相關議題進行討論,涵蓋「基於信任的資料自由流通」(Data Free Flow with Trust, DFFT)、新興技術(Emerging technologies)、跨境執法合作(Enforcement cooperation)等三大議題。 本次公報重申,在資通訊技術主導的社會發展背景下,應以高標準來審視資料隱私,從而保障個人權益。而DPAs作為AI治理領域的關鍵角色,應確保AI技術的開發和應用既有效且負責任,同時在促進大眾對於涉及隱私與資料保護的AI技術認識與理解方面發揮重要作用[2]。此外,公報亦強調DPAs與歐盟理事會(Council of Europe, CoE)、經濟合作暨發展組織(Organisation for Economic Co-operation and Development, OECD)、亞太隱私機構(Asia Pacific Privacy Authorities, APPA)、全球隱私執行網路(Global Privacy Enforcement Network, GPEN)及全球隱私大會(Global Privacy Assembly, GPA)等國際論壇合作的重要性,並期望在推動資料保護與建立可信賴的AI技術方面作出貢獻[3]。 貳、重點說明 基於上述公報意旨,本次圓桌會議上通過《關於促進可信賴AI的資料保護機構角色的聲明》(Statement on the Role of Data Protection Authorities in Fostering Trustworthy AI)[4]、《關於AI與兒童的聲明》(Statement on AI and Children)[5]、《從跨國角度觀察降低可識別性:G7司法管轄區對匿名化、假名化與去識別化的法定及政策定義》(Reducing identifiability in cross-national perspective: Statutory and policy definitions for anonymization, pseudonymization, and de-identification in G7 jurisdictions)[6],分別說明重點如下: 一、《關於促進可信賴AI的資料保護機構角色的聲明》 繼2023年第三屆圓桌會議通過《關於生成式AI聲明》(Statement on Generative AI)[7]後,本次圓桌會議再次通過《關於促進可信賴AI的資料保護機構角色的聲明》,旨在確立管理AI技術對資料保護與隱私風險的基本原則。G7 DPAs強調許多AI技術依賴個人資料的運用,這可能引發對個人偏見及歧視、不公平等問題。此外,本聲明中還表達了擔憂對這些問題可能透過深度偽造(Deepfake)技術及假訊息擴散,進一步對社會造成更廣泛的不良影響[8]。 基於上述考量,本聲明提出以下原則,納入G7 DPAs組織管理的核心方針[9]: 1. 以人為本的方法:G7 DPAs應透過資料保護來維護個人權利與自由,並在AI技術中提供以人權為核心的觀點。 2. 現有原則的適用:G7 DPAs應審視公平性、問責性、透明性和安全性等AI治理的核心原則,並確保其適用於AI相關框架。 3. AI核心要素的監督:G7 DPAs應從專業視角出發,監督AI的開發與運作,確保其符合負責任的標準,並有效保護個人資料。 4. 問題根源的因應:G7 DPAs應在AI的開發階段(上游)和應用階段(下游)找出問題,並在問題擴大影響前採取適當措施加以解決。 5. 善用經驗:G7 DPAs應充分利用其在資料領域的豐富經驗,謹慎且有效地應對AI相關挑戰。 二、《關於AI與兒童的聲明》 鑒於AI技術發展可能對於兒童和青少年產生重大影響,G7 DPAs發布本聲明表示,由於兒童和青少年的發展階段及其對於數位隱私的瞭解、生活經驗有限,DPAs應密切監控AI對兒童和青少年的資料保護、隱私權及自由可能造成的影響程度,並透過執法、制定適合年齡的設計實務守則,以及發佈面向兒童和青少年隱私權保護實務指南,以避免AI技術導致潛在侵害兒童和青少年隱私的行為[10]。 本聲明進一步闡述,當前及潛在侵害的風險包含[11]: 1. 基於AI的決策(AI-based decision making):因AI運用透明度不足,可能使兒童及其照顧者無法獲得充足資訊,以瞭解其可能造成重大影響的決策。 2. 操縱與欺騙(Manipulation and deception):AI工具可能具有操縱性、欺騙性或能夠危害使用者情緒狀態,促使個人採取可能危害自身利益的行動。例如導入AI的玩具可能使兒童難以分辨或質疑。 3. AI模型的訓練(Training of AI models):蒐集和使用兒童個人資料來訓練AI模型,包括從公開來源爬取或透過連線裝置擷取資料,可能對兒童的隱私權造成嚴重侵害。 三、《從跨國角度觀察降低可識別性:G7司法管轄區對匿名化、假名化與去識別化的法定及政策定義》 考慮到個人資料匿名化、假名化及去識別化能促進資料的創新利用,有助於最大限度地減少隱私風險,本文件旨在整合G7成員國對於匿名化、假名化與去識別化的一致理解,針對必須降低可識別性的程度、資訊可用於識別個人的程度、減少可識別性的規定流程及技術、所產生的資訊是否被視為個人資料等要件進行整理,總結如下: 1. 去識別化(De-identification):加拿大擬議《消費者隱私保護法》(Consumer Privacy Protection Act, CPPA)、英國《2018年資料保護法》(Data Protection Act 2018, DPA)及美國《健康保險可攜性及責任法》(Health Insurance Portability and Accountability Act , HIPAA)均有去識別化相關規範。關於降低可識別性的程度,加拿大CPPA、英國DPA規定去識別化資料必須達到無法直接識別特定個人的程度;美國HIPAA則規定去識別化資料須達到無法直接或間接識別特定個人的程度。再者,關於資料去識別化的定性,加拿大CPPA、英國DPA認定去識別化資料仍被視為個人資料,然而美國HIPAA則認定去識別化資料不屬於個人資料範疇。由此可見,各國對去識別化規定仍存在顯著差異[12]。 2. 假名化(Pseudonymization):歐盟《一般資料保護規則》(General Data Protection Regulation, GDPR)及英國《一般資料保護規則》(UK GDPR)、日本《個人資料保護法》(個人情報の保護に関する法律)均有假名化相關規範。關於降低可識別性的程度,均要求假名化資料在不使用額外資訊的情況下,須達到無法直接識別特定個人的程度,但額外資訊應與假名化資料分開存放,並採取相應技術與組織措施,以確保無法重新識別特定個人,因此假名化資料仍被視為個人資料。而關於假名化程序,日本個資法明定應刪除或替換個人資料中可識別描述或符號,歐盟及英國GDPR雖未明定具體程序,但通常被認為採用類似程序[13]。 3. 匿名化(Anonymization):歐盟及英國GDPR、日本個資法及加拿大CPPA均有匿名化相關規範。關於降低可識別性的程度,均要求匿名化資料無法直接或間接識別特定個人,惟可識別性的門檻存在些微差異,如歐盟及英國GDPR要求考慮控管者或其他人「合理可能用於」識別個人的所有方式;日本個資法則規定匿名化資料之處理過程必須符合法規標準且不可逆轉。再者,上述法規均將匿名化資料視為非屬於個人資料,但仍禁止用於重新識別特定個人[14]。 參、事件評析 本次圓桌會議上發布《關於促進可信賴AI的資料保護機構角色的聲明》、《關於AI與兒童的聲明》,彰顯G7 DPAs在推動AI治理原則方面的企圖,強調在AI技術蓬勃發展的背景下,隱私保護與兒童權益應成為優先關注的議題。與此同時,我國在2024年7月15日預告《人工智慧基本法》草案,展現對AI治理的高度重視,融合美國鼓勵創新、歐盟保障人權的思維,針對AI技術的應用提出永續發展、人類自主、隱私保護、資訊安全、透明可解釋、公平不歧視、問責等七項原則,為國內AI產業與應用發展奠定穩固基礎。 此外,本次圓桌會議所發布《從跨國角度觀察降低可識別性:G7司法管轄區對匿名化、假名化與去識別化的法定及政策定義》,揭示各國在降低可識別性相關用語定義及其在資料保護與隱私框架中的定位存在差異。隨著降低可識別性的方法與技術不斷創新,這一領域的監管挑戰日益突顯,也為跨境資料流動越發頻繁的國際環境提供了深化協調合作的契機。在全球日益關注資料保護與隱私的趨勢下,我國個人資料保護委員會籌備處於2024年12月20日公告《個人資料保護法》修正草案,要求民間業者設置個人資料保護長及稽核人員、強化事故通報義務,並針對高風險行業優先實施行政檢查等規定,以提升我國在數位時代的個資保護水準。 最後,本次圓桌會議尚訂定《2024/2025年行動計畫》(G7 Data Protection and Privacy Authorities’ Action Plan)[15],圍繞DFFT、新興技術與跨境執法合作三大議題,並持續推動相關工作。然而,該行動計畫更接近於一項「基於共識的宣言」,主要呼籲各國及相關機構持續努力,而非設定具有強制力或明確期限的成果目標。G7 DPAs如何應對數位社會中的資料隱私挑戰,並建立更順暢且可信的國際資料流通機制,將成為未來關注的焦點。在全球共同面臨AI快速發展所帶來的機遇與挑戰之際,我國更應持續關注國際趨勢,結合自身需求制訂相關法規以完善相關法制,並積極推動國際合作以確保國內產業發展銜接國際標準。 [1]Office of the Privacy Commissioner of Canada [OPC], G7 DPAs’ Communiqué: Privacy in the age of data (2024), https://www.priv.gc.ca/en/opc-news/news-and-announcements/2024/communique-g7_241011/ (last visited Feb 3, 2025). [2]Id. at para. 5. [3]Id. at para. 7-9. [4]Office of the Privacy Commissioner of Canada [OPC], Statement on the Role of Data Protection Authorities in Fostering Trustworthy AI (2024), https://www.priv.gc.ca/en/opc-news/speeches-and-statements/2024/s-d_g7_20241011_ai/ (last visited Feb 3, 2025). [5]Office of the Privacy Commissioner of Canada [OPC], Statement on AI and Children (2024), https://www.priv.gc.ca/en/opc-news/speeches-and-statements/2024/s-d_g7_20241011_child-ai/ (last visited Feb 3, 2025). [6]Office of the Privacy Commissioner of Canada [OPC], Reducing identifiability in cross-national perspective: Statutory and policy definitions for anonymization, pseudonymization, and de-identification in G7 jurisdictions (2024), https://www.priv.gc.ca/en/opc-news/news-and-announcements/2024/de-id_20241011/ (last visited Feb 3, 2025). [7]Office of the Privacy Commissioner of Canada [OPC], Statement on Generative AI (2023), https://www.priv.gc.ca/en/opc-news/speeches-and-statements/2023/s-d_20230621_g7/ (last visited Feb 3, 2025). [8]Supra note 4, at para. 11. [9]Supra note 4, at para. 18. [10]Supra note 5, at para. 5-6. [11]Supra note 5, at para. 7. [12]Supra note 6, at para. 11-15. [13]Supra note 6, at para. 16-19. [14]Supra note 6, at para. 20-25. [15]Office of the Privacy Commissioner of Canada [OPC], G7 Data Protection and Privacy Authorities’ Action Plan (2024), https://www.priv.gc.ca/en/opc-news/news-and-announcements/2024/ap-g7_241011/ (last visited Feb 3, 2025).

日本推進超級城市系統帶動區域創新

日本推進超級城市系統帶動區域創新 資訊工業策進會科技法律研究所 2021年06月15日 壹、事件摘要 一、超級城市推動背景   數位技術躍升,驅動了產業創新的勃發。然而,現行社經體制與結構卻凸顯出創新速度與監理政策步伐間的落差,繼而牽動二者衝突,影響技術的擴散與創新產業的發展。   面對翻轉傳統框架之創新產業,國際間漸識「區域」居於主導創新發展之重要性,轉而嘗試從地方政府在區域規劃權限出發,尋求以區域創新作法突圍。換言之,區域創新需求的引力將能觸發創新產品或服務之供給,從而誘發法規(暫時)豁免或是鬆綁,為產業創新提供彈性空間。期能藉由法規鬆綁、開放創新的支援手段,通過特定區域作為數位創新技術在社會實踐的實驗室,檢驗與探索創新技術與社會體制之最佳解方。   而日本在區域創新搭配規範特例措施(規制の特例措置)已行之有年,包含有構造改革特區(構造改革特区)、綜合特區(総合特区)及國家戰略特區(国家戦略特区)。渠等皆係以地方政府(或區域)為核心,依其區域發展特性與創新佈建規劃並搭配規範特例措施推行。從既有制度以觀,構造改革特區無涉補助或租稅優惠措施,其推行上以重建財政為重,意即以地方自發性依其地區特性規劃,搭配規範特例措施推行都市再生、經濟上自立,並改善地區發展不均現象。但在此模式下,僅從地方角度出發,審查不符合當地情況之個別法規,難具全面性,整體效益並不顯著;綜合特區同樣以區域為主,設計上除規範特例措施外,另提供綜合性資助,包含稅收、財政上的支援,期望利用區域特定資源打造出可振興地方經濟的模式,立意良善卻無法阻止以綜合性資助為目的的情形;至於國家戰略特區,則是汲取過往經驗,改從國家角度出發,由內閣總理大臣主導,以促進國內外投資與鼓勵創業為旨,審查地方政府所提國家戰略特區計畫,並通過規範特例措施排除適用法規,允許產業在其中進行創新運用。   只是,在推動的過程中,日本漸發現除創新技術應用的特例措施外,資料協作亦至關重要。為精準解決日本的區域問題,必須尋求能夠在居民日常中運用資料協作實施先進技術的方法。在2019年超級城市/智慧城市論壇中,時任總理安倍晉三就此特別提及,資料正是新世代成長的動能,將與人工智慧等先進技術共同實現社會5.0願景。而超級城市所構築的資料流通規則與框架將能支持日本未來新時代的建設[1]。亦即,超級城市將是日本未來發展資料協作的基礎。 二、超級城市型國家戰略特區介紹   如前所述,資料協作成為產業創新不可避免的挑戰。其首要課題當屬完備資料之流通環境。也就是,需要建立一個資料共享基礎設施,促進多元進階服務間的資料蒐集、清洗和提供[2]。而日本注意到串接不同服務所利用之API(Application Programing Interface),本質上應非單純的技術,而是系統。延續此一概念,也直接表彰了日本所構想的超級城市,並非指直接於法律中引入超級城市定義,或直接建立超級城市,而是指開發一種能夠實現超級城市概念的系統(亦有稱其為城市操作系統/OS)[3],藉由系統的實施形塑超級城市型國家戰略特區。為此,日本於2019年啟動《國家戰略特別區域法》修法,以促進資料協作基礎的建立,引動統一且全面的監管改革。   2020年5月27日,《國家戰略特別區域法》一部修正(別名為超級城市法案)正式通過參議院會議,同年6月3日正式公告修正版本法規,9月1日正式施行。緊接著,2020年10月30日更一部修正《國家戰略特區基本方針》,增加有關超級城市區域之指定標準。其後亦陸續進行完備超級城市型國家戰略特區框架之法令調修,包含於《國家戰略特別區域法施行令》(国家戦略特別区域法施行令)增訂資料協作基礎設施事業標準(データ連携基盤整備事業に関する基準);於《國家戰略特別區域法施行規則》(国家戦略特別区域法施行規則)納入確認區域內住民就超級城市構想意向方法(スーパーシティ基本構想についての住民等の関係者の意向の確認方法)要求;於《內閣府‧總務省‧經濟產業省關係國家戰略特別區域法施行規則》(内閣府・総務省・経済産業省関係国家戦略特別区域法施行規則)增加資料協作基礎設施安全管理基準(データ連携基盤の安全管理基準);於《國家戰略特別區域法第二十五條之二規定實證事業等的內閣府令》(国家戦略特別区域法第二十五条の二の内閣府令で定める実証事業等を定める内閣府令)增加地區限定型監理沙盒制度施行規定(地域限定型サンドボックス制度の施行のための規定等)。   而超級城市型國家戰略特區內涵主要是以發展《促進官民資料活用推進基本法》(官民データ活用推進基本法)第2條所稱人工智慧、物聯網相關技術事業、及其他能處理大量資料並增加服務價值或創造新價值,進而衍生新興業務之先進技術事業為基礎,在《國家戰略特別區域法》增訂「先進區域資料活用事業活動」(先端的区域データ活用事業活動)概念,扣合超級城市區域指定標準中所訂,超級城市區域必須提供至少五個領域以上的先進服務,並且應與當地居民、地方公共團體、私營企業取得監理改革的共識要求,串接先進區域資料活用事業與區域內居民需求,引動監理改革。   附帶一提的是,超級城市框架的特色,除在先進事業運用必須貼合區域內居民需求外,居於區域整體規劃角度,更特別要求超級城市區域必須設置構想整體規劃的「建築師」(アーキテクト),且應以公開招募方式選出有能力營運超級城市系統者,確保資料協作基礎的相容性與安全性符合《資料協作基礎設施安全管理基準》。企能實現先進區域資料活用事業活動之主體資訊系統與擁有區域資料的主體資訊系統間相互合作之基礎,並在此基石上,蒐集、整理並提供資料予有需求之先進區域資料活用事業者,以周全區域內居民及利害關係人之權益[4],進而支援超級城市的實施。 貳、重點說明   綜整前述說明,日本在構建超級城市型國家戰略特區框架所著重點,分別係建置資料協作基礎設施之共享與合作,及推動大膽且全面的監理改革,以使先進技術落地。 一、構築資料協作基礎設施,帶動資料共享與合作   超級城市型國家戰略特區框架之重點,乃以資料協作為核心,因此資料協作基礎設施之建置,將是先進區域資料活用事業成功與否的關鍵。   然而要能順利推行資料協作,不同軟體間交換資料和指令時的連接方法必須具備通用性,以備未來不同領域甚或不同城市彼此間進行資料之交換與運用。故超級城市/智慧城市資料協調研究協會提出資料流通系統三大關鍵,分別為API角色及相關規則與發布方法、資料仲介者的能力與機能、資料結構的標準化。循此,日本通過設立資料協作基礎設施事業標準,擬定API規格、所處理資料種類與內容和運用的相關規約,其中特別強調的是,就涉及個人資料的運用,應以當事人「事前同意」為原則,並且要求相關資訊之公開必須通過網路實施,於提供資料時不得附加不正當之不公平條款等。另外,因應資安問題,日本亦特別明定資料安全管理基準,並要求應有確立責任主體機制、資料運用規章、資料安全專責人員、PDCA作業內容以及事業繼續計畫制定等,強化資料協作基礎設施功能與安全性。 二、大膽全面之監理改革,促成先進技術落地   有關超級城市型國家戰略特區第二點特色,係在地域型監理沙盒模式基礎上,搭配資料協作基礎活化先進技術資料的運用,促進多元領域間的合作。主要推行手段係建立新規制特例措施(新たな規制の特例措置),事先於《國家戰略特別區域法第二十五條之二規定實證事業等的內閣府令》框定相關先進技術,如自駕車、無人機及無線電波應用等,使其能夠在超級城市型國家戰略特區內更快速地用於實證。而因應快速實證作法,日本建立監控和評估系統加強事後檢查,並盡可能減少事前監管干預,以此強化國家戰略特別區域中產業國際競爭力或是形成國際經濟活動據點的正當性。   其中,值得注意的是,即便日本希望簡化行政程序,盡可能減少事前監管的干預,但在超級城市型國家戰略特區運作上,仍然必須與區域內居民進行溝通協調。蓋因在先進技術運用領域上,超級城市的特色是以居民需求作為出發點,強調區域居民的參與與支持。   故在指定超級城市的標準中,也明確地表示區域內居民意向之重要性,同時,特別指示地方政府申請超級城市型國家戰略特區時,應闡明調查該區域居民及其他利害關係人之方式和結果等,以便確認區域內住民就超級城市構想意向。整體而言,其推進方式係透過所謂的「區域會議」(区域会議)進行。在區域會議(特區擔當大臣、首長、經營者、居民代表等)中,選取區域居民所面臨的社會問題。其後,透過區域會議共商有助於解決地區社會問題的先進技術產品或服務,並依此擬定先進技術產品或服務間協調和共用資料的基本計劃(基本概念),通過表決進而提出監理改革事項。在此過程中,提出超級城市構想之地方政府,即可依據區域會議所了解之先進技術區域資料利用內容,要求總理大臣根據內閣辦公室條例(附有證明居民協議之書面文件,必要時得檢附監管改革建議)制定新的特例措施。後續地方政府將依據特例措施進行先進技術的落地應用。 參、事件評析   超級城市實施的關鍵,在於資料協作基礎及新規制特例措施的推行。雖然超級城市的推行尚處於選案階段,但觀察日本在推動超級城市中所著眼之資料協作基礎設施及地域型監理沙盒的事後檢查做法,或可做為我國推行區域創新借鏡。   首先是資料協作基礎設施之建設,近年,我國國發會大力改革與推動下,透過《政府資訊公開法》、《行政機關電子資料流通實施要點》及《個人化資料自主運用平臺介接作業要點》等,促進我國公、私領域資料的流通與串接。而未來,考量先進技術產業與跨領域資料協作需求,或宜考量日本以系統思維推行資料流通串接之作法,除公部門資料及個人資料外,就產業資料及相關合作之可能性一併考慮,構建區域化的資料協作基礎設施。   次者是,回顧我國在應對先進技術的法規調適做法,已陸續有以產業需求為主的《金融科技發展與創新實驗條例》、《無人載具科技創新實驗條例》及其他不同目的推動之小型實證計畫等,但似尚無與地方政府共同合作,引動在地居民了解政策並參與之機制。故借鑒日本超級城市型國家戰略特區以區域居民需求結合中央權限制定特例措施之作法,或許亦能為我國推動區域創新指出另一條明路,有效促進更接地氣的創新實證落地,並帶動區域經濟向上發展。    [1]スーパーシティ/スマートシティフォーラム2019に寄せて報告書,2019年,頁7。 [2]国家戦略特別区域法及び構造改革特別区域法の一部を改正する法律案,https://www.chisou.go.jp/tiiki/kokusentoc/kettei/pdf/r10607_sankou.pdf (最後瀏覽日:2021/5/6) [3]萩原詩子,〈「スーパーシティ」実現を目指す、国家戦略特別区域法改正法案〉,2020/2/21,https://project.nikkeibp.co.jp/atclppp/PPP/news/021401450/ (最後瀏覽日:2020/6/12)。 [4]国家戦略特別区域法の一部を改正する法律第2條第3項,令和2年6月3日。

日本修訂《教育資訊安全政策指引》以建構安全的校園ICT環境

  日本文部科學省於2022年3月發布「教育資訊安全政策指引」(教育情報セキュリティポリシーに関するガイドライン)修訂版本,該指引於2017年10月訂定,主要希望能作為各教育委員會或學校作成或修正資訊安全政策時的參考,本次修訂則是希望能具體、明確化之前的指引內容。本次修訂主要內容如下。 (1)增加校務用裝置安全措施的詳細說明: 充實「以風險為基礎的認證」(リスクベース認証)、「異常活動檢測」(ふるまい検知)、「惡意軟體之措施」(マルウェア対策)、「加密」(暗号化)、「單一登入的有效性」(SSOの有効性)等校務用裝置安全措施內容敘述。 (2)明確敘述如何實施網路隔離與控制存取權的相關措施: 對於校務用裝置實施網路隔離措施,並將網路分成校務系統或學習系統等不同系統,若運用精簡型電腦技術(シンクライアント技術)則可於同一裝置執行網路隔離。另外,針對校務用裝置攜入、攜出管理執行紀錄,並依實務運作調整控制存取權措施,例如安全侵害影響輕微者則可放寬限制以減輕管理者負擔。

美國加州法院期透過數位方式管理證據生命週期,帶動司法效率提升

2024年9月23日起,美國加州洛杉磯高等法院於康普頓(Compton)與比佛利山莊(Beverly Hills)法院試行數位證據系統,旨於簡化小額訴訟程序,使訴訟當事人透過數位證據系統平臺進行數位證據開示,節省郵寄實體證據副本所花費的時間、人力、物力。洛杉磯高等法院為全美最大之一審法院,法院轄區人數逾1千萬人,其所推動之數位證據系統具參考價值。 以下說明數位證據系統的重點: 1.數位證據系統適用的案件範圍 適用於「小額訴訟當事人於聽證會前之證據開示程序」。 關於證據開示程序,訴訟當事人應至少於訴訟聽證會前10 日完成證據開示。證據開示程序的傳統做法為當事人將證據副本「郵寄」給對造,而數位證據系統允許訴訟兩造於聽證會前,以「電子方式」交換證據。 依加州法規定,小額訴訟指原告向被告(個人、企業或政府單位)請求給付的金額在1.25萬美元以下。 2.數位證據系統可上傳的數位證據類型 訴訟當事人輸入「案號、聽證會具體日期、個人資訊(電子信箱或手機號碼)及6位數字金鑰」以驗證身分、註冊數位證據系統帳號後,可於數位證據系統分批上傳多種文件格式,包含時戳證據(Time stamp evidence)、圖片、影片、文字檔(如Word、OpenOffice)、PDF檔案、HTML檔案、簡報檔案等。並勾選上傳資料之當事人身分(原告或被告),確認上傳證據。 當事人應於確認上傳之每筆證據的註解中,簡述(briefly)該證據資訊。 經當事人確認、成功上傳至數位證據系統的每筆證據,都會擁有其唯一的(unique)證據編號(Exhibit Number)。 該系統最終會製作出一份「涵蓋該案件所有數位證據資訊的證據清單(Exhibit List)」PDF檔案,包含:案號、數位證據編號、證據縮圖及證據之簡述資訊等資訊,以便當事人依證據清單,參考(refer to)證據編號進行證據開示。 3.數位證據系統的檔案權限控管之設定 (1)上傳、編輯、刪除權限 訴訟當事人可上傳數位證據。 於系統上傳、未確認送出數位證據的階段,當事人則可編輯、刪除數位證據。 (2)線上瀏覽權限 上傳證據之當事人、司法人員擁有線上瀏覽「所有經當事人確認上傳之數位證據」的權限。 於系統確認數位證據後,上傳證據之當事人可於系統「勾選欲共享之數位證據」後,輸入對造之姓名、電子信箱,與對造共享其指定之數位證據。 (3)下載權限 訴訟期間至結案後60日內,訴訟兩造均可於數位證據系統下載數位證據。 4.證據於數位證據系統的保存期限 於小額訴訟結案後60日內,系統將自動刪除該案上傳之數位證據。 美國加州推動數位證據平臺,使當事人於平臺驗證身分、上傳時戳等數位證據,由平臺產出涵蓋案號、證據編號及證據資訊之證據清單,透過系統之權限控管加強證據管理,以數位證據開示減輕傳統證據開示程序之負擔。關於司法資料交換,參照我國由司法院、法務部、臺灣高等檢察署、內政部警政署及法務部調查局於2024年4月正式啟用之「司法聯盟鏈共同驗證平台」,以「b-JADE證明標章」作為數位資料管理之標準,透過數位資料歷程管理與資料存證機制,鞏固證物保管機制。 上述之國內外趨勢之資料管理之作法可被資策會科法所發布之《重要數位資料治理暨管理制度規範(下稱EDGS)》所涵蓋,美國加州數位證據系統,透過管理證據生命週期之各階段,首先由當事人上傳、確認證物資訊及建置清單;其次設有不同程度的檔案使用權限;並訂有證據資料之保存期限,以便進行證據管理、加速司法訴訟之證據開示程序。而為方便資料管理者控管數位資料,EDGS同樣強調資料之生命週期管理,由「檔案標題或檔案的相關資訊,需要能對應特定的數位資料」,輔以建立「資料清單」有助於盤點多筆資料。並透過「控管資料權限」等保護措施,搭配「評估資料的維護期限」,以達到管理資料歷程的目標。建議企業將EDGS納入資料管理規劃,確保資料管控有方。 本文為資策會科法所創智中心完成之著作,非經同意或授權,不得為轉載、公開播送、公開傳輸、改作或重製等利用行為。 本文同步刊登於TIPS網站(https://www.tips.org.tw)

TOP