日本《科技創新成果活用法》
為推動研發制度的改革並強化研發能力及效率，日本於2018年12月14日通過法律修正案，將原《研發力強化法》（研究開発システムの改革の推進等による研究開発能力の強化及び研究開発等の効率的推進等に関する法律）更名為《科技創新成果活用法》（科学技術・イノベーション創出の活性化に関する法律），透過調整大學、國立研究開發法人（以下簡稱研發法人）的研究人員僱用制度、國家或人民安全相關研發預算的確保，以及研發法人投資科技研發成果之運用等相關制度的調整，以支持未來日本在科技創新研發能力的提升，以及研發成果的有效運用。
本次修法最大的重點，為研發法人投資研發成果運用的明文化，過去在《研發力強化法》中，僅規定研發法人得進行有助於成果運用的出資或技術協助等業務（第43條之2），但對於是否能保有因出資或技術協助所取得之收入（例如股票），則由各研發法人以其設置法另為規範；本次修正之《科技創新成果活用法》，則於第34條之5明文規定研發法人不受獨立行政法人不得持有股票的限制，可持有其運用研發成果進行技術作價投資或成立新創，所取得之股票或新股認股權，確立研發法人在支持研發成果運用上的功能與角色。
本文為「經濟部產業技術司科技專案成果」
范晏儒
專案經理 編譯整理
何謂「國立研究開發法人」？，資訊工業策進會科技法律研究所， https://stli.iii.org.tw/article-detail.aspx?no=57&tp=5&i=5&d=8159&lv2=5（最後瀏覽日：2019/06/06）。
台南市低碳自治條例與國際促進能源效率立法趨勢 科技法律研究所 2013年3月26日 壹、事件摘要 根據自由時報3月5日報導，台南市為將該市打造為國際指標性之低碳城市，在去年制訂了「台南市低碳城市自治條例」，並在未來規劃對大建築面積、及用量超過800千瓦之用戶，要求必須裝置一定比例太陽光電系統的強制規定。該條例同時要求公有、及供公眾使用的建築物，須為銀級以上綠建築之規定，亦在近日吸引了媒體的關注。 貳、重點說明 一、臺南市政府低碳城市自治條例 台南市政府於2012年12月22日以府法規字第1011084760A號令公布了「台南市低碳城市自治條例」，共六章、三十八條，並於第四章「低碳城市推動與管理」，做了前述對耗電大的用戶為一定比例太陽能光電系統設置要求之規範。 在綠建築的部分，依據該條例第21條第1款之規定，台南市公有或經該市公告指定地區之新建建築物於申請建造執照時，若非供公眾使用之建築物，須為合格級以上之綠建築。而公有及供公眾使用之建築物，則須進一步符合為銀級以上之綠建築。此策略採取賦予公部門較高的法規遵循義務，與國外立法例趨勢相當吻合。詳述如下。 參、事件評析 一、國外立法例 (一)從一定面積以上面積建築著手 根據自由時報的報導，台南市政府在未來將針對大建築面積用戶，強制其裝設用電量一定比例的太陽光電系統。關於面積的細部規範雖然未見於該市低碳自治條例，但此一規劃無疑符合國際間為提高節能效率所採取的規範趨勢。 例如美國在2007年能源獨立及安全法架構下，由總統在2009年所發佈的行政命令第13514號的第2條第g項第3款，即要求確保既有聯邦建築或聯邦機構(agency)所承租之建築，面積超過5000平方英呎者，應在財政年度2015年前，使其面積的15%完全符合「聯邦永續建築指導原則」(Federal Leadership in High Performance and Sustainable Building, 在該行政命令中簡稱 Guiding Principle)。 而新加坡也有類似的規範。根據該國「2008年建築管制(環境永續)規定」(Building Control《Environmental Sustainability》2008)第3條與第4條之規定，所有總樓板面積(gross floor area) 超過2,000平方公尺的建築之建設或有關總樓板面積超過2,000平方公尺既有建築之面積增建(increasing the gross floor area)，或關於建築外殼或建築服務的提供、擴大或實質的改變，皆應至少達到依據建築環境永續規範(Code for Environmental Sustainability of Buildings)的綠色標誌積分(Green Mark scores) 50分。 (二)對公部門採取較民間更高標準 由前述關於南市低碳自治條例中關綠建築之規範可知，該市在為相關管制的規劃時，所採取的政策是讓公部門先承擔較高的法規遵循義務(在該條例第21條的規定中，公有建築物在申請建照時須符合銀級綠建築之標準，而不若一般非供眾使用之建築物，僅要求其須合格)。此種作法亦為國際間為引領民間部門推動節能減碳常見的法制政策規劃。 除了上述美國的規定也是先對公部門作要求外，歐盟能源指令第5條第1項也有類似之規範。該條款要求歐盟各會員國自2014年1月1日起，就其中央政府所擁有或佔有之面積超過500平方公尺之建築，每年應翻修總樓板面積的3%，使其至少符合建築效率指令(2010/31/EU, Directive on Energy Performance of Buildings)第4條關於最低建築能源效率(minimum energy performance requirements for buildings)之要求。 二、短評與小結 由上述介紹可知，台南市低碳自治條例，為促進節能減碳而採行諸如由一定面積以上建築物著手，並對公部門此取更高標準之規定皆與國際趨勢相符。無獨有偶，高雄市於去年通過的綠建築自治條例，也有類似規定。我國在各級地方政府皆能與國際接軌的共同努力下，能否在促進能源效率方面達成較歐美等先進國家更耀眼的成積，著實令人期待。
美國俄亥俄州推出「個人隱私法草案」2021年7月13日，美國俄亥俄州（下稱俄州）副州長Jon Husted宣布推出《俄州個人隱私法》（Ohio Personal Privacy Act, OPPA，下稱本法），這是美國近期最新州級別的個人隱私保護法草案，並提出企業可資遵循隱私標準俾該州消費者隱私之保護。 首先，本法草案除賦予該州消費者知悉權、近用權、刪除權外，更賦予資料銷售退出權（right to opt out sales）及不受歧視權（right to discrimination）。並於俄州境內規範三種企業：（一）年營收逾2,500萬美元；（二）單一年度內經手10萬名以上消費者個資；（三）年營收半數源自於個人資料銷售且經手2.5萬名以上消費者個資。 惟所稱企業，排除如：州立機關或機構、受管制之金融機構及其附屬單位、實體或關係組織、高等教育機構等；至所稱消費者個資，則排除如：法規保護之個資（如健康資訊及紀錄、病患辨識資訊、人類受試者之個資及相關資訊、病患安全工作成果、個人信用等）、依法（如駕照法、家事法、醫療法及本法等）所得個資或依法授權得使用於公衛之資訊等。 特別的是，如企業違反本法，消費者並無獨立訴訟權，其執法權專屬州總檢察長。因此，如本法日後通過並施行，無論對俄州企業抑或消費者權益之影響，均有待觀察。
英國發佈具有決定性的基因體醫藥報告正當英國衛生部門(Department of Heath)計畫建構一個受命與提供資金的機構來進行癌症分子研究時，一個著重於基因藥物使用的英國政府諮詢組織-人類基因體策略團體(Human Genomics Strategy Group)提出報告要求英國健康照護服務(National Health Service, NHS)以多面向的方式來開發潛在性基因體科技。 人類基因體策略團體所提供的報告建置出了英國就基因體藥物於臨床應用可行性的相關步驟，該等步驟可提昇英國臨床醫師決定疾病的風險與傾向、從事正確的診斷與預知，以及培養個人醫療的能力。除此之外，該報告亦開展了人類基因體於臨床與診斷照護上的創新應用，並且提供英國政府關於基因資料之處理、公共健康議題與教育等措施資訊，以用來支持基因體科技的應用。 該報告建議，有鑑於英國已擁有強健的研究文化與資源，現階段英國已經準備好基因體藥物研究的初期階段。然而，在開始基因體藥物的研究之前，英國政府應該先在基因體技術廣泛使用於臨床照護與診斷的面向上作出更多的努力，其中包括建制出一套對於基因體與臨床基因檢驗的清楚標準，用以發展出一般性的程序來幫助健康照護專業人員來取得檢驗並分析結果。除此之外，為了防止前述一般性程序產生各項倫理道德性爭議，該報告亦建議英國政府應該發展出一套法制規範來處理關於基因藥物是否具有利用性的挑戰議題，並且以該規範來防範各種基因體資料可能被濫用的問題。 而除了建置基因體計畫法制面的規範，為了讓基因體技術能更廣泛的應用於臨床照護與診斷的範疇，此報告亦建議英國NHS應該規劃採用基因體科技的計畫、發展中央基因體儲存網絡來處理大量由基因體藥物所產生的生物資訊，以及開展出針對基因體科技所發展的受命計畫和服務傳遞模型。同時，考量英國國民與健康照護人員對於促進基因體藥物亦有所幫助，該報告也建議英國NHS應該持續提供相關教育與訓練課程來提高前述人員對於基因體藥物的認知與其帶來的益處。 有鑑於基因體醫藥報告對於英國未來從事基因實驗、臨床研究與基因藥物的研發具有決定性的影響，然該報告僅建構出具體的大方向，對於細節部分尚未有大量的著墨。因此，英國官方部門如何將此份報告於法制面和技術面加以具體落實，實值得繼續就相關內容作後續的追蹤。
初探物聯網的資通安全與法制政策趨勢初探物聯網的資通安全與法制政策趨勢 資訊工業策進會科技法律研究所 2021年03月25日 壹、事件摘要 在5G網路技術下，物聯網（Internet of Things, IoT）的智慧應用正逐步滲入各場域，如智慧家庭、車聯網、智慧工廠及智慧醫療等。惟傳統的資安防護已不足以因應萬物聯網的技術發展，需要擴大供應鏈安全，以避免成為駭客的突破口[1]。自2019年5月「布拉格提案[2]」（Prague Proposal）提出後，美國、歐盟皆有相關法制政策，試圖建立各類資通訊設備、系統與服務之安全要求，以強化物聯網及相關供應鏈之資安防護。是以，本文觀測近年來美國及歐盟主要的物聯網安全法制政策，以供我國借鏡。 貳、重點說明 一、美國物聯網安全法制政策 （一）核心網路與機敏性設備之高度管制 1.潔淨網路計畫 基於資訊安全及民眾隱私之考量，美國政府於2020年4月提出「5G潔淨路徑倡議[3]」（5G Clean Path initiative），並區分成五大構面，包括：潔淨電信（Clean Carrier）、潔淨商店（Clean Store）、潔淨APPs（Clean Apps）、潔淨雲（Clean Cloud）及潔淨電纜（Clean Cable）；上述構面涵蓋之業者只可與受信賴的供應鏈合作，其可信賴的標準包括：設備供應商設籍國的政治與治理、設備供應商之商業行為、（高）風險供應商網路安全風險緩和標準，以及提升供應商信賴度之政府作為[4]。 2.政府部門之物聯網安全 美國於2020年12月通過《物聯網網路安全法[5]》（IoT Cybersecurity Improvement Act of 2020），旨在提升聯邦政府購買和使用物聯網設備的安全性要求，進而鼓勵供應商從設計上導入安全防範意識。本法施行後，美國聯邦政府機關僅能採購和使用符合最低安全標準的設備，將間接影響欲承接政府物聯網訂單之民間業者及產業標準[6]。 另外，美國國防部亦推行「網路安全成熟度模型認證[7]」（Cybersecurity Maturity Model Certification, CMMC），用以確保國防工程之承包商具備適當的資訊安全水平，確保政府敏感文件（未達機密性標準）受到妥適保護。透過強制性認證，以查核民間承包商是否擁有適當的網路安全控制措施，消除供應鏈中的網路漏洞，保護承包商所持有的敏感資訊。 （二）物聯網安全標準與驗證 有鑑於產業界亟需物聯網產品之安全標準供參考，美國國家標準暨技術研究院（National Institute of Standards and Technology, NIST）提出「物聯網網路安全計畫」，並提出各項標準指南，如IR 8228：管理物聯網資安及隱私風險、IR 8259（草案）：確保物聯網裝置之核心資安基準等。 此外，美國參議院民主黨議員Ed Markey亦曾提出「網路盾」草案[8]（Cyber Shield Act of 2019），欲建立美國物聯網設備驗證標章（又稱網路盾標章），作為物聯網產品之自願性驗證標章，表彰該產品符合特定產業之資訊安全與資料保護標準。 二、歐盟物聯網安全法制政策 （一）核心網路安全建議與風險評估 歐盟執委會於2019年3月26日提出「5G網路資通安全建議[9] 」，認為各會員國應評鑑5G網路資通安全之潛在風險，並採取必要安全措施。又在嗣後提出之「5G網路安全整合風險評估報告[10]」中提及，5G網路的技術漏洞可能來自軟體、硬體或安全流程中的潛在缺陷所導致。雖然現行3G、4G的基礎架構仍有許多漏洞，並非5G網路所特有，但隨著技術的複雜性提升、以及經濟及社會對於網路之依賴日益加深，必須特別關注。同時，對供應商的依賴，可能會擴大攻擊表面，也讓個別供應商風險評估變得特別重要，包含供應商與第三國政府關係密切、供應商之產品製造可能會受到第三國政府施壓。 是故，各會員國應加強對電信營運商及其供應鏈的安全要求，包括評估供應商的背景、管控高風險供應商的裝置、減少對單一供應商之依賴性（多元化分散風險）等。其次，機敏性基礎設施禁止高風險供應商的參與。 （二）資通安全驗證制度 歐盟2019年6月27日生效之《網路安全法[11]》（Cybersecurity Act），責成歐盟網路與資訊安全局（European Union Agency for Cybersecurity, ENISA）協助建立資通訊產品、服務或流程之資通安全驗證制度，確保資通訊產品、服務或流程，符合對應的安全要求事項，包含：具備一定的安全功能，且經評估能減少資通安全事件及網路攻擊風險。原則上，取得資安驗證之產品、服務及流程可通用於歐盟各會員國，將有助於供應商跨境營運，同時能協助消費者識別產品或服務的安全性。目前此驗證制度為自願性，即供應商可以自行決定是否對將其產品送交驗證。 參、事件評析 我國在「資安即國安」之大架構下，行政院資通安全處於2020年底提出之國家資通安全發展方案（110年至113年）草案[12]，除了持續強化國家資安防禦外，對於物聯網應用安全亦多有關注，其間，策略四針對物聯網應用之安全，將輔導企業強化數位轉型之資安防護能量，並強化供應鏈安全管理，包括委外供應鏈風險管理及資通訊晶片產品安全性。 若進一步參考美國與歐盟的作法，我國後續法制政策，或可區分兩大性質主體，採取不同管制密度，一主體為受資安法規管等高度資安需求對象，包括公務機關及八大領域關鍵基礎設施之業者與其供應鏈，其必須遵守既有資安法課予之高規格的安全標準，未來宜完善資通設備使用規範，包括：明確設備禁用之法規（黑名單）、高風險設備緩解與准用機制（白名單）。 另一主體則為非資安法管制對象，亦即一般性產品及服務，目前可採軟性方式督促業者及消費者對於資通設備安全的重視，是以法制政策推行重點包括：發展一般性產品及服務的自我驗證、推動建構跨業安全標準與稽核制度，以及鼓勵聯網設備進行資安驗證與宣告。 [1]經濟部工業局，〈物聯網資安三部曲：資安團隊+設備安全+供應鏈安全〉，2020/08/31，https://www.acw.org.tw/News/Detail.aspx?id=1149 （最後瀏覽日：2020/12/06）。 [2]2019年5月3日全球32個國家的政府官員包括歐盟、北大西洋公約組織 （North Atlantic Treaty Organization, NATO）的代表，出席由捷克主辦的布拉格5G 安全會議 （Prague 5G Security Conference），商討對5G通訊供應安全問題。本會議結論，即「布拉格提案」，建構出網路安全框架，強調5G資安並非僅是技術議題，而包含技術性與非技術性之風險，國家應確保整體性資安並落實資安風險評估等，而其中最關鍵者，為確保5G基礎建設的供應鏈安全。是以，具體施行應從政策、技術、經濟、安全性、隱私及韌性（Security, Privacy, and Resilience）之四大構面著手。Available at GOVERNMENT OF THE CZECH REPUBLIC, The Prague Proposals, https://www.vlada.cz/en/media-centrum/aktualne/prague-5g-security-conference-announced-series-of-recommendations-the-prague-proposals-173422/ (last visited Jan. 22, 2021). [3]The Clean Network, U.S Department of State, https://2017-2021.state.gov/the-clean-network/index.html (last visited on Apr. 09, 2021)；The Tide Is Turning Toward Trusted 5G Vendors, U.S Department of State, Jun. 24, 2020, https://2017-2021.state.gov/the-tide-is-turning-toward-trusted-5g-vendors/index.html (last visited Apr. 09, 2021). [4]CSIS Working Group on Trust and Security in 5G Networks, Criteria for Security and Trust in Telecommunications Networks and Services (2020), https://csis-website-prod.s3.amazonaws.com/s3fs-public/publication/200511_Lewis_5G_v3.pdf (last visited Nov. 09, 2020). [5]H.R. 1668: IoT Cybersecurity Improvement Act of 2020, https://www.govtrack.us/congress/bills/116/hr1668 (last visited Mar. 14, 2021). [6]孫敏超，〈美國於2020年12月4日正式施行聯邦《物聯網網路安全法》〉，2020/12，https://stli.iii.org.tw/article-detail.aspx?no=64&tp=1&d=8583 （最後瀏覽日：2021/02/19）。 [7]U.S. DEPARTMENT OF DEFENSE, Cybersecurity Maturity Model Certification, https://www.acq.osd.mil/cmmc/draft.html (last visited Nov. 09, 2020). [8]H.R.4792 - Cyber Shield Act of 2019, CONGRESS.GOV, https://www.congress.gov/bill/116th-congress/house-bill/4792/text (last visited Feb. 19, 2021). [9]COMMISSION RECOMMENDATION Cybersecurity of 5G networks, Mar. 26, 2019, https://eur-lex.europa.eu/legal-content/EN/TXT/PDF/?uri=CELEX:32019H0534&from=GA (last visited Feb. 18, 2021). [10]European Commission, Member States publish a report on EU coordinated risk assessment of 5G networks security, Oct. 09, 2019, https://ec.europa.eu/commission/presscorner/detail/en/IP_19_6049 (last visited Feb. 18, 2021). [11]Regulation (EU) 2019/881 of the European Parliament and of the Council of 17 April 2019 on ENISA and on Information and Communications Technology Cybersecurity Certification and Repealing Regulation (EU) No 526/2013 (Cybersecurity Act), Council Regulation 2019/881, 2019 O.J. (L151) 15. [12]行政院資通安全處，〈國家資通安全發展方案（110年至113年）草案〉，2020/12，https://download.nccst.nat.gov.tw/attachfilehandout/%E8%AD%B0%E9%A1%8C%E4%BA%8C%EF%BC%9A%E7%AC%AC%E5%85%AD%E6%9C%9F%E5%9C%8B%E5%AE%B6%E8%B3%87%E9%80%9A%E5%AE%89%E5%85%A8%E7%99%BC%E5%B1%95%E6%96%B9%E6%A1%88(%E8%8D%89%E6%A1%88)V3.0_1091128.pdf （最後瀏覽日：2021/04/09）。