日本學術會議所屬「深化與推動開放科學檢討委員會(オープンサイエンスの深化と推進に関する検討委員会)」為深化與推動開放科學發展,於2020年5月28日發布建言(原文為提言)。本建言接續國際間提倡的「資料驅動型科學」、與日本Society5.0政策內「資料驅動型社會」構想,目的在於凸顯研究資料共享概念與共享平台的重要性,梳理現行措施下的問題,並提出政策與制度調適建議。
建言提出三項觀察。其一,研究論文投稿至期刊出版機關,論文尚未審查通過並發表前,論文本身與經整理之研究資料的著作財產權雖屬於原作者所有,出版機關原則會另與投稿作者約定,作者不得對外公開其研究成果與研究資料,目的在於避免未經審查通過的成果與資料散布,造成錯誤訊息流通。COVID-19疫情蔓延期間,美國國家衛生研究院(National Institutes of Health, NIH)、國立研發法人日本醫療研究開發機構(AMED)等研究資助機構,則依循過往大規模傳染病發生時的慣例,與期刊出版機關等達成協議並發表聲明,只要作者同意釋出,即允許有關論文發表前得先將研究成果與資料與WHO及外界共享,期待藉資料快速公開流通協助對抗疫情。這些措施體現了資料的重要性與共享可能性,但共享後,利用方新取得的資料應如何繼續以適切方式公開,則有賴資料的數位平台機制完備現行作法的不足。其二,資料本身非著作物,不直接受著作權法保護,各國法例亦較少另外賦予資料庫(database)法定權利。日本則在不正競爭防止法增訂「提供予特定對象資料(限定提供データ)」保護制度,定義非法取用原僅授權特定人使用之資料的行為,將落入不當競爭行為的範疇,強化營業與數位資料利用之法定權利保護。其三,近年來,日本公平交易委員會因應Google、Amazon可能運用資料蒐集達成市場壟斷的疑慮,重新檢討其反托拉斯政策,顯示資料利用亦可能牴觸反托拉斯法;歐盟一般資料保護規則(GDPR)的規範強度與密度較日本國內法為高,則讓資料利用涉及個資時,無法僅以日本個資法為標準。資料利用涉及多部法規,增加資料利用者合法使用的難度,從而降低研究者再利用研究資料的意願。
基於上述觀察,本建言提出以下法制與政策建議:(1)統整不正競爭防止法、個人資料保護法、著作權法等相關法規範,同時考量研究資料本身特性與社會應用途徑,作成指引供外界遵循;(2)國家應資助學術界或進行研發活動之機構,建構得長期蒐整、保存與共享研究資料之平台,協助實現跨領域或跨部門的研究資料融合利用與價值創造;(3)針對研究成果採用的原始樣本(如岩石、土壤、生物、物質等),以及人文社會科學領域研究的原始資料(如文書紀錄、書籍、技術等),建立永久保存之制度。
本文為「經濟部產業技術司科技專案成果」
美國衛生部隸屬之醫療資訊科技標準委員會(Health IT Standards Committee)為了因應「2009年經濟復甦暨再投資法」(America Recovery and Reinvestment Act, “ARRA”)的通過,制定了新的電子醫療紀錄的隱私、安全標準,以擴大保護電子醫療紀錄的使用安全。 這次制定的電子醫療紀錄的隱私、安全標準,將透過具有足夠防護能力的醫療資訊科技系統標準,來保護電子醫療紀錄的交換,並且擴大適用範圍到醫療照護廠商與提供者,要求其必須在2011年前達到幾項資訊的使用控制標準,包括「醫療保險可攜與責任法」(Health Insurance Portability and Accountability Act, “HIPAA”)與「加密促進標準」(Advanced Encryption Standard)之相關規定,以完備個人電子醫療資訊的保護網。 在此次訂立的標準之下,任何人員或是應用程式欲使用與接近電子醫療紀錄,應符合法律所授予的接近與使用之要件。同時,處理個人醫療資訊的系統,也必須具備對個人醫療資訊加密與解密的能力,以保障個人醫療資訊的安全與完整。除了以上的要求,這些標準也要求相關的適用機構,必須在2013年以前完成符合病歷交換格式(HL7)的使用接近控制、安全宣示標記語言(Security Assertion Mark-up Language, “SAML”)、網路服務認證(Web Service Trust, “WS-Trust”)以及促進資訊標準建置組織(Organization for the Advancement of Structured Information Standards, “OASIS”)的機制,以保障醫療資訊的安全。
蘇格蘭期望透過刑事司法革新,強化數位證據資料之管理,以提升刑事司法之效率蘇格蘭於2024年9月24日向刑事司法委員會提交刑事司法革新與家庭暴力審查法案(Criminal Justice Modernisation and Abusive Domestic Behaviour Reviews (Scotland) Bill),期望透過數位程序,提升司法部門的有效性與效率。 在刑事司法數位化部分,主要為將2020年及2022年因疫情而制定的臨時措施正式化,臨時措施包含: 1、在訴訟文件上使用電子簽名。 2、以電子方式寄送訴訟文件。 3、以虛擬方式參加刑事法庭。 4、提高定額罰款限額。 5、羈押的全國管轄權。 此外,在刑事司法數位化部分,亦新增兩項數位創新條款,例如透過數位證據共享功能(Digital Evidence Sharing Capability, 下稱DESC)平臺來進行: 1、在刑事程序中使用證據照片而非實體證據。 2、使證據之複製品效力等同於實體證據。 對於刑事司法革新與家庭暴力審查法案而言,DESC在其中扮演了十分重要的角色。DESC改變了數位證據的儲存、編輯、傳輸以及在法庭上展示的方式。且DESC可透過多種身分驗證,並透過系統自動生成之具唯一性的資料識別碼並記錄上傳者及上傳時間,資料上傳系統後亦會自動留存所有資料編輯、修改、刪除行為等審核措施,確保數位證據的正確性、完整性與可驗證性,防止數位證據在上傳DESC後遭到竄改或損毀,亦可透過資料識別碼的比對確保數位資料的正確性與完整性。 蘇格蘭提交的刑事司法數位化與家庭暴力審查法案顯示,數位技術的應用範圍已擴大到司法領域,並透過身分驗證、記錄上傳者、上傳時間及資料識別碼等資料存證技術,確保數位證據資料的正確性、完整性與可驗證性。我國由司法院、法務部、臺灣高等檢察署、內政部警政署及法務部調查局等機關合作,透過區塊鏈技術建置「司法聯盟鏈共同驗證平台」,提升辨識數位證據同一性之效率,並確保數位證據難以被竄改,以達到加速訴訟進行之效果。惟如要透過法院採納數位資料為證據之方式,來達到加速訴訟進行之效果,重點在於要強化針對數位證據資料之管理,有訴訟證明需求的組織須通過b-JADE證明標章,以確保上鏈前之資料管理與上鏈後之資料品質。我國企業如欲強化數位資料的正確性、完整性與可驗證性,可參考資訊工業策進會科技法律研究所創意智財中心所發布之重要數位資料治理暨管理制度規範(EDGS),建立資料存證制度,確保數位資料作為證據之效力,以提升法院採納數位資料作為證據之可能性,亦有利於加速訴訟程序之進行。 本文為資策會科法所創智中心完成之著作,非經同意或授權,不得為轉載、公開播送、公開傳輸、改作或重製等利用行為。 本文同步刊登於TIPS網站(https://www.tips.org.tw)
新版個資法與個資保護管理制度新版個資法與個資保護管理制度 科技法律研究所 2013年4月1日 壹、事件摘要 國內於1995年制定施行「電腦處理個人資料保護法」,在資訊科技日新月異下,加諸法規本身適用上的限制,原有法制設計已不符實務需求。考量個資外洩事件日漸增加,歷經長時間討論,國內於2010年4月三讀通過新版個資法,將法律名稱調整為「個人資料保護法」,並在2012年10月1日正式實施新制。新法不僅全面調整法規內容,並大幅加重企業所負義務與責任,就民事責任而言,單一事件 賠償金額最高達到10億。對國內產業而言,如何有效因應個資法要求,採取妥適的對應策略降低風險,已成為企業運營上的關鍵課題。 貳、重點說明 一、新版個資法暨施行細則正式施行 個人資料保護可說是近期國內最受重視的議題,事實上國內早於1995年8月即制定施行「電腦處理個人資料保護法」,惟經過十餘年的發展,在電腦與資訊科技日新月異下,包括電子商務等新興商務模式,均廣泛蒐集個人資料,個人隱私的妥善保護,日益重要。然而,原有的「電腦處理個人資料保護法」,於適用主體方面,存在著行業別的限制,僅有「徵信業、醫院、學校、電信業、金融業、證券業、保險業及大眾傳播業」等八種特定事業,以及經由法務部會同中央目的事業主管機關共同指定的行業,方受到規範;此外,該法所保護的客體,亦限於經由「電腦或自動化設備」處理的個人資料,才受到保護,不包括非經電腦處理的個人資料,對於保護個人資料隱私權益規範,明顯不足。 個資外洩事件層出不窮下,2007年行政院消費者保護委員會提出的十大消費新聞中,「電子商務、電視購物個資外洩事件」即高居首位,促使法務部與經濟部透過「共同指定」方式,使無店面零售業(包括網路購物、型錄購物、電視購物等三種交易態樣)自2010年7月1日起適用「電腦處理個人資料保護法」。 為使個人資料保護法制規範內容,得以因應急速變遷的社會環境,行政院甚早即已提出「電腦處理個人資料保護法修正草案」,並將名稱修正為「個人資料保護法」,歷經立法院會多次討論,終於在2010年4月三讀通過,法律名稱調整為「個人資料保護法」,於5月26日由總統府正式公布。新法雖於2010年4月三讀通過,但為使企業及民眾有充分時間了解並因應新法,新版個資法並未於公布日施行,而是於該法第56條規定,由行政院另訂施行日期。經過長時間討論,「個人資料保護法」已由行政院決定在2012年10月1日正式實施,惟新法第6條關於特種資料原則上不得蒐集、處理與利用,以及第54條要求新法實施前已間接取得的個人資料,必須在一年內補行告知等二項規定,保留暫緩實施。 就個人資料保護法制而言,除最為重要的「個人資料保護法」外,依據母法制定的施行細則,也扮演著關鍵性的角色。原有的「電腦處理個人資料保護法施行細則」於1996年5月1日發布施行,鑒於「電腦處理個人資料保護法」已於2010年進行修正,並將名稱修正為「個人資料保護法」,法務部也配合新法修正內容,積極研商「電腦處理個人資料保護法施行細則修正草案」。隨著新版個人資料保護法確定於2012年10月1日正式上路,法務部另於2012年9月26日正式公告?正後的施行細則,並將細則名稱修正為「個人資料保護法施行細則」。新版個資法暨施行細則正式上路,促使國內個人資料保護工作,邁入全新的紀元。 二、個人資料管理制度與資料隱私保護標章 在「個人資料保護法」修正通過前,2008年6月立法院即已提案,建議政府參考國外作法,推動我國隱私權管理保護認證制度,隔年8月「行政院產業科技策略會議」(Strategic Review Board)中,決議推動「電子商務個人資料管理暨資訊安全行動方案」,並於同年12月核定放入99年至102年政府關鍵推動方案。 基於上述行動方案,經濟部自2010年10月起,委由財團法人資訊工業策進會執行「電子商務個人資料管理制度建置計畫」,並自2012年起續行推動「電子商務個人資料管理制度推動計畫」,建置推動「臺灣個人資料保護與管理制度」(Taiwan Personal Information Protection and Administration System, TPIPAS),期使企業於遵守個人資料保護法制的前提下,透過建立內部管理機制,適當保障消費者的個人資料,並在嚴謹的驗證要求下,確認導入企業是否符合制度要求,同時搭配「資料隱私保護標章」(Data Privacy Protection Mark, dp.mark)的發放,作為消費者判斷企業隱私維護能力的客觀指標。 針對個人資料管理制度的導入,事業應依循「臺灣個人資料保護與管理制度規範」逐步建立內容管理機制,該制度規範同時也是國內企業能否取得「資料隱私保護標章」(dp.mark)的審查指標。由於國內業者過往並無建立內部個資管理制度的經驗,「臺灣個人資料保護與管理制度」自2011年起,協助企業培訓「個人資料管理師」及「個人資料內評師」等制度專業人員,合格的個人資料管理師可協助企業於事業內部建立完整的制度,而內評師則是扮演確認企業建立的制度,是否符合制度規範要求的角色。截至2012年,國內已有近百家企業參與制度人員培訓,合計達426位管理師及131位內評師。在TPIPAS導入上,事業除了由合格的管理師自行建置導入管理制度外,也可尋求專業的外部輔導機構協助,「臺灣個人資料保護與管理制度」自2012年起,開放輔導機構登錄之申請,並於制度網站上公告符合資格要求的制度輔導機構,目前已有九家合格的輔導機構完成登錄作業,提供事業個資輔導服務。 事業完成內部管理體系建置後,便可向「臺灣個人資料保護與管理制度」提出驗證申請,驗證流程包括「書面審查」及「現場審查」二階段,事業通過驗證後,即具備使用「資料隱私保護標章」(dp.mark)的資格。目前國內已有統一超商、全家、博客來、樂天、亞東、康迅數位及欣亞等七家業者通過TPIPAS驗證並取得dp.mark,透過導入個資管理制度,強化消費者隱私資料的維護。 參、事件評析 「臺灣個人資料保護與管理制度」(TPIPAS)是以國內新版個人資料保護法內容為基礎,並參考國際組織對個人資料保護的最新要求,以及主要國家個資管理制度的推動經驗,所建立的專業個人資料管理制度。TPIPAS配合產業個人資料保護實務需求,將專業的法律要件轉化為內部個資管理流程,可有效協助產業建立完善妥適的個人資料管理制度,符合個資法規要求。在新版個人資料保護法上路之際,導入TPIPAS取得dp.mark,不啻是企業降低個資法風險,提升內部個人資料管理能力的最佳策略。
電子工程師標準協會強調會員應以FRAND條件授權標準必要專利對於目前科技技術日新月異的ICT資訊通信產業而言,標準是搶奪全球市場的利器。當私有專利技術成為國際標準時,國際市場的競爭企業不得不向技術成為國際標準的標準必要專利權人取得授權。為避免前述情形形成技術壟斷,標準必要專利權人藉此哄抬權利金價格,目前國際標準制定組織多訂有組織的智財政策,要求標準提案者必須揭露專利持有情形,並且若提案成為標準必要專利權者須以其規定的合理條件提供授權。電子工程師標準協會 (Institute of Electrical and Electronics Engineers Standard Association, IEEE SA)為著名的標準制定組織之一。 電子工程師標準協會在去年3月開始,便實施了新的專利政策,強調其會員們必須在標準提案通過之後,授權該標準必要專利(Standard Essential Patent, SEP)時,須遵守公平、合理,且非歧視的授權規則(Fair, Reasonable and Non-discriminatory, FRAND)。此項政策受到Cisco以及Intel等公司支持聯名支持, Cisco表示FRAND的條件要求將使SEP擁有者難以收取不合理的權利金。 而在IEEE如此強調FRAND授權方式時,我國相關企業及公司應注意FRAND條件的國際發展趨勢,不僅要了解自身義務,也該知曉自身權益,在有爭議時抑或仿效國際企業做法,向法院提起訴訟,或向我國公平會提出檢舉。 本文同步刊登於TIPS網站(https://www.tips.org.tw)