美國衛生及公共服務部「曲速行動」透過公私合作夥伴加速COVID-19疫苗研發
美國衛生及公共服務部（Department of Health and Human Services, HHS），於2020年6月16日提出「曲速行動（Operation Warp Speed）」，目標是在2021年1月前，提供3億劑具安全有效性的COVID-19疫苗，給所有美國人民使用。參與行動的政府夥伴，包括國家衛生研究院（National Institutes of Health, NIH）、食品藥品監督管理局（U.S. Food and Drug Administration, FDA）、疾病預防管制中心（Centers for Disease Control and Prevention）；與多家製藥公司包含嬌生、默克、輝瑞、Moderna、AstraZeneca等，簽訂研究製造及保證收購疫苗的競爭型補助協議，直接由政府需求主導疫苗藥劑的研發、生產與銷售，藉此滿足國家防疫的戰略需求。
曲速行動為政府部門及公私夥伴間的合作計畫，依據美國國會通過《新冠病毒援助、救濟和經濟安全法》（Coronavirus Aid, Relief, and Economic Security, CARES Act），計畫補助資金達100億美元，其中超過65億美元用於生物醫學高階研究和發展管理局（Biomedical Advanced Research and Development Authority, BARDA），30億美元用於NIH研究。公私夥伴合作項目包括：「加速研發新冠病毒藥物及疫苗計畫」（Accelerating COVID-19 Therapeutic Interventions and Vaccines, ACTIV）、「快速診斷技術計畫」（Rapid Acceleration of Diagnostics Tech program, RADx）等。
曲速行動從100多種疫苗中先行選出14種候選疫苗，由美國政府補助，進行早期臨床實驗，再分次篩選出最具潛力者，進行大規模檢測。透過公私夥伴合作，不僅成功帶動製藥廠商積極研發，也協助候選廠商間彼此競爭、提升製藥能力，進一步反饋研究經驗給最終產出的疫苗成果。
本文為「經濟部產業技術司科技專案成果」
許祐寧
專案經理 編譯整理
劉純妤，〈資策會科法所研析資料運用公私協力模式 掌握後疫情時代產官學合作趨勢〉，中央通訊社，2020年6月24日，https://stli.iii.org.tw/news2019-detail.aspx?d=155&no=57（最後瀏覽日：2020/11/10）。
近年來，巨量資料(Big Data)狂潮來襲，各產業競相採用此種新型態模式，將充斥各領域之資料量，加以深度分析及集合、比對，篩選具價值性之各項資料。以美國為例，於2011年2月份正式啟動SunShot計畫，期透過聯邦政府的資源，加強推動不同領域之巨量資料分析，有利各領域之政府資源重整運用，以期使推動計畫更經濟效率且具競爭力。並且，美國政府更於2013年1月30日，宣布將挹資900萬元資助7項科專計畫，補助對象分別為: (1) SRI International; (2) 麻省理工學院(MIT); (3)北卡羅萊納大學 (Charlotte校區)； (4) Sandia 國家實驗室；(5) 國家再生能源實驗室；(6) 耶魯大學；(7) 德州大學奧斯汀分校，加強各領域推動及整合。 此項「巨量資料」參與計畫之研究團隊將與公私營金融機構(financial institutions)、事業單位(utilities)及州層級之行政機關(agencies)展開合作(partnership)，運用統計和電腦工具(statistical and computational tools)，解決產業面之難題(challenges)；同時，其將運用發展出之模型(Models)，測試分散全美不同地區領航計畫(pilot projects)創新研發之影響和規模。計畫中，美國政府亦將以200萬元的預算，分析數十年來的科學報告、專利、成本、生產等資料，期能拼湊出相關產業之全貌，加速發掘科技突破之方法並有效降低成本。以德州(Texas)為例，奧斯汀分校(UT Austin)研究團隊乃與六個不同事業單位(utilities)進行合作，研析經營所蒐集之資料(datasets)，以有效了解消費者的需求，提升太陽能未來安裝和聯結(installation and interconnection)之效率。 時值全球鼓勵產業轉型及資源整合，作為世界先進國家的美國，善用聯邦政府和高等學術研究機構之資源，進行整體產業之資料分析，殊值我國借鏡參考。
日本《第6期科學技術基本計畫方向》建言日本《科學技術基本計畫》為依據其科學技術基本法之要求，以每5年為期擬定，目的在於建構一立基於長期性觀點且體系化的科學技術政策，並以之為施政框架，目前實施之科學技術基本計畫，為規劃自2016年至2020年期間施行之第5期科學技術基本計畫。而為形成下一階段之科學技術基本計畫，日本學術會議現公布了「第6期科學技術基本計畫方向」建言，為日本學術會議所屬之學者委員會學術體制分科會經審議後，就上述科學技術基本計畫之擬定發表意見，預計會於內閣府召開之綜合科學技術與創新會議（総合科学技術・イノベーション会議）中提出，作為訂定第6期科學技術基本計畫之重要參考。 本建言除了持續強調投資基礎科學研究的重要性，亦關注學術多元發展與提升整合性，強調優越學術基礎的建構、發展、以及用以解決問題之能力提升，繫諸各領域、地區、個人所關切議題與思考方式之不同所帶出的多元性，而為克服現代社會面臨的各種課題，應注重自然科學與人文社會科學之跨域合作以形成具統合性的知識基礎，同時須平衡投入各學門的研究預算，避免科學技術投資過分集中於特定的學術領域。具體的方向上，本建言主要提供了4個規劃面向：（1）強化對博士生就學的經濟上支援，並增加相關就業機會，如增加大學終身教職員額與高階技術人才職位等；（2）為進一步促成前述的學術多元發展，重新檢討並建構政府資助各類研究之制度藍圖，除了持續資助基礎研究及應用研究之外，強化對年輕學者的補助，亦期待能對需持續性進行之研究（如生命科學等需長時間蒐集並保存資料之領域）提供長期或無限期的支援；（3）追求科研參與者的多元化（如鼓勵女性、外國人、身障者的投入），以實現科學家社群之多元發展；（4）促成科學家社群以個人身分或透過組織參與科學技術政策形成，避免相關政策的擬定與施行未能切合研究實務之需求。
歐盟資料保護工作小組修正通過個人資料侵害通報指引歐盟資料保護工作小組修正通過「個人資料侵害通報指引」 資訊工業策進會科技法律研究所 法律研究員 李哲明 2018年3月31日 壹、事件摘要 因應歐盟「通用資料保護規則」（The General Data Protection Regulation，或有譯為一般資料保護規則，下簡稱GDPR）執法即將上路，針對個人資料侵害之通報義務，歐盟資料保護工作小組（Article 29 Data Protection Working Party, WP29）特於本（2018）年2月6日修正通過「個人資料侵害通報指引」（Guidelines on Personal data breach notification under Regulation 2016/679），其中就GDPR所規範個資侵害之定義、對監管機關之通報、與個資當事人之溝通、風險及高風險評估、當責與紀錄保存及其他法律文件所規定之通報義務等，均設有詳盡說明與事例。 貳、重點說明 一、何謂個資侵害？個資侵害區分為哪些種類？ 依據GDPR第4條（12）之定義，個資侵害係指：「個人資料因安全性之侵害所導致意外或非法之毀損、喪失、修改、未經授權之揭露、存取、個資傳輸、儲存或其他處理。」舉例來說，個人資料之喪失包括含有控制者（controller）顧客資料庫的備份設備之遺失或遭竊取。另一例子則為整份個資的唯一檔案遭勒索軟體加密，或經控制者加密，但其金鑰已滅失。依據資訊安全三原則，個資侵害之種類區分為： 機密性侵害（Confidentiality breach）：未經授權、意外揭露或獲取個人資料。 完整性侵害（Integrity breach）：未經授權或意外竄改個人資料。 可用性侵害（Availability breach）：在意外或未經授權之情況下，遺失個人資料存取權限或資料遭銷燬。 二、何時應為通知？ 按GDPR第33條（1）之規定，當個資侵害發生時，在如果可行之情況下，控制者應即時（不得無故拖延）於知悉侵害時起72小時內，依第55條之規定，將個資侵害情事通報監管機關。但個資侵害不會對自然人之權利和自由造成風險者，不在此限。倘未能於72小時內通報監管機關者，應敘明遲延之事由。 三、控制者「知悉」時點之判斷標準為何？ 歐盟資料保護工作小組認為，當控制者對發生導致個人資料侵害的安全事件達「合理確信的程度」（reasonable degree of certainty）時，即應視為其已知悉。以具體事例而言，下列情況均屬所謂「知悉」： 在未加密個人資料的情況下遺失USB密鑰（USB Key），通常無法確定是否有未經授權者將獲致存取資料權限。即使控制者可能無法確定是否發生機密性侵害情事，惟仍應為通知，因發生可用性侵害之情事，且已達合理確信的程度。 故應以控制者意識到該密鑰遺失時起為其「知悉」時點。 第三人通知控制者其意外地收到控制者的客戶個人資料，並提供該揭露係未經授權之證據。當侵害保密性之明確證據提交控制者時，即為其「知悉」時點。如：誤寄之電子郵件，經非原定收件人通知寄件者之情形。 當控制者檢測到其網路恐遭入侵，並針對其系統進行檢測以確認個人資料是否遭洩漏，嗣後復經證實情況屬實，此際即屬「知悉」。 網路犯罪者在駭入系統後，聯繫控制者以索要贖金。在這種情況下，控制者經檢測系統並確認受攻擊後，亦屬「知悉」。 值得注意的是，在經個人、媒體組織、其他來源或控制者自我檢測後，控制者或將進行短暫調查，以確定是否發生侵害之事實。於此調查期間內所發現之最新侵害情況，控制者將不會被視為「知悉」。然而，控制者應儘速展開初步調查，以形成是否發生侵害事故之合理確信，隨後可另進行更詳盡之調查。 四、共同（聯合）控制者之義務及其責任分配原則 GDPR第26條針對共同控制者及其如何確定各自之法遵義務，設有相關規定，包括決定由哪一方負責遵循第33條（對主管機關通報）與第34條（對當事人通知）之義務。歐盟資料保護工作小組建議透過共同控制者間之契約協議，約明哪一方係居主要地位者，或須負責盡到個資侵害時，GDPR所定之通知義務，並載於契約條款中。 五、通報監管機關與提供資訊義務 當控制者通報監管機關個資侵害情事時，至少應包括下列事項 （GDPR第33條（3）參照）： 敘述個人資料侵害之性質，包括但不限於所涉之相關個資當事人、個資紀錄及其類別、數量。 傳達資料保護長（DPO）或其他聯絡人之姓名與聯絡方式，俾利獲得進一步資訊。 說明個資侵害可能之後果。 描述控制者為解決個資侵害業已採取或擬採行之措施，在適當情況下，酌情採取措施以減輕可能產生之不利影響。 以上乃GDPR要求通報監管機關之最基本事項，在必要時，控制者仍應盡力提供其他細節。舉例而言，控制者如認為其處理者係個資侵害事件之根因（root cause），此時通報並指明對象即可警示委託同一處理者之其他控制者。 六、分階段通知 鑒於個資事故之性質不一，控制者通常需進一步調查始能確定全部相關事實，GDPR第33條（4）爰設有得分階段通知（notification in phases）之規定。凡於通報時，無法同時提供之資訊，得分階段提供之。但不得有不必要之遲延。同理，在首次通報後之後續調查中，如發現該事件業已受到控制且並未實際發生個資侵害情事，控制者可向監管機關為更新。 七、免通報事由 依據GDPR第33（1）條規定，個資侵害不會對自然人之權利和自由造成風險者，毋庸向監管機關通報。如：該遭洩露之個人資料業經公開使用，故並未對個人資料當事人構成可能的風險。 必須強調的是，在某些情形下，未為通報亦可能代表既有安全維護措施之缺乏或不足。此時監管機關將可能同時針對未為通報（監管機關）或通知（當事人），以及安全維護措施之缺乏或不足，以違反第33條或（及）34條與第32條等獨立義務規定為由，而依第83條4（a）之規定，併予裁罰。 參、事件評析 一、我國企業於歐盟設有分支機構或據點者，宜指派專人負責法遵事宜 揆諸GDPR前揭規定，當個資侵害發生時，控制者應即時且不得無故拖延於知悉時起72小時內，將個資侵害情事通報監管機關。未能履踐義務者，將面臨最高達該企業前一會計年度全球營業額之2%或1千萬歐元，取其較高者之裁罰。我國無論金融業、航運業、航空運輸業、電子製造業及進出口貿易業者等，均或有於歐盟成員國境內或歐洲經濟區（European Economic Area）當地設立子公司或營業據點。因此，在GDPR法遵衝擊的倒數時刻，指派具瞭解GDPR規定、當地個資隱私法遵規範、擅長與隱私執法機構溝通及充要語言能力者專責法遵業務實刻不容緩。蓋此舉可避免我國企業母公司鞭長莫及，未能及時處置而致罹法典之憾。 二、全面檢視個資業務流程，完備個資盤點與風險評鑑作業，掌握企業法遵現況 企業應全面檢視業務流程，先自重要核心業務中析出個資作業流，搭配全面個資盤點，並利用盤點結果進行風險評鑑，再針對其結果就不同等級之風險採行相對應之管控措施。此外，於全業務流程中，亦宜採行最小化蒐集原則，避免蒐集過多不必要之個人資料，尤其是GDPR所定義之敏感個資（如：種族、民族血統、政治觀點、宗教信仰、哲學信仰、工會會員資格等個人資料，及遺傳資料的處理，用於識別特定自然人之生物識別資料、健康資料、性生活、性取向等）或犯罪前科資料，俾降低個人資料蒐集、處理、利用、檔案保存及銷燬之全生命週期流程中的風險。此舉亦契合我國個人資料保護法第5條所揭櫫之原則。 三、立法要求一定規模以上之企業須通過個資隱私法遵第三方認（驗）證，並建置認證資訊公開平台 鑒於國際法遵衝擊以及隱私保護要求之標準線日漸提升，我國企業除自主導入、建置並維運相關個資保護與管理制度以資因應，更有賴政府透過法令（如：修正個人資料保護法）強制要求一定規模以上之企業通過第三方專業驗證，俾消弭風險於日常準備之中。蓋我國具一定規模以上企業，無論其係屬何種業別，一旦違反國際法遵要求，遭致鉅額裁罰，其影響結果將不僅止於單一企業，更將嚴重衝擊該產業乃至於國家整體經貿發展。職是，採法律強制要求企業定期接受獨立、公正及專業第三方認（驗）證，咸有其實益性與必要性。
美國於2020年12月4日正式施行聯邦《物聯網網路安全法》美國現任總統川普（Donald J. Trump）於美國時間2020年12月4日簽署物聯網網路安全法（IoT Cybersecurity Improvement Act of 2020），針對美國聯邦政府未來採購物聯網設備（IoT Devices）制定了標準與架構。 該法要求美國國家標準技術研究院（National Institute of Standards and Technology, NIST）應依據NIST先前的物聯網指引中關於辨識、管理物聯網設備安全弱點（Security Vulnerabilities）、物聯網科技發展、身分管理（Identity Management）、遠端軟體修補（Remote Software Patching）、型態管理（Configuration Management）等項目，為聯邦政府建立最低安全標準及相關指引。如果使用政府機關所採購或獲取之物聯網設備無法遵守NIST制定的標準或指引，則不得續簽採購、獲取或使用該設備之契約。 安全標準和指引發布後，美國行政管理和預算局（the Office of Management and Budget）應就各政府機關的資訊安全政策對NIST標準的遵守情況進行審查，NIST每五年亦應對其標準進行必要的更新或修訂。此外，為促進第三方辨識並通報政府資安環境弱點，該法要求NIST針對聯邦政府擁有或使用資訊設備的安全性弱點制定通報、整合、發布與接收的聯邦指引。 雖然該法適用範圍限於聯邦政府機關，惟因該法限制聯邦政府機關採購、獲取或使用不符合NIST標準或指引的物聯網設備，將促使民間業者為獲取美國政府訂單而選擇遵循NIST標準，未來該標準可能成為美國物聯網安全的統一標準。