歐盟發布資料法案草案
2022年2月23日，歐盟委員會（European Commission，以下簡稱委員會）公開資料法案草案（Data Act，以下簡稱草案），基於促進資料共享的目的，草案其中一個目標是使不同規模的企業、用戶在資料利用上有著更加平等的地位，內容包含確保用戶資料可攜性、打破資料存取限制、推動大型企業的資料共享，扶植微/小型企業等幾大方向。
以下就草案對大型企業要求的義務切入，說明草案所帶來的影響：
- 確保用戶訪問資料的權利：
基本資訊的告知，包含所蒐集資料性質以及訪問方式、使用資料的目的；用戶可在不同產品/服務提供者（以下簡稱提供者）之間切換，且提供者須有技術支援；提供者需要有合理技術，避免資料在未經授權被查閱。 - 對於提供者的限制：
提供者不得將所蒐集的資料用於取得用戶的經濟地位、資產、使用喜好；具守門人性質的企業不得採取獎勵措施以鼓勵用戶提供自其他提供者處所取得的資料；提供者提供資料可以收取補償，但必須以公平、合理、非歧視、透明的方式為之，需要提供補償計算方式與基礎。 - 對於微/小/中型企業的保護
提供者對於微/小型企業所收取的資料補償，不得超過提供資料所需的成本；提供者利用市場優勢，對於微/小/中型企業的不合理/公平的約定無效（如單方面免除一方的重大過失/故意行為的責任）。
該資料法案草案須經歐盟議會（European Parliament）通過後才會生效，目前草案規定只要有在歐盟提供物聯網產品或服務之企業，就須遵守草案內容規範，考量到網路服務可跨國提供服務，草案規範與進度仍值得國內企業關注。
「本文同步刊登於TIPS網站（https://www.tips.org.tw ）」
莊越程
高級法律研究員 編譯整理
European Commission, Data Act: Proposal for a Regulation on harmonised rules on fair access to and use of data , Feb. 23, 2022, https://digital-strategy.ec.europa.eu/en/library/data-act-proposal-regulation-harmonised-rules-fair-access-and-use-data (last visited Mar. 07, 2022).
MORISON FOERSTER, The EU Data Act – Stimulant or Roadblock for the Data Economy?, Feb. 23., 2022, https://www.mofo.com/resources/insights/220223-eu-data-act.html(last visited Mar. 07, 2022).
DR2 CONSULTANTS, European Data Act: a harmonized framework for accessing and sharing data, Feb. 24, 2022, https://dr2consultants.eu/european-data-act/ (last visited Mar. 07, 2022).
科法觀點
世界智慧財產權組織（World Intellectual Property Organization, WIPO）於2020年9月2日發表「2020年全球創新指數報告」（Global Innovation Index 2020, GII 2020），報告中比較131個經濟體之最新全球創新趨勢。GII為一年一度發行之報告，除了比較不同經濟體的創新指數外，每年會挑選不同創新議題進行深度研究，2020年研究主題為「誰投資創新？」（WHO WILL FINANCE INNOVATION?）。 GII的報告評比，區分為七大指標分別為：組織機構（Institutions）、研發與人力資源（Human capital and research）、基礎建設（Infrastructure）、市場成熟度（Market Sophistication）、企業成熟度（Business sophistication）、知識技術產出（Knowledge and technology outputs）以及創意產出（Creative outputs）。其下再區分為21個次標和80個小標例如政府效能（Government effectiveness）、法規範環境建構（Regulatory environment）、教育支出占GDP比例、外國學生比例、R&D支出占GDP比例、生態永續度、高科技出口、資通訊服務出口等。2020年評比全球創新指數最高的10個國家排名分別為：瑞士、瑞典、美國、英國、荷蘭、丹麥、芬蘭、新加坡、德國和南韓，均為高所得國家；這也是南韓第一次躋身進入前10名。 另外報告中亦說明，2020年COVID-19大流行引發前所未有的經濟停滯。在COVID-19爆發之前，研發支出成長明顯快於全球GDP成長，創業投資（Venture capital）和IP應用達到高峰，但疫情發生的現階段全球經濟成長大幅度下降。然而經濟成長停滯之下，突破性技術創新的潛力仍在繼續存在，例如許多仍保有現金流的大型ICT企業仍持續推動數位創新，製藥技術與生物科技產業的研發支出大量增加，健康產業研發也受到重點關注。此外，COVID-19危機亦會促進傳統產業（例如旅遊、教育和零售等）之創新，以及改變企業在本地或全球之生產工作組織方式。而在各國政府為忙於制定緊急救濟計畫（emergency relief packages），以緩解地域封鎖所造成的負面影響和經濟衰退的同時，這些緊急救濟計畫對新創公司之融資多半不夠明確，到目前為止，各國政府並沒有創新研發作為當前刺激經濟計畫中的優先事項（priority）。 報告中針對「誰投資創新？」之主題，統計數據顯示創新金融（Innovation finance）雖然受疫情影響有所下降，但金融體系尚屬健全。惟資助新創企業的資金正在枯竭（drying up），北美、亞洲和歐洲地區的創業投資交易也急劇下降，幾乎看不到首次公開發行（IPO）。即使是倖存下來的新創公司，其盈利能力和對創投者（Venture Capitalist）的吸引力也在下降。也因為疫情影響，創投者減少對創新、小型和多元化的新創事業提供資金，取而代之關注所謂的「大型交易」（mega-deals），也就是資助大型企業的發展，並將投資領域轉向健康、線上教育（online education）、大數據、電子商務和機器人科技。此外，報告中亦說明近期創投多半集中在可以短期得到報酬的創新事業，例如資通訊軟體及服務、消費性產品服務、金融商品等，取得創投機構大量資金。相較之下，若研發較為複雜的前瞻科學技術，反而取得之資金較少；同時COVID-19惡化此現象，使研發期較長之產業和企業面臨更嚴峻的財務限制。
新加坡物聯網產品網路安全防護之初探新加坡物聯網產品網路安全防護之初探 資訊工業策進會科技法律研究所 2023年06月30日 壹、事件摘要 近年物聯網（Internet of Things，簡稱IoT）產品蓬勃發展，伴隨著資通安全之威脅卻也日益加增，新加坡為此陸續訂定國內法規，以強化保障新加坡人民資訊流通之自由，並確立了網路安全標籤機制，藉以提高消費者對於物聯網產品資安的認識。另一方面，標籤制度能於消費者使用物聯網產品時，將產品受到不同層級之網路安全防護，或有別於一般用途使用等資訊，迅速傳達給消費者。據此，本文觀測新加坡近年主要的物聯網產品驗證制度與相關法規，供我國參考與借鏡。 貳、重點說明 一、新加坡物聯網網路安全法規 新加坡於2015年成立新加坡網路安全局[1]（CSA），陸續為新加坡建立完善之物聯網產品網路安全防護機制，且新加坡於2018年訂定《網路安全法》[2]，法案的第一部分已明示將「網路安全」列為實質保障內涵[3]，並明訂須透過識別與分析威脅，以有效降低網路安全威脅帶來的風險。另為提高物聯網安全性，首先於亞太地區推出物聯網產品等級評估機制，即新加坡網路安全標籤機制[4]（Cybersecurity Labelling Scheme, CLS），致力於保障新加坡的網路空間，並使消費者能夠識別符合網路安全規定之物聯網產品，以利消費者辨認選購。此外，CLS架構下設有驗證中心、通用標準以及標籤分級等措施，以強化物聯網產品資安防護為目的，也能落實《網路安全法》保障新加坡網路安全之精神。 （一）設置網路安全驗證中心[5]（Cybersecurity Certification Centre, CCC）：為驗證資安相關產品與服務之權責機關，透過CSA建置的驗證標準，成為新加坡企業採用資安產品之參考依據。 （二）建立通用標準（Common Criteria, CC）：最初是由加拿大、法國、德國、荷蘭、英國與美國等多個國家安全標準組織聯合提出，以國際標準ISO／IEC 15408（Common Criteria for Information Technology Security Evaluation）作為替代其現有安全評估標準的通用標準。由於通用標準已於國際上受多國承認，資訊服務業者若經過相關驗證時，較易被新加坡企業採用。 （三）建立網路安全標籤機制（Cybersecurity Labelling Scheme, CLS）：CSA針對智慧裝置推出網路安全標籤機制CLS，是以《網路安全法》做為上位精神而訂，但並不具強制力，而是以計畫推行之自願性認驗證機制。新加坡政府將物聯網設備根據其網路安全規定之級別進行評估分級，使消費者能夠識別符合較高等級網路安全規定的產品，並做出明智的決定。CLS共可分為4個等級（Level 1~4），第1級為產品滿足相關之基本要求（如密碼要求、提供軟體更新）；第2級為該產品係使用安全設計原則進行開發（如進行相關之威脅評估、審驗程序）；第3級為該產品經過第三方測試實驗室評估；第4級則經過第三方實驗室之滲透測試。此外，值得注意的是，新加坡亦與德國、芬蘭簽署備忘錄，以相互承認，也因此新加坡CLS網路安全標籤機制與德國的網路安全標籤制度（IT-Sicherheitskennzeichen）、芬蘭的網路安全標籤制度（Finnish Cybersecurity Label），可以進行互通使用。 參、事件評析 新加坡透對於物聯網產品之資安，透過訂定法規、成立權責機關與建立國際通用之標準與標籤機制，針對物聯網產品資安進行不同層次的保障。此外，採「驗證」方式保障人民生活不受網路威脅侵害，同時提高消費者對於物聯網產品資安之意識，可謂一舉數得之作法。而我國於物聯網產品發展以來，有政府以計畫支持「行動應用資安聯盟」提供相關物聯網產品之資安檢測認驗證標章，以供企業或消費者識別，物聯網產品經由實驗室檢測並由行動應用資安聯盟[6]審核通過後，核發合格證書及資安標章，並依照資安風險高低及安全技術實現複雜度，區分三個等級（L1~L3），分為適合一般家庭、商業用途與最高防護強度。於此認驗證機制下，已推出6項產品系列之驗證[7]，並且採消費者導向之標章，足見我國政府同樣致力於提高消費者對於物聯網產品資安防護識別之意識；但此認驗證機制或有優化空間，今後可以參考新加坡作法，擴增可進行驗證的產品項目，持續提升保障消費者選購物聯網產品之資訊知悉權，同時可參酌國際上其他重點國家之風險評估方式，以系統性建置物聯網產品資安之風險評估通用標準，以確保該制度未來有機會被其他國家直接或間接承認，為國際接軌做準備，作為今後精進物聯網產品資安之目標，方可促使我國與國際產業鏈、海外市場逐步銜接，提升產業競爭力。 [1]新加坡網路安全局CSA（Cyber Security Agency），隸屬於總理辦公室（Prime Minister’s Office, PMO），由新加坡通訊暨新聞部（Ministry of Communications and Information）管理，https://www.csa.gov.sg/，（最後瀏覽日：2023/6/30）。 [2]Cybersecurity Act 2018, Singapore Statutes Online, https://sso.agc.gov.sg/Acts-Supp/9-2018/Published/20180312?DocDate=20180312, (last visited June 30, 2023). [3]Cybersecurity Act 2018, Part 1 PRELIMINARY, 2.—(1), (i)providing advice in relation to cybersecurity solutions, including— (i) providing advice on a cybersecurity program; or (ii) identifying and analysing cybersecurity threats and providing advice on solutions or management strategies to minimise the risk posed by cybersecurity threats. [4]Cybersecurity Labelling Scheme (CLS), CSA, https://www.csa.gov.sg/our-programmes/certification-and-labelling-schemes/cybersecurity-labelling-scheme, (last visited June 30, 2023). [5]SINGAPORE CSA, Certification and Labelling Schemes, About the Cybersecurity Certification Centre (CCC), https://www.csa.gov.sg/our-programmes/certification-and-labelling-schemes, (last visited June 30, 2023). [6]行動應用資安聯盟（Mobile Application Security Alliance），關於我們〈推動架構〉，https://www.mas.org.tw/about/background，（最後瀏覽日：2023/6/30）。 [7]包含:影像監控系統、智慧巴士、智慧路燈、空氣品質微型感測裝置、消費性網路攝影機、門禁系統等項目。行動應用資安聯盟（Mobile Application Security Alliance），IoT Q&A〈聯盟負責的物聯網資安檢測認證項目有哪些？〉，https://www.mas.org.tw/iot/questAndAnswer，（最後瀏覽日：2023/6/30）。
歐盟科技策略新趨勢－生物經濟策略為引領歐盟各會員國邁向以生物發展為導向之經濟體時代，歐盟指委會（European Commission）乃於2012年2月13日通過歐盟永續生物經濟體策略計畫－Innovation for Sustainable Growth-a Bioeconomy for Europe，期待藉此引導歐盟邁想一個創新且低排放之永續發展經濟體。 隨著全球人口逐年增長，並預計於2050年邁向全球9億總人口數之關卡，但自然資源之相對有限，因此歐盟指委會認為歐盟經濟體需隨著時代變遷趨勢及早轉型，並且強化其發展永續性。為協助歐盟各會員國因應全球局勢變化，歐盟指委員進一步於其永續生物經濟體策略計畫中提出三大重點策略－1.強化創新，並發展新興科技，進而為生物經濟體做準備；2.建置並強化生物經濟體相關市場與競爭力；3.透過相關政策之研擬，加強立法者與產業間之聯結性。而除了透過前述之三大重點策略以做為發展生物經濟體之基礎外，歐盟指委會亦希望能藉由歐盟Horizon 2020計畫下之各相關配套措施，以及各項研發經費之投注，進行各項生物和綠色科技，如能源、奈米科技、和資通訊技術（ICT）等相關領域之創新研發，進而導引歐盟經濟體邁向一個全新永續新境界。 目前歐盟會員國如丹麥、芬蘭、德國、愛爾蘭、和荷蘭皆已提出相關生物經濟體策略，而國際間如加拿大、中國、美國、和南非對此議題，亦位處於發展中或是已發展階段。以生物科技為主之知識經濟發展導向乃為當前全球經濟發展趨勢，如何連結科技研發創新，進而發展永續經濟，實為一值得關注與思考之問題。
美國FDA將基因檢測以醫療器材列管美國FDA在七月間針對多家提供大眾基因檢測服務（direct-to-consumer genetic tests, DTI genetic tests）的公司發出通知函，表示將對該產業進行規管。FDA在各通知函中明白表示，其認為收信公司所提供的基因檢測服務，符合其主管之醫療器材管理法規對於體外診斷器材（in vitro diagnostics）之定義。根據美國聯邦法律，人類用醫療器材採用分級管理的概念，在上市前必須依其風險等級進行上市前通報或申請核准，以確保其分析與臨床之有效性。FDA認為，由於這些公司的基因檢測並未依法提出上市前通報或申請核准，涉有違法之嫌。 FDA採取此項措施，明顯是為了保護消費者，避免其受到未經臨床檢驗的檢測結果之誤導。然事實上國際間對於是否透過法令、以及如何規範大眾基因檢測服務，並無一致性看法。迄今，大眾基因檢測服務在許多國家都是在法令混沌未明的狀態下銷售，也引發了許多問題。對於FDA此一政策態度，有認為以法令方式規範此種服務，將會扼殺這個還在萌芽發展終的產業；也有認為，這算是對消費者遲來的保護。 大眾基因檢測服務的管理，顯示既有法令面對新興科技發展之管理窘迫性，也代表各國政府在保護消費大眾與促進新興產業發展之間，著實不易從中找到利益權衡之點，其科技管理面臨前所未有的新挑戰。