歐盟執委會宣布「軟體開源授權及複用」決定
歐盟執委會於2021年12月8日宣布「軟體開源授權及複用」決定（COMMISSION DECISION on the open source licensing and reuse of Commission software）。本決定規範執委會軟體之開源授權條件與複用方式，其軟體開源授權流程如下：
一、執委會依本決定（下同）第5條授予其軟體的開源授權證應為歐盟公共授權（the European Union Public Licence, EUPL），除因（1）適用第三方軟體的互惠條款，而強制使用其他開源授權證，或替代開源授權證比EUPL更便於人民使用該軟體；（2）適用第三方軟體之授權條款，存在多個開源授權標準（不含EUPL），則應優先選擇授予最廣泛權利的開源授權。
二、透過第8條對智慧財產權進行核實，包括：（1）軟體識別（2）對軟體的智慧財產權進行驗證；及（3）安全驗證。
三、依第6條規定將所有開源軟體置於資料庫，供公民、公司或其他公共服務有潛在利益者取得。
另外，依第四條規定，本規則不適用於以下情形：（1）因第三方智慧財產權問題，無法允許複用的軟體；（2）該原始碼之發布或共享，對執委會、其他歐洲機構或團體的資訊系統或資料庫安全構成實質或潛在風險；（3）因法律規定、契約義務或性質，其內容須被視為機密之軟體；（4）依（EC）1049/2001第4條所列之情形，包含但不限於：因公共利益、國家安全、隱私保護、商業利益、訴訟或審計之利益等，該軟體須被排除，或只能由特定之一方取得或管理；（5）委託由執委會進行研究產生之軟體，若公開將干擾臨時研究結果之驗證或構成拒絕註冊有利於執委會之智慧財產權的理由。
本文為「經濟部產業技術司科技專案成果」
陳祺潔
副法律研究員 編譯整理
EUROPEAN COMMISSION, Commission makes software available to all to benefit businesses, innovators and areas of public interest (Dec. 8, 2021), https://ec.europa.eu/commission/presscorner/detail/en/IP_21_6649 (last visited Feb. 9, 2022).
EUROPEAN COMMISSION, Study about the impact of open source software and hardware on technological independence, competitiveness and innovation in the EU economy (Sep. 6, 2021), https://digital-strategy.ec.europa.eu/en/library/study-about-impact-open-source-software-and-hardware-technological-independence-competitiveness-and (last visited Feb. 9, 2022).
陳怡玫，〈歐盟出資贊助開放原始碼研究〉，資策會科法所，2005年5月，https://stli.iii.org.tw//article-detail.aspx?tp=1&d=532&no=64。
陳怡玫，〈英政府推動開源碼計劃〉，資策會科法所，2005年4月，https://stli.iii.org.tw//article-detail.aspx?tp=1&d=527&no=64。
劉純妤，〈開源軟體與標準制定協作策略之法制研析〉，《科技法律透析》，第33卷第12期，頁47-71（2021年12月）， https://stli.iii.org.tw//legal-details.aspx?no=65&d=7336&i=9600。
科法觀點
歐盟自2007年起開始實施「歐盟(EC)1924/2006號食品營養及健康訴求規則」(簡稱營養與健康訴求規則)以來，對於以營養與健康為訴求的產品，要求廠商上市販賣之產品，必須經過科學實證，產品標示必須簡易明瞭，強調科學實證必須證明食用該產品對人體有益，並證明食用產品與其功能效果間能建立因果關係，更強調文字敘述應貼近事實、清楚明瞭、確實可靠，避免使用模糊不清或造成不同解讀的文字，以便於消費者識別選購產品，滿足個人攝取這類食品的需求。 自規則實施以來，業者紛紛向歐盟食品安全管理局(European Food Safety Authority，簡稱EFSA)遞交申請案件，期待通過審查，獲准上市。然而，以營養與健康訴求規則中的第十四項減少疾病風險與促進兒童健康訴求，引起較多爭議。到2008年9月底，九件申請案當中已有八件遭到EFSA駁回，無不引起產業界的恐慌。僅Unilever(聯合利華公司，以下簡稱Unilever)的植物固醇產品(plant sterol)一案通過。反觀其餘個案，廠商遭EFSA駁回申請案的理由不一。例如，法國廠商Bio-Serae以仙人掌纖維衍生物申請具有降低血脂質的健康訴求，EFSA表示提交的證據資料不足以建立食用產品與效果功能間的因果關係。再者，另一件訴求ALA(α亞麻油酸)和LA(亞麻油酸)之攝取可以促進兒童生長的申請案中，EFSA接受廠商檢附的證據資料，但表示孩童經由正常飲食即可攝取足夠的ALA與LA，攝取量高於均衡飲食標準沒有益處。 雖然EFSA之意見不具有法律效力，且負面意見不表示否定產品之成分或功能，僅表示其依據資料不完整，不足以證明兩者具有因果關係，但卻具有相當之影響力。目前某些業者面對法令細節尚未明朗，同時負面意見多於正面意見的情形下，憂心負面意見恐將影響公司與產品形象，先行退出審查過程並暫緩產品上市。到2008年底，EFSA又駁回五件關於益生菌(probiotics)增進兒童健康的申請案，表示提供的證據資料不足以證明其功能為由。累計至去年底二十七申請案中(含上述五件益生菌申請案)，僅有五件申請案獲得EFSA之正面意見，負面意見依舊多於正面意見。 然而在2009年1月，EFSA核准西班牙廠商Danone促進兒童骨骼生長的健康訴求，表示證據資料足以建立因果關係，證明維他命D有助於鈣質攝取。顯示出業者提供充足科學證據資料與完整的產品說明，以證明其食用產品與功能效果間的因果關係，將利於審查作業進行，也將助於獲得EFSA之核准上市。
電信業者提供視訊服務之外國法制研析 微軟將針對美國政府是否對其在都柏林之主機具有管轄權提出上訴在2014年4月時，美國裁決法官James Francis就聯邦檢察官的申請，依據1986年的「電子通訊隱私法」（Electronic Communications Privacy Act, “ECPA”）第2703條第a項之規定，針對微軟客戶的e-mail對微軟公司發出了搜索令。然而，該搜索令所要求的e-mail資料儲存在微軟位於愛爾蘭都柏林的資料中心，因此微軟以美國政府對於愛爾蘭並無司法管轄權為由，拒絕配合執行該搜索令，並且對發出搜索令的法官提出異議。但是Francis法官認為這並不是「域外搜索令」(extraterritorial search warrants)，並指出在網路互聯的世界中，重點是對資料的控制，而不是「電子財產」的所在位置，於是拒絕了微軟的異議。 於2014年7月，微軟向紐約曼哈頓地方法院再度針對該搜索令提出異議，主張如果美國法院依據「電子通訊隱私法」要求資訊服務提供者提供位於愛爾蘭主機的客戶電子郵件資料，應透過美國與愛爾蘭政府的「多邊司法互助協定(Mutual Legal Assistance Treaty，“MLTA”)」來進行。但地方法院做出以下的裁決：1.在網路世界，電子財產之地理位置不是絕對的；2. 「電子通訊隱私法」第2703條a項所稱之搜索令並不是傳統上的搜索令，而是「搜索令」與「傳票」性質混合的命令，功能是為了讓網路服務業者（Internet Service Provider, “ISP”）提供所擁有的資料給法院；3.國會應無意透過繁瑣的「司法互助協定」來取得位於海外的電子證據；據此，地方法院維持Francis裁決法官的裁決，並且判定微軟藐視法庭。 微軟隨後在2014年12月，以地方法院使用了錯誤的法律理由、沒有根據的推斷立法目的、疏漏重要判決先例的援引、逾越國會立法的優先權並且誤解了「網路流通」的概念等理由，向美國第二巡迴法院提出上訴。 目前蘋果、AT&T、思科、Verizon以及其他科技公司都支持微軟的上訴，認為如果認可美國政府對於本國公司在境外所設置的資訊主機有司法管轄權，將會嚴重衝擊美國以外國家的資料保護法。此案目前仍在法院審理中。
英國資訊委員辦公室提出人工智慧（AI）稽核框架人工智慧（Artificial Intelligence, AI）的應用，已逐漸滲透到日常生活各領域中。為提升AI運用之效益，減少AI對個人與社會帶來之負面衝擊，英國資訊委員辦公室（Information Commissioner’s Office, ICO）於2019年3月提出「AI稽核框架」（Auditing Framework for Artificial Intelligence），作為確保AI應用合乎規範要求的方法論，並藉機引導公務機關和企業組織，評估與管理AI應用對資料保護之風險，進而建構一個可信賴的AI應用環境。 AI稽核框架主要由二大面向所構成—「治理與可歸責性」（governance and accountability）以及「AI特定風險領域」（AI-specific risk areas）。「治理與可歸責性」面向，係就公務機關和企業組織，應採取措施以遵循資料保護規範要求的角度切入，提出八項稽核重點，包括：風險偏好（risk appetite）、設計階段納入資料保護及透過預設保護資料（data protection by design and by default）、領導管理與監督（leadership management and oversight）、政策與程序（policies and procedures）、管理與通報架構（management and reporting structures）、文書作業與稽核紀錄（documentation and audit trails）、遵循與確保能力（compliance and assurance capabilities）、教育訓練與意識（training and awareness）。 「AI特定風險領域」面向，則是ICO特別針對AI，盤點下列八項潛在的資料保護風險，作為風險管理之關注重點： 一、 資料側寫之公平性與透明性（fairness and transparency in profiling）； 二、 準確性（accuracy）：包含AI開發過程中資料使用之準確性，以及應用AI所衍生資料之準確性； 三、 完全自動化決策模型（fully automated decision making models）：涉及人類介入AI決策之程度，歐盟一般資料保護規則（General Data Protection Regulation, GDPR）原則上禁止無人為介入的單純自動化決策； 四、 安全性與網路（security and cyber）：包括AI測試、委外處理資料、資料重新識別等風險； 五、 權衡（trade-offs）：不同規範原則之間的取捨，如隱私保護與資料準確性； 六、 資料最少化與目的限制（data minimization and purpose limitation）； 七、 資料當事人之權利行使（exercise of rights）； 八、 對廣泛公共利益和權利之衝擊（impact on broader public interests and rights）。 ICO將持續就前述AI特定風險領域，進行更深入的分析，並開放公眾討論，未來亦將提供相關技術和組織上之控制措施，供公務機關及企業組織進行稽核實務時之參考。