調和國際標準！美國食藥署提出醫療器材品質系統規則修正草案
美國食藥署（US Food and Drug Administration, FDA）於2022年2月23日提出「醫療器材品質系統規則修正草案（Medical Devices; Quality System Regulation Amendments proposed rule）」。本次修正旨在釐清現行條文與國際標準ISO13485醫療器材品質管理系統之異同，並進行適度調和。
根據修正說明，草案就現行條文與ISO13485一致之處將予保留，不一致者若屬落實授權母法「美國聯邦食品藥粧法（US Federal Food, Drug and Cosmetics Act, FD&C Act）」之必要內容，將斟酌條文用詞明確性調整後予以保留，其餘將予刪除。此外，草案也透過名詞解釋界定不同用語之定義範疇，嫁接現行條文與ISO13485落差處。對於現行條文中，與ISO13485性質相同但內容產生衝突之條文，基於依授權母法意旨，以現行條文為準。
FDA注意到，部分FD&C Act所重視的品質管理系統要求，在ISO13485中並未被重點凸顯，如記錄控管（control of records）、醫材標示（device labeling）及包裝控管（packaging controls）。本次修正特別針對此三部分保留並增補較ISO13485要求更為詳細的規範內容。在記錄控管部分，除依照ISO13485要求，記錄標的應為日期及簽署確認外，進一步依據FD&C Act規定，要求特定的服務及執行紀錄應予以紀錄，以作為醫材報告之內容。此外，也規定應詳實記錄醫療器材單一識別碼（Unique Device Identification, UDI）。在醫材標示及包裝控管部分，由於ISO13485僅指出產品應標示及包裝，但未詳述細節要求。因此，本次修正保留現行條文對於標示及包裝的細節性規定，以確保產品安全性及有效性。
本草案目前進入意見徵集期間，時間自2022年3月25日起至2022年5月24日止。後續FDA將視所徵集之意見，決定是否調整草案內容或公告施行。本次修定將使醫療器材品質系統規則與ISO13485趨於一致，預計可減輕廠商行政作業及支出負擔。
邱美蘅
法律研究員 編譯整理
Medical Devices; Quality System Regulation Amendments, 87 Fed. Reg. 10119, 379, (proposed Feb. 23, 2022) (to be codified at 21 C.F.R. pt. 4, 820).
謝易昕，〈美國FDA更新軟體預驗證計畫，以明確化數位健康科技的軟體器材審查流程〉，資策會科技法律研究所，https://stli.iii.org.tw/article-detail.aspx?tp=1&d=8181&no=64 （最後瀏覽日：2022/03/07）。
莊晏詞，〈FDA公布修訂行動醫療APP指導原則〉，資策會科技法律研究所，https://stli.iii.org.tw/article-detail.aspx?tp=1&d=6848&no=64 （最後瀏覽日：2022/03/07）。
吳兆琰，〈美國眾議院提出軟體法案 為醫療APP提供規範方向〉，資策會科技法律研究所，https://stli.iii.org.tw/article-detail.aspx?tp=1&d=6385&no=64 （最後瀏覽日：2022/03/07）。
陳熙達，〈美國FDA發布「醫療器材單一識別碼系統」規則草案〉，資策會科技法律研究所，https://stli.iii.org.tw/article-detail.aspx?tp=1&d=5794&no=64 （最後瀏覽日：2022/03/07）。
防制洗錢金融行動工作組織（Financial Action Task Force on Money Laundering, FATF）為因應虛擬資產（Virtual Assets）對於打擊洗錢與資恐主義措施所帶來的衝擊，協助各國建立可供遵循的一致性標準，於2018年10月修改FATF建議書（The FATF Recommendations），定義「虛擬資產」與「虛擬資產服務提供業者」（Virtual Asset Service Providers, VASPs），將其納入國際洗錢防制之範疇。 為使各國監管機關依據FATF相關建議，正確評估與降低虛擬資產與VASPs所可能涉及的洗錢與資恐風險，有效進行管理並建立公平競爭的虛擬資產產業體系，FATF於2019年6月21日，針對建議書中第15點－新科技所可能隱藏的洗錢隱憂，加入解釋性說明，列出FATF對於虛擬資產和VASPs的應用標準，包含建議監管機關採取註冊或許可制度，以利進行監督與審查，而非透過自律組織方式進行督導，並與他國進行國際合作。以及為防止不法份子與其同夥擁有對VASPs的控股權（controlling interest）或管理職能（management function），各國主管機關須採取必要的法律或監管措施。另監管機構應有足夠權力監督並確保VASP遵守打擊洗錢和恐怖主義融資的要求，包括進行檢查，強制公開資訊和實施金融制裁。 FATF同時公布「虛擬資產與虛擬資產服務商之風險基礎指引」（Guidance for a Risk-Based Approach to Virtual Assets and Virtual Asset Service Providers），指導各司法管轄區如何應用風險基礎方法，針對虛擬資產相關活動與服務商，進行洗錢與資恐防制。相關主管機構在進行風險評估時，應考量特定的虛擬資產類型或VASP活動，了解其具體架構與運作在金融體系和國家經濟的作用，以及對洗錢與資恐防制的影響，將類似風險的產品或服務應用類似的監理原則處理，並針對虛擬資產的匿名性加強客戶識別機制。隨著VASP活動發展，主管機關亦應審視其他監管措施（如消費者保護、資訊安全、稅務等）與洗錢與資恐防制之間的關聯，進行短期與長期的政策擬定，以制定全面性的監管框架。 FATF預計於2020年6月開始啟動上述新審查機制，為期12個月，檢視各國對於前述具體要求之落實情況。以及持續與民間企業合作，共同探討虛擬資產的基礎技術、使用類型、相關業務模式。
BS 10012：2017個人資訊管理系統新版標準已發布BS 10012:2009個人資訊管理系統近期轉版，英國標準協會已於2017年3月31日發布BS 10012:2017新版標準，此次修改主要係為遵循歐盟一般資料保護規則GDPR (General Data Protection Regulation )之規定。為了讓企業組織能更有效率整合內部已導入之多項標準，新標準採用ISO/IEC附錄SL之高階架構（High Level Structure），該架構為通用於各管理系統的規範框架。 2017新版架構由原本的6章變為為10章，新架構如下： 第1章 範圍 第2章 引用規範 第3章 專有名詞與定義 第4章 組織背景 第5章 領導統御 第6章 規劃 第7章 支援 第8章 營運 第9章 績效指標 第10章 改善 新標準主要修改內容如下： 個資盤點單需增加「法規」盤點項目，且應載明個資流向(軌跡紀錄)。 風險管理架構參酌ISO 31000:2009修改。 組織增設資料保護官(Data Protection Officer, DPO)。 個資蒐集、處理及利用： （1）蒐集前須先告知當事人並取得其同意。 （2）蒐集應有必要性且最小化。 （3）兒童個資蒐集、利用須先經監護人同意。 （4）若個資利用目的為開放資料（Open data）須作去識別化。 個資必須維持正確且最新。 個資保存不超過處理目的存在必要之期限(保存期限)。 增加個資完整性與機密性要求。 預先諮詢與授權，例如：網頁有使用cookies需明確告知瀏覽者。 個資管理目標與量測，包括欲導入範圍、現況評估等有效性目標。 增添文件管理規範。 BS 10012:2009版本將於2018年5月25日廢止，公司驗證轉版的過渡期為24個月，因此2019年3月未轉版者證書失效。
奈米級化粧品的安全尚待評估近年來，越來越多的化粧品標榜與奈米科技結合，其 業者表示，奈米顆粒較傳統化粧品為小，可由深層肌膚吸收 ， 進而達到 強化保養的功能。不過 ，美國食品藥物管理局（ FDA ）及英國皇家學會則持相對保留的態度，認為奈米顆粒對於人體的長期風險還不明確，有待進一步研究 ， 特別是針對細小微粒進入人體細胞或滲入血液時 ，對人體 可能產生的影響。 為了確保奈米級化粧品的安全性 ， FDA 曾考慮針對此類產品建立一套類似製藥體系的實驗與許可證制度 ，並積極從事相關研究，以求增加此方面的知識進而 評估風險。此外 ， 英國皇家學會也表示，目前仍不清楚這些微粒是否真能深入肌膚，以及是否會對血液產生長期影響。雖然 ， 至今無人能夠證實奈米科技對於人體的危害，但卻有人相當擔心，它可能和基改一樣有利有弊。 目前化妝品市場平均每年成長百分之十，若干業者更深信奈米科技能夠協助製造新一代產品。由於看好奈米級化粧品的一片榮景 ， 目前國際知名的化妝品公司紛紛投入此類產品的開發 ， 我國相關產業似乎也躍躍欲試 。面對越來越多的業者投入奈米級化粧品的開發與生產， 我國衛生署則提醒，奈米科技在化妝品上的運用是否成熟還需要觀察，其效果與安全性也有待進一步評估 ， 因而民眾選購時應審慎判斷。
歐盟資通安全局發布《物聯網安全準則－安全的物聯網供應鏈》歐盟資通安全局（European Union Agency for Cybersecurity, ENISA）於2020年11月發布《物聯網安全準則－安全的物聯網供應鏈》（Guidelines for Securing the IoT – Secure Supply Chain for IoT），旨在解決IoT供應鏈安全性的相關資安挑戰，幫助IoT設備供應鏈中的所有利害關係人，在構建或評估IoT技術時作出更好的安全決策。 本文件分析IoT供應鏈各個不同階段的重要資安議題，包括概念構想階段、開發階段、生產製造階段、使用階段及退場階段等。概念構想階段對於建立基本安全基礎非常重要，應兼顧實體安全和網路安全。開發階段包含軟體和硬體，生產階段涉及複雜的上下游供應鏈，此二階段因參與者眾多，觸及的資安議題也相當複雜。例如駭客藉由植入惡意程式，進行違背系統預設用途的其他行為；或是因為舊版本的系統無法隨技術的推展進行更新，而產生系統漏洞。於使用階段，開發人員應與使用者緊密合作，持續監督IoT設備使用安全。退場階段則需要安全地處理IoT設備所蒐集的資料，以及考慮電子設備回收可能造成大量汙染的問題。 總體而言，解決IoT資安問題，需要各個利害關係人彼此建立信賴關係，並進一步培養網路安全相關專業知識。在產品設計上則須遵守現有共通的安全性原則，並對產品設計保持透明性，以符合資安要求。