調和國際標準！美國食藥署提出醫療器材品質系統規則修正草案
美國食藥署（US Food and Drug Administration, FDA）於2022年2月23日提出「醫療器材品質系統規則修正草案（Medical Devices; Quality System Regulation Amendments proposed rule）」。本次修正旨在釐清現行條文與國際標準ISO13485醫療器材品質管理系統之異同，並進行適度調和。
根據修正說明，草案就現行條文與ISO13485一致之處將予保留，不一致者若屬落實授權母法「美國聯邦食品藥粧法（US Federal Food, Drug and Cosmetics Act, FD&C Act）」之必要內容，將斟酌條文用詞明確性調整後予以保留，其餘將予刪除。此外，草案也透過名詞解釋界定不同用語之定義範疇，嫁接現行條文與ISO13485落差處。對於現行條文中，與ISO13485性質相同但內容產生衝突之條文，基於依授權母法意旨，以現行條文為準。
FDA注意到，部分FD&C Act所重視的品質管理系統要求，在ISO13485中並未被重點凸顯，如記錄控管（control of records）、醫材標示（device labeling）及包裝控管（packaging controls）。本次修正特別針對此三部分保留並增補較ISO13485要求更為詳細的規範內容。在記錄控管部分，除依照ISO13485要求，記錄標的應為日期及簽署確認外，進一步依據FD&C Act規定，要求特定的服務及執行紀錄應予以紀錄，以作為醫材報告之內容。此外，也規定應詳實記錄醫療器材單一識別碼（Unique Device Identification, UDI）。在醫材標示及包裝控管部分，由於ISO13485僅指出產品應標示及包裝，但未詳述細節要求。因此，本次修正保留現行條文對於標示及包裝的細節性規定，以確保產品安全性及有效性。
本草案目前進入意見徵集期間，時間自2022年3月25日起至2022年5月24日止。後續FDA將視所徵集之意見，決定是否調整草案內容或公告施行。本次修定將使醫療器材品質系統規則與ISO13485趨於一致，預計可減輕廠商行政作業及支出負擔。
邱美蘅
法律研究員 編譯整理
Medical Devices; Quality System Regulation Amendments, 87 Fed. Reg. 10119, 379, (proposed Feb. 23, 2022) (to be codified at 21 C.F.R. pt. 4, 820).
謝易昕，〈美國FDA更新軟體預驗證計畫，以明確化數位健康科技的軟體器材審查流程〉，資策會科技法律研究所，https://stli.iii.org.tw/article-detail.aspx?tp=1&d=8181&no=64 （最後瀏覽日：2022/03/07）。
莊晏詞，〈FDA公布修訂行動醫療APP指導原則〉，資策會科技法律研究所，https://stli.iii.org.tw/article-detail.aspx?tp=1&d=6848&no=64 （最後瀏覽日：2022/03/07）。
吳兆琰，〈美國眾議院提出軟體法案 為醫療APP提供規範方向〉，資策會科技法律研究所，https://stli.iii.org.tw/article-detail.aspx?tp=1&d=6385&no=64 （最後瀏覽日：2022/03/07）。
陳熙達，〈美國FDA發布「醫療器材單一識別碼系統」規則草案〉，資策會科技法律研究所，https://stli.iii.org.tw/article-detail.aspx?tp=1&d=5794&no=64 （最後瀏覽日：2022/03/07）。
英國於2020年1月31日正式脫歐，同時積極爭取與重要貿易夥伴美國簽訂自由貿易協定（Free Trade Agreement, FTA）。然而，美國認定中國大陸華為的5G設備存在資安風險，可能被用於間諜活動進而威脅國家安全，故主張美英貿易合作與情報共享的前提，必須建立在英國排除使用華為5G網路基礎建設之上，對此英國嘗試透過政策研擬，在5G經濟發展與國家安全間求取平衡。英國國家網路安全中心（National Cyber Security Centre, NCSC）於2020年1月28日，即針對使用「高風險供應商（High risk vendors簡稱HRV）」之電信網路，提出風險管理建議，說明如何因應HRV帶來的網路安全風險及挑戰（須注意高風險供應商HRV不一定是關鍵供應商Critical Vendor，必須透過關鍵與否及風險高低兩個變動因素加以細部區分）。目前英國5G及光纖到戶（Fiber To The Home, FTTH）計畫推動處於關鍵階段，NCSC向電信營運商提出有關使用HRV設備的非拘束性技術建議，將有助於保護營運商免於外部攻擊，並降低英國電信網路的國家安全風險。 NCSC在報告中，針對何謂高風險供應商，及如何管理這些供應商帶來的特定安全風險，提出詳盡判斷標準包括：供應商在英國及其他地區網路中的戰略地位及規模、對網路安全控管品質及透明度、過去商業行為及慣例、向英國營運商供應技術的穩定性及彈性等。另外供應商有無接受外國政府補貼及營業地點是考量重點：包括該廠商所屬國家政府機構對其施加影響之程度、是否具備攻擊英國網路能力、業務營運的重要組成部分是否受到本國法律監管，進而與英國法律相抵觸甚至進行外部指導等。 又為減少由HRV引起的網路安全風險，NCSC對於HRV控管提出具體建議。包括應限制在5G或FTTP網路核心功能中使用HRV產品及服務，並將高風險廠商供應上限設定為35％，有效進行網路安全風險管理，平衡安全性風險和市場供應多樣化彈性需求。另外，其他具備敏感性的網路營運模式，例如大量個資蒐集、語音系統、記錄備份系統、寬頻遠端接入系統（BNG / BRAS）等，必須根據具體情況，對HRV進行限制；且不得在與政府營運或重要國家基礎設施，及任何與安全系統直接相關的敏感網路中使用HRV設備。目前，中國大陸華為是英國NCSC唯一認定的HRV廠商，華為被禁止參與英國5G網路建設的核心部分且受有市占率35%的供應限制；華為亦需遵守NCSC要求，訂定風險緩解策略，確保產品及服務不致威脅英國網路即國家安全。
新興經濟體之創新創業機制特色初探 英國資訊專員辦公室對連鎖藥局違反GDPR存放敏感個資作成裁罰首例英國資訊專員辦公室（Information Commissioner's Office, ICO）於2019年12月20日發布首宗依據歐盟一般資料保護規則（General Data Protection Regulation, GDPR）之裁罰。 本案源於英國藥物及保健產品管理局（Medicines and Healthcare products Regulatory Agency, MHRA）接獲投訴前往倫敦當地一家名為Doorstep Dispensaree Ltd之連鎖藥局進行藥品違規調查，卻意外發現其後院存放大量敏感個資文件，約五十萬個文件檔案皆未做任何資料檔案保護措施，上面更記載名字、地址、出生日期、NHS號碼、醫療資料及處方籤等患者之個人資料，旋即通報英國資訊專員辦公室展開調查。最終英國資訊專員辦公室以該藥局違反歐盟一般資料保護規則（General Data Protection Regulation, GDPR）第5條1項第f款、第24條第1項及第32條，裁罰275,000英鎊。其裁罰理由如下： 一、隱私政策並不符合要求，如未述明蒐集個人資料之類別，未訂定個資保存期限，當事人告知聲明不完備，無當事人權利行使等。 二、無適當安全維護措施 三、涉及敏感性個資，違法情狀嚴重 四、未積極配合調查 五、影響層面甚深，導致該藥局配合之上百家療養院，近千名當事人個資受損害。 此為英國資訊專員辦公室首宗依據歐盟一般資料保護規則確定裁罰之案例且涉及敏感性個資，有其指標性。除此之外，英國航空與萬豪酒店之個資外洩案亦欲依GDPR進行裁罰，實值持續關注後續發展。
美國音樂授權制度邁向新里程碑：集體授權組織MLC將於後年正式運行！美國「音樂現代化法案」(Music Modernization Act，簡稱 MMA) 於2018年10月由總統川普簽署成為有效法律之後，於今年(2019)9月17日正式對外發布消息，其依照MMA之規定，美國著作權局已於今年7月8日指定由「美國音樂發行協會」(National Music Publishers Association，簡稱NMPA)成立「機械式集體授權組織」(The Mechanical Licensing Collective，簡稱MLC)。NMPA係全美音樂發行商之貿易協會，早於1917年運行至今，現被指定成立MLC，擬於2021年1月正式開始進行全美音樂之「概括授權」(blanket license)，並維運前所未有的「透明化資料庫」，期能對接音樂串流平台，促使音樂作品比對相關著作權之權利人，藉以有效率且準確地支付相關授權金給詞曲創作人和發行人，且串流平台業者只要確實遵守MMA之概括授權與MLC之運作方式，即免於侵權責任MLC之組織體編制與人員名單資訊，亦透明地揭示於官網，其設有MLC董事會(由BMG、SONY、華納音樂等背景之人員擔任)，以及「無人認領授權金監督委員會」、「爭端解決委員會」、「營運顧問委員會」等三個委員會，各委員均由音樂著作權人或詞曲創作等人擔任。 MMA立法之初，試圖創設一全新、單一窗口非營利組織，並建置符合現代科技的數位資料庫，來解決音樂授權的痛點。而今MLC即將於後年1月正式運行，在數位時代借力科技，帶領音樂授權邁向新里程碑！