調和國際標準！美國食藥署提出醫療器材品質系統規則修正草案
美國食藥署（US Food and Drug Administration, FDA）於2022年2月23日提出「醫療器材品質系統規則修正草案（Medical Devices; Quality System Regulation Amendments proposed rule）」。本次修正旨在釐清現行條文與國際標準ISO13485醫療器材品質管理系統之異同，並進行適度調和。
根據修正說明，草案就現行條文與ISO13485一致之處將予保留，不一致者若屬落實授權母法「美國聯邦食品藥粧法（US Federal Food, Drug and Cosmetics Act, FD&C Act）」之必要內容，將斟酌條文用詞明確性調整後予以保留，其餘將予刪除。此外，草案也透過名詞解釋界定不同用語之定義範疇，嫁接現行條文與ISO13485落差處。對於現行條文中，與ISO13485性質相同但內容產生衝突之條文，基於依授權母法意旨，以現行條文為準。
FDA注意到，部分FD&C Act所重視的品質管理系統要求，在ISO13485中並未被重點凸顯，如記錄控管（control of records）、醫材標示（device labeling）及包裝控管（packaging controls）。本次修正特別針對此三部分保留並增補較ISO13485要求更為詳細的規範內容。在記錄控管部分，除依照ISO13485要求，記錄標的應為日期及簽署確認外，進一步依據FD&C Act規定，要求特定的服務及執行紀錄應予以紀錄，以作為醫材報告之內容。此外，也規定應詳實記錄醫療器材單一識別碼（Unique Device Identification, UDI）。在醫材標示及包裝控管部分，由於ISO13485僅指出產品應標示及包裝，但未詳述細節要求。因此，本次修正保留現行條文對於標示及包裝的細節性規定，以確保產品安全性及有效性。
本草案目前進入意見徵集期間，時間自2022年3月25日起至2022年5月24日止。後續FDA將視所徵集之意見，決定是否調整草案內容或公告施行。本次修定將使醫療器材品質系統規則與ISO13485趨於一致，預計可減輕廠商行政作業及支出負擔。
邱美蘅
法律研究員 編譯整理
Medical Devices; Quality System Regulation Amendments, 87 Fed. Reg. 10119, 379, (proposed Feb. 23, 2022) (to be codified at 21 C.F.R. pt. 4, 820).
謝易昕，〈美國FDA更新軟體預驗證計畫，以明確化數位健康科技的軟體器材審查流程〉，資策會科技法律研究所，https://stli.iii.org.tw/article-detail.aspx?tp=1&d=8181&no=64 （最後瀏覽日：2022/03/07）。
莊晏詞，〈FDA公布修訂行動醫療APP指導原則〉，資策會科技法律研究所，https://stli.iii.org.tw/article-detail.aspx?tp=1&d=6848&no=64 （最後瀏覽日：2022/03/07）。
吳兆琰，〈美國眾議院提出軟體法案 為醫療APP提供規範方向〉，資策會科技法律研究所，https://stli.iii.org.tw/article-detail.aspx?tp=1&d=6385&no=64 （最後瀏覽日：2022/03/07）。
陳熙達，〈美國FDA發布「醫療器材單一識別碼系統」規則草案〉，資策會科技法律研究所，https://stli.iii.org.tw/article-detail.aspx?tp=1&d=5794&no=64 （最後瀏覽日：2022/03/07）。
歐洲執委會（European Commission）根據2022年6月23日生效的資料治理法（Data Governance Act, DGA）第11條及第17條，於2023年8月9日公布資料治理法及實施規則（Commission Implementing Regulation (EU) 2023/1622 of 9 August 2023），該規則明定可用於識別「受認證的歐盟資料中介服務提供者（data intermediation services providers）及資料利他主義組織（data altruism organisations）」的通用標章（Common logos）之細節，且該通用標章已申請商標註冊，以保護其免於遭受不當利用。 經歐盟認證的「資料中介服務提供者」向服務利用者提供服務時，應確保服務利用者（個人及公司）可以有效的控制自己的資料，包含共享資料的對象及時間、可在不同裝置間共享資料等。經歐盟認證的「資料利他主義組織」則應以全歐盟通用之統一格式的歐洲利他主義同意書（data altruism consent form）在各成員國之間蒐集資料，並應確保資料主體（data subject）可以隨時撤回其同意。 識別受認證的「資料中介服務提供者」及「資料利他主義組織」是實施資料治理法的一環。受認證的「資料中介服務提供者」及「資料利他主義組織」選擇使用通用標章時，不僅須將通用標章清楚標示在所有線上的出版品上，亦須將通用標章清楚標示在所有線下的出版品。經歐盟認證的「資料利他主義組織」在標示通用標章時須附上可連結到「歐盟認證的『資料利他主義組織』之公開登記資料庫（public register of data-altruism organisations）」的QR code，歐盟將於2023年9月24日開始提供該公開登記資料庫。在歐盟層面，這些通用標章的利用可以易於識別被認證的「資料中介服務提供者」及「資料利他主義組織」與其他未經認證的服務提供者，有助於提高整體資料市場的透明度。 由於數位資料具有易於竄改、複製等特性，因此需要透過「可信任工具」來證明其來源正確、內容真實等，歐盟即以「通用標章」來識別「資料中介服務提供者」及「資料利他主義組織」。我國法務部、司法院、高等檢察署、法務部調查局和內政部警政署等機關共同推動司法聯盟鏈，並於2022年推出「b-JADE證明標章」，透過認證機制確保鏈下之數位資料於上鏈前具有可信任性。通過驗證並取得「b-JADE證明標章」的機關、機構或團體等組織，對外可證明其具備資料治理暨管理能力及保護數位資料之能力，且可取得申請加入「司法聯盟鏈」之機會。 本文同步刊登於TIPS網站（https://www.tips.org.tw）
美國國家標準與技術研究院公布人工智慧風險管理框架（AI RMF 1.0）美國國家標準與技術研究院（National Institute of Standards and Technology, NIST）於2023年1月26日公布「人工智慧風險管理框架1.0」（Artificial Intelligence Risk Management Framework, AI RMF 1.0），該自願性框架提供相關資源，以協助組織與個人管理人工智慧風險，並促進可信賴的人工智慧（Trustworthy AI）之設計、開發與使用。NIST曾於2021年7月29日提出「人工智慧風險管理框架」草案進行公眾徵詢，獲得業界之建議包含框架應有明確之衡量方法以及數值指標、人工智慧系統設計時應先思考整體系統之假設於真實世界中運作時，是否會產生公平性或誤差的問題等。本框架將隨著各界使用後的意見回饋持續更新，期待各產業發展出適合自己的使用方式。 本框架首先說明人工智慧技術的風險與其他科技的差異，定義人工智慧與可信賴的人工智慧，並指出設計該自願性框架的目的。再來，其分析人工智慧風險管理的困難，並用人工智慧的生命週期定義出風險管理相關人員（AI actors）。本框架提供七種評估人工智慧系統之信賴度的特徵，包含有效且可靠（valid and reliable）：有客觀證據證明人工智慧系統的有效性與系統穩定度；安全性（safe）：包含生命、健康、財產、環境安全，且應依照安全風險種類決定管理上的優先次序；資安與韌性（secure and resilient）；可歸責與資訊透明度（accountable and transparent）；可解釋性與可詮譯性（explainable and interpretable）；隱私保護（privacy-enhanced）；公平性—有害偏見管理（fair – with harmful bias managed）。 本框架亦提出人工智慧風險管理框架核心（AI RMF Core）概念，包含四項主要功能：治理、映射（mapping）、量測與管理。其中，治理功能為一切的基礎，負責孕育風險管理文化。各項功能皆有具體項目與子項目，並對應特定行動和結果產出。NIST同時公布「人工智慧風險管理框架教戰手冊」（AI RMF Playbook），提供實際做法之建議，並鼓勵業界分享其具體成果供他人參考。
歐盟EDPB認為防範Cookie疲勞應確保資訊透明及簡化歐盟資料保護委員會（European Data Protection Board, EDPB）於2023年12月13日回覆歐盟執行委員會（European Commission, EC）有關Cookie協議原則草案（Cookie Draft Pledge Principles）之諮詢。該草案旨在處理「Cookie疲勞」（Cookie fatigue）所造成的隱私權保護不周全之處。 在電子通訊隱私指令（ePrivacy Directive）以及GDPR規範下，由於現行同意機制複雜，造成用戶對Cookie感到疲勞，進而放棄主張隱私偏好。 為了避免「Cookie疲勞」，EDPB提出以下原則和建議，大致可以分為三點： 一、簡化Cookie不必要的資訊 1.基本運作所需之Cookie（essential cookies）無需用戶同意，故不必呈現於同意選項，以減少用戶需閱讀和理解的資訊。 2.關於接受或拒絕Cookie追蹤的後果，應以簡潔、清楚、易於選擇的方式呈現。 3.一旦用戶拒絕Cookie追蹤，一年內不得再次要求同意。 二、確保資訊透明 1.若網站或應用程式的內容涉及廣告時，應在用戶首次訪問時進行說明。 2.不僅是同意追蹤的Cookie，用於選擇廣告模式的Cookie，仍需單獨同意。 三、維持有效同意 1.應同時顯示「接受」和「拒絕」按鈕，提供用戶拒絕Cookie追蹤的選項。 2.在提供Cookie追蹤選項時，除了接受全部的廣告追蹤或付費服務外，應提供用戶另一種較不侵犯隱私的廣告形式。 3.鼓勵應用程式提前記錄用戶的Cookie偏好，但強調在用戶表達同意時必須謹慎處理，預先勾選的「同意」不構成有效同意。 EC表示，該草案目的在於簡化用戶對Cookie和個人化廣告選擇的管理，雖然為了避免Cookie疲勞而簡化資訊，仍應確保用戶對於同意Cookie追蹤，是自願、具體、知情且明確的同意。將於後續參考EDPB之建議，並與利害關係人進行討論後，制定相關法規。
Amazon無法阻擋家居家飾用品零售商Williams-Sonoma對其提出之智財侵害訴訟，此訴訟案將持續進行…美國高端家居家飾用品零售商Williams-Sonoma於美國加州北區聯邦地方法院指控電商巨頭Amazon企圖誤導消費者，使消費者認為Amazon是Williams-Sonoma授權的經銷商。 2018年12月14日Williams-Sonoma向法院提起了智財侵權等訴，主張Amazon犯有下列行為，並請求損害賠償及禁制令： 侵害了Williams-Sonoma旗下West Elm品牌的Orb椅子設計專利，專利號為D815,452。 在Amazon網站上及行銷廣告中使用Williams-Sonoma的商標而有商標侵害及仿冒之行為。 在Amazon網站上及行銷廣告中使用Williams-Sonoma的商標而有商標淡化之侵害行為。 不公平競爭行為。 Williams-Sonoma指出就商標部分，Amazon未經授權，在其網站設立一Williams-Sonoma銷售網頁，並在廣告及該網頁中使用未經授權的Williams-Sonoma商標，且未標示清楚網頁中的商品並非直接由Williams-Sonoma提供；甚至於Amazon的搜尋引擎廣告及電子郵件廣告中誤導消費者，使消費者認為可以在Amazon網站上買到Williams-Sonoma授權的商品。 Amazon於今（2019）年2月提出動議主張該案與商標相關之部分應予駁回，辯稱其僅是提供一個平台，使在其他地方購買的Williams-Sonoma產品可以轉售給消費者，適用第一次銷售原則。但該地院法官表示：「就整體而言Amazon不僅是轉售Williams-Sonoma的產品，而是塑造錯誤的印象讓人誤以為在Amazon網站的這些銷售是經過授權，使一個合理謹慎的消費者（reasonably prudent consumer）會產生誤認混淆。」，因此裁定駁回被告Amazon提出的動議，本案將會進入法院審判。 Williams-Sonoma提出的訴訟案其實也是Amazon發展自有品牌衍生的抄襲問題以及與其他大型品牌商緊張關係的展現。Amazon扮演著既是合作夥伴也是競爭者的角色，使得一些大型品牌商陷入困境，若不在Amazon網站銷售，產品很有可能會銷售不佳，但若在Amazon網站銷售，則Amazon會蒐集銷售產品的資料並且製造類似但較便宜的自有品牌產品銷售。Amazon此種飽受爭議的營運模式所牽扯的智財爭議仍有待後續追蹤 。 圖片來源：COURT DOCUMENTS 「本文同步刊登於TIPS網站（https://www.tips.org.tw）」