英國政府公布「英國醫療器材監管的未來」公眾諮詢結果並確立未來監管方向
英國藥物及保健產品管理局（Medicines and Healthcare Products Regulatory Agency, MHRA）於2022年6月22日公布「英國醫療器材監管的未來之公眾諮詢政府回應」（Government response to consultation on the future regulation of medical devices in the United Kingdom），確立未來醫材監管方向。本次諮詢收到將盡900件回應（民眾與業者大約各半），結果顯示民眾業者對於強化醫療器材安全監管的支持。
MHRA將強化MHRA的執法權力，以確保病患安全，並且關注健康不平等議題並減少AI偏見問題；其監管設計上會考量歐盟和全球標準，並致力於建立英國符合性評鑑（UK Conformity Assessed, UKCA）。MHRA於安全方面，將增加製造商、進口商與經銷商的責任，並要求有英國地址的負責人對瑕疵商品負擔法律責任（構成法律責任的要件與製造商同）。其亦將要求製造商賠償被不良事件影響的人、禁止行銷上使用引人錯誤之表示、導入醫材之單一識別碼（Unique Device Identifiers, UDI）與增加註冊所需提供之資料，且製造商須建置上市後不良反應監測系統並回報統計上顯著的不良事件趨勢。創新方面，MHRA欲增設「創新醫療器材上市管道」和「軟體醫材上市管道」，以顧及創新與軟體醫材特殊需求。針對一般軟體醫材（software as a medical device, SaMD）與人工智慧軟體醫材（AI as a medical device, AIaMD）的監管，MHRA僅欲於法規中增加「軟體」的定義，其他規範將由指引的形式公布。此外，其將AIaMD視為SaMD的一種，並不會額外訂定AIaMD相關規範。
本文為「經濟部產業技術司科技專案成果」
陳箴
專案經理 編譯整理
MHRA, Government response to consultation on the future regulation of medical devices in the United Kingdom (2022), https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/1085333/Government_response_to_consultation_on_the_future_regulation_of_medical_devices_in_the_United_Kingdom.pdf (last visited Aug. 31, 2022).
The future of medical device regulation: Government response, Lexology, https://www.lexology.com/library/detail.aspx?g=3d199e84-db0c-4571-a704-6cdb91cba3eb (last visited Aug. 31, 2022).
英國展開醫療器材監管公眾意見徵詢並公布《人工智慧軟體醫材改革計畫》，資訊工業策進會科技法律研究所，https://stli.iii.org.tw/article-detail.aspx?no=55&tp=1&i=0&d=8765（最後瀏覽日：2022/09/05）。
FDA發佈人工智慧/機器學習行動計畫，資訊工業策進會科技法律研究所，https://stli.iii.org.tw/article-detail.aspx?tp=1&i=180&d=8628&no=64（最後瀏覽日：2022/09/05）。
英國政府所提出的「10萬基因體計畫（100,000 Genomes Project）」將於2018年底達成目標，而將以NHS基因體醫學服務（NHS Genomic Medicine Service）作為續行計畫，以促進個人化醫療的發展。 NHS基因體醫療服務的目的在於促進罕見疾病與癌症的診斷以及患者治療的效率，並預期在未來5年達到五百萬組基因定序，以提供具備全面性（comprehensive）以及公正性（equitable）的基因檢測。為達此目的，NHS基因體醫療服務包含5個主要內涵：連結基因體研究中心以成立國家基因體實驗室服務（national genomic laboratory service）、新的國家基因體實驗室檢測文庫（new National Genomic Test Directory）、全基因體定序的相關規範，並與英國基因體公司（Genomic England）合作開發資訊基礎設施（informatics infrastructure）、臨床基因體醫學服務（clinical genomics medicine services）以及發展基因體醫學中心服務（Genomic Medicine Centre service）、NHS負擔統合性的監管職責。 在以NHS基因體醫療服務作為續行計畫的狀況下，若合格的研發人員欲以患者的基因資料進行新藥或是新治療方式的開發需事先取得患者的同意。另外，從2019年開始，全基因定序將被納入特定患者的治療過程中，如罹患特定罕見疾病或具有治癒困難性的成年患者以及所有患有嚴重疾病的孩童患者，以加速疾病的診斷以及減少侵入性治療的次數。
淺談美國與日本遠距工作型態之營業秘密資訊管理淺談美國與日本遠距工作型態之營業秘密資訊管理 資訊工業策進會科技法律研究所 2022年05月18日 根據2021年5月日本總務省所公布之《遠距工作資安指引》第5版，近年來隨著科技的進步，遠距工作在全球越來越普及，過去將員工集中在特定辦公場所的工作型態更是因為COVID-19帶來的環境衝擊，使辦公的地點、時間更具有彈性，遠距工作模式成為後疫情時代的新生活常態。 因應資訊化時代，企業在推動遠距工作時，除業務效率考量外，更需注意資安風險的因應對策是否完備，例如員工使用私人電腦辦公時要如何確保其設備有足夠的防毒軟體保護、重要機密資訊是否會有外洩的風險等。 本文將聚焦在遠距工作型態中，因應網路資安管控、員工管理不足，所產生的營業秘密資訊外洩風險為核心議題，研析並彙整日本於2021年5月由日本總務省所公布之《遠距工作資安指引》第5版[1]，以及美國2022年3月針對與遠距工作相關判決Peoplestrategy v. Lively Emp. Servs.之案例[2]內容，藉此給予我國企業參考在遠距工作模式中應注意的營業秘密問題與因應對策。 壹、遠距工作之型態 遠距工作是指藉由資訊技術(ICT Information and Communication Technology)，達到靈活運用地點及時間之工作方式。以日本遠距工作的型態為例，依據業務執行的地點，可分為「居家辦公」、「衛星辦公室辦公」、「行動辦公」三種： 1.居家辦公：在居住地執行業務的工作方式。此方式因節省通勤時間，是一種有效兼顧工作與家庭生活的工作模式，適合如剛結束育嬰假而有照顧幼兒需求的員工。 2.衛星辦公室（Satellite Office）辦公：在居住地附近，或在通勤主要辦公室的沿途地點設置衛星辦公室。在達到縮短通勤時間的同時，可選擇優於居住地之環境執行業務，亦可在移動過程中完成工作，提高工作效率。 3.行動辦公：運用筆記型電腦辦公，自由選擇處理業務的地點。包含在渡假村、旅遊勝地一邊工作一邊休假之「工作渡假」也可歸類於此型態。 貳、遠距工作之風險及其對策 遠距工作時，企業內外部資訊的交換或存取都是透過網際網路執行，對於資安管理不足的企業來說，營業秘密資訊可能在網路流通的過程中受到惡意程式的攻擊，或是遠距工作的終端機、紀錄媒體所存入的資料有被竊取、遺失的風險。例如商務電子郵件詐欺（Business Email Compromise，簡稱BEC）之案例，以真實CEO之名義傳送假收購訊息，藉此取得其他公司之聯絡資訊。近年來BEC的攻擊途徑亦增加以財務部門等資安意識較薄弱的基層員工為攻擊對象的案例[3]。 由於員工在遠距工作時，常使用私人電腦或智慧型手機等終端機進行業務資料流通，若員工所持有的終端機資安風險有管控不佳的情況，即有可能被間接利用作為竊取企業營業秘密資訊之工具。例如2020年5月日本企業發生駭客從私人持有之終端機竊取員工登入企業内網的帳號密碼，再以此做為跳板，進入企業伺服器非法存取企業之營業秘密資訊，造成超過180家客戶受到影響[4]。 關於遠距工作網路資安的風險對策，在技術層面上，企業可使用防毒軟體或電子郵件系統的過濾功能，設定遠距工作之員工無法開啟含有惡意程式的檔案，或是透過雲端服務供應商代為控管存取資料之驗證機制，使遠距工作的過程中不用進入企業内網，可直接透過雲端讀取資訊。另外，建議企業將資訊依照重要程度作機密分級，並依據不同分級採取不同規格的保密措施。例如將資料分成「機密資訊」、「業務資訊」、「公開資訊」 三個等級[5]，屬營業秘密、顧客個資等機密資訊者，應採取如臉部特徵辨識、雙重密碼認證等較高規格的保密措施[6]。在內部制度面上，企業則可安排定期遠距工作資安教育訓練、將可疑網站或郵件資訊刊登在企業電子報、公告提醒員工近期資安狀況；甚至要求員工在連結企業内網或雲端資料庫時，須使用資安管理者指定的方法連結，未經許可不得變更設定。 除上述網路資安的風險外，員工管理問題對於企業推動遠距工作是否會導致營業秘密資訊洩漏有關鍵性的影響。因此，企業雇主與員工在簽訂保密協議時，雙方皆需要清楚了解營業秘密保護的標準。以美國紐澤西州Peoplestrategy v. Lively Emp. Servs.判決為例，營業秘密案件的裁判標準在於企業是否已採取合理保密措施[7]。如果企業已採取合理保密措施，而員工在知悉(或應該知悉)有以不正當手段獲得營業秘密之情事，則企業有權要求該員工承擔營業秘密被盜用之賠償責任[8]。在本案中，原告Peoplestrategy公司除了要求員工須簽屬保密協議外，同時有採取保護措施，禁止員工將公司資訊存入筆記型電腦，並且要求員工離職時返還公司所屬之機密資訊，並讀取資訊的過程中，系統會跳出顯示提醒員工有保密義務之通知，故法院認定原告有採取合理的保護措施，保護機密資訊的秘密性[9]。與之相反，Maxpower Corp. v. Abraham案例中，原告僅採取一項最基礎的保密措施(設置電腦設備讀取權限並要求輸入密碼)，且與其員工簽訂保密協議中缺乏強調保密之重要性、未設立離職返還資訊之程序，故法院認定原告所採取之管控機制未能達到合理保密措施[10]之有效性。 藉由前述兩件判決案例，企業在與員工簽屬保密協議時，應向員工揭露企業的營業秘密保密政策，並說明希望員工如何適當處理企業所屬的資訊，透過定期的教育訓練宣導機制，以及員工離職時再次提醒應盡之保密義務。理想上，企業應每年與員工確認保密協議內容是否有需要配合營運方向、遠距工作模式調整，例如員工因為遠距工作使工作時間、地點的自由度增加，是否會發生員工接觸或進一步與競爭對手合作的情形。對此，企業應該在保密協議中訂立禁止員工在企業任職期間出現洩露公司機密或為競爭對手工作之行為[11]。 參、結論 以上概要說明近期美國和日本針對遠距工作時最有可能產生營業秘密資訊管理風險的網路資安問題、員工管理問題。隨著後疫情時代發展，企業在推動遠距工作普及化的過程中，同時也面臨到營業秘密管控的問題，以下以四個面向給予企業建議的管控對策供參。 （一）教育宣導：企業可定期安排遠距工作資安教育訓練，教導員工如何識別釣魚網站、BEC等網路攻擊類型，並以企業電子報、公告提醒資安新聞。另外，規劃宣導企業營業秘密保密政策，使員工清楚應盡的保密義務，以及如何適當處理企業的資訊。 （二）營業秘密資訊管理：企業應依照資訊重要程度作機密分級，例如將資訊分成「機密資訊」、「業務資訊」、「公開資訊」三個等級，對於機密資訊採取如臉部特徵辨識、雙重密碼等較嚴謹的保密措施。其中屬於秘密性高的營業秘密資訊則採取較高程度的合理保密措施，以及對應其相關資料應審慎管理對應之權限、存取審核。 （三）員工管理：企業在最理想的狀況下，應每年與員工確認保密協議的約定內容是否有符合業務營運需求(例如遠距工作應執行的保密措施)，並確保員工知悉要如何有效履行其保密義務。要求員工在處理營業秘密資訊時，使用指定的方式連結企業内網或雲端資料庫、禁止員工在職期間或離職時，在未經許可之情況下持有企業的營業秘密資訊。 （四）環境設備管理：遠距工作時在技術管理上最重要的是持續更新資安防護軟體、防火牆等阻隔來自於外部的網路攻擊，避免直接進入到企業內部網站為原則。同時，需確認員工所持有的終端機是否有資安風險管控不佳的風險、以系統顯示提醒員工對於營業秘密資訊應盡的保密義務。 本文同步刊登於TIPS網站（https://www.tips.org.tw） [1]〈遠距工作資安指引〉第5版，總務省，https://www.soumu.go.jp/main_sosiki/cybersecurity/telework/ (最後瀏覽日：2022/04/27）。 [2]Karol Corbin Walker, Krystle Nova and Reema Chandnani, Confidentiality Agreements, Trade Secrets and Working From Home, March 11, 2022, https://www.law.com/njlawjournal/2022/03/11/confidentiality-agreements-trade-secrets-and-working-from-home/ (last visited April 27, 2022). [3]同前揭註1，頁99。 [4]同前揭註1，頁103。 [5]同前揭註1，頁73。 [6] Amit Jaju ET CONTRIBUTORS, How to protect your trade secrets and confidential data, The Economic Times, March 05, 2022, https://economictimes.indiatimes.com/small-biz/security-tech/technology/how-to-protect-your-trade-secrets-and-confidential-data/articleshow/90010269.cms (last visited April 27, 2022). [7]Sun Dial Corp. v. Rideout, 16 N.J. 252, 260 (N.J. 1954). Karol Corbin Walker et al., supra note 2 at 3. [8]18 U.S.C.§1839(5). Karol Corbin Walker et al., supra note 2 at 3. [9]Peoplestrategy v. Lively Emp. Servs., No. 320CV02640BRMDEA, 2020 WL 7869214, at *5 (D.N.J. Aug. 28, 2020), reconsideration denied, No. 320CV02640BRMDEA, 2020 WL 7237930 (D.N.J. Dec. 9, 2020). Karol Corbin Walker et al., supra note 2 at 3. [10]Maxpower Corp. v. Abraham, 557 F. Supp. 2d 955, 961 (W.D. Wis. 2008) Karol Corbin Walker et al., supra note 2 at 3. [11]Megan Redmond, A Trade Secret Storm Looms: Six Steps to Take Now, JDSUPRA, March 07, 2022, https://www.jdsupra.com/legalnews/a-trade-secret-storm-looms-six-steps-to-6317786/ (last visited April 27, 2022).
愛沙尼亞首創「數位遊牧簽證」吸引高收入高專業的數位遊牧民族2020年6月3日，愛沙尼亞議會通過了「外國人法（Aliens Act）」修正案，批准了全球首創專為「數位遊牧民族（Digital Nomads, DN）」設計的「數位遊牧簽證（Digital Nomad Visa, DNV）」，並於同年8月1日正式開辦。 「數位遊牧民族（DN）」為近年來興起的一種工作與生活型態，意指無需固定的工作時間與地點，只要有網路就能工作，通常是邊工作邊旅遊、經常在各國移動的生活型態，一般傳統的工作簽證或旅遊簽證較難直接適用。 今年因COVID-19疫情影響，許多人轉為遠距工作，也使更多人成為DN。而以數位治國聞名全球的愛沙尼亞，於2014年推出e-Residency（數位公民計畫）向全球招收數位公民後，進一步推出「數位遊牧簽證（DNV）」。DNV申請人可以是受雇者、企業經營者或是自由工作者，必須為外國企業工作、經營外國企業或是客戶位於國外（但不禁止在當地兼職）；其次，申請人必須證明近6個月每月3,504歐元（約新臺幣12萬元）的收入，取得DNV者即可到當地居住一年。該政策看重其高收入、高消費能力，以及高專業性，能在IT、金融、行銷或相關領域獨立工作，為當地科技業提供創意與技術，帶動產業、增加產值；其在境內期間的收益亦可成為充實國家稅捐的標的，在經濟上具有正面效益，在社會上亦可增加多元性、開拓國際事業，並提升國際知名度。
美國德州東區地方法院對Ericsson v. Samsung案發布反禁訴令，禁止援引中國法院禁訴令干擾美國法院對SEP管轄權美國德州東區聯邦地方法院於2021年1月11日對Ericsson v. Samsung案發布反禁訴令（anti-anti-suit injunction），禁止三星援引中國大陸湖北省武漢市中級人民法院作出之禁訴令（anti-suit injunction），以強制執行愛立信4G及5G行動通訊技術領域的標準必要專利（standards-essential patents, SEPs）。 本案源於三星與愛立信更新全球專利交叉授權契約時，雙方對於SEP授權價格是否符合公平、合理、無歧視（Fair, Reasonable and Non-discriminatory, FRAND）未能達成協議。故2020年12月11日，愛立信在美國德州東區地方法院對三星提起訴訟並為通知，請求美國法院確認愛立信的SEP授權符合FRAND；三星則於12月7日，選擇向中國大陸武漢法院提起訴訟，請求對愛立信裁定發布禁訴令，禁止愛立信在全球其他國家的法院另行提起SEP訴訟救濟，直到12月25日中國法院核准禁訴令後才通知愛立信。愛立信旋即於12月28日向美國法院提出暫時禁令和反禁訴令（禁止中國禁訴令干擾），美國法院立即同意核發暫時禁令，並於2021年1月11日核發初步禁制令，明定在美國一審判決結束前三星須遵守以下要求：(1)三星在中國武漢法院民事訴訟中的行動，不得干擾美國德州東區地院的合法管轄權；(2)禁止三星援引中國武漢法院禁訴令，剝奪或限制愛立信及其子公司在美國實施專利訴訟權利；(3)三星透過不公平的經濟影響力，迫使愛立信需繳納違反中國法院禁訴令罰款，三星應賠償愛立信因此所受損害。 另外，美國德州東區地方法院認為，本案兩法院間處理的是不同的法律爭議。三星是要求中國武漢法院針對愛立信4G及5G的SEP訂定全球授權價格；愛立信則是請求美國德州東區地方法院確認，兩家公司間的授權協商行為是否遵守FRAND。故美國法院並非要求三星撤銷中國大陸禁訴令，更無意介入中國法院的民事訴訟程序並阻止審查專利糾紛。美國法院核發反禁訴令的目的，是為了維護美國法院對訴訟的適當管轄權，以確保中國及美國二法院都能對本案進行訴訟。