歐洲議會全體會議投票通過《資安韌性法》草案，以提高數位產品安全性
歐洲議會於2024年3月12日全體會議投票通過《資安韌性法》（Cyber Resilience Act）草案，後續待歐盟理事會正式同意後，於官方公報發布之日起20天後生效。該草案旨於確保具有數位元件之產品（products with digital elements, PDEs）（下簡稱為「數位產品」）具備對抗資安威脅的韌性，並提高產品安全性之透明度。草案重點摘要如下：
一、數位產品進入歐盟市場之條件
課予數位產品之製造商及其授權代理商、進口商與經銷商法遵義務，規定產品設計、開發與生產須符合資安要求（cybersecurity requirements），且製造商須遵循漏洞處理要求，產品始得進入歐盟市場。
二、數位產品合規評估程序（conformity assessment procedures）
為證明數位產品已符合資安及漏洞處理要求，依數位產品類別，製造商須對產品執行（或委託他人執行）合規評估程序：重要（無論I類或II類）數位產品及關鍵數位產品應透過第三方進行驗證，一般數位產品得由製造商自行評估。通過合規評估程序後，製造商須提供「歐盟符合性聲明」（EU declaration of conformity），並附標CE標誌以示產品合規。
三、製造商數位產品漏洞處理義務
製造商應識別與記錄數位產品的漏洞，並提供「安全更新」（security updates）等方式修補漏洞。安全更新後，應公開已修復漏洞之資訊，惟當製造商認為發布相關資訊之資安風險大於安全利益時，則可推遲揭露。
四、新增開源軟體管理者（open-source software steward）之義務
開源軟體管理者應透過可驗證的方式制定書面資安政策，並依市場監管機關要求與其合作。當開源軟體管理者發現其所參與開發的數位產品有漏洞，或遭受嚴重事故時，應及時透過單一通報平臺（single reporting platform）進行通報，並通知受影響之使用者。
- Cyber Resilience Act: MEPs adopt plans to boost security of digital products, European Parliament (2024)
- European Parliament legislative resolution of 12 March 2024 on the proposal for a regulation of the European Parliament and of the Council on horizontal cybersecurity requirements for products with digital elements and amending Regulation (EU) 2019/1020 (COM(2022)0454 – C9-0308/2022 – 2022/0272(COD)), European Parliament (2024)
- 零售業個資安全宣導暨安全維護計畫規劃說明會
- (已額滿)114年「企業營業秘密保護實務座談會」(北部場)–營業秘密因應數位環境之保護風險及管理對策
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(實體)
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(直播)
- 【台北場1】通訊傳播事業個資法遵教育訓練
- 【台中場】通訊傳播事業個資法遵教育訓練
- 【新北場】通訊傳播事業個資法遵教育訓練
- 【高雄場】通訊傳播事業個資法遵教育訓練
- 【台北場2】通訊傳播事業個資法遵教育訓練
- 114年「企業營業秘密保護實務座談會」（南部場）
- 114年「企業營業秘密保護實務座談會」（中部場）
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
柯郁萱
副法律研究員 編譯整理
Cyber Resilience Act: MEPs adopt plans to boost security of digital products, European Parliament (2024), https://www.europarl.europa.eu/news/en/press-room/20240308IPR18991/cyber-resilience-act-meps-adopt-plans-to-boost-security-of-digital-products (last visited Mar. 29, 2024).
European Parliament legislative resolution of 12 March 2024 on the proposal for a regulation of the European Parliament and of the Council on horizontal cybersecurity requirements for products with digital elements and amending Regulation (EU) 2019/1020 (COM(2022)0454 – C9-0308/2022 – 2022/0272(COD)), European Parliament (2024), https://www.europarl.europa.eu/doceo/document/TA-9-2024-0130_EN.html#title2 (last visited Mar. 29, 2024).
Cyber Resilience Act - Questions and Answers*, European Commission (2023), https://ec.europa.eu/commission/presscorner/detail/en/qanda_22_5375 (last visited Mar. 29, 2024).
陳政陽，〈新加坡物聯網產品網路安全防護之初探〉，資策會科技法律研究所，2023年6月30日，https://stli.iii.org.tw/article-detail.aspx?tp=1&d=9061&no=64（最後瀏覽日：2024/03/29）。
張瀠心，〈歐盟推出《網路韌性法案》補充歐盟網路安全框架〉，資策會科技法律研究所，2022年12月，https://stli.iii.org.tw/article-detail.aspx?tp=1&d=8915&no=64（最後瀏覽日：2024/03/29）。
美國於2015年2月5日公布修訂之行動醫療應用程式指導原則(Mobile Medical Applications, Guidance for Industry and Food and Drug Administration Staff)，取代原先在2013年9月公布之版本。本次的修訂主要是將美國2015年2月9日公布之醫療設備資訊系統、醫療影像儲存設備、及醫療影像傳輸設備指導原則(Medical Device Data Systems, Medical Image Storage Devices, and Medical Image Communications Devices, Guidance for Industry and Food and Drug Administration Staff)規範納入其中。 2015年2月9日公布之醫療設備資訊系統、醫療影像儲存設備及醫療影像傳輸設備指導原則，擬降低FDA的管理程度，採用風險性評估方式，針對部分醫療設備資訊系統、醫療影像儲存設備及醫療影像傳輸設備等三種屬於第一級低風險之醫療器材，得不受ㄧ般管制，例如不需要登記、上市後報告及品質系統法規遵守等。原先，美國於2011年先將醫療設備資訊系統從第三級之高風險醫療器材，降低為第一級低風險之醫療器材，但經過長期間的使用經驗後，FDA認為，此等醫療器材設備在健康照護中十分重要，但相對於其他醫療器材，風險則較低，因此，將放寬程序。 行動健康應用程式亦可能歸類為上述之醫療器材，因此，為與上述的指導原則相符合，對於行動健康應用程式的審查亦作部分放寬。例如，當應用程式與資療資訊系統結合，而成為應受規範之醫療器材時，原先之規定為應進入醫療器材之規範程序，但新修訂之指導原則，則再放寬。僅將涉及積極的病人監測或醫療器材數據分析時，才需要回歸醫療器材之審查方式，其他醫療資訊系統若僅為儲存、傳輸等功能，而非主要提供診斷、治療等功能時，則可以不受醫療器材之規範限制，因風險程度較低，因此改由FDA視個案審查即可。為鼓勵相關產業的發展，FDA將風險性低之醫裁降低管理程度，其後續發展值得觀察。
英國提出因應GDPR自動化決策與資料剖析規定之細部指導文件2018年5月，英國資訊專員辦公室（Information Commissioner’s Office, ICO）針對歐盟GDPR有關資料自動化決策與資料剖析之規定，公布了細部指導文件（detailed guidance on automated decision-making and profiling），供企業、組織參考。 在人工智慧與大數據分析潮流下，越來越多企業、組織透過完全自動化方式，廣泛蒐集個人資料並進行剖析，預測個人偏好或做出決策，使個人難以察覺或期待。為確保個人權利和自由，GDPR第22條規定資料當事人應有權免受會產生法律或相類重大效果的單純自動化處理決策（a decision based solely on automated processing）之影響，包括對個人的資料剖析（profiling），僅得於三種例外情況下進行單純自動化決策： 為簽訂或履行契約所必要； 歐盟或會員國法律所授權； 基於個人明示同意。 英國2018年新通過之資料保護法（Data Protection Act 2018）亦配合GDPR第22條規定，制定相應國內規範，改變1998年資料保護法原則上容許資料自動化決策而僅於重大影響時通知當事人之規定。 根據指導文件，企業、組織為因應GDPR而需特別留意或做出改變的事項有： 記錄資料處理活動，以幫助確認資料處理是否符合GDPR第22（1）條單純自動化決策之定義。 倘資料處理涉及資料剖析或重大自動化決策，應進行資料保護影響評估（Data Protection Impact Assessment, DPIA），判斷是否有GDPR第22條之適用，並及早了解相關風險以便因應處理。 提供給資料當事人的隱私權資訊（privacy information），必須包含自動化決策之資訊。 應確保組織有相關程序能接受資料當事人的申訴或異議，並有獨立審查機制。 指導文件並解釋所謂「單純自動化決策」、「資料剖析」、「有法律效果或相類重大影響」之意義，另就可進行單純自動化決策的三種例外情況簡單舉例。此外，縱使符合例外情況得進行單純自動化決策，資料控制者（data controller）仍必須提供重要資訊（meaningful information）給資料當事人，包括使用個人資料與自動化決策邏輯上的關聯性、對資料當事人可能產生的結果。指導文件亦針對如何向資料當事人解釋自動化決策處理及提供資訊較佳的方式舉例說明。
日本經產省修訂網路安全經營指引日本經濟產業省與獨立行政法人資訊處理推進機構（IPA）於2017年11月16日修正並公佈「網路安全經營指引」（サイバーセキュリティ経営ガイドライン）。經產省與獨立行政法人資訊處理推進機構為推動網路安全對策，以經營者為對象於2015年12月制定「網路安全經營指引」。惟因近年來網路攻擊越發頻繁，且攻擊方式亦越來越多樣化，僅透過事前對策無法妥善因應網路攻擊問題，故日本經產省與獨立行政法人資訊處理推進機構合作，參考歐美等國網路安全對策修正方向，擬加強企業事後檢測、應對和復原措施，並舉辦「網路安全經營指引修正研究會」，修訂「網路安全經營指引」。 本次修正未更改經營者應認識之三大原則︰(1)經營者應對網路安全有所認知，並作為領者者採取對策；(2)商業夥伴和委託者在內之供應鍊安全對策；(3)不論平時或緊急時，網路安全相關資訊之公開應與關係者進行適當溝通，而是修正10大經營重要項目中第5項、第8項和第9項，分別為︰(1)「建構網路安全風險應對措施」加入包含「攻擊檢測」在內之風險應對措施；(2)「事件被害復原體制之整備」加入「遭受網路攻擊時復原之準備」；(3)「包含商業夥伴和委託者在內之全體供應鍊對策及狀況掌握」加入「供應鍊對策強化」等記載。 日本政府希望透過上開指引之修正，建構安全之網路經營環境。
綠色商標之挑戰—歐盟智慧財產權局發布綠色歐盟商標報告2023年7月歐洲創新理事會和中小企業執行機構（European Innovation Council and SMEs Executive Agency , EISMEA）撰文重申綠色商標的重要性與挑戰。隨著環境議題於國際上的重要性日益增加，綠色商標（Green trademarks）成為一個新興議題。許多敏銳的品牌於意識到多數消費者在消費選擇上更注重環保要素時，即開始開發環保相關商品或服務，並透過「綠色」相關之文字、圖像（Images）或標語（Slogans）等進行「綠色商標」布局，向消費者傳達品牌在環保、永續的投入，例如：商品為有機、對地球有益的，或可促進回收利用的等資訊。根據歐盟智慧財產權局（EUIPO）於2023年2月發布最新版之綠色歐盟商標報告（Green EU trade marks–2022 update）的統計資料顯示，綠色商標占總體商標申請的比例穩定上升中，從1996年的4%提升到2021年的12%，可以看出品牌對於綠色商標愈來愈重視。 該報告將綠色產品的商標分別九大類別。其中，能源生產和節能，合計占綠色商標申請的48%以上，污染控制占18%，交通占11%。品牌企業應確保於正確商品或服務類別進行綠色商標布局。除商品或服務註冊類別外，企業於商標註冊前之綠色品牌命名階段，應避免品牌名稱不具商標法要求的識別性，導致被智慧財產局駁回或撤銷商標註冊之風險，例如：以誤導性或純粹描述性（misleading or purely descriptive）的方式使用「生態（Eco）」或「綠色（Green）」等用語（terms）。建議綠色品牌命名應確保避免單純放入該些描述環保特性的用語，而必須考量商標法要求的識別性，能夠使相關消費者能識別綠色商品或服務來源，並得與他人的商品或服務相區別。 綜上所述，隨著近年企業推出綠色品牌、商品或服務，採用環保相關文字或標語作為綠色品牌名稱的情況逐漸增加，這也為商標申請人帶來挑戰。環保意識提升的消費者，對於這些環保相關用語的理解變得更加成熟，品牌商標更容易被認定為單純描述性的用詞（可能符合中華民國商標法第29條第一項不得註冊事由），商標申請人對於品牌商標獨特性的證明上將更加困難。因此，建議品牌擁有者應在商標註冊前之品牌命名階段，更發揮創意、注重商標法「具識別性」之註冊要件，避免品牌命名僅單純向消費者描述環保特色資訊，導致無法取得註冊商標，難以彰顯綠色品牌特色之後果。 本文同步刊登於TIPS網站（https://www.tips.org.tw）