美國奧克拉荷馬州修正《個資事故通報法》,擴充個資定義範圍並強化通報機制
資訊工業策進會科技法律研究所
2025年07月22日
現行我國關於非公務機關就個資事故進行通報之規定,散落於各中央目的事業主管機關制定之各業別個人資料檔案安全維護管理辦法或相關辦法中,且前揭各辦法對於通報之標準不盡相同。各國主管機關紛紛強化個資治理法制,而美國奧克拉荷馬州修正關於個人資料定義、適當防護措施及個資事故通報機制等事項,以建立更完善之規範。
壹、事件摘要
美國奧克拉荷馬州議會業於2025年5月20日通過第626號法案(Senate Bill 626)[1],修正《個資事故通報法》(Security Breach Notification Act)[2],其目的係為補充現行治理規範之不足,修正重點涵蓋:擴充法定用詞之定義,針對「個人資料」(Personal Information)與「適當防護措施」(Reasonable Safeguards)等條文予以補充與增列;強化個資事故(Breach of the security of a system)之通報機制與設立豁免條款,並釐清與其他法規間之適用關係;以及修訂違法情事之民事裁罰。此外,本次修法亦明定,若機構或個人已採取適當防護措施,得作為民事訴訟中之抗辯理由。本法將自2026年1月1日起正式生效,並適用於自該日起所發現、判定或通報之個資事故,相關單位應即早進行法遵準備,以確保制度落實。
貳、修法重點
本次修法主要包含三大核心面向,簡要說明如下:
一、擴充法定用詞之定義
(一)個人資料
於現行法規對個人資料之定義下,再增加新資料類別:
1.與驗證碼、存取碼或密碼結合使用時,可用以登入特定個人金融帳戶之專屬電子識別碼(Electronic Identifier)或路由代碼(Routing Code);
2.用以辨識特定自然人之獨特生物特徵資料,例如指紋、視網膜或虹膜影像,或其他具體實體或數位形式之生物辨識資料。
(二)適當防護措施
適當防護措施係指,為確保個人資料安全而考量組織或機構之規模、產業別、以及保有之個資類別與數量所制定之政策及作業實務。此概念包括但不限於:進行風險評估、建立技術面及實體面之多層次保護機制、對人員實施教育訓練,及建立個資事故應變計畫等。
二、強化事故通報機制與設立豁免條款
本法要求於發現系統個資事故並已通知受影響之當事人後,應於60日內向州檢察總長(Attorney General)提交書面通報,載明涉及之個人資料類別、事故性質、受影響人數、預估之財務損失、所採行之適當防護措施等必要內容。惟若事故影響人數低於500名州民,或事故發生於徵信機構且影響人數未達1,000人,則可免除向檢察總長通報之義務。
此外,本法明確規範,若特定機構已依據其他法律,如《奧克拉荷馬州醫療資安保護法》(Oklahoma Hospital Cybersecurity Protection Act of 2023)或聯邦《健康保險可攜及責任法》(Health Insurance Portability and Accountability Act of 1996)等履行相關通報義務,則視為已符合本法之要求。
三、民事裁罰
本法明定,民事罰鍰之裁量將審酌事故規模、事故發生後組織之因應作為及是否履行事故通報義務等因素而定,以確保裁量之比例原則。裁量情形說明如下:
1.若機構已採行適當防護措施且依法進行事故通報者,得免除民事責任;
2.若未採取適當防護措施,惟仍依規定完成事故通報者,則須負擔實際損害賠償責任並處以最高75,000美元罰鍰;
3.未落實適當防護措施與事故通報法定義務者,最高處以150,000美元罰鍰。
參、事件評析
本次修法可見奧克拉荷馬州就數位時代資安威脅所採行之積極因應作為,其修正重點包含:擴充個人資料之定義並明定適當防護措施之內容,俾利降低企業法遵成本及法律適用之不確定性;強化事故通報機制並設置合理豁免條款,以確保資訊透明度;於罰則規範中明定民事罰鍰之裁量,應審酌事故規模及是否履行事故通報義務等因素,以符合比例原則。
有鑑於本法修正後所課予之法定義務,建議企業應採行下列因應措施:(1)全面盤點所保有之個人資料,尤應注意新增納管之電子識別碼及生物特徵等資料;(2)檢視並強化現有防護機制,確保符合適當防護措施之要求;(3)建立標準化通報應變程序;(4)強化教育訓練。此外,企業宜定期檢視法規動態,以確保持續符合法規要求。
[1] Bill Information for SB 626, OKLAHOMA STATE LEGISLATURE, http://www.oklegislature.gov/BillInfo.aspx?Bill=sb626&Session=2500 (last visited June 1, 2025).
[2] BILL NO. 626, OKLAHOMA STATE LEGISLATURE, https://www.oklegislature.gov/cf_pdf/2025-26%20ENR/SB/SB626%20ENR.PDF (last visited June 2, 2025).
歐洲藥物管理局(European Medicines Agency, EMA)今(2012)年7月6日修正發布「藥品交互作用試驗指針」(Guideline on the Investigation of Drug Interactions),EMA表示這是該指針自1997年發布以來最大的修正,內容包括藥廠如何進行新藥與已經流通使用的藥品的潛在交互作用研究,以及新藥與食品的交互作用研究。 「藥品交互作用試驗指針」內容包括用藥建議方案,其乃基於臨床相關交互作用以及調整用藥劑量、監控病人用藥情形之可行性研究為基礎。同時,有關草藥使用的建議方案也包括在內。 EMA表示,新的修正內容使「藥品交互作用試驗指針」與藥品交互作用研究科學之發展現況趨於一致,例如現已能透過少數的精密設計研究,即可預測臨床相關藥品交互作用的結果,以及在了解近年酵素觸發技術(enzyme induction)與藥物載體(drug-transporter)間的交互作用上的科學進展。 藥物交互作用對於用藥的安全與效用極為重要,許多病人,尤其是年長者經常需要同時服用多種藥物,因多種藥物交互作用而產生的負作用(adverse effects)是患者反覆就醫的重要因素之一,且可能減低個別藥物原有的療效。 「藥品交互作用試驗指針」新修正內容將於2013年1月1日生效,全文共計七部分,主要重點在第五部分的藥物動力學(Pharmacokinetic)交互作用研究,內容包括:從研究進行方式即藥品的吸收、分布、代謝、移轉到人體試驗設計、草藥與特殊食品產品、以及產品特性標示事項等都有建議規範,其全文可至EMA官方網站下載。
大倫敦政府推動城市資料市集,期尋求資料利用及隱私保護間之平衡,建立民眾對資料市集之信賴資料利用之層面越來越廣,且無論是基於商業或公益目的,產生越來越多難題。穿戴式裝置及物聯網的發展,亦使得資料之蒐集利用及界線等問題更顯其重要性。有鑑於此,大倫敦政府(Greater London Authority, GLA)在今(2016)年3月公布「倫敦城市資料策略」(London City Data Strategy),積極推動「城市資料市集」(City Data Market),期將倫敦打造成世界首屈一指的智慧城市。 增加大眾對資料市集之信賴並減少疑慮乃「倫敦城市資料策略」之一環,近年在英國有一系列新法上路,除新的歐盟資料保護規範(GDPR)外,英國國內有關「開放銀行」(open banking)之新規範,以及已有能源及電信公司參與之MiData initiative等,上述機制均為促使個人更容易掌握其個資被利用之狀況。 大倫敦政府亦推動「倫敦資料交易」(London Data Exchange),大眾可利用此一機制掌握其個資流向。其中有關建置新的數位符號(digital tokens of proof),使民眾未來可利用此等符號證明符合特定資格,例如在道路受檢時,毋須拿出駕照說明個人姓名、地址、出生年月日等資料,利用該等符號,便可判定符合駕駛年齡。 近期,大倫敦政府透過資料科學合作夥伴(Data Science Partnership)推動資料科學倫理架構(Framework for Data Science Ethics),著手研究民眾對資料交易新機制的反應,試圖在資料利用與法律和道德問題間尋求平衡。
德國大學研發成果商業化模式初探— 以拜揚專利聯盟為例德國大學研發成果商業化模式初探— 以拜揚專利聯盟為例 資訊工業策進會科技法律研究所 法律研究員 余承穎 2018年07月30日 壹、背景 「研發成果商業化」向來為我國政府關注議題。自2000年起,我國積極推動技轉中心設立,並在2002年後,宣導技轉業務推動以績效為導向,同時進行相關配套之獎助[1]。科技基本法下放政府資助之研究計畫成果下放予計畫執行單位,並允許執行單位可自行運用其研發成果將技術知識擴散於業界,且也開始有技轉金的收入,只是真正能技轉的技術件數並不多,還需要強化技轉中心的功能,以利未來更能聚焦學校的研發能量並有效的商業化。 近年來,德國聯邦政府在高等教育產學合作上,提出《知識創造市場》(Knowledge Creates Markets)[2]之報告,並提出四個行動方案,主要支持知識與技術的移轉在國家政策中給予最高的優先性。也因政府的支持下,德國聯邦政府斥資46.2百萬歐元建立專利利用局 (Patentverwertungsagentur,以下簡稱PVA),截至2016年止已成立29間PVA[3],每一間PVA對於區域性大學進行商業化的服務。 本篇就以德國各區的PVA中,技轉成績最好的拜揚專利聯盟(BayPat)進行介紹,並了解德國大學在國家政策支持下的專利聯盟運作機制。 貳、德國大學商業化困境及解決方案 西元2000年初,德國大學和我國一樣面臨研發成果無法商業化的問題,其主因可分為兩部分來說[4]: 大學教授以學術發表論文為主要目標且大學也擁有很多的研發成果,卻無法轉化成專利或推廣至市場上運用。 德國大學很早就開始推產學合作和技術移轉,由於技轉人員沒經驗,無法強化技轉人員的職能,導致校內研發成果無法集中管理而妥善的運用。 基於德國聯邦政府積極想讓高等教育的研發成果能夠商業化,並可以和產業建立溝通橋樑,因此德國聯邦政府推出了《知識創造市場》四個行動方案,其中一個行動方案Exploitation Offensive(市場開發)[5]的目標是希望將科學研發成果快速推至市場,其所採取的策略主要包含:建立專業的專利利用開發之基礎建設和大學教授特權之改革。 依據此策略目標,聯邦政府首先於1998年修訂高等學校框架法(Hochschulrahmengesetz,簡稱HRG) [6],擴大大學 (Hochschule)的任務與增加大學促進技術移轉之規定,但此修法的成效不佳,未見各大學技轉中心的研發成果運用有逐漸轉好;另一方面《知識創造市場》報告也指出因大學教授特權的規定,大學教授研發成果屬於自由發明,不須告知大學,則可自由運用,除大學教授接受大學資助外,原則上大學無法向教授請求研發成果。因此,教授特權使得大學無法從研發成果運用中受到利益,而許多教授發明也都沒有申請專利,這確實影響成果運用之推廣。因此聯邦政府於議會修訂受雇人發明(Arbeitnehmererfindungsgesetz, cf. ArbEG, 2002) [7]第42條規定,其主要能落實前述的策略目標之一,主要廢止「教授特權」的規定,原本屬於教授可自由運用之研發成果歸屬於大學,讓大學教授享有研發成果商業化所得淨利之30%為收益[8],這樣的改革可讓大學教授願意投入研究和申請專利,進而達到商業化的發展。 行動方案Exploitation Offensive(市場開發)的另一個策略目標就是其能建造一個有效的專利利用基本設施。因此聯邦教育與研究部(Bundesministerterium für Bildung und Forschung,簡稱BMBF)挹注大筆的經費以支持改革大學的結構措施。前期依據高等學校框架法(HRG)的改革,而大學紛紛設立技術移轉中心,但專利申請件數和商業化的比率沒有因此提高。 因此2002年起,聯邦政府以「商業利用創業保護」(Schutz für Ideen für die gewerbliche Nutzung, 簡稱SIGNO)計畫中以補助對象為大學的分項計畫延伸出「SIGNO高等學校-專利開發資助的計畫」建設專利利用的專業機構。其計畫資助重點在於對高等學校、企業以及發明者的創新發明構想提供智慧財產等法律保障與經濟利用,進而達到技術移轉[9],也因如此,造成德國各邦設立獨立的PVA[10],針對區域性大學進行智財服務和商業化規劃。 自2008年, BMBF將部分技轉業務交由經濟及科技部(Bundesministerium für Wirtschaft und Energie,簡稱BMWi)負責,原則上還是以「SIGNO高等學校-專利開發資助的計畫」持續補助成立PVA,針對各邦的PVA之補助比率由100%,逐漸降至50%,2011年起更不超過40%,BMWi的補助從全額補助逐年遞減來觀看,可促使各邦的PVA能集中研發成果的能量,強化與產業界的媒合進而達到合作夥伴或新創公司,進而達到自足營運,所得的收益可以自給自足。 藉由政府資助成立PVA,截至2016年左右已有29 家PVA成立[11],而其中拜揚專利聯盟(BayPat)內的三間夥伴大學連續兩年被評鑑(Technical University of Munich, Friedrich-Alexander University of Erlangen-Nuremberg , Ludwig-Maximilians-University of Munich )是全歐洲最具創新性的學校[12],這也代表拜揚專利聯盟的運作機制是有目共睹的,本文以下將提供進一步介紹。 参、拜揚專利聯盟的發展 德國高等教育框架法修正後,德國聯邦政府亦交由各邦制定高等教育法規。拜揚邦政府於2007年修正高等教育法(Bayerisches Hochschulgesetz, BayHSchG),增加學校運作的自由[13]。拜揚邦於2000年制定創新及知識經濟政策,並策劃新創資助、協助技術移轉、及創業孵化器空間等技轉系列政策;其中即包含拜揚專利聯盟(BayPat)。 拜揚專利聯盟(BayPat)源自拜揚邦政府技轉計畫中的拜揚大專院校專利計畫(Die Bayerische HochschulPatentinitiative)[14],也是由拜揚邦政府主導拜揚邦內大學進行技術移轉服務的完整機構,即專利利用局(PVA)。整體計畫是由拜揚邦政府與當時德國三大科研機構之一的弗勞恩霍夫爾協會(Fraunhofer-Gesellschaft zur Forderung der angewandten Forschung e.V.)[15]協助邦內大學進行技術移轉,一開始參加學校有8所,之後陸續累積至33所大學及科技大學[16]。 (一)弗勞恩霍夫爾協會輔導時期 拜揚專利聯盟一開始是由弗勞恩霍夫爾協會的慕尼黑技術移轉中心(Die Fraunhofer-Patentstellefür die DeutscheForschung,PST)[17]撥出10名人員擔任拜揚大專院校專利計畫的技術經理,各校內建1~2名校內技轉人員窗口,PST處理弗勞恩霍夫爾協會的技轉案件,累積相當的經驗,所以他們培育拜揚專利聯盟的技轉人員,以強化大學技術移轉人才的職能。以下分別說明聯盟在專利申請以及專利技術商業化流程的運轉機制: (1)專利申請:發明人提出技術揭露,校內技轉人員初步判斷可專利性。隨後校內技轉人員將技術揭露文件提供給拜揚聯盟,經聯盟評估後給予專利佈局策略建議。後續專利申請流程(包含答辯、費用)都是由專利聯盟主導。 (2)專利技術商業化的流程:提出專利申請之後,聯盟開始進行技術行銷推廣以及後續授權合約草擬、談判和最後的收益分潤等事務。 值得一提的是,德國修訂受雇人發明法第42條後,專利所有權歸屬於大學,雖然大學專利申請的所有費用都是由拜揚專利聯盟所負擔,但專利的所有權人還是隸屬於大學。 至於專利商業化所得的收益分配比率,拜揚專利聯盟分得25%,大學分得52.5%,大學教授分得22.5%。拜揚專利聯盟執行長佛茲堡大學校長Axel Haase曾表示,雖然2002年修法後教授僅能保障收益分配,但透過集中資源讓教授最終獲得的利潤比當初教授完全擁有成果時更多[18]。 (二)拜揚專利聯盟公司之成立 因為拜揚專利聯盟內部逐漸累積技術移轉經驗,2007年弗勞恩霍夫爾協會退出營運,由拜揚邦內所有33所大專院校(拜揚大學及應用科技大學)共同創立拜揚專利聯盟公司[19],而拜揚專利聯盟公司仍沿襲當初弗勞恩霍夫爾協會所建立的專利聯盟制度[20],仍以技術移轉及商業化為主要任務。 自拜揚專利聯盟在大學成立公司之後,截至2015年,聯盟公司累積2263件技術揭露評估,559件專利申請,連結1800位潛在的被授權人,締結共223份合約,並累積收益達6.7億歐元(約240億台幣)[21]。 肆、結論 綜上所述,德國聯邦政府為強化大學產學合作及技術移轉能商業化,促使產業推動,政府將此議題列入國家重要政策並積極推動,從高等教育框架法鬆綁,受雇人發明法修正以及德國各邦建立PVA等,將原來大學技轉中心的職能藉由PVA而強化,協助邦內大學專利申請、佈局、尋找技轉對象或是以新創公司進行研發成果商業化,這樣一站式的服務,將周邊大學的技術集中整合,提供產業更多方面的技術資訊[22]。 我國目前各大學技轉中心皆獨立處理各大學研發成果商業化作業,可學習德國模式進行區域型技轉聯盟,以聯盟的方式來進行專利佈局以及商業化推廣,以達到規模經濟,並建立明確的商業化推廣模式,確定每項研發成果商業化皆能得到有效率的行銷推廣。 [1] 余曉雯、鍾宜興,<德國聯邦政府高等教育產學合作政策之探究>,《教育研究及刊》,第61輯第3期,頁47-79(2015)。 [2] BMBF/BMWi, Knowledge Creates Markets Action Scheme of the German Government (2001) [3] Czarnitzki, Dirk and Doherr, Thorsten and Schliessler, Paula and Toole, Andrew A., Knowledge Creates Markets: The Influence of Entrepreneurial Support and Patent Rights on Academic Entrepreneurship, European Economic Review, 86, 131–146 (2016) [4] 同前註2 [5] 同前註2。 [6] 1999年德國修正《高等學校框架法》(Hochschulrahmengesetz)第58條第1項:「高等學校是公法社團法人,同時也是國家設施,或以其他法律形式設立……」,在修正文中增加了「或以其他法律形式設立」之規定,賦予各邦具有較大的組織法形成自由,得以其他法律形式設置大學,以此開始鬆動了大學之法律地位,且國家開始從大學的具體管制中抽離出來。 [7] ArbEG (Employee Invention Act) 2002, Gesetz zur Änderung des Arbeitnehmererfindungsgesetzes. Berlin: Bundesgesetzblatt - Bundesministerium der Justiz, January 24th 2002. [8] 陳麗娟,<從德國受雇人發明法第42條論國立大學研究人員研發成果歸屬>,《科技法律透析》,第20卷第1期,頁48-61(2008) [9] 同前註1。 [10] Weyand, Haase, Der Innovationstransfer an Hochschulen nach Novellierung des Hochschulerfindungsrechts – eine Zwischenbilanz in rechtspolitischer Absicht, GRUR, S.28, 2007 [11] Czarnitzki, Dirk and Doherr, Thorsten and Schliessler, Paula and Toole, Andrew A., Knowledge Creates Markets: The Influence of Entrepreneurial Support and Patent Rights on Academic Entrepreneurship, European Economic Review, 86, 131–146 (2016) [12] 〈THREE BAYPAT PARTNER UNIVERSITIES AMONG THE TOP 12 MOST INNOVATIVEUNIVERSITIES IN EUROPE〉, Bayerische Patentallianz GmbH https://www.baypat.de/newsroom-de/three-baypat-partner-universities-among-the-top-12-most-innovative-universities-in-europe (最後瀏覽日:2018/07/04). [13] 由於德國大學具有公法上的人格權,學校可以在其權利範圍內創設公司,另一方面,拜揚邦政府引入基金董會制度,讓大學在此制度之下,可以增加學校的決策效率。 [14] 〈Presentation of the Bayern Patent Initiative - Promotion of Patenting and Exploitation of Inventionsby Bavarian Universities 〉, World Intellectual Property Organization,http://www.wipo.int/edocs/mdocs/innovation/en/wipo_inv_mty_02/wipo_inv_mty_02_10.pdf(最後瀏覽日:2018/06/11) [15] 〈60 years of fraunhofer-Gesellschaft〉, FRAUNHOFER GESELLSCHAFThttps://www.germaninnovation.org/shared/content/documents/60YearsofFraunhoferGesellschaft.pdf (最後瀏覽日:2018/06/10). [16] 〈Volljurist (m/w) Vertragsrecht / gewerblicher Rechtsschutz〉, Bayerische Patentallianz GmbHhttps://www.baypat.de/newsroom-de/volljurist-m-w-vertragsrecht-gewerblicher-rechtsschutz-in-teilzeit-bis-20-stunden-woche (最後瀏覽日:2018/07/04). [17] 佛勞恩霍夫研究院技轉中心(Fraunhofer-Patentstelle),資訊工業策進會科技法律研究所,https://stli.iii.org.tw/article-detail.aspx?no=67&tp=4&i=65&d=194 (最後瀏覽日:2018/06/10). [18] Axel Haase, 30 Prozent besser als 100, ERFINDUNGEN AN HOCHSCHULEN, 7(8), 461 (2008). [19] 同前註16 [20] 值得注意的是,雖然統稱為拜揚專利聯盟(BayPat),拜揚專利聯盟在此階段時仍就以政府計畫的形式存在,由各校技轉人員分別與德國發明專利辦公室內歸屬該計畫的人員合作,未有正式的法人格基礎 [21] 同前註14 [22] 跨領域科技管理研習班(MMOT),<大學研發成果歸屬對產學合作之影響-以德國制度為觀察對象>,跨領域科技管理與智財運用國際人才培訓計畫-103年海外培訓成果發表會,頁 1-63( 103 )
美國啟動「綠色按鈕」機制,落實21世紀智慧電網政策綱領「綠色按鈕」(Green Button)已於今年(2012)1月正式啟動,運用新的智慧電網科技,容許約六百萬加州用電戶在網站上按下一個按鈕後,便可及時獲取他們的詳細能源使用資訊,同時,其他加州地區公用事業業者也承諾在同年內讓另外十二萬用電戶也可得到同樣的服務,歐巴馬政府同時也於今年3月22日宣布,全美其他地區九個主要公用事業業者也承諾加入「綠色按鈕」的行動中,提供這個新興服務給超過一千五百萬用電戶,許多其他相關業者也宣布加入行動,積極投入發展與「綠色按鈕」相容的應用軟體與服務,提供更多節約能源的方法。 「綠色按鈕」這個行動是由智慧電網互通性專家諮詢小組(SGIP)所主導,這個由美國國家標準與技術研究院(NIST)創立於2009年的工作小組,成員超過750個不同種類的相關業者及政府機關,目的在於致力協調智慧型電網發展的標準與互通性。而為了響應政府的號召—希望業者能提供消費者易懂的能源使用資訊,藉由淺顯易懂的方法讓消費者可以便利地獲取自己對於能源的使用數據,進而設法使消費者減少在能源上的花費,乃係美國政府於去年6月(2011)提出的21世紀智慧電網政策綱領中重要的政策之一。 美國環保署也已經加入了「綠色按鈕」的行列,將利用「綠色按鈕」的數據來幫助商業建築所有人評估他們的耗能與其推動的「能源之星」(Energy Star)認證計畫相結合,給予「能源之星」績效分數(performance scores)。