美國衛生部門公布個人健康資訊外洩責任實施綱領

  美國健康與人類服務部(Secretary of Health and Human Services;以下簡稱HHS),於2009年4月17日公布「個人健康資訊外洩通知責任實施綱領」(Guidance Specifying the Technologies and Methodologies That Render Protected Health Information Unusable, Unreadable, or Indecipherable to Unauthorized Individuals for Purposes of the Breach Notification Requirements under Section 13402 of Title XIII (Health Information Technology for Economic and Clinical Health Act) of the American Recovery and Reinvestment Act of 2009; Request for Information;以下簡稱本綱領)。本綱領為美國迄今唯一聯盟層級之資料外洩通知責任實施細則,並可望對美國迄今四十餘州之個資外洩通知責任法制,產生重大影響。

 

  本綱領之訂定法源,係依據美國國會於2009年2月17日通過之經濟與臨床健康資訊科技法(Health Information Technology for Economic and Clinical Health Act;以下簡稱HITECH),HITECH並屬於2009年「美國經濟復甦暨再投資法」(America Recovery and Reinvestment Act;簡稱ARRA)之部分內容。

 

  HITECH將個人健康資訊外洩通知責任的適用主體,從「擁有」健康資訊之機構或組織,進一步擴大至任何「接觸、維護、保留、修改、紀錄、儲存、消除,或以其他任何形式持有、使用或揭露安全性不足之健康資訊」的機構或組織。此外,HITECH並規定具體之資料外洩通知方法,即必需向當事人(資訊主體)以「即時」(獲知外洩事件後60天內)、「適當」(書面、或輔以電話、網站公告形式)之方式通知。不過,由於通知之範圍僅限於發生「安全性不足之健康資訊」外洩,故對於「安全性不足」之定義,HITECH即交由HHS制定相關施行細則規範。

 

  HHS本次通過之實施辦法,將「安全」之資料定義「無法為第三人使用或辨識」,至於何謂無法使用或辨識,本綱領明定有兩種情形,一是資料透過適當之加密,使其即使外洩亦無法為他人辨識,另一則是該外洩資訊之儲存媒介(書面或電子形式)已被收回銷毀,故他人無法再辨識內容。

 

  值得注意的是,有異於美國各州法對於加密標準之不明確態度,本綱領已指明特定之技術標準,方為其認可之「經適當加密」,其認可清單包含國家標準與技術研究院(National Institute of Standards and Technology)公布之Special Publication 800-111,與聯邦資訊處理標準140-2。換言之,此次加密標準之公布,已為相關業者提供一可能之「安全港」保護,使業者倘不幸遭遇資料外洩事件,得主張資料已施行適當之加密保護,即無需承擔龐大外洩通知成本之衡平規定。

本文為「經濟部產業技術司科技專案成果」

相關附件
※ 美國衛生部門公布個人健康資訊外洩責任實施綱領, 資訊工業策進會科技法律研究所, https://stli.iii.org.tw/article-detail.aspx?d=3072&no=57&tp=1 (最後瀏覽日:2026/04/09)
引註此篇文章
你可能還會想看
日本產業競爭力強化法內之灰色地帶消除制度

  日本經濟產業省(以下簡稱經產省)為了落實安倍內閣提出之日本再興戰略,希望透過相關法制規範之調整,促進產業新陳代謝機制,並喚起民間的投資,進一步解決日本國內企業「過多限制、過小投資、過當競爭」現象,前於2013年10月15日將「產業競爭力強化法」提交國會審議。經日本國會審議後,該法已於同年12月6日公布,計有8章、共156條之條文,另有附則45條,並取代原先於2011年修正之產業活力再生特別措施法的功能。因產業競爭力強化法之內容屬政策性規範,搭配之施行細則、施行令等也陸續於2014年1月20日公布。   自產業競爭力強化法施行後,對於日本企業預計開發新產品和新技術等放寬限制,讓企業有機會進入與原業務不同之領域,並進行業務整編。舉例而言,依該法第9條第1項之規定:「欲實施新事業活動者依據主務省令規定,可向主務大臣提出要求,確認規定其欲實施之新事業活動及與其相關之事業活動的規範限制之法律和其所根據法律之命令規定的解釋,以及該當規定是否適用於該當新事業活動及與其相關之事業活動」之規定,就相關事業活動是否符合法令與否,向經產省申請解釋。   此一制度被稱為「灰色地帶消除制度」,目的在於使日本企業規劃新事業之前,可先洽主管機關瞭解該新事業活動涉及之業務是否合法,在經產省網站上已有SOP與申請表格可供參考。而此制度功能在於透過日本主管機關的闡釋、說明或認定相關計畫,讓有意從事創新活動的業者有如吞下定心丸,得以積極規劃、推動後續作業。

澳洲聯邦法院判決 Kazaa軟體的業者—Sherman Networks敗訴

日前澳洲聯邦法院針對四家唱片公司 (包括Universal、Sony、Warner以及 Festival Mushroom)聯合控告提供檔案分享Kazaa軟體的業者—Sherman Networks一案作出判決。法官Murray Wilcox駁回原告聲稱Sherman Networks違反澳洲交易行為法(Trade Practices Act)以及Sherman Networks本身有從事著作權侵害的主張。但是,法官Wilcox指出Sherman Networks授權使用者侵害原告的著作權,並有鼓勵年輕人侵害著作權的情況。Sherman Networks在Kazaa網站的網頁中放置批評反對P2P軟體的唱片公司的標語--Join the Revolution,以及贊助攻擊唱片公司的文宣--Kazaa Revolution。這些標語、文宣並未明白地鼓吹使用者分享檔案,但是這會對於青少年認為以漠視唱片公司之著作權的方式來挑戰唱片公司是一件很「酷」的事情,而Kazaa的使用者多數是青少年。   法官 Wilcox判決被告必須支付90%的訴訟費用,並指出在Sherman Networks符合下列條件之一的情況下,Kazaa可以繼續營運: 1. 必須在現有的以及未來的版本中納入強制性關鍵字過濾技術 (non optional key word filter technology),並且竭盡所能地要求既有使用者將版本更新至含有此技術的版本。 2.Altnet搜尋軟體,又稱之為TopSearch,只能提供未有侵害到他人著作權之作品的清單。   除此之外,法官 Wilcox亦為本案的上訴程序設下二個條件,第一個是上訴時間最快為明年2月,上訴法院為Full Court,第二個是Kazza軟體的修改須取得法院的認可或是唱片公司的同意。

歐盟執委會發布「2016-2020年e政府行動計畫」並展開公眾諮詢

  歐盟執委會先前自2015年10月30日到2016年1月22日,針對其2016-2020年e政府行動計畫(eGovernment Action Plan)進行了公眾諮詢程序。執委會依據其公眾意見諮詢之初步分析,於2016年2月23日說明其2016-2020年的e政府行動計畫政策,將藉由公共行政管理措施(包含司法部分)的e化,實現歐盟數位單一市場的目標,提高跨境的互通性以及促進歐盟公民間的便捷交流。   歐盟執委會就該計畫目前有以下四項目標: (1) 透過資通訊之技術促進公共管理措施的現代化。 (2) 藉由數位化的公共服務提高跨境行動(cross-border mobility)的可能。 (3) 加強行政單位與歐盟公民及企業間的數位互動交流(digital interaction)。 (4) 推動數位化的關鍵措施。   相關監測及措施期程的指標,執委會將於未來幾個月內再為詳細之說明。而所有e政府行動計畫均應依循下列原則進行: (1) 數位化設定(digital-by-default):若其他可傳送服務之管道能選擇中斷服務或必須中斷服務時,行動措施應給予服務線上傳輸的特權。 (2) 跨境設定(cross-border by default):行動措施不應於歐盟內部市場製造新的跨境障礙。 (3) 一次性原則(once-only principle):行動措施應僅得於行政單位從未持有數據或資訊時,要求歐盟公民或企業提供該數據或資訊。 (4) 內含設定(inclusive by default):行動措施應促進所有歐盟公民或企業與公共行政單位的互動交流。 (5) 不保留原則(no legacy principle):超過15年的基礎設施或應用服務不再維護保留。 (6) 隱私及資料保護(privacy & data protection):所有數位化的公共服務皆應就個人資料之基本權利為完善的保護。 (7) 開放及透明化設定(open & transparency by default):行動措施應就重複使用及透明化為開放之設定。

Google提供免費專利給新創公司

  Google於2015年7月24日發布專利創客專案(Patent Starter Program),提供參加專案的新創公司免費授權使用兩項專利。此計畫是奠基於License on Transfer (LOT) Network專利授權聯盟的運作,該聯盟是2014年由Google、Dropbox、SAP、Canon、Asana及NewEgg等六家公司共同成立,目的透過聯盟成員間專利交叉授權協議,以對抗專利流氓(patent troll)的濫訴行為。   專利創客專案計畫開放50家於2014年收入介於50萬至20億美元間的新創公司得免繳會費參與LOT聯盟兩年,並依據新創公司業務範圍,提供3至5項專利清單,新創公司可從中選出兩項予以免費使用。另外,這些新創公司有機會瀏覽GOOGLE非專屬授權資料庫,找尋所需專利並詢問GOOGLE出售意願。需要注意的是,在專案期間內,參與成員對於透過專案獲授權之專利,僅得為防禦使用,違反時Google有權終止並予以處罰。同時參與成員亦必須於專案期間遵守聯盟專利交叉授權協議之規範。   整體來說,由於Google提供給新創公司的免費專利清單項目有限,新創公司未必能得到真正有需求的專利,但考量加入專案後,得受到LOT成員間專利交叉授權協議的保護,對於新創公司而言,仍可一定程度避免受到專利流氓危害,而具有正面意義。

TOP