美國衛生部門公布個人健康資訊外洩責任實施綱領

  美國健康與人類服務部(Secretary of Health and Human Services;以下簡稱HHS),於2009年4月17日公布「個人健康資訊外洩通知責任實施綱領」(Guidance Specifying the Technologies and Methodologies That Render Protected Health Information Unusable, Unreadable, or Indecipherable to Unauthorized Individuals for Purposes of the Breach Notification Requirements under Section 13402 of Title XIII (Health Information Technology for Economic and Clinical Health Act) of the American Recovery and Reinvestment Act of 2009; Request for Information;以下簡稱本綱領)。本綱領為美國迄今唯一聯盟層級之資料外洩通知責任實施細則,並可望對美國迄今四十餘州之個資外洩通知責任法制,產生重大影響。

 

  本綱領之訂定法源,係依據美國國會於2009年2月17日通過之經濟與臨床健康資訊科技法(Health Information Technology for Economic and Clinical Health Act;以下簡稱HITECH),HITECH並屬於2009年「美國經濟復甦暨再投資法」(America Recovery and Reinvestment Act;簡稱ARRA)之部分內容。

 

  HITECH將個人健康資訊外洩通知責任的適用主體,從「擁有」健康資訊之機構或組織,進一步擴大至任何「接觸、維護、保留、修改、紀錄、儲存、消除,或以其他任何形式持有、使用或揭露安全性不足之健康資訊」的機構或組織。此外,HITECH並規定具體之資料外洩通知方法,即必需向當事人(資訊主體)以「即時」(獲知外洩事件後60天內)、「適當」(書面、或輔以電話、網站公告形式)之方式通知。不過,由於通知之範圍僅限於發生「安全性不足之健康資訊」外洩,故對於「安全性不足」之定義,HITECH即交由HHS制定相關施行細則規範。

 

  HHS本次通過之實施辦法,將「安全」之資料定義「無法為第三人使用或辨識」,至於何謂無法使用或辨識,本綱領明定有兩種情形,一是資料透過適當之加密,使其即使外洩亦無法為他人辨識,另一則是該外洩資訊之儲存媒介(書面或電子形式)已被收回銷毀,故他人無法再辨識內容。

 

  值得注意的是,有異於美國各州法對於加密標準之不明確態度,本綱領已指明特定之技術標準,方為其認可之「經適當加密」,其認可清單包含國家標準與技術研究院(National Institute of Standards and Technology)公布之Special Publication 800-111,與聯邦資訊處理標準140-2。換言之,此次加密標準之公布,已為相關業者提供一可能之「安全港」保護,使業者倘不幸遭遇資料外洩事件,得主張資料已施行適當之加密保護,即無需承擔龐大外洩通知成本之衡平規定。

本文為「經濟部產業技術司科技專案成果」

相關附件
※ 美國衛生部門公布個人健康資訊外洩責任實施綱領, 資訊工業策進會科技法律研究所, https://stli.iii.org.tw/article-detail.aspx?d=3072&no=57&tp=1 (最後瀏覽日:2026/06/29)
引註此篇文章
你可能還會想看
加拿大運輸部發布2025無人機方案,提出建立無人機交管系統等優先項目

  加拿大運輸部(Transport Canada)於2021年3月22日發布「2025無人機方案」(Transport Canada’s Drone Strategy to 2025),概述其對無人機的願景及方案,並提出其至2025年前所應優先關注之項目,以確保無人機安全地整合進現代化航空系統並進入空域中。   為因應無人機產業發展帶來新挑戰及機會,加拿大運輸部列出五點事項做為對總體政策及優先事項之考量,包括: (一)透過安全規範支持創新:相關方案包含為偏鄉地區操作較低風險之視距外操作制定規範、為中度風險視距外操作核發飛行操作許可、在實際操作環境中測試技術,以及核准相關試行計畫,以提供中度風險之視距外操作更多的政策規劃資訊。 (二)建立無人機交通管理系統:包括建立無人機飛行計畫、空域使用請求系統、通訊、導航及空域監管系統、自2021年於偏鄉地區進行無人機交通管理實驗、探索「數位牌照」(digital license plate)用於遠端識別無人機的選項,以作為無人機交通管理系統基礎。 (三)無人機的安全風險:與利益相關人合作釐清機場保安的角色與職責、通訊傳輸協定及突發事件回應期間的工作協調、評估機場威脅及漏洞以了解風險、探索反無人機技術、對未經授權無人機的侵入進行偵測及追踪,以及導入驅逐未經授權無人機的安全框架。 (四)創新推動經濟發展:促進短、中期研發計畫、對先進無人機研發活動尋求合作機會、尋求能為加拿大氣候環境與操作提供資料的優先研發項目、制定方案使新型無人機技術更容易被國際市場接受、針對無人機之營運框架及產業目標進行評估、擬定產業合作策略並促進現有航空經濟框架現代化。 (五)建立民眾對無人機的信任:為增進民眾對無人機的認識及接受度,制定行動計畫、與地方政府共同規劃營運、鼓勵更多的社群參與,並與執法單位持續合作執行安全無人機操作規則。   加拿大運輸部將對本方案定期進行評估並於2025年前完成總體檢視,並公布2025-2030年的無人機發展方案。

歐盟執委會發布「2016-2020年e政府行動計畫」並展開公眾諮詢

  歐盟執委會先前自2015年10月30日到2016年1月22日,針對其2016-2020年e政府行動計畫(eGovernment Action Plan)進行了公眾諮詢程序。執委會依據其公眾意見諮詢之初步分析,於2016年2月23日說明其2016-2020年的e政府行動計畫政策,將藉由公共行政管理措施(包含司法部分)的e化,實現歐盟數位單一市場的目標,提高跨境的互通性以及促進歐盟公民間的便捷交流。   歐盟執委會就該計畫目前有以下四項目標: (1) 透過資通訊之技術促進公共管理措施的現代化。 (2) 藉由數位化的公共服務提高跨境行動(cross-border mobility)的可能。 (3) 加強行政單位與歐盟公民及企業間的數位互動交流(digital interaction)。 (4) 推動數位化的關鍵措施。   相關監測及措施期程的指標,執委會將於未來幾個月內再為詳細之說明。而所有e政府行動計畫均應依循下列原則進行: (1) 數位化設定(digital-by-default):若其他可傳送服務之管道能選擇中斷服務或必須中斷服務時,行動措施應給予服務線上傳輸的特權。 (2) 跨境設定(cross-border by default):行動措施不應於歐盟內部市場製造新的跨境障礙。 (3) 一次性原則(once-only principle):行動措施應僅得於行政單位從未持有數據或資訊時,要求歐盟公民或企業提供該數據或資訊。 (4) 內含設定(inclusive by default):行動措施應促進所有歐盟公民或企業與公共行政單位的互動交流。 (5) 不保留原則(no legacy principle):超過15年的基礎設施或應用服務不再維護保留。 (6) 隱私及資料保護(privacy & data protection):所有數位化的公共服務皆應就個人資料之基本權利為完善的保護。 (7) 開放及透明化設定(open & transparency by default):行動措施應就重複使用及透明化為開放之設定。

美國州隱私法要求企業揭露資訊 企業應如何平衡隱私法與營業秘密的衝突

美國目前沒有聯邦的隱私法,由各州訂定州隱私法、產業隱私法,要求企業應揭露資訊以提升資訊透明度,然而隱私法要求企業揭露的資訊多涵蓋了企業的營業秘密。美國華盛頓州州長於2023年4月27日簽署《我的健康資料法(My Health My Data Act)》的州隱私法,其將消費者的健康資料廣義定義為「與消費者有關或具合理關聯的個人資料,可用於識別消費者過去、現在或未來的物理或心理健康狀況」,例如醫療相關資料、患者接受醫療服務的精確地理位置、透過非健康資料可推斷得出的資料。「非健康資料可推斷得出的資料」,如零售業者蒐集消費者近期採購的訂單內容(非健康資訊),並透過AI機器學習分析得出消費者可能懷孕的比例及預產期,藉此對該消費者投放零售業者的嬰幼產品的個人化廣告。 於《我的健康資料法》廣義定義「健康資料」下,導致消費者可要求企業提供的資料可能涵蓋了「企業長期累積之消費者使用資料、經演算法分析運用之消費者使用資料、共享消費者資料的第三方企業名單」等企業認為屬於其營業秘密的資料。 為平衡隱私法的資訊透明度及企業想保護其營業秘密,建議企業可先採取:  1.使公司的智財部門與資料保護部門合作,確保公司人員對公司營業秘密標的及範圍的認知一致,並盤點企業所有的營業秘密以製作、持續更新營業秘密清單。 2.企業在揭露受營業秘密保護的資料給消費者前,先與消費者簽訂保密契約,並參考前述營業秘密清單約定契約之保密範圍。 如企業欲採取更完備的營業秘密管理措施,建議參考資策會科法所創意智財中心發布的《營業秘密保護管理規範》。 本文同步刊登於TIPS網站(https://www.tips.org.tw)。

Linux創辦人捍衛商標權

  Linux 創辦人 Linus Torvalds 決心捍衛自己的商標權,並堅稱其要求商標再授權是賠錢生意。   Torvalds 日前委託律師發函給澳洲的 90 家公司,要求他們取銷任何 Linux 名稱的使用,並應向 Linux 商標的授權單位 – 非營利組織 Linux Mark Institute 購買再授權。這些公司必需個別支付 200 美元到 5,000 美元,以取得 Linux 商標的再授權,導致部分開放原始碼社群成員指控 Torvalds 想藉 Linux 的成功大撈一筆。 Torvalds 否認他自己,或任何人因 Linux 商標的再授權而賺錢,因為法律成本遠高於授權費,而律師所發出的通知函,僅是維護一個商標的必要動作。   Torvalds 最近也被人指控偽善,某些開放原始碼社群宣稱他對軟體專利的批評,與他行使專利權的作為互相矛盾, Torvalds 本身並未就此回應。惟反歐盟軟體專利規定的活動領袖,最近還被譽為智慧財產領域最重要人物的 Florian Mueller 表示,商標及著作權與軟體專利不同,軟體專利是有利於反競爭陣營和無產品的敲詐者的有力工具,但著作權和商標大致上獎勵那些創造和銷售真正產品的人,不加區隔地反對智慧財產權,是違法且無意義的;其並警告「反智慧財產激進主義」對開放原始碼的形象有害,某些右翼政客也同意 Bill Gates 的觀點,認為限制智慧財產權等於是共產主義,因此開放原始碼社群有必要將自己和反智慧財產權的觀點脫鉤。

TOP