美國衛生部門公布個人健康資訊外洩責任實施綱領

  美國健康與人類服務部(Secretary of Health and Human Services;以下簡稱HHS),於2009年4月17日公布「個人健康資訊外洩通知責任實施綱領」(Guidance Specifying the Technologies and Methodologies That Render Protected Health Information Unusable, Unreadable, or Indecipherable to Unauthorized Individuals for Purposes of the Breach Notification Requirements under Section 13402 of Title XIII (Health Information Technology for Economic and Clinical Health Act) of the American Recovery and Reinvestment Act of 2009; Request for Information;以下簡稱本綱領)。本綱領為美國迄今唯一聯盟層級之資料外洩通知責任實施細則,並可望對美國迄今四十餘州之個資外洩通知責任法制,產生重大影響。

 

  本綱領之訂定法源,係依據美國國會於2009年2月17日通過之經濟與臨床健康資訊科技法(Health Information Technology for Economic and Clinical Health Act;以下簡稱HITECH),HITECH並屬於2009年「美國經濟復甦暨再投資法」(America Recovery and Reinvestment Act;簡稱ARRA)之部分內容。

 

  HITECH將個人健康資訊外洩通知責任的適用主體,從「擁有」健康資訊之機構或組織,進一步擴大至任何「接觸、維護、保留、修改、紀錄、儲存、消除,或以其他任何形式持有、使用或揭露安全性不足之健康資訊」的機構或組織。此外,HITECH並規定具體之資料外洩通知方法,即必需向當事人(資訊主體)以「即時」(獲知外洩事件後60天內)、「適當」(書面、或輔以電話、網站公告形式)之方式通知。不過,由於通知之範圍僅限於發生「安全性不足之健康資訊」外洩,故對於「安全性不足」之定義,HITECH即交由HHS制定相關施行細則規範。

 

  HHS本次通過之實施辦法,將「安全」之資料定義「無法為第三人使用或辨識」,至於何謂無法使用或辨識,本綱領明定有兩種情形,一是資料透過適當之加密,使其即使外洩亦無法為他人辨識,另一則是該外洩資訊之儲存媒介(書面或電子形式)已被收回銷毀,故他人無法再辨識內容。

 

  值得注意的是,有異於美國各州法對於加密標準之不明確態度,本綱領已指明特定之技術標準,方為其認可之「經適當加密」,其認可清單包含國家標準與技術研究院(National Institute of Standards and Technology)公布之Special Publication 800-111,與聯邦資訊處理標準140-2。換言之,此次加密標準之公布,已為相關業者提供一可能之「安全港」保護,使業者倘不幸遭遇資料外洩事件,得主張資料已施行適當之加密保護,即無需承擔龐大外洩通知成本之衡平規定。

本文為「經濟部產業技術司科技專案成果」

相關附件
※ 美國衛生部門公布個人健康資訊外洩責任實施綱領, 資訊工業策進會科技法律研究所, https://stli.iii.org.tw/article-detail.aspx?d=3072&no=57&tp=1 (最後瀏覽日:2026/04/29)
引註此篇文章
你可能還會想看
「聯合國2017年年度隱私報告聚焦政府監督行為」

  聯合國人權理事會(Human Rights Council)於2016年3月8日依據28/16號「數位時代下之隱私權」(Right to Privacy in the Digital Age)決議,設立隱私特別報告員(Special Rapporteur on Privacy, SRP),專責調查各國隱私保護情形並每年定期向人權理事會和聯合國大會提交隱私報告(Report of the Sepcial Rapporteur on the right to privacy)。   2017年年度隱私報告(A/HRC/34/60)於2月24日提出,報告除延續第一年報告中所列出的五大隱私優先課題 (跨國界隱私認知、安全與監督、巨量資料與開放資料、健康資料、企業擔任資料管理者議題等),主題聚焦於「情報蒐集」行為的監督,將政府監督行為歸類為十項: 基於使用國際化、標準化的術語和語言而有監督必要; 基於了解國家體系、體系比較之監督必要,以秘密(secretive)或公開形式進行; 促進、保護基本人權之相關措施; 保障與救濟措施(隱私特別報告員建議採國際性層次); 責任與透明度; 為蒐集、討論實務實踐狀況; 對政府監督行為之進一步討論; 尋求與公民溝通管道; 基於放寬安全部門、執法機關秘密性監督之必要; 基於對政府監督議題之公共論壇需求。   期中報告對現階段政府監督行為以隱私友善(privacy-friendly)立場出發,總結後續推動方向如下: 為何民粹主義(polulism)、隱私兩議題與安全議題會產生衝突; 國家如何透過監督情報增進隱私保護; 誰有權主張隱私權,隱私權的普世性(universality)於政府監督行為具特別意義; 隱私權如何透過內國法、國際法的推動而更加落實; 透過更廣泛討論,關於監督的法律文件及相關國際法規範可期待成熟發展。

英國將開放區域性媒體整併自由

  英國通訊事業主管機關OFCOM擬開放區域性媒體化業經營和併購,藉由開放來促使地區性媒體度過在經濟衰退時廣告量不足之窘境,以保障人民得以接收多元資訊。同時,促使區域性媒體之整併亦有助於對抗最大規模之媒體BBC,有促進市場競爭之狀態。   OFCOME在建議報告(Report of the Secretary of State on the Media Ownership Rules)中提到,對於電視、廣播和報紙所有權之限制,其規範目的在於給予民眾接受多元的觀點和不同新聞、資訊和意見的管道。但是近年來,網路已經漸漸成為接收新聞的替代來源,加上經濟因素之衝擊,在這樣的轉變下,區域性媒體所有權是否仍應受從前跨業經營之規範,有值得檢視之處,故提出幾點建議,包含: 1-移除數項法規中關於廣播公司所有權之限制; 2-區域媒體自由化下,僅限制單一媒體不得同時符合下列三項:(1)大於50%市佔率的區域性報紙;(2)區域性廣播基地台(a local radio station);(3)三個區域性的電視頻道; 3-修改新聞提供者法案(The appoint news provider rule)用以確保第三頻道新聞來源非由BBC提供,而提供民眾多元之選擇。

日本國土交通省公布「無人機載運貨物指引2.0」,加快物流無人機應用

  日本國土交通省(国土交通省)於2021年6月25日公布「無人機載運貨物指引2.0」(ドローンを活用した荷物等配送に関するガイドラインVer.2.0)。2021年3月公布之「無人機載運貨物指引1.0(法令編)」(ドローンを活用した荷物等配送に関するガイドラインVer.1.0(法令編))係針對涉及之相關法令進行彙整,而本次則聚焦於應用方面進行詳細說明。   本指引首先於第一編指出,在引進物流無人機前,業者應先盤點該地區存在的課題,並確認無人機是否能有效解決該問題,接著嘗試提出具體解決方案,如拉長無人機飛行距離、增加使用次數,或建立可多次往返的飛行航道以增加使用頻率等。在初步確立無人機業務藍圖後,業者尚須設定物流無人機服務之目標受眾,並聯繫可提供貨物之商店及無人機業者,著手建立相關服務之運作模式。此外,為順利推動物流無人機服務,還需提高民眾對物流無人機之社會接受度,以獲得當地居民的理解及支持。最後,為確保飛航安全,業者除遵守本指引第二編所列相關法令飛行外,亦應制定安全飛行操作手冊,審慎評估起降地點之安全性,並建立一套安全管理系統。

FinCEN發布「防制洗錢與打擊資助恐怖主義優先事項」,以因應各種新興威脅

  隨著犯罪集團洗錢管道與手法日新月異,嚴重威脅金融秩序與經濟發展,美國財政部金融犯罪執法網(Financial Crimes Enforcement Network, FinCEN)於2021年6月30日發布防制洗錢與打擊資助恐怖主義(anti-money laundering and countering the financing of terrorism, AML/CFT)政策的優先事項(Priorities),目的係為了應對日益猖獗之洗錢犯罪行為,幫助金融機構評估其風險,並調整其防制洗錢計畫和資源運用優先順序,以提升國家AML/CFT政策效率與有效性。   依據發布內容,優先事項包括:(1)貪汙;(2)網路安全與虛擬貨幣相關之網路犯罪;(3)國內外資助恐怖分子;(4)詐欺;(5)跨國犯罪組織活動;(6)毒品販運組織活動;(7)人口販運與人口走私(human trafficking and human smuggling);(8)資助大規模毀滅性武器擴散(proliferation financing),反映了美國國家安全與全球金融體系長期以來存在之威脅,並將虛擬貨幣用於洗錢、資助恐怖主義,及支付勒索軟體攻擊贖金等納入防制洗錢範疇,防止虛擬貨幣成為洗錢管道。   FinCEN預計於2021年底前提出實施辦法,並根據美國防制洗錢法(Anti-Money Laundering Act)之要求,至少每4年更新一次優先事項,以因應美國金融體系與國家安全面臨的各種新興威脅。

TOP