美國衛生部門公布個人健康資訊外洩責任實施綱領

  美國健康與人類服務部(Secretary of Health and Human Services;以下簡稱HHS),於2009年4月17日公布「個人健康資訊外洩通知責任實施綱領」(Guidance Specifying the Technologies and Methodologies That Render Protected Health Information Unusable, Unreadable, or Indecipherable to Unauthorized Individuals for Purposes of the Breach Notification Requirements under Section 13402 of Title XIII (Health Information Technology for Economic and Clinical Health Act) of the American Recovery and Reinvestment Act of 2009; Request for Information;以下簡稱本綱領)。本綱領為美國迄今唯一聯盟層級之資料外洩通知責任實施細則,並可望對美國迄今四十餘州之個資外洩通知責任法制,產生重大影響。

 

  本綱領之訂定法源,係依據美國國會於2009年2月17日通過之經濟與臨床健康資訊科技法(Health Information Technology for Economic and Clinical Health Act;以下簡稱HITECH),HITECH並屬於2009年「美國經濟復甦暨再投資法」(America Recovery and Reinvestment Act;簡稱ARRA)之部分內容。

 

  HITECH將個人健康資訊外洩通知責任的適用主體,從「擁有」健康資訊之機構或組織,進一步擴大至任何「接觸、維護、保留、修改、紀錄、儲存、消除,或以其他任何形式持有、使用或揭露安全性不足之健康資訊」的機構或組織。此外,HITECH並規定具體之資料外洩通知方法,即必需向當事人(資訊主體)以「即時」(獲知外洩事件後60天內)、「適當」(書面、或輔以電話、網站公告形式)之方式通知。不過,由於通知之範圍僅限於發生「安全性不足之健康資訊」外洩,故對於「安全性不足」之定義,HITECH即交由HHS制定相關施行細則規範。

 

  HHS本次通過之實施辦法,將「安全」之資料定義「無法為第三人使用或辨識」,至於何謂無法使用或辨識,本綱領明定有兩種情形,一是資料透過適當之加密,使其即使外洩亦無法為他人辨識,另一則是該外洩資訊之儲存媒介(書面或電子形式)已被收回銷毀,故他人無法再辨識內容。

 

  值得注意的是,有異於美國各州法對於加密標準之不明確態度,本綱領已指明特定之技術標準,方為其認可之「經適當加密」,其認可清單包含國家標準與技術研究院(National Institute of Standards and Technology)公布之Special Publication 800-111,與聯邦資訊處理標準140-2。換言之,此次加密標準之公布,已為相關業者提供一可能之「安全港」保護,使業者倘不幸遭遇資料外洩事件,得主張資料已施行適當之加密保護,即無需承擔龐大外洩通知成本之衡平規定。

本文為「經濟部產業技術司科技專案成果」

相關附件
※ 美國衛生部門公布個人健康資訊外洩責任實施綱領, 資訊工業策進會科技法律研究所, https://stli.iii.org.tw/article-detail.aspx?d=3072&no=67&tp=1 (最後瀏覽日:2026/02/24)
引註此篇文章
你可能還會想看
美國國際消費電子展研討會討論有關打擊專利蟑螂議題

美國ULC公布統一虛擬貨幣事業監管規範建議,提供各州虛擬貨幣管制立法架構參考

  2017年美國統一法律委員會(Uniform Law Commission, ULC)於2017年9月公布「統一虛擬貨幣事業監管法」(Uniform Regulation of Virtual Currency Business Act, 以下簡稱VCBA)全文、總說明以及利害關係人意見,對於虛擬貨幣(virtual currency)提供管制架構,囊括虛擬貨幣定義和適用範圍、營業執照要求、跨州互惠原則、消費者保護、網路安全、反洗錢和對進行虛擬貨幣商業活動者之監管等重要問題,作為各州相關立法參考。迄今美國夏威夷州和內布拉斯加州分別向州議會提案,朝向採用VCBA作為該州虛擬貨幣管制參考規範之方向討論。

加州通過美國第一個限制溫室氣體排放法案

  加州是全球第十二大製造二氧化碳排放量的地區,也是美國最重視環境立法的一個州。今年八月底,加州通過全美第一個限制人為溫室效應氣體排放法案- 2006 年全球溫室效應對策法( Global Warming Solutions Act of 2006 ),希望透過該法在 2020 年以前,將溫室氣體排放量減至 1990 年的水準(約減少 25% ),而諸如發電廠、水泥工廠等溫室效應氣體最大的來源,則將被要求報告它們的排放量。   雖然全球溫室效應對策法中並未規定特別的機制(例如歐盟所採取的排放量交易機制)以達到前述目標,不過加州政府仍希望藉由其率先立法的舉動,能引起全美各地效法,進而「由下而上」( bottom-up )促使聯邦政府採取必要措施。   目前美國聯邦政府以強制減少溫室氣體排放可能損及經濟,並不應將開發中國家排除在外為由,在 2001 年決定退出有 160 國簽署的京都議定書。不過隨著加州通過 2006 年全球溫室效應對策法,加入歐盟置身於對抗氣候變化的最前線,毋寧也將對華府增加壓力,未來聯邦政府仍須審慎考量是否以強制之立法手段,而非布希政府所偏好的自願性手段,來解決全球暖化的問題。

網路搜尋引擎龍頭Google 控告Microsoft剽竊搜尋結果

  網路搜尋引擎龍頭Google質疑Microsoft研發的“Bing”搜尋引擎有剽竊Google搜尋結果的狀況,對此Google已提出訴訟。Google表示,為了要調查是否有搜尋結果被剽竊的情形,故意在搜尋引擎中創造近100個毫無意義的搜尋關鍵字,例如“Hiybbprqag”、“Mbzrxpgiys”和“Indoswiftjobinproduction”等,同時對應該關鍵字插入虛假的搜尋結果。在幾個禮拜之後,Google發現競爭對手Microsoft 的Bing搜尋引擎也出現相同的搜尋結果,因此認為Bing有剽竊之疑。Google表示:「Google的搜尋結果是經過多年辛苦努力的成果,這件事情對我們來說像是一場馬拉松賽跑中有人在背後偷襲你,然後突然跳到終點站前迎接勝利,是一種欺騙的行為。」   Microsoft否認剽竊搜尋結果,認為這是Microsoft用來提高搜尋品質結果的方法之一,Bing實際上使用不同的符號和方法來對於不同的搜尋結果加以分級,用來辨別不同的搜尋結果。同時針對搜尋結果提供多數關連的答案,藉此增加消費者對於Bing搜尋引擎的良好經驗,Google使用間諜手法(Spy-novelesque stunt)對競爭對手進行調查,此舉已抹黑Bing,蒙上不好的評價。   Google提出抗辯認為Bing的行為構成簡單而顯然的詐欺,造成不同的搜尋引擎產生同樣的搜尋結果。況且搜尋引擎的功能,若可以出現與Google搜尋下相同的結果,並無法保證能創造出更好的搜尋品質,Microsoft的說法無法獲得肯認,後續延燒的訴訟爭議,有待日後進一步觀察。

TOP