美國衛生部門公布個人健康資訊外洩責任實施綱領

  美國健康與人類服務部(Secretary of Health and Human Services;以下簡稱HHS),於2009年4月17日公布「個人健康資訊外洩通知責任實施綱領」(Guidance Specifying the Technologies and Methodologies That Render Protected Health Information Unusable, Unreadable, or Indecipherable to Unauthorized Individuals for Purposes of the Breach Notification Requirements under Section 13402 of Title XIII (Health Information Technology for Economic and Clinical Health Act) of the American Recovery and Reinvestment Act of 2009; Request for Information;以下簡稱本綱領)。本綱領為美國迄今唯一聯盟層級之資料外洩通知責任實施細則,並可望對美國迄今四十餘州之個資外洩通知責任法制,產生重大影響。

 

  本綱領之訂定法源,係依據美國國會於2009年2月17日通過之經濟與臨床健康資訊科技法(Health Information Technology for Economic and Clinical Health Act;以下簡稱HITECH),HITECH並屬於2009年「美國經濟復甦暨再投資法」(America Recovery and Reinvestment Act;簡稱ARRA)之部分內容。

 

  HITECH將個人健康資訊外洩通知責任的適用主體,從「擁有」健康資訊之機構或組織,進一步擴大至任何「接觸、維護、保留、修改、紀錄、儲存、消除,或以其他任何形式持有、使用或揭露安全性不足之健康資訊」的機構或組織。此外,HITECH並規定具體之資料外洩通知方法,即必需向當事人(資訊主體)以「即時」(獲知外洩事件後60天內)、「適當」(書面、或輔以電話、網站公告形式)之方式通知。不過,由於通知之範圍僅限於發生「安全性不足之健康資訊」外洩,故對於「安全性不足」之定義,HITECH即交由HHS制定相關施行細則規範。

 

  HHS本次通過之實施辦法,將「安全」之資料定義「無法為第三人使用或辨識」,至於何謂無法使用或辨識,本綱領明定有兩種情形,一是資料透過適當之加密,使其即使外洩亦無法為他人辨識,另一則是該外洩資訊之儲存媒介(書面或電子形式)已被收回銷毀,故他人無法再辨識內容。

 

  值得注意的是,有異於美國各州法對於加密標準之不明確態度,本綱領已指明特定之技術標準,方為其認可之「經適當加密」,其認可清單包含國家標準與技術研究院(National Institute of Standards and Technology)公布之Special Publication 800-111,與聯邦資訊處理標準140-2。換言之,此次加密標準之公布,已為相關業者提供一可能之「安全港」保護,使業者倘不幸遭遇資料外洩事件,得主張資料已施行適當之加密保護,即無需承擔龐大外洩通知成本之衡平規定。

本文為「經濟部產業技術司科技專案成果」

相關附件
※ 美國衛生部門公布個人健康資訊外洩責任實施綱領, 資訊工業策進會科技法律研究所, https://stli.iii.org.tw/article-detail.aspx?d=3072&no=67&tp=1 (最後瀏覽日:2026/06/02)
引註此篇文章
你可能還會想看
中國大陸電子遊戲機內銷管制變革

中國大陸電子遊戲機內銷管制變革 科技法律研究所 法律研究員 蘇彥彰 2014年07月22日   自中國大陸國務院2000年發布「國務院辦公廳轉發文化部等部門關於開展電子遊戲經營場所專項治理意見的通知」起,至2013年12月21日國務院發佈「國務院關於在中國(上海)自由貿易試驗區內暫時調整有關行政法規和國務院文件規定的行政審批或者准入特別管理措施的決定」為止,中國大陸長期以來嚴格執行其境內的「遊戲機內銷禁令」,一方面限縮了中國大陸遊戲機市場的發展,另一方面也使手機、網路遊戲得以在中國大陸地區崛起。如今遊戲機禁令逐步鬆動,是否會帶動整體遊戲市場洗牌,值得關注。為此,以下回顧中國大陸近年來就家用、掌上型遊戲機的管制政策沿革,並提示逐步開放過程間可能出現的變化和問題。 壹、中國大陸自2000年起長期禁止電子遊戲主機的國內銷售   中國大陸國務院於2000年發布「國務院辦公廳轉發文化部等部門關於開展電子遊戲經營場所專項治理意見的通知」,當中明白表示「任何企業、個人不得再從事面向國內的電子遊戲裝置及其零、附件的生產、銷售活動」,此一決定造成風行於世界其它國家地區的家用、掌上型遊戲主機,在中國大陸遊戲市場喪失其合法性[1]。當時中國大陸官方就管制家用遊戲機政策所提出的理由是其「擾亂了社會治安秩序、對青少年的身心發展帶來潛在傷害」。   然事實上中國大陸對於可能同樣對青少年造成影響的網路遊戲,不僅未加以禁止,反而將其列為重點產業大力扶植,此一作為明顯和禁止電子遊戲主機內銷理由相矛盾。因此長期以來各大主力電子遊戲機廠商,如索尼、微軟、任天堂等,仍一直試圖以各種方法打入中國市場,並呼籲中國大陸政府開放對內銷售電子遊戲主機[2]。 貳、2013年宣布於上海自貿區內重新開放電子遊戲機之內銷   中國大陸對電子遊戲主機的禁令在持續13年後,在2013年9月18日中國國務院發布的「中國(上海)自由貿易試驗區總體方案」中,終於提出允許外資企業在自貿區從事遊戲設備的生產和銷售。此後,僅隔五天上海文廣新聞傳媒集團旗下的百視通便宣佈將與微軟在自貿區合資組建公司,宣稱主要業務是「設計、開發、製作遊戲、娛樂應用軟件及衍生產品;銷售、許可、市場行銷自產和協力廠商的遊戲、娛樂應用軟體;遊戲機相關技術諮詢和服務」[3]。緊接著在2013年12月21日國務院再發佈「國務院關於在中國(上海)自由貿易試驗區內暫時調整有關行政法規和國務院文件規定的行政審批或者准入特別管理措施的決定」,正式宣佈在自貿區內停止實施「遊戲機禁令」。至此,自貿區的遊戲機銷售大門正式向投資者開放。 參、電子遊戲機於中國大陸市場可能面對的問題   在前述微軟案例中,其採取的方式是透過合資模式進入中國大陸市場,有論者指出,之所以如此,主要原因在於上海自貿區仍是「禁止外商投資經營網路資料中心業務」。因此,對於微軟而言,仍需倚重百視通成熟的資料中心業務和機上盒業務牌照,以作為其在中國大陸地區網路服務的內容提供主體。除了前揭百視通宣佈將與微軟在自貿區合資組建公司外,另外兩間在電子遊戲機市場上佔有巨大版圖的索尼(SONY)和任天堂(NINTENDO)目前雖然還無具體動作,但業界人士預計這兩間在遊戲機產業界具有舉足輕重地位的公司,很有可能仿照百視通與微軟合資的模式,尋找具有中國境內相關執照的廠商合作,進入中國大陸市場。   另一方面,由於2014年6月底最新公布的上海自貿區「負面清單」[4]中,仍然明確規定自貿區內外商「禁止直接或間接從事和參與網絡遊戲運營服務」。由於遊戲機上遊戲目前已朝向具有網路連線功能趨勢發展,此類遊戲若經有關部門歸類為網路遊戲,由於外商不得直接或間接進行遊戲的營運,因此將為中國大陸國產遊戲軟體業者留下相當大的發展空間,可據以抵抗技術實力和知名度兼具的外商國際遊戲軟體大廠;反之若此類具網路連線功能的單機遊戲不在中國大陸網路遊戲營運資格之限制範圍內,外商可直接或間接介入經營,對於目前仍處於「全本土化」的中國大陸網路遊戲產業,勢必會帶來相當的衝擊和競爭。   此外,中國大陸雖然放鬆對電子遊戲主機的內銷管制,但對於關鍵的遊戲軟體,由於中國大陸對出版境外著作權人授權的電子出版物(含網路遊戲作品),仍需由新聞出版廣電總局進行內容審查[5],對於有意進入中國大陸電子遊戲機市場的企業,如何推出能通過內容審查卻又不失遊戲性的遊戲軟體,並讓長期以來已習慣於「低價」甚至「免費」網路遊戲的中國大陸消費者買單,都是相關產業有待克服的問題。 [1]蓝齐,〈国务院禁令解除游戏机成客厅娱乐新力量〉,《IT时代周刊》,2014年3期。 [2]徐涵,〈13年禁令一夕难解 游戏3巨头苦盼中国市场开放〉,《IT时代周刊》,2013年3期。 [3]诸悦,〈游戏机,“行货”来了〉,《小康。財智》,2013年10期。 [4]《中国(上海)自由贸易试验区外商投资准入特别管理措施(负面清单)(2014年修订)》(上海市人民政府公告2014年第1号)。 [5]《国务院对确需保留的行政审批项目设定行政许可的决定》(国务院令第412号2004.06.29)。

經部拉抬矽產量打造太陽能產業

  經部致力推動太陽能整體產業發展,六月下旬舉辦兩場產官學座談會後,將制訂太陽能產業推動政策,整合太陽能上中下游供應鏈。   矽材料嚴重缺乏是目前國內太陽能光電產業發展面臨最大的障礙,經濟部能源局初步決定雙管齊下,一方面規劃引進德國 SolMic 公司退休人員團隊之技術人員,協助國內廠商突破技術障礙;另一方面將藉由研發火法冶金純化技術,生產矽材料,目前該技術已由工研院投入研發階段,政府預計投入十億元,希望在二 ○○ 八年達到生產三百噸,至二 ○ 一 ○ 年成長至一千噸。能源局指出,矽材料的供應問題若解決,國內將可建立完整上下游的太陽能光電產業供應鏈,預計二 ○ 一 ○ 年的產業規模可達六百億以上。

FCC決定將限縮頻率拍賣規範

  美國政府為因應數位匯流趨勢,自 2004 年起開始逐漸釋放新的頻率執照,以供網路多媒體服務或新興通訊業者申請。不過因為先前的拍賣方式是採匿名制,並將頻率切割成小頻段拍賣,而導致競標者間共謀串連,造成拍賣價格過低的情形屢見不鮮。另一方面,由於頻率交易制度( trading )盛行,使無線網路業者為了湊足足夠頻段,必須花費更多的成本去租用或購買頻段來經營業務。以上二個因素使頻率的拍賣出現缺乏競爭的現象。   為使頻率的拍賣能夠達到競標的目的, FCC 決定更弦易轍改變拍賣的方式。 2006 年 4 月 11 日 美國聯邦通訊委員會( FCC )投票通過在 6 月 29 日 將舉辦的拍賣,除了取消以往的匿名性競標,將例外以較大的頻段進行公開拍賣,讓更多的有意願經營業務的競標者參加。   目前有部分消費者團體贊同這項決定,認為為可以終結盲目拍賣( blind bidding )的亂象,以及杜絕大企業壟斷頻段的情形。

2018年直布羅陀公布一系列DLT應用商業活動管制規範

  英國海外屬地直布羅陀,針對透過與日俱增的首次發行代幣(Initial Coin Offerings, 簡稱ICO)募集商業活動,早在2017年9月,其金融服務委員會(Gibraltar Financial Service Commission, 簡稱GFSC)已公布官方聲明,警告投資人運用分散式帳本技術(Distributed Ledger Technology,簡稱DLT)之商業活動,如:虛擬貨幣交易或ICO等具高風險且投機之性質,投資人應謹慎。   GFSC又於2018年1月公布「分散式帳本技術管制架構」(Distributed Ledger Technology Regulatory Framework),凡直布羅陀境內成立或從其境內發展之商業活動,若涉及利用DLT儲存(store)或傳輸(transmit)他人有價財產(value belong)者,均須先向GFSC申請成為DLT提供者(DLT provider),並負擔以下義務: 應秉持誠信(honesty and integrity)進行商業活動。 應提供客戶適當利息,且以公平,清楚和非誤導方式與其溝通。 應準備相當金融或非金融資源(non-financial resources)。 應有效管理和掌控商業活動,且善盡管理人注意義務(due skill, care and diligence),包含適當地告知客戶風險。 應有效配置(arrangement)客戶資產和金錢。 應具備有效公司治理,如:與GFSC合作且關係透明。 應確保高度保護系統和安全存取協定。 應具備系統以預防、偵測且揭發金融犯罪風險,如:洗錢和資恐。 應提供突發事件預備方案以維持商業活動繼續進行。   GFSC和商業部(Ministry of Commerce)又於2018年2月聯合公布,將於第二季提出全世界第一部ICO規範,管制境內行銷(promotion)、販售和散布數位代幣(digital token)行為,強調贊助人須先授權(authorized sponsor),並有義務確保遵守有關資訊揭露和避免金融犯罪之法律。

TOP