美國衛生部門公布個人健康資訊外洩責任實施綱領
美國健康與人類服務部（Secretary of Health and Human Services；以下簡稱HHS），於2009年4月17日公布「個人健康資訊外洩通知責任實施綱領」（Guidance Specifying the Technologies and Methodologies That Render Protected Health Information Unusable, Unreadable, or Indecipherable to Unauthorized Individuals for Purposes of the Breach Notification Requirements under Section 13402 of Title XIII (Health Information Technology for Economic and Clinical Health Act) of the American Recovery and Reinvestment Act of 2009; Request for Information；以下簡稱本綱領）。本綱領為美國迄今唯一聯盟層級之資料外洩通知責任實施細則，並可望對美國迄今四十餘州之個資外洩通知責任法制，產生重大影響。
本綱領之訂定法源，係依據美國國會於2009年2月17日通過之經濟與臨床健康資訊科技法（Health Information Technology for Economic and Clinical Health Act；以下簡稱HITECH），HITECH並屬於2009年「美國經濟復甦暨再投資法」（America Recovery and Reinvestment Act；簡稱ARRA）之部分內容。
HITECH將個人健康資訊外洩通知責任的適用主體，從「擁有」健康資訊之機構或組織，進一步擴大至任何「接觸、維護、保留、修改、紀錄、儲存、消除，或以其他任何形式持有、使用或揭露安全性不足之健康資訊」的機構或組織。此外，HITECH並規定具體之資料外洩通知方法，即必需向當事人（資訊主體）以「即時」（獲知外洩事件後60天內）、「適當」（書面、或輔以電話、網站公告形式）之方式通知。不過，由於通知之範圍僅限於發生「安全性不足之健康資訊」外洩，故對於「安全性不足」之定義，HITECH即交由HHS制定相關施行細則規範。
HHS本次通過之實施辦法，將「安全」之資料定義「無法為第三人使用或辨識」，至於何謂無法使用或辨識，本綱領明定有兩種情形，一是資料透過適當之加密，使其即使外洩亦無法為他人辨識，另一則是該外洩資訊之儲存媒介（書面或電子形式）已被收回銷毀，故他人無法再辨識內容。
值得注意的是，有異於美國各州法對於加密標準之不明確態度，本綱領已指明特定之技術標準，方為其認可之「經適當加密」，其認可清單包含國家標準與技術研究院（National Institute of Standards and Technology）公布之Special Publication 800-111，與聯邦資訊處理標準140-2。換言之，此次加密標準之公布，已為相關業者提供一可能之「安全港」保護，使業者倘不幸遭遇資料外洩事件，得主張資料已施行適當之加密保護，即無需承擔龐大外洩通知成本之衡平規定。
本文為「經濟部產業技術司科技專案成果」
美國國家標準暨技術研究院（National Institute of Standards and Technology, NIST）於2022年7月21日發布更新《網路安全資源指南》（A Cybersecurity Resource Guide, NIST SP 800-66r2 ipd）。本指南源自於1996年美國《健康保險流通與責任法》（Health Insurance Portability and Accountability Act, HIPAA）旨在避免未經患者同意或不知情下揭露患者之敏感健康資料，並側重於保護由健康照護組織所建立、接收、維護或傳輸之受保護電子健康資訊（electronic protected health information, ePHI），包括就診紀錄、疫苗接種紀錄、處方箋、實驗室結果等患者資料之機密性、完整性及可用性。其適用對象包含健康照護提供者（Covered Healthcare Providers）、使用電子方式傳送任何健康資料的醫療計畫（Health Plans）、健康照護資料交換機構（Healthcare Clearinghouses）及為協助上述對象提供健康照護服務之業務夥伴（Business Associate）均應遵守。 本指南最初於2005年發布並經2008年修訂（NIST SP 800-66r1 ipd），而本次更新主要為整合其他網路安全相關指南，使本指南與《網路安全框架》（Cybersecurity Framework, NIST SP 800-53）之控制措施等規範保持一致性。具體更新重點包括：（1）簡要概述HIPAA安全規則；（2）為受監管實體在ePHI風險評估與管理上提供指導；（3）確定受監管實體可能考慮作為資訊安全計畫的一部分所實施的典型活動；（4）列出受監管實體在實施HIPAA安全規則之注意事項及其他可用資源，如操作模板、工具等。特別在本指南第三章風險評估與第四章風險管理提供組織處理之流程及控制措施，包括安全管理流程、指定安全責任、員工安全、資訊近用管理、安全意識與培訓、應變計畫、評估及業務夥伴契約等。而在管理方面包括設施權限控管、工作站使用及安全、設備媒體控制；技術方面則包含近用與審計控管、完整性、個人或實體身分驗證及傳輸安全。上述組織要求得由政策、程序規範、業務夥伴契約、團體健康計畫所組成，以助於改善醫療領域的網路安全及隱私保護風險管理。預計本指南更新將徵求公眾意見至2022年9月21日止。
歐盟行動健康服務(mHealth)眾人引頸期盼的下一步歐盟於2015年5月9日在拉脫維亞的里加舉辦了為期一週之「eHealth Week」研討會，包含由歐盟輪值理事會主辦之高階eHealth會議，以及由歐洲HIMSS (Healthcare Information and Management Systems Society)主辦之「WoHIT (World of Health IT Conference & Exhibition)」兩大活動，而2015歐洲mHealth高峰會為其中備受矚目的重要主題活動。該高峰會以推動歐洲mHealth進程之執行為領導思考核心，相關利害關係者（包括公部門、ICT產業、健康保健專業學者）於5月12日以mHealth綠皮書公眾諮詢結果為基礎，針對歐盟目前執行中以及未來可能採取之政策為討論，主要議題包括：1.所蒐集資料之隱私與安全保護。2.生活康樂型apps產品之安全性與品質管控。3.網路經營者對於mHealth市場之進入障礙。 針對資料之隱私與安全保護議題，公眾諮詢結果顯示，關鍵問題在於mHealth apps蒐集使用者資料是否有足夠的隱私與安全保障措施?與會者並認為此問題在資料的第三人再利用情形尤為重要。對此歐盟執委會表示將展開就mHealth apps訂定以產業為主導、範圍涵蓋資料隱私與安全性之行為守則，以建立使用者對mHealth apps之信任感，並提升app開發者對歐盟資料保護法規之遵法意識。 針對生活康樂型apps（包括健康照護相關app）產品之安全性與品質管控議題，透過與會者現場意見調查顯示，認為健康照護相關apps之安全性、品質與可靠性由於欠缺臨床佐證，導致就apps的目的與功效會有錯誤的宣示。值得注意的是，制定法規控管並非多數意見，大多數與會者認為以訂定指引或標準的方式，作為生活與康樂型apps的安全性與品質之依循方針較為妥適。對此歐盟執委會表示會持續跟進此議題並與相關利害關係者討論下一步之行動。 針對網路經營者進入歐盟mHealth市場議題，與會者認為網路經營者將面臨複雜的進入障礙，諸如歐盟相關法規架構的不清與零散、mHealth方案與設備的互通性與開放標準的欠缺等。歐盟執委會明確表示，支持網路經營者進入mHealth市場，目前歐盟正在進行的「Startup Europe」等相關倡議措施，即是以強化網路及資通訊業者商業環境為目的，提供網路經營者法規諮詢、投資媒合、商業模式育成等協助，以降低網路經營者所面對之市場進入門檻並有機會展現其新創能量。
歐盟通過網路與資訊系統安全指令歐盟於2016年7月6日公布了網路與資訊系統安全指令（Directive on Security of Network and Information Systems, NIS Directive），該指令目的是希望歐盟內之關鍵基礎服務營運商及數位服務提供者就資訊交換、合作及共通安全要求上有建立及規劃之基本能力，以提高歐盟內部市場之功能。 故至2018年11月前，各會員國須確認境內的關鍵基礎服務營運商並建立一份清單，包含能源、運輸、銀行、金融市場基礎建設、衛生部門、飲水供應及分配、數位基礎設施等部分，其判斷標準為（a）提供維持社會重要或經濟活動之服務；（b）倚賴網路或資訊系統供應之服務；（c）該服務之提供易受顯著破壞影響者。該指令之適用範圍亦納入數位服務，如線上市場、搜尋引擎及雲端服務之數位服務提供者，而上述兩者所適用之規範略有不同，如數位服務提供者在規劃資訊安全措施及資安事件發生之通知義務時，另需將其系統及設施之安全性、事件處理、業務管理之持續性、監測、稽核及測試、符合國際標準等因素列入考量。 此外，為了促進會員國間之策略合作及資訊交換，歐盟將會設立一個合作小組，亦將建立電腦安全事件因應小組（Computer Security Incident Response Teams, CSIRTs），主要負責監測國家資安事件、並對資安風險為預警、因應及分析等，另為確保各會員國彼此間在運作上之迅速與效率，並建立電腦安全事件因應小組網路（CSIRTs network），提供各會員國交換資安風險或事件相關資訊之平台。 該指令於今年8月生效，會員國須於指令生效後21個月內即2018年5月，將指令之內容適用至本國法並公布之，該指令之內容可做為我國訂定資安法規之參考。
韓國國家智慧財產人力培育綜合計畫初探韓國國家智慧財產人力培育綜合計畫初探 科技法律研究所 2014年08月05日 壹、事件摘要 韓國政府暨2008年4月提出「第一次國家智慧財產人力培育綜合計畫(2008~2012)」[1](以下簡稱第一次綜合計畫)後，於2012年12月提出「第二次國家智慧財產人力培育綜合計畫 (2013~2017)」[2](以下簡稱第二次綜合計畫)，以「創意人才、知識財產之管理與服務所需專門人才的培育」為目標，強化並提升韓國在全球化市場的競爭力。 韓國人才培育綜合計畫旨在培育優秀專利人才、智財實務人才，透過質與量的同步增加與水準提升，以期補足智財人力缺口。當中各項措施思維，是否有值得我國借鏡之處，本文將介紹第一次綜合計畫目標及主要成果，並以此為基礎說明第二次綜合計畫在政策說明、預期成果等規劃上的改進作法，進而歸納說明韓國在人才培育相關觀念想法，供國內相關政策發展之參考。 貳、重點說明 一、計畫背景 第一次綜合計畫於2008年提出，目的是為因應韓、美FTA締結與生效後，韓國企業將面臨全球化市場競爭，專門領域人才之需求量日益增加，但相對在以智慧財產法學為中心之人力供給與相關職務教育卻尚未成熟。 第一次綜合計畫目標有三，首先是擴充優秀之專利創造潛力、再者是增加企業智財實務人力數量及提升水準、最後則是要提高智財法律服務的素質，以期提高智慧財產的競爭力。主要四大政策包括：(一)強化智財研究人力培育；(二)培育企業智財實務人才；(三)培育智財服務領域人力資源；(四)擴充智財人才培育之基礎。 在第一次綜合計畫中，以大學生及企業人力為對象之智財教育課程，對於上述對象之能力有顯著幫助、獲得肯定。但除此之外，課程內容不夠多樣化、制度化，以及課程程度未達標準，所提供教育現場之實務界人才以及國際業務之專家亦不足，被認為是第一次綜合計畫不足之處[3]。於是在此背景下，第二次綜合計畫設定兩大計畫目標「以智財經濟為基礎，培育智財人才」、「體現智財之大眾化與智財文化的深層教育」，並以此設定五大政策，本文就其內容以及相關措施為具體說明。 二、政策架構 在第二次綜合計畫中，共分為五大政策，分述如下: （一）強化培育商業智財管理人才 韓國政府認為，若要強化人才的培育與供給、提升企業競爭力，在政策上第一步必須針對「智財管理人力」進行加強。包括促進企業內部成立智財專責部門，依據不同管理領域[4]給予理論與實務的教育課程、各國智財制度與紛爭解決有關專門教育[5]，乃至於碩士學位課程（如為因應海外智財紛爭應對，韓國企業提供學費百分之50補助，鼓勵在職進修之碩士課程「智慧財產專門學位課程(MIP)」）。同時，加強企業經營者智財經營意識亦屬至關重要之事。透過在大企業以及中堅企業設置專門智財部門及智財最高負責人，並讓各企業間可以針對智財進行合作、資訊共享[6]。或是直接派員前往各地區中小企業聚會，傳達IP經營優秀事例、經營訣竅，皆是韓國強化企業經營者IP經營概念之規劃作法。另外，則是擴大產學研合作與就業市場連結，透過「企業-大學-政府」合作，提供企業所需人才之教育，同時也讓企業透過採用優秀人才強化其智財能量。最後，則是在智財經營、發明、設計等領域，發掘、培育次世代的領導能力，為未來競爭力做準備[7]。 （二）培育全球化智財服務專門人才 第二個政策著重於智財服務人力的培育。國際智財紛爭加劇，需要有能夠因應時局改變之專利師養成教育以及考試制度改進。過去在第一次綜合計畫中，先著重於專利師的數量，以供給市場需求。而第二次綜合計畫中，透過「教育-考試-實務研習-多樣化專業課程」的專利師培育政策，期望在電子/通訊、化學/生命、機器/金屬等專業領域能夠提供專業化的服務，並能在法律市場開放的現實環境中，培育[8]可以進入海外法律服務的專利師，同時能夠為韓國企業處理海外智財紛爭。 再者，對於專利師該有的社會責任部分，韓國推動專利師與律師則共同組成「專利家庭醫生(patent home doctor)[9]」制度，透過才能分享(Pro Bono)專家池(pool)[10]，提供中小企業在發生紛爭時可以透過此一制度來諮詢。同時也與各地區智財中心連結，希望各地區都會有一專利師事務所，以深化智財教育。 此外，韓國政府已於今年7月完成專利師考試制度修正案[11]，預計增加實務考題以及改變計分方式。再者，對於律師智財教育部分，則與法學專門大學院[12]合作，提供其研究生智財業務實習的機會，以培育智財紛爭解決之專門人才。 （三）培育融合型智財創造人才 第三個政策著重於研究開發人才的智財意識。首先，針對理工科大學生以及研究生等預備人才，依據其領域別開設不同課程，並鼓勵申請輔系，期望培育出兼具技術與智財層面的專業人才。另外，針對一般大學學生則鼓勵主修與智財相關之課程，使大學畢業生兼具專業領域與智財領域的能力，以期提供相關研究機構具備專業與智財能力之研發人才。除部分大學已開設智慧財產專門學位課程(MIP)碩士班、智財課程放入大學正規科目外，學校亦會舉辦校園專利策略校運會(캠퍼스 특허전략 유니버시아드，Campus Patent Strategy Universiade[13])、大學創意發明大會、D2B（Design-to-business）等智財實戰活動。從各種活動中將智財的概念帶進校園，深化校園後，也期待能夠將智財的概念透過校園的傳遞普及於一般民眾，使智慧財產的概念不是遙不可及的專業領域。 （四）扎根基層智財教育 第四個政策著重於基層智財教育扎根，包括針對兒童開設各種發明體驗設施[14]、發明文化講座、發明體驗活動，於中小學教育課程中加入發明與智財教育，以深植智財觀念。針對青少年部分，則在高中課程中提供選修智財相關科目，以發掘培養有潛在力之英才[15]。同時結合發明教育與技術教育，培育創造活用之立即可以使用之人才。 （五）智財人才培育之系統化 第五個政策著重於人才培育系統，將培育之智財人力與就業市場結合，以提高人力培育之成果。透過智財人力綜合資訊系統(IP Human Network)[16]使新進人力可順利進入職場、既有人力能有效運用發揮。透過智財財產能力考試(IPAT)[17]，進而能開發智財領域國家職務能力標準(IP-NCS)[18]。並商討是否需要制定「智財教育振興法」[19]，使得韓國能在制度法規面上，完整規範智財人力培育的計畫制定、施行以及相關預算。 參、代結論 先進國家如美國，透過知識密集產業直接或間接促成4千萬件就業。並利用其高附加價值之特性，使創造出之產值甚至佔美國國內生產毛值(GDP)達35%[20]。故有系統的培育智財專門人力，有助於國家智慧財產領域的競爭力，對於經濟發展與產值提升亦有其正面影響。 爰此，韓國在第二次綜合計畫中，便目標設定在5年內(2013~2017)增加2萬名新進人力及其工作機會，累積培育5萬名專門人才，來填補智財專門人力的缺口。其面向則從管理人才、服務人才、研發(創造)人力三方面著手。在管理人才部分，首要著重的是企業如何從現有人力進行培育，提高其智財能力，以及如何透過產學研擴大合作，與就業市場連結來培育下一代管理人才。服務人才部分則是透過考試制度改革積極培育更符合需求之專利師，同時也透過智財教育培育律師的智財紛爭解決能力。針對研發(創造)人才部分，則強調在專業教育的同時，需兼顧智財意識的養成，以期提供相關研究機構具備專業與智財能力之人才。最後，則進一步透過「智財人力綜合資訊系統(IP Human Network)」將培育人才與就業市場連結，促使所培育之智財人才能有效運用。 整體而言，在第一次綜合計畫中，是由政府主導、推行智財教育政策，而在第二次綜合計畫中，則期望達到政府與民間合作進行智財教育，甚至形成民間可自行育成智財人力之循環，此等人力發展思維與作法，值得我們持續觀察與參考。 [1] 第一次國家智慧財產人才培育綜合計畫是韓國於2007年1月18日招開之「第21回 科學技術相關長官級會議」中確認之『智慧財產策略體系推動計畫(案)』之後續處理案。國家科學技術委員會，〈국가지식재산 인력양성 종합계획안〉(2008/04/24)。 [2] 專利廳，〈제2차 국가지식재산 인력양성 종합계획안(2013~2017)〉（2012/12/12）。 [3] 同前註 [4] 在職人力教育預計從2013年的4500名，期望於2015年達到6000名、2017年提升至8000名；新進人力教育則是期望可以達到年平均為1500名。 [5] 針對主要紛爭對象國家專門課程，海內外人力一年200名。 [6] 目前三星電子、LG有公司內部智財教育課程，發掘可能事例，並傳授他公司智財相關課程運作的方法。 [7] 每年選拔50名左右派往美國等先進國家進行交流、學習課程。 [8] 包含CLP(國際授權專門資格認證)培育課程等技術價值評價與授權相關課程。 [9] 특허 홈닥터(patent home doctor)，http://pcc.or.kr/pcc/。 [10] 재능나눔 전문가 Pool。才能分享的概念來自於捐款，除了捐助金錢可以幫助他人外，也可以貢獻自己的專業能力於社會，屬於社會服務之一環。http://pcc.or.kr/pcc/。 [11] 專利廳於預定於今年(2014)下半年提出修法，可望於2018年開始實施。專利廳報導資料http://www.kipo.go.kr/kpo/user.tdf?seq=13740&c=1003&a=user.news.press1.BoardApp&board_id=press&catmenu=m03_01_02 [12] 如同美國law school概念，韓國正式的名稱為法學專門大學院，碩士課程。 [13] http://www.patent-universiade.or.kr，Universiade一詞為結合University + Olympiade兩個字而來。 [14] 美國於華盛頓美國史博物館內的「發明體驗設施(Lemelson Center)」 [15] 「發明英才教育研究院」為有天分之學生及其家長提供諮詢，並提供該生未來志願諮商。英才教育，等同我國資優生教育。 [16] IP Human Network，http://www.iphuman.or.kr/ipes2013/front/gate/main/iphuman_main.do [17] IPAT(Intellectual Property Ability Test)於2010年11月6日正式開始，並於每年的5月與11月舉辦 [18] 韓國產業人力公團，http://www.hrdkorea.or.kr/ [19] 參考科學教育振興法、環境教育振興法、英才(資優)教育振興法 [20] 依據美國商務部(Dept. of Commerce)2012年3月，工作機會有4千萬件(全體28%、直接雇用2千7百萬件、相關雇用1千3百萬件)；產品輸出達＄775billion美金(全體61%、IP服務輸出佔全體19%)；創造出的附加價值為＄5.06trillion美金(GDP之35%)