美國衛生部門公布個人健康資訊外洩責任實施綱領

  美國健康與人類服務部(Secretary of Health and Human Services;以下簡稱HHS),於2009年4月17日公布「個人健康資訊外洩通知責任實施綱領」(Guidance Specifying the Technologies and Methodologies That Render Protected Health Information Unusable, Unreadable, or Indecipherable to Unauthorized Individuals for Purposes of the Breach Notification Requirements under Section 13402 of Title XIII (Health Information Technology for Economic and Clinical Health Act) of the American Recovery and Reinvestment Act of 2009; Request for Information;以下簡稱本綱領)。本綱領為美國迄今唯一聯盟層級之資料外洩通知責任實施細則,並可望對美國迄今四十餘州之個資外洩通知責任法制,產生重大影響。

 

  本綱領之訂定法源,係依據美國國會於2009年2月17日通過之經濟與臨床健康資訊科技法(Health Information Technology for Economic and Clinical Health Act;以下簡稱HITECH),HITECH並屬於2009年「美國經濟復甦暨再投資法」(America Recovery and Reinvestment Act;簡稱ARRA)之部分內容。

 

  HITECH將個人健康資訊外洩通知責任的適用主體,從「擁有」健康資訊之機構或組織,進一步擴大至任何「接觸、維護、保留、修改、紀錄、儲存、消除,或以其他任何形式持有、使用或揭露安全性不足之健康資訊」的機構或組織。此外,HITECH並規定具體之資料外洩通知方法,即必需向當事人(資訊主體)以「即時」(獲知外洩事件後60天內)、「適當」(書面、或輔以電話、網站公告形式)之方式通知。不過,由於通知之範圍僅限於發生「安全性不足之健康資訊」外洩,故對於「安全性不足」之定義,HITECH即交由HHS制定相關施行細則規範。

 

  HHS本次通過之實施辦法,將「安全」之資料定義「無法為第三人使用或辨識」,至於何謂無法使用或辨識,本綱領明定有兩種情形,一是資料透過適當之加密,使其即使外洩亦無法為他人辨識,另一則是該外洩資訊之儲存媒介(書面或電子形式)已被收回銷毀,故他人無法再辨識內容。

 

  值得注意的是,有異於美國各州法對於加密標準之不明確態度,本綱領已指明特定之技術標準,方為其認可之「經適當加密」,其認可清單包含國家標準與技術研究院(National Institute of Standards and Technology)公布之Special Publication 800-111,與聯邦資訊處理標準140-2。換言之,此次加密標準之公布,已為相關業者提供一可能之「安全港」保護,使業者倘不幸遭遇資料外洩事件,得主張資料已施行適當之加密保護,即無需承擔龐大外洩通知成本之衡平規定。

本文為「經濟部產業技術司科技專案成果」

相關附件
※ 美國衛生部門公布個人健康資訊外洩責任實施綱領, 資訊工業策進會科技法律研究所, https://stli.iii.org.tw/article-detail.aspx?d=3072&no=67&tp=1 (最後瀏覽日:2026/04/06)
引註此篇文章
你可能還會想看
美國貨幣監理局發布解釋函,授權聯邦註冊銀行和聯邦儲蓄協會提供加密資產保管服務

  因應加密貨幣投資交易盛行,美國貨幣監理局(Office of the Comptroller of the Currency, OCC)於2020年7月22日發布一封解釋函,授權聯邦註冊銀行和聯邦儲蓄協會(federal savings associations)可為客戶的加密貨幣或數位資產提供保管服務,促使銀行持續發揮金融中介功能。此舉將有助於加密貨幣推動發展。   依據解釋函內容,聯邦註冊銀行和聯邦儲蓄協會若從事加密貨幣保管業務,主要注意要點包含必須制定健全的風險管理規範;所提供之服務須與銀行的整體業務計劃和策略一致;須以安全可靠之方式進行,包含建立適當系統以識別、衡量、監控和控制其保管服務的風險;審核帳戶是否符合洗錢防制法令;維持適當有效之內部控制制度;確保銀行所保管之資產與自有資產分開存放,並在共同控制的情況進行維護,以確保資產不會被內部或外部人員損失、毀損或挪用;維護有效之資訊安全基礎架構與控制措施,以減少駭客入侵、竊盜和詐騙;判斷是否需要專門的查核程序;提供可靠的財務報告,以及遵守相關法律規範。   貨幣監理局表示,加密貨幣保管服務,包含持有與加密貨幣相關連的密鑰,屬傳統銀行保管業務的延伸,為銀行業推動現代化營運的表現。隨著金融市場數位化,銀行與其他服務提供商將需要利用新技術和創新方式,以滿足客戶的金融服務需求。

遊戲內容標示不實,FTC將開罰

  許多玩家所引頸期待的遊戲:『橫行霸道:聖安地列斯』( Grand Theft Auto: San Andreas )在今年風光上市。其遊戲的內容不僅可以欣賞到 洛杉磯、舊金山與拉斯維加斯等地維妙維肖的城市風景外,更可以滿足玩家瘋狂的想像,如:殺人放火、參與幫派火拼等。但也由於遊戲內容充斥過多的血腥、暴力與色情情節, 根據美國分級制度 Entertainment Software Rating Board ( ESRB )的分類,本遊戲應該是屬於「只限成人( AO, Adults Only )」,不過本遊戲在說明書上只有標示 M ( Mature )等級,意指適合十七歲以上的人購買。 Rockstar 公司的行動違反廠商自律以及欺騙消費者。對 FTC 來說,這是非常嚴重的問題, FTC 並且警告 Rockstar 公司須對產品重新包裝並標示,如不改善,將處以高額的罰款

日韓電子商務法制環境與發展之比較

德國法院依據歐盟法院先決裁定發出第一例禁制令

  2015年11月3日德國杜塞道夫地方法院(以下稱德國法院)依據歐盟法院之《華為訴中興》案(Huawei v ZTE case, 16 July 2015, Case C- 170/13)的先決裁判發出第一例禁制令(Cases 4a O 144/14) (Nov. 3, 2015)。這個判決係義大利公司SISVEL公司認為青島海爾德國公司(以下稱海爾公司)侵害其有關GPRS及 UMTS無線網路專利組合之標準專利,並已經對海爾公司發出專利侵權通知,並發出授權要約,海爾公司則抗辯認為,SISVEL僅通知其母公司而未通知其分公司,且其授權要約不符合FRAND原則。   德國法院認為,SISVEL只要將足夠的專利侵權資訊及授權要約通知海爾母公司進而據以判斷是否與SISVEL展開授權協商即可,若要求專利權人亦須一一通知其分公司,則將流於形式。   其次,海爾公司雖因認為SISVEL要求之授權金過高,故拒絕SISVEL的授權要約並提出反向要約,但卻未在提出反向要約後之合理期間內依據歐盟法院在《華為訴中興》案先決裁判中之見解,對SISVEL提供保證金以擔保其授權協議尚未達成前對SISVEL專利之使用費用。故德國法院進一步對前述合理期間給予確切期間,即拒絕專利權人要約時起一個月內。   至於海爾公司主張SISVEL授權要約不符合FRAND原則之抗辯,德國法院認為因海爾公司未履行前述程序,故尚無須判斷SISVEL授權要約是否FRAND原則。故何種情形屬於符合FRAND原則,仍留由後續之實務見解加以補充。

TOP