美國衛生部門公布個人健康資訊外洩責任實施綱領

  美國健康與人類服務部(Secretary of Health and Human Services;以下簡稱HHS),於2009年4月17日公布「個人健康資訊外洩通知責任實施綱領」(Guidance Specifying the Technologies and Methodologies That Render Protected Health Information Unusable, Unreadable, or Indecipherable to Unauthorized Individuals for Purposes of the Breach Notification Requirements under Section 13402 of Title XIII (Health Information Technology for Economic and Clinical Health Act) of the American Recovery and Reinvestment Act of 2009; Request for Information;以下簡稱本綱領)。本綱領為美國迄今唯一聯盟層級之資料外洩通知責任實施細則,並可望對美國迄今四十餘州之個資外洩通知責任法制,產生重大影響。

 

  本綱領之訂定法源,係依據美國國會於2009年2月17日通過之經濟與臨床健康資訊科技法(Health Information Technology for Economic and Clinical Health Act;以下簡稱HITECH),HITECH並屬於2009年「美國經濟復甦暨再投資法」(America Recovery and Reinvestment Act;簡稱ARRA)之部分內容。

 

  HITECH將個人健康資訊外洩通知責任的適用主體,從「擁有」健康資訊之機構或組織,進一步擴大至任何「接觸、維護、保留、修改、紀錄、儲存、消除,或以其他任何形式持有、使用或揭露安全性不足之健康資訊」的機構或組織。此外,HITECH並規定具體之資料外洩通知方法,即必需向當事人(資訊主體)以「即時」(獲知外洩事件後60天內)、「適當」(書面、或輔以電話、網站公告形式)之方式通知。不過,由於通知之範圍僅限於發生「安全性不足之健康資訊」外洩,故對於「安全性不足」之定義,HITECH即交由HHS制定相關施行細則規範。

 

  HHS本次通過之實施辦法,將「安全」之資料定義「無法為第三人使用或辨識」,至於何謂無法使用或辨識,本綱領明定有兩種情形,一是資料透過適當之加密,使其即使外洩亦無法為他人辨識,另一則是該外洩資訊之儲存媒介(書面或電子形式)已被收回銷毀,故他人無法再辨識內容。

 

  值得注意的是,有異於美國各州法對於加密標準之不明確態度,本綱領已指明特定之技術標準,方為其認可之「經適當加密」,其認可清單包含國家標準與技術研究院(National Institute of Standards and Technology)公布之Special Publication 800-111,與聯邦資訊處理標準140-2。換言之,此次加密標準之公布,已為相關業者提供一可能之「安全港」保護,使業者倘不幸遭遇資料外洩事件,得主張資料已施行適當之加密保護,即無需承擔龐大外洩通知成本之衡平規定。

本文為「經濟部產業技術司科技專案成果」

相關附件
※ 美國衛生部門公布個人健康資訊外洩責任實施綱領, 資訊工業策進會科技法律研究所, https://stli.iii.org.tw/article-detail.aspx?d=3072&no=67&tp=1 (最後瀏覽日:2026/10/09)
引註此篇文章
你可能還會想看
美國新一代公共安全無線寬頻的應用

  公共安全和國土安全局(PSHSB)局長傑米.巴尼特(Jamie Barnett)於2011年3月16日與美國聯邦通訊傳播委員會(Federal Communication Commission)分別先後宣示將更近一步加強國家寬頻計畫(The National Broadband Plan)中寬頻通訊科技在公共安全層面的應用。其具體落實在成立國家級的緊急反應互動中心(The Emergency Response Interoperability Center, ERIC)。該中心利用700 MHz頻段成立全國性的公眾安全無線網絡。   促進公共安全無線寬頻通訊的使用,是公共安全和國土安全局最主要的任務。透過建立互動式公共安全寬頻無線技術的操作框架,使警察、消防及緊急醫療人員可使用到最先進的數位式寬頻通訊技術。配備可在任何時間、地點即時傳輸資訊的薄型智慧電話,替代傳統上所使用的對講機。   其次為發展下一代的911通報網絡。目前大約70%的911通話來自手機,可是大多數的911電話通報中心,並沒有配備可接收目前主流行動通訊使用者所傳送的簡訊、電子郵件、視訊或照片的設備。新一代的查詢通知系統(Notice of Inquiry,NOI)可取代傳統的電話,使公眾透過先進的通訊科技獲得緊急救助。雖然精確定位裝置並不在整個系統之中,但通過行動通訊業者所提供的數據,仍可定位需救助者的方位。   美國將寬頻通訊科技落實在公共安全層面的應用,將有助於其提升整體緊急救護的效率。

美國國會提出「不被追蹤網路資訊保護法案」

  「不被追蹤網路資訊保護法」(Do Not Track Me Online Act of 2011)的內容為法律規定企業必須提供選項給消費者選擇退出不被網路追蹤的機制,例如廣告商為了廣告的行銷,以網路技術追蹤消費者軌跡,廣告商必須提供消費者退出被追蹤的選項,給消費者作選擇,主要的目的在保護消費者資訊不被網路技術追蹤而洩漏隱私,若是此法案通過後,可以藉此保護消費者的網路隱私權。   在2010年12月由美國聯邦交易委員會(U.S Federal Trade Commission, FTC)的網路隱私報告中初步提出Do Not Track Me Online Act,美國國會議員在2011年提出此法案進行討論,若是通過後,將會有效限制線上廣告及社群媒體追蹤消費者使用網路的行為,並且防免其將個人資料分享予其他企業,及有效限制線上廣告及社群媒體追蹤消費者使用網路。對於行政機關來說,能夠藉此協助美國聯邦交易委員會建構整體的不被追蹤網路法案標準。若業者未遵守此法案提供退出機制,美國聯邦交易委員會將可能提起不公正及詐欺訴訟,而發動此一訴訟的人員為各州檢察總長。   為了保護隱私,不被追蹤網路資訊法案的提出十分需要,對於企業是否能追蹤消費者的網路活動,消費者因此擁有選擇權。在美國聯邦交易委員會去年12月初步提出此法案後,許多網路瀏覽器例如Mozilla及Explorer紛紛改進技術,以提早因應不被追蹤法案的實施,而廣大消費者團體的也紛紛支持此法案,認為可以因此保護消費者的網路隱私權。

美國聯邦最高法院於Michigan v. EPA案中認定減碳措施需先考量成本效益

微軟將SkyDrive改名為OneDrive:侵犯他人商標

  英國法庭於去年(2013)6月裁判美國微軟公司(以下簡稱微軟)的「SkyDrive」商標侵犯了英國新聞集團(News Corporation)旗下英國付費電視供應商BSkyB(英國天空廣播公司)的「SkyDrive」商標權。據悉,新聞集團早在2011年就對微軟發起過訴訟,並稱旗下BSkyB早已在Sky品牌下提供著移動應用和線上流媒體服務。儘管微軟認為SkyDrive雲存儲服務並不是那麼容易會和Sky串流媒體視頻服務相混淆,但英國法庭並不這樣認為,因此裁定微軟侵犯BSkyB之商標權。   判決出來後,微軟原本揚言要上訴,但兩家公司卻於2013年7月31號達成和解,微軟還是同意將其雲儲存服務改名。BSkyB稱,微軟不會再對法庭裁定結果上訴,同時,他們還將允許微軟繼續使用SkyDrive商標一段時間,“以保證微軟有個合理的過渡期讓新品牌名與舊品牌名進行交替。”   微軟發言人也向媒體確認了這一消息:“我們很高興已經解決了這次商標糾紛,我們將繼續為我們的億萬使用者竭誠服務,提供最好的雲端檔案管理服務。”除此之外,兩家公司都沒有對協議中有關財務面的和解條件(financial terms)以及其他細節進行任何透露。   在兩個公司達成和解後,過渡期間內微軟開始進行了更名的計畫,微軟並於美國時間2014年1月27日,透過網誌宣布易名的決定。微軟表示,現有的SkyDrive及SkyDrive Pro服務會一直繼續運作;當OneDrive及OneDrive for Business推出後,用戶的所有資料將會全部自動同步更新。

TOP