美國衛生部門公布個人健康資訊外洩責任實施綱領

  美國健康與人類服務部(Secretary of Health and Human Services;以下簡稱HHS),於2009年4月17日公布「個人健康資訊外洩通知責任實施綱領」(Guidance Specifying the Technologies and Methodologies That Render Protected Health Information Unusable, Unreadable, or Indecipherable to Unauthorized Individuals for Purposes of the Breach Notification Requirements under Section 13402 of Title XIII (Health Information Technology for Economic and Clinical Health Act) of the American Recovery and Reinvestment Act of 2009; Request for Information;以下簡稱本綱領)。本綱領為美國迄今唯一聯盟層級之資料外洩通知責任實施細則,並可望對美國迄今四十餘州之個資外洩通知責任法制,產生重大影響。

 

  本綱領之訂定法源,係依據美國國會於2009年2月17日通過之經濟與臨床健康資訊科技法(Health Information Technology for Economic and Clinical Health Act;以下簡稱HITECH),HITECH並屬於2009年「美國經濟復甦暨再投資法」(America Recovery and Reinvestment Act;簡稱ARRA)之部分內容。

 

  HITECH將個人健康資訊外洩通知責任的適用主體,從「擁有」健康資訊之機構或組織,進一步擴大至任何「接觸、維護、保留、修改、紀錄、儲存、消除,或以其他任何形式持有、使用或揭露安全性不足之健康資訊」的機構或組織。此外,HITECH並規定具體之資料外洩通知方法,即必需向當事人(資訊主體)以「即時」(獲知外洩事件後60天內)、「適當」(書面、或輔以電話、網站公告形式)之方式通知。不過,由於通知之範圍僅限於發生「安全性不足之健康資訊」外洩,故對於「安全性不足」之定義,HITECH即交由HHS制定相關施行細則規範。

 

  HHS本次通過之實施辦法,將「安全」之資料定義「無法為第三人使用或辨識」,至於何謂無法使用或辨識,本綱領明定有兩種情形,一是資料透過適當之加密,使其即使外洩亦無法為他人辨識,另一則是該外洩資訊之儲存媒介(書面或電子形式)已被收回銷毀,故他人無法再辨識內容。

 

  值得注意的是,有異於美國各州法對於加密標準之不明確態度,本綱領已指明特定之技術標準,方為其認可之「經適當加密」,其認可清單包含國家標準與技術研究院(National Institute of Standards and Technology)公布之Special Publication 800-111,與聯邦資訊處理標準140-2。換言之,此次加密標準之公布,已為相關業者提供一可能之「安全港」保護,使業者倘不幸遭遇資料外洩事件,得主張資料已施行適當之加密保護,即無需承擔龐大外洩通知成本之衡平規定。

本文為「經濟部產業技術司科技專案成果」

相關附件
※ 美國衛生部門公布個人健康資訊外洩責任實施綱領, 資訊工業策進會科技法律研究所, https://stli.iii.org.tw/article-detail.aspx?d=3072&no=67&tp=1 (最後瀏覽日:2026/07/21)
引註此篇文章
你可能還會想看
加州通過氣候變遷計畫

  加州環保署下的加州空氣資源委員會(California Air Resource Board),在2008年12月通過了加州氣候變遷計畫(Climate Change Scoping Plan),目標是在2020年將州內的溫室氣體減量至1990年的水準,本計畫是依加州州長Schwarzenegger在2006年9月,所簽署的2006全球暖化解決法(the Global Warming Solutions Act of 2006)之要求而提出。加州是美國第一個如此正式訂立一個全面性的、法定的、且包含了每一個經濟層面的關於溫室氣體減量計畫的州。   氣候變遷計畫的原則是,找出最佳策略去減少約百分之三十的溫室氣體排放,同時在乾淨和永續的原則下發展加州經濟。計畫中的一個重點方案是碳總量管制與交易(Cap-and Trade),加州將和「西部氣候行動」聯盟(Western Climate Initiative)合作,此組織包括美國七個州及加拿大四個省份,共同承諾去管制它們的碳排放,並建立一個地方性碳交易市場。計畫中其它重要的方案還包括了,執行加州清淨汽車標準、增加州內乾淨和永續能源的使用、執行低碳燃油標準等。   加州空氣資源委員會主席Mary Nichols指出,本計畫是加州達成更安全與永續經濟的指南,它將會引導資本投資在增加能源效率和發展再生能源,使加州對石油的依賴降低,並給予加州居民數以千萬的工作機會。且身為第一個採取如此綠色行動的州,加州在吸引全球相關投資及發展綠色科技上將維持自己立於一個領導地位,取得並擴大全球綠色市場的需求。加州空氣資源委員會將開始擬定執行所有方案的細節,依法所有的方案必須於2012年前全部生效執行。

生物遺傳資源歸屬之國際規範分析

歐盟執委會提出《淨零產業法》草案,促進歐盟淨零技術的發展

歐盟執委會(European Commission)於2023年3月16日提出《淨零產業法(Net-Zero Industry Act)》草案,以擴大歐盟潔淨技術的製造,並為歐盟的潔淨能源轉型作好準備,同時亦為綠色政綱產業計畫的一部分。其中適用之淨零技術則包含太陽光電和太陽熱能、陸域風電和離岸再生能源、電池和儲能設備、熱泵和地熱能、電解槽和燃料電池、沼氣和生質甲烷、碳捕捉利用和封存、電網技術、永續替代燃料、少量核廢的新興核能、小型反應爐,以及相關的先進燃料。而推動措施之重點如下: (1)建立有利發展的環境 將加強資訊的流通、減少成立專案的行政成本、簡化核准許可程序,以及設立單一聯繫窗口(One Stop Shop),以發展利於投資淨零技術的環境。另外,也將優先考慮能加強歐盟工業韌性和競爭性的淨零排放策略計畫,例如能安全儲存被捕捉之二氧化碳的場址規劃和建置。 (2)加速二氧化碳的捕捉 設定歐盟2030年的目標-二氧化碳儲存場址每年的注入容量應達到50百萬公噸(Mt),並要求歐盟石油和天然氣的生產業者需按其產量之比例做出貢獻,以促進二氧化碳捕捉和封存的發展,作為經濟上可行的氣候解決方案,特別是對於難以減少排放的能源密集產業。 (3)促進業者進入淨零市場 應在公共的採購和拍賣中,要求政府需考量產品的永續性和韌性並建立標準,促進公私部門對於淨零技術的需求,鼓勵業者們發展淨零技術,以提升該技術的供應多樣性。 (4)提升技能 設立專門的歐盟淨零學院,為潔淨能源轉型提供成熟的勞動力;並將與成員國、產業和其他利害關係人合作,設計培訓課程,重新訓練以及提升相關人才的技術能力。 (5)推動創新 支持成員國設立監理沙盒,在靈活的監管條件下對於新興的淨零排放技術進行測試以促進創新。 (6)設置淨零歐洲平台 建立淨零歐洲平台(Net-Zero Europe Platform)協助歐盟執委會和成員國進行合作和交換資訊。並且,透過該平台確認計畫之財務需求、瓶頸和最佳方案,以促進淨零相關產業的投資。

受傷的機車騎士就機器自動駕駛的車輛控訴過失駕駛

  美國通用汽車公司(General Motors,下稱通用汽車)於2018年01月間向美國運輸部(United States Department of Transportation)遞出請求展示雪弗蘭(Chevrolet)第4代自動駕駛車(此款車種無裝備方向盤與踏板,號稱世界上第一輛可以自我安全駕駛,且無需人類介入駕駛的車輛)的申請,不久後關於以下車禍事件的訴訟即遭提起。   根據Oscar Willhelm Nilsson(即原告,下稱Nilsson)於2018年01月22日向美國舊金山區地方法院針對前開車禍事件提起訴訟的主張,於2017年12月07日早上,其在加州舊金山Oak Street的中央車道上騎乘機車往東行駛,Manuel DeJesus Salazar(即被告,下稱Salazar)於同時地駕駛由通用汽車製造之Chevrolet Bolt vehicle(下稱自駕車),並開啟自動駕駛模式且雙手放開方向盤。Nilsson原騎乘於自駕車後方,不久,自駕車自Nilsson正前方變換車道至左側,Nilsson則繼續筆直前行,但自駕車又隨即往回駛入Nilsson直行騎乘的車道,因此撞擊Nilsson摔倒在地。據此,Nilsson主張通用汽車公司欠缺對於自駕車的自我操作應符合交通法規及規定所賦之注意義務,換言之,自駕車前揭操作車輛駕駛的行為(未注意其他正在行駛的駕駛人而轉換至比鄰車道)具有過失,造成Nilsson受到嚴重的生理及心理損害,且無法工作,產生高額的醫療、護理費用,故請求法院判決原告即Nilsson之主張不少於7萬5千美元之損害賠償、懲罰性損害賠償、律師委任費用以及其他適當且公正之侵權損害賠償等有理由。   然而,根據先前加州車輛管理局所提之文件,通用汽車對Nilsson所描述之車禍經過提出了以下爭執,通用汽車表示自駕車側面有一條長磨損痕跡,應是當時右邊的車道正要匯入中央車道,而自駕車正在自我校正回車道中央,Nilsson卻騎乘機車從兩個車道中間切出來,導致與自駕車發生擦撞。此外,案發當時自駕車的時速為了順應車流而保持在每小時12英里(每小時19公里)行進,而摩托車卻是以大概每小時17英里(每小時27公里)行進,故自駕車應無不當駕駛之情形,反應由機車騎士Nilsson負擔肇事責任,因其未在確認安全之情況下,即從自駕車右側超車,以上通用汽車反駁Nilsson主張的結論,更與舊金山警察局的報告結果不謀而合,即舊金山警察局認為Nilsson在確定安全以前,就嘗試要超越自駕車。   此外,在前開訴訟提起前的2018年01月14日至01月20日的當週,加州車輛管理局表列出自2014年至2018年間的54起自動駕駛車意外報告,大部分的狀況係由駕駛人(而非自動駕駛車本身)對事故負責(雖開啟自動駕駛模式,但駕駛人仍在特定條件下需要自行駕駛)。   即便前開各個報告看似不利Nilsson,但Nilsson的律師Sergei Lemberg卻表示警方的報告應是有利Nilsson,因自駕車早在車禍發生前就已經發覺Nilsson,但卻沒有預留足夠的時間剎車與閃避,因此通用汽車公司所稱之主張並不足採信,更可見自駕車的行為是危險且難以被預測的。   就此,一位南加大研究自駕車法律問題的法律系教授Bryant Walker Smith表示,未來發生事故的時候,駕駛人在大多數的狀況下比較不會被苛責,但自動駕駛系統會被檢討應該可以做得更完善。 (註:本件訴訟仍在繫屬中,尚未判決。)

TOP