美國通過最新的電子醫療紀錄之隱私與安全標準
美國衛生部隸屬之醫療資訊科技標準委員會（Health IT Standards Committee）為了因應「2009年經濟復甦暨再投資法」（America Recovery and Reinvestment Act, “ARRA”）的通過，制定了新的電子醫療紀錄的隱私、安全標準，以擴大保護電子醫療紀錄的使用安全。
這次制定的電子醫療紀錄的隱私、安全標準，將透過具有足夠防護能力的醫療資訊科技系統標準，來保護電子醫療紀錄的交換，並且擴大適用範圍到醫療照護廠商與提供者，要求其必須在2011年前達到幾項資訊的使用控制標準，包括「醫療保險可攜與責任法」（Health Insurance Portability and Accountability Act, “HIPAA”）與「加密促進標準」（Advanced Encryption Standard）之相關規定，以完備個人電子醫療資訊的保護網。
在此次訂立的標準之下，任何人員或是應用程式欲使用與接近電子醫療紀錄，應符合法律所授予的接近與使用之要件。同時，處理個人醫療資訊的系統，也必須具備對個人醫療資訊加密與解密的能力，以保障個人醫療資訊的安全與完整。除了以上的要求，這些標準也要求相關的適用機構，必須在2013年以前完成符合病歷交換格式（HL7）的使用接近控制、安全宣示標記語言（Security Assertion Mark-up Language, “SAML”）、網路服務認證（Web Service Trust, “WS-Trust”）以及促進資訊標準建置組織（Organization for the Advancement of Structured Information Standards, “OASIS”）的機制，以保障醫療資訊的安全。
本文為「經濟部產業技術司科技專案成果」
宋佩珊
資深管理師 編譯整理
Healthcare IT News，2009年09月16日，http://www.healthcareitnews.com/news/federal-panel-approves-ehr-security-privacy-standards，最後瀏覽日：2009年09月28日
繼eBay 於 今年6月4日因未制止網拍業者於eBay 網站上拍賣仿冒品被法國法院( The Tribunal de Grande Instance in Troyes)判決敗訴 、 須與網拍業者共同賠償精品業者愛瑪士 (Hermes)2萬歐元後，不到一個月的時間，另一法國法院( The Tribunal de Commerce in Paris) 於6月30日再度判定eBay因任由網拍業者拍賣仿冒物品而需賠償LVMH集團共3860萬歐元並禁止eBay在其網站上販賣LVMH集團旗下包括迪奧(Dior)、嬌蘭(Guerlain)、紀梵希(Givenchy)及Kenzo 4個品牌之香水。 eBay 表示為了保護品牌業者的智慧財產權，其已投資了超過2000萬美元建置相關機制(The Verified Rights Owner) 讓品牌業者可以容易的發現仿冒的網拍品並通知eBay 將該物品下架。但愛瑪士及LVMH集團皆認為該機制尚不足以杜絕仿冒品的銷售。 針對LVMH之判決，Vanessa Canzini, eBay 的發言人表示 “如果有仿冒品出現在eBay 的網站上， eBay會迅速地將該物品下架，但此次的判決非關仿冒品”。 Sravanthi Agrawal, eBay 的另一發言人表示 “此次判決的重點在銷售管制 (指LVMH集團企圖壟斷其銷售管道)，因eBay 並非LVMH集團所授權的銷售管道之一”。 eBay 表示LVMH集團的壟斷行為將對消費者造成傷害，將代表消費者提起上訴。 以上兩案經由法國法院針對拍賣網站提供平台販售仿冒品之判決結果預計將於國際間引發連鎖效應。一位美國智財律師表示美國法院目前認為在美國商標法下，eBay 有義務將仿冒品從其網站上移除。而法國法院的判決則更進一步要求拍賣網站在仿冒品被放上網站拍賣前就有義務制止其被拿出來販售。法國法院的見解如未被推翻將可能鼓勵其它國法院針對類似案件做出相同的判決結果。
美國商務部產業安全局公布「確保聯網車輛資通訊技術及服務供應鏈安全」法規預告美國商務部產業安全局（Bureau of Industry and Security, BIS）於2024年9月23日公布「確保聯網車輛資通訊技術及服務供應鏈安全」（Securing the Information and Communications Technology and Services Supply Chain: Connected Vehicles）法規預告（Notice of Proposed Rulemaking, NPRM），旨在透過進口管制措施，保護美國聯網車供應鏈及使用安全，避免國家受到境外敵對勢力的威脅。 相較於BIS於2024年3月1日公告之法規制定預告（Advanced Notice of Proposed Rulemaking, ANPRM）意見徵詢中的討論，本次法規預告明確指出受進口管制的國家為中國及俄國，並將聯網車輛資通訊技術及服務之定義，限縮於車載資通訊系統、自動駕駛系統及衛星或蜂巢式通訊系統，排除資訊洩漏風險較小的車載操作系統、駕駛輔助系統及電池管理系統。法規預告中定義三種禁止交易型態：（1）禁止進口商將任何由中國或俄國擁有、控制或指揮的組織（下稱「中俄組織」）設計、開發、生產或供應（下稱「提供」）的車輛互聯系統（vehicle connectivity system, VCS）硬體進口至美國；（2）禁止聯網車製造商於美國進口或銷售含有中俄組織所提供的軟體之聯網整車；（3）禁止受中俄擁有、控制或指揮的製造商於美國銷售此類整車。 本次法規預告中亦提出兩種例外授權的制度：在特定條件下，例如年產量少於1000輛車、每年行駛公共道路少於30天等，廠商無須事前通知BIS，即可進行交易，然而須保存相關合規證明文件；不符前述一般授權資格者，可申請特殊授權，根據國安風險進行個案審查。其審查重點包含外國干預、資料洩漏、遠端控制潛力等風險。此外，為提升供應鏈透明度並檢查合規性，BIS預計要求VCS硬體進口商及聯網車製造商，每年針對涉及外國利益的交易，提交符合性聲明，並附軟硬體物料清單（Bill of Materials, BOM）證明。BIS針對此規範是否有效且必要進行意見徵詢，值得我國持續關注。
主權專利基金近期發展-由法、韓、日三國說起主權專利基金(Sovereign Patent Fund，以下稱SPF)是一個由國家政府設立的投資型基金(含民間/企業資金投入)，目的在於取得專利資產，進行全球專利布局，以提升國家經濟利益。目前，全球3大具領導地位的SPF實體為:法國France Brevets (以下稱FB)、韓國Intellectual Discovery (以下稱ID)，及日本IP Bridge (以下稱IPB)。 今年5月，加拿大Digital Entrepreneurship & Economic Performance Centre針對FB、ID，及IPB的發展發佈了一份報告，「Mobilizing National Innovation Assets: Understanding the Role of Sovereign Patent Funds」，分析了3家SPF所擁有的專利資產以及專利佈局趨勢，主要有以下重點: 一、 3家SPF之專利資產多為美國專利，分別佔IPB 92%、ID 82%、FB 48%。 二、 FB的專利讓與案件數量最少，顯示法國傾向以授權方式營運。 三、 IPB在專利組合上最大貢獻者為Panasonic及其關係企業，83%專利組合是來自Panasonic；FB最大貢獻者是Nemoptic；ID是Electronics & Telecommunications Research Institute 。 四、 從科技發展的角度觀察，3家SPF的專利布局重心在國際專利分類(Intellectual Patent Classification，IPC)中的電學(electricity)和物理(physics)；FB、IPB著重電器通信技術(electric communication techniques)，ID著重基本電器元件(basic electric elements)。 整體而言，3家SPF從以往專注於取得專利資產、吸引投資，到近期開始利用侵權訴訟與授權獲得經濟回饋，SPF模式已越受全球關注。除了加拿大政府的智庫DEEP建議其政府應設置SPF以拓展智慧財產權政策外，印度也將SPF納為智財政策討論重點，韓國也將再設立一個由國內開發銀行全力資助的SPF。 根據上述SPFs的觀察，對於我國而言，無論是創智智權管理顧問公司，或其他型態之智財投資基金，都必須先選定專利布局的核心對象，才能有效取得、收購國內、外相關專利資產，以全球性的智財戰略帶動國家發展。 本文同步刊登於TIPS網站（https://www.tips.org.tw）
歐盟理事會將嚴格執行資料保護基本權歐洲理事會修訂「保護個人有關個人資料處理及自由流通規則（一般資料保護規則）」（Proposal for a Regulation of the European Parliament and of the Council on the protection of individuals with regard to the processing of personal data and on the free movement of such data (General Data Protection Regulation), GDPR），該草案內容包括行政罰鍰三審制（three-tiered system）。凡故意或過失違反歐洲資料保護基本權之企業，情節重大者，可能招致鉅額行政罰鍰，草案之裁罰性措施將讓從業者更加重視資料保護法益。 是否對違反GDPR之侵權行為裁處罰鍰，會員國政府有裁量權限；已受刑事制裁者，政府亦得免除罰鍰以避免重複處罰。資料保護主管機關（data protection authorities, DPAs）依三審制判斷，確保所裁處罰鍰具有效性、比例性及嚇阻性。三審制包括：第一審，是否對資料當事人之資料要求延遲、變更回應；第二審，是否對資料當事人、DPAs盡資訊透明義務；第三審，各種具體侵權行為，包括對於資料取得缺乏法律依據、未能即時告知資料違反情事，或未採取適當安全防衛措施於歐盟以外區域傳遞資料等。 依草案，DPAs審酌罰鍰額度時，應依下列計算罰鍰： (1) 企業故意或過失未能於一定期間內，回應資料當事人之資料查閱請求者，裁處上一會計年度全球總年營業額0.5%罰鍰。 (2) 企業故意或過失未能提供任何或所有符合資料當事人要求之必要資訊；或未能對消費者充分揭露個人資料蒐集、處理的目的者，裁處上一會計年度全球總年營業額1%罰鍰。 (3) 企業故意或過失未能維護消費者權益，更正或刪除消費者資料，違反GDPR所保障之消費者「被遺忘權」者，裁處上一會計年度全球總年營業額1%罰鍰。 (4) 企業故意或過失處理個人資料，行為不具適法性、違反法規、沒有對當事人通知資料違反或將個人資料傳遞自歐盟以外區域，該區域沒有適當安全資料保護者，就企業上一會計年度全球總年營業額裁處2%罰鍰。 六月中旬，歐盟各部長將就歐洲議會、歐盟理事會的提案，就罰鍰額度進行最後協商，未來將持續關注草案協商後續發展。