美國國家標準暨技術研究院(National Institute of Standards and Technology, NIST)於2022年7月21日發布更新《網路安全資源指南》(A Cybersecurity Resource Guide, NIST SP 800-66r2 ipd)。本指南源自於1996年美國《健康保險流通與責任法》(Health Insurance Portability and Accountability Act, HIPAA)旨在避免未經患者同意或不知情下揭露患者之敏感健康資料,並側重於保護由健康照護組織所建立、接收、維護或傳輸之受保護電子健康資訊(electronic protected health information, ePHI),包括就診紀錄、疫苗接種紀錄、處方箋、實驗室結果等患者資料之機密性、完整性及可用性。其適用對象包含健康照護提供者(Covered Healthcare Providers)、使用電子方式傳送任何健康資料的醫療計畫(Health Plans)、健康照護資料交換機構(Healthcare Clearinghouses)及為協助上述對象提供健康照護服務之業務夥伴(Business Associate)均應遵守。 本指南最初於2005年發布並經2008年修訂(NIST SP 800-66r1 ipd),而本次更新主要為整合其他網路安全相關指南,使本指南與《網路安全框架》(Cybersecurity Framework, NIST SP 800-53)之控制措施等規範保持一致性。具體更新重點包括:(1)簡要概述HIPAA安全規則;(2)為受監管實體在ePHI風險評估與管理上提供指導;(3)確定受監管實體可能考慮作為資訊安全計畫的一部分所實施的典型活動;(4)列出受監管實體在實施HIPAA安全規則之注意事項及其他可用資源,如操作模板、工具等。特別在本指南第三章風險評估與第四章風險管理提供組織處理之流程及控制措施,包括安全管理流程、指定安全責任、員工安全、資訊近用管理、安全意識與培訓、應變計畫、評估及業務夥伴契約等。而在管理方面包括設施權限控管、工作站使用及安全、設備媒體控制;技術方面則包含近用與審計控管、完整性、個人或實體身分驗證及傳輸安全。上述組織要求得由政策、程序規範、業務夥伴契約、團體健康計畫所組成,以助於改善醫療領域的網路安全及隱私保護風險管理。預計本指南更新將徵求公眾意見至2022年9月21日止。
何謂「IoT推進聯盟( IoT推進コンソーシアム)」?日本政府為了對應智慧聯網(Internet of Things, IoT)、巨量資料(Big Data)以及人工智慧(AI)時代之到來,經濟產業省及總務省於2015年10月23日正式成立了產官學研聯合之「IoT推進聯盟( IoT推進コンソーシアム)」。該聯盟旨在超越企業及其產業類別的既有框架,以民間作為主導,目的為推動IoT之相關技術研發,以及促進新創事業成立之推進組織,未來並將針對IoT相關政策以對政府提出建言。在該聯盟下有三個工作小組,包括技術開發、實證、標準化的「智慧IoT推進論壇(スマートIoT推進フォーラム)」;推動先進實證事業,規制改革之「IoT推進實驗室(IoT推進ラボ)」,以及針對資訊安全、隱私保護的專門工作小組。 我國自2011年行政院首度召開「智慧聯網產業推動策略會議」以來,積極推動發展台灣成為全球智慧聯網創新中心,以及成為亞洲智慧聯網解決方案領先國;而目前我國有「台灣物聯網聯盟(TIOTA)」、「中華物聯網聯盟」等民間推進組織,旨皆為結合產官學研各界資源,促進產業與政府、國際間之合作。
中國大陸強制醫療所草案 規範肇事精神病患中國大陸國務院法制辦公室於105年6月擬訂強制醫療所條例草案《送審稿》(下稱本草案),規範對肇事精神病患的管制制度,並將本草案全文公布,徵求各界意見,本草案通過後將以行政法規形式公布。 依據中國大陸政府於105年6月12日官方網站聲明,中國大陸刑法規定肇事精神病患在不能辨認或者不能控制自己行為時造成危害結果,經法定程序鑑定確認者,不負刑事責任,但應當責令其家屬或者監護人嚴加看管和施予醫療;在必要的時候,由政府強制醫療。但修訂後的中國大陸刑事訴訟法實施以來,各地區適用強制醫療措施標準不一,導致由該制度所生之社會效果與法律效果並不明顯。因此本草案強調強制醫療所的性質是執法機關,不是單純的醫療機構,但醫療是實現強制措施的必要手段,也是強制醫療所的重點工作。 謹就本草案制定重點整理如下: 一、強制醫療所的設置 第七條第一款規定,強制醫療所的設置原則,由省、自治區、直轄市政府根據實際需要規劃設置。第二款規定市、州、盟如需設置強制醫療所,應提報所屬省、自治區政府批准。 二、醫療工作模式 第十條規定,強制醫療所應當設有相應的醫療機構,並依照醫療機構管理條例及國家相關規定開展診療活動。 三、強制醫療的解除 第三十七條規定,經診斷評估,被強制醫療人員病情穩定,已不具有人身危險性,不需繼續強制醫療者;或被強制醫療人員因嚴重身體疾病、傷殘或年老體弱致使日常生活不能自理,而不具有人身危險性,不需繼續強制醫療者,醫療院所應當提出解除強制醫療的意見,呈報做出強制醫療決定的法院批准,同時抄送同級檢察院。 四、臨時請假回家制度 第二十五條規定臨時請假回家之要件。被強制醫療人員須同時具備被強制醫療達半年以上、經診斷病情明顯緩解、其監護人或近親屬書面擔保履行看護、治療、安全及按期送回強制醫療所之責任、經強制醫療所出具准假證明,同時強制醫療所應向做出強制醫療決定之法院報備等要件。 五、患傳染病、嚴重身體疾病被強制醫療人員所外就醫 第三十三條規定,被強制醫療人員因罹患傳染病或嚴重身體疾病,而強制醫療所不具備治療條件,須轉送其他醫療機構治療者,強制醫療所應於發現後立即提出所外就醫意見,並報公安機關審批。經核准移送其他醫療院所,強制醫療所應即通知監護人、近親屬,並通知做出強制醫療決定之法院及同級檢察院。 六、收治被採取臨時保謢性拘束措施的精神病人 第四十五條規定,被公安機關依法採取臨時保謢性拘束措施的精神病人,可以在強制醫療所執行醫療行為。
歐盟與美國宣布就新的跨大西洋資料傳輸框架達成原則性協議歐盟委員會與美國白宮於2022年3月25日發布聯合聲明,宣布雙方已就新的跨大西洋資料傳輸框架達成原則性協議。此舉旨在因應2020年7月歐盟法院(Court of Justice of the European Union)於Schrems II案的判決中宣告「歐盟—美國隱私盾協定」(EU-US Privacy Shield Framework)不符合歐盟一般資料保護規則(General Data Protection Regulation, GDPR)而無效。依照該聯合聲明,新的框架將在雙方間資料流動的可預測性、可監督性、可信賴性以及可救濟性等方面進行補強,以充分維護公民的隱私與自由權利。 目前,該框架仍處於原則性協議的階段,具體細節仍有待後續談判。聯合聲明指出,美國在下列三個方面做出了「重大承諾」: 加強控管美國的情報活動,以確保所追求國家安全目的適法,且所採取的手段係在必要範圍內,而未過度侵犯公民的隱私與自由。 建立具有約束力且獨立的多層次救濟機制,其中包含一個由非政府人員所組成的「個人資料保護審查法院」,並賦予該組織完全的審判權。 針對情報活動強化分層且嚴格的行政監督機制,以確保其合乎隱私與自由的新標準。 上述原則性協議的達成,表面上無疑是一項好消息,將有助於解決雙方跨境資料傳輸的法源爭議,並避免持續演變成嚴重的歐美貿易爭端。然而,美國政府能否順利將新框架轉化為具有約束力的國內行政命令,仍存在相當多的不確定因素。若結果為否,則最終亦難以達成取得歐盟根據GDPR所為「適足性認定」(adequacy decision)的政策目標。