美國衛生及公共服務部提出雲端服務適用健康保險可攜與責任法之相關指引
美國醫療產業使用境內或境外雲端服務（Cloud Services）急速成長，導致「健康保險可攜與責任法」（Health Insurance Portability and Accountability Act，以下簡稱HIPAA）規範下之「適用機構」（Covered Entities）與其「商業夥伴」（Business Associate），對於雲端服務業者如何適用HIPAA感到疑惑。因此，衛生及公共服務部民權辦公室（Department of Health and Human Services, Office for Civil Rights）於10月7日公布相關業者如何適用HIPAA之指引，以釐清爭議。
於該指引中，該部指出，雲端服務業者若替適用機構或是商業夥伴創造、接收、維護、傳送被HIPAA所保護之「資療資訊」（Protected Health Information），則該雲端業者就被視為HIPAA下規範之商業夥伴，原因在於該服務具有儲存與維護醫療資訊功能，非屬該法排除適用之「網路服務業者」（Internet Service Providers）資料傳輸服務類型。
該指引有幾大重點：首先，雲端服務業者如將該醫療資訊提供加密儲存服務，仍應盡到HIPAA中規範商業夥伴之責任。原因在於加密資料不足以保護HIPAA有關資訊安全章節所要求醫療資訊之「機密性、完整性和可用性」之相關規範。再者，雲端業者皆須與委託方簽署商業夥伴協議（Business Associate Agreements）。此外，使用雲端服務儲存資療資訊時，委託方皆能使用行動設備進入雲端儲存之醫療資料，但應建立合乎HIPPA所要求相關之安全措施。最後，HIPAA並未禁止將醫療資訊儲存至伺服器為於美國境外之雲端業者，但使用前應自行評估該資訊遭駭客攻擊之可能性。
- Dena Feldman, Department of Health and Human Services Issues Guidance on HIPAA and Cloud Providers, The National Law Review, Oct. 21, 2016,
- Gretchen A. Ramos, Health and Human Services Issues Guidance on HIPAA and Cloud Computing, The National Law Review, Nov. 3, 2016,
- Guidance on HIPAA & Cloud Computing, U.S. Department of Health & Human Services,
- 零售業個資安全宣導暨安全維護計畫規劃說明會
- 數位經濟時代的隱私保護與商機－CBPR跨境隱私規則體系解析
- 零售業個資安全宣導暨安全維護計畫說明會（高雄場）
- 零售業個資安全宣導暨安全維護計畫說明會（台中場）
- 【台北場1】通訊傳播事業個資法遵教育訓練
- 【台中場】通訊傳播事業個資法遵教育訓練
- 【新北場】通訊傳播事業個資法遵教育訓練
- 【高雄場】通訊傳播事業個資法遵教育訓練
- 【台北場2】通訊傳播事業個資法遵教育訓練
- 零售業個資法遵實務與資訊安全說明會
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 零售業個資法遵實務與資訊安全說明會（台中場）
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
陳仕偉
法律研究員 編譯整理
Dena Feldman, Department of Health and Human Services Issues Guidance on HIPAA and Cloud Providers, The National Law Review, Oct. 21, 2016, http://www.natlawreview.com/article/department-health-and-human-services-issues-guidance-hipaa-and-cloud-providers (last visited Nov.8, 2016)
Gretchen A. Ramos, Health and Human Services Issues Guidance on HIPAA and Cloud Computing, The National Law Review, Nov. 3, 2016, http://www.natlawreview.com/article/health-and-human-services-issues-guidance-hipaa-and-cloud-computing (last visited Nov.8, 2016)
Guidance on HIPAA & Cloud Computing, U.S. Department of Health & Human Services, http://www.hhs.gov/hipaa/for-professionals/special-topics/cloud-computing/index.html (last visited Nov. 8, 2016)
Generic Drug’s Patent Infringement v. Sham Litigation in Antitrust
美國聯邦第三巡迴上訴法院於2014年時對於Takeda Pharmaceutical Co.(Takeda) v. Zydus Pharmaceuticals (Zydus) 一案判定：學名藥廠Zydus並無構成專利侵權，且原廠Takeda於本案的系爭專利並無失效[1]。惟本案的學名藥廠Zydus隨後向Takeda提起另一訴訟：Zydus聲稱該案的專利侵權訴訟是假訴訟(sham litigation)[2]，亦即，Takeda 提起專利侵權訴訟之本意在於阻卻Zydus的學名藥參與市場競爭，而非旨在確認侵權事實或請求賠償。Takeda隨後提起反訴，主張美國The 1984 Hatch-Waxman Act[3]已明確賦予專利權人提起專利權侵權訴訟之權利，既有訴訟權，便無假訴訟之虞。 美國聯邦貿易委員會(Federal Trade Commission, FTC)對於上述兩藥廠間的假訴訟爭議，在2018年6月時發布法庭之友意見書(amicus brief [4])，以5-0決議呼籲本案法院應對於假訴訟爭議進行審查。本意見書指出，The 1984 Hatch-Waxman Act、競爭法、專利法或其他醫藥法規，無任何關於藥品侵權訴訟得以免除假訴訟審查之規定。再者，FTC實有權限依據豁免原則（Noerr-Pennington Doctrine）及相關判例，就主觀與客觀要件，審查相關爭訟是否為假訴訟：(1)該爭訟程序客觀上是否無理由，提出爭訟者現實上是否不期待勝訴；(2)該爭訟程序當事人主觀上是否有意利用程序，直接地干擾競爭對手的商業關係。本意見書並進一步說明，原廠Takeda所提專利權侵權訴訟，即使學名藥廠Zydus之專利侵權事實為真，惟只要Takeda行為符合假訴訟主、客觀要件，仍有可能構成假訴訟；亦即，「是否侵權」與「是否該當假訴訟」兩者之判斷是分開的。 [1] 原廠藥之英文為branded drug，指一個藥廠自研發、生產、上市，而握有專利權之藥品，通常具有強大品牌名聲、價格通常也高；學名藥廠則是待原廠藥專利權屆滿後、或以侵權之方式，而製造與原廠藥相同或相似之藥物，學名藥價格相對較低，但在安全與效用上時常有疑慮。 [2] 美國競爭法豁免原則(Noerr Pennington Doctrine)下，私人爭訟方或單位，運用爭訟或政府程序等以促進法案的通過、增進法律執行等，免除競爭法之相關責任。但該責任免除之原則下，當事人若僅是利用政府或爭訟程序作為有害市場競爭的工具，並無合法地尋求正面結果; 或該爭訟僅是純粹的假訴訟，以干擾正當商業關係或市場競爭時，無該原則免除競爭法相關責任的適用，亦即，仍須受到競爭法的檢視與求責可能。 [3] The 1984 Hatch-Waxman Act 旨在促進學名藥參進市場競爭、兼顧學名藥與原廠藥間的利益保護，並明定原廠藥與學名藥廠均有權利提起專利權合法爭訟(validity)，以避免學名藥進入市場的受阻、也欲杜絕學名藥廠進行藥品侵權行為。 [4] 此指法庭意見書，乃為了釐清法律爭議或協助解釋法律等所提之文書，供參考用、不具強制法律效力，我國翻譯則稱法庭之友。
美國眾議院通過網路保護法美國眾議院於2015年4月22日以307票同意，116票反對，通過網路保護法（The Protecting Cyber Networks Act）。本法之立法目的在於移除法規障礙，美國公司藉此將得以與其他公機關或私人分享資安威脅的相關資訊，以防範駭客攻擊。 本法之重點內容主要係為對於網路威脅指標與防禦辦法之分享。依網路保護法第102條與第104條之規定，分享的客體包括「網路威脅指標」（cyber threat indicator）與「防禦辦法」（defensive measures），分享之對象則分為非聯邦機構（non-Federal entities）以及（國防部或國安局之外的）適當之聯邦機構（appropriate Federal entities）。本法第102條規定，在符合機密資訊、情報來源與方法、以及隱私及公民自由之保護下，國家情報總監（the Director of National Intelligence, DNI）經與其他適當聯邦機構諮商後，應展開並頒布相關程序，以促進下列事項之進行：「（一）與相關非聯邦機構中具有適當安全權限之代表，及時分享（timely sharing）聯邦政府所有之機密網路威脅指標；（二）與相關非聯邦機構及時分享聯邦政府所有，且可能被解密並以非機密等級分享之網路威脅指標；（三）於適當情況下與非聯邦機構分享聯邦政府所有，且與該些機構即將或正在發生之網路安全威脅（cybersecurity threat）有關之資訊，以防止或降低該網路安全威脅所造成之負面影響。」 以及，對於隱私權與公民自由之保障亦非常重要，就隱私權與公民自由之保障，網路保護法主要在第103條第4項設有相關規定。對於資訊安全，該項第1款規定，依本法第103條之規定進行資訊系統之監控、執行防禦辦法、或提供或取得網路威脅指標或防禦辦法之非聯邦機構，應實施適當之安全管控，以保護該些網路威脅指標或防禦辦法免遭未經授權之近用或取得。同項第2款則更進一步規定了特定個人資料在一定條件下應被移除。該款規定，依本法進行網路威脅指標分享的非聯邦機構，於分享前應合理地對該網路威脅指標進行復核，以評估該指標是否含有任何令該機構合理相信（reasonably believes）與網路安全威脅非直接相關，且於分享時（at the time of sharing）屬於特定個人之個人資訊或指向特定個人之資訊，並移除該等資訊。