日本內閣官房提出法案規範醫療個資去識別化業者，以促進研發利用
日本內閣官房所屬之健康‧醫療戰略室於2017年3月， 向國會提出《有助醫療領域研究開發之匿名加工醫療資訊法律案》(医療分野の研究開発に資するための匿名加工医療資訊に関する法律案)。「健康‧醫療戰略室」係於2013年2月成立，並於同年8月根據《健康‧醫療推進法》設置「健康‧醫療戰略推進本部」。該部於2017年3月10日提出《有助醫療領域研究開發之匿名加工醫療資訊法律案》，針對醫療資訊匿名加工業者進行規制，使他人可安心利用經過去識別化處理之資訊，以便促進健康、醫療方面之研究及產業發展，形成健康長壽社會。上開法案主要可分為兩個部份︰
- 國家責任與義務︰政府應提出必要政策與制定基本方針。
- 匿名加工醫療資訊業者之認定︰該部份又可分為匿名加工醫療資訊業者(以下簡稱業者)之認定與醫療資訊處理。
針對上述第2點之認定，為確保資訊安全，政府應設置認定機構，以便確認業者符合一定基準，並具備足夠之匿名加工技術，可為醫療個資去識別化。此外，在醫療資訊處理方面，該法案則規定醫療機關可在事先告知本人，且本人未拒絕提供時，將醫療資訊提供給業者。
本文為「經濟部產業技術司科技專案成果」
周晨蕙
組長 編譯整理
1. 〈医療分野の研究開発に資するための匿名加工医療情報に関する法律案の概要〉，健康・医療戦略推進本部，http://www.kantei.go.jp/jp/singi/kenkouiryou/jisedai_kiban/pdf/170310_shiryou1.pdf（最後瀏覽日期︰2017/06/13）。
2. 健康・医療戦略推進本部， http://www.kantei.go.jp/jp/singi/kenkouiryou/suisin/kaisai_archive.html（最後瀏覽日期︰2017/06/13）。
專利審理暨訴願委員會（Patent Trial and Appeal Board, PTAB）成立於2012年9月16號。其成立之法源為《美國發明法案》（Leahy-Smith America Invents Act, AIA），承接「專利訴願暨衝突委員會」（Board of Patent Appeals and Interferences, BPAI）事務，成為美國專利商標局（United States Patent and Trademark Office，USPTO）下轄職司專利審理與訴願等相關程序的組織。PTAB主要可以分成「專利審理部門」（Trials）和「專利訴願部門」（Appeals）。 「專利審理部門」處理有爭議的案件，囊括四種處理方式： 專利授予後複審（Post-Grant Review, PGR） 除了專利所有權人的任何人，可以在專利公告或發證後9個月內提出，惟之前不得就專利無效提出訴訟。無效理由只要一項請求不具專利性即可，不需要是實質新問題（Substantial New Questions, SNQ）。但不可匿名，需揭露實質利益關係人。 多方複審程序（Inter Partes Review, IPR） 在發證後9個月後才可提出，且必須是PGR終結後、提出確認之訴（Declaratory Judgment）之前、或被控侵權的1年內提出申請。且僅能以核准專利及公開文獻作為證據。 含商業方法專利的過渡性方案（Transitional Program for Covered Business Method Patents, CBM） 這是對所授予的商業方法專利的過渡型條款，將商業先使用抗辯（Prior Commercial Use Defense）擴大適用到所有專利的商業使用行為，不再侷限在方法專利。IPR、CBM類似於我國的舉發制度，只是 CBM 僅能就商業方法專利提出。 申請人/發明人調查程序（Derivation Proceedings） 以往發明人身分爭議多仍以訴訟解決，原因之一為，過去程序係釐清誰先想到該構想或實踐該構想而非釐清原創者為誰。申請人調查程序將俾利身分的釐清。 「專利訴願部門」則是由超過一百位專利行政法官（Administrative Patent Judges）所組成，處理與被駁回專利申請相關的訴願。按 35 U.S.C. § 141(a)，訴願人可以就PTAB的訴願結果，向美國聯邦上訴法院（United States Court of Appeals for the Federal Circuit, CAFC）提起訴訟；後續，可就聯邦上訴法院之判決，再上訴至最高法院（Supreme Court）。
Ofcom對市內用戶迴路接取批發市場發布管制措施並徵求各界意見固定通信網路（以下稱固網）寬頻、電話服務通常倚賴市內電話交換機（local telephony exchange）與住宅或商辦間的固網連接才得以運作，而在多數區域，這樣的連接服務僅由一或兩個實體網路業者所提供。有鑑於此，英國通訊管理局（The Office of Communications，Ofcom）遂對市內用戶迴路接取批發（wholesale local access, WLA）市場的規範發布三份諮詢文件，其目的除希望能促進光纖網路的投資外，也要保障消費者免於支付高額的使用費。 為了達成這樣的願景，Ofcom要求英國電信（British Telecom, BT）旗下提供WLA服務之子公司Openreach需允許寬頻競爭業者得以使用其網路銷售寬頻服務予人民或企業。Openreach提供數種傳輸速率的服務方案，並依不同方案對服務提供者收取不同的批發價格。根據Ofcom的分析結果，Openreach在高速寬頻服務（superfast broadband service）各項方案中，最具影響力的即為提供下載速率40Mbps/上傳速率10Mbps之服務方案。截至目前為止，受限於人民可選擇較便宜的寬頻服務當作替代方案，故BT對於服務方案價格的調漲有限。然而，這樣的限制隨著人們對網速的需求與連線品質的日益增加而日趨式微，Openreach顯然有足夠的誘因對服務方案的價格進行操作。因此，Ofcom責成Openreach需就其40/10Mbps之服務方案逐年調降向服務提供者收取之費用，由2017年的每年88.80英鎊至2020/21年降為每年52.77英鎊。藉由對服務提供者營運成本的逐年遞減，達到消費者服務使用費也隨之降低的目的；對40/10Mbps方案設下價格上限（price cap）的做法，長遠來看，也提供BT的競爭對手有投資建設其自有超高速網路（ultrafast network）的誘因。 此外，Ofcom對於WLA連線過程中，屬於Openreach維護範圍之故障排除或線路建置時間等服務品質（quality of service）的要求也更趨嚴格，包括： 於收到通知後1至2個工作天內完成93%的報修（現為80%）； 6至7個工作天內完成97%的報修； 於收到新線路建置通知後10個工作天內安排90%的新線路建置預約（現為12個工作天內安排80%的新線路建置預約）； 於Openreach與電信供應商協議之日期前完成95%的連線建置（現為90%）。以上要求皆需於2020/21年完全實現。 Ofcom這些管制措施是WLA market諮詢文件的一部份，確切施行期間為2018年4月至2021年3月，意見諮詢預計於2017年6月9日結束。Ofcom預計於2018年初發表其最終決定，而定調後的規範將於2018年4月生效。
與時俱進的新興科技法制－美國無人飛行器（UAS）管理法制初探與時俱進的新興科技法制－美國無人飛行器（UAS）管理法制初探 科技法律研究所 法律研究員 陳世傑 2015年07月30日 壹、事件摘要 因電子與無線傳輸科技的進步，俗稱Drone的無人飛行器（Unmanned Aerial Vehicles，UAV），自美國亞瑪遜公司（Amazon）擬採為運送網路購物商品的工具後，無人飛行器的運用，已逐步從單純娛樂用途跨向商業用途的應用。無人飛行器的廣泛運用，是否可能影響安全、隱私、甚至政府監視的警察國家爭議，已經引起美國各級政府的重視，也紛紛立法加以因應。聯邦議會與各州議會亟思如何在法規上妥善調適，以因應越來越多商用無人飛行器的用途需求與其他公益保護之考量，例如飛航安全、隱私安全、甚至國土安全等，美國已經採取相關法制規劃，以完善UAV之管理。 貳、重點說明 一、美國聯邦管理法規 無人飛行器在美國由其聯邦航空總署（Federal Aviation Administration，FAA）主管，2012年2月14日生效的FAA現代化及改革法（The FAA Modernization and Reform Act of 2012，FMRA），為美國聯邦法律主要的管理法源。 FMRA對無人飛行器所採正式名稱為無人飛行機（Unmanned Aircraft），依其第331節定義，UAS指，而小型UAS（Small unmanned aircraft）則指55磅以下之UAS。 FAA指出，無人飛行系統（Unmanned Aircraft Systems，UAS）依其用途區分為公務用（Public Operations）、民用（Civil Operations）、娛樂用（Model Aircraft）三種，並有不同的管理規定。 公務用無人飛行器使用管理相關聯邦法律，有49 U.S.C. § 40102(a)(41)及49 U.S. Code § 40125就「公務用飛行器」（Public Aircraft）使用範疇之相關規定。 法律規定之公務用無人飛行器，FAA得發給飛航許可（Certificate of Waiver or Authorization，COA），而在其許可之特定空間範圍、操作方式或使用目的下操作公務用無人飛行器。FAA發給公務用無人飛行器之COA時多會附加公共安全之要求，例如不得於人口密集區域使用、避免影響其他飛行器路權（right-of-way rules）的使用。 民用無人飛行器之使用，可向FAA申請兩種使用許可，一為FMRA第333節之特許（Section 333 Exemption），其次為FAA第8130.34號行政命令特別適航性許可（Special Airworthiness Certificate，SAC）。 FMRA第333節之特許規定要求，美國聯邦運輸部得經申請，在一定體積、重量、飛行速度、安全性等要求下，特許申請人以無人飛行器進行商業使用（Certificate of Waiver or Authorization，COA），文前所述Amazon所遞交之申請即為此種COA。 SAC特別適航性許可則是要求申請人，於檢具所申請之飛行系統之硬體結構與軟體開發、控制與其管理（configuration management）之設計、規劃、製造上具適航性之說明以進行SAC申請。 娛樂用無人飛行器之使用，依照FMRA第336節規定，毋須經主管機關許可，惟仍須符合以下規定，包括飛行高度須低於400呎且維持飛行區域之淨空，且飛行器應隨時處於使用者目視可及之範圍。 二、美國各州管理法規 在聯邦層級法律以外，除華盛頓特區已為無人機禁用區（No Drone Zone）外，美國各州對於無人飛行器之使用，也各自有不同的立法。至2015年6月為止，美國共有25州對無人飛行器之定義、使用、管理等已有相關法律施行。2015年美國已有45州計151個法案與無人飛行器之使用管理進行規定。阿肯色州等15州完成立法，阿拉斯加等4州通過提案交付審查，喬治亞洲決議交由州議會成立特別委員會進行無人飛行器法案研究、新墨西哥州則由州參眾兩院通過備忘錄就無人飛行器的使用對於野生動物保護之影響進行研究。 參、事件評析 美國自聯邦乃至各州法規對於UAS之管理密度與保護面向各有不同，惟就聯邦FAA受理申請之情形，與各州之立法進度，顯見UAS此一新興科技所帶來的法制調適已經如火如荼的展開。UAS的逐漸普及所帶來的法規相應調整或跟進的需求，已促使美國聯邦與州政府的重視。甚至除了使用的管制外，有關UAS的輸出，美國國務院亦於2015年2月發布有關軍事用途UAS的出口管制政策，其中也同時對商用無人機之出口進行一定程度之管理，可見無人機技術的進步，未來將逐步帶動法制面從使用管理、產品管理甚至朝向技術管理發展。
美國各州逐步研議透過立法豁免企業資安事件賠償責任美國各州逐步研議透過立法豁免企業資安事件賠償責任 資訊工業策進會科技法律研究所 2024年06月10日 為鼓勵企業採用資安標準與框架，美國已有幾州開始透過立法限縮企業資安事件賠償責任，企業若能舉證證明已符合法令或遵循業界認可之資安框架和標準，則於資安攻擊事件所致損害賠償訴訟中，將無需承擔賠償責任。 壹、事件摘要 為避免有心人士於未取得經授權下近用網路和敏感資料，企業往往投入大量資源打造資安防護架構，惟在現今網路威脅複雜多變的環境下，仍可能受到惡意資安攻擊，導致資料外洩事件發生，導致企業進一步面臨訴訟求償風險，其中多數指控為未實施適當的資安措施。為此美國佛羅里達州和西維吉尼亞州研議透過立法限縮企業之資安事件賠償責任，以鼓勵企業採用資安標準、框架與資安相關法令。 貳、重點說明 繼美國俄亥俄州[1]、猶他州[2]和康乃狄克州[3]相繼頒布法令，讓已實施適當安全維護措施之企業，豁免資安攻擊所致資料外洩之損害賠償責任，佛羅里達州和西維吉尼亞州近期亦提出相似法案，以下介紹兩州法案之重點： 一、佛羅里達州 美國佛羅里達州於2023年11月公布《資安事件責任法案》 （H.B 473: Cybersecurity Incident Liability）[4]，法案納入「安全港條款」（Safe Harbor），當企業遭受資安攻擊致生個資外洩事件，如可證明已遵循產業認可的資安標準或框架，實施適當的資安措施與風險控管機制，則可免於賠償責任，以鼓勵企業採納資安標準或框架。 為適用安全港條款，企業須遵循佛羅里達州資訊保護法（The Florida Information Protection Act），針對資料外洩事件，通知個人、監管機關和消費者，並建立與法案內所列當前產業認可的資安標準、框架，或是特定法令規範之內容具一致性的資安計畫（Cybersecurity Programs）： （一）當前產業認可的資安標準、框架 1. 國家標準暨技術研究院（National Institute of Standards and Technology, NIST）改善關鍵基礎設施資安框架（Framework for Improving Critical Infrastructure Cybersecurity）。 2. NIST SP 800-171－保護非聯邦系統和企業中的受控非機密資訊。 3. NIST SP 800-53 和 SP 800-53A－ 資訊系統和企業的安全和隱私控制/ 評估資訊系統和企業中的安全和隱私控制。 4. 聯邦政府風險與授權管理計畫（Federal Risk and Authorization Management Program, FedRAMP）安全評估框架。 5. 資安中心（ The Center for Internet Security, CIS）關鍵安全控制。[5] 6. ISO/IEC 27000系列標準。 7. 健康資訊信任聯盟（The Health Information Trust Alliance, HITRUST）通用安全框架（Common Security Framework）[6]。 8. 服務企業控制措施類型二（Service Organization Control Type 2, SOC 2）框架。 9. 安全控制措施框架（Secure Controls Framework）。 10. 其他類似的產業標準或框架。 （二）特定法令規範 企業（entity）如受以下法令規範，亦得適用安全港條款，如法令有修訂，企業應在發布修訂後的一年內更新其資安計畫： 1. 健康保險可攜與責任法（The Health Insurance Portability and Accountability Act, HIPAA）之安全要求。 2. 金融服務現代化法（The Gramm-Leach-Bliley Act）第五章。 3. 2014 年聯邦資訊安全現代化法（The Federal Information Security Modernization Act of 2014）。 4. 健康資訊科技促進經濟和臨床健康法（The Health Information Technology for Economic and Clinical Health Act, HITECH）之安全要求。 5. 刑事司法資訊服務系統 （The Criminal Justice Information Services, CJIS）安全政策。 6. 州或聯邦法律規定的其他類似要求。 該法案雖於2024年3月5日經佛羅里達州參議院三讀通過，但於2024年6月26日遭州長否決[7]，其表示法案對於企業的保障範圍過於廣泛，如企業採取基礎的資安措施與風險控管機制，便得主張適用安全港條款，將可能導致消費者於發生個資外洩事件時，無法受到足夠的保障。州政府鼓勵利害關係人與該州網路安全諮詢委員會（Florida Cybersecurity Advisory Council）合作，探求法案的替代方案，以保護消費者資料。 二、西維吉尼亞州 美國西維吉尼亞州於2024年1月29日提出眾議院第5338號法案[8]，修訂西維吉尼亞法典（Code of West Virginia），增訂第8H章資安計畫安全港條款（Safe Harbor for Cybersecurity Programs），如企業符合業界認可的資安標準、框架或依特定法令建立與實施資安計畫，包含個人資訊和機敏資料的管理、技術和企業保障措施，將能夠於侵權訴訟中，主張適用避風港條款。 法令內明列評估企業所建立的資安計畫規模和範圍是否適當之要素，包含： 1. 企業的規模和複雜性； 2. 企業的活動性質和範圍； 3. 受保護資訊的敏感性； 4. 使用資安防護工具之成本和可用性； 5. 企業可運用的資源。 （一）當前產業認可的資安標準、框架 除與佛羅里達州法案所列舉業界認可的資安標準之前六項相同，另增加： 1 NIST SP 800-76-2個人身分驗證生物辨識規範（Biometric Specifications for Personal Identity Verification）[9]。 2. 資安成熟度模型認證（The Cybersecurity Maturity Model Certification, CMMC）至少達到第2級，並經外部驗證（external certification）。 （二）特定法令規範 除與佛羅里達州法案所列舉特定法令之前四項相同，另增加：由聯邦環境保護局（Environmental Protection Agency, EPA）、資安暨基礎設施安全局（Cybersecurity and Infrastructure Security Agency, CISA）或北美可靠性公司（North American Reliability Corporation）[10]所採用任何適用於關鍵基礎設施保護的規則、法規或指南。 惟目前法案已於2024年3月27日被西維吉尼亞州長否決[11]，其表示透過安全港條款鼓勵企業實踐資安框架雖立意良好，但也可能遭濫用而帶來不當影響，例如TikTok等大型國際企業，如在違背公民意願情況下共享個人資料時，將免於訴訟，恐有損其公民權益，未來州政府將與利害關係人持續進行協商。 參、事件評析 佛羅里達州和西維吉尼亞州近期同步公布有關限制企業於資安事件之責任相關法案，內容亦為相似，西維吉尼亞州之法案目前已遭否決，主要係擔心該豁免條款遭到不當濫用；佛羅里達州之法案亦因對於企業保障過廣與無法保障消費者個資安全考量，而遭州長否決。 法案中明列受產業普遍認可的資安標準、框架與政府所頒布特定法令，有助企業明確遵循與採納，建立與實施資安計畫，惟如何舉證所建立之資安計畫或實施之資安措施，與法案所列之資安標準、框架，或是特定法令規範，具有實質上的一致性，仍不明確，將可能阻礙企業於訴訟上行使抗辯與主張責任豁免權。未來美國如何權衡產業穩健發展與民眾個資保障，仍有待持續觀察。 [1] Chapter 1354 - Ohio Revised Code, Ohio Laws, https://codes.ohio.gov/ohio-revised-code/chapter-1354 (last visited May 24, 2024). [2]Part 7 Cybersecurity Affirmative Defense Act, Utah StateLegislative, https://le.utah.gov/xcode/Title78B/Chapter4/78B-4-P7.html (last visited May 24, 2024). [3]Frederick Scholl, Connecticut’s New Breach Notification and Data Security Laws: Carrots and Sticks, Quinnipiac University, July,1,2021,https://www.qu.edu/quinnipiac-today/connecticuts-new-breach-notification-and-data-security-laws-2021-07-01/ (last visited May 24, 2024). [4]CSHB 473-Cybersecurity Incident Liability, The Florida Senate,https://www.flsenate.gov/Session/Bill/2024/473 (last visited Jun. 28, 2024). [5]資安中心（ The Center for Internet Security, CIS）為美國非營利組織，負責推動CIS Controls，針對實際發生的資安攻擊行為提供防禦建議，作為企業保護 IT 系統和資料時可參考之最佳實務作法。資料來源：About us, Center for Internet Security, https://www.cisecurity.org/about-us (last visited Jun. 6, 2024). [6]What is HITRUST?, Schneider Downs,https://schneiderdowns.com/cybersecurity/what-is-hitrust/ (last visited May 24, 2024). [7]Governor of Florida, Vote letter for House Bill 473(2024), https://www.flgov.com/wp-content/uploads/2024/06/Veto-Letter_HB-473.pdf (last visited Jun. 28, 2024). [8]2024 REGULAR SESSION ENROLLED Committee Substitute for House Bill 5338, WEST VIRGINIA LEGISLATURE,https://www.wvlegislature.gov/Bill_Status/bills_text.cfm?billdoc=hb5338%20sub%20enr.htm&yr=2024&sesstype=RS&i=5338 (last visited May 24, 2024). [9]NIST SP 800-76-2 Biometric Specifications for Personal Identity Verification, National Institute of Standards and Technology, https://csrc.nist.gov/pubs/sp/800/76/2/final (last visited May 24, 2024). [10]北美電力可靠性公司（North American Electric Reliability Corporation, NERC），為一家非營利機構，致力推動關鍵基礎設施保護相關標準，以強化北美大規模電力系統（亦即電網）的可靠性和安全性，資料來源：https://www.nerc.com/Pages/default.aspx (last visited May 24, 2024). [11]Governor of West Virginia, Enrolled Committee Substitute for House Bill 5338(2024),https://www.wvlegislature.gov/Bill_Text_HTML/2024_SESSIONS/RS/veto_messages/HB5338.pdf (last visited May 24, 2024).