澳洲個人資料洩漏計畫將於二月施行
澳洲於2018年2月22日施行個人資料洩漏計畫(Notifiable Data Breaches scheme, NDB scheme)，該計畫源於澳洲早在1988年所定「澳洲隱私原則」(Australian Privacy Principles, APPs)之規定。對象包括部分政府機構、年營業額超過300萬澳幣之企業以及私營醫療機構。
根據該計畫，受APPs約束的機構於發生個資洩露事件時，必須通知當事人以及可能會造成的相關損害，另外也必須通知澳洲私隱辦公室（Office of the Australian Information Commissioner, OAIC）相關資訊。
NBD計畫主要內容如下:
一 、規範對象:
- 包括澳洲政府機構，年營業額超過300萬澳幣企業和非營利組織、私營醫療機構、信用報告機構、信貸提供者、稅號（TFN）受領人。
- 若數機構共享個人資料，則該告知義務由各機構自行分配責任。
- 關於跨境傳輸，根據APPs原則，於澳洲境外之機構必須以契約明定受澳洲隱私法規範，原則上若因境外機構有洩漏之虞，澳洲機構也必須負起責任。
二 、個資洩露之認定:
- 未經授權進入或擅自公開該機構擁有的個人資訊或個人資料滅失。
- 可能會對一個或多個人造成嚴重傷害(如身分竊盜、導致個人嚴重經濟損失、就業機會喪失、名譽受損等等)。
- 個資外洩機構無法通過補救措施防止嚴重損害的風險。
三 、OAIC所扮演之角色:
- 接受個資外洩之通報。
- 處理投訴、進行調查並針對違規事件採取其他監管行動。
- 向業者提供諮詢和指導。
四 、於下列情形可免通知義務:
- 為維護國家安全或增進公共利益所必要。
- 與其他法案規定相牴觸者。
五 、通知內容:
- 洩露資料的種類及狀況。
- 發生個資外洩事件機構之名稱以及聯繫窗口。
- 個資當事人應採取之後續行動，避免再度造成損害。
惟NBD 計畫對於個人資料的安全性沒有新的要求，主要是對APPs的補充，針對持有個人資料的機構採取合理措施，保護個人資料免遭濫用、干擾或損失， OAIC目前也正在規劃一系列有關個資洩漏事件指導方針及導入說明手冊。
陳昱凱
法律研究員 編譯整理
1. Privacy Amendment (Notifiable Data Breaches) Act 2017, https://www.legislation.gov.au/Details/C2017A00012 (last visited Jan 10, 2018).
2. Notifiable Data Breaches scheme https://www.oaic.gov.au/privacy-law/privacy-act/notifiable-data-breaches-scheme (last visited Jan 10, 2018).
3. Mandatory Data Breach laws are coming...are you ready? https://www.lexology.com/library/detail.aspx?g=dbd0357d-0b07-4294-865e-6f351550fa64 (last visited Jan 10, 2018).
歐盟為提升網路數位化產品之安全性，解決現有網路安全監管框架差距，歐盟執委會於2022年9月提出《網路韌性法案》（EU Cyber Resilience Act）草案，對網路供應鏈提供強制性網路安全標準，並課予數位化產品製造商在網絡安全方面之義務。該法案亦提出以下四個具體目標： 1.確保製造商對於提升產品之網路安全涵蓋整個生產週期； 2.為歐盟網路安全之合法性創建單一且明確之監管架構； 3.提高網路安全實踐之透明度，以及製造商與其產品之屬性； 4.為消費者和企業提供隨時可用之安全產品。 《網路韌性法案》要求製造商設計、開發和生產各種硬體、有形及軟體、無形之數位化產品時，須滿足法規要求之網路安全標準，始得於市場上銷售，並應提供清晰易懂之使用說明予消費者，使其充分知悉網路安全相關資訊，且至少應於五年內提供安全維護與軟體更新。 《網路韌性法案》將所涵蓋之數位化產品分為三種類別（產品示例可參考法案附件三）：I類別、II類別，以及預設類別。I類別產品之網路安全風險級別低於II類別產品、高於預設類別，須遵守法規要求之安全標準或經由第三方評估；II類別為與網路安全漏洞具密切關連之高風險產品，須完成第三方合格評估始符合網路安全標準；預設類別則為無嚴重網路安全漏洞之產品，公司得透過自我評估進行之。法案另豁免已受其他法律明文規範之數位化產品，惟並未豁免歐洲數位身份錢包、電子健康記錄系統或具有高風險人工智慧系統產品。 若製造商未能遵守《網路韌性法案》之基本要求和義務，將面臨高達1500萬歐元或前一年度全球總營業額2.5%之行政罰鍰。各歐盟成員國亦得自行制定有效且合於比例之處罰規則。
FDA發布「制定醫療器械在上市前核准（PMA）、低風險創新器材(De Novo)分類和人道用途器材免除（HDE）的利益-風險決策之不確定性考量指引草案美國食品和藥物管理局（FDA）於2018年9月6日發布關於「制定醫療器械在上市前核准（PMA）、低風險創新器材(De Novo)分類和人道用途器材免除（HDE）的利益-風險決策之不確定性考量指引草案。」 為滿足FDA促進公共健康的使命，醫療器械上市前核准(PMA)通常涉及較高的不確定性，因此本指引是適當的解決利益風險的判定以支持FDA的決策。包含考量患病群願意接受醫療器械帶來的益處及風險之更多不確定性，特別是沒有可接受的替代治療方案時。 根據指引草案，FDA依據具體情況，判定其利益-風險的適當程度之不確定性，包括： (1) 醫療器械可能帶來好處程度。 (2) 醫療器械存在的風險程度。 (3) 關於替代治療或診斷的利益-風險之不確定程度。 (4) 如果可能，需瞭解患者對醫療器械可能帶來的益處和風險之不確定性觀點。 (5) 公共衛生需求的程度。 (6) 依據臨床證據可支持上市前之可行性。 (7) 能夠減少或解決醫療器械的上市後利益-風險留下之不確定性。 (8) 上市後緩解措施的有效性。 (9) 建立決策類型。(如上市前核准（PMA）和人道用途器材免除（HDE）的核准標準不同。) (10) 對於早期患者訪問醫療器械的可能帶來的益處。 本指引草案中，FDA基於考量有關醫療器械臨床/非臨床訊息之利益風險，需與FDA的規範、監管機關和要求要有一致性。
宣傳板畫上商標及「即將開業」 Chanel控訴藝術展侵權奢侈品牌Chanel即將在加拿大郊區開設新的據點?在2014.05，一個嶄新的Chanel即將在此營業的招牌顯立在加拿大東丹佛區。 原來，這是一個名為丹佛藝術節（Art of the Danforth）即將於2014.05.11展開，在東丹佛舉辦、超過20個展覽作品的大型免費的公眾藝術活動。藝術節總監Asad Raza表示，這個展品由藝術家Mahmood Popal負責構思，期望能藉此探討「去高檔化」議題，並透過展品「抓住第一間奢侈品店進入尋常百姓家的一刻」。因此，在一塊黑色大型展板上，畫上Chanel的商標和名稱，並寫上「即將開業」字樣。而這樣的表現方式，並未有實際銷售或與Chanel競爭的目的，僅僅是作為一個豎立在地面上的裝置藝術。 對此，Chanel加拿大發言人表示，Chanel即代表了其品牌精神、價值及形象，如果任何人有需要使用，應事先知會Chanel，並獲得Chanel授權同意：「我們希望在使用前應要向我們提出詢問，主要是為了確保這樣的使用方式或內容符合Chanel的品牌價值、形象、及企業願景。此外，Chanel標識之使用有一定的規範，從不會以其他的變動方式去使用Chanel標識，避免發生減損Chanel的品牌形象的情況。舉例來說，我們從來不使用這個標誌的方式與雙“C”以上的香奈兒標誌。如果使用人在用之前，可以事先與我們做溝通，我們也可以進行相關的控制，並使它看起來更真實。」 針對本件的使用，Chanel加拿大發言人事後表示，當確定是公共藝術的使用時，就未採取相關的訴訟措施，但如果未獲授權使用品牌Chanel的商標而有侵權情形時，將會考慮提起訴訟。
美國「2009年經濟復甦暨再投資法」大幅度修正HIPAA隱私權條款2009年02月17日美國總統簽署通過「2009年經濟復甦暨再投資法」（America Recovery and Reinvestment Act, ARRA），將醫療產業列為重點發展項目之ㄧ，擬由政府預算進行醫療資訊科技化計畫，俾使電子病歷的傳輸與交換得兼顧效率及安全。而以規範醫療資訊安全為主的「醫療保險可攜及責任法」之隱私權條款（HIPAA, Privacy Rule），亦因此有重大修正。 其中，最主要的變革在於擴充HIPAA的責任主體，由原有的健康照護業者、健康計畫業者及健康照護資訊交換業者，擴充至凡因業務關係而可能接觸個人健康資訊的個人或業者，包含藥劑給付管理公司、代理人及保險業者等，這些機構或個人原本與醫療院所或病患間係依據契約關係進行責任規範，但被納入HIPAA的責任主體範圍後，則需依此負擔民、刑事責任。 而於加強資訊自主權部份，亦有數個重要變革如下：（一）責任主體之通知義務：依據新規定，資料未經授權被取得、使用或揭露，或有受侵害之虞時，責任主體應即早以適切管道通知資訊主體有關被害之情事，以防備後續可能發生的損害。（二）資訊主體之紀錄調閱權：以往資料保管單位得拒絕個人調閱健康資料運用紀錄之請求，有鑒於病歷電子化後，保存及揭露相關紀錄已不會造成過重負擔；依據新規定，資訊主體有權調閱近三年內個人健康資料被使用次數及目的等紀錄。（三）資訊主體資料揭露之拒絕權：以往責任主體得逕行提供個人醫療資訊作為治療、計費及照護相關目的之使用，無論資訊主體曾表達拒絕之意與否；依據新規定，資訊主體得禁止其向保險人揭露相關資訊，除非保險人已全額支付醫療費用。 以上HIPAA之新增規範，預計於2010年02月17日正式施行。