美國公民權利辦公室就Sentara醫療機構違反個資外洩通知義務予以重罰
美國衛生及公共服務部（Department of Health and Human Services, 下稱HHS）轄下的公民權利辦公室（Office for Civil Right, 下稱OCR）在2019年11月27日，正式對Sentara醫療機構處以217萬美元行政罰，主因該機構違反《健康保險可攜與責任法》（Health Insurance Portability and Accountability Act, 下稱HIPAA）的醫療個資外洩通知義務。
HIPAA是美國有關醫療個資管理的主要規範，依據HIPAA第164.400條以下「違反通知規則」（Breach Notification Rule）規定，當超過500位病患的「受保護健康資訊」（Protected Health Information, 下稱PHI）遭受不當使用或被外洩時，除應通知受害人外，還必須立即告知HHS以及在當地知名媒體發布新聞。而OCR主要負責檢查受規範機構，是否確實執行HIPAA隱私、安全和違反通知規則。
而在2017年4月，HHS收到指控Sentara將含有病患姓名、帳號、就診日期等涉及PHI的帳單發送到錯誤地址，造成557名病患個資外洩。Sentara卻認為該帳單內容未含有病患病歷、治療資訊或其他診斷紀錄，且僅有8人被影響，並非HIPAA應進行個資外洩通知義務之範疇，故不依規定程序通報HHS。不過OCR認為依HIPAA第160.103條規定，PHI包含病史、保險資訊、就醫紀錄（含日期）、身心健康狀態等可識別個人之健康資訊。因此認為Sentara確實違反個資外洩通知義務，予以罰款並命檢討改善。
Sentara醫療機構服務範圍橫跨美國維吉尼亞州（Virginia）和北卡羅來納州（North Carolina），共有12家急性照護醫院、10家護理中心和3家照護機構，為美國最具知名的大型非營利醫療機構之一。這次重罰也告誡國內醫療機構當發生敏感性醫療個資外洩時應從嚴判斷，以避免民眾對醫療照護單位失去信任，確保國內醫療機構體系應恪遵HIPAA規範。
- 零售業個資安全宣導暨安全維護計畫規劃說明會
- 數位經濟時代的隱私保護與商機－CBPR跨境隱私規則體系解析
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(實體)
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(直播)
- 零售業個資安全宣導暨安全維護計畫說明會（高雄場）
- 零售業個資安全宣導暨安全維護計畫說明會（台中場）
- 【台北場1】通訊傳播事業個資法遵教育訓練
- 【台中場】通訊傳播事業個資法遵教育訓練
- 【新北場】通訊傳播事業個資法遵教育訓練
- 【高雄場】通訊傳播事業個資法遵教育訓練
- 【台北場2】通訊傳播事業個資法遵教育訓練
- 零售業個資法遵實務與資訊安全說明會
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 零售業個資法遵實務與資訊安全說明會（台中場）
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
- 【上午場】探索科技法律最前線：資策會科法所「114年成果」分享會暨簡報票選
吳昌鴻
法律研究員 編譯整理
1. OCR Secures $2.175 Million HIPAA Settlement after Hospitals Failed to Properly Notify HHS of a Breach of Unsecured Protected Health Information, HHS, https://www.hhs.gov/about/news/2019/11/27/ocr-secures-2.175-million-dollars-hipaa-settlement-breach-notification-and-privacy-rules.html (last visited Dec. 3, 2019).
2. About Us, OCR, https://www.hhs.gov/ocr/about-us/index.html (last visited Dec. 3, 2019).
3. Breach Notification Rule, OCR, https://www.hhs.gov/hipaa/for-professionals/breach-notification/index.html (last visited Dec. 4, 2019).
日本第52次知的財產戰略本部會議決議—推動著作權資訊橫向跨域查找平台 資訊工業策進會科技法律研究所 2023年09月01日 創作內容的流通利用是發揮文化經濟力的核心關鍵，但數位時代的來臨，造成內容流通利用面臨創作資訊分散難找、權利歸屬識別困難，以致內容無法有效利用的問題。此問題並非個別企業、機構可以解決，而需要政府出面橋接既有創作資料庫，匯集散落於各處的內容創作資料及創作人資訊。 壹、事件摘要 日本岸田首相於2023年6月9日在官邸召開第52次知的財產戰略本部會議，針對「知的財產推進計畫2023」進行討論並決定[1]。日本基於為了活化日本的創新並實現持續的經濟增長，將社會轉變為最大限度發揮知的財產價值的社會的目的，提出2023知的財產推進計畫的三大重點，包括：第一，強化新創企業和大學的知的財產生態系統，透過新創企業等管道迅速實現大學研究成果的社會應用循環；第二，促進負責任和可信賴的AI，兼顧促進AI技術應用和維持知的財產創造的激勵，同時對風險採取必要的措施；第三，發揮內容產業力量推動內容產業的強化和結構改革，進行政府和民間的合作促進內容創作；從促進內容的創作和使用循環的角度出發，建立簡單而統一的權利處理窗口機構，並推進跨領域的權利資訊搜索系統的建立。 貳、重點說明 目前網路上的業餘創作者等創作的內容越來越多，但此類內容使用的可行性因權利者資訊不明確，造成獲得許可所需的成本過高，成為便利的數位時代造成的不便利後遺症。日本「知的財産推進計畫」於2022即已針對著作權制度進行改革方向，開始推動實現簡單且一體化的權利處理，加速內容的流通和創作者的報酬回饋，力圖實現簡潔統一的權利處理制度，以促進內容的「創作」和「利用」循環[2]。 日本注意到隨著內容的主要流通轉向網絡播送，對於業者而言，實現內容差異化，包括對留在手上的播送內容檔案再利用，對強化競爭至關重要。但涉及多個權利持有人的內容，其權利處理成為取得授權的瓶頸，導致內容的利用無法推進。基於簡便化權利處理和報酬支付的政策想法，日本於今（2023）年提出修改著作權法，創建新的作品使用法定授權申請制度，並在同年5月修改法案獲得通過[3]。依據此新通過的授權申請制度，日本文化廳可以針對未授權集體管理或權利人提供利用意願不明的著作，裁定可由利用人支付補償金以順利實現對這些作品於特定時間內的利用。 除建立授權意願不明的利用授權法令依據外，日本亦擬在實務上建立配套機制，即透過數位化、一體化的流程設計，規劃建立能夠跨領域尋找著作權資料的資料庫，以利確認權利資訊和使用許可的意願表示。而針對橫向跨域的權利資訊資料庫的構建，日本特別成立研究小組，於2022年12月「跨域權利資訊資料庫研究報告」。該報告提出連接各領域資料庫來檢索資訊的「領域橫向權利資訊檢索系統」的規劃。依該規劃，日本文化廳將與保有各領域資料庫的相關利害關係人合作，推進系統的設計和開發在新著作權法的實施期間，建立並運營「領域橫向權利資訊檢索系統」，以連接各領域資料庫[4]。 該系統將力求實現數位化程度最高的設計，除了與各領域資料庫連接外，還將包括設置統一的窗口組織來執行新的授權利機制，設法使未在現有資料庫中收錄的內容（如僅在網絡上創作的內容、未集中管理的著作等）能夠順利登錄，並提供確認權利資訊和使用許可意願表示的功能。為了簡化流程和加快速度，這些窗口組織（機構）將由經文化廳長官認可的單位擔任，負責申請受理、審議確認和(應支付的使用)報酬審定等程序。另外，對於擬取得無期限的授權使用的利用人，可以利用不明著作授權制度，並可透過這些窗口組織簡化相關授權程序[5]。 參、事件評析 日本已考慮到數位時代的資訊變化速度，認為應該在著作權制度和相關政策改革方面，推動公私協力尋找權利者、確認使用可行性的合作，規劃建立跨領域權利資訊檢索系統，以利最大限度地實現新裁定授權制度的簡化和迅速處理，以實現其戰略綱領持續著力的內容「創作」和「利用」循環的加速。 而促進內容「創作」和「利用」循環加速的做法，日本不只是建立法令依據，是透過資訊科技與認證適格單位，用完整而全面性的配套措施進行推動。顯見日本已注意到資訊科技可以降低、便利權利資訊的登錄，讓權利人不會因為登錄作業麻煩而意願欠缺；而與既有資料的串接，則可在不會喪失保有各自資料庫的保障下，快速建立資料完整的檢索查詢平台。因此日本預計2023年將首先確定要優先合作的資料庫、研究合作方式、建立檢索介面的概念；同時對未集中管理的著作等內容的權利資訊登記方法進行需求調查和探討，預計於2024年度將研析該系統應具備的細部功能規格[6]。 而既有除了系統工具外，為促進新的權利處理制度的實現，由於資料分散在不同地方，相較於單一的官方登錄或受理平台，多元的受理窗口更能便利的登錄、受理做法，日本考慮與數位/網路出版等網上內容流通的中介者共同協作，更能以適應數位時代的速度為基礎與先進技術的應用，順利實現新制度的準備和持續營運。 我國原創文化內容的流通利用面臨與日本智財戰略綱領相同的議題，也已經在文化部的計畫支持下建置「文化內容流通利用服務網（Copyright Hub）」受理著作的自主登錄與權利資訊查詢，同時規劃透過認證、指定的方式，建立類似日本智財戰略綱領規劃的多元登錄受理代理窗口，與既有內容平台或特定文創領域專業法人合作，以利串接大量既有資訊；並預計逐步於文創獎補助中納入登錄著作權利資訊的要求，以促進資訊的完整。 然本次文創法送立法院修法的草案，並未納入原已新增的流通利用草案條文，不僅欠缺日本賦予的授權機制，以及資料庫、認證適格窗口的推動法令依據，也無法立即促成獎補助中納入登錄著作權利資訊的要求。我國「文化內容流通利用服務網（Copyright Hub）」早於日本起步，期待即便無法如同日本建立法令依據，亦可在文創獎補助連結的加持下快速推展，讓我國文化內容的流通利用推動持續領先，成為其他國家之參考標竿。 本文同步刊登於TIPS網站（https://www.tips.org.tw） [1]〈知的財産戦略本部総理の一日〉，首相官邸ホームページ，令和5年6月9日，https://www.kantei.go.jp/jp/101_kishida/actions/202306/09chizai.html。 [2]〈知的財産推進計畫2023〉，頁77，https://www.kantei.go.jp/jp/singi/titeki2/230609/siryou2.pdf （最後瀏覽日：2023/08/22）。 [3]〈令和5年通常国会 著作権法改正について〉，文化庁，https://www.bunka.go.jp/seisaku/chosakuken/hokaisei/r05_hokaisei/ (最後瀏覽日：2023/08/22）。 [4]同前註2。 [5]同前註2，頁78。 [6]同前註2，頁78。
歐盟發布未成年網路安全指引歐盟執委會於2025年7月發布《確保未成年網路高度隱私、安全和保障的措施指引》（Guidelines on measures to ensure a high level of privacy, safety and security for minors online，下稱指引），依據《數位服務法》（Digital Services Act）第28條未成年網路保護規定，未成年人可存取的網路平臺提供者應採取適當措施確保未成年人享有高度隱私及安全保障，且不應迫使數位平臺提供者為評估使用者是否為未成年人而處理額外的個人資料，前述指引目的即為協助數位平臺提供者遵守《數位服務法》第28條之規定。 數位平臺的條款及條件允許未成年人使用該服務，及其服務面向包含未成年人或主要由未成年人使用，或其提供者知曉部分接收者為未成年人，則該數位平臺可被視為提供未成年人存取，數位平臺提供者即應符合比例適當性、保護兒童權利、隱私安全保障設計、年齡適宜設計等一般性原則。指引要求數位平臺提供者需要以準確、可靠和穩定的方式確認使用者的年齡，常見的年齡確認方式有三種：自我聲明、年齡估測、年齡驗證，數位平臺提供者應評估所採方式之必要性及適當性，以最小侵害措施達成高度安全性，並以準確性、可靠性、韌性、低侵害、不歧視為原則。 但指引也引發對於其技術可行性及執法的疑慮，歐洲數位權利組織（European Digital Rights, EDRi）認為政府忽略數位平臺設計與商業模式的根本性問題，依賴年齡認證可能限制未成年人的權利，且對於誤判、規避風險、互通性、與會員國身分系統的整合等問題仍有諸多疑問。雖然指引非法規不具強制性，但歐盟執委會已將指引作為合規評估標準，使數位平臺提供者面臨實施成本及合規證明的壓力。面對日新月異的網路世界，該如何避免未成年人接觸不良網路內容成為許多國家關心的議題，值得持續追蹤相關動態作為我國未成年網路安全政策之參考。
為杜絕網路盜版行為，美國網路服務提供者合作建置Six Strikes系統美國電影協會(Motion Picture Association of America, MPAA)和美國唱片業協會(Recording Industry Association of America, RIAA)於2011年6月共同組成著作權資訊中心(Center for Copyright Information，簡稱CCI)，並說服Verizon、AT&T、Time Warner、Comcast、Cablevision等美國5大網路服務提供者加入，簽訂備忘錄，表示合作建置「著作權警告系統(Copyright Alert System，簡稱CAS)」，又謂「Six Strike系統」，該網站可向有提供下載非法檔案服務之網站業者發出警告或給予處罰，預計於2013年正式運作。 所謂「Six Strikes」，係指網路服務提供者發現有盜版行為時，會發出不同程度的6次警告。至於Six Strikes系統運作方式，係由各網路服務提供者自行決定要採取可有效打擊網路盜版的方式。目前美國5大網路服務提供者中，除Comcast及Cablevision以外，其它3個網路服務提供者已公開Six Strikes警告措施內容。 基本上，第1、2次警告屬於「通知(notice)」，僅利用電子郵件或電話通知使用者已侵害著作權；第3、4次警告屬「承認(acknowledgement)」，即利用彈跳視窗(pop-up)告知使用者侵害著作權情形已有3次以上等訊息，並且使用者應點選該告知侵權訊息之彈跳視窗方可進入其欲瀏覽的網站，使用者若點選視窗則視為其承認本身侵權行為；第5、6次警告則屬「因應措施(mitigation)」，即其它3個網路服務提供者會讓使用者感受到上網速度變慢，或是直到使用者上完著作權教育課程前，不讓其進入常瀏覽的網站等措施，而使用者亦可對網路服務提供者採取的措施提出異議。 但仍有論者對此提出不同看法，諸如若使用者利用虛擬私人網路(VPN)或非BitTorrent之檔案共享形式，分享檔案，即可迴避Six Strikes系統，或有論者認為侵權與否應由法院判斷，而非由網路服提供者逕行判斷等質疑，此一系統後續發展有待進一步關注。
從無線上網壅塞困境-看Wifi發展趨勢近年來，由於行動載具興起與數位內容蓬勃而生，導致各國於WiFi網路與行動網路皆面臨不敷使用之困境。為了增加WiFi頻寬與緩和行動網路壅塞，FCC主席Julius Genachowski於國際消費電子展(International Consumer Electronics Show)宣布將於5 Ghz頻段釋出共195 MHz之無需執照頻譜(Unlicensed Spectrum)，以解決Wifi困境，並促進快速、高容量的「Gigabit Wi-fi」之發展。FCC現階段仍須與其他聯邦部門合作，協調該頻段中WiFi與其他既有用途之干擾與共用的問題。即便如此，這仍是自2003年以降，將無需執照頻譜釋出給WiFi最多的一次，且估計能將現有WiFi提升35%效率。 另一方面，對於部分電信商將推動之多項措施，如建設40,000個小型基地台(Small Cells)、以Wifi Hotspot 2.0之規格，導入商用異質網路(Hetnet)，以充分利用WiFi於2.4GHZ(共83.5MHz)與5GHz(共555MHz)之頻段等，FCC主席Genachowski均表樂觀其成。上述措施可讓客戶在免額外付費、且不須複雜驗證下，藉由SIM卡自動導入WiFi，Genachowski認為此舉不僅充分利用頻譜資源、增加智慧型手機與平板銷量外，亦可改善目前行動網路壅塞之問題。 綜上所述，可窺見FCC將利用「Gigabit Wi-fi」之優勢，解決使用者於公眾頻繁往來之地點，諸如機場、市中心與大型會議場所等處，WiFi使用壅塞之問題。而此舉亦可解決家中有多個用戶、或同時使用不同載具時，造成網路緩慢之問題；至於，在行動網路上，亦有助於紓解行動數據流量，增加網路品質，促進更多APP孕育，帶動更多商機。