美國公民權利辦公室就Sentara醫療機構違反個資外洩通知義務予以重罰
美國衛生及公共服務部（Department of Health and Human Services, 下稱HHS）轄下的公民權利辦公室（Office for Civil Right, 下稱OCR）在2019年11月27日，正式對Sentara醫療機構處以217萬美元行政罰，主因該機構違反《健康保險可攜與責任法》（Health Insurance Portability and Accountability Act, 下稱HIPAA）的醫療個資外洩通知義務。
HIPAA是美國有關醫療個資管理的主要規範，依據HIPAA第164.400條以下「違反通知規則」（Breach Notification Rule）規定，當超過500位病患的「受保護健康資訊」（Protected Health Information, 下稱PHI）遭受不當使用或被外洩時，除應通知受害人外，還必須立即告知HHS以及在當地知名媒體發布新聞。而OCR主要負責檢查受規範機構，是否確實執行HIPAA隱私、安全和違反通知規則。
而在2017年4月，HHS收到指控Sentara將含有病患姓名、帳號、就診日期等涉及PHI的帳單發送到錯誤地址，造成557名病患個資外洩。Sentara卻認為該帳單內容未含有病患病歷、治療資訊或其他診斷紀錄，且僅有8人被影響，並非HIPAA應進行個資外洩通知義務之範疇，故不依規定程序通報HHS。不過OCR認為依HIPAA第160.103條規定，PHI包含病史、保險資訊、就醫紀錄（含日期）、身心健康狀態等可識別個人之健康資訊。因此認為Sentara確實違反個資外洩通知義務，予以罰款並命檢討改善。
Sentara醫療機構服務範圍橫跨美國維吉尼亞州（Virginia）和北卡羅來納州（North Carolina），共有12家急性照護醫院、10家護理中心和3家照護機構，為美國最具知名的大型非營利醫療機構之一。這次重罰也告誡國內醫療機構當發生敏感性醫療個資外洩時應從嚴判斷，以避免民眾對醫療照護單位失去信任，確保國內醫療機構體系應恪遵HIPAA規範。
- 數位經濟時代的隱私保護與商機－CBPR跨境隱私規則體系解析
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(實體)
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(直播)
- 零售業個資安全宣導暨安全維護計畫說明會（高雄場）
- 零售業個資安全宣導暨安全維護計畫說明會（台中場）
- 【台北場1】通訊傳播事業個資法遵教育訓練
- 【台中場】通訊傳播事業個資法遵教育訓練
- 【新北場】通訊傳播事業個資法遵教育訓練
- 【高雄場】通訊傳播事業個資法遵教育訓練
- 【台北場2】通訊傳播事業個資法遵教育訓練
- 零售業個資法遵實務與資訊安全說明會
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 零售業個資法遵實務與資訊安全說明會（台中場）
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
- 【上午場】探索科技法律最前線：資策會科法所「114年成果」分享會暨簡報票選
- 商業服務業個資管理與資訊安全實務宣導說明會（高雄場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台南場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台中場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台北場）
吳昌鴻
法律研究員 編譯整理
1. OCR Secures $2.175 Million HIPAA Settlement after Hospitals Failed to Properly Notify HHS of a Breach of Unsecured Protected Health Information, HHS, https://www.hhs.gov/about/news/2019/11/27/ocr-secures-2.175-million-dollars-hipaa-settlement-breach-notification-and-privacy-rules.html (last visited Dec. 3, 2019).
2. About Us, OCR, https://www.hhs.gov/ocr/about-us/index.html (last visited Dec. 3, 2019).
3. Breach Notification Rule, OCR, https://www.hhs.gov/hipaa/for-professionals/breach-notification/index.html (last visited Dec. 4, 2019).
美國國際貿易委員會(International Trade Commission, ITC)於日前(2009月4月10日)做出對船井電機(Funai Electric Co.) 有利的禁制令，禁止美國高畫質電視公司VIZIO的侵權產品進入美國。這項禁制令將於60天後開始生效，除非美國總統歐巴馬的覆審推翻了ITC的此項決定，亦或是位於華盛頓州一專門於專利法的聯邦上訴法院對此專利侵權紛爭做出覆審。於此同時VIZIO 公司若仍執意要繼續將係爭電視產品進口美國，則必須為每台電視付出$2.5美元的抵押金(bond) 。VIZIO 公司的業務與行政部門副總裁 Rob Brinkman表示他們將會利用各種管道對該禁制令抗爭到底。 北美電視大廠 VIZIO位於美國加州爾灣（Irvin, California），於去年第四季在北美地區銷售1.2百萬台高畫質電視，銷售量僅次於當地銷售第一大廠三星 (Samsung Electronics) 。VIZIO 公司的高畫質電視皆由台灣的母公司瑞軒科技（AmTRAN）所製造。 船井電機與VIZIO之間的專利訴訟纏鬥始於2007年3月，船井電機在美國加州中部聯邦地方法院 (Central California District Court)控告Vizio等14家公司侵權，並於同年10月於美國國際貿易委員會以侵害其數位電視相關專利權提起侵權訴訟。然而美國專利局卻於2008年9月19日初步判定訴訟中的專利6,115,074號無效，而專利5,329,369號則於2009年2月9日被美國專利局第二次駁回。VIZIO公司在這場智財攻防戰中除了以專利無效來解除侵權訴訟之外並乘勝追擊，在專利無效判決最終確定後，於加州中部聯邦地方法院提出船井電機反托拉斯和不公平競爭訴訟。至於美國總統的覆審將僅只於考量以公眾的利益(public interest)來看是否要推翻該禁令。
歐盟設立歐洲研究院（European Research Council）對前瞻性研究提供經費補助歐盟最近宣布其新設立的歐洲研究院（European Research Council, ERC)，自2月底開始運作。ERC是依據歐盟第七期研發綱要計畫（Seventh Framework Programme for Research and Technological Development, FP7）下之子計畫－”理念”計畫（"Ideas" programme）所設立。2006年底通過的歐盟第七期研發綱要計畫，揭示歐盟在2007至2013年間的科技研發政策、研發投入的重點領域與經費挹注情形。與PF6相較，PF7經費大幅成長，每年平均成長至少達40％，單是2013年一年，經費成長更高達75％。 ERC是第一個泛歐的經費補助機構，設立目的是為了贊助前瞻科學領域的研究活動。在設立第一年，歐盟挹注於ERC的經費即高達3億歐元，在FP7計畫的七年期間，ERC總計取得7.5 billion的經費。隨著ERC的設立，歐盟首度有了專為前瞻性研究量身訂作的經費補助運作機制，亦即交由歐洲科學界菁英，也就是由22位聲譽卓著的科學界菁英所組成的科學諮詢會（Scientific Council）自主管理，官僚系統不得對之表示意見。 歐盟希望藉由ERC的設立，促使科學界得以對最具有原創性的科學想法深入研究，以突破當前之知識界線，進而協助解決歐盟在社會、環境、經濟面所面臨之挑戰。
歐盟發布第三版支付服務指令（PSD3）草案，強化消費者保護與改善產業環境歐盟執委會（European Commission）於2023年6月28日提出第三版支付服務指令（Third Payment Services Directive, PSD3）草案，目前預計於2024年底前通過最終版本，並於2026年施行。 相較第二版支付服務指令（PSD2），PSD3強化歐盟電子、數位支付和金融服務規範，補強安全性（Security）、透明度（Transparency）與促進創新（Innovation），建立更適合歐盟的支付架構。其旨在保護消費者權益和個人資訊，改善支付產業競爭環境，提高消費者對資料掌控度，促進創新金融產品服務發展。 PSD3修正重點歸納如下： 一、消費者保護：強化對未經授權交易之保護，完善支付詐欺或支付錯誤之賠償方案，減少消費者潛在損失。 二、開放銀行（Open Banking）：持續推動開放銀行發展，透過加強規範第三方支付服務提供者（Third party payment provider, TPP）與提供更標準化與更安全的應用程式介面（Application Programming Interface, API），促進創新金融產業服務發展。 三、支付系統安全性：強化客戶身分認證（Strong Customer Authentication, SCA），促進支付過程的透明度與安全性。 四、因應新型詐欺：導入新規定與工具對抗日益增加的網路詐欺風險。 五、跨境支付：加強跨境支付措施與降低成本，推動歐盟市場一體化。 六、支付創新與多元化：導入區塊鏈或其他更先進的即時支付系統。 七、監管：制定更明確的法規，加強各方監管，確保市場公平與穩定。
德國資料保護會議通過「哈姆巴爾宣言」，針對人工智慧之運用提出七大個資保護要求德國聯邦及各邦獨立資料保護監督機關（unabhängige Datenschutzaufsichtsbehörden）共同於2019年4月3日，召開第97屆資料保護會議通過哈姆巴爾宣言（Hambacher Erklärung，以下簡稱「Hambacher宣言」）。該宣言指出人工智慧雖然為人類帶來福祉，但同時對法律秩序內自由及民主體制造成巨大的威脅，特別是人工智慧系統可以透過自主學習不斷蒐集、處理與利用大量個人資料，並且透過自動化的演算系統，干預個人的權利與自由。 諸如人工智慧系統被運用於判讀應徵者履歷，其篩選結果給予女性較不利的評價時，則暴露出人工智慧處理大量資料時所產生的性別歧視，且該歧視結果無法藉由修正資料予以去除，否則將無法呈現原始資料之真實性。由於保護人民基本權利屬於國家之重要任務，國家有義務使人工智慧的發展與應用，符合民主法治國之制度框架。Hambacher宣言認為透過人工智慧系統運用個人資料時，應符合歐盟一般資料保護規則（The General Data Protection Regulation，以下簡稱GDPR）第5條個人資料蒐集、處理與利用之原則，並基於該原則針對人工智慧提出以下七點個資保護之要求： （1）人工智慧不應使個人成為客體：依據德國基本法第1條第1項人性尊嚴之保障，資料主體得不受自動化利用後所做成，具有法律效果或類似重大不利影響之決策拘束。 （2）人工智慧應符合目的限制原則：透過人工智慧系統蒐集、處理與利用個人資料時，即使後續擴張利用亦應與原始目的具有一致性。 （3）人工智慧運用處理須透明、易於理解及具有可解釋性：人工智慧在蒐集、處理與利用個人資料時，其過程應保持透明且決策結果易於理解及可解釋，以利於追溯及識別決策流程與結果。 （4）人工智慧應避免產生歧視結果：人工智慧應避免蒐集資料不足或錯誤資料等原因，而產生具有歧視性之決策結果，控管者或處理者使用人工智慧前，應評估對人的權利或自由之風險並控管之。 （5）應遵循資料最少蒐集原則：人工智慧系統通常會蒐集大量資料，蒐集或處理個人資料應於必要範圍內為之，且不得逾越特定目的之必要範圍，並應檢查個人資料是否完全匿名化。 （6）人工智慧須設置問責機關進行監督：依據GDPR第12條、第32條及第35條規定，人工智慧系統內的控管者或處理者應識別風險、溝通責任及採取必要防範措施，以確保蒐集、處理與利用個人資料之安全性。 （7）人工智慧應採取適當技術與組織上的措施管理之：為了符合GDPR第24條及第25條規定，聯邦資料保護監督機關應確認，控管者或處理者採用適當的現有技術及組織措施予以保障個人資料。 綜上所述，Hambacher宣言內容旨在要求，人工智慧在蒐集、處理及利用個人資料時，除遵守歐盟一般資料保護規則之規範外，亦應遵守上述提出之七點原則，以避免其運用結果干預資料主體之基本權利。