美國公民權利辦公室就Sentara醫療機構違反個資外洩通知義務予以重罰
美國衛生及公共服務部（Department of Health and Human Services, 下稱HHS）轄下的公民權利辦公室（Office for Civil Right, 下稱OCR）在2019年11月27日，正式對Sentara醫療機構處以217萬美元行政罰，主因該機構違反《健康保險可攜與責任法》（Health Insurance Portability and Accountability Act, 下稱HIPAA）的醫療個資外洩通知義務。
HIPAA是美國有關醫療個資管理的主要規範，依據HIPAA第164.400條以下「違反通知規則」（Breach Notification Rule）規定，當超過500位病患的「受保護健康資訊」（Protected Health Information, 下稱PHI）遭受不當使用或被外洩時，除應通知受害人外，還必須立即告知HHS以及在當地知名媒體發布新聞。而OCR主要負責檢查受規範機構，是否確實執行HIPAA隱私、安全和違反通知規則。
而在2017年4月，HHS收到指控Sentara將含有病患姓名、帳號、就診日期等涉及PHI的帳單發送到錯誤地址，造成557名病患個資外洩。Sentara卻認為該帳單內容未含有病患病歷、治療資訊或其他診斷紀錄，且僅有8人被影響，並非HIPAA應進行個資外洩通知義務之範疇，故不依規定程序通報HHS。不過OCR認為依HIPAA第160.103條規定，PHI包含病史、保險資訊、就醫紀錄（含日期）、身心健康狀態等可識別個人之健康資訊。因此認為Sentara確實違反個資外洩通知義務，予以罰款並命檢討改善。
Sentara醫療機構服務範圍橫跨美國維吉尼亞州（Virginia）和北卡羅來納州（North Carolina），共有12家急性照護醫院、10家護理中心和3家照護機構，為美國最具知名的大型非營利醫療機構之一。這次重罰也告誡國內醫療機構當發生敏感性醫療個資外洩時應從嚴判斷，以避免民眾對醫療照護單位失去信任，確保國內醫療機構體系應恪遵HIPAA規範。
- 數位經濟時代的隱私保護與商機－CBPR跨境隱私規則體系解析
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(實體)
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(直播)
- 零售業個資安全宣導暨安全維護計畫說明會（高雄場）
- 零售業個資安全宣導暨安全維護計畫說明會（台中場）
- 【台北場1】通訊傳播事業個資法遵教育訓練
- 【台中場】通訊傳播事業個資法遵教育訓練
- 【新北場】通訊傳播事業個資法遵教育訓練
- 【高雄場】通訊傳播事業個資法遵教育訓練
- 【台北場2】通訊傳播事業個資法遵教育訓練
- 零售業個資法遵實務與資訊安全說明會
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 零售業個資法遵實務與資訊安全說明會（台中場）
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
- 【上午場】探索科技法律最前線：資策會科法所「114年成果」分享會暨簡報票選
- 商業服務業個資管理與資訊安全實務宣導說明會（高雄場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台南場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台中場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台北場）
吳昌鴻
法律研究員 編譯整理
1. OCR Secures $2.175 Million HIPAA Settlement after Hospitals Failed to Properly Notify HHS of a Breach of Unsecured Protected Health Information, HHS, https://www.hhs.gov/about/news/2019/11/27/ocr-secures-2.175-million-dollars-hipaa-settlement-breach-notification-and-privacy-rules.html (last visited Dec. 3, 2019).
2. About Us, OCR, https://www.hhs.gov/ocr/about-us/index.html (last visited Dec. 3, 2019).
3. Breach Notification Rule, OCR, https://www.hhs.gov/hipaa/for-professionals/breach-notification/index.html (last visited Dec. 4, 2019).
美國猶他州州長於2025年3月26日正式簽署「應用程式商店問責法（App Store Accountability Act）」（下稱本法）並於同年5月7日生效，為全美首部強制應用程式商店實施年齡驗證及家長同意機制的州法，其核心目標為強化對未成年人的網路環境保護。 本法要求應用程式商店供應商（下稱供應商）於用戶創建帳戶時驗證用戶年齡，若確認為未成年人，其帳戶必須與經過驗證的「家長帳戶」相關聯，未成年人下載或購買應用程式前，供應商須自家長處獲得「可驗證的同意」，且為確保該同意基於充分知情，供應商須向家長提出詳細聲明揭露該應用程式之年齡分級、內容描述、個資之收集與共享情況，以及開發者保護用戶資料之措施等內容，且於前述內容發生重大變更時通知家長並重新取得同意。 應用程式開發者（下稱開發者）亦須向供應商提供準確的資訊，並於應用程式發生「重大變更」時及時通知供應商，及透過數據共享機制驗證其猶他州用戶的年齡以及未成年用戶的家長同意狀態。若開發者善意信賴供應商所提供的年齡及同意資訊行事，可豁免承擔違規責任（安全港機制），爰本法主要的問責對象為供應商。 前述核心義務將於2026年5月6日起生效，若供應商或開發者提供不實資訊，將構成欺騙性交易行為而受到追訴；且自2026年12月31日起，若未成年人因供應商或開發者違反本法規定而受到損害，其本人或家長將有權提起民事訴訟請求賠償。
泰國計畫拍賣下世代行動通訊頻譜根據外電報導，泰國政府目前正在規劃，將越過3G標準，直接以拍賣方式釋出3張執照給更先進、俗稱3.9G的行動通訊技術，可能的時間點為今年9月。 泰國國家電信委員會（National Telecommunications Commission）委員 Pana Thongmeearkom於2010年5月27日表示，相較於3G技術，3.9G的技術可以提供消費者更好的資料傳輸服務；規劃釋出的執照將以15MHz為單位，期限為15年，規劃釋出的頻段主要為2.3GHz，但2.5GHz亦為另一個可能釋出的頻段。 2.3GHz目前由國營的電信業者TOT＆CAT與軍方使用中，2.5GHz則由廣播電視業者使用；泰國政府預計於年底提出清空頻譜方案。 各界評估新的頻譜將允許業者佈建以LTE為基礎的電信設備。泰國三家主要行動電信業者Advanced Info Service(AIS)、Total Access Communication(DTAC)與True Move早已表態將參與競標。 泰國政府之前曾多次宣布將展開3G執照競標計畫，惟時程不斷被推遲，外界歸咎於欠缺一個整合性的獨立頻譜監理機構。對此，Pana被迫給予保證，目前泰國的政治紛亂不會影響國家電信委員會的時間表，但如果設立一個可同時監管廣電與電信頻譜的獨立機關的草案未能通過國會立法程序，釋照程序確實有可能被中斷。 LTE行動通訊技術爭取應用的頻段，在歐洲主要為2.1GHz、2.5GHz、900MHz、與800MHz，在北美為700MHz，在日本為2.1GHz。根據國際電信聯合會ITU的頻譜分配建議，相關頻段多為傳統被劃歸為廣電用途的頻段；對沒有獨立頻譜監理機制的國家而言，相關頻譜的收回與再釋出均可能面臨如泰國政府一樣的挑戰。
「美國FTC處罰mHealth App不實廣告」美國聯邦貿易委員會(Federal Trade Commission，以下簡稱FTC)在2016年2月針對一款宣稱能矯正視力之Ultimeyes App處罰。此款App由Carrot Neurotechnology公司研發，以美金9.99元於平台上販售供民眾下載。App宣稱具有提升及改善視力功能，透過App使用即可在日常生活中的各種活動中，感受視力恢復而不需使用眼鏡。然而，FTC起訴認為，App所稱之使用療效，缺乏充分的文獻資料佐證說明。其必須具備完整及可信賴的科學證據來證明，包含臨床試驗或盲測等方式，且該科學證明必須符合相同領域專家所認定之標準，否則，該款App內容所標榜之效果即屬不實陳述，將造成民眾誤認。為此，Carrot Neurotechnology公司最終以美金15萬達成和解，並且經FTC要求，若將App說明當中未經科學證明的療效部份予以刪除，即可繼續再繼續販售此款App。此案並非美國FTC首度針對mHealth App處罰之案例，然而，可能造成mHealth App發展業者對FTC與FDA角色之間之混淆，後續兩者主管機關之間之角色如何調和將是未來關注之重點。反觀我國，目前雖無相關案例發生，然在鼓勵發展之際，亦應考量是否有違反消費者保護之情形。
政府科研計畫執行與貪污犯罪