美國公民權利辦公室就Sentara醫療機構違反個資外洩通知義務予以重罰
美國衛生及公共服務部（Department of Health and Human Services, 下稱HHS）轄下的公民權利辦公室（Office for Civil Right, 下稱OCR）在2019年11月27日，正式對Sentara醫療機構處以217萬美元行政罰，主因該機構違反《健康保險可攜與責任法》（Health Insurance Portability and Accountability Act, 下稱HIPAA）的醫療個資外洩通知義務。
HIPAA是美國有關醫療個資管理的主要規範，依據HIPAA第164.400條以下「違反通知規則」（Breach Notification Rule）規定，當超過500位病患的「受保護健康資訊」（Protected Health Information, 下稱PHI）遭受不當使用或被外洩時，除應通知受害人外，還必須立即告知HHS以及在當地知名媒體發布新聞。而OCR主要負責檢查受規範機構，是否確實執行HIPAA隱私、安全和違反通知規則。
而在2017年4月，HHS收到指控Sentara將含有病患姓名、帳號、就診日期等涉及PHI的帳單發送到錯誤地址，造成557名病患個資外洩。Sentara卻認為該帳單內容未含有病患病歷、治療資訊或其他診斷紀錄，且僅有8人被影響，並非HIPAA應進行個資外洩通知義務之範疇，故不依規定程序通報HHS。不過OCR認為依HIPAA第160.103條規定，PHI包含病史、保險資訊、就醫紀錄（含日期）、身心健康狀態等可識別個人之健康資訊。因此認為Sentara確實違反個資外洩通知義務，予以罰款並命檢討改善。
Sentara醫療機構服務範圍橫跨美國維吉尼亞州（Virginia）和北卡羅來納州（North Carolina），共有12家急性照護醫院、10家護理中心和3家照護機構，為美國最具知名的大型非營利醫療機構之一。這次重罰也告誡國內醫療機構當發生敏感性醫療個資外洩時應從嚴判斷，以避免民眾對醫療照護單位失去信任，確保國內醫療機構體系應恪遵HIPAA規範。
- 零售業個資法遵實務與資訊安全說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 零售業個資法遵實務與資訊安全說明會（台中場）
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
- 【上午場】探索科技法律最前線：資策會科法所「114年成果」分享會暨簡報票選
- 商業服務業個資管理與資訊安全實務宣導說明會（高雄場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台南場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台中場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台北場）※如遇颱風假延期至7/16
- 【北部場1】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場2】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場3】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場4】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【南部場】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【中部場】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
吳昌鴻
法律研究員 編譯整理
1. OCR Secures $2.175 Million HIPAA Settlement after Hospitals Failed to Properly Notify HHS of a Breach of Unsecured Protected Health Information, HHS, https://www.hhs.gov/about/news/2019/11/27/ocr-secures-2.175-million-dollars-hipaa-settlement-breach-notification-and-privacy-rules.html (last visited Dec. 3, 2019).
2. About Us, OCR, https://www.hhs.gov/ocr/about-us/index.html (last visited Dec. 3, 2019).
3. Breach Notification Rule, OCR, https://www.hhs.gov/hipaa/for-professionals/breach-notification/index.html (last visited Dec. 4, 2019).
臉書（Facebook）在2011年11月與美國聯邦貿易委員會（Federal Trade Commission, FTC）針對用戶資料的隱私權問題達成和解，包括第一：臉書必須遵守其自行提出的隱私權政策；第二：臉書必須要事先得到使用者的同意，才能更改其資訊分享的設定；第三：當使用者刪除其帳號的三十天內，臉書必須實際上使任何人不能再取得相關資訊；第四：必須對新產品或服務建立並維護其隱私權保障的計畫；第五：在未來二十年內，臉書必須由獨立的第三人稽查其隱私政策，以維護使用者的資訊隱私保護。 但是公益團體電子隱私資訊中心（Electronic Privacy Information Center, EPIC）最近指控臉書的Timeline功能違反和解協議的第二條。在EPIC的指控中表示：臉書必須要事先得到使用者的同意，才能更改其資訊分享的設定。而Timeline的功能在2011年12月6日上線後，完全改變了使用者揭露其資訊的方式，強化使用者張貼的重要事件，並回溯資料至該使用者第一次登入臉書時（甚至更早至第一次輸入相關資料時）。雖然臉書提供七天時間給使用者可以編輯Timeline，刪除不希望公開的照片或貼文，但幾乎沒有人知道。EPIC因而要求FTC介入調查。
日本擬讓司法機關偵查時利用GPS定位取得位置資訊無須事先告知，僅須取得法院令狀日本電信事業個人資料保護指針(電気通信事業における個人情報保護に関するガイドライン)自2011年修訂後至今即未有任何改變。然而，隨著現代行動通信軟硬設備技術的進步，智慧型手機中已有許多應用程式可透過GPS衛星定位功能準確獲取使用者之位置資訊，倘若司法機關也能於搜查辦案過程即時取得此定位資訊，將可提高偵查效率並縮短破案時程。 為此，日本總務省擬將原先須事先通知行動設備使用人與獲得法院令狀後，方得利用GPS衛星定位獲取位置資訊之電信事業個人資料保護指針第26條修訂為司法機關取得法院令狀後，即可利用GPS衛星定位獲取行動設備使用人位置訊息。 然此項修訂除將可能造成行動通訊業者營運上的額外負擔之外，亦有侵害設備使用者之個人隱私與個人資料疑慮。因此，為了抑止濫為偵查，法院令狀之發出須有其必要性，搜查機關亦必須向行動通訊業者為必要性之說明。 再者，此項利用GPS衛星定位獲取位置訊息之方式也僅限於使用Android系統設備且將定位功能開啟之使用者，對於使用Apple iOS系統設備之使用者則不但須使用者開啟定位功能，還須經過美商蘋果公司同意方能取得亦是一項難題。 日本總務省已於2015年4月17日發布此項法令修訂訊息並徵詢公眾意見，預計於6月完成修法並公布之。
歐盟個資保護委員會對英國個資傳輸適足性認定之意見英國自2020年1月31日正式脫離歐盟後，即成為歐盟跨境傳輸的「第三國」。能否持續和歐盟國家進行個資傳輸，就須視歐盟對英國跨境資料保護方式和《一般資料保護規範》（General Data Protection Regulation，GDPR）有無認定雙方具有本質上相同的保護程度，又稱為「適足性」（adequacy）的認定。目前，歐盟給予英國跨境傳輸過渡期到2021年7月，在此之後若希望持續不受限制的交流，就須經歐盟執委會（European Commission, EC）通過適足性認定後才得以進行。 2021年2月19日，歐盟執委會提出草案，認為英國的個資保護標準與歐盟的「GDPR」、「執法機關資料保護指令」（Law Enforcement Directive，LED）有適足性之適用。又在4月14日，歐盟個資保護委員會（European Data Protection Board, EDPB）針對歐盟執委會於2月19日所做的認定草案提出兩項意見： 一、肯認英國現行國內資料保護的核心架構中有關個資保護、處理及控制者的要件及處理方式和GDPR的保護程度並駕其驅。另，肯定英國「2018年資料保護法」（Data Protection Act 2018）中有關GDPR及LED的適用及對「英國資訊委員辦公室」（Information Commissioner’s Office, ICO）所賦予的權利及義務。 但同時，EDPB也向歐盟執委會提出以下幾點注意事項： 英國政府若發展獨立的個資保護政策，將可能與歐盟的保護架構分歧，造成個資保護程度降低。 「2018年資料保護法」中的「移民豁免」政策，讓資料控制者在處理移民相關資料時有廣泛的例外，得免於遵循GDPR之義務。 從英國將歐盟成員的資料傳給「第三國」時，該「第三國」本身需要具有基本上等同於GDPR的資料保護程度，才得允許傳輸。 針對英國政府出於國家安全目的，將個人資料傳輸到英國境內，而有義務免除或特殊情狀時，歐盟執委會應進一步了解或審核。 二、 認為英國法律框架中的核心要件實質上與LED的基礎原則具有高度一致性。因此建議歐盟執委會引入四年的日落條款（four-year sunset clause）方式，並密切觀察英國資料保護的發展，在必要時得以要求修改或終止LED適足性的決定。 針對以上問題，歐盟執委會希望能在6月底前廣納各國意見並做出決定。屆時，若通過適足性認定，其效期將延續4年，之後再進行適足性評估。並可能在英國開始制定相關的適足性及資料保護架構時，歐盟執委會得將其納入定期審查的項目中，以確保歐盟的個資跨境傳輸進入英國後，仍受適當的保護。
英國政府公布「英國醫療器材監管的未來」公眾諮詢結果並確立未來監管方向英國藥物及保健產品管理局（Medicines and Healthcare Products Regulatory Agency, MHRA）於2022年6月22日公布「英國醫療器材監管的未來之公眾諮詢政府回應」（Government response to consultation on the future regulation of medical devices in the United Kingdom），確立未來醫材監管方向。本次諮詢收到將盡900件回應（民眾與業者大約各半），結果顯示民眾業者對於強化醫療器材安全監管的支持。 MHRA將強化MHRA的執法權力，以確保病患安全，並且關注健康不平等議題並減少AI偏見問題；其監管設計上會考量歐盟和全球標準，並致力於建立英國符合性評鑑（UK Conformity Assessed, UKCA）。MHRA於安全方面，將增加製造商、進口商與經銷商的責任，並要求有英國地址的負責人對瑕疵商品負擔法律責任（構成法律責任的要件與製造商同）。其亦將要求製造商賠償被不良事件影響的人、禁止行銷上使用引人錯誤之表示、導入醫材之單一識別碼（Unique Device Identifiers, UDI）與增加註冊所需提供之資料，且製造商須建置上市後不良反應監測系統並回報統計上顯著的不良事件趨勢。創新方面，MHRA欲增設「創新醫療器材上市管道」和「軟體醫材上市管道」，以顧及創新與軟體醫材特殊需求。針對一般軟體醫材（software as a medical device, SaMD）與人工智慧軟體醫材（AI as a medical device, AIaMD）的監管，MHRA僅欲於法規中增加「軟體」的定義，其他規範將由指引的形式公布。此外，其將AIaMD視為SaMD的一種，並不會額外訂定AIaMD相關規範。