美國公民權利辦公室就Sentara醫療機構違反個資外洩通知義務予以重罰
美國衛生及公共服務部（Department of Health and Human Services, 下稱HHS）轄下的公民權利辦公室（Office for Civil Right, 下稱OCR）在2019年11月27日，正式對Sentara醫療機構處以217萬美元行政罰，主因該機構違反《健康保險可攜與責任法》（Health Insurance Portability and Accountability Act, 下稱HIPAA）的醫療個資外洩通知義務。
HIPAA是美國有關醫療個資管理的主要規範，依據HIPAA第164.400條以下「違反通知規則」（Breach Notification Rule）規定，當超過500位病患的「受保護健康資訊」（Protected Health Information, 下稱PHI）遭受不當使用或被外洩時，除應通知受害人外，還必須立即告知HHS以及在當地知名媒體發布新聞。而OCR主要負責檢查受規範機構，是否確實執行HIPAA隱私、安全和違反通知規則。
而在2017年4月，HHS收到指控Sentara將含有病患姓名、帳號、就診日期等涉及PHI的帳單發送到錯誤地址，造成557名病患個資外洩。Sentara卻認為該帳單內容未含有病患病歷、治療資訊或其他診斷紀錄，且僅有8人被影響，並非HIPAA應進行個資外洩通知義務之範疇，故不依規定程序通報HHS。不過OCR認為依HIPAA第160.103條規定，PHI包含病史、保險資訊、就醫紀錄（含日期）、身心健康狀態等可識別個人之健康資訊。因此認為Sentara確實違反個資外洩通知義務，予以罰款並命檢討改善。
Sentara醫療機構服務範圍橫跨美國維吉尼亞州（Virginia）和北卡羅來納州（North Carolina），共有12家急性照護醫院、10家護理中心和3家照護機構，為美國最具知名的大型非營利醫療機構之一。這次重罰也告誡國內醫療機構當發生敏感性醫療個資外洩時應從嚴判斷，以避免民眾對醫療照護單位失去信任，確保國內醫療機構體系應恪遵HIPAA規範。
- 【台中場】通訊傳播事業個資法遵教育訓練
- 【新北場】通訊傳播事業個資法遵教育訓練
- 【高雄場】通訊傳播事業個資法遵教育訓練
- 【台北場2】通訊傳播事業個資法遵教育訓練
- 零售業個資法遵實務與資訊安全說明會
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 零售業個資法遵實務與資訊安全說明會（台中場）
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
- 【上午場】探索科技法律最前線：資策會科法所「114年成果」分享會暨簡報票選
- 商業服務業個資管理與資訊安全實務宣導說明會（高雄場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台南場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台中場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台北場）※如遇颱風假延期至7/16
- 【北部場1】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場2】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場3】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場4】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【南部場】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【中部場】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
吳昌鴻
法律研究員 編譯整理
1. OCR Secures $2.175 Million HIPAA Settlement after Hospitals Failed to Properly Notify HHS of a Breach of Unsecured Protected Health Information, HHS, https://www.hhs.gov/about/news/2019/11/27/ocr-secures-2.175-million-dollars-hipaa-settlement-breach-notification-and-privacy-rules.html (last visited Dec. 3, 2019).
2. About Us, OCR, https://www.hhs.gov/ocr/about-us/index.html (last visited Dec. 3, 2019).
3. Breach Notification Rule, OCR, https://www.hhs.gov/hipaa/for-professionals/breach-notification/index.html (last visited Dec. 4, 2019).
加利福尼亞州（下簡稱加州）州長Jerry Brown於2018年9月30日簽署了一項新法案，規定在加州註冊成立的上市公司以及總部位於加州並在美國證交所上市的外國公司（如德拉瓦州公司），都必須在2019年底之前，於其董事會安排至少一位女性擔任董事，否則將面臨處罰；而此項新規定，亦使加州成為美國第一個要求上市公司將女性納入董事會的州。 此項規定並規定，在2021年年底前，若董事會的規模為6名以上，至少需有3名女性董事，若董事會的規模為5名成員，則至少需有2名女性董事，若董事會規模為4名以下董事，則至少需有1名女性董事。違反此項規定，將受到以下處罰：（1）首次違反處以10萬美元的罰款；（2）再度違反處以30萬美元的罰款，隨後再處以每次違反的罰款。 根據統計，日前在美國3000家最大的上市公司的董事會組成中，女性僅占其中18%，於2017年，更有624家上市公司的董事會中根本沒有女性。該法案表明，促進公司董事會性別平等不僅可以改善所有女性的職場機會，同時還能提高生產力，其依據是瑞士信貸（Credit Suisse）於2014年所作出的一項研究，該研究發現，擁有全男性董事會的公司，其平均股本回報率（Return on Equity, ROE）為10.1%，而擁有至少一名女性董事的公司，其平均股本回報率為12.2%。 根據彭博社(Bloomberg)於2019年的一項新分析，此項變革可為女性提供692個席次，並足以導致美國公司董事會整體性別平衡產生顯著的變化。此外，新紐澤西州(New Jersey)和馬薩諸塞州(Massachusetts)亦在考慮進行類似的立法，其他州也通過了不具拘束力的準則。根據統計，若其他州採用和加州相同立法，羅素3000(Russell 3000)中的公司需要在幾年內為女性開放3732個董事會席次，全國董事會的女性人數將增加近75%。 縱使該法案的反對者認為，這將增加企業改善種族和民族多樣性的難度，並質疑法案的適法性，然該法案的提出者仍認為，此一措施對於提升女性的代表權是必要的，相信當董事會組成多元化，女性的聲音能被聽到時，對整體勞動力的改善會是更好的。
日本與歐盟達成GDPR適足性認定之合意，預定於今年秋天完成相關程序日本個人情報保護委員會於5月31日與歐盟執行委員會，對於取得之個人資料跨境傳輸相互承認達成實質合意。歐盟今年5月施行之歐盟個人資料保護規則（European Union General Data Protection Regulation,GDPR）對於個人資料之跨境傳輸係採「原則禁止、例外允許」模式，因此只有在符合例外之情形下，個人資料才能進行跨境傳輸，而例外獲得許可的情形包括由企業自主採行符合規範的適當保護措施，或取得個資當事人明確同意等方式。此外，GDPR也規定對第三國或地區個人資料保護水平是否達到GDPR標準，為適足性認定制度，取得此一認定資格者，即可自由與歐盟間進行個人資料跨境傳輸。目前有瑞士等11個國家及地區取得認定，日本則尚未取得。 日本為了減輕企業的負擔，2016年7月個人情報委員會決定處理方針，以取得相互認定承認為目標；於2017年1月歐盟執行委員會政策文書發表，將日本列為適足性認定之優先國家，將持續進行雙方後續對話。自2016年4月自2018年5月為止累計對話協商53次。於2017年5月施行修正之個人資料保護法，新導入域外適用規定，並對於國外執行當局為必要資訊提供為相關規定。依據上述對話意見，今年2月14日審議擬定「個人資料保護法指引－歐盟適足性認定之個人資料傳輸處理編(個人情報の保護に関する法律についてのガイドラインーEU域内から十分性認定により移転を受けた個人データの取扱い編)」草案，於今年4月25日至5月25日完成草案預告及意見徵集程序，預定於今年7月上旬訂定發布。其後，將於今年秋天完成歐盟與日本間相互指定與認定程序。亦即，個人情報保護委員會基於個人資料保護法第24條規定，指定歐洲經濟區（EEA）為與日本有同等水準之個人資料保護制度之外國，而歐盟執行委員會依據GDPR第45條規定，認定日本為具備適足保護水準。相互認定後，日本與歐盟間得相互為個人資料傳輸，如有相互協力必要性發生時，個人情報保護委員會及歐洲執行委員會應相互協議以為解決。
日本修正《氫能基本戰略》以實現氫能社會日本於2023年6月6日召開有關「再生能源、氫能等相關」內閣會議，時隔6年修正《氫能基本戰略》（水素基本戦略），其主要以「水電解裝置」、「燃料電池」等9種技術作為戰略領域，預計15年間透過官民投資15兆日元支援氫能相關企業，希冀盡速實現氫能社會。 日本早於2017年即提出氫能基本戰略，由於氫氣在使用過程中不會產生溫室氣體或其他污染物質，被認為是可以取代傳統化石燃料的潔淨能源，欲以官民共同合作，無論在日常生活、生產製造等活動下，都能透過氫能發電方式，達成氫能社會，故推出降低氫能成本、導入氫能用量的政策，並以2030年為目標，將氫能的用量設定為30萬噸、同時將氫能成本降為30日元/Nm3（以往價格為100日元/Nm3），使其成本與汽油和液化天然氣成本相當。為配合2021年《綠色成長戰略》，日本再次擴充目標，透過活用綠色創新基金，集中支援日本企業之水電解裝置和其他科技裝置，預計在2030年的氫能最大供給量達每年300萬噸、2050年可達2000萬噸。 然而隨著各國紛紛提出脫碳政策和投資計畫，再加上俄烏戰爭之影響，全球能源供需結構發生巨大變化，例如：德國成立氫氣專案（H2 Global Foundation）投入9億歐元，以市場拍賣及政府補貼成本的方式推動氫能、美國則以《降低通膨法》（The Inflation Reduction Act），針對氫能給予稅率上優惠措施等，在氫能領域進行大量投資，故為因應國際競爭，日本重新再審視國內氫能發展，並修正《氫能基本戰略》，除提出「氫能產業戰略」及「氫能安全保障戰略」外，本次主要修正之重要措施摘要如下： 1.維持2030年、2050年氫能最大供給量之設定，但新增2040年時提出氫能的最大供給量目標為1200萬噸。 2.由於水電解裝置在製造綠氫時不可缺，爰設定相關企業於2030年前導入15GW左右的水電解裝置，同時確立日本將以氫能製造為基礎之政策。 3.鑒於氫能科技尚不純熟、氫能價格前景不確定性高，在氫能供應鏈的建構上有較大風險，故透過保險制度分擔風險，以提高經營者、金融機構投資氫能之意願。 4.藉由氫能結合渦輪、運輸（汽車、船舶）、煉鐵化學等其他領域，期以氫氣發電渦輪、FC卡車（使用氫氣燃料電池Fuel Cell之卡車）、氫還原製鐵為中心，强化國際競爭力，創造氫能需求。 5.預計10年間，以產業規模需要在都市圈建設3處「大規模」氫能供給基礎設施；另依產業特性預計於具相當需求之地區，建設5處「中等規模」基礎設施。
美國參議院通過《兒童網路隱私保護法》與《兒童網路安全法》，有望加強兒少網路安全保護力道在數位時代，兒童及青少年長時間使用網際網路已成為生活常態，然而，兒少在高度使用社群媒體的同時，也透過演算法大量獲取諸如飲食失調、自殘等「有毒內容」（toxic content）。在享受網路便利性的同時，兒少也面臨遭受騷擾、霸凌，被迫轉學甚至輕生等困境，心理健康面臨危機。為解決前揭問題，美國參議院於2024年7月30日通過《兒童網路隱私保護法》（Children’s Online Privacy Protection Act, COPPA）修正法案及《兒童網路安全法》（Kids Online Safety Act, KOSA）之立法，加強兒少網路安全之保護。 COPPA早於1998年制定，並於2000年開始施行，該法案對於網路營運商蒐集未滿13歲兒童之個人資料相關隱私政策訂有規範，惟自訂定後迄今約25年，均未因應時代變遷做出調整，終於在本次會期提出修正草案。另KOSA之立法重點，則在於要求網路平台業者對兒童預設提供最高強度隱私設定，並建立控制措施，提供父母保護子女及認知到有害行為的機制，課予網路平台業者預防及減輕兒童陷於特定危險（如接收宣傳有毒內容之廣告）之義務等。此二法案經參議院投票通過後，合併為一案送交眾議院審核，重點說明如下： 1.將網路隱私保護主體擴張至未滿13歲之兒童及未滿17歲之青少年（下稱兒少），禁止網路平台業者在未經兒少使用者同意情況下，蒐集其個人資料。 2.禁止網路平台業者對兒少投放定向廣告（targeted advertising）。 3.為保護「合理可能會使用（reasonably likely to be）」網路平台的兒少，調整法案適用的「實際認知（actual knowledge）」標準，將適用範圍擴及至「合理可能被兒少使用（reasonably likely to be used）」的網路平台。 4.建立「清除鈕（eraser button）」機制，使兒少及其父母得以要求網路平台業者在技術可行情況下，刪除自兒少所蒐集之個人資料。 5.要求商務部（the Secretary of Commerce）於新法頒布後180日內，應成立並召集兒童網路安全會議（Kids Online Safety Council），進行包含識別網路平台對兒少造成危害之風險，提出相關評估、預防及減輕危害之建議措施及方法、進行與網路對兒少造成危害相關主題之研究等業務。 觀本次可謂美國對於兒少網路保護之重大進展，惟此法案後續是否能順利提請總統簽署成法，正式具約束效力，仍須持續關注眾議院未來動向。