美國公民權利辦公室就Sentara醫療機構違反個資外洩通知義務予以重罰
美國衛生及公共服務部（Department of Health and Human Services, 下稱HHS）轄下的公民權利辦公室（Office for Civil Right, 下稱OCR）在2019年11月27日，正式對Sentara醫療機構處以217萬美元行政罰，主因該機構違反《健康保險可攜與責任法》（Health Insurance Portability and Accountability Act, 下稱HIPAA）的醫療個資外洩通知義務。
HIPAA是美國有關醫療個資管理的主要規範，依據HIPAA第164.400條以下「違反通知規則」（Breach Notification Rule）規定，當超過500位病患的「受保護健康資訊」（Protected Health Information, 下稱PHI）遭受不當使用或被外洩時，除應通知受害人外，還必須立即告知HHS以及在當地知名媒體發布新聞。而OCR主要負責檢查受規範機構，是否確實執行HIPAA隱私、安全和違反通知規則。
而在2017年4月，HHS收到指控Sentara將含有病患姓名、帳號、就診日期等涉及PHI的帳單發送到錯誤地址，造成557名病患個資外洩。Sentara卻認為該帳單內容未含有病患病歷、治療資訊或其他診斷紀錄，且僅有8人被影響，並非HIPAA應進行個資外洩通知義務之範疇，故不依規定程序通報HHS。不過OCR認為依HIPAA第160.103條規定，PHI包含病史、保險資訊、就醫紀錄（含日期）、身心健康狀態等可識別個人之健康資訊。因此認為Sentara確實違反個資外洩通知義務，予以罰款並命檢討改善。
Sentara醫療機構服務範圍橫跨美國維吉尼亞州（Virginia）和北卡羅來納州（North Carolina），共有12家急性照護醫院、10家護理中心和3家照護機構，為美國最具知名的大型非營利醫療機構之一。這次重罰也告誡國內醫療機構當發生敏感性醫療個資外洩時應從嚴判斷，以避免民眾對醫療照護單位失去信任，確保國內醫療機構體系應恪遵HIPAA規範。
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 零售業個資法遵實務與資訊安全說明會（台中場）
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
- 【上午場】探索科技法律最前線：資策會科法所「114年成果」分享會暨簡報票選
- 商業服務業個資管理與資訊安全實務宣導說明會（高雄場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台南場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台中場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台北場）※如遇颱風假延期至7/16
- 【北部場1】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場2】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場3】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場4】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【南部場】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【中部場】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【上午場】通傳產業個資管理機制與資料加值運用座談會
- 【下午場】通傳產業個資管理機制與資料加值運用座談會
吳昌鴻
法律研究員 編譯整理
1. OCR Secures $2.175 Million HIPAA Settlement after Hospitals Failed to Properly Notify HHS of a Breach of Unsecured Protected Health Information, HHS, https://www.hhs.gov/about/news/2019/11/27/ocr-secures-2.175-million-dollars-hipaa-settlement-breach-notification-and-privacy-rules.html (last visited Dec. 3, 2019).
2. About Us, OCR, https://www.hhs.gov/ocr/about-us/index.html (last visited Dec. 3, 2019).
3. Breach Notification Rule, OCR, https://www.hhs.gov/hipaa/for-professionals/breach-notification/index.html (last visited Dec. 4, 2019).
人工智慧（Artificial Intelligence, AI）的應用，已逐漸滲透到日常生活各領域中。為提升AI運用之效益，減少AI對個人與社會帶來之負面衝擊，英國資訊委員辦公室（Information Commissioner’s Office, ICO）於2019年3月提出「AI稽核框架」（Auditing Framework for Artificial Intelligence），作為確保AI應用合乎規範要求的方法論，並藉機引導公務機關和企業組織，評估與管理AI應用對資料保護之風險，進而建構一個可信賴的AI應用環境。 AI稽核框架主要由二大面向所構成—「治理與可歸責性」（governance and accountability）以及「AI特定風險領域」（AI-specific risk areas）。「治理與可歸責性」面向，係就公務機關和企業組織，應採取措施以遵循資料保護規範要求的角度切入，提出八項稽核重點，包括：風險偏好（risk appetite）、設計階段納入資料保護及透過預設保護資料（data protection by design and by default）、領導管理與監督（leadership management and oversight）、政策與程序（policies and procedures）、管理與通報架構（management and reporting structures）、文書作業與稽核紀錄（documentation and audit trails）、遵循與確保能力（compliance and assurance capabilities）、教育訓練與意識（training and awareness）。 「AI特定風險領域」面向，則是ICO特別針對AI，盤點下列八項潛在的資料保護風險，作為風險管理之關注重點： 一、 資料側寫之公平性與透明性（fairness and transparency in profiling）； 二、 準確性（accuracy）：包含AI開發過程中資料使用之準確性，以及應用AI所衍生資料之準確性； 三、 完全自動化決策模型（fully automated decision making models）：涉及人類介入AI決策之程度，歐盟一般資料保護規則（General Data Protection Regulation, GDPR）原則上禁止無人為介入的單純自動化決策； 四、 安全性與網路（security and cyber）：包括AI測試、委外處理資料、資料重新識別等風險； 五、 權衡（trade-offs）：不同規範原則之間的取捨，如隱私保護與資料準確性； 六、 資料最少化與目的限制（data minimization and purpose limitation）； 七、 資料當事人之權利行使（exercise of rights）； 八、 對廣泛公共利益和權利之衝擊（impact on broader public interests and rights）。 ICO將持續就前述AI特定風險領域，進行更深入的分析，並開放公眾討論，未來亦將提供相關技術和組織上之控制措施，供公務機關及企業組織進行稽核實務時之參考。
美國總統發布行政命令啟動創世紀任務，整合AI資源加速科學發現，鞏固AI技術領導地位美國總統川普於2025年11月24日發布行政命令（Executive Order）啟動創世紀任務（Launching The Genesis Mission），旨在建立美國科學與安全AI平臺（下稱AI平臺），整合聯邦政府長期累積之科學資料集、國家研發及運算資源，訓練可自動化研究、加速科學發現之AI模型，強化國家安全、提高勞動生產力及研發投資報酬率，鞏固美國AI技術領導地位。 行政命令重點如下： （1）權責分配：由能源部長（Secretary of Energy）確保將執行創世紀任務所需資源統一整合至AI平臺，並訂定安全計畫。由總統科學技術助理（Assistant to the President for Science and Technology, APST）領導，透過國家科學技術委員會（National Science and Technology Council, NSTC）協調所有參與之行政部門。 （2）AI平臺之運作：提供能源部國家實驗室超級電腦、安全雲端運算環境等高效能運算資源、AI建模與分析框架、運算工具、各學科領域基礎模型，並在適法前提下，提供聯邦政府所管理之資料集、開放科學資料集或能源部生成之合成資料集。 （3）識別國家科學技術挑戰：能源部長應提交創世紀任務優先應對之國家重要科學技術挑戰清單，涵蓋先進製造、生物科技、關鍵原物料、核能、量子資訊科學、半導體與微電子學領域，經APST審查並與NSTC參與成員研議後定案。 （4）跨部門協調及外部參與：召集相關部門參與，訂定資源配置計畫整合各部門可用資料與基礎設施。提供獎補助，鼓勵私部門參與符合任務目標之AI驅動科學研究。設立研究獎學金、實習與學徒制計畫，提供AI平臺使用權及AI賦能科學發現培訓。在維護聯邦研究資產安全及公共利益最大化之前提下，建立標準化合作夥伴機制，與擁有先進AI、資料、運算能力或科學專業知識之外部夥伴合作。 行政命令就前述事項設定執行時程，且明定自發布之日起1年內及此後每年，能源部長應向總統提交報告，說明各事項之運作情況與達成成果。
巴西通過290號規範性指令，促進已獲外國監管機構註冊之醫療器材於國內快速上市巴西國家衛生監督局(Agência Nacional de Vigilância Sanitária, Anvisa)為強化國際監管機構間信任，並促進具有臨床效益的健康產品快速流通，於2022年8月通過第741號合議理事會決議（Resolução da Diretoria Colegiada - RDC N° 741），宣布若已透過等效外國監管機構（Autoridade Reguladora Estrangeira Equivalente, AREE）–即具有與 Anvisa一致之監管方式的外國監管機構–認定符合公認之品質、安全性和有效性標準之醫療產品，可利用AREE的註冊或授權證明相關文件，於巴西當地申請上市註冊的過程中，獲得簡化審查的優惠措施。在此框架下，Anvisa於2024年4月4日通過第290號規範性指令 （Instrução Normativa - N° 290），內文指出醫療器材及體外診斷醫材產品可於2024年6月3日起，於註冊上市的過程中提交AREE之證明文件以進入簡審程序。 第290號規範性指令明確指出，目前獲巴西政府認可之醫療器材AREE及對應之註冊或授權證明，包含以下機構：（1）美國食品及藥物管理局（U.S. Food and Drug Administration, FDA）之上市前批准（PMA）、510(k)或De Novo；（2）加拿大衛生部（Health Canada, HC） 之醫療器材許可證；（3）澳洲醫療用品管理局（Therapeutic Goods Administration, TGA）之澳洲治療用品登記冊 ；（4）日本厚生勞動省（Ministry of Health, Labour and Welfare, MHLW）之上市前批准。另外，欲適用簡化程序的註冊產品，則需與AREE頒發授權證明之產品具有「本質上相同性」（Dispositivo Médico Essencialmente Idêntico），具體包含產品之技術規格、適應症、預期用途、製造商、製造流程，以及安全與性能上的一致性。 此政策透過值得信賴的監管單位把關，不僅可促進國際間醫療器材之貿易流通，更可能有效減少巴西當局於審查過程的行政成本，進而提升國內的產品審查效率。然值得注意的是，在各國醫療器材監管法規與行政裁量基準不完全一致的現況下，各國政府對於醫療器材之分類、臨床數據及健康風險的解釋與判斷結果也不見得相同，Avisa未來在醫療器材上市審核的過程中，將如何看待及利用來自AREE之證明文件，有待未來持續觀察其實施成效。
地方創生「地方創生」之概念源於2014年日本安倍內閣所提出的地方治理新模式，又稱「激勵地方小經濟圈再生」政策（ちほうそうせい），其施政重點主要為解決三大問題：人口高齡化和負成長造成的勞動力人口的減少、人口過度集中都會區（尤其是東京）以及地方人口外流以致人力資源不足而使地方經濟發展面臨困境之情形。 自2008年以來，日本人口開始加劇下降，導致消費和經濟實力下降，成為日本經濟和社會的沉重負擔。為解決該情況，國家與地方合作對地區發展持續落實、檢討、修正相關政策。政策原則為自立性、未來性、區域性、直接性、結果導向；政策內容亦稱為地方創生三支箭（地方創生版・三本の矢），包含： 資訊支援（情報支援）：推廣區域經濟分析系統（Regional Economy Society Analyzing System, RESAS），使各地區能對產業、人口、社會進行必要的數據分析，並能依據分析結果解決地方問題。 人才支援：維持地方生活在地化、就學在地化、服務在地化，並派駐國家公務員至小規模的地方政府機關，輔佐地方機關首長。 財政支援：補助地方創生政策執行、補助地方基礎建設、施行地方稅制改革。 地方創生之目標，在於鼓勵日本國民維持在當地工作，為地區創造新人潮，並使地方年輕人能在家鄉安心結婚育兒，此外，讓各地結合地理及人文特色，發展出最適合地方的產業，中央和地方持續合作以實現地方政府的永續發展目標。