美國公民權利辦公室就Sentara醫療機構違反個資外洩通知義務予以重罰
美國衛生及公共服務部（Department of Health and Human Services, 下稱HHS）轄下的公民權利辦公室（Office for Civil Right, 下稱OCR）在2019年11月27日，正式對Sentara醫療機構處以217萬美元行政罰，主因該機構違反《健康保險可攜與責任法》（Health Insurance Portability and Accountability Act, 下稱HIPAA）的醫療個資外洩通知義務。
HIPAA是美國有關醫療個資管理的主要規範，依據HIPAA第164.400條以下「違反通知規則」（Breach Notification Rule）規定，當超過500位病患的「受保護健康資訊」（Protected Health Information, 下稱PHI）遭受不當使用或被外洩時，除應通知受害人外，還必須立即告知HHS以及在當地知名媒體發布新聞。而OCR主要負責檢查受規範機構，是否確實執行HIPAA隱私、安全和違反通知規則。
而在2017年4月，HHS收到指控Sentara將含有病患姓名、帳號、就診日期等涉及PHI的帳單發送到錯誤地址，造成557名病患個資外洩。Sentara卻認為該帳單內容未含有病患病歷、治療資訊或其他診斷紀錄，且僅有8人被影響，並非HIPAA應進行個資外洩通知義務之範疇，故不依規定程序通報HHS。不過OCR認為依HIPAA第160.103條規定，PHI包含病史、保險資訊、就醫紀錄（含日期）、身心健康狀態等可識別個人之健康資訊。因此認為Sentara確實違反個資外洩通知義務，予以罰款並命檢討改善。
Sentara醫療機構服務範圍橫跨美國維吉尼亞州（Virginia）和北卡羅來納州（North Carolina），共有12家急性照護醫院、10家護理中心和3家照護機構，為美國最具知名的大型非營利醫療機構之一。這次重罰也告誡國內醫療機構當發生敏感性醫療個資外洩時應從嚴判斷，以避免民眾對醫療照護單位失去信任，確保國內醫療機構體系應恪遵HIPAA規範。
- 零售業個資法遵實務與資訊安全說明會
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 零售業個資法遵實務與資訊安全說明會（台中場）
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
- 【上午場】探索科技法律最前線：資策會科法所「114年成果」分享會暨簡報票選
- 商業服務業個資管理與資訊安全實務宣導說明會（高雄場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台南場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台中場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台北場）※如遇颱風假延期至7/16
- 【北部場1】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場2】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場3】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場4】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【南部場】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【中部場】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
吳昌鴻
法律研究員 編譯整理
1. OCR Secures $2.175 Million HIPAA Settlement after Hospitals Failed to Properly Notify HHS of a Breach of Unsecured Protected Health Information, HHS, https://www.hhs.gov/about/news/2019/11/27/ocr-secures-2.175-million-dollars-hipaa-settlement-breach-notification-and-privacy-rules.html (last visited Dec. 3, 2019).
2. About Us, OCR, https://www.hhs.gov/ocr/about-us/index.html (last visited Dec. 3, 2019).
3. Breach Notification Rule, OCR, https://www.hhs.gov/hipaa/for-professionals/breach-notification/index.html (last visited Dec. 4, 2019).
美國白宮於2021年3月31日發布「美國就業計畫」說明文件（FACT SHEET: The American Jobs Plan），針對美國當前所面臨基礎建設老舊、失業率攀升、氣候變遷與來自中國的技術競爭等問題，預計在未來八年內每年投資約GDP的1%，共投入約2兆美元（約合新台幣56兆元）於修復與升級國家基礎建設、振興製造業、投資基礎科學研究、支持供應鏈、推動能源轉型、幼兒教育及長照醫療等項目上。 本說明文件指出，雖然美國為世界上最富裕的國家，但許多基礎建設都逐漸變得老舊或不合時宜，部份人民仍無法享有高速網路與價格可負擔的房屋，而在疫情的衝擊下不僅導致工作機會喪失，更威脅到國家經濟安全。除此之外，美國在科技研發、製造與人才培育上開始落後於最大的競爭對手，顯示政府有必要加快在基礎建設與科技研發的投資，以重建美國的國家競爭力並創造更多的就業機會。 針對投資基礎建設部分，包含交通基礎建設如修復高速公路、橋樑，並升級港口、機場及運輸系統，並改善飲水、電力與網路布建，提供全體人民可負擔、可靠的高速寬頻服務；除了提高基礎建設在面對氣候變遷危機時的韌性，也提供美國人民更安全、可靠、便利的生活條件。在更新基礎建設的同時，將採用符合永續性及創新性的建築材料，並優先使用在美國製造與販售的零組件，以支持國內產業與創造就業機會。 而在投資科技研發部分，相對於中國大陸正大力投資於研發，其研發支出為世界第二，美國在投資科技研發占GDP比率卻持續下降，為了支持研發團隊克服高度創新（high-innovation）技術的障礙，有必要提高對於國內研究人員、實驗室及大學院校的投資。因此白宮呼籲國會支持國家科學基金會（NSF）投資500億美元設立技術局（technology directorate），用於整合國家研究資源，投入半導體及高級通訊技術、高級能源技術及生物技術的研發，並預計投資400億美元於全國實驗室研究設施與網路的升級。 除此之外，白宮規劃投資350億美元於研發克服氣候變遷危機的技術解決方案，包括開發減少排放和建立氣候適應力的新方法，並呼籲國會投資100億美元於傳統黑人大學（HBCUs）、弱勢族群教育機構（MSIs）的科技研發以避免種族與性別落差，投資200億美元於區域創新中心及社區再生基金，向國家標準技術協會（NIST）投資140億美元推動產官學合作研發，以及規劃310億美元用於中小企業信貸、創投及研發資金，特別是地區型的小型孵化器及創新聚落，以支持有色人種及弱勢族群的新創事業成長。
電信產業號碼資料庫之應用與法制議題－以個人隱私保護為中心 美國聯邦最高法院禁止警察在未取得令狀前搜索手機內容2014年6月25日，美國聯邦最高法院就Riley v. California一案作出判決，否定了附帶搜索（註）亦適用於行動電話的見解，並要求警察在查看嫌犯手機的內容前必須取得搜索票。 法院見解認為，由於手機裡的資料顯然不會造成執法者人身安全的危險，而在警察取得搜索票的這段期間內，資料也不可能遺失（甚至可以透過切斷手機連線功能，防免資料因遠端移除或加密而遺失），因此手機內容應不在附帶搜索的適用範圍內。判決中另指出，智慧型手機已經成為人們日常生活中無時無刻、無所不在的一部分，其中含有大量的個人資訊，包括通聯紀錄、標記有日期及地點的照片與影片、網路搜尋及瀏覽紀錄、購物清單及GPS定位等，若允許警察在未取得搜索票的情況下查看嫌犯手機，將有可能嚴重侵犯到個人隱私。 首席大法官John Roberts表示：「如果更進一步地細究系爭隱私利益之範圍，用戶在現代手機上所看到的資料，事實上並不儲存在裝置本身。將手機看作一個容器並對其內容實施附帶搜索，這樣的預設是有點勉強的，尤其當手機被用來讀取儲存在他處的資料時，這種說法更是完全無法成立。」 在其協同意見書中，大法官Samuel Alito也認為，相對於非電子資訊，法院為電子資訊提供了更多的隱私保護。同樣是通聯記錄，如果是從嫌犯口袋裡扣押的紙本帳單取得，在法律上毋須取得令狀即得搜索，但如果是儲存在手機裡就不是這麼一回事了。 註：為保護執法者人身安全並防免被告湮滅證據，我國刑事訴訟法第130條規定，檢察官、檢察事務官、司法警察官或司法警察逮捕嫌犯或執行拘提、羈押時，雖無搜索票，得逕行搜索其身體、隨身攜帶之物件、所使用之交通工具及其立即可觸及之處所，學說上稱作「附帶搜索」，為令狀搜索原則之例外。
美國加州機動車輛管理局3月10日發布無人駕駛車輛管理方案無人駕駛汽車、電腦駕駛汽車或輪式移動機器人，皆屬自動化載具的一種，具有傳統汽車的運輸能力。而作為自動化載具，自動駕駛汽車不需要人為操作即能感測其環境及導航。目前無人車仍未全面商用化，大多數均為原型機及展示系統，部份可靠技術才下放至商用車型，但有關於自駕車逐漸成為現實，已經引起了很多有關於道德與法律上的討論。 無人駕駛車輛若能夠變得商用化，將可能對整體社會造成破壞性創新的重大影響。然而，在商品化之前的實際道路測試是自動駕駛車輛開發過程非常重要的一環，是否允許自動駕駛車輛實際上路測試為各地交通主管機關之職責。因此，為了保障公共安全與推廣創新，為美國加州機動車輛管理局(Department of Motor vehicles ，下稱加州DMV)便自2015年12月公布無人駕駛車輛規範草案後，歷經2016年9月的修正，於2017年3月10日正式公布無人駕駛車輛管理規範。 美國加州申請自動駕駛車輛上路測試規定係依據加州汽車法規 （California Vehicle Code）38750 中之條款 3.7所訂定，依照加州DMV規畫，在社區內和高速公路上進行測試的自動駕駛車，仍需與傳統汽車一樣，具有方向盤與煞車踏板，而且駕駛座上亦需有人隨時待命應付緊急情況發生。此外，無人駕駛車輛尚必須有人進行遠距監控，並且能在緊急情況發生時安全停靠路邊。 截至2017年3月8日，已有27家公司獲得加州DMV許可，在道路上測試無人駕駛車輛，且這些車輛迄今只造成少數事故。加州DMV公布無人駕駛車輛管理規範後，還將於2017年4月24日舉行公聽會持續蒐集意見，研擬規範修改內容，以符合實際需求。 人駕駛車輛是汽車產業未來發展的趨勢之一，我國於不久的將來亦可能面臨有無人駕駛車輛在國內進行實際道路測試的需求。然而，我國地狹人稠，交通狀況複雜，且國人守法觀念尚有加強空間，確也增添無人駕駛車輛在國內道路測試的挑戰性，以及主管機關於受理測試申請之困難度。因此，加州DMV所公布之無人駕駛車輛管理規範之後續發展，值得吾人持續關注。