英國推出《藥品和醫療器材法》草案
英國政府於2020年2月13日發布了《藥品和醫療器材法》（Medicines and Medical Devices Bill）草案。根據英國國民保健署（NHS）的聲明，新法草案修改以及補充了現有的英國藥品、醫療器材、臨床試驗監管框架，確保英國能夠開發具有開拓性的醫療技術。
本次草案的提出原因之一為英國計劃自2020年12月31日起退出歐盟，過去英國藥品與醫療器材法律乃援引歐盟相關指令與規則（例如：歐盟醫療器材法規，Medical Device Regulation, (EU) 2017/745），一旦脫歐過渡期結束，英國將無法再透過1972年《歐洲共同體法》（ECA 1972）援用歐盟的規定來規範與更新藥品、醫療器材與臨床試驗法律。
本次法案另有幾項新增重點：
- 醫療器材主管機關英國藥品和醫療產品監管署（Medicines and Healthcare Products Regulatory Agency）成為唯一有權簽發執行通知書（enforcement notices）的機關。
- 草案第23條明確指出哪些違反英國《2002年醫療器材法規》（Medical Devices Regulations 2002）的行為可能導致刑事犯罪。
- 草案第26條針對違反英國《2002年醫療器材法規》的人有新的民事制裁（civil sanctions）規範框架。例如在本法草案附表1（Schedule 1）中提及將賦予內閣大臣權力，得對違反《2002年醫療器材法規》之個人處以罰款（monetary penalty）。
- 草案第34條賦予內閣大臣權力向公眾分享有關醫療器材的資訊，例如受個資法保護或屬商業機密的醫療器材安全的資訊。
目前法案草案在國會二讀階段。
蔡宜臻
專案經理 編譯整理
1. Medicines and Medical Devices Bill (HC Bill 90), https://publications.parliament.uk/pa/bills/cbill/58-01/0090/cbill_2019-20210090_en_1.htm (last visited Mar. 17, 2020)
2. UK government publishes new draft legislation on medicines and medical devices, https://www.biosliceblog.com/2020/02/uk-government-publishes-new-draft-legislation-on-medicines-and-medical-devices (last visited Mar. 17, 2020)
愛爾蘭資料保護委員會（Data Protection Commission，DPC）於今（2021）年9月宣告WhatsApp Ireland Limited（下稱WhatsApp）違反歐盟一般資料保護規則（General Data Protection Regulation，GDPR）並處以高額裁罰。 DPC自2018年12月起主動調查WhatsApp是否違反GDPR下的透明化義務，包括WhatsApp透過其軟體蒐集用戶與非用戶的個人資料時，是否有依GDPR第12條至第14條提供包括個資處理目的、法律依據等相關資訊，以及該資訊有無符合透明化原則等，其中又以WhatsApp是否提供「如何與其他關係企業（如Facebook）分享個資」之相關資訊為調查重點。 歷經長時間的調查，DPC作為本案領導監管機關（lead supervisory authority），於2020年12月依GDPR第60條提交裁決草案予其他相關監管機關（supervisory authorities concerned）審議。惟DPC與其他相關監管機關就該裁決草案無法達成共識，DPC復於今年6月依GDPR第65條啟動爭議解決程序，而歐洲資料委員會（European Data Protection Board）在同年7月對裁決草案中的疑義做出有拘束力之結論，要求DPC提高草案中擬定的罰鍰金額。 DPC最終在今年9月2日公布正式裁決，認定WhatsApp未依第12條至第14條提供資訊予「非軟體用戶」之資料主體，而「軟體用戶」的部分也僅有41%符合規範，嚴重違反GDPR第5(1)(a)條透明化原則。據此，以母公司Facebook全集團營業額作為裁罰基準，DPC對WhatsApp處2.25億歐元之罰鍰，為GDPR生效以來第二高的裁罰，並限期3個月改善。
「美國疾病控制和預防中心」公布對長照機構之居民施打疫苗之措施美國疾病控制和預防中心（Centers for Disease Control and Prevention, CDC）（下稱中心）於2021年3月5日公布長照機構（下稱機構）居民施打新型冠狀病毒（COVID-19）（下稱病毒）疫苗之重要措施。由於機構內人口密集、居民本身已患有疾病，其所面臨死亡的風險比一般人高，因此應重視此類族群的疫苗接種情形。 中心期望透過施打疫苗來降低機構居民可能死於病毒之風險。目前此疫苗已經過多次的臨床試驗，參與臨床試驗之族群也包含65歲以上之長者，多方面確保符合各族群的施打疫苗之安全性，而目前試驗過程中也並未出現嚴重的安全問題，即使出現副作用也多是較輕微症狀，例如施打部位之疼痛、發燒、發冷等症狀，中心認為施打的好處優於副作用，因此中心與美國疫苗接種諮詢委員會（Advisory Committee on Immunization Practices，ACIP）同意對機構居民進行疫苗施打。 由於機構之居住者多為無法獨立自理生活之失能者，需透過機構來提供失能者醫療服務，而居民大多本身就有一些疾病，受感染病毒而造成死亡的機率較大，雖然法律並沒有特別要求應徵得當事人同意才能施打疫苗，但中心認為徵得居民同意，或徵得代表居民做出醫療措施決定之人的同意施打疫苗會比較謹慎，並且在施打前必須說明與解釋疫苗施打的風險，以及依照作業程序將施打紀錄製作於文件中。 中心也正在與多家藥局合作，協助機構對於施打疫苗之居民與家屬進行風險告知與解釋說明施打疫苗之相關知識，除了取得居民之同意並採取紀錄程序外，每位接受施打疫苗之居民或居民之照顧者將會取得疫苗接種紀錄卡，因為某些疫苗需要注射兩次以上才能達到最佳保護，紀錄卡能顯示完整的疫苗施打過程。除此之外，措施規定居民在施打疫苗後必須遵守幾點注意事項： 施打疫苗後必須配戴口罩。 與他人保持至約183公分之距離。 避開人群和通風不良的地方。 勤洗手與消毒。 遵循中心發布之旅行指南。 遵循隔離指導。 有此可知中心期望能透過施打疫苗的方式來降低居民因病毒而受感染死亡之風險，也透過徵得居民書面同意文件的方式，以確保中心與居民之醫療程序保障。
美國羅德島州通過《羅德島資料透明度與隱私保護法》，保護個人資料不被濫用，該法案將於2026年1月1日生效隨著網路蓬勃發展，個人資料之蒐集、處理及利用越來越普遍，同時也造成資料洩漏和濫用的問題日益嚴重，進而對隱私和個人資料構成侵害與威脅，為保障人民隱私和增強資料透明度，羅德島州州議會於2024年通過了一項具有里程碑意義的法律—《羅德島資料透明度與隱私保護法》（Rhode Island Data Transparency and Privacy Protection Act）。其核心內容包括以下幾個方面： 一、 適用對象：於羅德島州州內經營商業之營利組織（下簡稱企業），或主要生產製造商品、提供服務予該州居民之企業，且： 1. 在前一年度控制或處理超過三萬五千筆個人資料（personally identifiable information）者，但單純為完成付款交易之資料除外。 2. 控制或處理超過一萬筆個人資料，且總營收超過百分之二十係源自於銷售個人資料者。 二、 資料蒐集企業與資料當事人權利義務： 1. 選擇同意與退出權：前開適用對象應賦予資料當事人即消費者就其個人資料之蒐集、處理，行使選擇同意權（opt in）與退出權（opt out）。 2. 資料蒐集與利用透明度：要求企業蒐集個資前，須明確告知資料當事人蒐集目的、利用範圍以及可能的資料共享對象，並取得其同意。 3. 控制權：資料當事人有權向企業請求查詢、修改及刪除自己的資料，企業在接到請求後，必須即時處理該請求，並於45天之法定期限內准駁其請求；必要時得於通知當事人合理事由後，展延一次。 4. 安全維護措施：企業必須採取適當之安全維護措施來保護個人資料不受未經授權的近用、洩漏、竄改或毀損。前述措施，包括但不限於資料加密、權限管控等技術上管控措施。 5. 資料保護評估：企業須就「對消費者傷害風險較高」活動進行評估並保存文件化紀錄，包括： （1） 為精準行銷之目的（Targeted Advertising）； （2） 銷售個人資料； （3） 為資料剖析之目的處理個人資料，且具合理可預見的風險將可能對消費者之財務、身體或名譽造成不公平或欺騙性的待遇，或非法的衝擊影響。 《羅德島資料透明度與隱私保護法》強化企業對資料隱私保護之責任，並督促其遵守法律要求。預計施行後將能加強對資料主體個人資料知情權、控制權、透明度及資料安全之保障。
Facebook因掃描用戶訊息而面臨訴訟2013年，Facebook用戶Matthew Campbell指控Facebook違反聯邦電子通訊隱私法及加州法律，並提出集體訴訟，要求Facebook必須支付每位受侵害的用戶最高一萬美元的賠償。原因是Facebook掃瞄用戶之私人對話內容中的網站連結，並計入網站的按「讚」總數，再將這些「讚」彙整入用戶的個人檔案後對用戶進行行為分析，最後針對該用戶的行為模式發送客製化的廣告， 造成用戶的困擾。 對此，Facebook辯稱其掃描用戶的訊息是很普遍的商業行為，因此屬於聯邦電子通訊隱私法例外條款的範疇，而且Facebook在2012年即已停止傳送客製化廣告，故Facebook要求撤銷此訴訟。 然而，2014年12月23日，美國加州奧克蘭地方法官 Phyllis Hamilton認為，雖然Facebook已經在2012年10月停止傳送客製化廣告，但Facebook同時並承認仍會持續分析用戶之訊息（理由是為了防止電腦病毒以及垃圾郵件），而且Facebook不願意提供任何有關目標式廣告手法的細節，使法院無法判斷這是否為普遍的商業行為而屬於聯邦電子通訊隱私法例外條款的範疇，因此，法院裁定駁回Facebook的撤銷申請，本案將繼續進行審理程序。