歐盟發布《個資侵害通知範例指引》說明個資侵害案例解析以利個資事故因應
歐洲資料保護委員會（European Data Protection Board, EDPB）於2021年1月18日發布《個資侵害通知範例指引》（Guidelines 01/2021 on Examples regarding Data Breach Notification）草案，並進行為期六週之公眾諮詢。該指引針對2017年10月所發布之《個資侵害通知指引》（Guidelines on Personal data breach notification under Regulation 2016/679）透過案例分析進行補充說明，對於資料控制者如何識別侵害類別以及評估風險提出更詳細的實務建議，協助資料控制者處理資料外洩及風險評估考量因素之認定。
個資侵害係指違反安全性規定而導致傳輸、儲存或以其他方式處理之個資，遭意外或非法破壞、遺失、變更、未獲授權之揭露或近用之情形，由於個資事故將對資料主體可能造成重大不利影響，該指引首先要求資料控制者進行侵害類別之辨識，依據2017年指引將個資侵害分為機密性侵害（confidentiality breach）、完整性侵害（integrity breach）以及可用性侵害（availability breach）。而資料控制者最重要的義務在於主動識別系統漏洞，評估侵害對資料主體權利所產生之風險，制定適當計畫及程序採取適當因應措施，確定侵害事件之問題根因及安全漏洞，加強員工認知培訓及制定操作手冊，並確實記錄各項侵害行為，以提升個資事故因應效率及降低時間延誤。
此外，該指引彙整自GDPR實施以來個資侵害通知具體案例，分為勒索軟體攻擊、資料外洩攻擊、內部人為風險、硬體設備或紙本檔案失竊、誤發郵件以及電子郵件內容外洩，共六大主題十八件案例，針對不同程度風險提供最典型的正確及錯誤作法，並提出資料控制者有關預防潛在攻擊及減輕影響之措施建議。
- 零售業個資法遵實務與資訊安全說明會
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 零售業個資法遵實務與資訊安全說明會（台中場）
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
- 【上午場】探索科技法律最前線：資策會科法所「114年成果」分享會暨簡報票選
- 商業服務業個資管理與資訊安全實務宣導說明會（高雄場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台南場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台中場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台北場）※如遇颱風假延期至7/16
- 【北部場1】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場2】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場3】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場4】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【南部場】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【中部場】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 美國聯網車監管制度與合規實務說明會
林佩瑩
組長 編譯整理
EUROPEAN DATA PROTECTION BOARD, Guidelines 01/2021 on Examples regarding Data Breach Notification (2021), available at https://edpb.europa.eu/sites/edpb/files/consultation/edpb_guidelines_202101_databreachnotificationexamples_v1_en.pdf (last visited Apr. 1, 2021).
李哲明，〈歐盟資料保護工作小組修正通過個人資料侵害通報指引〉，2018年5月，https://stli.iii.org.tw/article-detail.aspx?tp=1&i=158&d=8028&no=64 （最後瀏覽日：2021/04/01）。
UCLA醫學中心以開放原始碼軟體Zope建置資訊系統，展開一項稱為「治療成效開放式架構」(OIO, Open Infrastructure for Outcomes) 的計畫，構築起未來醫療資訊系統的新基石。讓治療成效的資訊，能在一個共通的平台架構上進行資源分享。 長期以來，醫療資訊系統面臨的挑戰主要來自於下列三個面向：一、如何讓資訊系統提供令人滿意的服務功能，以取代將醫療記錄登載在紙張上的傳統方式。二、資訊系統的需求經常會改變，如何快速因應系統的改變需求。三、如何與其他醫療團隊夥伴，共同分享資料與工具。 OIO計劃透過資訊共享可加速醫療研究。開放式架構計畫的主要目的，並不是用來要求臨床工作者與醫療研究中心分享病歷資料，而是提供一個分享管理工具的機制，讓使用者能夠利用這些管理工具，進行資料的收集與分析，並和特定的診療研究人員進行溝通，而透過系統安全的機制，在過程當中並不會讓其他人得知資料內容。不過，如果有人想要進行管理工具或資料的進一步加值利用，僅需額外投入相當小的成本。 另外， 開放式架構計畫的設計極具彈性，除了目前所專注的治療成效資訊統計之外，其系統概念也可以用來管理客戶資訊、進銷存資訊、會計資訊等。整個系統開發環境是針對使用者而設計，而非程式人員，並且以網頁應用程式來實作，力求操作的便利性，目的之一是讓使用者能夠動手創造出自己所需的表格資料。另一方面，設計上也面對來自於法律與技術層面的挑戰，例如取得病患的同意及對系統的信任感，促使這套系統在實作時，必須能夠提供高度的修改彈性與安全性。 由於 OIO 在設計上，包含低成本、高效益、使用者導向、架構具有彈性等特色，並以開放源碼開發模式來鼓勵使用者測試及提供回饋意見，目前的應用效果持續擴大中。
印度政府發布監管數位市場法案印度政府發布監管數位市場法案 資訊工業策進會科技法律研究所 2024年06月25日 印度數位競爭法委員會（Committee on Digital Competition Law, CDCL）於2024年3月12日發布數位競爭法委員會報告，建議制定單獨法律規範數位市場競爭，同時發布《數位競爭法》草案（Draft Digital Competition Bill，下稱本草案），使印度競爭委員會（Competition Commission of India, CCI，下稱委員會）能夠在反競爭行為發生前介入調查，草案發布後公開徵求公眾意見至2024年5月15日，將參考公眾意見後再行發布本草案後續發展。 壹、緣起 印度企業事務部（Ministry of Corporate Affairs, MCA）於2023年2月6日成立數位競爭法委員會，主要由產業商會、政府機關以及學者組成，目的是檢視現行印度2002年《競爭法》是否足以解決數位經濟成長衍伸的問題。爾後於2024年3月發布數位競爭法委員會報告，數位競爭法委員會認為應有新的事前管制補充現行競爭法的事後管制模式，在動態的數位市場中於必要時進行事前干預，防止反競爭行為發生。 在數位競爭法委員會報告[1]中提出9項反競爭行為態樣，包含反導向（Anti-steering）、自我偏好（Self preferencing）、綑綁及搭售（Bundling and tying）、非公開資訊使用（use of non-public data）、掠奪性定價（Predatory pricing）、排他性協議（Exclusive tie-ups）、搜尋及排名偏好（Search and ranking preferencing）、限制第三方應用程式（Restricting third party applications）、以及廣告市場整合（Advertising consolidation）等，將以上述反競爭行為為核心制定事前管制措施。 貳、本草案介紹 基於上述建立事前管制的報告結論，數位競爭法委員會連同報告一併提出本草案以回應反競爭行為的事前管制方向，本草案主要有四項重點以下整理。 一、適用範圍與對象 本草案適用於所有在印度境內提供核心數位服務的所有企業，包含延伸到印度境外且對本草案所規定義務有影響的行為，核心數位服務包含線上搜尋引擎、線上社交網路服務、影片分享平台服務、人際通訊服務、作業系統、網路瀏覽器、雲端服務、廣告服務、以及線上中介服務等。 二、對具有系統重要性數位企業之定義 具有系統重要性數位企業（Systemically Significant Digital Enterprise, SSDE，下稱重要企業）需要符合兩項標準，分別是財務標準及用戶標準，如果企業屬於集團則數值以集團整體計算： （一）財務標準 財務標準是在三個財政年度中達成以下任一項： 1. 印度境內營業額高於400億印度盧比； 2. 全球營業額高於300億美元； 3. 印度的商品總價值高於1600億印度盧比； 4. 全球市值高於750億美元。 （二）用戶標準 用戶標準是在三個財政年度中達成以下任一項： 1. 在印度提供的核心數位服務達到1000萬終端用戶； 2. 在印度提供的核心數位服務達到1萬企業用戶。 三、對重要企業及關係企業之指定 （一）符合條件企業之通報義務 當企業的核心數位服務達到前述雙門檻後90天內應通知委員會，如該企業有所屬集團應一併向委員會揭露該所屬集團有直接或間接參與該核心數位服務的其他企業，委員會得透過行政命令指定該企業為重要企業，有直接或間接參與的其他企業得指定為關聯數位企業（Associate Digital Enterprise, ADE）。 委員會可要求未主動提供相關資訊的企業提供必要資訊，如符合上述門檻則指定為重要企業。 委員會在確定企業符合雙門檻後應通知企業給予陳述意見機會，說明不符合系統重要性之理由。企業若未提供必要資訊或提供不完整或錯誤資訊，仍得在聽取企業意見後指定，企業不得有規避指定之行為。 （二）指定未達門檻企業之權力 除指定前述符合雙門檻之企業外，對於在核心數位服務領域有重要影響力但未符合雙門檻的企業，委員會得參酌企業營業額、企業規模與資源、企業市場力量、網路效應、市場結構、社會義務等要素直接指定，效期為三年。 四、重要企業之義務 重要企業被指定後應建立透明有效的投訴處理及法遵機制，並定期向委員會報告履行下列義務與相關規定所採取之措施。 （一）禁止反競爭行為義務 不得有自我偏好、限制第三方應用程式使用、反導向、搭售或綑綁等反競爭行為，並以公平和透明交易的態度與用戶合作。 （二）資訊使用義務 不得使用企業用戶的非公開資訊與之競爭，且不得未經用戶同意混合或交叉使用，或允許第三方使用不同服務所蒐集的用戶資訊，並實現資訊可攜性。 參、本草案評析 數位競爭委員會報告及本草案的發布宣示委員會將監管大型科技公司的反競爭行為，本草案參考了歐盟數位市場法（Digital Markets Act, DMA）對於守門人（gatekeepers）的規定及義務，對於重要企業賦予禁止反競爭行為的義務，雖然本草案仍在意見蒐集階段，是否施行仍須追蹤觀察。 本草案參考DMA規定監管大型科技公司代表印度政府認為數位市場的事前管制是必要的，擔心市場失靈的風險存在，但包含資訊科技與創新基金會[2]（Information Technology and Innovation Foundation, ITIF）、市場真相[3]（Truth on the Market）、網路自由基金會[4]（Internet Freedom Foundation）等單位對於本草案都提出質疑，認為本草案會阻礙數位市場創新，且印度的數位市場尚未成熟，貿然實施會損害印度的數位競爭力，阻礙對印度的數位投資。 40家印度新創公司發表聲明[5]支持本草案的推動，認為事前管制可以遏止Big Tech的反競爭行為，解決新創公司所擔心的發展問題，為新創環境提供空間。同時新創公司擔心門檻過低，阻礙非重要企業的發展，應提高門檻針對佔據主導地位的企業。 我國的數位市場政策仍有立法空間，該傾向管制市場或是鼓勵創新投資需要考量我國數位市場成熟度、規模、影響力等要素，印度已經跨出數位市場治理第一步，我國應持續追蹤各國法制政策，以滾動調整、擬定適合我國的數位市場政策。 [1] MINISTRY OF CORPORATE AFFAIRS, Report of the Committee on Digital Competition Law 27 (2024). [2] Comments to the Indian Ministry of Corporate Affairs Regarding Digital Competition Law, INFORMATION TECHNOLOGY & INNOVATION FOUNDATION, https://itif.org/publications/2024/05/15/comments-to-the-indian-ministry-of-corporate-affairs-regarding-digital-competition-law/ (last visited June 25, 2024). [3] India Should Question Europe’s Digital-Regulation Strategy, Truth on the Market, https://truthonthemarket.com/2024/04/12/india-should-question-europes-digital-regulation-strategy/?_gl=1*1mrmph7*_ga*MTI0MTU5NTkwMS4xNzE4MzM2OTUz*_ga_R1FRMJTK15*MTcxODMzNjk1Mi4xLjAuMTcxODMzNjk2MS4wLjAuMA. (last visited June 25, 2024). [4] Summary of IFF’s submission on the draft Digital Competition Bill, Internet Freedom Foundation, https://internetfreedom.in/iffs-submission-on-the-digital-competition-bill/ (last visited June 25, 2024). [5] 40 Indian Startups urge MCA to move forward with Digital Competition Bill; 'not give in to delaying tactics by Big Tech', STORYBOARD18, May 16, 2024, https://www.storyboard18.com/digital/40-indian-startups-urge-mca-to-move-forward-with-digital-competition-bill-not-give-in-to-delaying-tactics-by-big-tech-31771.htm (last visited June 25, 2024).
美國醫療保險將為醫院提供鐮狀細胞疾病基因療法的創新支付鼓勵措施美國醫療保險和醫療補助服務中心（Centers for Medicare and Medicaid Services, CMS）於2024年4月10日發布了2025財年（Fiscal year 2025, Oct. 1, 2024, to Sept. 30, 2025）醫療保險醫院住院預期支付系統（Inpatient Prospective Payment System, IPPS）規則草案（proposed rule）。 考量到細胞療法費用高、可近用性低，2025財年規則草案便包含為醫院提供治療鐮狀細胞疾病（Sickle Cell Disease, SCD）基因療法，其新技術附加支付（New Technology Add-on Payment, NTAP）附加百分比從原本的65%提高到75%的創新支付措施。 NTAP方案是2001年由CMS推出，旨在激勵醫院採用新技術和新療法。NTAP規定新的醫療服務或技術必須滿足以下3個標準，才有資格獲得附加支付： 1.新穎性：醫療服務或技術必須是新的。一旦此治療已經被認為不是新技術，附加支付就會結束。 2.費用過高：醫院在使用新技術時，可能會產生成本超出標準的住院病患支付限額，該技術在現有醫療保險嚴重程度診斷相關群組（Medicare Severity Diagnosis-Related Groups, MS-DRG）系統下不足以支付。 3.實質的臨床改善：與目前可用的治療方法相比，使用該技術其臨床資料必須要顯示確實能改善特定病人群體的臨床結果。 NTAP透過提供經濟激勵，支持醫療機構在初期階段採用新技術，從而促進醫療創新並改善患者治療效果。SCD為一種遺傳性疾病，對美國黑人影響嚴重，且治療選擇有限。因此該創新支付鼓勵措施將使醫院可以獲得更多的資金來執行昂貴的SCD基因療法，進一步促進SCD病人獲得最新的治療，且能減少SCD長期醫療照護的相關成本。 本文同步刊載於stli生醫未來式網站（https://www.biotechlaw.org.tw）
數位內容通路商收購相關支援技術數位內容於廣播應用上銷售與管理解決方案的領導廠商拜斯法爾 (Pathfire, Inc)於日前收購了相關的支援技術 Digital Media Gateway (DMG) Server Connect for Programming，並將此一技術應用於十二個廣播站上。 在技術整合之後， 拜斯法爾的程式聯結伺服器，將得以直接將 DMG伺服器之數位內容傳輸至廣播站的空中播送伺服器，並保留原先的數位格式。 隨著廣播電視的數位化，數位內容、廣播電視與相關數位技術的整合，應是未來發展的趨勢。相關技術的整合與相關企業的轉投資與併購，應會持續增加。政府在擬定政策與相關法令之時，宜事先掌握相關趨勢，因勢利導，以達事半功倍之效。