防疫也須防弊！美國加州檢察總長針對醫療照護機構遭受勒索軟體攻擊提出適當措施與事故通報指引
由於近日頻傳醫院遭受勒索軟體攻擊（ransomware attacks），美國加州檢察總長於2021年8月24日發布官方公告（bulletin）：在加州州法「醫療資訊保密法」（Confidentiality of Medical Information Act, CMIA）與聯邦法「健康保險可攜與責任法」（Health Insurance Portability and Accountability Act of 1996, HIPAA）規範下，蒐集、處理和利用醫療健康資料的醫療照護機構，有採取適當措施與事故通報的義務，以維護醫療健康資料保密性。
針對「採取適當措施」的內容，美國加州檢察總長於本次官方公告中，提出明確指引（guidance）：醫療照護機構須至少採取下列5項防範措施（preventive measures），以避免勒索軟體威脅：
- 確保所有存取醫療健康資料的作業系統與軟體，均升級至最新版本；
- 安裝防毒軟體，並維護其運作；
- 定期為員工舉辦教育訓練，包含教導員工不要點擊可疑網址和防範釣魚電子郵件（phishing email）；
- 限制員工下載、安裝和運作未經批准的軟體；
- 維護和定期測試資料備份與救援計畫，以便於事故發生時，控制對資料和系統的影響範圍及程度。
此外，針對「資料外洩事故通報義務」（breach notification obligations），美國加州檢察總長指出：依據「加州民法」（California Civil Code）第1798.82條，擁有或經授權使用含有個人資料的「電腦化資料」（computerized data）的醫療照護機構，於發生，或可合理確信發生，影響超過500位加州居民的資料外洩事故時，即負有將該事故通報檢察總長辦公室的義務。
- 零售業個資安全宣導暨安全維護計畫規劃說明會
- 數位經濟時代的隱私保護與商機－CBPR跨境隱私規則體系解析
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(實體)
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(直播)
- 零售業個資安全宣導暨安全維護計畫說明會（高雄場）
- 零售業個資安全宣導暨安全維護計畫說明會（台中場）
- 【台北場1】通訊傳播事業個資法遵教育訓練
- 【台中場】通訊傳播事業個資法遵教育訓練
- 【新北場】通訊傳播事業個資法遵教育訓練
- 【高雄場】通訊傳播事業個資法遵教育訓練
- 【台北場2】通訊傳播事業個資法遵教育訓練
- 零售業個資法遵實務與資訊安全說明會
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 零售業個資法遵實務與資訊安全說明會（台中場）
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
李宗儒
副法律研究員 編譯整理
STATE OF CALIFORNIA DEPARTMENT OF JUSTICE OFFICE OF THE ATTORNEY GENERAL, Attorney General Rob Bonta Calls for Full Compliance with State Health Data Privacy Laws, Aug. 24, 2021, https://oag.ca.gov/news/press-releases/attorney-general-rob-bonta-calls-full-compliance-state-health-data-privacy-laws (last visited Sep. 16, 2021).
STATE OF CALIFORNIA DEPARTMENT OF JUSTICE OFFICE OF THE ATTORNEY GENERAL, BULLETIN: Obligation to Proactively Reduce Vulnerabilities to Ransomware Attacks and Requirements Regarding Health Data Breach Reporting, Aug. 24, 2021, https://oag.ca.gov/system/files/attachments/press-docs/2021AUG24%20Ransomware%20Bulletin.pdf (last visited Sep. 16, 2021).
Jill McKeon, CA Attorney General Calls Out Unreported Healthcare Data Breaches, HEALTHITSECURITY, Aug. 27, 2021, https://healthitsecurity.com/news/ca-attorney-general-calls-out-unreported-healthcare-data-breaches (last visited Sep. 16, 2021).
CYBERSECURITY AND INFRASTRUCTURE SECURITY AGENCY [CISA], Alert (AA20-302A) Ransomware Activity Targeting the Healthcare and Public Health Sector, Oct. 28, 2020, https://us-cert.cisa.gov/ncas/alerts/aa20-302a (last visited Sep. 16, 2021).
邱曉麗，〈加州消費者隱私保護法修正法案重點說明〉，資策會科技法律研究所，2021/03，https://stli.iii.org.tw/article-detail.aspx?tp=1&i=180&d=8630&no=64（最後瀏覽日：2021/09/16）。
詹世榕，〈美國衛生暨福利部於09年8月公布關於醫療資訊外洩通知義務之暫行最終規則〉，資策會科技法律研究所，2009/11，https://stli.iii.org.tw/article-detail.aspx?tp=1&i=40&d=3167&no=64（最後瀏覽日：2021/09/16）。
2009年5月，在日本「智慧財產戰略本部」所屬「以智慧財產進行競爭力強化專門調查委員會」（知的財産による競争力強化専門調査会）下所成立之「先進醫療專利檢討委員會」（先端医療特許検討委員会），針對日本在先進醫療技術領域的專利保護制度進行檢討，其中提出建言，建議修訂專利審查基準，將以下的醫療相關發明類型納入可獲專利保護之發明標的：1.既有醫藥品用法或用量之改良，其可以大幅改善藥物副作用或提升服藥後生活品質，同時其效果超越專家所能預想之程度；2.輔助醫師進行最終診斷之人體有關資料收集方法，例如核磁共振攝影（MRT）或電腦斷層掃描（CT）等技術相關發明。上述建言之後被納入智慧財產戰略本部所公佈之「智慧財產推進計劃2009」（知的財産推進計画2009）中，列為2009年度日本政府應執行之智慧財產權相關重要政策措施其中的一項，而前者便是所謂的藥品服用法發明專利。 這而日本特許廳根據上述政策決議，在2009年8月提出依委員會建議所修訂之專利審查基準修訂草案，而在完成徵詢公眾意見的行政程序後，於2009年11月正式公告成為新版的專利審查基準。 其中在「醫藥發明」部分，新版專利審查基準言明，若醫藥發明其成分與先前技術的醫藥品並無不同，同時適用之疾病症狀亦無不同，但其因為其所揭示的特定用法或用量，致使其在適用於特定疾病時會產生不同之效果時，這樣的發明仍會被認定為具有新穎性。而若此新用法或用量之醫藥發明相較於先前技術，其所產生之更有利效果，為發明當時相關技術領域具有通常知識者所可預期者，則此發明將不具備可專利性要件所要求之進步性，而無法獲得專利保護；反之若此新用法或用量之醫藥發明產生之有利效果，為超出發明當時相關技術領域具有通常知識者所可預期範圍之顯著效果，則此發明之進步性便會被肯認。因此，新版專利審查基準不僅言明了新用法或用量之醫藥發明可專利性要件審查之判斷標準，也明確將此類型之發明納為可受專利保護之標的。
日本內閣閣議決定朝向實現數位社會之重點計畫日本內閣於2021年6月18日閣議決定《朝向實現數位社會之重點計畫》（デジタル社会の実現に向けた重点計画）。本計畫係為使2021年9月數位廳正式設立後，得迅速依《數位社會形成基本法》（デジタル社会形成基本法）第37條第1項制定重點計畫，而將目前施政上須納入考量之項目事先制定為重點計畫。 本計畫重點措施摘要如下： 整備並普及化數位社會所需之共同功能，包含普及My Number Card、推動利用My Number，與Gov-Cloud政府雲端服務平台等。 徹底改善行政服務之使用者體驗與使用者介面，實現以國民為對象之服務。 推動《綜合資料戰略》（包括的データ戦略），促進資料流通與活用。 培養優秀數位人才，並延攬民間人才至行政機關。 為活用新技術進行籌措，並推動制度改革。 確保網路可及性（アクセシビリティ），減少數位落差。 確保網路安全與個人資料保護，防範使用資通訊技術之犯罪行為。 推動普及高度資通訊環境，與高效能運算之研究開發及測試實驗。 定期召開數位社會推動會議幹事會（デジタル社会推進会議幹事会（仮称），此為暫定），檢驗政策實施狀況。
產業競爭力強化法新發展－以企業實證特例制度實例為中心 避免昂貴訴訟成本，微軟參與專利審查團隊微軟成為crowdsourcing(集結式資訊來源)服務的第一會員，其服務用於對抗專利流氓(patent trolls)所提出昂貴的訴訟，挑戰將訴訟中所使用的軟體專利使之無效。 Litigation Avoidance是由全球線上社群100萬名科學家及技術人員所組成的Article One Partners所建立的一種付費服務。該組織採用crowdsourcing，其為透過網際網路所採用的一種社交媒體工具，藉由找出前案或先前揭露資料中證明專利無效之證據。而Article One所取得的利潤是由使用crowdsourcing資訊的企業而來的，但並未對外揭露收費的價格。 根據Article One指出，Litigation Avoidance主要針對的目標是專利流氓，其為購買大量專利，透過所買的專利向其他企業提出訴訟，進而要求權利金或授權金。 受到專利流氓提出訴訟的微軟指出，Litigation Avoidance服務將是應訴前調查專利品質的另一種工具。微軟首要專利律師Bart Eppenauer說明，”使用Litigation Avoidance服務其目的為降低風險及降低潛在的訴訟成本”。 Article One試圖解決問題之一，為crowdsourcing技術可於數周內得到專利評估結果，可取代需花費數月或數年始得產生結果的美國專利商標局低效能的專利審查系統。