防疫也須防弊！美國加州檢察總長針對醫療照護機構遭受勒索軟體攻擊提出適當措施與事故通報指引
由於近日頻傳醫院遭受勒索軟體攻擊（ransomware attacks），美國加州檢察總長於2021年8月24日發布官方公告（bulletin）：在加州州法「醫療資訊保密法」（Confidentiality of Medical Information Act, CMIA）與聯邦法「健康保險可攜與責任法」（Health Insurance Portability and Accountability Act of 1996, HIPAA）規範下，蒐集、處理和利用醫療健康資料的醫療照護機構，有採取適當措施與事故通報的義務，以維護醫療健康資料保密性。
針對「採取適當措施」的內容，美國加州檢察總長於本次官方公告中，提出明確指引（guidance）：醫療照護機構須至少採取下列5項防範措施（preventive measures），以避免勒索軟體威脅：
- 確保所有存取醫療健康資料的作業系統與軟體，均升級至最新版本；
- 安裝防毒軟體，並維護其運作；
- 定期為員工舉辦教育訓練，包含教導員工不要點擊可疑網址和防範釣魚電子郵件（phishing email）；
- 限制員工下載、安裝和運作未經批准的軟體；
- 維護和定期測試資料備份與救援計畫，以便於事故發生時，控制對資料和系統的影響範圍及程度。
此外，針對「資料外洩事故通報義務」（breach notification obligations），美國加州檢察總長指出：依據「加州民法」（California Civil Code）第1798.82條，擁有或經授權使用含有個人資料的「電腦化資料」（computerized data）的醫療照護機構，於發生，或可合理確信發生，影響超過500位加州居民的資料外洩事故時，即負有將該事故通報檢察總長辦公室的義務。
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
- 商業服務業個資管理與資訊安全實務宣導說明會（高雄場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台南場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台中場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台北場）※如遇颱風假延期至7/16
- 【北部場1】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場2】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場3】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場4】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【南部場】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【中部場】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【上午場】通傳產業個資管理機制與資料加值運用座談會
- 【下午場】通傳產業個資管理機制與資料加值運用座談會
- 長照系統相關資服業個資線上宣導說明會
李宗儒
副法律研究員 編譯整理
STATE OF CALIFORNIA DEPARTMENT OF JUSTICE OFFICE OF THE ATTORNEY GENERAL, Attorney General Rob Bonta Calls for Full Compliance with State Health Data Privacy Laws, Aug. 24, 2021, https://oag.ca.gov/news/press-releases/attorney-general-rob-bonta-calls-full-compliance-state-health-data-privacy-laws (last visited Sep. 16, 2021).
STATE OF CALIFORNIA DEPARTMENT OF JUSTICE OFFICE OF THE ATTORNEY GENERAL, BULLETIN: Obligation to Proactively Reduce Vulnerabilities to Ransomware Attacks and Requirements Regarding Health Data Breach Reporting, Aug. 24, 2021, https://oag.ca.gov/system/files/attachments/press-docs/2021AUG24%20Ransomware%20Bulletin.pdf (last visited Sep. 16, 2021).
Jill McKeon, CA Attorney General Calls Out Unreported Healthcare Data Breaches, HEALTHITSECURITY, Aug. 27, 2021, https://healthitsecurity.com/news/ca-attorney-general-calls-out-unreported-healthcare-data-breaches (last visited Sep. 16, 2021).
CYBERSECURITY AND INFRASTRUCTURE SECURITY AGENCY [CISA], Alert (AA20-302A) Ransomware Activity Targeting the Healthcare and Public Health Sector, Oct. 28, 2020, https://us-cert.cisa.gov/ncas/alerts/aa20-302a (last visited Sep. 16, 2021).
邱曉麗，〈加州消費者隱私保護法修正法案重點說明〉，資策會科技法律研究所，2021/03，https://stli.iii.org.tw/article-detail.aspx?tp=1&i=180&d=8630&no=64（最後瀏覽日：2021/09/16）。
詹世榕，〈美國衛生暨福利部於09年8月公布關於醫療資訊外洩通知義務之暫行最終規則〉，資策會科技法律研究所，2009/11，https://stli.iii.org.tw/article-detail.aspx?tp=1&i=40&d=3167&no=64（最後瀏覽日：2021/09/16）。
德國聯邦經濟暨能源部（Bundesministerium für Wirtshaft und Energie）、德國聯邦工業聯盟（Bundesverband der Deutschen Industrie）、德國工業與商務部（Deutsche Industrie- und Handelskammertag）及德國工藝中心（Zentralverband des Deutschen Handwerks）針對共同之目標擬定中型企業發展政策。該規劃於2015年7月23日柏林提出。該規劃重點為以下五個方針： 1. 企業精神培育（Gründergeist）： 自1995至2014年德國新創企業的成長銳減30％。為要克服此問題，應讓德國學童在學校時就有「創業家」此一職涯選項。年輕的新創企業需要持續提升與企業合作與互動，並給予創新之顧問補助，像是新創顧問諮詢上的服務（該計畫名稱為Gründer Coaching Deutschland）。針對目前已經成立之中小型企業，相關補助及服務將自2016年會提出。 2. 數位化進程（Digitalisierung）： 為提升中型企業的科學技術轉移，透過該計畫預計將在今年全德國新設立至5座技轉中心（Technologietransfer）。透過該中心，各個企業及工藝業者可得取有關產業面現狀發展、新興科技及商業模式的最新訊息，為讓其裝備成具數位化能力的業者。 3. 融資（Finanzierung）： 透過歐盟投資及歐洲復甦基金（ERP/EIF）新興政策之發佈，將注入50億歐元用於輔助快速成長、資本集中之企業，以3至4百萬歐元的幅度做補助。此透過與歐盟投資銀行共同聚集的資金，將於2015年提供給企業申請。此次融資政策係歐盟投資及歐洲復甦基金從10億提升至17億歐元。 4. 勞工支配（Fachkräfte）： 德國勞工的質量與優勢將透過「聯盟教育培訓計畫2015-2018（Allianz für Aus- und Weiterbildung 2015-2016）」做提升。每位年輕學子在就學期間，就應透過學校的輔助認清其就業路線，以助未來專業領域培訓及發展。「輔助中小型企業得取切合相關職業培訓及外來勞動力引入」補助計畫導入，目的亦係為讓德國勞動力更具優勢及競爭力。 5. 行政成本降低（Bürokratieabbau）： 透過減免官僚程序法（Bürokratieentlastungsgesetz）的導入，將針對未來企業會計、紀錄、統計數據公開及回報的要求進行修改。此一法的導入將可讓德國中型企業7.44億歐元行政成本的減免。為了讓新創企業能夠更容易的開始營運，政府部門亦將更進一步的與業者接觸互動並連結，輔助新創企業中遇到創業程序上的服務及指導。透過相關行政程序的電子化管理，將可讓德國及至歐盟透過該新的管理標準省去過多的行政成本，並優化創業流程。
美國環境保護署（EPA）發布顯著新種使用規則（SNURs），將影響單壁及多壁奈米碳管（Carbon Nanotubes）之使用美國環境保護署（Environmental Protection Agency，以下簡稱EPA）於2010年9月17日聯邦政府公報中，依據毒性物質管制法（Toxic Substances Control Act，以下簡稱TSCA）section 5(a)(2)授權，發布了顯著新種使用規則（Significant New Use Rules，以下簡稱SNURs）的最終規則（final rule）。此項規則於2010年10月18日生效，任何想要製造、輸入以及加工單壁奈米碳管（single-walled carbon nanotubes，以下簡稱SWCNTs）及多壁奈米碳管（multi-wall carbon nanotubes，以下簡稱MWCNTs）兩項化學物質者，必須依照TSCA section 5(a)(1)要求，在進行上述利用活動的至少90天前，報經EPA核准，否則不得使用。 事實上，EPA曾於前（2009）年6月24日發布上述SNURs的直接最終規則（direct final rule），徵詢公眾意見，並在同年8月21日撤回該規則。在重新提案的規則中，主要是新增SWCNTs、MWCNTs釋放於水中的顯著新種使用態樣，並將已完全反應、結合或嵌入已完全反應之聚合物基（polymer matrix）以及嵌入不再進行機械加工外其他處理之永久硬性聚合物形式（permanent solid polymer form）之SWCNTs、MWCNTs物質，排除在新SNURs適用範圍之外。 目前，依照TSCA section 5(e)之規定，若系爭之化學物質已列名於TSCA section 8(b)所建立之現存(existing)化學物質目錄(INVENTORY)中，其他化學物質生產者欲生產該種化學物質時，並不需再向EFA進行通報程序。然而，若EFA對該列名之化學物質曾發出TSCA section 5(e)下之具風險性命令(risk-based order)，則相關之化學物質生產者須於生產前依據TSCA section 5(a)(2)規範中之SNURs規定通報EFA，使得EFA於生產前仍有再次檢驗該系爭化學物質的機會。 這一次，EPA以制訂SNURs之方式，要求所有製造、輸入、加工該項化學物質者，有義務通報任何與原同意命令所定條款不同的使用活動。這樣的規範變動，預計將對奈米材料的製造及運用活動造成不小的影響。
美國《2026年聯網車輛安全法案》擴大聯網車輛管制美國參議院商務、科學和交通委員會（United States Senate Committee on Commerce, Science, and Transportation）於2026年7月22日審議通過《2026年聯網車輛安全法案》（Connected Vehicle Security Act of 2026），並於同年9月22日列入參議院一般議程，尚待全院審議。 本法案將擴大美國商務部於2025年1月16日公布之「確保聯網車輛資通訊技術及服務供應鏈安全最終規則」（Securing the Information and Communications Technology and Services Supply Chain: Connected Vehicles）所建立之監管架構，該規則係針對特定車輛聯網系統硬體及特定軟體進行交易管制。 本法案主要擴大三個面向。第一，原「最終規則」管制來自或涉及中國、俄羅斯之產品及軟硬體，本法案將擴及伊朗及北韓。此外，法案新增規定：若聯網車輛製造商本身為合資企業、子公司或其他實體，而其股權、表決權、董事會席次或其他控制指標逾15％，係由前述國家之實體所直接或間接持有或控制，該製造商亦可能落入管制範圍；至於聯網車輛軟體開發商及聯網車輛硬體製造商，則採超過25％之相同判斷門檻。最後，原「最終規則」規範排除車輛額定總重（Gross Vehicle Weight Rating）超過10,000磅（即4.536公噸）之聯網車輛，法案將取消此限制。 本法案的立法進程顯示美國政策正持續擴大聯網車輛供應鏈安全之管制範圍，並就管制對象所涉國家、車輛規格及企業所有權或控制關係設定更明確之判斷標準。汽車供應鏈業者可能需要就未來主要市場動向更進一步檢視整車及供應鏈來源與控制關係。
美國修正通過外國情報偵察法（FISA）美國近期通過「外國情報偵察法」（Foreign Intelligence Surveillance Act, FISA）之修正案，其中，原先於１月份到期的第七章（Title VII）702條款（Section 702），重新延長授權6年，直至2023年12月31日。 此法案於1978年生效，為美國第一個要求政府須先獲得法院許可，始能進行電子監視的法律。法案宗旨係為平衡國家安全以及人民權利，基於憲法第四修正案對人民的保障，使身處美國領土內的人民免於被恣意監視，國家在通常情況下，須獲得外國情報偵察法院（Foreign Intelligence Surveillance Court, FISC）搜索票（warrant）才可對人民進行搜查。 本次法案修正通過後，使聯邦調查局能夠持續使用情報數據資料庫，以獲取有關美國人的信息，但法案新增要求聯邦調查局在預測性刑事調查中（predicated criminal investigation）如要索取與國家安全無關的內容，必須事先經FISC法院審查許可（court order）。 因911恐攻事件後出現的反恐需要，2008年增訂第七章702條款為FISA的正式條款，原本在今年1月到期，法案修正通過後，此條款延長授權6年。目的為美國公民提供隱私保護，禁止政府針對美國公民和位於美國境內的外國人為監視對象；僅處於國外的外國人，涉及外國情報資訊才可被列為本條進行監視的目標。允許情報部門，在三個政府部門（外國情報偵察法院，行政部門和國會）的監督下，收集關於國際恐怖分子，武器散布者以及其他位於美國境外的重要外國情報。 此項修正案保留702條款的操作靈活性，並加入了一些增強隱私措施及要求。惟，受質疑且具爭議的是，702條款條文內容規範，允許美國政府的情報機構--國家安全局（National Security Agency, NSA）基於該條款，例外不需法院搜索票，可向Google、Apple、微軟、Facebook或電信業者等美國企業蒐集、調閱國外非美國人用戶的海外通訊內容（包含電子郵件、電話、其他私人信息等），當這些被監聽的國外用戶之通訊對象係涉及美國人時亦同；意即，若美國人曾接觸被鎖定的國外對象，也會被納入調查並取得通訊紀錄等個資，且禁止業者通知受影響的用戶。曾有國會參議員試圖修改此法案，加入隱私保護條款，但最終並未獲多數同意。