防疫也須防弊！美國加州檢察總長針對醫療照護機構遭受勒索軟體攻擊提出適當措施與事故通報指引
由於近日頻傳醫院遭受勒索軟體攻擊（ransomware attacks），美國加州檢察總長於2021年8月24日發布官方公告（bulletin）：在加州州法「醫療資訊保密法」（Confidentiality of Medical Information Act, CMIA）與聯邦法「健康保險可攜與責任法」（Health Insurance Portability and Accountability Act of 1996, HIPAA）規範下，蒐集、處理和利用醫療健康資料的醫療照護機構，有採取適當措施與事故通報的義務，以維護醫療健康資料保密性。
針對「採取適當措施」的內容，美國加州檢察總長於本次官方公告中，提出明確指引（guidance）：醫療照護機構須至少採取下列5項防範措施（preventive measures），以避免勒索軟體威脅：
- 確保所有存取醫療健康資料的作業系統與軟體，均升級至最新版本；
- 安裝防毒軟體，並維護其運作；
- 定期為員工舉辦教育訓練，包含教導員工不要點擊可疑網址和防範釣魚電子郵件（phishing email）；
- 限制員工下載、安裝和運作未經批准的軟體；
- 維護和定期測試資料備份與救援計畫，以便於事故發生時，控制對資料和系統的影響範圍及程度。
此外，針對「資料外洩事故通報義務」（breach notification obligations），美國加州檢察總長指出：依據「加州民法」（California Civil Code）第1798.82條，擁有或經授權使用含有個人資料的「電腦化資料」（computerized data）的醫療照護機構，於發生，或可合理確信發生，影響超過500位加州居民的資料外洩事故時，即負有將該事故通報檢察總長辦公室的義務。
- 電商零售業法制宣導說明會暨產學研座談會
- 零售業個資保護宣導暨座談會
- 零售業個資保護及資訊安全教育講習
- 零售業個資保護及資訊安全教育講習
- 零售業個資安全宣導暨安全維護計畫規劃說明會
- 數位經濟時代的隱私保護與商機－CBPR跨境隱私規則體系解析
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(實體)
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(直播)
- 零售業個資安全宣導暨安全維護計畫說明會（高雄場）
- 零售業個資安全宣導暨安全維護計畫說明會（台中場）
- 【台北場1】通訊傳播事業個資法遵教育訓練
- 【台中場】通訊傳播事業個資法遵教育訓練
- 【新北場】通訊傳播事業個資法遵教育訓練
- 【高雄場】通訊傳播事業個資法遵教育訓練
- 【台北場2】通訊傳播事業個資法遵教育訓練
李宗儒
副法律研究員 編譯整理
STATE OF CALIFORNIA DEPARTMENT OF JUSTICE OFFICE OF THE ATTORNEY GENERAL, Attorney General Rob Bonta Calls for Full Compliance with State Health Data Privacy Laws, Aug. 24, 2021, https://oag.ca.gov/news/press-releases/attorney-general-rob-bonta-calls-full-compliance-state-health-data-privacy-laws (last visited Sep. 16, 2021).
STATE OF CALIFORNIA DEPARTMENT OF JUSTICE OFFICE OF THE ATTORNEY GENERAL, BULLETIN: Obligation to Proactively Reduce Vulnerabilities to Ransomware Attacks and Requirements Regarding Health Data Breach Reporting, Aug. 24, 2021, https://oag.ca.gov/system/files/attachments/press-docs/2021AUG24%20Ransomware%20Bulletin.pdf (last visited Sep. 16, 2021).
Jill McKeon, CA Attorney General Calls Out Unreported Healthcare Data Breaches, HEALTHITSECURITY, Aug. 27, 2021, https://healthitsecurity.com/news/ca-attorney-general-calls-out-unreported-healthcare-data-breaches (last visited Sep. 16, 2021).
CYBERSECURITY AND INFRASTRUCTURE SECURITY AGENCY [CISA], Alert (AA20-302A) Ransomware Activity Targeting the Healthcare and Public Health Sector, Oct. 28, 2020, https://us-cert.cisa.gov/ncas/alerts/aa20-302a (last visited Sep. 16, 2021).
邱曉麗，〈加州消費者隱私保護法修正法案重點說明〉，資策會科技法律研究所，2021/03，https://stli.iii.org.tw/article-detail.aspx?tp=1&i=180&d=8630&no=64（最後瀏覽日：2021/09/16）。
詹世榕，〈美國衛生暨福利部於09年8月公布關於醫療資訊外洩通知義務之暫行最終規則〉，資策會科技法律研究所，2009/11，https://stli.iii.org.tw/article-detail.aspx?tp=1&i=40&d=3167&no=64（最後瀏覽日：2021/09/16）。
繼2023年1月5日美國總統拜登（Joe Biden）簽署《2022年保護美國智慧財產法》（Protecting American Intellectual Property Act of 2022）並生效後，至今尚未見任何根據該法規展開行動的報告，不過各界仍相當關注該法案的動向，因為其與過往的經濟制裁措施有著顯著的差異。 《2022年保護美國智慧財產法》與其他經濟制裁措施之差異包括： 1.僅針對營業秘密之重大竊盜，不包括其他智慧財產權如專利、著作權等； 2.未要求行為人主觀是為他國政府之利益而竊取營業秘密； 3.法規中使用到關鍵術語的標準及定義較少； 4.某些制裁措施具有強制性； 5.制裁的對象不僅包括竊取美國營業秘密者，也包括從他人竊取美國營業秘密中獲利者； 6.營業秘密盜竊行為須有合理可能性或已經對美國國家安全、外交、經濟、金融穩定構成重大威脅。 雖然《2022年保護美國智慧財產法》即將成為重要的政府工具，以解決營業秘密損失及其對國家安全之影響，且允許當事人面臨營業秘密訴訟或威脅時，將制裁措施武器化，但仍有部分問題有待解決，包括： 1.營業秘密受各州法律管轄，各州之管理機構是否會制定自己的營業秘密定義標準？ 2.若在訴訟進行期間實施制裁措施，將產生甚麼影響？ 3.是否產生《經濟間諜法》（Economic Espionage Act）之待審案件？美國司法部（US Department of Justice）是否必須參與？ 4.判斷是否制裁的標準與美國司法部所採用的《經濟間諜法》之標準是否相同？若不同，則差異為何？ 5.當事人或法院是否知道判定營業秘密盜竊行為時該適用什麼證據標準？（法規僅規定由總統決定） 6.法院能否將此類制裁措施作為其決策的一部分？ 儘管《2022年保護美國智慧財產法》所衍生的問題及將產生的影響尚有待觀察，但建議企業採取下列合規措施，以避免成為美國新制裁措施的目標，包括： 1.制定並實施合規的營業秘密保護政策與程序； 2.對員工進行教育訓練，使其瞭解有關《2022年保護美國智慧財產法》的基礎知識以及對營業秘密之管理要求； 3.對有可能被盜竊營業秘密的流程進行稽核審查。 本文同步刊登於TIPS網站（https://www.tips.org.tw）。
日本「未來投資戰略2017」日本內閣官房下設之未來投資會議於2017年6月9日，以構築「Society5.0」為目標，提出《未來投資戰略2017》，宣佈未來施政將以「延長健康壽命」、「實現移動革命」、「供應鍊的次世代化」、「街道活性化」以及「Fintech」等5大領域為中心。 在實現移動革命部份，《未來投資戰略2017》計畫藉由無人自動駕駛移動服務、小型無人機和自動駕駛船隻等，提高物流效率與實現高度化移動服務，以減少交通事故和解決人力不足等問題。 與此同時，日本亦將自2018年起展開卡車列隊行駛公路實驗，以期在2022年前達成卡車列隊行駛商業化之目標；此外，亦將於2018年起在山間地帶展開以小型無人機運輸貨物之實驗。除上述自動駕駛技術之實驗外，日本亦將朝向擴大駕駛資料收集和利用，主導制定資料傳輸規格等方向努力，並計畫於2017年底擬定高度自動駕駛系統商業化相關法規及制度之整備大綱。
世界智慧財產權組織發表2020年全球創新指數報告世界智慧財產權組織（World Intellectual Property Organization, WIPO）於2020年9月2日發表「2020年全球創新指數報告」（Global Innovation Index 2020, GII 2020），報告中比較131個經濟體之最新全球創新趨勢。GII為一年一度發行之報告，除了比較不同經濟體的創新指數外，每年會挑選不同創新議題進行深度研究，2020年研究主題為「誰投資創新？」（WHO WILL FINANCE INNOVATION?）。 GII的報告評比，區分為七大指標分別為：組織機構（Institutions）、研發與人力資源（Human capital and research）、基礎建設（Infrastructure）、市場成熟度（Market Sophistication）、企業成熟度（Business sophistication）、知識技術產出（Knowledge and technology outputs）以及創意產出（Creative outputs）。其下再區分為21個次標和80個小標例如政府效能（Government effectiveness）、法規範環境建構（Regulatory environment）、教育支出占GDP比例、外國學生比例、R&D支出占GDP比例、生態永續度、高科技出口、資通訊服務出口等。2020年評比全球創新指數最高的10個國家排名分別為：瑞士、瑞典、美國、英國、荷蘭、丹麥、芬蘭、新加坡、德國和南韓，均為高所得國家；這也是南韓第一次躋身進入前10名。 另外報告中亦說明，2020年COVID-19大流行引發前所未有的經濟停滯。在COVID-19爆發之前，研發支出成長明顯快於全球GDP成長，創業投資（Venture capital）和IP應用達到高峰，但疫情發生的現階段全球經濟成長大幅度下降。然而經濟成長停滯之下，突破性技術創新的潛力仍在繼續存在，例如許多仍保有現金流的大型ICT企業仍持續推動數位創新，製藥技術與生物科技產業的研發支出大量增加，健康產業研發也受到重點關注。此外，COVID-19危機亦會促進傳統產業（例如旅遊、教育和零售等）之創新，以及改變企業在本地或全球之生產工作組織方式。而在各國政府為忙於制定緊急救濟計畫（emergency relief packages），以緩解地域封鎖所造成的負面影響和經濟衰退的同時，這些緊急救濟計畫對新創公司之融資多半不夠明確，到目前為止，各國政府並沒有創新研發作為當前刺激經濟計畫中的優先事項（priority）。 報告中針對「誰投資創新？」之主題，統計數據顯示創新金融（Innovation finance）雖然受疫情影響有所下降，但金融體系尚屬健全。惟資助新創企業的資金正在枯竭（drying up），北美、亞洲和歐洲地區的創業投資交易也急劇下降，幾乎看不到首次公開發行（IPO）。即使是倖存下來的新創公司，其盈利能力和對創投者（Venture Capitalist）的吸引力也在下降。也因為疫情影響，創投者減少對創新、小型和多元化的新創事業提供資金，取而代之關注所謂的「大型交易」（mega-deals），也就是資助大型企業的發展，並將投資領域轉向健康、線上教育（online education）、大數據、電子商務和機器人科技。此外，報告中亦說明近期創投多半集中在可以短期得到報酬的創新事業，例如資通訊軟體及服務、消費性產品服務、金融商品等，取得創投機構大量資金。相較之下，若研發較為複雜的前瞻科學技術，反而取得之資金較少；同時COVID-19惡化此現象，使研發期較長之產業和企業面臨更嚴峻的財務限制。
日本也有EUA了！新修《藥機法》通過藥物緊急許可制度日本也有EUA了！新修《藥機法》通過藥物緊急許可制度 資訊工業策進會科技法律研究所 2022年06月13日 去（2021）年12年底日本厚生勞動省發布「緊急時藥物許可制度總結[1]」（緊急時の薬事承認の在り方等に関するとりまとめ）文件，就日本藥物緊急許可制度（緊急承認）進行提案，並建議修法。接著，以該制度為中心之《藥物及醫療器材品質、有效性及安全性確保法》（医薬品、医療機器等の品質、有効性及び安全性の確保等に関する法律）（下稱藥機法）修正案，在今（2022）年3月經眾議院通過，4月經參議院通過成立，5月20日公布並即日開始發生效力[2]。主要條文規範在新法第14條之2之2及第23條之2之6之2。 壹、立法背景說明 修法之前，日本藥物上市審查有四種管道：一般許可（通常承認）、先驅審查指定制度（先駆け審査指定制度）、附條件許可（条件付き承認）、特例許可（特例承認）。「一般許可」係無特殊情形下之通常上市管道；「先驅審查指定制度」是針對治療嚴重疾病的劃時代創新藥物所創設之優先審查制度[3]；「附條件許可」則是針對有效治療方法少、患者數量少的嚴重疾病的藥物審查制度[4]；若遇緊急事件需使用藥物則是走「特例許可」管道使藥品能提早上市[5]。 根據去年日本厚生勞動省之調查[6]，在傳染病大流行等類似緊急情況之下，日本當時對於藥品核准的對應方式存有兩大問題。 首先是對應的速度不夠快。在緊急狀況下，對於疫苗及藥物等的優先核准制度，即使是日本當時最快的「特例許可」管道，相較於歐美也較為耗時。以對抗新型冠狀病毒的莫德納疫苗為例，該疫苗在美國取得緊急使用授權（Emergency Use Authorization，下稱EUA）之後，約過了5個月才在日本獲得承認；而新型冠狀病毒的治療藥物Sotrovimab於日本國內的核准也晚於美國4個月[7]。 其二是特別許可的適用對象較窄，「特例許可」管道是為已在國外流通之藥品而設計，因此若是日本藥廠自行研發的疫苗、藥物或是療法，均無法依此管道上市。如日本藥廠塩野義所開發的新型冠狀病毒口服藥，即需要透過附條件許可之制度，或新的緊急許可制度加快上市速度。 鑒於前述原因，日本厚生勞動省參考美國EUA，提出了藥物的「緊急許可制度」。此二制度最大共通特點在於其均非藥品的正式上市制度，通過審查之後僅能在一定期間內上市流通，到期之後原則上應下架[8]。 貳、重點說明 緊急許可制度有四大重點[9]，說明如下： 一、發動要件：為防止重大影響國民生命和健康之疾病蔓延，及防止其他健康損害狀況的擴大，有緊急使用之必要，且無使用該藥物以外替代手段時，得申請緊急許可。此處所稱之藥物包括了疫苗、治療藥物、普通藥品、醫療器械等產品。且緊急情況並不限於大規模流行性疾病，核事故、放射性污染、生化攻擊等情況亦適用緊急許可制度。 二、運用標準：在臨床試驗確認安全性的前提下，可以不需要完成有效性的完整試驗，得僅就現有的數據及資訊進行有效性之推定。舉例而言，若在海外進行的大規模驗證臨床研究中獲得了顯著的結果，則以日本受試者為主的臨床研究結果為非必要。 三、核准條件及期限：由於在有效性的階段給予核准，為了確保正確使用核准的藥物，應附上條件以及二年內之期限（有再延長一年之可能）。獲得許可後一定期限內若無法確認有效性，且判斷該醫藥品或器材不適合維持許可狀態時，將撤銷許可。 四、加速特別措施：對GMP檢驗、國家認證、容器包裝等採取特殊措施以加快核准速度。如在申請緊急許可當下，GMP檢驗有實施上困難，可以先暫緩，待核准後再補上檢驗程序。 參、與現存制度差異評析 特例許可是在緊急許可推出之前，在緊急情況下能在短期間內讓藥品上市之方式。特例許可是藥品正式上市流程，而緊急許可是在符合條件後暫時性准許上市，故兩者在範圍、運用基準以及期限等規定上存有明顯差異。 首先在範圍方面，特例許可係為了已在國外流通的醫療用品引進國內而設置，因此日本國內企業自行研發的新疫苗或是新治療藥等，無法透過特例許可上市[10]，原則上需要透過一般藥物上市管道，因此新制度對於日本藥廠來說，形同多開闢了一條產品上市的道路。其次，在運用基準方面，特例許可應完整確認安全性及有效性，無法如新制般能僅由現存數據及資料推定該藥物之有效性[11]，因此新制可以縮短臨床試驗所花費的時間。最後，由於特例許可為正式之上市許可，僅在簡化一般藥物之審查流程至2-3個月，故其無有效期間之規定[12]，而依新制度上市之藥品在有效期間內仍須完成剩下的臨床試驗，否則期限屆至時原則上應下市。 肆、未來展望 由於緊急許可制度剛修法通過，日本國內目前尚未有以此管道核准上市之藥物或疫苗，因此核准程序所花費之時程，能否成功縮短至如美國EUA的三週內尚未可知。目前最有可能以此管道核准上市之藥物為日本藥廠塩野義的新型冠狀病毒口服藥，審查結果預計於7月發表[13]，其發展究竟如何，值得我們拭目以待。 [1] 〈緊急時の薬事承認の在り方等に関するとりまとめ〉，厚生勞動省，https://www.mhlw.go.jp/content/11121000/000873996.pdf（最後瀏覽日：2022/06/12）。 [2] 日本參議院網站，https://www.sangiin.go.jp/japanese/joho1/kousei/gian/208/meisai/m208080208042.htm（最後瀏覽日：2022/06/12）。 [3] 〈先駆的医薬品等指定制度（先駆け審査指定制度）〉，獨立行政法人醫藥品醫療機器總合機構，https://www.pmda.go.jp/review-services/drug-reviews/0002.html （最後瀏覽日：2022/06/27）。 [4] 〈医薬品条件付早期承認制度への対応〉，獨立行政法人醫藥品醫療機器總合機構https://www.pmda.go.jp/review-services/drug-reviews/0045.html （最後瀏覽日：2022/06/27）。 [5] 同前註1。 [6] 同前註1。 [7] 〈緊急時の薬事承認の在り方について〉，厚生勞動省，https://www.mhlw.go.jp/content/11121000/000856077.pdf（最後瀏覽日：2022/06/12）。 [8] 同前註。 [9] 〈令和４年の医薬品、医療機器等の品質、有効性及び安全性の確保等に関する法律（薬機法）等の一部改正について〉，日本厚生勞動省網站，https://www.mhlw.go.jp/stf/seisakunitsuite/bunya/0000179749_00006.html（最後瀏覽日：2022/06/12）。 [10] 医薬品、医療機器等の品質、有効性及び安全性の確保等に関する法律（昭和三十五年法律第百四十五号）第14條之3第2項。 [11] 同前註4。 [12] 周晨蕙、施雅薰，《科技法律透析》，〈COVID-19疫情下我國藥事法專案核准制度議題-以國際藥物緊急核准上市機制為借鏡〉，第33卷第10期，頁58（2021）。 [13] NHK，〈コロナ飲み薬 塩野義製薬「ゾコーバ」有効性や副作用 承認の可否は〉，2022/06/23，https://www.nhk.or.jp/shutoken/newsup/20220623a.html （最後瀏覽日：2022/06/27）。