防疫也須防弊！美國加州檢察總長針對醫療照護機構遭受勒索軟體攻擊提出適當措施與事故通報指引
由於近日頻傳醫院遭受勒索軟體攻擊（ransomware attacks），美國加州檢察總長於2021年8月24日發布官方公告（bulletin）：在加州州法「醫療資訊保密法」（Confidentiality of Medical Information Act, CMIA）與聯邦法「健康保險可攜與責任法」（Health Insurance Portability and Accountability Act of 1996, HIPAA）規範下，蒐集、處理和利用醫療健康資料的醫療照護機構，有採取適當措施與事故通報的義務，以維護醫療健康資料保密性。
針對「採取適當措施」的內容，美國加州檢察總長於本次官方公告中，提出明確指引（guidance）：醫療照護機構須至少採取下列5項防範措施（preventive measures），以避免勒索軟體威脅：
- 確保所有存取醫療健康資料的作業系統與軟體，均升級至最新版本；
- 安裝防毒軟體，並維護其運作；
- 定期為員工舉辦教育訓練，包含教導員工不要點擊可疑網址和防範釣魚電子郵件（phishing email）；
- 限制員工下載、安裝和運作未經批准的軟體；
- 維護和定期測試資料備份與救援計畫，以便於事故發生時，控制對資料和系統的影響範圍及程度。
此外，針對「資料外洩事故通報義務」（breach notification obligations），美國加州檢察總長指出：依據「加州民法」（California Civil Code）第1798.82條，擁有或經授權使用含有個人資料的「電腦化資料」（computerized data）的醫療照護機構，於發生，或可合理確信發生，影響超過500位加州居民的資料外洩事故時，即負有將該事故通報檢察總長辦公室的義務。
- 零售業個資法遵實務與資訊安全說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 零售業個資法遵實務與資訊安全說明會（台中場）
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
- 商業服務業個資管理與資訊安全實務宣導說明會（高雄場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台南場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台中場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台北場）※如遇颱風假延期至7/16
- 【北部場1】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場2】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場3】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場4】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【南部場】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【中部場】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
李宗儒
副法律研究員 編譯整理
STATE OF CALIFORNIA DEPARTMENT OF JUSTICE OFFICE OF THE ATTORNEY GENERAL, Attorney General Rob Bonta Calls for Full Compliance with State Health Data Privacy Laws, Aug. 24, 2021, https://oag.ca.gov/news/press-releases/attorney-general-rob-bonta-calls-full-compliance-state-health-data-privacy-laws (last visited Sep. 16, 2021).
STATE OF CALIFORNIA DEPARTMENT OF JUSTICE OFFICE OF THE ATTORNEY GENERAL, BULLETIN: Obligation to Proactively Reduce Vulnerabilities to Ransomware Attacks and Requirements Regarding Health Data Breach Reporting, Aug. 24, 2021, https://oag.ca.gov/system/files/attachments/press-docs/2021AUG24%20Ransomware%20Bulletin.pdf (last visited Sep. 16, 2021).
Jill McKeon, CA Attorney General Calls Out Unreported Healthcare Data Breaches, HEALTHITSECURITY, Aug. 27, 2021, https://healthitsecurity.com/news/ca-attorney-general-calls-out-unreported-healthcare-data-breaches (last visited Sep. 16, 2021).
CYBERSECURITY AND INFRASTRUCTURE SECURITY AGENCY [CISA], Alert (AA20-302A) Ransomware Activity Targeting the Healthcare and Public Health Sector, Oct. 28, 2020, https://us-cert.cisa.gov/ncas/alerts/aa20-302a (last visited Sep. 16, 2021).
邱曉麗，〈加州消費者隱私保護法修正法案重點說明〉，資策會科技法律研究所，2021/03，https://stli.iii.org.tw/article-detail.aspx?tp=1&i=180&d=8630&no=64（最後瀏覽日：2021/09/16）。
詹世榕，〈美國衛生暨福利部於09年8月公布關於醫療資訊外洩通知義務之暫行最終規則〉，資策會科技法律研究所，2009/11，https://stli.iii.org.tw/article-detail.aspx?tp=1&i=40&d=3167&no=64（最後瀏覽日：2021/09/16）。
全球商務人士最喜愛使用的智慧型手機「黑莓機」，在今年（2011）10月中旬出現全球大當機，手機用戶無法上網及收發簡訊，影響範圍從歐洲擴及北美與世界各地。手機製造商Research In Motion (RIM)的首席執行長Mike Lazaridis在官網上以視訊公開向全球用戶道歉，並提出可免費下載100美元的應用軟體作為補償。然而此舉無法平息用戶的怒火，許多使用者正打算對RIM提出訴訟求償，因為中斷服務害他們錯失許多訊息與會議時間。 加拿大魁北克的高等法院就收到使用者對RIM要求經濟補償的集體訴訟，因為RIM所提出的補償措施根本無法彌補中斷服務數天的損失。若法院認同訴訟主張，RIM遭求償的總額或許很高，不過使用者提出的訴求是中斷服務的1.5天，他們無法使用月付25元加幣的無線網路服務，因此按比例分攤每件可能僅1.25元。而在美國的消費訴訟律師，則考慮對RIM提出違約訴訟或是消費詐欺，前者是以RIM未依約盡到其提供服務的責任為主張；而後者消費詐欺的重點則是著眼於，RIM導致消費者誤信黑莓機的可靠性。然而使用者所面臨的困難是，要如何證明他們所受到的損害，高於原本應獲得的服務，而且因為是全區域的服務中斷，在跨州的集體訴訟中還有各州法律適用的問題。有法律專家言明，要證明因為不能使用智慧型手機的功能而造成的實際損害非常困難，畢竟在緊急時刻，溝通（communicate）還有其他選擇方式。
日本金融廳全面整治虛擬貨幣交易所今年1月底日本Coincheck虛擬貨幣交易所爆出最大規模的駭客攻擊事件後，日本金融廳開始擴大調查國內虛擬貨幣交易平台營運狀況；3月8日首次對2家虛擬貨幣交易平台業者Bit Station及FSHO祭出為期一個月「勒令停業」之行政處分，前者主因係公司內部高階主管擅自挪用客戶資金，違反資金結算法中用戶財產管理與用戶保護措施規範；後者則係發現多筆高額交易時，網路系統並未進行用戶認證，公司亦未對員工進行內部培訓課程，違反資金結算法中關於用戶保護措施之規範。 同時，日本金融廳亦對Coincheck、Bicrements、GMO Coin、Tech Bureau，及Mr.Exchange等5家虛擬交易平台業者發布下令改善之行政處分，要求業者重新審視經營漏洞，限期建立有效且完善的風險管理系統、保護消費者機制、反洗錢與打擊資恐、資金管理系統、內部稽核與內部控制系統及用戶客服系統等，避免再度發生大型駭客攻擊事件。 另為能有效地建立虛擬貨幣交易市場管制規範，日本金融廳宣布成立「虛擬貨幣交易產業研究小組」，並由學者、金融業者及虛擬貨幣業者為主要成員，為將來虛擬貨幣市場可能面臨各種議題，研析相關監管政策及法制規範。 面對襲捲而來之虛擬貨幣交易經濟，日前法務部邀集金管會、內政部、央行、警政署、調查局等單位跨部會協商，並就管制面、執法面等持續進行研商；我國或可以日本該次事件為借鏡，於行政管制強度做適當之調整，尤其我國為亞太防制洗錢組織（APG）創始會員，而虛擬貨幣交易之匿名性，已成為反洗錢與反資恐之最大風險，隨著虛擬貨幣交易行為頻繁與發展態樣多變，日後對於虛擬貨幣交易之管制政策與範圍都將備受矚目。
美國聯邦上訴法院重新審理YOUTUBE的著作權侵害訴訟先前Viacom公司控告Youtube明知盜版剪輯影片而獲利一案，美國聯邦上訴巡迴法院決定重新審理。 2007年使用者將Viacom電視頻道的影片，像是MTV或是喜劇上傳到Youtube，這樣的影片剪輯超過上千片，Viacom主張由於Youtube縱容盜版的影片剪輯放在網站上來提高網站的聲望，所以Youtube是有意成為大量著作權侵害的幫兇，Viacom向Youtube求償超過一億元的損害。 依據1998年通過的數位千禧年法案，網路服務提供者在獲知有著作權侵害的內容後，只要迅速移除內容，則無需負擔使用者著作權侵害的責任。由於youtube在獲知有侵權內容時，已經及時將侵權內容移除，所以在2010年地方法院否決了Viacom的控告。 2012年4月5日聯邦巡迴上訴法院法官推翻地方法院的判決，並且說明合理陪審員(reasonable jury)可以發現Youtube實質上知道或是明確的意識到網站上有侵權的活動。 Google(Youtube的擁有者)發言人表示，侵權影片占youtube網站上的影片僅微小的比例，並且Youtube早已移除該侵權影片。但在Vaicom訴訟結束後，此項爭議卻開始攻擊Youtube。發言人繼續表示，此項決定並不影響Youtube的經營方式，Youtube將繼續作為全世界可以盡情自由表達的平台。
美國司法部主導東南亞各國成立“智慧財產犯罪執法網絡”以有效打擊智慧財產犯罪美國司法部(DOJ)宣布召開一區域形會議，目的在建立國際性的智慧財產權犯罪執法網絡(IPCEN)，尋找建立一雙邊合作協議，以打擊日益重大的智慧財產犯罪。該會議參與人除美國司法部、國務院、及美國專利商標局官員外，主要為亞洲各國智權執法人員，包含高階警察、海關官員、及檢察官，約七十餘人；上述亞洲各國包含中國、澳洲、汶萊、柬埔寨、印尼、日本、寮國、菲律賓、新加坡、南韓、泰國、及越南等十餘國家。 智權犯罪執法網絡(IPCEN)主要功能有二：一為成立論談空間，使各國執法人員能傳遞有關打擊”智權犯罪及仿冒品”的調查及起訴的成功策略案例；二為加強各國間溝通管道，以有效協調及處理跨國性的智慧財產侵權起訴案件。 對於在亞洲日益嚴重的?版及商標仿冒犯罪，此次會議中討論如何有效加強執法力時，各國代表多承認有效的智慧財產權起訴取決於被害人及執法單位的合作。 各國代表並說明智慧財產犯罪的嚴重性及建立國際性的智權犯罪執法網絡的重要：「保護美國及世界各國的智慧財產權為各國司法單位首要的任務之一，而在智權犯罪最嚴重的區域，建立智慧財產犯罪執法網絡(IPCEN)更是重要的執行步驟，以有效保護世界各國的智慧財產權」。「仿冒品不僅損害世界經濟體系，更嚴重威脅到各國人民的健康及安全，惟有建立一國際性的網絡協定，才能打擊嚴重的智慧財產犯罪」。「仿冒品，?版品及游走各邊境及海關政策漏洞已造成權利人近百億元損失，而IPCEN能使各國執法單位相互結盟，將可保障合法權利人權利，避免侵權者藉由跨國犯罪免責及獲取不當利益」。 美國司法部已派駐一經驗豐富的聯邦檢察官於美國駐泰國大使館，專責推動此網絡建立的執行，以保護智慧財產權人之權益。