防疫也須防弊！美國加州檢察總長針對醫療照護機構遭受勒索軟體攻擊提出適當措施與事故通報指引
由於近日頻傳醫院遭受勒索軟體攻擊（ransomware attacks），美國加州檢察總長於2021年8月24日發布官方公告（bulletin）：在加州州法「醫療資訊保密法」（Confidentiality of Medical Information Act, CMIA）與聯邦法「健康保險可攜與責任法」（Health Insurance Portability and Accountability Act of 1996, HIPAA）規範下，蒐集、處理和利用醫療健康資料的醫療照護機構，有採取適當措施與事故通報的義務，以維護醫療健康資料保密性。
針對「採取適當措施」的內容，美國加州檢察總長於本次官方公告中，提出明確指引（guidance）：醫療照護機構須至少採取下列5項防範措施（preventive measures），以避免勒索軟體威脅：
- 確保所有存取醫療健康資料的作業系統與軟體，均升級至最新版本；
- 安裝防毒軟體，並維護其運作；
- 定期為員工舉辦教育訓練，包含教導員工不要點擊可疑網址和防範釣魚電子郵件（phishing email）；
- 限制員工下載、安裝和運作未經批准的軟體；
- 維護和定期測試資料備份與救援計畫，以便於事故發生時，控制對資料和系統的影響範圍及程度。
此外，針對「資料外洩事故通報義務」（breach notification obligations），美國加州檢察總長指出：依據「加州民法」（California Civil Code）第1798.82條，擁有或經授權使用含有個人資料的「電腦化資料」（computerized data）的醫療照護機構，於發生，或可合理確信發生，影響超過500位加州居民的資料外洩事故時，即負有將該事故通報檢察總長辦公室的義務。
- 數位經濟時代的隱私保護與商機－CBPR跨境隱私規則體系解析
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(實體)
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(直播)
- 零售業個資安全宣導暨安全維護計畫說明會（高雄場）
- 零售業個資安全宣導暨安全維護計畫說明會（台中場）
- 【台北場1】通訊傳播事業個資法遵教育訓練
- 【台中場】通訊傳播事業個資法遵教育訓練
- 【新北場】通訊傳播事業個資法遵教育訓練
- 【高雄場】通訊傳播事業個資法遵教育訓練
- 【台北場2】通訊傳播事業個資法遵教育訓練
- 零售業個資法遵實務與資訊安全說明會
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 零售業個資法遵實務與資訊安全說明會（台中場）
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
- 商業服務業個資管理與資訊安全實務宣導說明會（高雄場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台南場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台中場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台北場）
李宗儒
副法律研究員 編譯整理
STATE OF CALIFORNIA DEPARTMENT OF JUSTICE OFFICE OF THE ATTORNEY GENERAL, Attorney General Rob Bonta Calls for Full Compliance with State Health Data Privacy Laws, Aug. 24, 2021, https://oag.ca.gov/news/press-releases/attorney-general-rob-bonta-calls-full-compliance-state-health-data-privacy-laws (last visited Sep. 16, 2021).
STATE OF CALIFORNIA DEPARTMENT OF JUSTICE OFFICE OF THE ATTORNEY GENERAL, BULLETIN: Obligation to Proactively Reduce Vulnerabilities to Ransomware Attacks and Requirements Regarding Health Data Breach Reporting, Aug. 24, 2021, https://oag.ca.gov/system/files/attachments/press-docs/2021AUG24%20Ransomware%20Bulletin.pdf (last visited Sep. 16, 2021).
Jill McKeon, CA Attorney General Calls Out Unreported Healthcare Data Breaches, HEALTHITSECURITY, Aug. 27, 2021, https://healthitsecurity.com/news/ca-attorney-general-calls-out-unreported-healthcare-data-breaches (last visited Sep. 16, 2021).
CYBERSECURITY AND INFRASTRUCTURE SECURITY AGENCY [CISA], Alert (AA20-302A) Ransomware Activity Targeting the Healthcare and Public Health Sector, Oct. 28, 2020, https://us-cert.cisa.gov/ncas/alerts/aa20-302a (last visited Sep. 16, 2021).
邱曉麗，〈加州消費者隱私保護法修正法案重點說明〉，資策會科技法律研究所，2021/03，https://stli.iii.org.tw/article-detail.aspx?tp=1&i=180&d=8630&no=64（最後瀏覽日：2021/09/16）。
詹世榕，〈美國衛生暨福利部於09年8月公布關於醫療資訊外洩通知義務之暫行最終規則〉，資策會科技法律研究所，2009/11，https://stli.iii.org.tw/article-detail.aspx?tp=1&i=40&d=3167&no=64（最後瀏覽日：2021/09/16）。
日本於2022年5月18日公布「經濟安全保障推進法」，為了確保、防止經濟相關活動危害國家安全，該法將自公布後2年內（至2024年5月17日）分階段施行。日本已於8月1日設立「經濟安全保障推進室」承擔與相關省廳調整作業、制定基本方針及公共評論等，將與日本國家安全保障局（NSS）共同完成經濟安全保障政策。 經濟安全保障推進法主要有四個面向： 一、確保重要物資安定供給（該法第2章）。 二、提供安全基礎設備的審查（該法第3章）。 三、重要技術的開發支援（該法第4章）。 四、專利申請的非公開制度（該法第5章）。 首先就重要物資部分，明定須符合國民生存不可或缺、過分依賴海外支援、若停止出口等原因將導致中斷供給、或實際有中斷供給情事發生等要件，即為重要物資。國家會提供資金等資源援助重要物資的企業經營者，但對其有調查權，若企業不接受調查則受有罰則。 而針對電信、石油等領域之基礎設備，為穩定提供勞務及避免該基礎設備有損害國家安全、社會經濟秩序之虞，於基礎設備引進或維護管理時，企業須事前申報相關計畫書（記載重要設備供給者、設備零組件等），倘認為有妨害國家安全之虞，則可採取禁止設備導入、終止管理等必要措施。 關於重要技術開發支援，列舉了20個領域包括AI、生物技術等，將由經濟安全保障基金撥款，選定各領域之研究人員組成產官協議會委託研究業務等，但應對研究內容為保密，否則設有徒刑等罰則。 另對於科技技術之發明專利，若公開將損及國家安全時，專利廳會將專利申請送交內閣府，採取保全指定措施，於指定期間內，禁止其向外國申請IP、禁止公開發明內容、暫時保留專利核定，防止科技的公開和資訊洩露，但國家應補償不予專利許可所遭受之損失。 針對上開政策已有業者反映國家管理措施太强，將可能成為企業絆腳石，特別是進行審查時有可能導致企業活動速度放慢，應掌握實際情況。
韓國修訂《不正當競爭預防和營業秘密保護法》加強對於營業秘密侵權之監管經查，韓國《不正當競爭預防和營業秘密保護法》（下稱UCPA）之修正案於2024年1月國會通過、2月公布，預計將於8月21日生效。旨在加強對於營業秘密侵權行為的法規監管與處罰力度，故本次修訂以營業秘密相關規定之修正為主，以其他修正（如商標、標誌、地理標示誤用、侵權或其他不公平競爭行為）為輔，本文摘要如下： 一、與營業秘密相關 （一）懲罰性賠償之加重：根據第14-2條第6項規定，針對「故意」營業秘密侵權行為，將懲罰性賠償從3倍上修到5倍。 （二）增加營業秘密侵權行為之監管與罰責：新增第9-8條規定，將「任何人在未經正當授權或超越授權範圍的情況下，不得損害、破壞或改變他人的營業秘密」納入規範，如有違反，將透過新增之第18條第3項規定課予最高10年監禁或最高5億韓元的罰款。 （三）加強對於企業（組織犯罪）之管制效力：基於修法前法人與自然人之罰款數額相同、企業的追訴時效短於自然人，造成難以抑止組織犯罪行為，故新增第19條規定，使企業罰款最高可處自然人罰款3倍，並新增第19-2條規定，將對企業的公訴時效延長至10年（與自然人之訴訟時效同）。 （四）新增沒收規定：依據修法前規定，即使透過UCPA提起訴訟，且侵權人承認侵權，但因為缺乏沒收規定（需要另外依據民事訴訟法才能對犯罪所得進行沒收），導致防止二次侵權損害之效果有限，故修法後透過第18-5條之規定納入可沒收特定營業秘密所得之規定。 二、其他修正 以下兩項修正之對象涉及第2條第1項第1款、第3條、第3-2條第1款（主要為商標、標誌、地理標示等誤用、侵權或其他不公平競爭行為），並不包括營業秘密（營業秘密第2條第1項第2款以下）： （一）加強行政機關的職權：根據第8條規定，關於上述違規行為，相較修法前行政機關僅能提出「建議」（無強制力），修法後特別賦予智慧財產局（KIPO）可以「下令糾正」（시정을 명할 수 있다）之權利，即若未有正當理由依命令糾正者可依照第8條、第20條第1項第1、2款規定公布違反行為及糾正之建議或命令的內容，並對其進行罰款。 （二）法院查閱行政調查記錄的權力的擴張與限制：根據第14-7條規定賦予法院職權，即在法院在特定訴訟中認為必要時，可以要求相關行政單位向法院提出其依據第7條執行的調查紀錄（包括案件當事人的審問筆錄、速記紀錄及其他證據等），若相關紀錄涉及營業秘密，當事人或其代理人可向法院申請就查閱範圍、閱覽人數等進行限制。 綜上所述，可以發現此次修法除了加強法規的監管、處罰力度，顯示近年重視營業秘密爭議外，更特別修訂針對企業、法人等組織犯罪相關規定（如賠償金額的增加，甚至處罰力度大於自然人、訴訟時效的延長等），間接強調企業、法人等組織對於營業秘密侵權有內部管理與監督之責任，若參照資策會科法所創意智財中心於2023年發布之「營業秘密保護管理規範」對於企業內部管理與監督如何落實之研究，係透過將管理措施歸納成（包括從最高管理階層角色開始的整體規劃建議、營業秘密範圍確定、營業秘密使用行為管理、員工管理、網路與環境設備管理、外部活動管理，甚至是後端的爭議處理機制，如何監督與改善等）十個單元的PDCA管理循環，旨在提供企業作為機制建立之參考或自我檢視機制完善性的依據，期冀促進企業落實營業秘密管理。 本文同步刊登於TIPS網（https://www.tips.org.tw）
日本公布《空中移動革命藍圖》日本經濟產業省與國土交通省共同組成的「空中移動革命之官民協議會」（空の移動革命に向けた官民協議会），於2018年12月20日第4次會議中公布《空中移動革命藍圖》（空の移動革命に向けたロードマップ，以下簡稱「本藍圖」），期待飛天車（electric vertical take-off and landing, eVTOL）的實現可在都市交通阻塞時或欲前往離島、山間地區等情形下，提供新移動方式，也可運用於災害時的急救搬運及迅速運送物資等。 本藍圖之「飛天車」係電動垂直起降型的自動駕駛航空機，外型近似直升機，並規劃三條發展路線：實際應用目標、制度及標準之整備、機體及技術之研發。從實際應用目標出發，本藍圖規劃自2019年開始進行飛行測試和實證實驗，以2023年投入運用為目標。首先從運送「物品」開始進展到「部分地區的乘客」，2030年代將再進一步擴大實用到「都市中的乘客」。也可應用於災害應變、急救、娛樂等方面。 為了實現上述目標，即需整備機體安全性、技能證明等及未來投入商業應用時所需之各項標準及制度。當然機體及技術之研發也相當重要，透過試作機研發確保並證明機體安全性及可靠性、自動飛行之機上及地面管理系統、確保達到商業化程度的飛航距離及靜肅性之技術。並設定於投入應用後的2025年開始，重新檢討制度及提升技術。
英國展開醫療器材監管公眾意見徵詢並公布《人工智慧軟體醫材改革計畫》英國藥物及保健產品管理局（Medicines and Healthcare Products Regulatory Agency, MHRA）於2021年9月16日展開期待已久的「英國醫療器材監管的未來」公眾意見徵詢（Consultation on the Future of Medical Devices Regulation in the United Kingdom），並公布「人工智慧軟體醫材改革計畫」（Software and AI as a Medical Device Change Programme）。英國欲從醫療器材上市前核准至其壽命結束進行監管改革，徹底改變一般醫療器材與人工智慧軟體醫療器材之監管方式。意見徵詢已於2021年11月25日結束，而該修正案預計於2023年7月生效，與英國針對醫療器材停止使用歐盟CE（Conformité Européenne, 歐洲合格認證）標誌並要求採用英國UKCA（UK Conformity Assessed, 英國合格評定）標誌的日期一致。 人工智慧軟體醫材改革計畫則包含十一個工作項目（work package，下稱WP），WP1與WP2分別為監管資格與監管分類，皆涉及監管範圍之劃定；WP3與WP4分別涉及軟體醫材上市前與上市後，如何確保其安全性與有效性的監管之研究；WP5針對軟體醫材之網路安全進行規範；WP6與WP7涉及加速創新軟體醫材審核上市之特別機制，分別為類似「創新藥品藥證審核與近用途徑」 （innovative licensing and access pathway）的機制，以及允許適時上市並持續研究監控風險的「氣閘分類規則」（airlock classification rule）；WP8為確保智慧型手機之健康應用程式安全、有效與品質之規範研究；WP9~WP11則分別針對人工智慧軟體醫材之安全與有效性、可解釋性（interpretability）以及演進式（adaptive）人工智慧進行法規調適之研究。 MHRA預計透過指引、標準、流程之公布而非立法方式實現其監管此領域的目標。MHRA亦透露，針對上述工作項目，其已與重點國家和國際機構進行研究合作，已有不少進展即將公布。