西班牙AEPD增加關於健康和個人資料保護關注領域
西班牙個資監管機關（Agencia Española de Protección de Datos, AEPD）於2022年5月3日增加健康和個人資料保護有關的關注領域。觀2021年，計有680件與健康資料相關之爭議案件，與2020年相比增長了75%，又因健康資料為特殊類型之個人資料，故更應嚴加保障。
該領域的內容適用於公民、資料控制者、資料保護專業人員、健康中心或製藥行業等，共分六小節：
一、第一小節概述了與健康資料有關的權利，解釋了歐盟一般個人資料保護規則（General Data Protection Regulation, GDPR）第9條及西班牙當地規範有關處理健康資料定義、如何行使醫療記錄近用權（Right to access），以及與醫學研究相關的問題，其中規定了患者在使用資料和臨床文件方面權利和義務、在近用權被拒絕情況下如何向AEPD申訴、臨床病史保留及刪除權利之限制等。
二、第二小節重點介紹AEPD公布的相關報告和指南，包括勞資關係中之個人資料保護指南，及有關臨床病史、臨床試驗等相關主題之報告。
三、第三小節則著重在AEPD於新型冠狀病毒肺炎（COVID-19）爆發後，製作大量與COVID-19相關之聲明文件及法律報告，故在此彙整相關資料，以協助落實個人資料之保障。
四、第四小節健康研究和臨床試驗，其中彙編了相關指南，以及規範臨床試驗和其他臨床研究以及藥物安全監視所涉個人資料保護行為準則。
五、第五小節講述與健康狀況有關之申訴、賠償紀錄部分，其中包括AEPD收到多項涉及已故患者直系親屬近用醫療記錄之權利或醫療專業人員非法獲取臨床病史和醫療記錄之投訴。
六、第六小節側重於醫療組織洩露個人資料議題，概述了資料控制者之義務以及為確保遵循GDPR而應採取之措施，另強調以特殊方式處理健康資料之活動，如電子健康紀錄、物聯網醫療所使用之行動裝置或雲端等存取設備，皆存在外洩之風險因子。
- 零售業個資安全宣導暨安全維護計畫規劃說明會
- 數位經濟時代的隱私保護與商機－CBPR跨境隱私規則體系解析
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(實體)
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(直播)
- 零售業個資安全宣導暨安全維護計畫說明會（高雄場）
- 零售業個資安全宣導暨安全維護計畫說明會（台中場）
- 【台北場1】通訊傳播事業個資法遵教育訓練
- 【台中場】通訊傳播事業個資法遵教育訓練
- 【新北場】通訊傳播事業個資法遵教育訓練
- 【高雄場】通訊傳播事業個資法遵教育訓練
- 【台北場2】通訊傳播事業個資法遵教育訓練
- 零售業個資法遵實務與資訊安全說明會
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 零售業個資法遵實務與資訊安全說明會（台中場）
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
何佳穎
副法律研究員 編譯整理
Agencia Española de Protección de Datos, New section on health and data protection https://www.aepd.es/es/prensa-y-comunicacion/notas-de-prensa/nueva-seccion-sobre-salud-y-proteccion-de-datos(last visited May. 11, 2022).
OneTrust DataGuidance, Spain: AEPD adds section on health and data protection https://www.dataguidance.com/news/spain-aepd-adds-section-health-and-data-protection(last visited May. 11, 2022).
美國國會於今年5月針對美國發明法（Leahy-Smith America Invents Act，AIA）第18條提出擴張性修法。美國發明法第18條係規範專利改革過渡期間涵蓋商業方法專利之複審程序（Transition Program for Cover Business Method Patents Review， CBM），並且定有落日條款，預計將在2020年9月16日失效。本次修正案研擬將落日條款刪除以外，將適用對象從原先適用於金融產品或服務（a financial product or service）之商業方法專利（Business Method Patents）修正為適用於企業、商品或服務（used in the practice, administration, or management of enterprise、product or service）之商業方法專利，此將擴張商業方法專利複審程序之適用範圍。 奇異電子（GE Co.）、3M（3M Co.）、禮來（Lilly & Co.）、施樂（Xerox Corp.）等多家產業界知名公司於今年（2013）9月19日發出聯合信函反對美國國會此次針對美國發明法第18條的擴張性修法。信中表示本次修法將意味著數據處理專利（Data Processing Patents）等尖端的癌症治療方法到汽車安全系統等都可能包含在內，可提起專利侵權的範圍將擴大至難以界定的程度，再者刪除落日條款，會造成諸多不確定性與風險阻礙科技創新的持續投入。 然而，產業界並非意見一致，諸如谷歌（Google Inc.）、臉書（Facebook Inc.）、沃爾瑪（Wal-Mart Stores Inc.）等知名公司則立場相左，早於今年7月即率先表示贊成，聲明此次修法提供創新者一個積極保護自身專利的具體手段。由此足見歐巴馬政府與立法者在專利法制改革中，必然要面對難以預測的產業效應和衝擊，從而增加其制度改革策略思考和制度設計的難度。
英國提出因應GDPR自動化決策與資料剖析規定之細部指導文件2018年5月，英國資訊專員辦公室（Information Commissioner’s Office, ICO）針對歐盟GDPR有關資料自動化決策與資料剖析之規定，公布了細部指導文件（detailed guidance on automated decision-making and profiling），供企業、組織參考。 在人工智慧與大數據分析潮流下，越來越多企業、組織透過完全自動化方式，廣泛蒐集個人資料並進行剖析，預測個人偏好或做出決策，使個人難以察覺或期待。為確保個人權利和自由，GDPR第22條規定資料當事人應有權免受會產生法律或相類重大效果的單純自動化處理決策（a decision based solely on automated processing）之影響，包括對個人的資料剖析（profiling），僅得於三種例外情況下進行單純自動化決策： 為簽訂或履行契約所必要； 歐盟或會員國法律所授權； 基於個人明示同意。 英國2018年新通過之資料保護法（Data Protection Act 2018）亦配合GDPR第22條規定，制定相應國內規範，改變1998年資料保護法原則上容許資料自動化決策而僅於重大影響時通知當事人之規定。 根據指導文件，企業、組織為因應GDPR而需特別留意或做出改變的事項有： 記錄資料處理活動，以幫助確認資料處理是否符合GDPR第22（1）條單純自動化決策之定義。 倘資料處理涉及資料剖析或重大自動化決策，應進行資料保護影響評估（Data Protection Impact Assessment, DPIA），判斷是否有GDPR第22條之適用，並及早了解相關風險以便因應處理。 提供給資料當事人的隱私權資訊（privacy information），必須包含自動化決策之資訊。 應確保組織有相關程序能接受資料當事人的申訴或異議，並有獨立審查機制。 指導文件並解釋所謂「單純自動化決策」、「資料剖析」、「有法律效果或相類重大影響」之意義，另就可進行單純自動化決策的三種例外情況簡單舉例。此外，縱使符合例外情況得進行單純自動化決策，資料控制者（data controller）仍必須提供重要資訊（meaningful information）給資料當事人，包括使用個人資料與自動化決策邏輯上的關聯性、對資料當事人可能產生的結果。指導文件亦針對如何向資料當事人解釋自動化決策處理及提供資訊較佳的方式舉例說明。
瑞典Attunda地方法院關於Hyperlink之侵害著作權判決-透過輸入網址或點選超連結(Hyperlink)方式找尋資料，是網路運作基礎之一。而單純以Hyperlink方式另開新視窗呈現其他網頁，由於只是方便快速連結到其他網站或網頁內容，並無涉及重製行為，因此實務上普遍認為並無侵害著作權的問題。然而瑞典Attunda地方法院於2016/10/13，就一則使用Hyperlink方式之案例卻認定有侵害著作權。 此案例起因於瑞典原告Jonsson在非洲Zambezi河上，拍攝到高空彈跳發生意外之影片，後該影片未得原告同意遭他人上傳至YouTube網站。被告比利時L’Avenir新聞網站報導此事件時，於文中提供Hyperlink(lånkat från hemsidan till YouTube)，使讀者能連結到YouTube上之該則影片。本案原告主張並無授權上傳YouTube影片，也無允許被告在其網路報導得以提供Hyperlink連接至YouTube網站影片，以此要求L’Avenir新聞網站負擔侵害其公眾傳輸權之責任。 瑞典Attunda地方法院引用歐盟法院於2016/09/08GS Media, C-160/15案中關於Hyperlink判決見解，認定若超連結之內容有權利人合法授權，Hyperlink行為固無侵權可言，但若連結之內容未受權利人合法授權時，需先判定行為人是否是以營利為目的；若為肯定，則推定行為人明知其內容違法、Hyperlink行為構成公眾傳輸行為，但行為人可舉證推翻，證明其不知內容違法而未構成侵權。本案由於超連結內容是未經由原告授權，且瑞典Attunda法院認定L’Avenir新聞網站以營利為目的使用Hyperlink，於網站無法證明不知內容非法情況下，因此判定被告構成侵權。 瑞典法院所引用的歐盟判決引起諸多批評，論者有謂超連結功能是網路運作基礎之一，該判決認為以營利目的使用即應推定對內容違法有明知，不僅「營利目的」此一條件之內涵為何，需待後續更多判決個案方可確定具體內容；而且造成所有線上新聞網站擬使用超連結影片及內容、又無法得知內容是否有被合法授權時，必須承擔更大的侵權風險；因此產生的自我審查，將弱化網路之基本運作功能，且使言論自由及通訊自由受到侵害。
Facebook粉絲專頁管理者是否負有保護用戶個資隱私之控制者（Data Controller）責任2018年6月5日歐盟法院針對Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein v Wirtschaftsakademie Schleswig-Holstein GmbH訴訟進行先訴裁定，擴大解釋《資料保護指令》（Directive 95/46/EC）之「資料控制者」範圍，認為Facebook和粉絲專頁管理者皆負有保護訪客資料安全的責任。由於「資料控制者」定義在《資料保護指令》與《一般資料保護規則》（GDPR）相同，因此裁定將影響未來使用社群媒體服務和平台頁面的個資保護責任。 本案起因德國Schleswig-Holstein邦獨立資料保護中心要求 Wirtschaftsakademie教育服務公司在Facebook經營之粉絲專頁必須停用，其理由認為Facebook和Wirtschaftsakademie進行之Cookie資料蒐集、處理活動並未通知粉絲成員且因此從中獲利，然Wirtschaftsakademie認為並未委託Facebook處理粉絲成員個資，當局應直接對Facebook要求禁止蒐集處理。歐盟法院認為Wirtschaftsakademie使用Facebook所提供之平台從中受益，即使未實際擁有任何個資，仍被視為負共同責任（jointly responsible）的資料控制者，應依具體個案評估每個資料控制者責任程度。 在原《資料保護指令》並未有「資料控制者需負共同責任」之規定，本案擴大解釋資料控制者範圍，對照現行GDPR屬於第26條「共同控制者」之規範主體，然而本案將資料控制者擴張到未實際處理資料之粉絲專頁管理者，是否過於嚴格？且未來如何劃分責任與義務，皆有待觀察。