美國聯邦貿易委員會（FTC）持續開鍘違約揭露用戶個資的業者
美國聯邦貿易委員會（Federal Trade Commission，FTC）根據《健康違規通知規則》（Health Breach Notification Rule，HBNR），於2023年2月1日和3月2日分別對GoodRx Holdings Inc.公司和BetterHelp, Inc.公司提出擬議命令（Proposed order）。擬議命令指經由行政機關調查案件後提出的改善建議，且經聯邦法院批准後對被調查公司生效。這兩件案例是FTC於2021年後擴大《健康違規通知規則》適用範圍從傳統的健康產業及於網路行業後的首次執法。GoodRx Holdings Inc.公司提供藥物資訊平台與折扣訊息；而BetterHelp, Inc.公司提供遠距醫療服務。兩者在2017到2020年間均向他們的消費者聲明，將妥善保護所蒐集之個資，然而卻轉手將取得個資揭露給Facebook、Snapchat和Google等第三方公司，用來進行目標式廣告的投放。
FTC對GoodRx的擬議命令要求其停止向第三方揭露使用者的個人資料，並處以支付150萬美元的罰鍰。對BetterHelp, Inc.的命令除要求其停止共享使用者的個人資料外，更要求BetterHelp, Inc.向網站的使用者進行退款，退款總額上限高達780萬美元。FTC在擬議命令中建議：涉及敏感性健康資料的事業負責人，除了需要重新檢視目前持有資料的隱私和安全性外，最好能建立一套完整的資料管理流程。流程包括對當事人充分說明蒐集利用目的、取得當事人完整的知情同意、制定完整的個人資料管理及保存銷毀程序、限制員工對資料的存取權限等等。最後也最重要的是要「信守承諾」，這兩個案例中的業者都是違反了自己當初對使用者的承諾，最終才導致被處罰的結果。
- Freshfields Bruckhaus Deringer, FTC Regulatory Enforcement Ramps Up for Digital Health Companies, LEXOLOGY, Apr. 6, 2023
- FTC to Ban BetterHelp from Revealing Consumers’ Data, Including Sensitive Mental Health Information, to Facebook and Others for Targeted Advertising, Federal Trade Commission
- On Breaches by Health Apps and Other Connected Devices, Federal Trade Commission
- 【台北場1】通訊傳播事業個資法遵教育訓練
- 【台中場】通訊傳播事業個資法遵教育訓練
- 【新北場】通訊傳播事業個資法遵教育訓練
- 【高雄場】通訊傳播事業個資法遵教育訓練
- 【台北場2】通訊傳播事業個資法遵教育訓練
- 114年「企業營業秘密保護實務座談會」（中部場）
- 零售業個資法遵實務與資訊安全說明會
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 零售業個資法遵實務與資訊安全說明會（台中場）
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
- 【上午場】探索科技法律最前線：資策會科法所「114年成果」分享會暨簡報票選
- 【下午場】探索科技法律最前線：資策會科法所「114年成果」分享會暨簡報票選
- 商業服務業個資管理與資訊安全實務宣導說明會（高雄場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台南場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台中場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台北場）※如遇颱風假延期至7/16
- 【北部場1】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場2】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場3】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場4】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【南部場】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【中部場】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
黃昱揚
副法律研究員 編譯整理
Freshfields Bruckhaus Deringer, FTC Regulatory Enforcement Ramps Up for Digital Health Companies, LEXOLOGY, Apr. 6, 2023, https://www.lexology.com/library/detail.aspx?g=47c93bcd-1dd7-423d-be37-56b04f877450 (last visited Apr. 12, 2023).
FTC to Ban BetterHelp from Revealing Consumers’ Data, Including Sensitive Mental Health Information, to Facebook and Others for Targeted Advertising, Federal Trade Commission, https://www.ftc.gov/news-events/news/press-releases/2023/03/ftc-ban-betterhelp-revealing-consumers-data-including-sensitive-mental-health-information-facebook (last visited Apr. 12, 2023).
On Breaches by Health Apps and Other Connected Devices, Federal Trade Commission, https://www.ftc.gov/system/files/documents/rules/health-breach-notification-rule/statement_of_the_commission_on_breaches_by_health_apps_and_other_connected_devices.pdf (last visited Apr. 12, 2023).
「國內廠商陷個資外洩風暴 消基會：TPIPAS驗證制度保護個資安全」，中央社，2023.02.08，https://www.cna.com.tw/Postwrite/Chi/334659/（最後瀏覽日：2023/05/24）。
翁芊儒，「亞太個資治理規範CBPR也有臺灣在地認證機構了！資策會建議瞄準跨國市場的企業，可建立個資法遵並自願認證」，iThome，2021.07.12，https://www.ithome.com.tw/news/145331（最後瀏覽日：2023/05/24）。
盧秉羲，〈美國NIST發布更新《網路安全資源指南》提升醫療領域的網路安全及隱私風險管理〉，資訊工業策進會科技法律研究所，2022/9，https://stli.iii.org.tw/article-detail.aspx?tp=1&d=8883&no=64（最後瀏覽日：2023/05/24）。
FTC Proposes Amendments to Strengthen and Modernize the Health Breach Notification Rule, Federal Trade Commission, https://www.ftc.gov/news-events/news/press-releases/2023/05/ftc-proposes-amendments-strengthen-modernize-health-breach-notification-rule (last visited Apr. 24, 2023).
FTC says online counseling service BetterHelp pushed people into handing over health information – and broke its privacy promises, Federal Trade Commission Blog, https://www.ftc.gov/business-guidance/blog/2023/03/ftc-says-online-counseling-service-betterhelp-pushed-people-handing-over-health-information-broke (last visited Apr. 24, 2023).
論複數決標之廠商競爭關係 資訊工業策進會科技法律研究所 108年5月3日 壹、事件摘要 甲機關為共同供應契約採購的訂約機關，負責辦理某財物共同供應契約採購招標事宜。考量廠商供貨能力不同，甲機關將供貨區域區分「全國各公部門」及「特定縣市公部門」，由廠商依其供貨能力擇一型式投標，並在同一採購案之招標程序分為兩個期程辦理。該採購案投標須知重點說明如下： 一、第一期程： 本期程先由供貨予「全國各公部門」的廠商投標，廠商如選擇投標本期程，則不得參與第二期程。由於本採購案採最低標及複數決標，由最低價廠商得標，其餘廠商可選擇是否跟進該最低標併列得標，惟本期程可跟進之廠商有家數限制，依廠商報價由低到高排列，取前80%。 二、第二期程： 本期程待第一期程決標後，再由有意願供貨予「特定縣市公部門」的廠商參與，廠商至多可選擇五個縣市供貨。第一期程之決標品項及該品項的決標金額，為本期程的採購品項及決標金額，故參與本期程之廠商無庸提出報價，選擇欲跟進併列得標之品項即可。廠商如選擇參與本期程，則不得參與第一期程。本期程可跟進之廠商無家數限制。 A廠商及B廠商分別參與本採購案第一期程、第二期程之投標，甲機關審查彼等遞交之投標文件時，發現其上所載聯絡人、傳真、電話號碼相同，投標區域與品項亦有重複，似為同一廠商備標，遂請兩家廠商說明。A廠商及B廠商均表示，兩家廠商為多年合作夥伴，B廠商因廠址遷移致人手不足，而委請A廠商作為聯繫窗口，故記載相同的聯絡資訊。甲機關認為A、B廠商之說明，無法澄清為同一廠商備標疑慮，爰依政府採購法(以下簡稱採購法)第31條第2項第8款、第50條第1項第5款及本案投標須知規定，不決標予A、B廠商，且不予發還押標金。 A、B廠商不服，提起異議及申訴。是本案應探究者為，於同一採購案參與不同期程投標的相異廠商，彼等投標文件所載之聯絡人、傳真、電話號碼相同，甲機關是否可認定屬採購法第50條第1項第5款所訂「不同投標廠商間之投標文件內容有重大異常關聯者」？又，因本案係同一採購案區分兩期程投標，且投標須知規定(1)廠商僅得選擇一個期程投標；(2)第二期程的決標金額係依第一期程決標之結果；(3)未限制第二期程可跟進之廠商家數，則本案廠商無法釐清非屬同一廠商備標時，甲機關之處理是否會有不同？ 貳、重點說明 行政院公共工程委員會(以下簡稱工程會)民國91年11月27日工程企字第09100516820號令[1]曾就前述採購法第50條第1項第5款所稱「重大異常關聯」，說明「機關辦理採購有下列情形之一者，得依政府採購法第五十條第一項第五款『不同投標廠商間之投標文件內容有重大異常關聯者』處理：……四、廠商地址、電話號碼、傳真機號碼、聯絡人或電子郵件網址相同者。五、其他顯係同一人或同一廠商所為之情形者。」故不同投標廠商間之投標文件倘有聯絡資訊相同，顯係同一人或同一廠商所為之情形，即構成投標文件內容有重大異常關聯，屬影響採購公正之違反法令行為。 本案A、B廠商之投標文件有聯絡人、傳真、電話號碼記載相同情形，且該等廠商未能合理說明其緣由，似已符合「重大異常關聯」要件。然採購申訴審議委員會指出本案無採購法第50條第1項第5款規定之適用，其理由為： 一、投標廠商間未有競爭情形存在時，無適用採購法第50條第1項第5款之餘。 採購法第50條第1項第5款規定「投標廠商有下列情形之一，經機關於開標前發現者，其所投之標應不予開標；於開標後發現者，應不決標予該廠商：……五、不同投標廠商間之投標文件內容有重大異常關聯者。」該條款係91年2月6日增訂，依立法院交通委員會審查會通過送院會二讀之條文對照表說明欄記載「第1項增訂第5款，以防止假性競爭行為，例如不同廠商間之投標文件內容筆跡相同、押標金由同一人繳納、掛號信連號、地址相同、電話號碼相同之情形……」，復參工程會96年6月25日96工程企傳字第F961354號函(以下簡稱工程會96年函)揭示「關於政府採購法50條第1項第5款規定，係為防止假性競爭之情形。依來函所述個案採分項決標，且地址、傳真、電話相同之二家廠商各投不同項目，尚非彼此互相競爭，自無上開條款之適用」[2]，是採購申訴審議委員會認為，採購法第50條第1項第5款立法目的係為防止假性競爭之行為，倘投標廠商間無須有競爭情形存在時，即無條款之適用。 二、本案第一期程與第二期程之廠商間，以及第二期程之廠商間無須競爭，故無採購法第50條第1項第5款適用。 採購申訴審議委員會指出，本採購案採二期程招標方式辦理，投標須知規定：「第二期程之招標於第一期程採購決標後再公告」、「曾參加第一期程投標之廠商，不論是否合格或得標或併列得標，均不得參加第二期程之投標」、「第一期程決標品項即為第二期程之採購項目。第一期程採購各項之決標金額即為第二期程採購之決標金額，廠商僅得就招標機關……公告第一期程決標金額及對應之品項中選擇適合者投標(跟進)，不得報列公告之決標金額以外之價格及非屬第一期程所公告之決標品項」、「第一期程決標項目之決標價格及合格品項，俟決標後本局將另行於第二期程之招標文件公告」、「本案競標機制，……以投標廠商最低價者得標並採複數決標，得跟進最低價併列得標之廠商家數依第一期程全區廠商依報價由低至高排列取前80%為上限，第二期程單區廠商不設上限」。 是以，A廠商係參加本案第一期程投標之廠商，不論其是否合格或得標或併列最低標得標，均不得參加第二期程之投標，而參與第二期程之B廠商，係按甲機關公告之第一期程決標品項及金額跟進，且第二期程得標廠商之家數並無限制，故參與第二期程與參與第一期程之廠商彼此間，以及參與第二期程之廠商彼此間，均無須競爭，爰本案無採購法第50條第1項第5款之適用。 參、事件評析 就本案申訴審議委員會提出之理由及所為之結論，筆者以為有下述二點得再為細部討論： 一、本案第二期程雖可跟進最低標併列得標廠商之家數未設上限，惟廠商於履約階段與相同供貨區域之其他得標廠商仍具有競爭關係，自有適用採購法第50條第1項第5款規定必要。 查，採購申訴審議委員會以採購法第50條第1項第5款立法理由，以及工程會96年函內容，認為廠商間有競爭情形始得適用該條款，此見解固屬正確，然採購申訴審議委員會認為B廠商不適用採購法第50條第1項第5款規定，係因第二期程之廠商彼此間無須競爭，實有討論空間。蓋本案爭議應為參與不同期程之廠商間，如彼等投標文件有聯絡資訊記載相同情形，甲機關得否以採購法第50條為處理。故採購申訴審議委員會就本案B廠商不適用上開法條所提理由，似未解決本案爭執之點。 次查，採購申訴審議委員會以採購法第50條第1項第5款立法理由，以及工程會96年函文，似認為僅在投標階段始禁止廠商彼此間假性競爭，而本案投標須知既然未限制第二期程之得標廠商家數，第二期程之廠商彼此間自無競爭問題。惟本案第二期程之廠商間，是否確無競爭關係，以及是否僅需於投標階段討論競爭關係，筆者均認有待商榷。 觀諸採購申訴審議委員會援引之採購法第50條第1項第5款立法理由及工程會96年函文，並未排除履約階段之適用。甚且，由政府採購法第1條規定「為建立政府採購制度，依公平、公開之採購程序，提升採購效率與功能，確保採購品質，爰制定本法」，以及採購法施行細則第33條第1項前段規定「同一投標廠商就同一採購之投標，以一標為限」可知，政府採購各程序均應維持公平、公正之秩序，故無論於投標、開標、決標乃至履約階段，自應防止廠商間有假性競爭可能，廠商不得利用人頭在同一採購案分別投標，以維護各個投標廠商及得標廠商間之平等，始為恰當。 經查，因本案第二期程可跟進最低標併列得標廠商之家數未設上限，當同一採購項目之得標廠商愈多，各廠商於該項目獲得訂單之機會將被稀釋。則某一廠商為了使其有更多適用機關之訂單，而利用多數人頭參與第二期程投標，且均跟進成為得標廠商，自難謂未牴觸政府採購要求之公平及公正。而此競爭關係存在於履約階段，如將之排除於採購法第50條第1項第5款之適用範圍，即可能成為法規漏洞而導致廠商有投機行為，自非採購法所允許。 準此，尚不得以本案可跟進最低標併列得標廠商之家數未設上限，即可逕認第二期程投標廠商間無須競爭，蓋本案第二期程廠商之競爭關係存在於履約階段，為確保採購程序公平、公正秩序，本案第二期程仍應適用採購法第50條第1項第5款規定。 二、參與本案第一期程及第二期程投標廠商間有競爭關係，適用採購法第50條第1項第5款規定。 本案雖區分二種投標型式，然均屬同一採購案；無論是第一期程之「全國各公部門」或第二期程之「特定縣市公部門」，皆允許有二家以上之得標廠商；參與第一期程「全國各公部門」之得標廠商可供貨至全國各縣市，自會與第二期程「特定縣市公部門」之供貨區域重疊，是若第一期程之廠商與第二期程之廠商於本案之投標品項重複時，於彼此相同供貨區域即屬相互競爭關係。 再者，本案針對第一期程「全國各公部門」設有跟進廠商家數上限，復規定參與第一期程投標之廠商不得參與第二期程，是參與第一期程之廠商如為避免無法跟進，或為增加取得適用機關訂單之機會，自有可能與第二期程廠商透過共謀投標文件而營造假性競爭之可能，確保其能進入本採購案。 準此，本案第一期程之A廠商與第二期程之B廠商因供貨區域及投標品項有重複情形，故A、B廠商於履約階段具有競爭關係，倘彼等無正當理由釐清投標文件何以所載聯絡人、傳真、電話號碼相同，投標區域均相同，甲機關自得依採購法第50條第1項第5款規定處理。末查，前述採購法施行細則第33條第1項前段規定同一投標廠商就同一採購以投一標為限，依此法理，自須禁止參與第一期程廠商以人頭方式再參與第二期程投標，以迂迴手法規避上揭規定而於同一採購案投標二次，併此敘明。 [1] 〈行政院公共工程委員會令 工程企字第○九一○○五一六八二○號〉，政府採購法規解釋函令及相關函文，http://plan3.pcc.gov.tw/gplet/mixac.asp?num=1673（最後瀏覽日：2019/04/11）。 [2] 〈行政院公共工程委員會令 96工程企傳字第F961354號〉，政府採購法規解釋函令及相關函文，http://plan3.pcc.gov.tw/gplet/mixac.asp?num=2516（最後瀏覽日：2019/04/11）。
FAA公告禁止無人機於美國主要旅遊景點內飛行根據美國國家安全執法機構（US national security and law enforcement agencies）之要求，美國聯邦航空總署（Federal Aviation Administration，以下簡稱FAA）於2017年9月28日，依照聯邦法規（Code of Federal Regulations）第99.7條規定，發布無人機飛行規則，禁止任何人於多個旅遊地點邊界範圍400英尺內飛行無人機。美國聯邦調查局（FBI）局長Christopher Wray表示，「擔心恐怖分子會使用無人機進行攻擊。」 從FAA的公告中，禁止無人機飛行之限航區係由FAA和內政部（Department of the Interior，以下簡稱DOI）共同指定，包括：紐約自由女神像（Statue of Liberty National Monument）、波士頓國家歷史公園（Boston National Historical Park）、費城獨立國家歷史公園（Independence National Historical Park）、加州福爾索姆水壩（Folsom Dam）、亞利桑那州格倫峽谷大壩（Glen Canyon Dam）、華盛頓州大古力大壩（Grand Coulee Dam）、內華達州胡佛水壩（Hoover Dam）、密蘇里州傑弗遜國家擴張紀念公園（Jefferson National Expansion Memorial）、南達科他州拉什莫爾山國家紀念公園（Mount Rushmore National Memorial）、加州沙斯塔壩（Shasta Dam）。以上具體位置皆屬DOI管轄地區，也是FAA第一次將無人機之空域限制規定於DOI地標上，目前FAA仍對軍事基地進行類似空域限制。 限制無人機飛行之規則將於2017年10月5日生效，違反空域限制者，將採取法律行動，包含民事處罰和刑事追訴。只有少數例外情形，允許無人機在限制區內飛行，且必須和個別場所或FAA進行協調。FAA表示，正依聯邦法規第99.7條配合考慮其他聯邦機構對於無人機之其他限制要求。
BEREC推出網路中立性原則指南2016年8月底，歐洲電子通傳監管機構（Body of European Regulators for Electronic Communications, BEREC）根據歐洲議會（European Parliament）與歐盟理事會（Council of the European Union）通過的第2015/2120號規章（下稱2120號規章）第5條第3項的規定，推出規範歐盟各會員國國家監管機構（national regulatory authorities, NRAs）落實網路中立性原則的指南，為歐洲近年積極鼓吹數位人權運動寫下勝利的一頁。 該指南主要針對2120號規章以下幾條進行細部說明： 1. 第一條：規範主體與範圍； 2. 第二條：定義； 3. 第三條：網路中立權利的保障； 4. 第四條：確保網路中立的資訊透明措施； 5. 第五條：監管機制； 6. 第六條：罰則； 7. 第十條：規章實施與過渡條款。 指南補充說明了原先規章中，各條條文的相關細部規範。BEREC不只對各條規範中較為模糊的敘述提供明析的論述，同時也強化NRAs規範網路服務供應商（internet service provider, ISP）應提供網路中立服務的拘束力。 該指南的立場旨在希望歐洲網路終端用戶近用網路的權利受到更為完善的保障，且為了達成這樣的目標而為ISPs所提供的服務設下了更為嚴苛的門檻。不過BEREC也表示，ISPs可以在不影響其他終端用戶的權利及傳輸速率下，為特定服務提供特別的服務方案，例如：即時醫療服務（real-time health services）。當然，針對這些特定服務，各國NRAs必須加以監管以確保其他網路終端用戶的權利。 雖然該指南對歐盟各會員國的NRAs有行政指導上的指標意義，不過有趣的是，英國通訊傳播管理局（Office of Communications, Ofcom）身為BEREC的會員，但英國已非歐盟會員，Ofcom是否會提出適用英國自己的網路中立性規範，以及歐盟各會員國對於該指南的適用狀況值得繼續追蹤。
美國健康保險制度下的個人資料安全保護隱憂為降低美國人民在醫療保險費用的支出，同時加強管理現有的保險產業，同時提供美國人民一更易負擔的醫療保險制度，美國總統歐巴馬自上任以來遂特別加強推動美國健康保險制度，與相關現有醫療保險制度的建置與改革，並於2010年3月23日通過「病患保護與平價醫療法案」（The Patient Protection and Affordable Care Act，本法暱稱Obamacare），並計劃於今（2013）年10月正式啟動上路。 為集中且便利相關機構快速讀取單一個人之相關資訊，Obamacare計畫透過聯邦數據服務樞紐（The Federal Data Services Hub）的建置，彙整目前美國各單一政府單位所保有之全民個人資料，該類資料涵蓋個人醫療、教育、和財務等相關資訊，提供各州政府單位機關有需求時得以讀取。然而，儘管該服務樞紐的用意係為提供更完整的個人資料，然而其卻也因其本身具集中單一個人資料於一身的特性而受到各界的質疑。反對人士認為，由於該服務樞紐彙整龐大單一個人資料，因此若其未建立完善資訊安全機制，而遭受到不肖駭客入侵竊取個人資料的話，所造成的後果將影響甚遠，再加上未來將管理服務樞紐的美國衛生及公共服務部（The Department of Health and Human Services, HHS），遲遲未能讓外界信服其已建立充分的資訊安全保全系統來保障全美國人民的個人資料，因此反對人士對於該服務樞紐對於個人資料安全與隱私的保全能力感到堪慮。 根據美國隱私法（Privacy Act of 1974），美國政府需提供適當的隱私保全機制來保障美國人民的個人資料，同時，美國聯邦資訊安全管理法（Federal Information Security Management Act of 2002）亦要求美國政府需確保美國人民的個人資料不被濫用，故在該二法案的明文要求下，歐巴馬政府於推行Obamacare之際，相關資訊安全保全系統機制仍須符合標準始得合法運作。Obamacare上路在即，歐巴馬政府與相關部會該如何解決個人資料保護問題，其後續發展實值得觀察。