美國民權辦公室發布遠距醫療隱私和資訊安全保護相關建議
美國衛生及公共服務部（U.S. Department of Health and Human Services, HHS）民權辦公室（Office for Civil Rights, OCR）於2023年10月18日發布了兩份文件，針對遠距醫療情境下的隱私和資訊安全保護，分別給予病人及健康照護服務提供者（下稱提供者）實務運作之建議。本文主要將發布文件中針對提供者的部分綜合整理如下：
1.於開始進行遠距醫療前，提供者應向病人解釋什麼是遠距醫療及過程中所使用的通訊技術。讓病人可瞭解遠距醫療服務實際運作方式，若使用遠距醫療服務，其無須親自前往醫療院所就診（如可以透過語音通話或視訊會議預約看診、以遠端監測儀器追蹤生命徵象等）。
2.提供者應向病人說明遠距醫療隱私和安全保護受到重視的原因。並且向病人告知為避免遭遇個資事故，提供者對於通訊技術採取了哪些隱私和安全保護措施，加以保護其健康資訊（如診療記錄、預約期間所共享資訊等）。
3.提供者應向病人解釋使用通訊技術對健康資訊帶來的風險，以及可以採取哪些方法降低風險。使病人考慮安裝防毒軟體等相關方案，以防範病毒和其他惡意軟體入侵；另網路犯罪者常利用有漏洞之軟體入侵病人裝置，竊取健康資訊，因此可於軟體有最新版本時，盡快更新補強漏洞降低風險；若非於私人場所預約看診，病人則可透過調整裝置或使用即時聊天功能，避免預約資訊洩漏。
4.提供者應協助病人保護健康資訊。確保病人知悉提供者或通訊技術供應商聯絡資訊（如何時聯絡、以什麼方式聯絡等），使病人遭網路釣魚信件或其他方式詐騙時可以加以確認；也應鼓勵病人有疑慮時都可洽詢協助，包括如何使用通訊技術及已採取之隱私和安全保護措施等。
5.提供者應使病人了解通訊技術供應商所採取之隱私和安全保護措施。告知病人通訊技術供應商名稱、採取之隱私和安全保護措施，及如何得知前開措施內容；使病人了解進行遠距醫療時是否使用線上追蹤技術。
6.提供者應告知病人擁有提出隱私投訴的權益。若病人認為自身健康隱私權受到侵犯，得透過OCR網站進行投訴。
- U.S. Department of Health and Human Services[HHS], Resource for Health Care Providers on Educating Patients about Privacy and Security Risks to Protected Health Information when Using Remote Communication Technologies for Telehealth (2023)
- U.S. Department of Health and Human Services[HHS], HHS Office for Civil Rights Issues Resources for Health Care Providers and Patients to Help Educate Patients about Telehealth and the Privacy and Security of Protected Health Information (2023)
- 零售業個資安全宣導暨安全維護計畫規劃說明會
- (已額滿)114年「企業營業秘密保護實務座談會」(北部場)–營業秘密因應數位環境之保護風險及管理對策
- 數位經濟時代的隱私保護與商機－CBPR跨境隱私規則體系解析
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(實體)
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(直播)
- 零售業個資安全宣導暨安全維護計畫說明會（高雄場）
- 零售業個資安全宣導暨安全維護計畫說明會（台中場）
- 【台北場1】通訊傳播事業個資法遵教育訓練
- 【台中場】通訊傳播事業個資法遵教育訓練
- 【新北場】通訊傳播事業個資法遵教育訓練
- 【高雄場】通訊傳播事業個資法遵教育訓練
- 【台北場2】通訊傳播事業個資法遵教育訓練
- 114年「企業營業秘密保護實務座談會」（南部場）
- 114年「企業營業秘密保護實務座談會」（中部場）
- 零售業個資法遵實務與資訊安全說明會
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 零售業個資法遵實務與資訊安全說明會（台中場）
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
- 【上午場】探索科技法律最前線：資策會科法所「114年成果」分享會暨簡報票選
- 【下午場】探索科技法律最前線：資策會科法所「114年成果」分享會暨簡報票選
謝淯婷
法律研究員 編譯整理
U.S. Department of Health and Human Services[HHS], Resource for Health Care Providers on Educating Patients about Privacy and Security Risks to Protected Health Information when Using Remote Communication Technologies for Telehealth (2023), https://www.hhs.gov/hipaa/for-professionals/privacy/guidance/resource-health-care-providers-educating-patients/index.html (last visited Oct.20, 2023).
U.S. Department of Health and Human Services[HHS], HHS Office for Civil Rights Issues Resources for Health Care Providers and Patients to Help Educate Patients about Telehealth and the Privacy and Security of Protected Health Information (2023), https://www.hhs.gov/about/news/2023/10/18/civil-rights-issues-resources-help-educate-patients-telehealth-privacy-security-protected-health-information.html (last visited Oct.20, 2023).
阮韻蒨，〈美國公布實施零信任架構相關資安實務指引〉，資策會科法所法律要聞，https://stli.iii.org.tw/article-detail.aspx?tp=1&d=8885&no=64（最後瀏覽日：2023/10/24）。
楊政一，〈WHO公布實施遠距醫療綜合指引〉，資策會科法所法律要聞，https://stli.iii.org.tw/article-detail.aspx?tp=1&d=8944&no=64（最後瀏覽日：2023/10/30）。
黃昱揚，〈美國聯邦貿易委員會（FTC）持續開鍘違約揭露用戶個資的業者〉，資策會科法所法律要聞，https://stli.iii.org.tw/article-detail.aspx?tp=1&d=9006&no=64（最後瀏覽日：2023/10/30）。
從美國「聯邦風險與授權管理計畫」看我國促進政府部門導入雲端運算之策略與機制 科技法律研究所 2013年07月03日 資訊科技的發展，從早期「超級電腦/大型電腦」、近期「個人電腦」，到即將邁入以超大規模數量電腦主機虛擬集結的「雲端運算」時代。雲端運算將電腦集中運用，未來電腦運算設施就像是水、電；資料儲存與應用就像是銀行，只要連上網路就可以使用，不必各自投資發展。因此，「雲端運算」未來將成為每個國家的重要基礎建設。 將雲端運算列為重要的產業發展重心，已是各國的趨勢，而運用雲端運算所帶來的效益，如節省經費、提升效率等，亦為普遍地承認，再加上公部門相較於民間，其擁有較多的經費及資源來進行雲端運算的導入，而藉由公部門導入雲端運算，可以帶動雲端運算產業的發展以及雲端運算應用的普及化。因此，各國均皆致力於促進公部門導入雲端運算。 然而，在雲端運算帶來龐大經濟效益的同時，伴隨而來的，是新的資訊管理議題，雲端安全防護聯盟（Cloud Security Alliance, CSA）提出了雲端運算可能遭遇的九大安全威脅 ： 一、資料外洩（Data Breaches） 二、資料遺失（Data Loss） 三、帳號被駭（Account Hijacking） 四、不安全的APIs程式（Insecure APIs） 五、拒絕服務（Denial of Service） 六、惡意的內部人員（Malicious Insiders） 七、濫用雲端服務（Abuse of Cloud Services） 八、審慎評鑑不足（Insufficient Due Diligence） 九、共享環境議題（Shared Technology Issues） 面對前述的安全威脅，政府部門在考量導入雲端服務時，首先面對的就是要探討如何在導入雲端運算後仍能維持資訊安全的強度，以及政府部門要從何尋找符合其需求的業者。 壹、事件摘要 美國政府在2010年12月發表了25項聯邦IT轉型重點政策，其中一項核心的政策便是「雲優先政策」（cloud first policy）。根據「雲優先政策」，聯邦機構必須在三個月內找出三項轉移到雲端的政府服務，並且要在一年內導入其中一項。 然而，此種新型態的雲端運算服務為聯邦機構帶來資安管理的新挑戰，傳統由各機關分頭洽談所導入資訊系統與應用規格之方法，並實施個別的資訊安全需求與政策的作法，對服務商而言，其所提供的相同服務，在各機關導入時，卻必須將受各個機關的審查，造成各機關投入過多的資源在審查程序上，導致政府資源的浪費，不但耗費時間、審查重複，且無法達到建構妥善操作程序的效果。 2012年6月6日，聯邦政府總務管理局（General Service Administration, GSA）宣布「聯邦風險與授權管理計畫」（Federal Risk and Authorization Management Program,以下稱FedRAMP）開始正式運作，GSA並表示，「FedRAMP」的正式運作，將解決美國政府在雲端產品及服務需求上，因各自導入之標準不一致所導致的系統相容性問題、重複投資浪費，並可降低各政府機關自行進行風險評估及管理相關系統所耗費的人力、金錢成本。預估該計畫可為美國政府節省高達40%的預算及費用，預期效益相當可觀。 「FedRAMP」的目的是要為全國政府機關針對雲端產品與服務的風險評估、授權管理以及持續監控等標準作業規範，建立一套可遵循之依據。未來所有雲端產品的服務提供者，都必須遵守及達到該計畫的標準規範，才能為美國政府機關提供雲端產品及服務。 貳、重點說明 「聯邦風險與授權管理計畫」主要由預算與管理辦公室（Office of Management and Budget, OMB）負責組織預算與管理；聯邦資訊長（the Federal Chief Information Officer，CIO）負責跨部門的整合；國土安全部(Department of Homeland Security, DHS)負責網際網路的監控與分析；總務管理局(General Services Administration, GSA) 則建立FedRAMP之架構與程序，並成立計畫管理辦公室（ Program Management Office， PMO）負責FedRAMP之操作與管理；以及國家科技研究所(National Institute of Science and Technology, NIST)負責提供技術分析與標準；最後由國防部(Department of Defense, DoD) 、國土安全部、總務管理局，組成共同授權委員會（Joint Authorization Board, JAB），負責對服務提供者的授權與定期檢視。 FedRAMP制度的精神在於「作一次並重複使用」（Do once ,Use Many Times），同一內容的雲端服務，透過FedRAMP，僅須經過一次的評估與授權，即得被多個機關所採用。早期各機關重複檢驗同一廠商的同一服務之安全性，造成資源浪費的問題，將可獲得解決。當其他機關欲採用雲端服務時，可透過FedRAMP，免去再一次的評估與驗證。 FedRAMP主要由第三方評估機構、對服務提供者的評估、以及持續監督與授權等三個部份所構成，簡單介紹如下： 一、第三方評估機構的認證 FedRAMP的特殊之處，在於雲端服務提供者應由通過FedRAMP認證的第三方評估機構（3PAO）來進行審查，而第三方評估機構欲通過認證，除了要符合FedRAMP的需求外，還必須具備雲端資訊系統的評估能力、備妥安全評估計畫、以及安全評估報告等，另外亦同時引進了ISO/IEC17020作為評估機構的資格。其認證程序如下： （一）申請檢視 機構首先必須符合ISO/IEC 17020 檢驗機構的品質與技術能力，並且自行檢視FedRAMP網站上的申請表，自行檢視是否合乎要求，然後決定是否提出申請。 （二）完成要求 機構須分別完成申請表所要求的系統安全計畫（system security plan, SSP）、系統評估計畫（system assessment plan, SAP）、安全評估報告（security assessment report, SAR）。於完成後向計畫管理辦公室提出申請。 （三）審查 在接受申請後，總務管理局會與ISO網路安全專家共同組成「專家審查委員會」（Expert Review Board , ERB），審查該申請。 （四）決議 審查完畢後，FedRAMP計畫管理辦公室（PMO）會檢視ERB的意見，決議是否通過該申請。 於通過申請後，該機構將會被列入FedRAMP官方網站（www.FedRAMP.gov）的第三方評估機構名單，目前為止，陸續已有十五個機構通過共同授權委員會的授權，日後得對雲端服務商進行評估。 二、對雲端服務提供者的評估 在「聯邦風險與授權管理計畫」的機制設計中，政府機關或雲端服務提供者任一方，皆可提出申請（Request）啟動雲端服務的安全性評估（Security Assessment）程序，此程序中共有四個主要階段： （一）提出申請 在申請人將所須文件初步填寫完畢之後，計畫管理辦公室（PMO）即會指派資訊系統安全官（Information Systems Security Officer, ISSO）進行指導，使之得進行安全控制、出具必要文件、並實施安全測試。之後，PMO會與雲端服務提供者簽署協議，並要求相關機關實施對雲端服務系統的安全性測試。 （二）檔案安全控管 雲端服務提供者必須作成系統安全計畫（System Security Plan, SSP），表明安全控制之實施方法，及其相關文件如IT系統永續計畫（IT Contingency Plan）、隱私衝擊調查（Privacy Impact Questionnaire），並送交ISSO進行審查，再由雲端服務提供者就對審查意見予以回覆之後，由ISSO將案件送至共同授權委員會（Joint Authorization Board, JAB）進行審查，以確認所提交的SSP安全措施符合雲端系統所需。 （三）進行安全測試 服務提供者與第三方評估機構（Third Party Assessment Organization, 3PAO）簽約，且由PMO約集雲端服務提供者與3PAO，確認雙方對於安全測試實施的期待與時程，再由3PAO獨立進行該雲端系統測試，並完成安全評估報告（Security Assessment Report, SAR），闡述評估結果並確認所暴露的風險。雲端服務提供者針對此評估結果，作成行動與查核點報告（Plan of Action & Milestones (POA&M)），以提出矯正弱點與殘餘風險（residual risks）的措施、資源與時程規劃。 雲端服務提供者再將前述SAR與POA&M提交予PMO，由JAB決定是否接受該弱點及其修正計畫，或者提出修正建議。倘若JAB可接受該弱點及其他因應措施，則由ISSO通知雲端服務提供者即將進入安全評估的最後階段。 （四）完成安全評估 雲端服務提供者將所有安全控制相關文件彙成單一的安全評估方案，並提出證明將確實執行其安全控制措施。由JAB檢視此方案，並作出最終決定是否授予「附條件之授權」（Provisional Authorization）。得到此授權的雲端服務提供者名單，將會被列在FedRAMP官方網站上。倘若雲端服務提供者未獲得此授權，PMO會指導如何進行重新申請。 三、持續的評估與授權 持續的評估與授權（ongoing Assessment and Authorization, A&A）通常也被稱為持續監控（Continuous Monitoring），在FedRAMP中第三個也是最後一個流程，透過持續的評估與授權機制，來確保雲端服務提供者持續的安全性授權。其中包含了三個主要層面： （一）操作的能見度 操作能見度的目標，是藉由自動化的方式來減少政府機構在監督作業上的行政耗費。亦即雲端服務提供者透過自動化的資料提供、定期提交具體控制的證據文件、以及年度自我認證報告等安全控制措施來說明操作的能見度，而不必政府機構另行要求。 （二）變更控制程序 雲端服務提供者更新她們的系統是常有的事，此處的變更控制程序並非針對例行性的維修或變更，而是要求若有發生影響臨時性授權或的顯著變更時，服務提供者必須提供此種具衝擊性變更的有效資訊，使FedRAMP得以評估此變更的影響與衝擊。 （三）事件回應 事件回應方面聚焦於新風險和漏洞的因應，服務提供者在發現影響授權的新風險或漏洞時，應向機構說明其針對保持系統安全的因應對策與作法。 參、事件評析 在各國紛紛投入雲端運算的推動熱潮中，我國也不能在此項產業推動中缺席。2010年4月，行政院科技顧問組（現已改組為行政院科技會報）責成經濟部，研擬「雲端運算產業發展方案」；2011年5月，行政院研究發展考核委員會亦公布了「第四階段電子化政府計畫」，在內部運作管理面向，將運用新興雲端運算技術推動以全國性的政府雲端應用服務，減少機關重複開發成本，並達成節能減碳效果。 雲端的安全問題，無論在私人企業或政府部門，均為選擇導入雲端服務的第一要務，「第四階段電子化政府計畫」中亦指出第四階段電子化政府將以雲端資安防護推動為重點，運用雲端運算技術，創新資安服務價值，確保政府資通安全防護。 然而，在服務提供者的安全性方面，我國並沒有像美國FedRAMP計畫般適度地提供服務提供者的安全性保證。對此，我國可借鏡各國的作法，適度的以透過公正第三方機構驗證，來消除雲端服務安全性的疑惑，並推動一個公開的平台，將通過驗證的廠商公布出來，提供公部門甚至私人企業作選擇，不僅可免去同一服務廠商不斷重複驗證的麻煩，亦可削減選擇上的難題，並藉此發展雲端資安技術與推動雲端產業，使我國的雲端環境能夠更臻成熟。
全球首批奈米標章得獎名單出爐！經濟部於去（2005）年12月20日正式舉行「全球首批」奈米標章的授證儀式，本次獲得授證廠商共有6家，分別為：和隆興業股份有限公司（奈米級光觸媒抗菌陶瓷面磚）、冠軍建材股份有限公司（奈米級光觸媒抗菌陶瓷面磚）、尚志精密化學股份有限公司（奈米級光觸媒脫臭塗料）、新美華造漆廠股份有限公司（奈米級光觸媒脫臭塗料）、中國電器股份有限公司（奈米級光觸媒抗菌燈管）、台灣日光燈股份有限公司（奈米級光觸媒抗菌燈管），由於國外尚無奈米產品認證制度，這是國內也是全球首批獲證的奈米產品。 經濟部工業局有鑒於市面上奈米產品真偽莫辨，於九十三年特別委託工業技術研究院推動「奈米產品驗證體系」，目的在保護消費者權益、建立消費者的正確認知，並鼓勵優良廠商永續經營進而提升我國奈米產品之國際競爭力。目前奈米標章開放申請項目訂定的原則，是以該項產品在國內是否有市售商品、製造商及具能力的測試機構與相關之技術專家，以及國內外是否有測試方法可參考為前提，而基於安全性考量，有關健康、環境風險者，目前暫不開放，但對於尚未開放項目，可由廠商自行提出申請。
美國Uber被訴利用軟體應用程式追蹤用戶位置資訊美國電子隱私資訊中心(The Electronic Privacy Information Center, EPIC)向聯邦貿易委員會(Federal Trade Commission, FTC）檢舉Uber利用手機軟體"God view"追蹤並蒐集軟體用戶（乘客）位置資訊，並利用該資訊發送廣告給乘客。EPIC主張該作法為違法、詐欺的商業模式。 議員Al Franken對該軟體用戶服務條款也提出質疑，因該服務條款載明即使用戶終止使用，該軟體仍將繼續蒐集用戶的位置資訊，並可無限期使用用戶的個人資料。雖然Uber後續對該服務條款進行增修，但仍對外主張保有最後解釋的權利。 EPIC認為目前依「駕駛隱私法」(Driver's Privacy Act )的規定，除具要求提供車輛資料的法源依據，或個人同意並被告知資料將如何使用之情形，才可以蒐集該車輛資料以維護駕駛隱私，否則不得蒐集與該車輛的任何記錄與資料。然而，EPIC亦認為應立法禁止使用軟體追蹤乘客與蒐集其資料。EPIC同時也建議應制定法規限制 Google、Facebook、Whatsapp、Snapchat等公司追蹤及蒐集顧客資料。對此，Facebook僅表示會確保用戶的位置資訊不被濫用，而Google則拒絕對此發表評論。 另外，EPIC認為Uber蒐集用戶位置資訊，並隨著時間的推移來追蹤用戶（乘客）動向資料並進行廣告行銷，對用戶的隱私權保護並不完整，且用戶資料也有被盜取之可能，因此，EPIC希望FTC能對Uber"God view"軟體進行調查，希望促成規制用戶（乘客）資料蒐集、處理與利用的商業模式。
奈米級化粧品的安全尚待評估近年來，越來越多的化粧品標榜與奈米科技結合，其 業者表示，奈米顆粒較傳統化粧品為小，可由深層肌膚吸收 ， 進而達到 強化保養的功能。不過 ，美國食品藥物管理局（ FDA ）及英國皇家學會則持相對保留的態度，認為奈米顆粒對於人體的長期風險還不明確，有待進一步研究 ， 特別是針對細小微粒進入人體細胞或滲入血液時 ，對人體 可能產生的影響。 為了確保奈米級化粧品的安全性 ， FDA 曾考慮針對此類產品建立一套類似製藥體系的實驗與許可證制度 ，並積極從事相關研究，以求增加此方面的知識進而 評估風險。此外 ， 英國皇家學會也表示，目前仍不清楚這些微粒是否真能深入肌膚，以及是否會對血液產生長期影響。雖然 ， 至今無人能夠證實奈米科技對於人體的危害，但卻有人相當擔心，它可能和基改一樣有利有弊。 目前化妝品市場平均每年成長百分之十，若干業者更深信奈米科技能夠協助製造新一代產品。由於看好奈米級化粧品的一片榮景 ， 目前國際知名的化妝品公司紛紛投入此類產品的開發 ， 我國相關產業似乎也躍躍欲試 。面對越來越多的業者投入奈米級化粧品的開發與生產， 我國衛生署則提醒，奈米科技在化妝品上的運用是否成熟還需要觀察，其效果與安全性也有待進一步評估 ， 因而民眾選購時應審慎判斷。