防疫也須防弊！美國加州檢察總長針對醫療照護機構遭受勒索軟體攻擊提出適當措施與事故通報指引
由於近日頻傳醫院遭受勒索軟體攻擊（ransomware attacks），美國加州檢察總長於2021年8月24日發布官方公告（bulletin）：在加州州法「醫療資訊保密法」（Confidentiality of Medical Information Act, CMIA）與聯邦法「健康保險可攜與責任法」（Health Insurance Portability and Accountability Act of 1996, HIPAA）規範下，蒐集、處理和利用醫療健康資料的醫療照護機構，有採取適當措施與事故通報的義務，以維護醫療健康資料保密性。
針對「採取適當措施」的內容，美國加州檢察總長於本次官方公告中，提出明確指引（guidance）：醫療照護機構須至少採取下列5項防範措施（preventive measures），以避免勒索軟體威脅：
- 確保所有存取醫療健康資料的作業系統與軟體，均升級至最新版本；
- 安裝防毒軟體，並維護其運作；
- 定期為員工舉辦教育訓練，包含教導員工不要點擊可疑網址和防範釣魚電子郵件（phishing email）；
- 限制員工下載、安裝和運作未經批准的軟體；
- 維護和定期測試資料備份與救援計畫，以便於事故發生時，控制對資料和系統的影響範圍及程度。
此外，針對「資料外洩事故通報義務」（breach notification obligations），美國加州檢察總長指出：依據「加州民法」（California Civil Code）第1798.82條，擁有或經授權使用含有個人資料的「電腦化資料」（computerized data）的醫療照護機構，於發生，或可合理確信發生，影響超過500位加州居民的資料外洩事故時，即負有將該事故通報檢察總長辦公室的義務。
- 北部場–商業服務業個資保護工作坊
- 數位發展部數位產業署113年資訊服務業者個資安維辦法宣導說明會
- 電商零售業法制宣導說明會暨產學研座談會
- 零售業個資保護宣導暨座談會
- 零售業個資保護及資訊安全教育講習
- 零售業個資保護及資訊安全教育講習
- 零售業個資安全宣導暨安全維護計畫規劃說明會
- 數位經濟時代的隱私保護與商機－CBPR跨境隱私規則體系解析
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(實體)
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(直播)
- 零售業個資安全宣導暨安全維護計畫說明會（高雄場）
- 零售業個資安全宣導暨安全維護計畫說明會（台中場）
- 【台北場1】通訊傳播事業個資法遵教育訓練
- 【台中場】通訊傳播事業個資法遵教育訓練
- 【新北場】通訊傳播事業個資法遵教育訓練
- 【高雄場】通訊傳播事業個資法遵教育訓練
- 【台北場2】通訊傳播事業個資法遵教育訓練
李宗儒
副法律研究員 編譯整理
STATE OF CALIFORNIA DEPARTMENT OF JUSTICE OFFICE OF THE ATTORNEY GENERAL, Attorney General Rob Bonta Calls for Full Compliance with State Health Data Privacy Laws, Aug. 24, 2021, https://oag.ca.gov/news/press-releases/attorney-general-rob-bonta-calls-full-compliance-state-health-data-privacy-laws (last visited Sep. 16, 2021).
STATE OF CALIFORNIA DEPARTMENT OF JUSTICE OFFICE OF THE ATTORNEY GENERAL, BULLETIN: Obligation to Proactively Reduce Vulnerabilities to Ransomware Attacks and Requirements Regarding Health Data Breach Reporting, Aug. 24, 2021, https://oag.ca.gov/system/files/attachments/press-docs/2021AUG24%20Ransomware%20Bulletin.pdf (last visited Sep. 16, 2021).
Jill McKeon, CA Attorney General Calls Out Unreported Healthcare Data Breaches, HEALTHITSECURITY, Aug. 27, 2021, https://healthitsecurity.com/news/ca-attorney-general-calls-out-unreported-healthcare-data-breaches (last visited Sep. 16, 2021).
CYBERSECURITY AND INFRASTRUCTURE SECURITY AGENCY [CISA], Alert (AA20-302A) Ransomware Activity Targeting the Healthcare and Public Health Sector, Oct. 28, 2020, https://us-cert.cisa.gov/ncas/alerts/aa20-302a (last visited Sep. 16, 2021).
邱曉麗，〈加州消費者隱私保護法修正法案重點說明〉，資策會科技法律研究所，2021/03，https://stli.iii.org.tw/article-detail.aspx?tp=1&i=180&d=8630&no=64（最後瀏覽日：2021/09/16）。
詹世榕，〈美國衛生暨福利部於09年8月公布關於醫療資訊外洩通知義務之暫行最終規則〉，資策會科技法律研究所，2009/11，https://stli.iii.org.tw/article-detail.aspx?tp=1&i=40&d=3167&no=64（最後瀏覽日：2021/09/16）。
美國創新戰略(A Strategy for American Innovation)於2009年9月首次提出，後於2011年2月配合時事及產業發展增補內容。隨著政策的逐步推行，美國國家經濟委員會及白宮科技政策辦公室於2015年10月公布最新版本之美國創新戰略，在原有的框架增補更多內容成為六大重要施政要項，在策略佈局上又大致可分為創新資源整合的三大創新基礎以及三大策略發展方向，前者包括：(1)投資創新基石；(2)刺激私部門進行創新活動；(3)營造一個創新者國度。後者的三大策略發展方向則包括國家產業重要優先發展領域的技術突破，其影響意味著確定重點投資領域能夠取得變革性結果，以滿足國家和世界所即將面臨的社會議題挑戰。其中諸如精準醫療(precise medicine)、加速發展新型神經技術、推動衛生保健的突破性創新、採用先進車輛減少死亡事故、建設智慧城市、推動再生能源技術提高能源效率、開發先進教育技術、發展太空科技等。 其次，係藉由投資未來產業，建設包容性創新經濟，加強美國先進制造的領先地位，創造工作機會和經濟的持續成長。最後，借助於人才、創新思維及技術工具的適當組合，建設創新型政府，為民眾提供更好的行政服務。
世界衛生組織發布人工智慧於健康領域之監管考量因素文件，期能協助各國有效監管健康領域之人工智慧世界衛生組織（World Health Organization, WHO）於2023年10月19日發布「人工智慧於健康領域之監管考量因素」（Regulatory considerations on artificial intelligence for health）文件，旨在協助各國有效監管健康領域之人工智慧，發揮其潛力同時最大限度地降低風險。本文件以下列六個領域概述健康人工智慧之監管考量因素： （1）文件化與透明度（Documentation and transparency） 開發者應預先規範（pre-specifying）以及明確記錄人工智慧系統（以下簡稱AI系統）之預期醫療目的與開發過程，如AI系統所欲解決之問題，以及資料集之選擇與利用、參考標準、參數、指標、於各開發階段與原始計畫之偏離及更新等事項，並建議以基於風險之方法（Risk-based approach），根據重要性之比例決定文件化之程度、以及AI系統之開發與確效紀錄之保持。 （2）風險管理與AI系統開發生命週期方法（Risk management and AI systems development lifecycle approaches） 開發者應在AI系統生命之所有階段，考慮整體產品生命週期方法（total product lifecycle approach），包括上市前開發管理、上市後監督與變更管理。此外，須考慮採用風險管理方法（risk management approach）來解決與AI系統相關之風險，如網路安全威脅與漏洞（vulnerabilities）、擬合不足（underfitting）、演算法偏差等。 （3）預期用途、分析及臨床確效（Intended use, and analytical and clinical validation） 開發者應考慮提供AI系統預期用途之透明化紀錄，將用於建構AI系統之訓練資料集組成（training dataset composition）之詳細資訊（包括大小、設定與族群、輸入與輸出資料及人口組成等）提供給使用者。此外，可考慮透過一獨立資料集（independent dataset）之外部分析確效（external analytical validation），展示訓練與測試資料以外之效能，並考慮將風險作為臨床確效之分級要求。最後，於AI系統之上市後監督與市場監督階段，可考慮進行一段期間密集之部署後監督（post-deployment monitoring）。 （4）資料品質（Data quality） 開發者應確認可用資料（available data）之品質，是否已足以支援AI系統之開發，且開發者應對AI系統進行嚴格之預發布評估（pre-release evaluations），以確保其不會放大訓練資料、演算法或系統設計其他元素中之偏差與錯誤等問題，且利害關係人還應考慮減輕與健康照護資料有關之品質問題與風險，並繼續努力創建資料生態系統，以促進優質資料來源之共享。 （5）隱私與資料保護（Privacy and data protection） 開發者於AI系統之設計與部署過程中，應考慮隱私與資料保護問題，並留意不同法規之適用範圍及差異，且於開發過程之早期，開發者即應充分瞭解適用之資料保護法規與隱私法規，並應確保開發過程符合或超過相關法規要求。 （6）參與及協作（Engagement and collaboration） 開發者於制定人工智慧創新與部署路線圖之期間，需考慮開發可近用且具有充足資訊之平台，以於適合與適當情況下促進利害關係人間之參與及協作；為加速人工智慧領域實務作法之進化，透過參與及協作來簡化人工智慧監管之監督流程即有必要。
荷蘭音樂檔案交換案判決ISP業者勝訴荷蘭娛樂產業權利維護協會 (The Dutch Protection Rights Entertainment Industry Netherlands, BREIN) 起訴 5 家 ISP 業者遭致敗訴判決，起訴原因是該 5 家 ISP 業者拒絕交出 42 名疑似利用其網路進行非法歌曲檔案交換的使用者名單。 BREIN 只能追蹤到上述嫌疑犯的 IP 位址。 法院判決認為 BREIN 針對個人蒐證部份犯有重大錯誤。 BREIN 乃委由美國 Media Sentry 就網路上侵害著作權的公開論壇 (Popular Online Forum) 及 P2P 服務進行監測，並追蹤未經授權的線上散佈。但荷蘭法院認為， Media Sentry 僅檢測 Kazza 的共享檔案夾，但這些檔案夾中亦會包括個人使用檔案，因此，原告所提出檔案證據並不足以證明被告將有侵權之虞的歌曲檔案上傳。 當然，本案並非代表荷蘭 ISP 業者的勝利，法院指出， ISP 業者仍有可能依法律要求而交出其網路使用者個人資料。
淺談我國經濟部能源局建築能源效率管制措施淺談我國經濟部能源局建築能源效率管制措施 科技法律研究所 2013年3月25日 壹、事件摘要 行政院2012年9月份核定「經濟動能推升方案」，擘畫台灣2030年經濟藍圖。在該方案中，乃明示能源永續發展的重要性。經濟部能源局於2013年3月份公告修正「指定能源用戶應遵行之節約能源規定」，針對22,349家空調設備用電大之觀光旅館、百貨公司、零售式量販店、連鎖超級市場、連鎖便利商店、連鎖化妝品零售店、連鎖電器零售店及銀行、證券商、郵局、大眾運輸場站及轉運站等合計11類業者，實施「冷氣不外洩」、「禁用白熾燈泡」及「室內冷氣溫度限值」規定，預估每年可節省2,158萬度電。 經濟部能源局表示，11類服務業100年總用電量約71億度，其中空調用電量約占41%。觀鄰近中國大陸、南韓、日本政府均已針對營業場所訂有夏季室內空調溫度，並由公部門帶頭示範。台北市政府自2011年起亦開始推動「營業及辦公場所室內冷氣平均溫度須保持在攝氏二十六度以上」規定，實施至今有效促使約700家能源用戶(契約容量超過300kW)之空調均溫維持於二十六度，實施結果由99年不合格率32.3%，至101年不合格率降低為4.9%，顯示執行該規定有效可行。 貳、重點說明 經濟部能源局新修正公告之「指定能源用戶應遵行之節約能源規定」，乃著眼於建築物內部耗能之管制，而該管制措施乃近年來歐、美等先進國家亟力促進推動的建築能源效率(energy efficiency)議題。 參、事件評析 據統計，建築物耗能占人類經濟活動總碳排放量40%，而台灣地區舊建築物約莫占整體建築物97%，如何有效提升舊建築物本身之能源效率為重要課題。查內政部建築研究所之相關研究，建築物節能主要含括三個面向 - 外殼節能、空調節能及照明節能，因建築外殼節能為內政部營建署之管轄範疇，故經濟部能源局僅就建築物之空調節能及照明節能進行管制，本文將以美國聯邦能源部(Department of Energy, DOE)相關之法制政策為比較探討。 美國聯邦政府於2011年2月份正式啟動「更佳建築倡議」(Better Building Initiative)，於2012年12月份能源部(Department of Energy, DOE)發布之進度報告(Progress Report)指出，目前建築能源效率存有若干投資障礙，第一，尚缺少能源效率投資成本節省之實證數據；第二，尚缺少潛在市場和技術解決方案之相關資訊；第三，能源效率作為商業最佳實踐尚未普遍被接受。基此，能源部將致力於促進能源效率投資並強化聯邦公部門示範作用等手段。 在促進能源效率投資上，因市場尚缺乏相關數據資訊，難就能源效率之市場價值進行驗證；將研議相關機制，作為未來融資和建築物改善的基礎。另在聯邦公部門強化示範作用上，將透過聯邦能源管理計劃(Federal Energy Management Program, FEMP)和節能績效契約(Energy Savings Performance Contract, ESPC)，持續強化能源技術服務公司(Energy Service Companies, ESCO)進行聯邦建築物節能效益之提升和擔保。 此外，於該倡議旗下之「更佳建築挑戰」(Better Building Challenge)乃鼓勵民間部門之參與。以美國百貨業龍頭梅西百貨(Macy)為例，其承諾將透過能源資訊系統(EMS)之使用、觀察及分析，找出佔地一億七千九百萬平方呎的商業樓地板面積之關鍵能源機會。照明方面，該公司也以超過一百萬盞LED燈之替換與重點照明，在過去三年內減少了百分之七十的照明能源消耗。 綜上觀察，我國能源局新修正「指定能源用戶應遵行之節約能源規定」下「禁用白熾燈泡」規定，乃禁止十一類業者使用二十五瓦特以上之白熾燈泡於一般照明用途，近似於美國梅西百貨於「更佳建築挑戰」下所承諾之LED重點照明之實踐。此外，借鏡美國經驗，我國宜研議建立起台灣建築能源效率數據資訊之系統資料庫，助於未來舊建築改善市場之發展。