防疫也須防弊!美國加州檢察總長針對醫療照護機構遭受勒索軟體攻擊提出適當措施與事故通報指引

  由於近日頻傳醫院遭受勒索軟體攻擊(ransomware attacks),美國加州檢察總長於2021年8月24日發布官方公告(bulletin):在加州州法「醫療資訊保密法」(Confidentiality of Medical Information Act, CMIA)與聯邦法「健康保險可攜與責任法」(Health Insurance Portability and Accountability Act of 1996, HIPAA)規範下,蒐集、處理和利用醫療健康資料的醫療照護機構,有採取適當措施與事故通報的義務,以維護醫療健康資料保密性。

  針對「採取適當措施」的內容,美國加州檢察總長於本次官方公告中,提出明確指引(guidance):醫療照護機構須至少採取下列5項防範措施(preventive measures),以避免勒索軟體威脅:

  1. 確保所有存取醫療健康資料的作業系統與軟體,均升級至最新版本;
  2. 安裝防毒軟體,並維護其運作;
  3. 定期為員工舉辦教育訓練,包含教導員工不要點擊可疑網址和防範釣魚電子郵件(phishing email);
  4. 限制員工下載、安裝和運作未經批准的軟體;
  5. 維護和定期測試資料備份與救援計畫,以便於事故發生時,控制對資料和系統的影響範圍及程度。

  此外,針對「資料外洩事故通報義務」(breach notification obligations),美國加州檢察總長指出:依據「加州民法」(California Civil Code)第1798.82條,擁有或經授權使用含有個人資料的「電腦化資料」(computerized data)的醫療照護機構,於發生,或可合理確信發生,影響超過500位加州居民的資料外洩事故時,即負有將該事故通報檢察總長辦公室的義務。

相關連結
相關附件
你可能會想參加
※ 防疫也須防弊!美國加州檢察總長針對醫療照護機構遭受勒索軟體攻擊提出適當措施與事故通報指引, 資訊工業策進會科技法律研究所, https://stli.iii.org.tw/article-detail.aspx?no=64&tp=1&d=8732 (最後瀏覽日:2024/02/28)
引註此篇文章
你可能還會想看
Tommy Gun商標侵權之爭—槍械製造商v.s.伏特加酒商

  一間紐約州槍械製造公司Saeilo Enterprises Inc.(以下簡稱S公司)於今年(2013)3月向紐約聯邦法院提起商標侵權訴訟,請求一家伊利諾州酒類製造公司Alphonse Capone Enterprises Inc.(以下簡稱AC公司)停止製造及販售新品「Tommy Gun」伏特加。   S公司從1981年開始營運機械金屬零件製造生意,1994年成立了Kahr Arms部門,於1999年Kahr Arms部門買下一家製造Tommy Gun(輕型衝鋒槍)的公司Auto-Ordance後,持續製造相關槍械。S公司並取得了Tommy Gun商標權,此商標從1920年就開始持續被使用。   AC公司則為一家酒類製造商,其推出兩款伏特加,一款為酒瓶上貼有Tommy Gun字樣,一款為酒瓶本身形狀即為Tommy Gun樣式。雖然尚未確定AC公司製造的Tommy Gun兩款伏特加是否已經對外販售或是否目前仍持續販售,但仍可於其官網搜尋到商品相關資訊。   AC公司製造販售Tommy Gun伏特加的行為引來S公司強力捍衛商標地盤的積極維權行動。根據S公司的起訴書,其共提起10項訴因(cause of action),包含商標侵權、商標淡化、錯誤指示商品來源、商業表徵(trade dress)侵權、詐欺商業交易、不公平競爭等。S公司主張AC公司的行為對其造成無法弭補的損害(irreparable harm),請求法院發出永久禁制令(permanent injunction)禁止AC公司製造及販售Tommy Gun伏特加,並支付損害賠償額及律師費用。此外,S公司更進一步要求法院判決AC公司應將所有庫存的Tommy Gun伏特加交由S公司進行銷毀。   而事實上,S公司主動捍衛Tommy Gun商標權的行為已非頭一遭,其於今年初對一家販售Tommy Gun複刻品玩具槍的公司提告,並於2011年對一家類似玩具槍製造公司提起相關商標侵權訴訟。甚至早於2008年,對一家販售Tommy Gun復刻品的公司提起訴訟維護商標權。   在S公司大動作保護Tommy Gun商標權的持續攻勢下,相信對於之後欲以Tommy Gun為名販售相關產品的公司將產生警示作用。

英國資訊專員辦公室關於退出歐盟後續個資保護回應與未來影響

  英國資訊專員辦公室(Information Commissioner's Office, ICO)表示不論是否仍為歐盟會員國,英國仍需要明確有效的資料保護法,而關於公投退出歐盟(Brexit)結果,ICO發言人表示:「資料保護法是屬地的,不問公投結果為何,若英國不再是歐盟的成員國,即將施行的一般資料保護規則(General Data Protection Regulation, GDPR)亦不會直接適用於英國。然若英國希望在平等條件下的歐盟單一市場進行交易,我們必須證明資料保護是充足的,亦即英國資料保護標準必須符合2018年即將施行的歐盟的資料保護監管框架。對於許多跨境經營的企業與服務而言,遵循資料保護法律與歐盟一致性規範,既是企業組織,亦是消費者和公民所關注重點。ICO致力於與其他國家的監管機構密切合作,而且未來亦是如此。目前明確的法律保護相當重要,且考量到經濟發展,ICO會向政府提出建議,英國相關法規之改革仍屬必要。」   Brexit後,英國企業資料仍需傳輸至第三國,因此英國可能需爭取類似於瑞士、加拿大等,由歐盟執委會認定資料保護符合充足保護水準之模式;或是尋求類似歐盟與美國針對資料傳輸協議模式。然而目前英國的資料保護法(Data Protection Act 1998)與當前的歐盟資料保護指令仍具一致性,而目前資料從英國傳輸至第三國仍然需依標準契約條款(Standard Contractual Clauses),或英國授權有約束力的企業自我拘束規則(Binding Corporate rules),然而目前英國退出歐盟程序進行中,相關資料保護傳輸之法規範,仍待後續密切觀察。

巴西政府針對Merck愛滋治療藥品實施強制授權

  繼泰國政府於六個月前針對跨國製藥公司Merck的愛滋藥品efavirenz(品牌名稱為Stocrin)實施強制授權後,巴西政府也在最近跟進,巴西總統Luiz Inácio Lula da Silva於今(2007)年5月4日針對Merck的同一藥品簽發強制授權令。   長久以來,巴西政府與Merck即持續針對愛滋藥物efavirenz的售價進行協商,不過雙方一直未有共識:efavirenz是巴西國內最常用來治療愛滋病的藥品,總計約有38%的巴西愛滋病患(巴西國內愛滋病患約20萬人)使用此一藥品。Merck提出的售價是每一錠1.59美元,以巴西國內對該藥物的需求而言,巴西政府於2007年將須為此支付將近4千3百萬美元的藥品採購價額;然而,巴西政府認為愛滋治療藥品牽涉高度的公益性,堅持Merck應該降低售價,4月底,巴西健康部向Merck發出最後通牒,最後巴西政府拒絕Merck重新提出的價格並祭出強制授權。   強制授權本即為專利制度的一環,不過必須在嚴格的條件下始得動用。由於藥品牽涉到公眾健康問題,加以製藥產業結構特殊,多數開發中國家並無製藥能力,故2005年底的WTO香港會議就公共健康領域通過了特別決議—「執行2003年8月30日大會決議第十一點之TRIPS修正條文建議~有關落實TRIPS與公共健康杜哈宣言第六點」(Implementation of Paragraph 11 of the General Council Decision of 30 August 2003 on the Implementation of Paragraph 6 of the DOHA Declaration on the TRIPS Agreement and Public Health),修正TRIPS之強制授權規定。   5月4日的專利強制授權令乃是巴西政府首次針對藥品專利實施強制授權,巴西政府認為,其強制授權決定符合上述國際條約規定。一般認為,印度學名藥廠Cipla、Ranbaxy、Aurobindo將會是巴西此一強制授權決定之受惠者。

德國第二部開放資料法案簡介

德國第二部開放資料法案簡介 資訊工業策進會科技法律研究所 2023年03月25日 壹、前言 德國聯邦政府於2021年7月16日通過「第二部開放資料法案」(Zweiten Open-Data-Gesetz),包含修正《電子政務促進法(電子化政府法)》(E-Government-Gesetz,EGovG)第12a條,以及修正《資訊再利用法》(Informationsweiterverwendungsgesetz,IWG)並更名為《公部門資料使用法》(Datennutzungsgesetz - DNG),並於同年月23日生效。 修正目的係為充分發揮資料開放政策之潛力,建立一個初步的監管框架,改善資料提供、提高標準化及互通性的問題,以進一步提高資料之可用性。另外,也為轉換歐盟於2019年6月修正《開放資料與公部門資訊再利用指令》(DIRECTIVE (EU) 2019/1024,Open Data and the re-use of Public Sector Information Directive,下稱開放資料指令)[1]。 資料來源:作者自繪 圖一 「德國第二部開放資料法案」立法沿革 以下分別介紹電子化政府法第12a條及《公部門資料使用法》的修法內容: 貳、修法內容 一、電子化政府法第12a條 2017年7月13日,德國在《電子化政府法》新增第12a條「聯邦直接行政機關開放資料」(Offene Daten der Behörden der unmittelbaren Bundesverwaltung)規定,做為「聯邦政府」進行開放政府資料的法源[2]。本次修法法案,調整電子化政府法第12a條的部分條文,並改稱標題為「聯邦開放資料授權命令」,課予聯邦政府之政府資料開放義務(但仍未賦權民眾依據本法要求開放特定之政府資料)。以下簡介新舊規範比較: (一)受規範主體範圍:所有聯邦機關 舊法限於「直接從屬於聯邦政府的行政機關」,不包含自治團體(如邦政府)、公立機構、公立法人、公立基金會、公立大學等[3]。 新法則擴大主體範圍,不限於「直接從屬於聯邦政府的行政機關」,而涵蓋所有「聯邦機關」(Die Behörden des Bundes)(第1條),包含公營造物、公法社團法人及公法財團法人等[4];這些新適用主體開放資料的緩衝期,為法規生效後12個月內應首次提供。不過,適用主體仍不包含自治團體(如邦政府)與公權力受託人[5]。 (二)受規範客體範圍 同舊法,本法所稱的資料,仍為「由聯邦機關為完成公共任務所蒐集,或由受委託之第三方代表聯邦機關所蒐集之資料」,且包含「研究資料」,並應符合以下5款條件: 1.以電子方式儲存、以集合形式結構化(尤其適用於列表和表格)。 2.存在於該機關之外的事實,但與該機關有關者 3.非由聯邦機關處理其他資料所產生的結果 4.調查後未經過處理者 但有以下情形時可以處理後再開放:(1)為糾正錯誤而處理;(2)基於法律或事實原因而處理,例如依個資法規定匿名)。 5.資料涉及個人時,匿名化且無法再識別個資者。 舊法中,以負面表述的方式,提及涉及個資保護事由時,不開放資料;新法則增加正面表述,資料雖涉及個人,但若已去識別化且無法再識別者,即可作為開放客體。 (三)開放原則及例外 與舊法相同,採取「預設開放原則」(Open by Default),即已經完成電子化,且不具例外理由時,聯邦機關即須開放這些資料。 例外則是符合以下情形者,聯邦機關不須提供資料: 1.資訊自由法規定不公開之政府資料 根據資訊自由法(Informationsfreiheitsgesetz,IFG)第3、4及6條(涉及特殊公共利益的資料、保護官方決策程序的資料、保護智慧財產權及營業秘密),不具取用權(Zugangsrecht,right of access)或僅具有限取用權的資料(與舊法相同)。 2.只有在第三方參與後,取用權才存在的資料(與舊法相同) 例如依據相關法規規定,須經過聽取第三方意見的程序(如聽證會),或須衡量第三人利益,才能提供資料的情形。[6] 3.資料由非受公權力委託之第三方建置,且非法律規定有傳輸義務者(與舊法相同) 4.已透過其他管道開放之研究資料(新法新增) 基於研究目的所蒐集之資料,且已透過開放取用(open access)的網路免費提供者,無須再提供;但仍可自願於國家詮釋資料入口網站(GovData)開放。 此為新法新增,不同於舊法,「基於研究目的所蒐集之資料」應開放提供,但法規特別規定如果已經基於其他原因已可開放取用者,即依照原先狀態繼續開放取用,機關無義務再透過其他管道提供[7]。 5.受銀行保密義務保護之資料(新法新增) 6.含有個人資料的資料集 特別從前款「資訊自由法規定不公開之政府資料」拉出,單獨成項(新增於電子化政府法第12a條第3a項)作為強調。 (四)資料提供方式 1.原則蒐集後立即提供,但研究資料可延後 新法新增為研究目的所蒐集之資料的提供時點彈性,研究資料若要提供,則應於研究計畫完成且研究目的完成後才能提供[8]。 2.以機器可讀格式提供 3.提供詮釋資料於「國家詮釋資料入口網站」(GovData) 4.免費、隨時、無須理由、不須註冊、透過公開使用網路提供資料檢索 5.可不受限制的再利用 (五)各部門設立協調員與中央辦公室聯繫 聯邦政府應設立中央辦公室,負責就聯邦機關提供資料作為開放資料時給予建議,並作為各邦負責開放資料辦公室的聯絡點。 聯邦各機關也應任命一名開放資料協調員,作為各部門與中央辦公室聯繫的聯絡人,並致力於識別、提供及再利用其所屬部門之開放資料。 (六)推行開放資料 與舊法相同,聯邦政府應每2年提出研究報告,向聯邦眾議院報告透過聯邦機關(不包含公營事業)開放資料的進展。 新法另增訂兩項事宜: 1.聯邦政府應評估開放資料法之適用主體擴展到自治團體、邦政府、受委託行使公權力的自然人與法人的可能性。 2.授權聯邦內政部與其他聯邦權責單位及聯邦政府專員達成協議,訂定法規命令規範開放資料之具體作法。 (七)公務員免責 聯邦機關沒有義務檢查所提供的資料的正確性、完整性、可信性。 (八)第12a條不能作為提供資料的請求權依據 電子化政府法於第12a條第1項後段明文該條不能作為提供資料的請求權依據,因此人民未被賦予得以請求政府開放資料之權利。[9] 二、公部門資料使用法 德國於2006年轉換2003年版的歐盟《公部門資訊再利用指令》(Directive 2003/98/EC,下稱PSI指令),制定《資訊再利用法》(Informationsweiterverwendungsgesetz,IWG),並隨著PSI指令於2013年的修正(Directive 2013/37/EU)而於2015年修正。本次再基於PSI指令於2019年修正為開放資料指令,《資訊再利用法》隨之全部修正,並更名為《公部門資料使用法》(Datennutzungsgesetz - DNG),以下簡介規範內容: (一)立法目的 《公部門資料使用法》的立法目的為「政府資訊再利用」、「改善公部門資料在商業目的之使用」,而統一政府資料的格式、授權、開放原則、收費原則及非歧視原則等內容。公部門資料使用法第1條第2項明文強調,本法未課予提供資料之義務或賦予近用資料之權利。 另外,本法係用以統一國內各相關法規之規範標準,使聯邦及各邦的資料,都能順利被用於商業及非商業利用[10]。 (二)適用主體 1.公部門機構 包含聯邦機關、地方自治團體(如邦政府),及公營造物、公法社團法人及公法財團法人等。 2.提供公共服務之公營事業 本次修法,納入提供公共服務(例如能源及交通)之公營事業,這些公共服務公營事業包含獨佔事業及處於競爭市場者。 3.提供研究資料的大學、研究機構及研究資助機構 (三)適用客體 1.一般政府資料 公部門機構與公共服務依法有義務提供之資料、依法有近用權之人可近用之資料。 2.高價值資料集 公部門機構與公共服務,若要提供歐盟開放資料指令之6種主題類別高價值資料集時,須透過適當之API、機器可讀、可批量下載的方式提供。 3.研究資料 研究資料係指,由公共資助的科學研究活動中所蒐集,或作為證據使用,或用以驗證研究成果的數位形式紀錄。且已透過大學、研究機構、研究資助機構、所屬研究人員或計畫資料庫開放取用(open access)。 若研究資料與合法商業利益、知識轉移活動或第三方智慧財產權等原因相衝突,則不適用本法方式提供。 4.不適用客體 與個資保護相衝突的資料、與商業秘密相衝突的資料、國家安全及公共安全資料、關鍵基礎設施保密資訊、保密統計資料、涉及第三人智慧財產權資料、不屬公部門機關公務範圍之資料、標誌及徽章、公共節目及廣播、文化機構資料、中學以下教育機構資料、中學以上教育機構非研究資料。 (四)提供格式 1.提供既有之可利用格式資料 聯邦機關或公營事業,只須提供既有的、已電子化、機器可讀、FAIR資料原則(可近用、可搜尋、可再利用、可互通格式)、符合開放標準(確保可互通)的資料。 2.詮釋資料 機器可讀的詮釋資料,應透過國家詮釋資料入口網站(GovData)提供。 3.動態資料 如果資料具有波動性或時效性的特性,而須頻繁或即時更新時,則聯邦機關或公營事業應透過API及批量下載方式,在資料蒐集後立即提供。 (五)授權提供 原則上不一定要以授權方式提供資料,但一般公立圖書館、大學圖書館、博物館及檔案館中具有智慧財產權的資料,以及提供公共服務的公營事業的資料,皆應以授權方式提供。使用授權條款時,應盡可能使用開放授權,或不做非必要的使用限制。 (六)資料原則 1.「概念上與標準化之開放」原則 應盡可能依據「概念上與標準化之開放」原則(der Grundsatz „konzeptionell und standardmäßig offen“)建置本法規範範圍的資料。立法理由稱,依此原則,本法適用之資料應盡可能以「預設開放」方式提供[11]。 2.收費原則 一般聯邦機關,應免費提供資料,但允許因以下原因收取邊際成本補償費用,且收費標準應透明公開:a.資料複製、提供及傳輸;b.個資匿名化措施;c.營業秘密保護措施。 例外可收取費用的機關則有以下3類,且收費標準亦應透明公開:a.須自籌財源履行公務委託之機關;b.一般公立圖書館、大學圖書館、博物館及檔案館;c.提供公共服務的公營事業。 所有聯邦機關及提供公共服務的公營事業,提供高價值資料與研究資料時,應免費且不得收取邊際成本補償費。但一般公立圖書館、大學圖書館、博物館及檔案館提供高價值資料與研究資料時,可收取費用。 3.非歧視原則及禁止排他原則(不得與他人訂定專屬授權) 參、法律適用關係 (一)電子化政府法之法律適用通則規定 電子化政府法第12a條與其他相關法規涉及「資料」規定之間的關係,須依據電子化政府法第1條第4項法律適用通則規定處理,該條項規定「當有相同內容的規定或相衝突的規定存在時,不適用本法」,因此在電子化政府法第12a條與其他相關法規的適用優先順序上,僅在沒有聯邦法律對於「資料提供」有相同或相矛盾的規定情況下,才能適用電子化政府法第12a條,反之,當有任何其他法規涉及「資料提供」時,電子化政府法第12a條就退居於次位,以使其他法規的立法目的仍可實現,也能避免與國際標準或歐盟法規的要求重複、矛盾或衝突[12]。 (二)電子化政府法第12a條與公部門資料使用法之適用關係 雖然公部門資料使用法未課予提供資料之義務或賦予近用資料之權利,但由於仍規範資料之標準及格式,使政府資料能再利用,所以仍被認為涉及「資料提供」,而有法律適用優先順序問題。 因此,電子化政府法第12a條開放資料法的適用主體及客體,基本上適用公部門資料使用法的相關規定,包含政府資料的格式、授權、開放原則、收費原則及非歧視原則等內容。例如:圖書館所藏資料,若涉及高價值資料的提供時,圖書館可收取費用。 肆、評析 德國聯邦政府透過於電子化政府法制定開放資料法相關規範,除了促使聯邦政府機關將政府資料全部改以電子化、機器可讀方式建置以外,也促使政府資料以「預設開放」為原則建置,使政府資料能更被加值活化再利用。 而2021年的修正,更將「基於執行政府出資研究計畫目的所蒐集之資料」,以及「公營造物、公法社團法人及公法財團法人等主體所建置的政府資料」納入開放客體,擴大開放政府資料的範圍。 保護機敏資料部分,除了原先規範得不開放具第三方智慧財產權之資料,以及具國家安全、特殊公共利益等資料以外,新修正法案也加強規定個資保護(含有個人資料之資料集不開放,僅開放已匿名化資料),以及增列「受銀行保密義務保護之資料」為不須開放資料。 另外新修正的法案,也加上許多推行開放資料的措施,包含「聯邦各部門應任命一名開放資料協調員」、「開始評估政府開放資料義務要求,擴展到邦政府及受委託行使公權力的可能性」,以及「授權政府開放資料主管機關聯邦內政部,訂定法規命令規範開放資料之具體作法」等。 綜上,德國透過開放政府資料專法及公部門資料使用法,建立開放資料的格式標準及開放原則,帶頭推動國內的資料開放環境,以促進資料的進一步活化再利用。 [1]Council Directive 2019/1024, art. 17, 2019 O.J. (L 172) 56, 77. [2]立法理由A、IV、第1段:「聯邦行政對提供資料開放之監管,就其性質而言,屬於聯邦之獨立事務,因此僅能由聯邦政府本身監管。」Deutscher Bundestag, BT-Drucksache 19/27442 (Gesetzentwurf der Bundesregierung), S. 19, https://dserver.bundestag.de/btd/19/274/1927442.pdf (last visited Mar. 21, 2023). [3]Wiss. Mit. Heiko Richter, „Open Government Data“ für Daten des Bundes - Die Open-Data-Regelung der §§ 12 a, 19 E-Government-Gesetz, NVwZ, 2017(19), 1408, 1409 (2017). [4]立法理由A、II、第1段。Deutscher Bundestag (Fn. 2), S. 17. https://dserver.bundestag.de/btd/19/274/1927442.pdf (last visited Mar. 21, 2023). [5]Deutscher Bundestag (Fn. 2), S. 2. [6]Von Dr. Ralf Schnieders, Die neue Open-(Government)-Data-Gesetzgebung in Frankreich und in Deutschland, Die Öffentliche Verwaltung, 2018(5), 175, 183 (2018); Deutscher Bundestag, Drucksache 18/11614 (Gesetzentwurf der Bundesregierung), S. 20, http://dipbt.bundestag.de/dip21/btd/18/116/1811614.pdf (last visited Mar. 21, 2023) [7]Deutscher Bundestag (Fn. 2), S. 30. [8]Deutscher Bundestag (Fn. 2), S. 30-31. [9]Wiss. Mit. Heiko Richter (Fn.3), S. 1412. [10]Deutscher Bundestag (Fn. 2), S. 18. [11]Deutscher Bundestag (Fn. 2), S. 33. [12]Deutscher Bundestag, Drucksache 18/11614 (Gesetzentwurf der Bundesregierung), S. 17, http://dipbt.bundestag.de/dip21/btd/18/116/1811614.pdf (last visited Mar. 21, 2023); Wiss. Mit. Heiko Richter (Fn.3), S. 1412.

TOP