英國實行個人健康和社會照護資訊連結服務(care.data)

  隨著英國國家健康服務(National Health Service, NHS)的改革,英國於去(2012)年3月27日通過衛生和社會照護法(The Health and Social Care Act 2012)。當中一項主要的變革即是成立衛生與社會照護資訊中心(The Health and Social Care Information Centre, HSCIC)作為醫療健康資料的專責機構。而這樣的變革,也影響過去病歷資料的蒐集、分享和分析方式。依據衛生和社會照護法的規定,HSCIC若受到衛生部長(Secretary of State for Health)指示、或來自照護品質委員會(Care Quality Commission, CQC)、英國國家健康與臨床卓越研究院(National Institute for Health and Clinical Excellence, NICE)、醫院監管機構Monitor的命令要求時,在這類特定情況之下,可以無需尋求病患同意,而從家庭醫師(GP Practice)處獲得病患的個人機密資料(Personal Confidential Data, PCD)。

 

  今(2013)年3月獲NHS授權, 由HSCIC於6月開始執行的care.data服務,即是依據前述立法所擬定之方案。care.data藉由定期蒐集醫療照護過程中的相關資料,對病患於國內所為的各項健康和社會照護資訊(例如病患的住院、門診、意外事故和緊急救護記錄)進行具延續性之連結。以提供即時、正確的NHS治療和照護資訊給民眾、門診醫師和相關部門之官員,進而達到care.data所設定的六項目標,支援病患進行治療的選擇、加強顧客服務、促進資訊透明性、優化成果產出、增加問責性,並驅動經濟成長。

 

  然而,由於care.data是以英國民眾就醫行為中,屬於基礎醫療的家庭醫師(General Practitioner, GP)系統為基礎,所提取的資料包括家族歷史、接種疫苗、醫師診斷、轉診記錄、生理指標,以及所有NHS處方。其次,care.data在進行初級和次級資料連結時,將會透過NHS號碼、生日、性別和郵遞區號,這四項可識別資料的比對。因此雖然care.data在涉及敏感性資料時會加以排除,但此項服務仍引起社會上相當大的爭議。包括部分醫師、隱私專家和的社會團體皆提出質疑,質疑care.data是否有充分告知病人、HSCIC所宣稱的匿名性是否足夠、此項服務對醫病關係的衝擊、該服務所宣稱的資料分享退出機制(opt-out)並未妥善等。

 

  care.data是NHS所推出的創新資料現代化服務,但同時也涉及病患隱私權保護之議題。反觀我國近來所推動的醫療健康資訊加值再利用政策,英國的案例值得我們持續觀察其發展。

相關連結
※ 英國實行個人健康和社會照護資訊連結服務(care.data), 資訊工業策進會科技法律研究所, https://stli.iii.org.tw/article-detail.aspx?d=6310&no=55&tp=1 (最後瀏覽日:2026/06/27)
引註此篇文章
你可能還會想看
反恐任務 愛爾蘭擬成立DNA資料庫

  自美國911事件後,世界各國無不重新檢視自己國內現行實施的保安制度,愛爾蘭政府最近宣布將建立一個有限的DNA資料庫的計畫,以協助對抗重大犯罪事件。該資料庫的資料儲存範圍,將包括永久保留被判處超過五年徒刑的任何重大犯罪嫌犯的DNA檔案,以及任何疑似觸及重大犯罪的嫌犯檔案,後者的檔案僅暫時保存,一旦當事人沒有遭到起訴或稍後無罪獲釋,檔案即被移除或銷毀。   我國內政部原訂七月一日起換發身分證需強制捺指紋才可領證,其目的之一也是為了要遏止治安不斷惡化的情況,不過遭到人權團體抗議強制捺印指紋為侵犯隱私之行為。大法官會議解釋則認為,內政部以戶籍法第八條規定強制全民捺指紋領身分證,並以此建立指紋資料庫,以及以個人資料保護法作為指紋可用在個案犯罪偵防的根據,兩項做法均不適當,因此以釋字第603號解釋宣告換發身分證需強制捺指紋的作法違憲。   愛爾蘭政府若要建立一有限的DNA資料庫,其立法目的與執行、管理都須有周密設計,並符合保障人權的憲法原則,否則該DNA資料庫也將會存有侵犯人權的潛在風險。

簡析歐盟「能源效率指令」-- 以建築能源效率為核心

韓國科技部成立元宇宙/NFT安全委員會

  隨著NFT持續延燒,韓國不少藝術家選擇透過NFT之模式進行數位交易。然2021年11月,韓國金融監督委員會認為NFT不屬於數位資產,也不承認NFT相關之數位交易。根據韓國聯合新聞通訊社(YNA)2022年7月14日報導,韓國科學技術情報通信部( MSIT)與韓國網路振興院(KISA)宣布成立元宇宙/NFT安全委員會,以檢查元宇宙和NFT等虛擬融合經濟的傳播所產生的新安全問題,並強化產業合作。   該委員會由該國元宇宙和NFT相關的平台公司、安全產業、合作社組成,旨在振興安全可靠的虛擬融合經濟產業,分析和共享網絡威脅、安全技術及損失案例,並針對各種安全問題尋求主動響應和解決方案。   虛擬數位資產本身存有爭議,加上公鏈Terra的崩盤造成韓國28萬名投資人遭受巨大損失,使作為主管機關的韓國金融委員會(FSC)和金融監督院(FSS)壓力倍增,宣布制定《數位資產基本法》大綱框架,目前此法將加密資產定義為非法幣資產、非金融商品資產之「第三類資產」,並強調未來將有加密資產委員會進行專門管理。韓國擬積極加強監管虛擬數位資產,擬徹底管理加密投資風險,並加強監管杜絕非法吸金與場外交易。《數位資產基本法》預計於2023年上路。   本文同步刊登於TIPS網站(https://www.tips.org.tw)

因應使用「生成式AI(Generative AI)」工具的營業秘密管理強化建議

2024年7月1日,美國實務界律師撰文針對使用生成式AI(Generative AI)工具可能導致的營業秘密外洩風險提出營業秘密保護管理的強化建議,其表示有研究指出約56%的工作者已經嘗試將生成式AI工具用於工作中,而員工輸入該工具的資訊中約有11%可能包含公司具有競爭力的敏感性資訊或客戶的敏感資訊,以Chat GPT為例,原始碼(Source Code)可能是第二多被提供給Chat GPT的機密資訊類型。系爭機密資訊可能被生成式AI工具提供者(AI Provider)用於訓練生成式AI模型等,進而導致洩漏;或生成式AI工具提供者可能會監控和存取公司輸入之資訊以檢查是否有不當使用,此時營業秘密可能在人工審查階段洩漏。 該篇文章提到,以法律要件而論,生成式AI有產生營業秘密之可能,因為營業秘密與著作權和專利不同之處在於「發明者不必是人類」;因此,由生成式 AI 工具協助產出的內容可能被視為營業秘密,其範圍可能包括:公司的內部 AI 平台、基礎的訓練算法和模型、輸入參數和輸出結果等。惟基於目前實務上尚未有相關案例,故生成式AI輸出結果在法律上受保護的範圍與條件仍需待後續的判例來加以明確。 實務專家提出,即使訴訟上尚未明確,企業仍可透過事前的管理措施來保護或避免營業秘密洩露,以下綜整成「人員」與「技術」兩個面向分述之: 一、人員面: 1.員工(教育訓練、合約) 在員工管理上,建議透過教育訓練使員工了解到營業秘密之定義及保護措施,並告知向生成式AI工具提供敏感資訊的風險與潛在後果;培訓後,亦可進一步限制能夠使用AI工具的員工範圍,如只有經過培訓及授權之員工才能夠存取這些AI工具。 在合約方面,建議公司可與員工簽訂或更新保密契約,納入使用生成式AI的指導方針,例如:明確規定禁止向生成式AI工具輸入公司營業秘密、客戶數據、財務信息、未公開的產品計劃等機密資訊;亦可增加相關限制或聲明條款,如「在生成式AI工具中揭露之資訊只屬於公司」、「限制公司資訊僅能存儲於公司的私有雲上」等條款。 2.生成式AI工具提供者(合約) 針對外部管理時,公司亦可透過「終端使用者授權合約(End User License Agreement,簡稱EULA)」來限制生成式AI工具提供者對於公司在該工具上「輸入內容」之使用,如輸入內容不可以被用於訓練基礎模型,或者該訓練之模型只能用在資訊提供的公司。 二、技術方面: 建議公司購買或開發自有的生成式AI工具,並將一切使用行為限縮在公司的私有雲或私有伺服器中;或透過加密、防火牆或多種編碼指令(Programmed)來避免揭露特定類型的資訊或限制上傳文件的大小或類型,防止機密資訊被誤輸入,其舉出三星公司(Samsung)公司為例,三星已限制使用Chat GPT的用戶的上傳容量為1024位元組(Bytes),以防止輸入大型文件。 綜上所述,實務界對於使用生成式AI工具可能的營業秘密風險,相對於尚未可知的訴訟攻防,律師更推薦企業透過訴訟前積極的管理來避免風險。本文建議企業可將前述建議之作法融入資策會科法所創意智財中心於2023年發布「營業秘密保護管理規範」中,換言之,企業可透過「營業秘密保護管理規範」十個單元(包括從最高管理階層角色開始的整體規劃建議、營業秘密範圍確定、營業秘密使用行為管理、員工管理、網路與環境設備管理、外部活動管理,甚至是後端的爭議處理機制,如何監督與改善等)的PDCA管理循環建立基礎的營業秘密管理,更可以透過上述建議的做法(對單元5.使用管理、單元6.1保密約定、單元6.4教育訓練、單元7.網路與環境設備管理等單元)加強針對生成式AI工具之管理。 本文同步刊登於TIPS網站(https://www.tips.org.tw)

TOP