日本醫藥品醫療器材等法修正研析─以醫療應用軟體為中心
何亦婕
法律研究員 編譯整理
在香港金融管理局（Hong Kong Monetary Authority, HKMA）於2016年9月推出金融科技監管沙盒（Fintech Supervisory Sandbox, FSS）滿一年後，於今年9月29日再公布2.0升級版。而香港保險業監管局（Insurance Authority, IA）同時發布保險科技沙盒（Insurtech Sandbox），證券及期貨事務監察委員會（Securities and Futures Commission, SFC）亦公告證監會監管沙盒（SFC Regulatory Sandbox），初步完備香港金融領域沙盒制度之建立。 於金融科技監管沙盒2.0版中，香港金融管理局為加強金融科技公司與HKMA連繫機制，將成立金融科技監管聊天室（Fintech Supervisory Chatroom），改變最初金融科技公司僅能透過銀行窗口與HKMA進行試驗商品相關聯繫，造成程序不便、資訊不流通等問題，2.0版後金融科技公司可透過HKMA隸屬之金融科技監管聊天室進行意見回饋。並且由於香港針對金融科技、保險、證券及期貨領域推出三種沙盒機制，故推出「一點通」之一站式便民服務，提供企業選擇沙盒並得以和各機關進行相互協調，此次改革將於年底作業完成。 而IA為促進保險科技發展，推出保險科技沙盒，對於保險公司計畫在香港推出的創新技術不確定是否符合香港法規，給予受授權保險公司在沙盒機制內進行沙盒試驗，在沙盒試驗中，主管機關得隨時對保險公司之風險控管做查核，並且消費者有隨時退出試驗並給予補償機制，IA亦可針對不符合之試驗計劃宣告中止。 另外，SFC開放合資格之企業提供沙盒試驗，所謂「合資格之企業」是指經由香港《證券及期貨條例》規範而設立之持照企業或新創公司，同時該公司必須使用創新科技並為投資者帶來更多優質產品服務，並受惠於香港金融服務業者。並且為保護投資者權益，除申請公司應有給予投資者退出機制與提供賠償方式外，並應揭露潛在風險。若最後申請公司證明其試驗客體可靠且符合目的，可向SFC申請走出沙盒機制，並對外營運。
歐盟執委會提出《用電資料相互操作性要求及程序實施規則草案》促進電力服務相互操作性歐盟執委會（European Commission）於2022年7月29日提出《近用電錶及用電資料之相互操作性要求及非歧視性與透明性程序實施規則草案》（Commission Implementing Regulation (EU) on interoperability requirements and non-discriminatory and transparent procedures for access to metering and consumption data），於2022年9月5日草案第二階段之公眾意見徵集結束。本草案以進一步落實《內部電力市場指令》（Directive (EU) 2019/944）中賦予用戶近用有關用電及包括行政手續費用、使用輸配電過路費等資料，促進智慧電錶系統（smart metering system）於資料模型階段及應用層面之相互操作性（interoperability），提高市場參與者資料近用與交換之標準，以及未來創新能源服務標準等目標。 為落實上述指令之要求，本草案旨在規定系統相互操作性以及資料近用的非歧視性與透明性要求，其重點如下： （1）本草案適用對象為經認證之歷史計量及用電資料、未經認證的近即時計量（non-validated near-real time metering）、用電資料形式的計量以及用電資料。 （2）確保供應商於用戶同意下能夠以透明且連續性的方式近用用戶資料（包括判讀及使用）。用戶亦得近用其於智慧電錶系統的資料。 （3）根據會員國的實踐，定義歐盟層級在商業模式層面、功能層面及資訊層面等一般性規則與程序規定的「參考模型」（reference model）。參考模型為特定服務及程序所需的基本工作程序，包括： A. 由各種角色、職責及其相互作用組成的「角色模型」，包括計量資料管理員（metered data administrator）、計量站管理員（metering point administrator）、資料近用提供者及權限管理員的角色和職責； B. 由資訊對象、屬性以及該對象間關係組成的「資訊模型」； C. 詳細說明程序步驟的「程序模型」。 （4）為有效確保資料近用程序的透明度，有必要收集會員國提供的國家實踐報告，並報告至歐盟層級，同時協助會員國報告其國家實踐。 （5）適用本草案之個人資料需遵守《歐盟一般資料保護規則》（GDPR）；由於智慧電錶符合終端設備的要求，也適用《電子通訊個人資料處理暨隱私權保護指令》（Directive 2002/58/EC）。
美國FTC警告科技公司，不應迫於外國勢力而削弱對消費者之隱私與資料安全保障美國聯邦貿易委員會（Federal Trade Commission）主席Andrew N. Ferguson於2025年8月21日發信給13家科技公司，其中包含Alphabet、Amazon、Apple、Microsoft、Meta、X等國際知名科技公司，警告他們有義務保護美國消費者隱私與資料安全，若在外國政府施壓下審查美國公民的資料，將有違反《聯邦貿易委員會法》（Federal Trade Commission Act, FTC Act）之虞。 信中指出，科技公司可能為遵循外國法規或迫於外國政府壓力，削弱對美國公民的隱私及資料安全保護。如歐盟《數位服務法》（Digital Services Act）、英國《網路安全法》（Online Safety Act）期望科技公司審查用戶言論內容；而英國《調查權力法》（Investigatory Powers Act）則為滿足英國政府取得用戶儲存資料之目的，要求科技公司削弱原本對用戶採行之點對點加密措施。Ferguson主席更表示：「外國勢力審查及削弱加密措施等行動，將侵害美國公民的自由或使美國公民遭受各種危害，例如受外國政府監視、增加身分盜用與詐騙風險」。 信中亦提及，科技公司在遵守外國法律及相關要求的同時，仍須遵守FTC Act第5條規定，亦即禁止企業在市場中進行不公平或欺騙性行為的規定。同時也表示，過去20年來，FTC已對未能履行消費者資料安全或隱私承諾之公司提起數十起訴訟，並將持續要求蒐集、使用、分享或傳輸消費者個人資料的公司，應採取合理的安全措施，藉此確保消費者權益。
美國「2009年經濟復甦暨再投資法」大幅度修正HIPAA隱私權條款2009年02月17日美國總統簽署通過「2009年經濟復甦暨再投資法」（America Recovery and Reinvestment Act, ARRA），將醫療產業列為重點發展項目之ㄧ，擬由政府預算進行醫療資訊科技化計畫，俾使電子病歷的傳輸與交換得兼顧效率及安全。而以規範醫療資訊安全為主的「醫療保險可攜及責任法」之隱私權條款（HIPAA, Privacy Rule），亦因此有重大修正。 其中，最主要的變革在於擴充HIPAA的責任主體，由原有的健康照護業者、健康計畫業者及健康照護資訊交換業者，擴充至凡因業務關係而可能接觸個人健康資訊的個人或業者，包含藥劑給付管理公司、代理人及保險業者等，這些機構或個人原本與醫療院所或病患間係依據契約關係進行責任規範，但被納入HIPAA的責任主體範圍後，則需依此負擔民、刑事責任。 而於加強資訊自主權部份，亦有數個重要變革如下：（一）責任主體之通知義務：依據新規定，資料未經授權被取得、使用或揭露，或有受侵害之虞時，責任主體應即早以適切管道通知資訊主體有關被害之情事，以防備後續可能發生的損害。（二）資訊主體之紀錄調閱權：以往資料保管單位得拒絕個人調閱健康資料運用紀錄之請求，有鑒於病歷電子化後，保存及揭露相關紀錄已不會造成過重負擔；依據新規定，資訊主體有權調閱近三年內個人健康資料被使用次數及目的等紀錄。（三）資訊主體資料揭露之拒絕權：以往責任主體得逕行提供個人醫療資訊作為治療、計費及照護相關目的之使用，無論資訊主體曾表達拒絕之意與否；依據新規定，資訊主體得禁止其向保險人揭露相關資訊，除非保險人已全額支付醫療費用。 以上HIPAA之新增規範，預計於2010年02月17日正式施行。