「何謂行動健康?」

  行動健康是指利用行動應用程式與智慧手機、平板、或無線裝置等行動裝置結合,運用這些裝置的核心功能,如聲音、簡訊、定位系統、藍芽、或3G、4G行動通信技術等,作為健康照護用途,以提升傳統照護品質與管理健康,減少醫療成本耗費。倘若行動應用程式具有醫療用途,可用於診斷、治療、預防疾病等,則屬於醫療器材,且該應用程式通常為醫療器材之附件,或與行動裝置結合使用而成為醫療器材,對此則稱之為行動醫療。

  隨著智慧聯網(IoT)的應用,國際間對於行動健康與醫療的發展日益著重,除了鼓勵創新研發之外,也紛紛制訂法規政策因應,包括美國食品藥物管理局(FDA)在2013年9月公布行動醫療應用程式指導原則(Mobile Medical Application, Guidance For Industry and Food and Drug Administration Staff),並於2015年2月修訂;歐盟2012年提出eHealth 行動計畫(eHealth Action Plan 2012-2020),並在2014年4月針對行動健康的管理規範議題開放各類相關人士進行公共諮詢,後續在2015年1月公布諮詢結果。我國亦在2015年4月公布醫用軟體分類參考指引,以提供產業開發產品、申請查驗登記之參考。

  未來,行動健康與醫療的發展將持面臨挑戰,相關問題包括行動健康與行動醫療之區分標準、行動醫療應用程式與傳統醫療軟體之監管差異、行動健康應用程式開發使用之自律性規範、使用者或病人隱私與個人資料保護、以及在研發過程中涉及的研究倫理等議題。

本文為「經濟部產業技術司科技專案成果」

※ 「何謂行動健康?」, 資訊工業策進會科技法律研究所, https://stli.iii.org.tw/article-detail.aspx?d=7294&no=67&tp=1 (最後瀏覽日:2026/02/06)
引註此篇文章
你可能還會想看
簡介美國《營業秘密案件管理的司法指引》

2023年7月13日,美國聯邦司法中心(Federal Judicial Center)發布《營業秘密案件管理的司法指引》(Trade Secret Case Management Judicial Guide)。該指引是由美國聯邦司法中心與Berkeley大學合作出版,旨在提供處理聯邦營業秘密訴訟的法官參考,並為訴訟當事人提供營業秘密案件各階段的注意事項。其中特別指出識別營業秘密及證據開示在訴訟中的重要性。 1.在識別營業秘密的部分 《營業秘密案件管理的司法指引》指出在訴訟中,識別應達到「足以與已公開的資訊進行比較」的程度。而識別程度應具備以下兩個要件,包括: (1)使被告了解原告所主張之營業秘密範圍; (2)使被告能確定證據開示項目與本案所涉及之營業秘密間的關聯性。 據此,若原告僅識別其所主張之營業秘密的類別不足以識別其營業秘密。為達到《營業秘密案件管理的司法指南》所要求之識別程度,企業應盤點其擁有的營業秘密並留存產出紀錄,以利後續訴訟中能具體識別其營業秘密。 2.在證據開示的部分 《營業秘密案件管理的司法指引》指出證據開示的範圍會受到不同因素影響,比如各類型的特殊紀錄、個人隱私權是否受到保護等。為了能在證據開示階段取得優勢,企業應與員工簽署協議,明確約定其於機密資訊有外洩之虞時,有權對員工之個人設備等進行調查。 由上述內容可以發現,若要在美國營業秘密案件中取得優勢,建議企業採取識別所擁有的營業秘密、保存產出紀錄、與員工簽署相關協議等措施。關於前述營業秘密管理措施之重要內容,企業可以參考資策會科法所創意智財中心發布的「營業秘密保護管理規範」,並進一步了解該如何管理,以降低自身營業秘密外洩之風險,並提升其競爭優勢。 本文同步刊登於TIPS網站(https://www.tips.org.tw)

美國各州逐步研議透過立法豁免企業資安事件賠償責任

美國各州逐步研議透過立法豁免企業資安事件賠償責任 資訊工業策進會科技法律研究所 2024年06月10日 為鼓勵企業採用資安標準與框架,美國已有幾州開始透過立法限縮企業資安事件賠償責任,企業若能舉證證明已符合法令或遵循業界認可之資安框架和標準,則於資安攻擊事件所致損害賠償訴訟中,將無需承擔賠償責任。 壹、事件摘要 為避免有心人士於未取得經授權下近用網路和敏感資料,企業往往投入大量資源打造資安防護架構,惟在現今網路威脅複雜多變的環境下,仍可能受到惡意資安攻擊,導致資料外洩事件發生,導致企業進一步面臨訴訟求償風險,其中多數指控為未實施適當的資安措施。為此美國佛羅里達州和西維吉尼亞州研議透過立法限縮企業之資安事件賠償責任,以鼓勵企業採用資安標準、框架與資安相關法令。 貳、重點說明 繼美國俄亥俄州[1]、猶他州[2]和康乃狄克州[3]相繼頒布法令,讓已實施適當安全維護措施之企業,豁免資安攻擊所致資料外洩之損害賠償責任,佛羅里達州和西維吉尼亞州近期亦提出相似法案,以下介紹兩州法案之重點: 一、佛羅里達州 美國佛羅里達州於2023年11月公布《資安事件責任法案》 (H.B 473: Cybersecurity Incident Liability)[4],法案納入「安全港條款」(Safe Harbor),當企業遭受資安攻擊致生個資外洩事件,如可證明已遵循產業認可的資安標準或框架,實施適當的資安措施與風險控管機制,則可免於賠償責任,以鼓勵企業採納資安標準或框架。 為適用安全港條款,企業須遵循佛羅里達州資訊保護法(The Florida Information Protection Act),針對資料外洩事件,通知個人、監管機關和消費者,並建立與法案內所列當前產業認可的資安標準、框架,或是特定法令規範之內容具一致性的資安計畫(Cybersecurity Programs): (一)當前產業認可的資安標準、框架 1. 國家標準暨技術研究院(National Institute of Standards and Technology, NIST)改善關鍵基礎設施資安框架(Framework for Improving Critical Infrastructure Cybersecurity)。 2. NIST SP 800-171-保護非聯邦系統和企業中的受控非機密資訊。 3. NIST SP 800-53 和 SP 800-53A- 資訊系統和企業的安全和隱私控制/ 評估資訊系統和企業中的安全和隱私控制。 4. 聯邦政府風險與授權管理計畫(Federal Risk and Authorization Management Program, FedRAMP)安全評估框架。 5. 資安中心( The Center for Internet Security, CIS)關鍵安全控制。[5] 6. ISO/IEC 27000系列標準。 7. 健康資訊信任聯盟(The Health Information Trust Alliance, HITRUST)通用安全框架(Common Security Framework)[6]。 8. 服務企業控制措施類型二(Service Organization Control Type 2, SOC 2)框架。 9. 安全控制措施框架(Secure Controls Framework)。 10. 其他類似的產業標準或框架。 (二)特定法令規範 企業(entity)如受以下法令規範,亦得適用安全港條款,如法令有修訂,企業應在發布修訂後的一年內更新其資安計畫: 1. 健康保險可攜與責任法(The Health Insurance Portability and Accountability Act, HIPAA)之安全要求。 2. 金融服務現代化法(The Gramm-Leach-Bliley Act)第五章。 3. 2014 年聯邦資訊安全現代化法(The Federal Information Security Modernization Act of 2014)。 4. 健康資訊科技促進經濟和臨床健康法(The Health Information Technology for Economic and Clinical Health Act, HITECH)之安全要求。 5. 刑事司法資訊服務系統 (The Criminal Justice Information Services, CJIS)安全政策。 6. 州或聯邦法律規定的其他類似要求。 該法案雖於2024年3月5日經佛羅里達州參議院三讀通過,但於2024年6月26日遭州長否決[7],其表示法案對於企業的保障範圍過於廣泛,如企業採取基礎的資安措施與風險控管機制,便得主張適用安全港條款,將可能導致消費者於發生個資外洩事件時,無法受到足夠的保障。州政府鼓勵利害關係人與該州網路安全諮詢委員會(Florida Cybersecurity Advisory Council)合作,探求法案的替代方案,以保護消費者資料。 二、西維吉尼亞州 美國西維吉尼亞州於2024年1月29日提出眾議院第5338號法案[8],修訂西維吉尼亞法典(Code of West Virginia),增訂第8H章資安計畫安全港條款(Safe Harbor for Cybersecurity Programs),如企業符合業界認可的資安標準、框架或依特定法令建立與實施資安計畫,包含個人資訊和機敏資料的管理、技術和企業保障措施,將能夠於侵權訴訟中,主張適用避風港條款。 法令內明列評估企業所建立的資安計畫規模和範圍是否適當之要素,包含: 1. 企業的規模和複雜性; 2. 企業的活動性質和範圍; 3. 受保護資訊的敏感性; 4. 使用資安防護工具之成本和可用性; 5. 企業可運用的資源。 (一)當前產業認可的資安標準、框架 除與佛羅里達州法案所列舉業界認可的資安標準之前六項相同,另增加: 1 NIST SP 800-76-2個人身分驗證生物辨識規範(Biometric Specifications for Personal Identity Verification)[9]。 2. 資安成熟度模型認證(The Cybersecurity Maturity Model Certification, CMMC)至少達到第2級,並經外部驗證(external certification)。 (二)特定法令規範 除與佛羅里達州法案所列舉特定法令之前四項相同,另增加:由聯邦環境保護局(Environmental Protection Agency, EPA)、資安暨基礎設施安全局(Cybersecurity and Infrastructure Security Agency, CISA)或北美可靠性公司(North American Reliability Corporation)[10]所採用任何適用於關鍵基礎設施保護的規則、法規或指南。 惟目前法案已於2024年3月27日被西維吉尼亞州長否決[11],其表示透過安全港條款鼓勵企業實踐資安框架雖立意良好,但也可能遭濫用而帶來不當影響,例如TikTok等大型國際企業,如在違背公民意願情況下共享個人資料時,將免於訴訟,恐有損其公民權益,未來州政府將與利害關係人持續進行協商。 參、事件評析 佛羅里達州和西維吉尼亞州近期同步公布有關限制企業於資安事件之責任相關法案,內容亦為相似,西維吉尼亞州之法案目前已遭否決,主要係擔心該豁免條款遭到不當濫用;佛羅里達州之法案亦因對於企業保障過廣與無法保障消費者個資安全考量,而遭州長否決。 法案中明列受產業普遍認可的資安標準、框架與政府所頒布特定法令,有助企業明確遵循與採納,建立與實施資安計畫,惟如何舉證所建立之資安計畫或實施之資安措施,與法案所列之資安標準、框架,或是特定法令規範,具有實質上的一致性,仍不明確,將可能阻礙企業於訴訟上行使抗辯與主張責任豁免權。未來美國如何權衡產業穩健發展與民眾個資保障,仍有待持續觀察。 [1] Chapter 1354 - Ohio Revised Code, Ohio Laws, https://codes.ohio.gov/ohio-revised-code/chapter-1354 (last visited May 24, 2024). [2]Part 7 Cybersecurity Affirmative Defense Act, Utah StateLegislative, https://le.utah.gov/xcode/Title78B/Chapter4/78B-4-P7.html (last visited May 24, 2024). [3]Frederick Scholl, Connecticut’s New Breach Notification and Data Security Laws: Carrots and Sticks, Quinnipiac University, July,1,2021,https://www.qu.edu/quinnipiac-today/connecticuts-new-breach-notification-and-data-security-laws-2021-07-01/ (last visited May 24, 2024). [4]CSHB 473-Cybersecurity Incident Liability, The Florida Senate,https://www.flsenate.gov/Session/Bill/2024/473 (last visited Jun. 28, 2024). [5]資安中心( The Center for Internet Security, CIS)為美國非營利組織,負責推動CIS Controls,針對實際發生的資安攻擊行為提供防禦建議,作為企業保護 IT 系統和資料時可參考之最佳實務作法。資料來源:About us, Center for Internet Security, https://www.cisecurity.org/about-us (last visited Jun. 6, 2024). [6]What is HITRUST?, Schneider Downs,https://schneiderdowns.com/cybersecurity/what-is-hitrust/ (last visited May 24, 2024). [7]Governor of Florida, Vote letter for House Bill 473(2024), https://www.flgov.com/wp-content/uploads/2024/06/Veto-Letter_HB-473.pdf (last visited Jun. 28, 2024). [8]2024 REGULAR SESSION ENROLLED Committee Substitute for House Bill 5338, WEST VIRGINIA LEGISLATURE,https://www.wvlegislature.gov/Bill_Status/bills_text.cfm?billdoc=hb5338%20sub%20enr.htm&yr=2024&sesstype=RS&i=5338 (last visited May 24, 2024). [9]NIST SP 800-76-2 Biometric Specifications for Personal Identity Verification, National Institute of Standards and Technology, https://csrc.nist.gov/pubs/sp/800/76/2/final (last visited May 24, 2024). [10]北美電力可靠性公司(North American Electric Reliability Corporation, NERC),為一家非營利機構,致力推動關鍵基礎設施保護相關標準,以強化北美大規模電力系統(亦即電網)的可靠性和安全性,資料來源:https://www.nerc.com/Pages/default.aspx (last visited May 24, 2024). [11]Governor of West Virginia, Enrolled Committee Substitute for House Bill 5338(2024),https://www.wvlegislature.gov/Bill_Text_HTML/2024_SESSIONS/RS/veto_messages/HB5338.pdf (last visited May 24, 2024).

日本也有EUA了!新修《藥機法》通過藥物緊急許可制度

日本也有EUA了!新修《藥機法》通過藥物緊急許可制度 資訊工業策進會科技法律研究所 2022年06月13日   去(2021)年12年底日本厚生勞動省發布「緊急時藥物許可制度總結[1]」(緊急時の薬事承認の在り方等に関するとりまとめ)文件,就日本藥物緊急許可制度(緊急承認)進行提案,並建議修法。接著,以該制度為中心之《藥物及醫療器材品質、有效性及安全性確保法》(医薬品、医療機器等の品質、有効性及び安全性の確保等に関する法律)(下稱藥機法)修正案,在今(2022)年3月經眾議院通過,4月經參議院通過成立,5月20日公布並即日開始發生效力[2]。主要條文規範在新法第14條之2之2及第23條之2之6之2。 壹、立法背景說明   修法之前,日本藥物上市審查有四種管道:一般許可(通常承認)、先驅審查指定制度(先駆け審査指定制度)、附條件許可(条件付き承認)、特例許可(特例承認)。「一般許可」係無特殊情形下之通常上市管道;「先驅審查指定制度」是針對治療嚴重疾病的劃時代創新藥物所創設之優先審查制度[3];「附條件許可」則是針對有效治療方法少、患者數量少的嚴重疾病的藥物審查制度[4];若遇緊急事件需使用藥物則是走「特例許可」管道使藥品能提早上市[5]。   根據去年日本厚生勞動省之調查[6],在傳染病大流行等類似緊急情況之下,日本當時對於藥品核准的對應方式存有兩大問題。   首先是對應的速度不夠快。在緊急狀況下,對於疫苗及藥物等的優先核准制度,即使是日本當時最快的「特例許可」管道,相較於歐美也較為耗時。以對抗新型冠狀病毒的莫德納疫苗為例,該疫苗在美國取得緊急使用授權(Emergency Use Authorization,下稱EUA)之後,約過了5個月才在日本獲得承認;而新型冠狀病毒的治療藥物Sotrovimab於日本國內的核准也晚於美國4個月[7]。   其二是特別許可的適用對象較窄,「特例許可」管道是為已在國外流通之藥品而設計,因此若是日本藥廠自行研發的疫苗、藥物或是療法,均無法依此管道上市。如日本藥廠塩野義所開發的新型冠狀病毒口服藥,即需要透過附條件許可之制度,或新的緊急許可制度加快上市速度。   鑒於前述原因,日本厚生勞動省參考美國EUA,提出了藥物的「緊急許可制度」。此二制度最大共通特點在於其均非藥品的正式上市制度,通過審查之後僅能在一定期間內上市流通,到期之後原則上應下架[8]。 貳、重點說明   緊急許可制度有四大重點[9],說明如下:   一、發動要件:為防止重大影響國民生命和健康之疾病蔓延,及防止其他健康損害狀況的擴大,有緊急使用之必要,且無使用該藥物以外替代手段時,得申請緊急許可。此處所稱之藥物包括了疫苗、治療藥物、普通藥品、醫療器械等產品。且緊急情況並不限於大規模流行性疾病,核事故、放射性污染、生化攻擊等情況亦適用緊急許可制度。   二、運用標準:在臨床試驗確認安全性的前提下,可以不需要完成有效性的完整試驗,得僅就現有的數據及資訊進行有效性之推定。舉例而言,若在海外進行的大規模驗證臨床研究中獲得了顯著的結果,則以日本受試者為主的臨床研究結果為非必要。   三、核准條件及期限:由於在有效性的階段給予核准,為了確保正確使用核准的藥物,應附上條件以及二年內之期限(有再延長一年之可能)。獲得許可後一定期限內若無法確認有效性,且判斷該醫藥品或器材不適合維持許可狀態時,將撤銷許可。   四、加速特別措施:對GMP檢驗、國家認證、容器包裝等採取特殊措施以加快核准速度。如在申請緊急許可當下,GMP檢驗有實施上困難,可以先暫緩,待核准後再補上檢驗程序。 參、與現存制度差異評析   特例許可是在緊急許可推出之前,在緊急情況下能在短期間內讓藥品上市之方式。特例許可是藥品正式上市流程,而緊急許可是在符合條件後暫時性准許上市,故兩者在範圍、運用基準以及期限等規定上存有明顯差異。   首先在範圍方面,特例許可係為了已在國外流通的醫療用品引進國內而設置,因此日本國內企業自行研發的新疫苗或是新治療藥等,無法透過特例許可上市[10],原則上需要透過一般藥物上市管道,因此新制度對於日本藥廠來說,形同多開闢了一條產品上市的道路。其次,在運用基準方面,特例許可應完整確認安全性及有效性,無法如新制般能僅由現存數據及資料推定該藥物之有效性[11],因此新制可以縮短臨床試驗所花費的時間。最後,由於特例許可為正式之上市許可,僅在簡化一般藥物之審查流程至2-3個月,故其無有效期間之規定[12],而依新制度上市之藥品在有效期間內仍須完成剩下的臨床試驗,否則期限屆至時原則上應下市。 肆、未來展望   由於緊急許可制度剛修法通過,日本國內目前尚未有以此管道核准上市之藥物或疫苗,因此核准程序所花費之時程,能否成功縮短至如美國EUA的三週內尚未可知。目前最有可能以此管道核准上市之藥物為日本藥廠塩野義的新型冠狀病毒口服藥,審查結果預計於7月發表[13],其發展究竟如何,值得我們拭目以待。 [1] 〈緊急時の薬事承認の在り方等に関するとりまとめ〉,厚生勞動省,https://www.mhlw.go.jp/content/11121000/000873996.pdf(最後瀏覽日:2022/06/12)。 [2] 日本參議院網站,https://www.sangiin.go.jp/japanese/joho1/kousei/gian/208/meisai/m208080208042.htm(最後瀏覽日:2022/06/12)。 [3] 〈先駆的医薬品等指定制度(先駆け審査指定制度)〉,獨立行政法人醫藥品醫療機器總合機構,https://www.pmda.go.jp/review-services/drug-reviews/0002.html (最後瀏覽日:2022/06/27)。 [4] 〈医薬品条件付早期承認制度への対応〉,獨立行政法人醫藥品醫療機器總合機構https://www.pmda.go.jp/review-services/drug-reviews/0045.html (最後瀏覽日:2022/06/27)。 [5] 同前註1。 [6] 同前註1。 [7] 〈緊急時の薬事承認の在り方について〉,厚生勞動省,https://www.mhlw.go.jp/content/11121000/000856077.pdf(最後瀏覽日:2022/06/12)。 [8] 同前註。 [9] 〈令和4年の医薬品、医療機器等の品質、有効性及び安全性の確保等に関する法律(薬機法)等の一部改正について〉,日本厚生勞動省網站,https://www.mhlw.go.jp/stf/seisakunitsuite/bunya/0000179749_00006.html(最後瀏覽日:2022/06/12)。 [10] 医薬品、医療機器等の品質、有効性及び安全性の確保等に関する法律(昭和三十五年法律第百四十五号)第14條之3第2項。 [11] 同前註4。 [12] 周晨蕙、施雅薰,《科技法律透析》,〈COVID-19疫情下我國藥事法專案核准制度議題-以國際藥物緊急核准上市機制為借鏡〉,第33卷第10期,頁58(2021)。 [13] NHK,〈コロナ飲み薬 塩野義製薬「ゾコーバ」有効性や副作用 承認の可否は〉,2022/06/23,https://www.nhk.or.jp/shutoken/newsup/20220623a.html (最後瀏覽日:2022/06/27)。

美國賓州眾議院通過《人工智慧生成內容揭露法》

美國賓州(Pennsylvania)眾議院於2024年4月10日通過《人工智慧生成內容的揭露法草案》(House Bill 1598 Disclosure of Artificially Intelligent Generated Content,下稱草案),規範AI生成內容及其利用行為以保護消費者。 草案規定,以AI生成之各種形式內容,在其首次呈現給消費者時應揭露資訊,使消費者知道該內容為AI生成之結果。如果明知或重大過失(Knowingly or recklessly)產出、散布或發布任何未「明確且顯著」(clear and conspicuous)揭露其內容為AI所生成者,即屬「不公平或欺騙性行為或做法」,將被依賓州《不公平貿易行為與消費者保護法》(Unfair Trade Practices And Consumer Protection Law)規定處罰。草案亦說明應如何揭露資訊,方符合條文所謂「明確且顯著」標準,例如針對AI生成之音訊內容,其揭露應以足夠的音量和節奏傳達,以便消費者聽取和理解。 此外,草案也關注兒童保護問題。鑑於AI生成的兒童性剝削圖像通報日益增加,草案最後新增規定,未來不能將「兒童性剝削圖像為AI生成」作為辯護理由,且檢察總長或地區檢察官可起訴製造、持有以及傳播AI生成之兒童色情或性虐待素材等相關行為。 目前草案已在州眾議院通過,由州參議院審議中。草案的提案議員強調,人們有權知道其消費的內容實際上是使用AI產出的成果,因此草案通過後,可望有效遏阻濫用AI的行為,提供賓州民眾更多的保障。

TOP