新加坡個資保護法責任指南
新加坡個人資料保護法(Personal Data Protection Act 2012, PDPA)的基本原則之一在於可歸責性(Accountability)之建立，原因在於個資保護的責任歸屬，是組織對個資的持有與控制所為的承諾與責任表示。因此，PDPA第11、12條之法遵責任，組織必須對所持有或控制的個資負責，並且需制定並實施資料保護政策、溝通並告知員工相關政策、及履行PDPA義務所必須施行之流程與作法。於組織責任而言，PDPA雖有強制性義務責任，但應忖量組織內部責任歸屬的措施，而非僅將責任落於遵守法律的程度，組織必須從合於法規的方法轉為基於責任歸屬的方法來管理個人資料。
從而，該指南在政策、人員、流程等領域中透過資料生命週期的循環，確立組織責任歸屬。從落實良好的責任制始於組織領導力的概念出發，設定組織管理高層之職責與調性，繼而規劃處理個資及管理資料風險的方法。並由組織人員治理面向，確立溝通資訊與員工培訓知識與資源。除此之外，也在特定流程設置上，紀錄個人資料流動，了解如何收集、儲存、使用、揭露、歸檔或處理個人資料為流程的首要任務，繼而確認資料保護層面主要的差距與需要改進的領域。再將資料保護實踐於業務流程、系統、商品或服務。
本文為「經濟部產業技術司科技專案成果」
江敔菲
副法律研究員 編譯整理
日本政府為求讓日本經濟發展能因應當前國際經濟現勢的結構性變化，相關產業活動有進行革新之必要；因此，日本政府提出「促進我國產業活動革新之產業活力再生特別措施法等法律部分修正案」（以下簡稱修正案），修正案係採包裹立法方式，修正「產業活力再生特別措施法」（簡稱產活法）、「礦工業技術研究組合法」（簡稱研究組合法），以及「產業技術力強化法」（簡稱產技法）等法律。修正案於今（2009）年4月22日經日本國會立法通過，同月30日公布（平成21年4月30日法律第29号），並於同年6月22日施行。以下針對三部法律中之主要修正項目簡介之。 首先，在產活法中，主要修正處是日本政府將出資與民間合作，成立「產業革新機構」股份有限公司，目的在結合公私資源，投資創新活動，包括集結最尖端基礎技術以協助進入應用開發階段，建立連結創投資本、新創企業與擔任將技術事業化之大企業的機制，以及將有技術優勢但埋沒大企業中之技術加以組合，並集中投入人力及資金以發揮價值。其次，在研究組合法中，主要修正處包括，擴大研究組合中可研發主題之技術範圍，放寬加入組合成員之資格，賦予研究組合組織變更、分割合併之可能。最後，在產技法中，主要修正處在於讓國有研發成果可以低於市價之價格實施，以促進將成果活用轉化成為產業實用之支援。日本政府之相關革新作法，其實際成效及對我國之啟發值得後續加以關注。
為了確保網絡安全，歐盟頒佈新的網路安全計畫網絡活動無遠弗屆，其所帶來的影響也逐漸引起世界各國的關注。依據歐盟針對網絡安全現況所做的調查發現，首先，現行估計存有150,000隻電腦病毒在網路間流竄，並已造成148,000部電腦受到威脅；第二，世界經濟論壇（World Economic Forum）指出，在未來的十年內，主要重大資訊基礎設施估計將有10%遭到破壞，其將導致2500億美金的損失；第三，著名資安公司（Symantec與McAfee）估計，全世界因網路犯罪而受害者，每年將會損失2900億歐元。相反地，因網路犯罪而受益者，其獲利將可高達每年7500億歐元；第四，依據 Eurobarometer在2012年針對網絡安全的民調指出，38%歐盟網路使用者因網絡安全因素已改變他們的網路行為方式；74%使用者同意，成為網絡安全受害者的風險已經逐漸增加；12%使用者已經遭受線上詐欺且89%使用者已避免在網上揭露個人資料；第五，據網絡暨資訊安全（NIS）的公眾諮詢發現，56.8%受訪者指出，在過去一年已經歷NIS事件對其網絡活動所帶來的嚴重影響；第六，Eurostat figures指出，直到2012年一月，在歐盟境內的企業僅有26%已經制定出完整的ICT安全政策。 有鑑於網路安全風險所帶來的效應已漸受重視，歐盟執委會（European Commission）會同歐盟外交暨安全政策高級代表（High Representative of the Union for Foreign Affairs and Security Policy共同發佈網絡安全策略，並計畫延引出歐盟執委會在NIS面向上的新指令（directive）。新的歐盟網絡安全策略，名為「開放、安全與可靠網絡空間」，代表著歐盟在預防和反應網絡攻擊和侵擾問題上的全面性預見。在該策略中，包含五個重大優先處理事項： 一、達到網絡韌性（Achieving cyber resilience） 二、徹底減少網路犯罪（Drastically reducing cybercrime） 三、針對一般安全暨防禦政策，發展網絡防禦政策和能力（Developing cyber defence policy and capabilities relatedto the Common Security and Defence Policy (CSDP)） 四、對網絡安全發展出企業性和技術性資源（Developing the industrial and technological resources for cyber-security） 五、為歐盟建立一個完整的國際網絡空間政策與促進歐盟核心價值（Establishing a coherent international cyberspace policy for the European Union and promoting core EU values） 為了達成歐盟網絡安全策略所形塑的優先事項，歐盟執委會亦計畫針對NIS來頒佈新的指令以落實策略項目，其中包含，首先，要求歐盟會員國必須採納NIS策略且指定國家級機關（需具有足夠人力和財務資源）來預防、處理和回應NIS風險與事件；第二，透過安全基礎設施和組成一般性的同儕審議，在歐盟會員國與執委會間建立合作機制來分享NIS風險和事件的早期預警；第三，某些領域重大基礎設施的運作者（金融服務、交通、能源或健康）、資訊社會服務的推動者（app商店電子商務平台、線上支付、雲端運算、搜尋引擎、社群網絡）和公家行政部門必須在其核心服務上，採納風險管理作法和報告主要網絡安全事件。 從歐盟網絡安全策略和執委會計畫頒佈的NIS指令可以發現，歐盟對於新世代的網絡安全風險已經有完整的預見與具體的因應措施。針對新型態的網絡安全威脅，我國如何能及早適時預警並作出相應的防範機制，以確保產業經濟、公共交通、資訊工業和國防安全等不會受到外部威脅，將是我國政府必須先行正視的問題。
美國產學合作利益衝突管理機制美國產學合作利益衝突管理機制 資策會科技法律研究所 法律研究員 朱啟文 104年11月27日 自從1980年美國拜度法案（Bayh-Dole Act[1]）通過後，智慧財產權下放至大學與研究機構，大學有權自主把智慧財產授權予廠商甚至成立新創公司[2]，從而衍生出拜度法案潛藏副作用之ㄧ：「鼓勵學術機構與私人企業將研發成果商品化，將使學術機構產生利益衝突[3]」。因此「利益衝突」問題逐漸引起各界關注，特別是大學如何兼顧好教學、研究及公共服務[4]；以及研究人員、大學教授在技術移轉或研發成果商品化過程中，應該扮演的角色及獲取何種利益，常因為法律或大學政策規定的不周全、認知的不一致，而造成教研人員的困惑[5]。 產學合作的利益衝突，容易發生於顧問服務、技術移轉、贊助研究、臨床試驗、科研採購、師生指導關係、機構關係與特定贈禮等活動中，因此利益衝突管理為產學合作中不可忽視的重要措施。以往「揭露利益衝突」被視為是管理利益衝突之主要方法[6]，但此種管理利益衝突措施應該加以改進，且須建立處理學研機構內利益衝突之新思維，為了健全國內產學合作發展，政府有必要率先提出更新、更有效率之利益衝突管理方式，才能達到預防、監督、控管效果。本文擬藉由美國產學合作利益衝突法制規範，及美國大學因應解決產學合作利益衝突方式，提出對於本國法制調整之建議。 壹、美國利益衝突管制類型 美國利益衝突管制規範分成兩大類型[7]，一是針對政府所屬的研究機構，像美國國家衛生院NIH；另一是一般研究機構或大學(包含公、私立)，當它們申請聯邦政府經費的時候所受規範。如果是對於政府所屬的研究機構，它的利益衝突規範是比後者更為嚴格，因為研究人員直接領取國家薪水和使用國家經費，負有更多「公」的任務。舉例而言：一名美國國家衛生院研究員，亦是研究阿茲海默症的知名科學家，因其研究與藥廠間的利益衝突，於2006年12月被聯邦法院判決有罪，隨後被迫從NIH 離職。三名哈佛大學醫學院教授，2009年3月由檢察官、聯邦衛生福利部進行調查，他們擔任某藥廠顧問，但同時發表研究論文，支持醫界增加使用該藥廠生產之特定藥物，被質疑有利益衝突問題[8]。 貳、美國利益衝突管制規範 美國聯邦法律規定（18 US Code §208－Acts affecting a personal financial interest[9]），凡是向聯邦政府申請研究經費的各個學術機構，無論公立或是私立，其研究人員都必須向所屬機構「申報揭露」自己及家人與產業界的的財務上利益，並接受機構的審查監督，以避免科學研究的誠實正確性被個人利益影響，確保病人或受試者的安全與權益，並且維護社會大眾對於科學研究的信賴[10]。 1995年10月公布的美國國家科學基金會（以下簡稱「NSF」）《研究員財務揭露政策[11]》，與食品藥物管理局（以下簡稱「FDA[12]」）《研究規範中的客觀性[13]》規範中，提出了相當近似的概念，均要求學研機構須訂有「書面記載利益衝突的政策，並對利益衝突的政策應落實執行」；利益衝突政策內容至少要包含（1）限定且具指標性的財務報告，（2）任命特定人檢閱此等報告，（3）管理機制實施，且當發現無法解決的問題時，應向出資機構報告等[14]。 其中NSF的《研究員財務揭露政策》規定：「當能合理地認為有顯著的利益，能直接或顯著的影響此項研究或教育活動的報告、行為、設計時，即認可在此存在利益衝突。『顯著的財產上利益』，指任何有價的物品，不限於薪水或其他服務提供對價（如諮詢費或報酬）、股本利益（如股票、股票選擇權，或其他財產利益），和智慧財產權（如專利、著作權，和其他權利的授權利潤）[15]」。 參、學研機構自主管理機制 美國對於產學利益衝突的管制，主要是透過政府、學術組織、大學等方面加以控管。就大學而言，以麻省理工學院為例，教職員雖可擔任企業顧問，但不可擔任企業的正式職員，對於個人的企業持股，必須受到各系所委員會的監督審查，在校內的研究方向亦須和其所持股公司之職責有所區別[16]。另外，哈佛大學在1993年即制訂利益衝突的行為規範，其中包括授權對象係由技轉辦公室整體評估，當教研人員與授權相關的研究成果發表時，必須公開財務利益關係及其內容[17]。而史丹佛大學關於技術授權，則有完整的標準作業流程（Research Policy Handbook）及利益衝突政策[18]，可供校內教研人員依循參考。 許多美國學研機構都列有利益衝突的規範，甚至是管理利益衝突的專屬委員會，當研究人員就其研究結果牽涉個人或家人的商業利益時，原則上就不得參與該研究計畫。這也正是「美國全國醫學院聯盟[19]」(American Association of Medical Colleges，簡稱「AAMC」) 及「美國全國大學協會[20]」(Association of American Universities，簡稱「AAU」) 所建議的利益衝突規範標準；「美國大學技術經理人協會[21]」（The Association of University Technology Managers，簡稱「AUTM」）的技術移轉實務指南，對利益衝突部份也著墨甚多[22]。當學研機構明確管理標準，就能避免掉許多爭議，而能在產學合作與維持科學信任間取得平衡。 肆、結論與建議 一、美國利益衝突規範越趨嚴格 美國自1995年起便將利益衝突規範入法，早期政策比較寬鬆但隨著法令修改後逐漸趨於嚴格。2011年8月美國國家衛生主管機關[23]（HHS），亦修正公布有關「公共衛生經費贊助之研究案，申請人有義務促進科學研究之客觀性」（42 C.F.R. Part 94）及「應負責的潛在契約主體」（45 C.F.R. Part 94）此二部分相關規定[24]，要求接受國家衛生主管機關贊助款項或與國家衛生主管機關合作機構，必須符合上開二部分監管規定[25]。首先，除申報門檻降低外，凡與研究者在所屬機關內之工作義務或責任有關的所有利益，均須申報，不再限於1995年規定的財務上利益方須申報。其次，新規定也從原僅須向研究計劃主持人所屬機關申報的「內部揭露」，改成須向大眾公開的「外部揭露[26]」，並強制要求所有執行聯邦政府資金補助計劃之研究者，定期接受包括利益衝突相關規範在內的研究倫理訓練[27]。另外自2013年起，美國的醫材與藥品製造者，每年須定期透過電子申報方式，提供所資助學研機構與金額資料，低至10美元以上都得通報；美國聯邦衛生福利部與國民健康有關的政府資助計畫（PHS funding），針對財務利益衝突也詳加規範認定、申報及處理之措施[28]。 二、我國利益衝突政府規範不足 我國針對「科研機構及其人員利益衝突」問題，於民國100年通過修正的《科學技術基本法》第6條第3項規定，凡由政府出資的科技研究其所獲得之智慧財產及成果，關於其歸屬及運用，針對「迴避及其相關資訊之揭露事項」，授權行政院統籌及各主管機關訂定相關子法，即修訂《政府科學技術研究發展成果歸屬及運用辦法》第5條；《科學技術基本法》第17條針對「技術作價投資比例及兼任職務與數額」事項，授權行政院會同考試院訂定相關辦法，即增訂《從事研究人員兼職與技術作價投資事業管理辦法》第4至8條。目前各主管機關已陸續完成相關子法修正，要求學研機構制定內部管理機制及利益衝突規範。 雖然在《科學技術基本法》修訂後，對於產學合作利益衝突問題已有初步規範，但由我國產學合作利益衝突子法可得知，目前政府主管機關並未有ㄧ套完整、具體之產學合作利益衝突監管政策，且各主管機關標準寬鬆不ㄧ，欠缺實質完整監管機制，無法切實維持政府所資助研究計畫之客觀性。其中針對政府補助計畫所涉利益衝突的申報揭露範圍事項和具體數額，及申報揭露後之審核與糾正等，相關子法條款並未如同美國主管機關建立具體管制措施，及「向社會大眾公開揭露」之管制模式，以有效達到預防、監督、控管效果。 三、配套法令機制具體修正建議 為有效達到預防、監督、控管效果，本文建議政府參考美國衛生主管機構HHS所制定之利益衝突監管規定，制定資助機構利益衝突基本原則並提供指引協助、將研究人員含配偶及未成年子女於特定定期間內獲得超過一定金額以上報酬或股權利益、智慧財產權等重大財務利益收益列為揭露事項、要求研究人員應定期接受教育訓練、由學研機構於申請補助時及發現利益衝突時向資助機關提出報告、要求學研機構明訂解決利益衝突方式例如請該研究人員退出計畫、修改計畫、減少或消除持股等，並對未被即時查覺或管理的利益衝突事件於限期內回顧審查並向資助機關報告。透過上述內部/外部監控，蒐集學研機構之利益衝突政策及相關資訊（透明化機制），助益資助機關進行調查評估違反利益衝突情形並酌量是否必須暫停補助款之發放，如此將可進一步建立更完整、具體之產學合作利益衝突監管法令制度。 [1] Bayh-Dole Act，Landmark Law Helped Universities Lead the Way http://www.autm.net/advocacy-topics/government-issues/advocacy-public-policy/legislative-issues/bayh-dole-act/ (最後瀏覽日：2015/11/26)。 [2] 南佐民，＜《拜杜法案》與美國高校的科技商業化＞，《比較教育研究》，第25卷第8期，頁75-78（2004）。 [3] 王偉霖，＜產學合作引發利益衝突及知識近用限制之研究＞，第二屆科技發展與法律規範學術研討會，頁1-2（2008）。 [4] 新台灣國策智庫網站，＜由陳垣崇事件省思台灣的國家創新系統＞，http://www.braintrust.tw/article_detail/251（最後瀏覽日：2015/11/26）。 [5] 2011年6月22日檢調懷疑中研院生醫所所長陳垣崇，將兩種人體專利試劑轉移給與其親屬相關的世基公司，再轉賣回中研院，因此約談陳垣崇夫婦及其助理，以及搜索陳垣崇辦公室。陳垣崇最後以六十萬元交保。這是台灣最高學術桂冠的中研院，第一次遭檢調搜索，若遭起訴，也將是第一位院士遭到起訴。陳垣崇案，引發最大的爭議就是技轉後，科學家能否與這家公司繼續合作以及合作模式為何，此為檢調偵辦的重點。 [6] 王偉霖，＜產學合作引發利益衝突及知識近用限制之研究＞，第二屆科技發展與法律規範學術研討會，頁2-3（2008）。 [7] 王偉霖，＜美國產學合作制度利弊之檢討－台灣科學技術基本法之借鏡＞，《世新法學》，第3期，頁1-41（2006）。 [8]陳志剛，＜論生物醫學產學合作中利益衝突之規範＞，中原大學財經法律系碩士論文，頁23-24（2013） [9] 刑法利益衝突及除外規定：嚴格禁止國家機關行政人員(含官員與受雇主)之決定涉及其知識上、本身、配偶、未成年子女、合夥人、或其服務組織之財務利益；事先向指派其任務的長官諮詢過，完全揭露此利益；服務之需要性遠超過其潛在利益衝突；原則公開揭露，不公開為例外。https://www.law.cornell.edu/uscode/text/18/208（最後瀏覽日：2015/11/26） [10]5 C.F.R. Part 2640: Interpretation, Exemptions, Waiver Guidance Concerning 18 U.S.C. 208 (Acts Affecting a Personal Financial Interest)。http://www.oge.gov/Laws-and-Regulations/OGE-Regulations/5-C-F-R--Part-2640--Interpretation,-Exemptions,-Waiver-Guidance-Concerning-18-U-S-C--208-(Acts-Affecting-a-Personal-Financial-Interest)/（最後瀏覽日：2015/11/26）。 [11] NSF 510 CONFLICT OF INTEREST POLICIES（July 2005），http://www.nsf.gov/pubs/manuals/gpm05_131/gpm5.jsp#510（最後瀏覽日：2015/11/26）。 [12] 對於美國生技產業而言舉足輕重的管制機關食品藥物管理局（FDA），自1999年起也要求申請產品上市的藥廠和醫材公司於提出申請時，必須揭露其當做申請基礎的臨床試驗研究者，和該公司之間的財物給付和財務利益關係，以便FDA進行審查時評估上述關係是否影響研究設計及數據可信度。 [13] FDA CONFLICT OF INTEREST POLICIES，http://www.fda.gov/iceci/compliancemanuals/regulatoryproceduresmanual/ucm176718.htm#SUB3-5-1（最後瀏覽日：2015/11/26）。 [14] 劉江彬，＜借鏡美國利益衝突管理＞，高教技職簡訊：高教論壇，2012年10月12日，http://tekezgo.com/index.php?do=news&act=detail&id=103（最後瀏覽日：2015/11/20）。 [15] 曾瑞鈴，＜院資本主義下的美國生技醫藥產業：兼論台灣現況＞，《社會科學論叢》，第3卷第2期，頁119-154（2009）。 [16] 麻省理工學院：MIT Policies and Procedures－4.4 Conflict of Interest，http://web.mit.edu/policies/4/4.4.html（最後瀏覽日：2015/11/26）。 [17] 哈佛大學：Policy on Conflicts of Interest and Commitment，http://hms.harvard.edu/about-hms/integrity-academic-medicine/hms-policy/faculty-policies-integrity-science/interim-policy-statement-conflicts-interest-and-commitment（最後瀏覽日：2015/11/26）。 [18] 史丹福大學：Research Policy Handbook https://doresearch.stanford.edu/policies/research-policy-handbook，Faculty Policy on Conflict of Commitment and Interest (RPH 4.1)，https://doresearch.stanford.edu/policies/research-policy-handbook/conflicts-commitment-and-interest/faculty-policy-conflict-commitment-and-interest（最後瀏覽日：2015/11/26）。 [19] American Association of Medical Colleges (AAMC), Task Force on Financial Conflicts of Interest in Clinical Research, 78 ACADEMIC MEDICINE 225 (2003), https://www.aamc.org/download/75302/data/firstreport.pdf (last visited Nov. 26, 2015) [20] Association of American Universities (AAU), Framework Document on Managing Financial Conflicts of Interest, Elements of a Conflict-of-Interest Policy 1-13 (1993), http://www.aau.edu/WorkArea/DownloadAsset.aspx?id=2690 (last visited Nov. 26, 2015) [21] The Association of University Technology Managers (AUTM), Conflicts of Interest Policies, http://www.autm.net/resources-surveys/technology-transfer-practice-manual/ttp-manual-2nd-edition/volume-1-pr-test/1/pertinent-policies/strong-conflict-of-interest-policies-strong/ (last visited Nov. 26, 2015) [22] 李素華，＜美國技術移轉相關立法與機制之簡介＞，《技術尖兵》，第55期，頁17（1999）。 [23]5 CFR Part 5501 - Supplemental Standards Of Ethical Conduct For Employees Of The Department Of Health And Human Services美國衛生主管機構補充標準。1995放寬取消院外活動的時間數、報酬與持股等限制，一年最高總酬勞可超過5萬美元，但是必須填寫利益衝突揭露表，目的留住高水準科學家。2005年趨嚴禁止所有的科學家從事院外的諮詢、演講等活動，賣掉所持有的生技藥物公司股份，非生技的股票必須低於1.5萬美元。https://www.law.cornell.edu/cfr/text/5/part-5501（最後瀏覽日：2015/11/26） [24] 2011 Public Health Service (PHS) Regulations: Responsibility of Applicants for Promoting Objectivity in Research for which PHS Funding is Sought (42 C.F.R. Part 50, Subpart F); Responsible Prospective Contractors (45 C.F.R. Part 94)，http://grants.nih.gov/grants/policy/coi/（最後瀏覽日：2015/11/26） [25] 李毓華，＜從美國生醫研究利益衝突新規範檢視我國相關法制＞，《醫事法學》第19卷第2期，頁22-24（2012）。 [26] 財務揭露報告義務：填寫實質受影響組織財務利益表格－HHS Form 716 (共14頁；公開)，https://ethics.od.nih.gov/forms/hhs-716f.pdf；HHS From 717-1 (共14頁；不公開)，https://ethics.od.nih.gov/procedures/HHS-717-1-Employee-Instructions.pdf（最後瀏覽日：2015/11/26）；美國國會2010年通過的健康保險改革立法裡，規定生醫廠商必須定期向政府申報其給付醫師及教學醫院的顧問費、研究經費、差旅費、餐費等酬勞和補助，以及其在各該公司的投資及股份，並必須對外公開揭露，一般大眾均可查詢。 [27] 劉靜怡，＜透明治理與公共課責＞，蘋果日報即時新聞，2014年07月11日，http://www.appledaily.com.tw/realtimenews/article/new/20140711/431221/（最後瀏覽日：2015/11/26）。 [28] 陳志剛，＜論生物醫學產學合作中利益衝突之規範＞，中原大學財經法律系碩士論文，頁78-84（2013）
人工智慧技術用於醫療臨床決策支援之規範與挑戰—以美國FDA為例人工智慧技術用於醫療臨床決策支援之規範與挑戰—以美國FDA為例 資訊工業策進會科技法律研究所 蔡宜臻法律研究員 2018年11月27日 壹、事件摘要 美國係推動人工智慧用於醫療服務的領航國家，FDA轄下的數位健康計畫（Digital Health Program）小組負責針對軟體醫療器材規劃新的技術監管模式，在過去五年中，該計畫發布了若干指導文件 ，嘗試為醫用軟體提供更為合適的監督管理機制。但由於指導文件並非法律，監管的不確定性依舊存在，因此近兩年 FDA推動修法並做成多項草案與工作計畫，望以更具約束力的方式回應軟體醫療器材最新技術於臨床之適用。當中最為重要的法制變革，便是2016年底國會通過之《21世紀治癒法》（21st Century Cures Act）。該法重新定義了醫用軟體的監管範圍，一般認為是對人工智慧醫用軟體的監管進行鬆綁，或有助於人工智慧醫用軟體的開發與上市。然而在新法實施近兩年以來，實務上發現人工智慧的技術特質，會導致在進行某些「臨床決策支援之人工智慧軟體」是否為醫療器材軟體之認定時，產生極大的不確定性。對此FDA也於2017年12月作成《臨床與病患決策支持軟體指南草案》（Clinical and Patient Decision Support Software-Draft Guidance for Industry and Food and Drug Administration），望能就部份《21世紀治癒法》及其所修正之《聯邦食品藥物化妝品法》（Federal Food, Drug, and Cosmetic Act, FD&C Act）[1]裡的規範文字提供更為詳細的說明。 本文望能為此項法制變革與其後續衍生之爭議進行剖析。以下將在第貳部分重點說明美國2016年頒布的《21世紀治癒法》內容；在第參部份則針對人工智慧技術用於醫療臨床決策支援所發生之爭議進行分析；最後在第肆部份進行總結。 貳、重點說明 2016年12月美國國會頒布了《21世紀治癒法》，在第3060節明確界定了FDA對數位健康產品（Digital Health Products）之管轄範圍，將某些類型的數位健康產品排除在FDA醫療器材（medical device）定義之外而毋須受FDA監管。此規定亦修正了美國《聯邦食品藥物化妝品法》第520節（o）項有關FDA排除納管之軟體類別之規定。 根據新修正的《聯邦食品藥物化妝品法》第520節（o）（1）項，美國對於醫用軟體的監管範疇之劃設乃是採取負面表列，規定以下幾種類型的軟體為不屬於FDA監管的醫用軟體： 行政管理目的[2]；或 目的在於非關診斷、治療、緩解、預防或病症處置之健康維持或健康生活習慣養成[3]；或 目的在於進行電子化的個人健康紀錄[4]；或 目的用於傳輸、儲存、格式轉換、展示臨床研究或其他裝置資料與結果[5]；或 同時符合以下四點之軟體： (1)不從體外醫療器材或訊號蒐集系統來讀取、處理或分析醫療影像或訊號[6]。 (2)目的在於展示、分析或印製病患醫療資訊，或其他醫療訊息（例如：偕同診斷之醫療研究、臨床處置指南）[7]。 (3)目的在於替醫療專業人員就疾病或症狀之預防、診斷或處置提供支持或臨床建議[8]。 (4)使醫師在使用該軟體時尚能獨立審查「臨床建議產生之基礎」，因此醫師所做成之臨床診斷或決策，並非主要依賴該軟體提供之臨床建議[9]。 雖然大多數被排除的類別相對無爭議，但仍有一部分引起法律上不小的討論，即《聯邦食品藥物化妝品法》第520節（o）（1）（E）項所指涉的某些類型之臨床決策支援軟體（Clinical Decision Support Software，以下簡稱CDS軟體）。 CDS軟體係指分析數據以幫助醫療手段實施者（例如：醫師）做出臨床決策的軟體。多數以人工智慧為技術基礎的醫療軟體屬於此一類型，比方病理影像分析系統。根據《21世紀治癒法》與《聯邦食品藥物化妝品法》，CDS軟體是否被排除在FDA的管轄範圍之外，取決於該軟體是否「使醫師在使用該軟體時尚能獨立審查『臨床建議產生之基礎』，因此醫師所做成之臨床診斷或決策，並非主要依賴該軟體提供之臨床建議」[10]。若肯定，則將不被視為FDA所定義之醫療器材。為使此一規定更加明確，FDA於2017年12月8日發布了《臨床與病患決策支持軟體指南草案》，該指南草案針對如何評估軟體是否能讓醫師獨立審查臨床建議產生之基礎進行說明。FDA表示該軟體至少要能清楚解釋以下四點[11]： 該軟體功能之目的或用途；及 預期使用者（例如超音波技師、心血管外科醫師）；及 用於產生臨床建議的原始資料（例如患者的年齡和性別）；及 臨床建議產生背後之邏輯或支持證據 後續方有機會被FDA認定係令醫療專業人員使用該軟體時，能「獨立審查」臨床建議產生之基礎。換言之，指南草案所提的四點，為FDA肯認醫師在使用軟體時尚能「獨立審查」之必要前提。除此之外，指南草案尚稱預期使用者必須能自己做成與軟體相同之判斷，並且要求「用於生成臨床建議與演算邏輯的原始資料必須可被預期使用者辨識、近用、理解，並為公眾可得」[12]，進而方有機會符合《聯邦食品藥物化妝品法》第520節（o）（1）（E）（iii）之規定；若該軟體亦同時符合第520節（o）（1）（E）之其他要件，則有望被劃分為非醫療器材而不必受FDA監管。 由於規範內容較為複雜，指南草案亦提供案例說明。比方若一糖尿病診斷軟體是由醫生輸入患者參數和實驗室測試結果（例如空腹血糖、口服葡萄糖耐量測試結果或血紅蛋白A1c測試結果），並且該裝置根據既定臨床指南建議患者的病情是否符合糖尿病的定義，可被FDA認定為「非醫療器材」[13]；而諸如分析電腦斷層、超音波影像之軟體，則仍維持屬於醫療器材[14]。 另需注意的是，《聯邦食品藥物化妝品法》在第520節（o）（3）（A）（i）項亦建立「彌補性納回（claw-back）」機制，FDA需遵守通知評論程序（notice-and-comment process）以便及時發現軟體可能對健康造成嚴重危害的風險，並隨時將之納回監管範疇中。同時FDA每兩年必須向國會報告醫療器材軟體的實施經驗[15]。 參、事件評析 《21世紀治癒法》頒布至今兩年，FDA已核准多個以人工智慧為技術核心的軟體，例如在2018年2月13日通過能自動偵測可疑的大血管阻塞（large vessel occlusion, LVO），並迅速通知醫師病人可能有的中風危險的臨床決策支援軟體：Viz.AI Contact application；又比如於2018年4月11日通過利用演算法分析由視網膜攝影機（Topcon NW400）所獲得的影像，快速篩檢糖尿病病人是否有必須由專業眼科醫師治療的視網膜病變的IDx-DR。 然而，在CDS軟體以人工智慧為技術核心時，現有的法規與監管框架依舊有幾點疑慮： 一、「理解」演算法？ 根據新修正之《聯邦食品藥物化妝品法》，如果CDS軟體欲不受FDA監管，醫師的決策必須保持獨立性。目前規定只要該醫療產品「企圖」（intended to）使醫師等專業人員理解演算法即可，並不論醫師是否真正理解演算法。然而，若FDA肯認理解演算法對於執行醫療行為是重要的，那麼當CDS係基於機器學習產生演算法時，具體該如何「理解」就連開發者本身都未必能清楚解釋的演算法？有學者甚至認為，CDS軟體是否受到FDA法規的約束，可能會引導至一個典型的認識論問題：「我們是怎麼知道的？（How do we know?）」[16]。對此問題，我們或許需要思考：當醫師無法理解演算法，會發生什麼問題？更甚者，未來我們是否需要訓練一批同時具備人工智慧科學背景的醫療人員？[17] 二、如何要求演算法透明度？ 指南草案所提之「清楚解釋臨床建議產生背後之邏輯或支持證據」以及資料來源為公眾可得、醫生對演算法使用的資料來源之近用權限等，被認為是FDA要求廠商應使CDS軟體之演算法透明[18]。但根據FDA指南草案公告後得到的反饋，醫療軟體廠商對此要求認為並不合理。廠商認為，應該從實際使用效益來審視人工智慧或機器學習軟體所提出的臨床建議是否正確，而不是演算法是什麼、怎麼產生[19]。 三、醫療專業人員之獨立專業判斷是否會逐漸被演算法取代？未來醫療軟體廠商與醫療專業人員之責任該如何區分？ FDA目前的法規與指南並未直接回應此二問題，惟其對於不被列管之CDS軟體之規定係需使醫師並非主要依賴該軟體提供之臨床建議、醫師能自己做成與軟體相同之判斷。由反面解釋，即FDA肯認部份CDS軟體具備與醫師雷同之臨床診斷、處置、決策之功能，或能部份取代醫師職能，因此需受FDA監管。是故，醫師之專業能力與人工智慧演算法相互之間具有取代關係，已是現在進行式。惟究竟醫師的判斷有多少是倚靠人工智慧現階段尚無法取得量化證據，或需數年時間透過實證研究方能研判。往後，醫療軟體廠商與醫師之責任該如何區分，將會是一大難題。 肆、結語 隨著醫療大數據分析與人工智慧技術的發展，傳統認知上的醫療器材定義已隨之改變。雖然硬體設備仍然在診斷、治療與照護上扮演極為重要的角色，但軟體技術的進步正在重新改寫現代醫療服務執行以及管理模式。這些新產品及服務為醫療器材市場帶來活水，但同時也形成新的監管議題而必須採取適當的調整措施。美國FDA針對近年來呈爆炸性發展的醫療軟體產業不斷調整或制定新的監管框架，以兼顧使用者安全與新技術開展，並於2016年通過了極具改革意義的《21世紀治癒法》，且以此法修正了《聯邦食品藥物化妝品法》。 然而，新法實施後，關於個別醫用軟體是否納為不受FDA監管的醫療器材仍有法律認定上的灰色空間。舉例而言，倍受矚目的以人工智慧為核心技術的CDS軟體，在新法框架下似乎可能存在於監管紅線的兩側。根據新修正之《聯邦食品藥物化妝品法》，一CDS軟體是否屬於醫療器材軟體，關鍵在於醫師能否「獨立審查」從而「非主要依賴」軟體所提供之臨床建議。也由於此要件概念較為模糊，FDA後續在2017年發布《臨床與病患決策支持軟體指南草案》為此提供進一步解釋，然而仍無法妥適處理人工智慧機器學習技術所導致的演算法「該如何理解？」、「透明度該如何認定？」等問題。更甚者，從整體醫療服務體系納入人工智慧協助臨床決策診斷之趨勢觀之，未來醫療專業人員的獨立判斷是否會逐漸被演算法取代？未來人工智慧軟體與醫療專業人員之責任該如何區分？都是醞釀當中的重要議題，值得持續關注。 [1] 21 U.S. Code §360j [2] FD&C Act Sec. 520(o)(1)(A) [3] FD&C Act Sec. 520(o)(1)(B) [4] FD&C Act Sec. 520(o)(1)(C) [5] FD&C Act Sec. 520(o)(1)(D) [6] FD&C Act Sec. 520(o)(1)(E) [7] FD&C Act Sec. 520(o)(1)(E)(i) [8] FD&C Act Sec. 520(o)(1)(E)(ii) [9] FD&C Act Sec. 520(o)(1)(E)(iii) [10] “Enabling such health care professionals to independently review the bases for such recommendations that such software presents so that it is not the intent that such health care professional rely primary on any of such recommendations to make clinical diagnosis or treatment decisions regarding individual patient.” FD&C Act, Sec. 520(O)(1)(E)(iii) [11] FOOD AND DRUG ADMINISTRATION[FDA], Clinical and Patient Decision Support Software-Draft Guidance for Industry and Food and Drug Administration (2017), .at 8 https://www.fda.gov/downloads/medicaldevices/deviceregulationandguidance/guidancedocuments/ucm587819.pdf (last visited Sep. 21, 2018) [12] 原文為 “The sources supporting the recommendation or underlying the rationale for the recommendation should be identified and easily accessible to the intended user, understandable by the intended user (e.g., data points whose meaning is well understood by the intended user), and publicly available (e.g., clinical practice guidelines, published literature)”, id, at 8 [13] FOOD AND DRUG ADMINISTRATION[FDA], supra note 11 [14]FOOD AND DRUG ADMINISTRATION[FDA], supra note 11 [15] 21th Century Cures Act, Sec. 3060(b) [16] Barbara J. Evans & Pilar Ossorio, The Challenge of Regulating Clinical Decision Support Software after 21st Century Cures. AMERICAN JOURNAL OF LAW AND MEDICINE (2018), https://papers.ssrn.com/sol3/Delivery.cfm/SSRN_ID3142822_code1078988.pdf?abstractid=3142822&mirid=1 (last visited Sep. 21, 2018) [17] Id. [18] Gail H. Javitt & J.D., M.P.H., ANESTHESIOLOGY, Regulatory Landscape for Clinical Decision Support Technology (2018), http://anesthesiology.pubs.asahq.org/article.aspx?articleid=2669863 (last visited Sep. 21, 2018) [19] REGULATIONS.GOV, Clinical and Patient Decision Support Software; Draft Guidance for Industry and Food and Drug Administration Staff; Availability(Dec. 8, 2017) https://www.regulations.gov/docketBrowser?rpp=25&po=0&dct=PS&D=FDA-2017-D-6569&refD=FDA-2017-D-6569-0001 (last visited Sep. 25, 2018)