澳洲發布「數位健康2018-2019年報」針對「我的健康紀錄系統」提出檢討及建議

  澳洲隱私保護辦公室(Office of the Australian Information Commissioner, OAIC)於2019年11月發布「2018-2019年數位健康年報」,其中針對「我的健康紀錄系統」(My Health Record System)日前發生資料外洩事件提出檢討及隱私建議。

  「我的健康紀錄系統」於2012年開始由澳洲數位健康局(Australian Digital Health Agency)負責維運,所有健康報告以電子形式通過網站存檔或讀取,包括處方藥紀錄、醫生診療記錄、影像檢查以及其它測試紀錄等,所有資訊將置於網路並授權醫療專業人員,例如醫生、藥劑師、醫院工作人員和專職醫療人員(例如護士或物理治療師),均可登錄查詢。

  「我的健康紀錄系統」原先以民眾自願選擇加入模式運作,以選擇性線上註冊方式概括同意健康資料存取。隨後為促進醫療產業發展,澳洲政府宣布「我的健康紀錄系統」全國適用並提供退出機制至2019年1月31日。而2018年澳洲修訂「我的健康紀錄法」(My Health Records Act 2012)強化個人資料管理相關規範,例如:提供永久刪除權、不得適用於保險目的、違反關鍵隱私保護而增加民事和刑事處罰等。

  「2018-2019年數位健康年報」指出,隨著「我的健康紀錄系統」於2019年2月從選擇性註冊模式變為退出模式,關於隱私疑慮的查詢和投訴大幅增加。2018年至2019年OAIC收到57件投訴案,OAIC更對數位醫療產業中的受監管企業進行隱私評估,包括私人醫院、藥房等。為解決民眾疑慮,「我的健康紀錄法」修訂賦予永久刪除權,使投訴數量開始遞減,OAIC亦為醫療服務提供者發布有關保護患者個人健康資料相關指引,並與衛生部門組織合作,促進良好的隱私保護觀念,以增進健康服務提供者對預防和應對資料外洩的理解。

相關連結
你可能會想參加
※ 澳洲發布「數位健康2018-2019年報」針對「我的健康紀錄系統」提出檢討及建議, 資訊工業策進會科技法律研究所, https://stli.iii.org.tw/article-detail.aspx?d=8357&no=57&tp=1 (最後瀏覽日:2026/04/30)
引註此篇文章
你可能還會想看
美國NSF研究基金申請之利益衝突管理機制簡介

美國NSF研究基金申請之利益衝突管理機制簡介 財團法人資訊工業策進會科技法律研究所 法律研究員 吳建興 106年07月17日 壹、事件摘要   國家科研計畫投入大量資金研發,旨在產出符合一定品質之研究成果,而無論其研究成功與否,需具備研究成果之客觀中立性[1]。為達成此目的,研究計畫申請時(含產學研究計畫),申請研究單位需已建立財務利益衝突管理機制,確保其研究人員能避免因其自身財務利益,而影響國家科研計畫所資助之研究客觀成果。以美國National Science Foundation Awards(以下簡稱:NSF)研究基金為例,NSF要求申請機關就其執行研究人員需揭露重大財務利益,並具備相關〈利益衝突管理機制〉[2]。以下將根據the NSF Proposal & Award Policies & Procedures Guide[3] (以下簡稱:PAPPG)簡介此機制內容及運作方式。 貳、NSF研究基金下財務利益衝突管理機制之特色 一、機制首重事前(Ex ante)揭露、審查及管理   美國NSF研究基金之機制,首重利益衝突管理,除非有不能管理之利益衝突存在,否則不會影響研究基金之申請。申請單位於NSF研究基金申請前即需管理利益衝突,主要參與研究計畫之人員,需事前揭露重大財務利益,並由申請機關審查有否利益衝突存在,若認定有財務利益衝突時,需提出管理利益衝突方法。 二、執行計畫研究人員需受利益衝突教育訓練義務。   NSF研究基金依據聯邦法規[4]規定,要求申請NSF研究基金之研究機關需在其計畫書中載明單位如何使參與研究人員接受教育訓練,明瞭何謂負責之研究行為(Responsible Conduct of Research:簡稱RCR),亦即如何避免研究上發生重大財務利益衝突行為。 三、重大財務利益[5]揭露需超越一定門檻   程序上需定義何為需揭露之重大財務利益,包括揭露主體、時機及揭露關係人範圍,以下分述之。   揭露主體:符合聯邦基金計畫下定義之主要研究計畫主持人(All Principal Investigators, Project Directors,Co- Principal Investigators)或其他負責研究計畫之設計、執行及報告之研究人員[6]。皆有填寫一份NSF財務揭露表單之義務。   揭露時機:於提出研究計畫書予NSF研究基金時,相關研究計畫主持人即需提交所需財務揭露表,而於執行計畫期間,研究計畫主持人或其配偶及同居人及未成年子女,仍有揭露新重大財務利益之義務[7]。   揭露關係人範圍:前揭揭露主體之配偶及同居人及未成年子女之所有超過美金一萬元之重大財務利益或持有受研究計畫影響公司之所有權利益超過百分之五皆須申報揭露。   NSF研究基金下所謂之重大財務利益概念係指[8]: 研究主持人及其配偶或未成年子女接受任何超過美金一萬元之合理市價股權利益(equity interest)(含股票、證券、其它所有權利益other ownership interests)或持有任何公司超過5%之所有權利益[9]。 研究主持人及其配偶或未成年子女,於申請前一年內從公司接受任何總計超過美金一萬元之薪資、智財權收入(含權利金)及其他收入[10]。 四、專人審查利益揭露及利益衝突需具備直接及重大性   NSF研究基金規定申請機關得指派一人或多人審查財務揭露[11]並認定是否存在利益衝突,審查型式可以委員會型式[12]呈現或由研究機關指派大學內院長等專人為之,無硬性規定。 關於如何認定重大財務利益衝突存在,NSF研究基金規定若審查人合理認定重大財務利益(SFI)可直接(Directly)或重大(Significantly)影響由NSF所資助研究計畫之設計、執行及報告時,即可認為存在利益衝突[13]。 五、利益衝突管理措施具多樣性,非只有當事人迴避一途   當審查人認定有利益衝突存在,審查人可決定採取限制措施或條件,以管理、降低及移除利益衝突[14]。其可能採取管理措施計包括但不限於:對公眾揭露重大財務利益、獨立審查人控管研究計畫、更改研究計畫、斷絕產生利益衝突關係、脫離重大財務利益及不參與研究計畫[15]。 參、事件評析 (一)美國NSF研究基金制度於有利益衝突時首重衝突管理,而目前臺灣科研計畫無所謂管理利益衝突概念,而採事前一律迴避義務[16]。   我國在研究計畫申請時就已採當然迴避規定,並要求計畫主持人及共同人主持人填寫利益迴避聲明書[17],但就研究執行期間發生利益衝突情況之處理方式並無規定[18]。   以今年2017科技基本法修法通過後為例,其立法意旨雖明確指出擬規範技術移轉的利益迴避,〈讓科研過程更加透明,以避免學研機構及人員在技轉時不慎踩線違法〉[19],然而此利益迴避機制仍是針對研發成果管理後端之技轉過程為利益迴避審查,尚未導入研發階段之利益衝突管理機制。目前子法的修訂仍正在進行中,且公布草案中有要求執行研究發展單位於其研發成果管理機制,建立技術移轉的〈利益迴避管理機制〉,惟對於研發前端的〈利益衝突管理機制〉仍未如NSF基金有一樣之制度建立[20]。 (二)目前臺灣對前端科研計畫之申請並無要求執行機關需對參與研究人員有財務利益衝突認識之教育與訓練   雖就目前科研計畫申請無要求,然在今年2017科技基本法修正後,在其子法預計要求執行研究發展單位需導入針對研發後端之技術移轉時所涉及利益迴避為教育訓練[21]。 (三)臺灣科研研究計畫申請前,仍需在研究前端導入利益衝突管理機制,目前修法僅預計在觸及技轉新創公司時,在研究成果管理機制中新增〈利益迴避管理機制〉,是從研究成果後端導入機制。   近年來,產學合作研究增加研究機關與產業之互動,然而此互動關係也漸趨複雜。為不影響產學研究成果之科學上之客觀性,研究計畫之財務利益衝突管理也需為適時調整。惟有加強此產學合作關係上透明性,確保利益衝突規範之遵行,且加強執行單位之自我監控,做好利益衝突管理及主責機關之監督,方可避免因日漸複雜的產學合作關係,使得其合作成果受到質疑[22]。若申請單位本身能提出財務利益衝突管理方法,落實預防性保護措施,自能保證研究成果之客觀性。   為達前述科研成果之客觀性,此利益衝突管理之導入時機,需在研發前端為之,也就是在研發申請前,執行研究發展單位就需為利益衝突管理。   臺灣似可參考NSF研究基金作法,由於其出自另一種思維,除消極防弊外,更積極將重大財務利益事前發現及揭露,並於揭露後判斷是否會直接及重大影響研究成果,若為肯定,則採行適當管理措施以減輕,消弭或管理利益衝突,達到研究成果客觀性目的。此項利益衝突管理思維,可為如何思考改進現行我國在研發計畫申請時只採當然迴避機制為參考。 [1]指科研計畫不受研究人員利益衝突而影響研究成果之科學上真實性。 [2] 本文用〈利益衝突管理機制〉文字來指稱NSF基金所設立之模式,在認定有重大利益衝突時,需採取一定措施來管理、減輕及移除利益衝突,迴避只是其中一種管理手段,與另一種〈利益迴避管理機制〉模式有所不同,該機制雖有利益揭露,及專人審查,然其審查結果只導向當事人需不需迴避之結果,無採取其他管理措施可言。 [3] Proposal & Award Policies & Procedures Guide, National Scence Foundation,https://www.nsf.gov/pubs/policydocs/pappg17_1/sigchanges.jsp (Last visited, June 14, 2017) [4]其法源依據為:Section 7009 of the America Creating Opportunities to Meaningfully Promote Excellence in Technology, Education, and Science (COMPETES) Act (42 USC 1862o–1) [5] Significant Financial Interest:以下簡稱SFI [6]A. Conflict of Interest Policies, 2., PAPPG, https://www.nsf.gov/pubs/policydocs/pappg17_1/pappg_9.jsp (Last visited, June 14, 2017) [7] 參NSF之財務揭露表 [8] 原文請參照:‘The term "significant financial interest" means anything of monetary value, including, but not limited to, salary or other payments for services (e.g., consulting fees or honoraria); equity interest (e.g., stocks, stock options or other ownership interests); and intellectual property rights (e.g., patents, copyrights and royalties from such rights).’. 參A. Conflict of Interest Policies, 2., PAPPG, https://www.nsf.gov/pubs/policydocs/pappg17_1/pappg_9.jsp (Last visited, June 14, 2017) [9]原文請參照:‘A.2.e. an equity interest that, when aggregated for the investigator and the investigator’s spouse and dependent children, meets both of the following tests: does not exceed $10,000 in value as determined through reference to public prices or other reasonable measures of fair market value, and does not represent more than a 5% ownership interest in any single entity;’由此段文字反推而出。 https://www.nsf.gov/pubs/policydocs/pappg17_1/pappg_9.jsp (Last visited, June 14, 2017) [10]原文請參照:‘A.2.f. salary, royalties or other payments that, when aggregated for the investigator and the investigator’s spouse and dependent children, are not expected to exceed $10,000 during the prior twelve-month period.’由此段文字反推而出。 https://www.nsf.gov/pubs/policydocs/pappg17_1/pappg_9.jsp (Last visited, June 14, 2017) [11] A. Conflict of Interest Policies, 4. PAPPG, https://www.nsf.gov/pubs/policydocs/pappg17_1/pappg_9.jsp (Last visited, June 14, 2017) [12] 加州柏克萊大學設有利益衝突委員會而史丹佛大學則由學院長指定專人審查。 [13] 原文為:‘‘A conflict of interest exists when the reviewer(s) reasonably determines that a significant financial interest could directly and significantly affect the design, conduct, or reporting of NSF-funded research or educational activities.’’ A. Conflict of Interest Policies, 4. supra note 6.(黑體字為本文所強調) [14]原文為:‘‘4.An organizational policy must designate one or more persons to review financial disclosures, determine whether a conflict of interest exists, and determine what conditions or restrictions, if any, should be imposed by the organization to manage, reduce or eliminate such conflict of interest.’’ A. Conflict of Interest Policies, 4. supra note 6. (黑體字為本文所強調) [15] A. Conflict of Interest Policies, 4. supra note 6. [16]參科技部補助產學合作研究計畫作業要點第一章通則之六、(迴避規定)以下。 [17]參科技部補助產學合作研究計畫書第三頁,https://www.most.gov.tw/folksonomy/list?menu_id=4dda1fd8-2aa9-412a-889b-9d34b50b6ccd&l=ch(最後瀏覽日:2017/06/14) [18] 經查科技部補助產學合作研究計畫作業要點無相關規定。 [19] 黃麗芸,〈科技基本法三讀,行政教職可兼新創董事〉,中央社,2017/05/26,https://finance.technews.tw/2017/05/26/administrative-staff-can-be-start-up-company-director/ (最後瀏覽日:2017/07/17) [20]請參照科技部公告〈政府科學技術研究發展成果歸屬及運用辦法部分條文修正草案對照表〉內修正條文第五條第三項之四、利益迴避、資訊揭露管理:受理資訊申報、審議利益迴避、公告揭露資訊 等程序,並落實人員、文件及資訊等保密措施。及修正條文第五條之一及修正條文第五條之二等相關條文。 https://www.most.gov.tw/most/attachments/61706f66-80b1-4812-9d6a-3fb140ab21f9 (最後瀏覽日:2017/07/17) (粗體字為本文強調所加)。 [21]請參照科技部公告〈從事研究人員兼職與技術作價投資事業管理辦法部分條文修正草案對照表〉內修正條文第七條學研機構應就依本辦法之兼職或技術作價投資設置管理單位,訂定迴避及資訊公開之管理機制,包括設置審議委員會、適用範圍、應公開揭露或申報事項、審議基準及作業程序、違反應遵行事項之處置、通報程序及教育訓練等。https://www.most.gov.tw/most/attachments/db227464-b0f8-4237-ae7c-d6eb712ff3f7 (最後瀏覽日:2017/07/17)(黑體字為本文強調所加)。 [22] 參美國聯邦衛生部(HHS)於2011年修改旗下PHS之研究基金申請規則之背景說明(42 CFR part 50, subpart F and 45 CFR part 94 (the 1995 regulations), that are designed to promote objectivity in PHSfunded research.)。Responsibility of Applicants for Promoting Objectivity in Research for Which Public Health Service Funding Is Sought and Responsible Prospective Contractors, 76 Fed. Reg.53,256,53,256(Aug. 25, 2011)(to be codified at 42 CFR Part 50 and 45 CFR Part 94).

加州消費者隱私保護法修正法案重點說明

  隨著個人資料保護意識的興起,各國也持續增修法律來保護人民權益以及協調產業標準,但這變動的過程會對本來就複雜的法律結構帶來更多挑戰。   如美國同時會有聯邦法與州法兩個層次的法律,當兩者分別發展隱私權相關法律規範時,難免會缺乏協調,出現定義不明的重疊規範,進而提高企業之法令遵循成本與管理成本。最終導致的結果,就是非必要地降低了產業發展速度,以及提高了消費者獲得服務的成本。   日前美國加州政府修改了首部以消費者個人資料權利為規範之州級法律「加州消費者隱私保護法(California Consumer Privacy Act, CCPA)」,使該部法案對於個人資料保護與利用之規範日漸完備,並減少與聯邦政府重複管轄項目,進而達到合理降低州內企業的遵法成本。美國加州州長紐松(Gavin Newsom)簽署的CCPA修正案「AB-713號法案」(Assembly Bill No. 713, an act to amend Sections 1798.130 and 1798.145 of the Civil Code )通過後,CCPA之適用範圍將限縮。若「同時符合」下列二者條件,則可免受CCPA規範: 受「加州醫療資訊保密法」(the California’s Confidentiality of Medical Information Act, CMIA)所規範的的醫療資訊及個人健康資訊之衍生資訊,或受「美國聯邦受試者保護通則」(Federal Common Rule for human research subjects) 所規範的可識別之個人資訊。 根據「健康保險可攜性及責任法」(Health Insurance Portability and Accountability Act, HIPPA)之標準,已去識別化的資訊。   換言之,已經依HIPAA標準去識別化之第一點資訊,即可豁免CCPA針對個人資料保護之相關規定。此將減輕本身不受 HIPAA 規範,但因進行研究或業務目的需接收 HIPPA 去識別化資訊企業之合規負擔。   「AB-713號法案」對於已去識別化資訊之利用或販售行為,增設了契約須載明下列規範架構之條款內容: 如有利用或販售去識別化資訊涉及病患資料者,須在契約中予以聲明。 禁止買受人或被授權利用人以任何方式重新識別去識別化資訊。 除法律另有規定,或第三方受到相同或更嚴格限制之個資保護約束,買受人或被授權利用人不得將去識別化資訊再行揭露予第三方。   「AB-713號法案」亦要求進行CCPA所涵蓋販售或揭露去識別化病患資訊的企業,其隱私政策聲明應納入以下內容: 將出售或揭露去識別化病患之資訊; 採用HIPAA所允許如專家法(Expert determination)或安全港法(Safe harbor)等之何種方式,進行病患資訊之去識別化。   整體來說,「AB-713號法案」讓CCPA的規範稍加鬆綁,明確排除CCPA對特定去識別化資訊之適用,並擴張對研究行為之豁免範圍,在處理上有更多彈性,惟同時也要求企業須充分揭露其個人資料處理原則。

澳洲通過新修正之隱私法,大幅提高罰責以期遏止個資事故

  澳洲司法部長Mark Dreyfus於2022年10月26日提出聯邦《2022年隱私法修正案(執法及其他措施)》(Privacy Legislation Amendment (Enforcement and Other Measures) Bill 2022 (Cth) ),並於11月28日正式通過,顯示澳洲政府對於近期多起大型個資事故的重視,以及民眾對於個資保護之公民意識逐漸成熟。   近期澳洲發生之兩起大規模個資事故,其一為9月底澳洲第二大電信業者Optus表示受到網路攻擊,約有1,000萬人(約占澳洲人口40%)的個資遭到外洩,除了姓名、性別、生日等資料之外也包括用戶的住址、駕照和護照號碼等;無獨有偶,於十月底澳洲最大的私人健康保險公司Medibank亦公開聲明發生200GB的資料遭到竊取的個資事故,被竊資料中有大約970萬名現在或過去客戶的姓名、出生日期、地址、電話號碼和電子郵件地址等資料,因為此兩起大型個資事故的發生,促使澳洲政府不得不予以重視,在極短時間內通過新法修正。   此次修正案修改1988年《隱私法》(Privacy Act)、2010年《澳洲資訊委員法》(Australian Information Commissioner Act)和2005年《澳洲通訊及媒體管理局法》(Australian Communications and Media Authority Act 2005),修正重點包含加重裁罰、加強資訊委員執法權限及域外管轄權。   一、加重裁罰之部分,依修正《隱私法》第13G條,當嚴重或反覆侵犯他人隱私事件發生時,若行為人為「非法人」(a person other than a body corporate,即我國法之自然人)時,其由行政機關課予當事人之罰金(civil penalty)上限提高到250萬澳幣(約新台幣5,200萬);若行為人為「法人」(body corporate)時,罰金上限增加到5,000萬澳幣(約新台幣10億)或其所得利益價值的三倍(兩者取其高)。如果法院無法確定利益的數額,則取法人違規期間或事故發生後12個月內(擇其時間較長者)調整型營收(adjusted turnover*)的30%。   二、關於資訊委員執法權限強化部分,其擴大資訊委員與他公私部門間交換及查閱資訊之權限,資訊委員得向嫌疑人進行調查或要求交付相關證據,且賦予資訊委員得不待法院裁判,逕對妨害查辦者課以民事制裁,甚至得將屢次妨害查辦之法人團體之行為定為刑事犯罪。   三、有關域外管轄權部分,原先僅適用於「未在澳洲設立登記,但有在澳洲境內蒐集個資且經營業務」之公司;現刪除「有在澳洲境內蒐集個資」之規定,故未在澳洲登記之公司往後即使未在澳洲境內蒐集個資,若有在澳洲境內經營業務即受有域外效力之管轄,其範圍甚至將比歐盟GDPR之域外管轄權更為寬廣。   至於提高裁罰金額能否提升資安及個資保護之效益仍有待商榷,惟提高罰鍰額度應能使持有個資業者採行較高之資料保護安全措施等級。我國近期亦發生2,300萬筆民眾戶政資料外洩事件,依我國《個人資料保護法》規定,個資事故發生時,若被害人不易或不能證明其實際損害額時,法院依侵害情節,以每人每一事件500以上至2萬元以下計算財產損害。且同一原因事實造成的事件,原則上其賠償最高總額以2億元為限。若我國將來修法適當調整金額,相信有望遏止類似事故不斷發生。   *調整型營收(adjusted turnover):指公司(及相關企業)在違規期間內營業額扣除應調整之稅額例外項目後,所有商品及服務價值的總和。

日本發布新版之農業資料利用推動報告,並透過資料交換及利用機制確保資料共享及協作

日本農林水產省於2025年9月在智慧農業網站上發布新版之農業資料利用推動(下稱報告),其內容包含2025年通過閣議決定之食材、農業、農村基本計畫,並指出為確保農業數位資料與人工智慧(下稱AI)之間的串聯應用,農業資料合作基礎平台(下稱WAGRI)的建立與資料協作、共有、提供功能是其不可或缺的要素。 報告指出,透過各式農業數位資料的蒐集與整合,諸如過往作物收成量資料、市場價格資料、土壤資料、農地資料、氣象資料等,並經過統合及分析後,可以達到提升作業效率及收益、減少勞動作業時間與器材損耗,以及降低環境負荷之效果。截至2025年9月為止,WAGRI網站上已提供高達223種農業數位資料相關的API,供農業領域從業者介接運用,並作為未來開發農業領域基礎AI模型的前置準備。 此外,報告亦指出WAGRI已於日本全國範圍內蒐集大量的農業數位資料,用以開發農業領域之基礎AI模型,並預計於2026年在WAGRI網站上提供基礎AI模型服務。未來農業領域從業者可透過WAGRI網站提供之基礎AI模型服務,輔以自身之農業數位資料,建立符合自身農業場域特性之特化型AI模型。 然而,報告亦指出不論是農業數位資料的API介接運用,還是將農業數位資料用以開發基礎AI模型,農業數位資料之法制配套仍需整備。因此,除了資料權屬等關係釐清外,報告特別提出於AI開發應用、資料共享之模式下,尚須建立「涵蓋資料整體生命週期之資料交換及利用機制」,包含資料對外公開之選擇權、資料提供之事前同意權、資料安全管理對策,以及資料刪除請求權等範圍,以確保農業數位資料在利用前的安心共享與協作。 我國政府如欲於農業領域發展基本AI模型,除應於全國範圍內蒐集大量之農業領域數位資料外,亦應建立串聯資料整體生命週期之資料交換及利用機制,以降低農業數位資料之間的協作風險。 本文為資策會科法所創智中心完成之著作,非經同意或授權,不得為轉載、公開播送、公開傳輸、改作或重製等利用行為。 本文同步刊登於TIPS網站(https://www.tips.org.tw)

TOP