德國聯邦資料保護暨資訊自由官聲明病人資料保護法恐違反GDPR
德國聯邦資料保護暨資訊自由官（Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit,BfDI）Ulrich Kelber教授於2020年8月19日指出，2020年7月3日甫由德國議會通過的病人資料保護法（Gesetz zum Schutz elektronischer Patientendaten in der Telematikinfrastruktur; Patientendaten- Schutzgesetz, PDSG），恐違反歐盟一般資料保護規則（GDPR）。
該法規定自2021年起，健康保險業者必須向被保險人（病人），提供電子病歷（ePA）。而自2022年起，病人有權要求醫生將病人相關資料記錄於電子病歷，包括健檢結果、醫學報告或X光片、預防接種卡、孕婦手冊、兒童體檢手冊、牙科保健手冊等，而被保險人更換健康保險業者時，可要求移轉其電子病歷至新的健保公司。另外，2021年起將可透過手機，下載電子處方並至藥局領取處方藥。2022年1月1日起，將全面強制使用電子處方，病人將可透過智慧手機或平板電腦，決定他人對於電子病歷之近用權限。病人若無手機，可至健保公司查看電子病歷。依照規劃，目前電子病歷的使用仍採自願性。病人可決定保存或刪除哪些資料，以及誰可以近用該文件。自2023年起，被保險人可自願提供電子病歷資料作為研究用途，而因上述研究可處理病人資料之醫師、診所和藥劑師等，有義務確保其資料安全。
BfDI於立法過程中多次強調，在導入電子病歷使用時，病人必須可完全控制自己的資料。而該法規範僅提供病人使用部分設備，例如智慧手機或平板電腦，設定其電子病歷之存取權限，此意謂著將有一段空窗期，病人無法決定其電子病歷中各文件之存取權限。而對於電子病歷中，可否僅開放部分資料供瀏覽或存取，亦受到聯邦資料保護暨資訊自由官質疑。另外，對於無法或不想在手機或平板電腦上使用上述功能的人，本法並未進一步規定，亦即2022年起，上述病人為了能夠檢查或接受醫療，必須強迫病人控制其相關資料，但目前顯然尚缺乏相關配套。此外，以資料保護角度而言，目前電子病歷之認證程序有安全疑慮，尤其是未使用電子健康卡的替代驗證程序尚不夠嚴謹，因此命令相關單位應於2021年5月前完成改善。
電子病歷是對醫療保健改善的重要一步，因此相關健康資料保護需要符合GDPR規範水平。電子病歷雖已逐漸受到認可與重視，惟當前病人資料保護法恐無法完全保護病人資料安全。因此，BfDI將透過監管手段，確保健康保險公司不會因提供電子病歷而違反GDPR。
本文為「經濟部產業技術司科技專案成果」
- 零售業個資安全宣導暨安全維護計畫規劃說明會
- 數位經濟時代的隱私保護與商機－CBPR跨境隱私規則體系解析
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(實體)
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(直播)
- 零售業個資安全宣導暨安全維護計畫說明會（高雄場）
- 零售業個資安全宣導暨安全維護計畫說明會（台中場）
- 【台北場1】通訊傳播事業個資法遵教育訓練
- 【台中場】通訊傳播事業個資法遵教育訓練
- 【新北場】通訊傳播事業個資法遵教育訓練
- 【高雄場】通訊傳播事業個資法遵教育訓練
- 【台北場2】通訊傳播事業個資法遵教育訓練
- 零售業個資法遵實務與資訊安全說明會
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 零售業個資法遵實務與資訊安全說明會（台中場）
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
潘俊良
法律研究員 編譯整理
洪政緯，〈德國2015年12月3日通過數位健康法(e-Health Gesetz)〉，資策會科法所法律要聞，https://stli.iii.org.tw/article-detail.aspx?tp=1&i=40&d=7105&no=64 （最後瀏覽日：2020/09/23）。
美國專利商標局（United States Patent and Trademark Office, USPTO）最近宣布將運用同儕檢視的概念，啟動名為”Peer Review Pilot”的軟體專利檢視先導計畫（以下簡稱PRP），該計畫並將與紐約大學進行中的專利共同檢視計畫（Community Patent Review Project (CPRP)）合作，以確保軟體專利的品質。 CPRP乃是由紐約大學法學院設置及管理的網站，該網站允許技術專家進一步予以檢視並提供相關資訊的機會，希望專利申請案在經過同儕檢視後，才進一步送交官方審查，藉此縮減審查程序的時間；而UPSTO的PRP也有類似的運作概念，PRP計畫在USPTO開始進行官方的專利審查工作之前，提供ICT領域的技術專家一個針對專利申請書專的權利主張，提出技術之參考註解（annotated technical references）的機會。 USPTO指出，專利審查官員唯有在資訊充分的前提下，才能做出正確的決定，考量專利審查官員必須在有限的時間內找出正確的訊息以對個別案件做出決定，而軟體相關技術的來源碼又不容易取得，也沒有完整的紀錄可供查詢，因此USPTO大膽採用同儕檢視的方法，期能藉此改善軟體專利的審查時間與品質。
歐洲資料保護監管機關研議提出「智慧電表系統發展準備建議」研究報告歐洲資料保護監管機關（European Data Protection Supervisor,以下簡稱EDPS）是一個獨立的監督機關，其任務主要在於監督歐盟個人資料的管理程序、提供影響隱私的政策及法制建議、與其他類似機關合作以確保資料的保護。 EDPS於今（2012）年6月8日，針對歐盟執委會於今（2012）年3月9日發布的「智慧電表系統發展準備建議」（Recommendation on preparations for the roll-out of smart metering systems,以下簡稱準備建議）提出相關意見。「智慧電表系統發展準備建議」乃係針對智慧電表部署之資料安全保護及經濟成本效益評估，提出發展準備建議，供會員國於進行相關建置及制定規範時之參考。然EDPS指出，執委會對於智慧電表中個人資料保護的重視雖值得肯定，但並未在準備建議中提供更具體、全面且實用的指導原則。智慧電表系統雖能帶來顯著的利益，但造成個人資料的大量蒐集，可能導致隱私的外洩，或相關數據遭使用於其他目的。 有鑑於相關風險，EDPS認為在準備建議中，應更加強其資料保護的安全措施，至少應包含對資料控制者在處理個人資料保護評估時有強制的要求；此外，是否有必要進行歐盟層級的立法行動亦應予以評估。EDPS提出的意見主要包括：（1）應提出更多有關選擇資料當事人及處理相關資料的法律依據，例如電表讀取的頻率、是否需取得資料當事人同意；（2）應強制「提升隱私保護技術」（privacy-enhancing technologies）的適用，以限縮資料的使用；（3）從資料保護的角度來釐清參與者的責任；（4）關於保存期間的相關原則，例如對於家戶詳細消費資訊的儲存期間、或在針對帳單處理的情形；（5）消費者能直接近取其能源使用數據，提供有效的方式使資料當事人知悉其資料的處理及揭露，提供有關遠端遙控開關之功能等訊息。
美國司法部針對與集管團體的著作權合意判決提出修正解釋美國司法部於今年六月底，就1941年實施至今，與「美國詞曲作者及出版商協會」(American Society of Composers, Authors and Publishers，ASCAP)及「廣播音樂公司」(Broadcast Music Incorporated，BMI)間的合意判決(Consent Decree)，提出了新的解釋。司法部認為，在維護市場自由競爭的價值下，應該允許部分詞曲著作人授予全部的歌曲權利給單一集管團體。 在當今閱聽大眾習慣變化快速的年代，閱聽服務種類多元，使用人很有可能因難以取得全部歌曲權利而陷入侵權風險。司法部此舉可增進使用者授權便利性與完整性。 然而，新的解釋引來正反兩面不同的評價，部分數位音樂業者（如Pandora Media, Inc）認為，如此可提升消費者享受服務的便利性，亦可避免大型集管團體的壟斷與對於音樂授權市場的價格控制。反對聲浪則表示，如果單一權利人可授權全部的音樂著作權利給個別集管團體，會增加授權複雜程度，亦將造成集管團體彼此間授權費用分攤上的困擾；並且，大型音樂出版業者（如SONY/ATV）很有可能撤回對於集管團體的概括授權，這對於消費者來說無異是增加了取得授權的困難度，只是將壟斷力量由集管團體轉移至服務提供業者本身而已。亦有論者指出在授權透明機制建立以前，過度自由的授權模式將增加整個音樂視聽產業的內部管制負擔。 我國對於集管團體與音樂服務業者間關係，恐亦存在市場力量不均衡的問題，政府或應思考如何於「授權市場的公平競爭」、「社會大眾的閱聽權利」，以及「音樂產業的發展方向」三者之取，取得政府、人民與產業三贏的結果。 「本文同步刊登於TIPS網站（https://www.tips.org.tw）」
美國國家標準與技術研究院公布人工智慧風險管理框架（AI RMF 1.0）美國國家標準與技術研究院（National Institute of Standards and Technology, NIST）於2023年1月26日公布「人工智慧風險管理框架1.0」（Artificial Intelligence Risk Management Framework, AI RMF 1.0），該自願性框架提供相關資源，以協助組織與個人管理人工智慧風險，並促進可信賴的人工智慧（Trustworthy AI）之設計、開發與使用。NIST曾於2021年7月29日提出「人工智慧風險管理框架」草案進行公眾徵詢，獲得業界之建議包含框架應有明確之衡量方法以及數值指標、人工智慧系統設計時應先思考整體系統之假設於真實世界中運作時，是否會產生公平性或誤差的問題等。本框架將隨著各界使用後的意見回饋持續更新，期待各產業發展出適合自己的使用方式。 本框架首先說明人工智慧技術的風險與其他科技的差異，定義人工智慧與可信賴的人工智慧，並指出設計該自願性框架的目的。再來，其分析人工智慧風險管理的困難，並用人工智慧的生命週期定義出風險管理相關人員（AI actors）。本框架提供七種評估人工智慧系統之信賴度的特徵，包含有效且可靠（valid and reliable）：有客觀證據證明人工智慧系統的有效性與系統穩定度；安全性（safe）：包含生命、健康、財產、環境安全，且應依照安全風險種類決定管理上的優先次序；資安與韌性（secure and resilient）；可歸責與資訊透明度（accountable and transparent）；可解釋性與可詮譯性（explainable and interpretable）；隱私保護（privacy-enhanced）；公平性—有害偏見管理（fair – with harmful bias managed）。 本框架亦提出人工智慧風險管理框架核心（AI RMF Core）概念，包含四項主要功能：治理、映射（mapping）、量測與管理。其中，治理功能為一切的基礎，負責孕育風險管理文化。各項功能皆有具體項目與子項目，並對應特定行動和結果產出。NIST同時公布「人工智慧風險管理框架教戰手冊」（AI RMF Playbook），提供實際做法之建議，並鼓勵業界分享其具體成果供他人參考。