德國聯邦資料保護暨資訊自由官聲明病人資料保護法恐違反GDPR
德國聯邦資料保護暨資訊自由官（Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit,BfDI）Ulrich Kelber教授於2020年8月19日指出，2020年7月3日甫由德國議會通過的病人資料保護法（Gesetz zum Schutz elektronischer Patientendaten in der Telematikinfrastruktur; Patientendaten- Schutzgesetz, PDSG），恐違反歐盟一般資料保護規則（GDPR）。
該法規定自2021年起，健康保險業者必須向被保險人（病人），提供電子病歷（ePA）。而自2022年起，病人有權要求醫生將病人相關資料記錄於電子病歷，包括健檢結果、醫學報告或X光片、預防接種卡、孕婦手冊、兒童體檢手冊、牙科保健手冊等，而被保險人更換健康保險業者時，可要求移轉其電子病歷至新的健保公司。另外，2021年起將可透過手機，下載電子處方並至藥局領取處方藥。2022年1月1日起，將全面強制使用電子處方，病人將可透過智慧手機或平板電腦，決定他人對於電子病歷之近用權限。病人若無手機，可至健保公司查看電子病歷。依照規劃，目前電子病歷的使用仍採自願性。病人可決定保存或刪除哪些資料，以及誰可以近用該文件。自2023年起，被保險人可自願提供電子病歷資料作為研究用途，而因上述研究可處理病人資料之醫師、診所和藥劑師等，有義務確保其資料安全。
BfDI於立法過程中多次強調，在導入電子病歷使用時，病人必須可完全控制自己的資料。而該法規範僅提供病人使用部分設備，例如智慧手機或平板電腦，設定其電子病歷之存取權限，此意謂著將有一段空窗期，病人無法決定其電子病歷中各文件之存取權限。而對於電子病歷中，可否僅開放部分資料供瀏覽或存取，亦受到聯邦資料保護暨資訊自由官質疑。另外，對於無法或不想在手機或平板電腦上使用上述功能的人，本法並未進一步規定，亦即2022年起，上述病人為了能夠檢查或接受醫療，必須強迫病人控制其相關資料，但目前顯然尚缺乏相關配套。此外，以資料保護角度而言，目前電子病歷之認證程序有安全疑慮，尤其是未使用電子健康卡的替代驗證程序尚不夠嚴謹，因此命令相關單位應於2021年5月前完成改善。
電子病歷是對醫療保健改善的重要一步，因此相關健康資料保護需要符合GDPR規範水平。電子病歷雖已逐漸受到認可與重視，惟當前病人資料保護法恐無法完全保護病人資料安全。因此，BfDI將透過監管手段，確保健康保險公司不會因提供電子病歷而違反GDPR。
本文為「經濟部產業技術司科技專案成果」
- 零售業個資安全宣導暨安全維護計畫規劃說明會
- 數位經濟時代的隱私保護與商機－CBPR跨境隱私規則體系解析
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(實體)
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(直播)
- 零售業個資安全宣導暨安全維護計畫說明會（高雄場）
- 零售業個資安全宣導暨安全維護計畫說明會（台中場）
- 【台北場1】通訊傳播事業個資法遵教育訓練
- 【台中場】通訊傳播事業個資法遵教育訓練
- 【新北場】通訊傳播事業個資法遵教育訓練
- 【高雄場】通訊傳播事業個資法遵教育訓練
- 【台北場2】通訊傳播事業個資法遵教育訓練
- 零售業個資法遵實務與資訊安全說明會
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 零售業個資法遵實務與資訊安全說明會（台中場）
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
潘俊良
法律研究員 編譯整理
洪政緯，〈德國2015年12月3日通過數位健康法(e-Health Gesetz)〉，資策會科法所法律要聞，https://stli.iii.org.tw/article-detail.aspx?tp=1&i=40&d=7105&no=64 （最後瀏覽日：2020/09/23）。
美國《國際緊急經濟權力法》（International Emergency Economic Powers Act, 50 U.S.C. §1701-1708，下稱IEEPA）是美國總統針對國際經濟局勢，進行多種經濟交易相關限制之法源依據─只要外來任何威脅造成美國家安全、外交政策或者經濟出現隱憂，美國總統即可按IEEPA依職權調查、管制或限制「任何與特定國家的外國匯兌交易、透過金融機構進行任何涉及該國利益的信貸移轉或支付、輸入或輸出外幣或證券；亦可凍結與特定國家或該國人民有關的財產權」。1979年，卡特總統（Jimmy Carter）援引IEEPA因應伊朗人質危機（Iran Hostage Crisis），係迄今最長時間的經濟制裁（sanction）；2001年的911空襲事件之後，美國國會大幅擴張IEEPA，同時制裁阿富汗（Blocking Property and Prohibiting Transactions with the Taliban）。近期的中美貿易戰中，IEEPA亦扮演重要角色。舉例而言，2019年5月15日，美國總統川普（Donald Trump）即以IEEPA發布〈行政命令：保護資通訊技術及服務之供應鏈〉（Executive Order on Securing the Information and Communications Technology and Services Supply Chain），並於翌日將華為及其遍布26國的68間子公司列入《出口管制規則》（Export Administration Regulations, EAR）之管制名單。 美國憲法起草時，並無談及緊急權力（emergency powers）之概念，所以在過去的兩個世紀，美國總統僅能個案處理（ad hoc）緊急狀況，國會再後續追認。20世紀以降，美國開始出現緊急權力模式─透過國會立法，將原應由國會代表人民行使的權力(delegated powers）授予總統在緊急狀況下直接行使。復有1976年的《國家緊急法》（National Emergencies Act，下稱NEA），而1977年通過的IEEPA即是依NEA為法源所設。當美國總統行使IEEPA，必須遵守NEA：立即向國會發送緊急命令公告，並且將之發布於聯邦公報（Federal Register），總統亦須闡明其發布該緊急命令所援引之法源依據。《國際緊急經濟權力法》中，公權力對於私經濟的介入，則可溯及第一次世界大戰末期的《1917年對敵貿易法》（Trading with the Enemy Act of 1917），當時出現始料未及的經濟動員（economic mobilization）與制裁。
何謂美國專利審查之「Track One程序」？美國專利審查中之所謂「Track One程序」，是指美國在2011年所通過的〈美國發明法〉( Leahy-Smith American Invention Act, AIA)中建立的一套快速審查專利的審查程序。 〈美國發明法〉第11條(h)項中要求，申請人繳交優先審查費用(Prioritized Examination Fee)後，美國專利審查主管機關，美國專利商標局(United States Patent and Trademark Office, USPTO)應提供優先審查服務。因此在Track One程序中，專利申請人僅需要付出4800美元的優先審查費，就可以獲得美國專利商標局的優先審查服務。 在此之前，美國專利商標局也曾經推出過類似的快速審查程序，亦即「加速審查」(Accelerated Examination, AE)程序，但在該加速審查程序中，申請人必須要自行執行對既有技術的檢索，並且提供輔助文件來解釋其請求項在既有技術下之可專利性。而相比之下，申請人在Track One程序中，僅需要負擔4800美金就可以與加速審查程序中相同，在12月內完成審查，且不需要負擔自行檢索技術的義務。也因此在Track One程序推出之後，加速審查程序的申請案件數量也受到影響，日前美國專利商標局即曾經徵詢公眾意見，評估是否仍需保留加速審查之程序。
歐盟執委會呼籲採取更嚴厲的手段解決垃圾郵件問題歐盟執委會（European Commission）日前再次呼籲歐盟各國加強處理公眾線上隱私威脅的問題。歐盟執委會所公佈的一項報告指出，雖然近年來歐盟各國皆有相關措施，例如課予垃圾郵件發布者罰款、有期徒刑等，但各國法令仍有相當大的差異。這項報告也認為，各國相關法律在歐盟電信法的改革之下，應更為明確且一致，並加強跨國合作。 歐盟執委會電信委員Viviane Reding表示，雖然歐洲的反垃圾郵件相關立法已有七年，但大部分的歐盟民眾仍受垃圾郵件影響。根據該報告，歐盟從2002年即已立法禁止發佈垃圾郵件及使用偵察軟體，但目前仍有約65%的民眾飽受垃圾郵件騷擾。 歐盟執委會的報告指出 ： 目前幾乎所有會員國皆已設有相關網站，方便民眾取得垃圾郵件及偵查軟體的資訊或申訴。 在分析來自22國的140個案例後，發現各國所課予的罰款落差懸殊。罰款最高的依序為荷蘭（100萬歐元）、義大利（57萬歐元）及西班牙（3萬歐元 ）；但在羅馬尼亞、愛爾蘭及拉脫維亞等國，罰款的範圍則多在數百至數千歐元之間。 各級政府機關（電信主管機關、資料及消費者保護機關與執法機關等）責任劃分應更為明確，並有相互合作的機制。 垃圾郵件為全球問題，除了在歐洲境內的各國合作外，與世界各國的合作亦為重要。根據調查數據，平均每六封垃圾郵件中，就有一封是由美國境內所發出，因此目前歐盟執委會正與美國協商，討論雙方執行相關保護法規的跨境合作問題。 歐盟各國應分配足夠的資源予國內機關，以利蒐集證據、進行調查及起訴。 由歐盟執委會提出的歐盟電信法改革中，新增一條規定，要求違反各國國內線上隱私法的罰責必須為有效、實際且符合比例。
英國發布《資料主體近用權指引》說明資料近用權法遵重點及實例解析英國資訊委員辦公室（Information Commissioner’s Office, ICO）於2020年10月21日發布《資料主體近用權指引》（Guidance of Right of access），針對資料主體行使資料近用權之請求（Data Subject Access Request, DSAR），受請求之機構應如何進行識別判斷、簡化處理方式，以及特殊例外情況等法遵重點提供指導方針，並進行實例說明解析，以幫助受請求之機構在面臨資料主體之近用權請求時能快速且有效的處理。 英國「個人資料保護法」（The Data Protection Act 2018）依據歐盟「一般資料保護規則」（GDPR）於2018年重新修訂，其中資料近用權更是對於資料主體相當重要的基本權利，進而影響受請求之機構必須了解如何有效率的處理資料近用權之請求，並確實履行其在法規上所要求的保護義務，主要分為三點： 在資料主體確認其資料近用權所欲請求的範圍之前，受請求之機構依法應回覆時限應予以暫停，以利受請求之機構能有更充裕完整的時間釐清及回應資料主體之近用權請求。 為了避免受請求之機構耗費大量時間判斷何謂「明顯過度之請求」（manifestly excessive request），該指引提供相關定義說明及判別標準。 針對「明顯過度之請求」收取處理費用所包含的項目，例如受請求之機構處理請求所增加人力行政成本，在受請求之機構收取處理費用時可將其納入斟酌。