英國取法美國國防先進研發署研發補助機制，提出先進研究發明署法案
英國商業、能源暨產業策略部（Department for Business, Energy and Industrial Strategy, BEIS）於2021年3月2日向英國國會提交「先進研究發明署法案」（The Advanced Research and Invention Agency Bill），作為英國政府設立獨立研究機構「先進研究發明署」（Advanced Research and Invention Agency, ARIA）的法源依據，用以補助高風險、高報酬之前瞻科學與技術研究，將仍處於想像階段的新技術、發現、產品或服務化為現實。
本法案授予ARIA高度的自主性，使ARIA得以招攬世界頂尖的科學家與研究人員，規劃最具前瞻性與發展潛力的研究領域提供研發補助；同時也給予相較於其他研究機構更多容許失敗的彈性，並明確指出失敗是前瞻科學研究必然經歷的過程。ARIA對於研發資金的運用將因而獲得充分的自主性與彈性，包含對於研究計畫提供快速啟動基金與其他獎項做為激勵措施，或是依據研發進展即時決策是否延續或中止。
ARIA取法自美國國防先進研發署（Defense Advanced Research Projects Agency, DARPA），美國DARPA在網際網路、GPS等技術研發上的成就，直到近期支持針對COVID-19的mRNA疫苗及抗體療法從而取得重大進展，在在顯示了DARPA模式的可行性與重大影響力，而其成功的關鍵在於高度的自主性、靈活性以及最少的行政程序障礙，因此法案將允許ARIA不受政府採購相關限制、並免於政府資訊公開的義務，以減少行政程序對於研發進程的影響。但ARIA每年度仍須向國家審計署提供年度會計報告以作為政府對其最低限度的監督手段，除此之外，商業部長將有權中止與敵對勢力對象的研發合作或結束特定的研究計畫。
本文為「經濟部產業技術司科技專案成果」
范晏儒
專案經理 編譯整理
Department for Business, Energy & Industrial Strategy [BEIS], Bill introduced to create high risk, high reward research agency ARIA (2021), https://www.gov.uk/government/news/bill-introduced-to-create-high-risk-high-reward-research-agency-aria (last visited May 5, 2021).
歐盟執委會發布「民用、國防與航太產業之協作行動計畫」，強調前瞻技術的產業研發協作與成果運用，資訊工業策進會科技法律研究所， https://stli.iii.org.tw/article-detail.aspx?tp=1&i=180&d=8625&no=64 （最後瀏覽日：2021/05/05）
日本公布第6期科學技術與創新基本計畫草案並募集公眾意見，著重疫情與科技基本法修正後之因應，資訊工業策進會科技法律研究所，https://stli.iii.org.tw/article-detail.aspx?tp=1&i=180&d=8614&no=64 （最後瀏覽日：2021/05/05）
醫療與健康資料創新應用法制研析 資訊工業策進會科技法律研究所 2022年06月25日 壹、事件摘要 配合未來智慧醫療與精準健康之發展，民眾的健康、醫療資料將成為相關創新技術之基礎，且需整合許多異質資料庫（包括：生物資料、病歷、環境資料、基因資料等）作為相關研究與診斷基礎。然而，在創新實驗階段，個人資料保護向來是最核心之議題，如何在「創新技術」與「資料保護」間需取得衡平，於保護民眾個資權利的同時，又能滿足規範緩解或彈性化之明顯需求，便成為亟待解決的問題。 近年來，我國積極透過「法規沙盒」（Regulatory Sandbox）制度，來創造一個兼顧技術創新與有效監理的機制，例如《金融科技發展與創新實驗條例》與《無人載具科技創新實驗條例》皆是設立法規沙盒制度，在確保法律監管的前提下，依個案情形適度地鬆綁法規，為業者打造出恰當的實驗空間，以鼓勵創新發展。然而，我國於金融與交通領域訂立沙盒制度之時，關於個資法是否能被豁免，一度成為討論重點，最後二條例皆明文規定實驗進行以遵守個資法為原則，因此法規沙盒制度宜否用以緩解醫療與健康資料相關法律限制，仍堪研探；此外，醫療法規沙盒所涉及的醫療或健康資料主要落入敏感性資料之範疇，在個資法監管密度更高的情形下，更加限制了智慧醫療與精準健康產品或服務之發展，則如何突破此等醫療領域創新困境，即屬我國未來應密切關注之焦點。 職是之故，本文將研探國際上涉及醫療健康資料之機制，以作為我國法規沙盒等制度措施抑或設計其他方式運作之借鏡，讓創新者能獲有個資法等法規之規範彈性空間以進行創新活動。 貳、重點說明 以下對於英國、日本及新加坡等國制度，觀測分析其如何緩解資料法規而創造出彈性化空間，使創新者有機會藉此活用醫療健康資料，進行醫療領域之創新發展。 一、英國 （一）ICO法規沙盒 英國資訊專員辦公室（Information Commissioner's Office, ICO）於2019年推出法規沙盒計畫，希望可向利用個人資料開發具有明顯公共利益的創新產品和服務的組織，提供必要的試驗空間。在進入沙盒之前，ICO將會要求申請者簽署相關條款，並有專屬ICO沙盒成員與之聯繫，安排會議協助制訂沙盒計畫，同時也會要求申請者進行資料保護自我評估清單，以利沙盒計畫之制定[1]。 此沙盒的特色之一，在於不會完全排除資料保護規範之適用，而是著重於如何協助業者遵法，參與者能透過此計畫借助ICO在資料保護方面的專業知識和建議，從而在測試創新服務時減輕風險，並確保適當的個資保護措施臻於完備[2]。此外，參與者也將會收到一份暫緩執法聲明（statement of comfort from enforcement），亦即在參與沙盒期間，若產品或服務因疏忽而有違反資料保護相關法規之情形，只要違規行為未超出原先進入沙盒所預想的情況，便不會立即導致ICO的監管行動，暫緩程度則取決於創新團隊與ICO保持協作與對話之狀況[3]。 截至2021年2月，其尚有9個測試案例正在進行中，而與健康、醫療資料有關者為CDD服務有限公司（CDD Services）及諾華製藥的語音解決方案（Novartis Voice Enabled Solutions project）[4]。 （二）動態同意機制 「動態同意」（Dynamic Consent）是指一種基於網路與資通訊技術的即時同意程序，透過利用資通訊技術建立的動態同意網路平台，研究者得即時通知資料當事人其研究進度、研究目的變更等事項，資料當事人則得隨時修改同意範圍或撤銷同意[5]。 動態同意機制的優點，對研究者而言，在於節省許多徵詢同意所需之成本，也能清楚瞭解資料庫中的資料附加了哪種類型的同意或是資料當事人要求徵詢同意的密度[6]，並且可以更加容易地整合其他多媒體技術（例如播放影片、照片與錄音）進行研究內容與風險之說明。而對於資料當事人而言，動態同意則可解決同意成本過高而不得不實施過於寬泛的概括同意之情形，從而更加保障資料主體之資料自主權[7]。 在英國，動態同意之原型係於2008年左右ENCoRe計畫提出；國際間較為有名的計畫皆實施於英國，例如曼徹斯特大學inBank團隊開發的蒐集與處理電子健康紀錄系統、牛津大學主導的參與式Rudy研究等[8]。 二、日本 日本於2018年實施「專案型沙盒」制度，建立特定不受現有法規限制之情境，使業者得於限定期間及場域內，以「新興技術」進行實證[9]。所謂「新興技術」，係指在創新事業活動中所使用具有顯著新穎性之技術或方法，且該技術或手法可創造出高附加價值者[10]，而「具顯著新穎性」者，則指相較於該領域的常用技術和方法，更有新穎性且得以衍生實用化和事業化討論的技術與方法，例如AI、IoT、巨量資料、區塊鏈等[11]。 專案型沙盒中，有3件與醫療相關的案例，其中涉及個資法規範的是「以生物辨識技術了解本人意思（Digital Living Will）」一案。本案情境為考量到獨居老人數量增加，其因急救被送往醫療機關時，尚需時間確認其身分，甚至須向家屬說明治療方式且獲同意後，始得開始檢查和治療，而常有遲延急救時間之情事，故醫院及醫療業者共同申請一項專案型沙盒實證計畫，藉由「預立同意」之方式保存個人手術及檢查等意願，待患者發生急救情形時，將依指紋、手指靜脈、人臉等生物辨識技術準確且迅速地確認身分，向醫院提供患者的個人意願資料。本計畫採取的新技術，涉及日本個資法第18條、第19條及第23條規定，申請者表示將依法辦理之，例如告知參加者「獲取生物辨識資料之利用目的」、經參加者同意後始向第三方提供生物辨識資料等，並由厚生勞動省和個人情報保護委員會等主管機關進行監督[12]。 三、新加坡 新加坡於2012年10月通過《個人資料保護法》（Personal Data Protection Act 2012, PDPA）[13]，同時依法設置個資保護委員會（Personal Data Protection Commission, PDPC）。該法旨在規範「非公務機關」之個人或組織對於個人資料的蒐集、利用及揭露（例如與第三方共享）等相關行為。該法第62條設計了豁免權（Exemption），個人或組織可於備妥申請文件後，向個資保護委員會預先申請尋求《個人資料保護法》任何條文之豁免；經審查批准後，個資保護委員會可以透過命令（order），在特定的規則或情況下，豁免任何個人或組織遵守本法的全部或部分規定[14]。 再者，新加坡提出「資料協作計畫」，以促進組織、政府、個人三方間資料無障礙流通，創造更多合作機會進行創新應用。該計畫可分作兩部分，首先建立「可信賴資料共享框架」（Trusted Data Sharing Framework），為企業對企業的資料交換方法步驟提供指南；其次提出「資料共享安排」（Data Sharing Arrangements）的資料法規沙盒計畫[15]，排除企業以創新模式近用個人資料時發生的阻礙，「資料共享安排」係依據上述個人資料保護法第62條所賦予的豁免權，讓個人或組織可在個人資料保護委員會訂定的規則下，依照個案給予組織免除個資法部分規範（例如：不須取得當事人同意、免除跨境傳輸之限制）。故總體而言，「資料協作計畫」下的「可信賴資料共享框架」與「資料共享安排」，將由政府擔任監管角色，申請者只要符合指南建議方向，例如遵循法律、達到一定資料技術應用品質、實施資安與個資保護措施等，便可進行個人與商業資料之共享。 以「中風患者於資料共享安排（資料法規沙盒計畫）之運作」為例，醫院、志願福利組織（Voluntary Welfare Organization, VWO）[16]與行政機關之資料共享計畫，彼此之間分享病患個人資料，毋須再經患者之同意，由資料中介機構進行資料分析，以改善服務並確保有效媒合老年中風患者之援助。經分析後，志願福利組織可主動與醫院患者接觸以利其提供收入援助或社會支持，行政機關則可利用相關資訊改善政策[17]。 參、事件評析 隨著新興科技崛起，資料驅動之技術創新需求於近年大幅顯現，若個資法規範始終缺乏彈性，又無相關機制確保創新空間，我國社會經濟發展將嚴重受影響。對此，面對「創新技術」與「資料保護」間如何取得衡平的難題，各國政府透過不同規範及政策手段，給予個資法規範一定彈性，以促進國內創新與轉型的腳步，可見個資法既定規範並非絕對，重點仍在於如何做好個資保護評估及風險管控，使資料主體於創新實驗下仍可受到隱私保護。 綜觀上開國家的資料法規彈性化措施，主要以兩大方式進行，其一為「針對法規提出整體鬆綁或彈性化機制」（法規面），例如英國ICO法規沙盒、日本專案型沙盒、新加坡資料共享安排機制皆屬之，雖各國立法模式或依據有所不同，但主要仍是利用法規沙盒或性質相近之措施，於運作上賦予個資法規一定彈性。其二則為「利用技術解消資料利用障礙」（技術面），例如動態同意機制，透過科技來擴大個資法規的適法及遵法態樣。 據此，我國在研議「醫療領域宜否應用法規沙盒等制度，緩解個資法等相關法規現行規範」時，或可先肯認個資法確有（有條件地）豁免適用之餘地，且得以法規沙盒作為個資法限制之彈性機制。其次，在立法模式的選擇上，由於我國已著手立法《智慧醫療創新實驗條例》（草案）[18]或考量規劃泛用型法規沙盒，未來或可於「醫療法規沙盒」或「泛用型法規沙盒」立法過程中，研議是否豁免創新實驗有關個資法令之適用。再者，針對個資法豁免條件，有鑑於沙盒實驗期間不能忽視個人利益之隱私保障措施，故應有一套完善機制協助法規沙盒之監管，相關豁免事項及條件設計，也須考量創新、公共利益與資料當事人權利侵害之比例原則。最後，在實作方面，機關亦可協助與輔導業者引進動態同意等措施及其新技術，以利業者遵法。 [1] ICO, What will happen if our application to the Sandbox is successful?, https://ico.org.uk/for-organisations/the-guide-to-the-sandbox/what-will-happen-if-our-application-to-the-sandbox-is-successful/ (last visited Feb. 6, 2021). [2] ICO selects first participants for data protection Sandbox, https://www.computerweekly.com/news/252467504/ICO-selects-first-innovation-Sandbox-participants (last visited Feb. 6, 2021) [3] ICO, What will happen if our application to the Sandbox is successful?, https://ico.org.uk/for-organisations/the-guide-to-the-sandbox/what-will-happen-if-our-application-to-the-sandbox-is-successful/ (last visited Feb. 6, 2021). [4] ICO, Current Projects, https://ico.org.uk/for-organisations/regulatory-sandbox/current-projects (last visited Feb. 6, 2021). [5] Jane Kaye, Edgar A Whitley, David Lund, Michael Morrison, Harriet Teare & Karen Melham, Dynamic consent: a patient interface for twenty-first century research networks, European Journal of Human Genetics, 23, 141–146 (2015) [6] 動態同意平台上的研究者介面，可能顯示資料當事人對於哪種類型的研究給予何種同意（例如對於心臟病研究給予概括同意；對於癌症研究給予特定同意），允許概括同意的時候也可以註記同意期限，或設定其他限制。 [7] Rasmus Bjerregaard Mikkelsen, Mickey Gjerris, Gunhild Waldemar & Peter Sandøe, Broad consent for biobanks is best - provided it is also deep, BMC Med Ethics, 20(1),71 (2019) [8] 義大利、美國、日本與澳洲等國目前皆有實施動態同意之機制，但都是以特定疾病或研究主題為主，尚未有全國通用的動態同意系統。義大利有名為「CHRIS」的慢性病研究動態同意平台；美國有非營利組織架設名為「PEER」的基因研究動態同意平台；日本有名為「Rudy Japan」的動態同意平台；澳洲有名為「CTRL」的動態同意平台。 [9] 生産性向上特別措置法第2條第2項。 [10] 同前註。 [11] 新技術等実証の総合的かつ効果的な推進を図るための基本的な方針，頁1（2018），https://www.kantei.go.jp/jp/singi/keizaisaisei/pdf/underlyinglaw/basicpolicy.pdf（最後瀏覽日：2021/2/10）。 [12] 〈生体認証を用いた本人意思に基づく救急医療の実証〉，首相官邸，https://www.kantei.go.jp/jp/singi/keizaisaisei/project/gaiyou7.pdf （最後瀏覽日：2021/2/19）。 [13] Personal Data Protection Act 2012, No. 26 of 2012. [14] Personal Data Protection Act 2012, Section 62. [15] Data Collaboratives Programme, https://www.imda.gov.sg/programme-listing/data-collaborative-programme (last revised Jun. 8, 2021) [16] 獨立於政府與市場運作之外的團體或組織。 [17] PDPC, Guide to Data Sharing (2018), https://www.pdpc.gov.sg/-/media/Files/PDPC/PDF-Files/Other-Guides/Guide-to-Data-Sharing-revised-26-Feb-2018.pdf (last revised Jun. 8, 2021). [18] 鄭鴻達，〈政院BTC閉幕 吳政忠：推智慧醫療沙盒、生醫條例修法〉，聯合新聞網，2021/09/01，https://udn.com/news/story/7238/5715580（最後瀏覽日：2022/06/13）。
美國高速公路運輸安全局（NHTSA）發佈針對車輛對車輛間溝通的研究報告國家高速公路運輸安全局（NHTSA）發佈即將針對車輛與車輛間通訊訂立規則的訊息，以管理車對車之間（V2V）通訊技術，V2V技術最主要著眼在於避免碰撞，根據調查百分之94的車禍事故都有人為因素牽涉其中，V2V技術可以讓車輛有效的認知碰撞的情況與潛在威脅。V2V技術仰賴的是鄰近車輛之間的通訊溝通並交換訊息，以警告駕駛潛在的導致碰撞安全威脅，例如：V2V可以警告駕駛前車正在煞停，所以候車必須隨之減速以免碰撞，或是警告駕駛在經過十字路口的時候處於不安全的情況，因為有一輛看不見的車輛正以高速朝路口靠近。V2V通訊技術使用精密的短距離通訊技術以交換車與車子之間的基本訊息，諸如：位置、速度、方向已決定是否要警告駕駛以避免碰撞。本項規則制訂的提案可謂是數十年來NHTSA與各部門間合作努力的成果，包含汽車產業界、各州運輸交通部門、學術機構以建立共識的標準。NHTSA的提案當中規制運用在所有輕型車輛V2V技術使用無線電傳輸協定與光譜頻寬總稱為精密短距通訊技術（DSRC）。這項立法規制要求所有的車輛都應該要透過標準化技術講共同的語言，並且要求所有車輛均要納入安全與隱私保護的措施。本次即將管制的車輛包括一般轎車、多功能車（MPV）、卡車、公車，車輛在4536公斤以下的車輛未來必須配備V2V的通訊系統。 ●交換資訊部分 僅交換基本安全訊息，其中包含車輛的動態訊息諸如行進方向、速度、位置。這些基本的安全訊息每秒交換高達10次，裝有V2V裝置的車輛將保留這些訊息，去評判是否有碰撞的威脅。如果系統覺得有必要，將立即發出訊息警告駕駛採取必要措施避免立即碰撞。 ●V2V未來可能應用 ■十字路口動態輔助：車輛進入十字路口前，如果會發生碰撞會加以警示。 ■左轉輔助：駕駛一旦左轉會撞上來車的時候，特別在於駕駛視線被擋住的情況下，會加以警示。 ■警急電子煞車燈：同方向行進車輛，前車忽然減速的情況下，V2V技術可以允許使經過透視前車的情況下，知道駕駛目前正在減速，所以可以針對視線外的急煞車預先因應。 ■前端碰撞警示：前端碰撞警示將警告駕駛即將到來的撞擊，避免撞擊前車。 ■盲點警示與變換車道警示：車輛變換車道的時候系統將警告位於盲點區域的車輛即將靠近，避免在變換車道的時候發生碰撞。 ■超車警示：警告駕駛超車並不安全，因為對向車道正有車輛往此方向前進。 ●面對網路攻擊 ■設計訊息認證方案，確保交換訊息時的安全性。 ■每一項交換的訊息均會經過偵測避免惡意攻擊。 ■惡意攻擊的回報機制：諸如身份錯誤配置的訊息、惡意車輛阻擋V2V訊息。 ●隱私保護 在設計最初期即導入V2V僅允許分享蒐集通用的安全資訊，對於個人或其他車輛的資訊不能加以蒐集與傳輸。 目前NHTSA將針對本項提案蒐集公眾意見（預計將進行九十天），並審核公眾所提交意見是否可行，在發佈最終的規則。
歐盟執委會提出《淨零產業法》草案，促進歐盟淨零技術的發展歐盟執委會（European Commission）於2023年3月16日提出《淨零產業法（Net-Zero Industry Act）》草案，以擴大歐盟潔淨技術的製造，並為歐盟的潔淨能源轉型作好準備，同時亦為綠色政綱產業計畫的一部分。其中適用之淨零技術則包含太陽光電和太陽熱能、陸域風電和離岸再生能源、電池和儲能設備、熱泵和地熱能、電解槽和燃料電池、沼氣和生質甲烷、碳捕捉利用和封存、電網技術、永續替代燃料、少量核廢的新興核能、小型反應爐，以及相關的先進燃料。而推動措施之重點如下： （1）建立有利發展的環境 將加強資訊的流通、減少成立專案的行政成本、簡化核准許可程序，以及設立單一聯繫窗口（One Stop Shop），以發展利於投資淨零技術的環境。另外，也將優先考慮能加強歐盟工業韌性和競爭性的淨零排放策略計畫，例如能安全儲存被捕捉之二氧化碳的場址規劃和建置。 （2）加速二氧化碳的捕捉 設定歐盟2030年的目標－二氧化碳儲存場址每年的注入容量應達到50百萬公噸（Mt），並要求歐盟石油和天然氣的生產業者需按其產量之比例做出貢獻，以促進二氧化碳捕捉和封存的發展，作為經濟上可行的氣候解決方案，特別是對於難以減少排放的能源密集產業。 （3）促進業者進入淨零市場 應在公共的採購和拍賣中，要求政府需考量產品的永續性和韌性並建立標準，促進公私部門對於淨零技術的需求，鼓勵業者們發展淨零技術，以提升該技術的供應多樣性。 （4）提升技能 設立專門的歐盟淨零學院，為潔淨能源轉型提供成熟的勞動力；並將與成員國、產業和其他利害關係人合作，設計培訓課程，重新訓練以及提升相關人才的技術能力。 （5）推動創新 支持成員國設立監理沙盒，在靈活的監管條件下對於新興的淨零排放技術進行測試以促進創新。 （6）設置淨零歐洲平台 建立淨零歐洲平台（Net-Zero Europe Platform）協助歐盟執委會和成員國進行合作和交換資訊。並且，透過該平台確認計畫之財務需求、瓶頸和最佳方案，以促進淨零相關產業的投資。
美國眾議院通過網路保護法美國眾議院於2015年4月22日以307票同意，116票反對，通過網路保護法（The Protecting Cyber Networks Act）。本法之立法目的在於移除法規障礙，美國公司藉此將得以與其他公機關或私人分享資安威脅的相關資訊，以防範駭客攻擊。 本法之重點內容主要係為對於網路威脅指標與防禦辦法之分享。依網路保護法第102條與第104條之規定，分享的客體包括「網路威脅指標」（cyber threat indicator）與「防禦辦法」（defensive measures），分享之對象則分為非聯邦機構（non-Federal entities）以及（國防部或國安局之外的）適當之聯邦機構（appropriate Federal entities）。本法第102條規定，在符合機密資訊、情報來源與方法、以及隱私及公民自由之保護下，國家情報總監（the Director of National Intelligence, DNI）經與其他適當聯邦機構諮商後，應展開並頒布相關程序，以促進下列事項之進行：「（一）與相關非聯邦機構中具有適當安全權限之代表，及時分享（timely sharing）聯邦政府所有之機密網路威脅指標；（二）與相關非聯邦機構及時分享聯邦政府所有，且可能被解密並以非機密等級分享之網路威脅指標；（三）於適當情況下與非聯邦機構分享聯邦政府所有，且與該些機構即將或正在發生之網路安全威脅（cybersecurity threat）有關之資訊，以防止或降低該網路安全威脅所造成之負面影響。」 以及，對於隱私權與公民自由之保障亦非常重要，就隱私權與公民自由之保障，網路保護法主要在第103條第4項設有相關規定。對於資訊安全，該項第1款規定，依本法第103條之規定進行資訊系統之監控、執行防禦辦法、或提供或取得網路威脅指標或防禦辦法之非聯邦機構，應實施適當之安全管控，以保護該些網路威脅指標或防禦辦法免遭未經授權之近用或取得。同項第2款則更進一步規定了特定個人資料在一定條件下應被移除。該款規定，依本法進行網路威脅指標分享的非聯邦機構，於分享前應合理地對該網路威脅指標進行復核，以評估該指標是否含有任何令該機構合理相信（reasonably believes）與網路安全威脅非直接相關，且於分享時（at the time of sharing）屬於特定個人之個人資訊或指向特定個人之資訊，並移除該等資訊。