防疫也須防弊！美國加州檢察總長針對醫療照護機構遭受勒索軟體攻擊提出適當措施與事故通報指引
由於近日頻傳醫院遭受勒索軟體攻擊（ransomware attacks），美國加州檢察總長於2021年8月24日發布官方公告（bulletin）：在加州州法「醫療資訊保密法」（Confidentiality of Medical Information Act, CMIA）與聯邦法「健康保險可攜與責任法」（Health Insurance Portability and Accountability Act of 1996, HIPAA）規範下，蒐集、處理和利用醫療健康資料的醫療照護機構，有採取適當措施與事故通報的義務，以維護醫療健康資料保密性。
針對「採取適當措施」的內容，美國加州檢察總長於本次官方公告中，提出明確指引（guidance）：醫療照護機構須至少採取下列5項防範措施（preventive measures），以避免勒索軟體威脅：
- 確保所有存取醫療健康資料的作業系統與軟體，均升級至最新版本；
- 安裝防毒軟體，並維護其運作；
- 定期為員工舉辦教育訓練，包含教導員工不要點擊可疑網址和防範釣魚電子郵件（phishing email）；
- 限制員工下載、安裝和運作未經批准的軟體；
- 維護和定期測試資料備份與救援計畫，以便於事故發生時，控制對資料和系統的影響範圍及程度。
此外，針對「資料外洩事故通報義務」（breach notification obligations），美國加州檢察總長指出：依據「加州民法」（California Civil Code）第1798.82條，擁有或經授權使用含有個人資料的「電腦化資料」（computerized data）的醫療照護機構，於發生，或可合理確信發生，影響超過500位加州居民的資料外洩事故時，即負有將該事故通報檢察總長辦公室的義務。
- 零售業個資保護及資訊安全教育講習
- 零售業個資安全宣導暨安全維護計畫規劃說明會
- 數位經濟時代的隱私保護與商機－CBPR跨境隱私規則體系解析
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(實體)
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(直播)
- 零售業個資安全宣導暨安全維護計畫說明會（高雄場）
- 零售業個資安全宣導暨安全維護計畫說明會（台中場）
- 【台北場1】通訊傳播事業個資法遵教育訓練
- 【台中場】通訊傳播事業個資法遵教育訓練
- 【新北場】通訊傳播事業個資法遵教育訓練
- 【高雄場】通訊傳播事業個資法遵教育訓練
- 【台北場2】通訊傳播事業個資法遵教育訓練
- 零售業個資法遵實務與資訊安全說明會
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 零售業個資法遵實務與資訊安全說明會（台中場）
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
李宗儒
副法律研究員 編譯整理
STATE OF CALIFORNIA DEPARTMENT OF JUSTICE OFFICE OF THE ATTORNEY GENERAL, Attorney General Rob Bonta Calls for Full Compliance with State Health Data Privacy Laws, Aug. 24, 2021, https://oag.ca.gov/news/press-releases/attorney-general-rob-bonta-calls-full-compliance-state-health-data-privacy-laws (last visited Sep. 16, 2021).
STATE OF CALIFORNIA DEPARTMENT OF JUSTICE OFFICE OF THE ATTORNEY GENERAL, BULLETIN: Obligation to Proactively Reduce Vulnerabilities to Ransomware Attacks and Requirements Regarding Health Data Breach Reporting, Aug. 24, 2021, https://oag.ca.gov/system/files/attachments/press-docs/2021AUG24%20Ransomware%20Bulletin.pdf (last visited Sep. 16, 2021).
Jill McKeon, CA Attorney General Calls Out Unreported Healthcare Data Breaches, HEALTHITSECURITY, Aug. 27, 2021, https://healthitsecurity.com/news/ca-attorney-general-calls-out-unreported-healthcare-data-breaches (last visited Sep. 16, 2021).
CYBERSECURITY AND INFRASTRUCTURE SECURITY AGENCY [CISA], Alert (AA20-302A) Ransomware Activity Targeting the Healthcare and Public Health Sector, Oct. 28, 2020, https://us-cert.cisa.gov/ncas/alerts/aa20-302a (last visited Sep. 16, 2021).
邱曉麗，〈加州消費者隱私保護法修正法案重點說明〉，資策會科技法律研究所，2021/03，https://stli.iii.org.tw/article-detail.aspx?tp=1&i=180&d=8630&no=64（最後瀏覽日：2021/09/16）。
詹世榕，〈美國衛生暨福利部於09年8月公布關於醫療資訊外洩通知義務之暫行最終規則〉，資策會科技法律研究所，2009/11，https://stli.iii.org.tw/article-detail.aspx?tp=1&i=40&d=3167&no=64（最後瀏覽日：2021/09/16）。
「孤兒著作」係指仍在著作權保護期間，但是著作權人不明知著作。依著作權法第10條規定，著作人於著作完成時享有著作權，而著作權之保護期間依著作權法第30條第1項存續於著作權人之生存其間及其死亡後之50年。 在網路普及資訊流通快速之現代，經過不斷的轉載，許多著作權人不明，但是仍受著作權法保護，所謂之「孤兒著作」在市面上不斷流通。此時若與利用孤兒著作，但是不知道著作權人是誰，無法取得授權之情形下，要怎麼辦才不會觸法? 此時依文化創意發展法第24條，想要利用孤兒著作之人，得在盡力尋找著作權人未果後(不知著作權人為何或是著作權人聯繫資訊不明知情形)，向智財局說明無法取得授權之原因，並提存一定金額，取得智財局之許可授權後，於許可範圍內利用該著作。又須提存之金額應與一般著作經自由磋商所應支付合理之使用報酬相當。
德國立法通過反駭客法德國政府為減少官方與民間的電腦受到網路駭客的攻擊，於2007年5月正式立法通過「反駭客法(Antihacker Law)」，並藉此擴大了現行德國法律中網路犯罪的懲處範圍，從僅處罰破壞或攻擊商業或政府機關之電腦系統，擴及至破壞或攻擊個人電腦或DOS系統之犯罪。 依德國「反駭客法」之規定，凡任何個人或團體意圖非法使用而故意製造、散播或購買駭客工具(hacker tools)者，將可能被處十年以上有期徒刑。而所謂的「駭客(hacking)」在新法中則被定義為，凡是侵入電腦系統並獲取資訊者，不論是否有竊取該資訊的行為，均屬之。 上述立法結果，反對人士擔心恐將適得其反，因駭客工具的存在具有一體兩面，研發並利用駭客工具來測試電腦以及網路系統的安全性，在德國已行之有年，如果一旦加以禁止，不但無法達到預期目的，也過於輕視網路駭客者的能力；又將來持有駭客工具者，未來必須在法庭上主張係出於善意持有，亦是增加了持有者的舉證責任。該法已經於2007年8月實施。
人工智慧技術用於醫療臨床決策支援之規範與挑戰—以美國FDA為例人工智慧技術用於醫療臨床決策支援之規範與挑戰—以美國FDA為例 資訊工業策進會科技法律研究所 蔡宜臻法律研究員 2018年11月27日 壹、事件摘要 美國係推動人工智慧用於醫療服務的領航國家，FDA轄下的數位健康計畫（Digital Health Program）小組負責針對軟體醫療器材規劃新的技術監管模式，在過去五年中，該計畫發布了若干指導文件 ，嘗試為醫用軟體提供更為合適的監督管理機制。但由於指導文件並非法律，監管的不確定性依舊存在，因此近兩年 FDA推動修法並做成多項草案與工作計畫，望以更具約束力的方式回應軟體醫療器材最新技術於臨床之適用。當中最為重要的法制變革，便是2016年底國會通過之《21世紀治癒法》（21st Century Cures Act）。該法重新定義了醫用軟體的監管範圍，一般認為是對人工智慧醫用軟體的監管進行鬆綁，或有助於人工智慧醫用軟體的開發與上市。然而在新法實施近兩年以來，實務上發現人工智慧的技術特質，會導致在進行某些「臨床決策支援之人工智慧軟體」是否為醫療器材軟體之認定時，產生極大的不確定性。對此FDA也於2017年12月作成《臨床與病患決策支持軟體指南草案》（Clinical and Patient Decision Support Software-Draft Guidance for Industry and Food and Drug Administration），望能就部份《21世紀治癒法》及其所修正之《聯邦食品藥物化妝品法》（Federal Food, Drug, and Cosmetic Act, FD&C Act）[1]裡的規範文字提供更為詳細的說明。 本文望能為此項法制變革與其後續衍生之爭議進行剖析。以下將在第貳部分重點說明美國2016年頒布的《21世紀治癒法》內容；在第參部份則針對人工智慧技術用於醫療臨床決策支援所發生之爭議進行分析；最後在第肆部份進行總結。 貳、重點說明 2016年12月美國國會頒布了《21世紀治癒法》，在第3060節明確界定了FDA對數位健康產品（Digital Health Products）之管轄範圍，將某些類型的數位健康產品排除在FDA醫療器材（medical device）定義之外而毋須受FDA監管。此規定亦修正了美國《聯邦食品藥物化妝品法》第520節（o）項有關FDA排除納管之軟體類別之規定。 根據新修正的《聯邦食品藥物化妝品法》第520節（o）（1）項，美國對於醫用軟體的監管範疇之劃設乃是採取負面表列，規定以下幾種類型的軟體為不屬於FDA監管的醫用軟體： 行政管理目的[2]；或 目的在於非關診斷、治療、緩解、預防或病症處置之健康維持或健康生活習慣養成[3]；或 目的在於進行電子化的個人健康紀錄[4]；或 目的用於傳輸、儲存、格式轉換、展示臨床研究或其他裝置資料與結果[5]；或 同時符合以下四點之軟體： (1)不從體外醫療器材或訊號蒐集系統來讀取、處理或分析醫療影像或訊號[6]。 (2)目的在於展示、分析或印製病患醫療資訊，或其他醫療訊息（例如：偕同診斷之醫療研究、臨床處置指南）[7]。 (3)目的在於替醫療專業人員就疾病或症狀之預防、診斷或處置提供支持或臨床建議[8]。 (4)使醫師在使用該軟體時尚能獨立審查「臨床建議產生之基礎」，因此醫師所做成之臨床診斷或決策，並非主要依賴該軟體提供之臨床建議[9]。 雖然大多數被排除的類別相對無爭議，但仍有一部分引起法律上不小的討論，即《聯邦食品藥物化妝品法》第520節（o）（1）（E）項所指涉的某些類型之臨床決策支援軟體（Clinical Decision Support Software，以下簡稱CDS軟體）。 CDS軟體係指分析數據以幫助醫療手段實施者（例如：醫師）做出臨床決策的軟體。多數以人工智慧為技術基礎的醫療軟體屬於此一類型，比方病理影像分析系統。根據《21世紀治癒法》與《聯邦食品藥物化妝品法》，CDS軟體是否被排除在FDA的管轄範圍之外，取決於該軟體是否「使醫師在使用該軟體時尚能獨立審查『臨床建議產生之基礎』，因此醫師所做成之臨床診斷或決策，並非主要依賴該軟體提供之臨床建議」[10]。若肯定，則將不被視為FDA所定義之醫療器材。為使此一規定更加明確，FDA於2017年12月8日發布了《臨床與病患決策支持軟體指南草案》，該指南草案針對如何評估軟體是否能讓醫師獨立審查臨床建議產生之基礎進行說明。FDA表示該軟體至少要能清楚解釋以下四點[11]： 該軟體功能之目的或用途；及 預期使用者（例如超音波技師、心血管外科醫師）；及 用於產生臨床建議的原始資料（例如患者的年齡和性別）；及 臨床建議產生背後之邏輯或支持證據 後續方有機會被FDA認定係令醫療專業人員使用該軟體時，能「獨立審查」臨床建議產生之基礎。換言之，指南草案所提的四點，為FDA肯認醫師在使用軟體時尚能「獨立審查」之必要前提。除此之外，指南草案尚稱預期使用者必須能自己做成與軟體相同之判斷，並且要求「用於生成臨床建議與演算邏輯的原始資料必須可被預期使用者辨識、近用、理解，並為公眾可得」[12]，進而方有機會符合《聯邦食品藥物化妝品法》第520節（o）（1）（E）（iii）之規定；若該軟體亦同時符合第520節（o）（1）（E）之其他要件，則有望被劃分為非醫療器材而不必受FDA監管。 由於規範內容較為複雜，指南草案亦提供案例說明。比方若一糖尿病診斷軟體是由醫生輸入患者參數和實驗室測試結果（例如空腹血糖、口服葡萄糖耐量測試結果或血紅蛋白A1c測試結果），並且該裝置根據既定臨床指南建議患者的病情是否符合糖尿病的定義，可被FDA認定為「非醫療器材」[13]；而諸如分析電腦斷層、超音波影像之軟體，則仍維持屬於醫療器材[14]。 另需注意的是，《聯邦食品藥物化妝品法》在第520節（o）（3）（A）（i）項亦建立「彌補性納回（claw-back）」機制，FDA需遵守通知評論程序（notice-and-comment process）以便及時發現軟體可能對健康造成嚴重危害的風險，並隨時將之納回監管範疇中。同時FDA每兩年必須向國會報告醫療器材軟體的實施經驗[15]。 參、事件評析 《21世紀治癒法》頒布至今兩年，FDA已核准多個以人工智慧為技術核心的軟體，例如在2018年2月13日通過能自動偵測可疑的大血管阻塞（large vessel occlusion, LVO），並迅速通知醫師病人可能有的中風危險的臨床決策支援軟體：Viz.AI Contact application；又比如於2018年4月11日通過利用演算法分析由視網膜攝影機（Topcon NW400）所獲得的影像，快速篩檢糖尿病病人是否有必須由專業眼科醫師治療的視網膜病變的IDx-DR。 然而，在CDS軟體以人工智慧為技術核心時，現有的法規與監管框架依舊有幾點疑慮： 一、「理解」演算法？ 根據新修正之《聯邦食品藥物化妝品法》，如果CDS軟體欲不受FDA監管，醫師的決策必須保持獨立性。目前規定只要該醫療產品「企圖」（intended to）使醫師等專業人員理解演算法即可，並不論醫師是否真正理解演算法。然而，若FDA肯認理解演算法對於執行醫療行為是重要的，那麼當CDS係基於機器學習產生演算法時，具體該如何「理解」就連開發者本身都未必能清楚解釋的演算法？有學者甚至認為，CDS軟體是否受到FDA法規的約束，可能會引導至一個典型的認識論問題：「我們是怎麼知道的？（How do we know?）」[16]。對此問題，我們或許需要思考：當醫師無法理解演算法，會發生什麼問題？更甚者，未來我們是否需要訓練一批同時具備人工智慧科學背景的醫療人員？[17] 二、如何要求演算法透明度？ 指南草案所提之「清楚解釋臨床建議產生背後之邏輯或支持證據」以及資料來源為公眾可得、醫生對演算法使用的資料來源之近用權限等，被認為是FDA要求廠商應使CDS軟體之演算法透明[18]。但根據FDA指南草案公告後得到的反饋，醫療軟體廠商對此要求認為並不合理。廠商認為，應該從實際使用效益來審視人工智慧或機器學習軟體所提出的臨床建議是否正確，而不是演算法是什麼、怎麼產生[19]。 三、醫療專業人員之獨立專業判斷是否會逐漸被演算法取代？未來醫療軟體廠商與醫療專業人員之責任該如何區分？ FDA目前的法規與指南並未直接回應此二問題，惟其對於不被列管之CDS軟體之規定係需使醫師並非主要依賴該軟體提供之臨床建議、醫師能自己做成與軟體相同之判斷。由反面解釋，即FDA肯認部份CDS軟體具備與醫師雷同之臨床診斷、處置、決策之功能，或能部份取代醫師職能，因此需受FDA監管。是故，醫師之專業能力與人工智慧演算法相互之間具有取代關係，已是現在進行式。惟究竟醫師的判斷有多少是倚靠人工智慧現階段尚無法取得量化證據，或需數年時間透過實證研究方能研判。往後，醫療軟體廠商與醫師之責任該如何區分，將會是一大難題。 肆、結語 隨著醫療大數據分析與人工智慧技術的發展，傳統認知上的醫療器材定義已隨之改變。雖然硬體設備仍然在診斷、治療與照護上扮演極為重要的角色，但軟體技術的進步正在重新改寫現代醫療服務執行以及管理模式。這些新產品及服務為醫療器材市場帶來活水，但同時也形成新的監管議題而必須採取適當的調整措施。美國FDA針對近年來呈爆炸性發展的醫療軟體產業不斷調整或制定新的監管框架，以兼顧使用者安全與新技術開展，並於2016年通過了極具改革意義的《21世紀治癒法》，且以此法修正了《聯邦食品藥物化妝品法》。 然而，新法實施後，關於個別醫用軟體是否納為不受FDA監管的醫療器材仍有法律認定上的灰色空間。舉例而言，倍受矚目的以人工智慧為核心技術的CDS軟體，在新法框架下似乎可能存在於監管紅線的兩側。根據新修正之《聯邦食品藥物化妝品法》，一CDS軟體是否屬於醫療器材軟體，關鍵在於醫師能否「獨立審查」從而「非主要依賴」軟體所提供之臨床建議。也由於此要件概念較為模糊，FDA後續在2017年發布《臨床與病患決策支持軟體指南草案》為此提供進一步解釋，然而仍無法妥適處理人工智慧機器學習技術所導致的演算法「該如何理解？」、「透明度該如何認定？」等問題。更甚者，從整體醫療服務體系納入人工智慧協助臨床決策診斷之趨勢觀之，未來醫療專業人員的獨立判斷是否會逐漸被演算法取代？未來人工智慧軟體與醫療專業人員之責任該如何區分？都是醞釀當中的重要議題，值得持續關注。 [1] 21 U.S. Code §360j [2] FD&C Act Sec. 520(o)(1)(A) [3] FD&C Act Sec. 520(o)(1)(B) [4] FD&C Act Sec. 520(o)(1)(C) [5] FD&C Act Sec. 520(o)(1)(D) [6] FD&C Act Sec. 520(o)(1)(E) [7] FD&C Act Sec. 520(o)(1)(E)(i) [8] FD&C Act Sec. 520(o)(1)(E)(ii) [9] FD&C Act Sec. 520(o)(1)(E)(iii) [10] “Enabling such health care professionals to independently review the bases for such recommendations that such software presents so that it is not the intent that such health care professional rely primary on any of such recommendations to make clinical diagnosis or treatment decisions regarding individual patient.” FD&C Act, Sec. 520(O)(1)(E)(iii) [11] FOOD AND DRUG ADMINISTRATION[FDA], Clinical and Patient Decision Support Software-Draft Guidance for Industry and Food and Drug Administration (2017), .at 8 https://www.fda.gov/downloads/medicaldevices/deviceregulationandguidance/guidancedocuments/ucm587819.pdf (last visited Sep. 21, 2018) [12] 原文為 “The sources supporting the recommendation or underlying the rationale for the recommendation should be identified and easily accessible to the intended user, understandable by the intended user (e.g., data points whose meaning is well understood by the intended user), and publicly available (e.g., clinical practice guidelines, published literature)”, id, at 8 [13] FOOD AND DRUG ADMINISTRATION[FDA], supra note 11 [14]FOOD AND DRUG ADMINISTRATION[FDA], supra note 11 [15] 21th Century Cures Act, Sec. 3060(b) [16] Barbara J. Evans & Pilar Ossorio, The Challenge of Regulating Clinical Decision Support Software after 21st Century Cures. AMERICAN JOURNAL OF LAW AND MEDICINE (2018), https://papers.ssrn.com/sol3/Delivery.cfm/SSRN_ID3142822_code1078988.pdf?abstractid=3142822&mirid=1 (last visited Sep. 21, 2018) [17] Id. [18] Gail H. Javitt & J.D., M.P.H., ANESTHESIOLOGY, Regulatory Landscape for Clinical Decision Support Technology (2018), http://anesthesiology.pubs.asahq.org/article.aspx?articleid=2669863 (last visited Sep. 21, 2018) [19] REGULATIONS.GOV, Clinical and Patient Decision Support Software; Draft Guidance for Industry and Food and Drug Administration Staff; Availability(Dec. 8, 2017) https://www.regulations.gov/docketBrowser?rpp=25&po=0&dct=PS&D=FDA-2017-D-6569&refD=FDA-2017-D-6569-0001 (last visited Sep. 25, 2018)
歐盟針對電子通訊網路及服務之管制架構規範進行公開徵詢基於維持「更好的管制」原則，歐盟執委會針對電子通訊管制架構之內容，公開徵詢社會大眾的意見。 此一電子通訊管制架構，係包括「架構指令」（2002/21/EC）、「發照指令」（2002/20/EC）、「網路接續指令」（2002/19/EC）、「普及服務指令」（2002/22/EC）及「隱私及電子通訊指令」（2002/58/EC）五個指令。除了此了指令之規範上，此次公開徵詢內容尚包括執委會有關「相關市場的建議」（C(2003)497）。 諮詢議題內容，則包括「管制架構的優劣點」、「現行管制架構是否能達到預期目標」、「現行管制架構如何改進」，以及特定之主題，如「範圍及目標」、「匯流及科技發展」、「頻譜管理」、「市場競爭及網路接續管制」、「執照核發及使用權」等。公開諮詢時間至2006年1月24日止。