英國政府公布「英國醫療器材監管的未來」公眾諮詢結果並確立未來監管方向
英國藥物及保健產品管理局（Medicines and Healthcare Products Regulatory Agency, MHRA）於2022年6月22日公布「英國醫療器材監管的未來之公眾諮詢政府回應」（Government response to consultation on the future regulation of medical devices in the United Kingdom），確立未來醫材監管方向。本次諮詢收到將盡900件回應（民眾與業者大約各半），結果顯示民眾業者對於強化醫療器材安全監管的支持。
MHRA將強化MHRA的執法權力，以確保病患安全，並且關注健康不平等議題並減少AI偏見問題；其監管設計上會考量歐盟和全球標準，並致力於建立英國符合性評鑑（UK Conformity Assessed, UKCA）。MHRA於安全方面，將增加製造商、進口商與經銷商的責任，並要求有英國地址的負責人對瑕疵商品負擔法律責任（構成法律責任的要件與製造商同）。其亦將要求製造商賠償被不良事件影響的人、禁止行銷上使用引人錯誤之表示、導入醫材之單一識別碼（Unique Device Identifiers, UDI）與增加註冊所需提供之資料，且製造商須建置上市後不良反應監測系統並回報統計上顯著的不良事件趨勢。創新方面，MHRA欲增設「創新醫療器材上市管道」和「軟體醫材上市管道」，以顧及創新與軟體醫材特殊需求。針對一般軟體醫材（software as a medical device, SaMD）與人工智慧軟體醫材（AI as a medical device, AIaMD）的監管，MHRA僅欲於法規中增加「軟體」的定義，其他規範將由指引的形式公布。此外，其將AIaMD視為SaMD的一種，並不會額外訂定AIaMD相關規範。
本文為「經濟部產業技術司科技專案成果」
陳箴
專案經理 編譯整理
MHRA, Government response to consultation on the future regulation of medical devices in the United Kingdom (2022), https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/1085333/Government_response_to_consultation_on_the_future_regulation_of_medical_devices_in_the_United_Kingdom.pdf (last visited Aug. 31, 2022).
The future of medical device regulation: Government response, Lexology, https://www.lexology.com/library/detail.aspx?g=3d199e84-db0c-4571-a704-6cdb91cba3eb (last visited Aug. 31, 2022).
英國展開醫療器材監管公眾意見徵詢並公布《人工智慧軟體醫材改革計畫》，資訊工業策進會科技法律研究所，https://stli.iii.org.tw/article-detail.aspx?no=55&tp=1&i=0&d=8765（最後瀏覽日：2022/09/05）。
FDA發佈人工智慧/機器學習行動計畫，資訊工業策進會科技法律研究所，https://stli.iii.org.tw/article-detail.aspx?tp=1&i=180&d=8628&no=64（最後瀏覽日：2022/09/05）。
美國聯邦貿易委員會（Federal Trade Commission, 以下稱FTC）在2017年2月6號於其網站中公布， VIZIO, Inc.（以下稱VIZIO），世界最大的智慧電視製造商之一，在未取得購買該公司產品之千萬餘名消費者同意下，即於所生產之智慧型電視中，安裝蒐集消費者收視行為數據之軟體，然此舉業涉及違反美國聯邦貿易委員會法第45條（15 U.S.C. § 45 (n)）以及紐澤西州消費者欺詐法（New Jersey Consumer Fraud Act）。為此VIZIO將支付和解金與美國聯邦貿易委員會及紐澤西州檢察總長辦公室。 本案起訴狀內容指出，VIZIO及其相關企業於2014年2月起便開始於其製造之智慧電視中獲取消費者在收視有線電視、寬頻、機上盒、DVD播放機、無線廣播以及串流裝置等相關影像資料時之資訊。這些資訊包含了性別、年齡、收入、婚姻狀況、教育程度、住屋資訊等交付與VIZIO、第三方及其相關企業做為行銷、發送特定廣告使用。 起訴狀中並稱該公司所謂之智能互動機制，雖可做為協助節目製作和建議，卻也同時於未對消費者詳細說明之下，逕行蒐集相關收視資訊，而此類追蹤消費者資訊屬不公平且欺騙的行為，已違反了FTC與紐澤西州對於消費者保護之法律。 為達成本案之和解，該公司願支付兩百二十萬美元作為和解金，包含向FTC繳納的一百五十萬美元及一百萬美元罰款與紐澤西州消費者事務所。聯邦法院命令並要求VIZIO必須清楚揭露其蒐集資料及分享給他方單位之行為，並取得消費者明示同意；另一方面，該命令亦禁止VIZIO對他們所蒐集消費者之隱私、安全及機密性資訊做誤導性的不實陳述以及刪除於2016年3月1日前所有以不當方式取得之消費者個人資料。該公司尚須接受兩年一次的隱私權安全保障計畫(名詞)，包括全面性隱私風險評估、識別消費者個資之潛在不當使用情形，並制訂相關措施來修復這些風險。另新增一項銷售管理計畫，以確保該公司產品經銷商及售後服務均能就消費者個人資料得到保障。 此次事件而言，和解金雖非屬可觀之金額，然重點在於作為世界最大的智慧電視製造商之一的VIZIO，經揭露此一訊息後對其商譽之影響，或許才是最大的打擊。為了在大數據時代中能有效的管控法律風險，任何蒐集消費者行為等個人資料時，均應符合相關法令的規範，如建立個人資料保護機制並事前告知取得消費者蒐集之同意為宜。
墨西哥聯邦資料保護法生效墨西哥的聯邦資料保護法在二０一０年四月經墨西哥國會通過後，已於同年七月六日生效。這個新法旨在保護個人的隱私權並強化個人對自身資訊的掌控。與我國新近通過的個人資料保護法相同，墨西哥的這個新法所規範的範圍也包括了私部門對個人資料的蒐集、處理與利用。 在新法通過之後，原本的聯邦公共資訊近用機構（Federal Institute for Access to Public Information），亦擴張執掌並更名為聯邦公共資料近用及資料保護機構（Federal Institute of Access to Information and Data Protection）。在新制下，該機構將在原有負責事務外，另肩負起監督私部門就個人資料保護的相關事務。 此外，該法設計了一個雙重的監督機制：當資料的蒐集、處理或利用人，也就是所謂的資料控制者（Data Controller）出現可能違反聯邦資料保護法的狀況，將先由各相關部門的主管機關，例如主管經濟事務的機關或主管交通事務的機關來介入處理，而非由聯邦公共資料近用及資料保護機構立刻介入。
日本與歐盟間個人資料之國際傳輸歐盟委員會（European Commission）原則上禁止將歐盟境內的個人資料傳輸至境外，只有經歐盟委員會認定其個人資料保護機制達到歐盟認可標準的國家或地區例外，例如：瑞士、加拿大、以色列等。而日本未能進入前揭國家之列的主要原因，係日本之個人資料保護法未將政府部門納入規範對象。但是基於經濟全球化的需求，日本與歐盟自2017年第一季開始加速進行雙邊合意協商。 日本個人資料保護委員會公布，於2017年5月修正施行的個人資料保護法，已符合歐盟資料保護規則中准許進行境外傳輸的標準。其中包括以獨立的個人資料保護機關來確保必要的保全機制能確實執行等五點（新設立個人資料保護委員會、個人資料定義的明確化、個人料去識別化、非法販賣個人資料之處罰、其他）。 歐盟對此表示，雙邊對於個人資料保護之標準的差異性已經漸漸縮小，利於日本與歐盟間個人資料國際傳輸的環境也已經逐漸形成。目前於歐盟境內設立子公司或是設立法人的日本企業，預期2018年即能自由就歐盟境內雇員或顧客的個人資料，進行日本與歐盟間的國際傳輸。 由於歐盟關於個人資料之保護，為歐洲聯盟基本權利憲章（Charter of Fundamental Rights of the European Union）所明定，企業若非法進行個人資料境外傳輸，會被處以高額罰金，金額約相當於該企業一年內全球營業額總額的4%或2000萬歐元，兩者取其高者為上限；股東甚至也可能面臨被提起訴訟的風險。日本此次修法，對日本在歐盟境內的企業經營將帶來莫大的裨益。
日本與歐盟達成GDPR適足性認定之合意，預定於今年秋天完成相關程序日本個人情報保護委員會於5月31日與歐盟執行委員會，對於取得之個人資料跨境傳輸相互承認達成實質合意。歐盟今年5月施行之歐盟個人資料保護規則（European Union General Data Protection Regulation,GDPR）對於個人資料之跨境傳輸係採「原則禁止、例外允許」模式，因此只有在符合例外之情形下，個人資料才能進行跨境傳輸，而例外獲得許可的情形包括由企業自主採行符合規範的適當保護措施，或取得個資當事人明確同意等方式。此外，GDPR也規定對第三國或地區個人資料保護水平是否達到GDPR標準，為適足性認定制度，取得此一認定資格者，即可自由與歐盟間進行個人資料跨境傳輸。目前有瑞士等11個國家及地區取得認定，日本則尚未取得。 日本為了減輕企業的負擔，2016年7月個人情報委員會決定處理方針，以取得相互認定承認為目標；於2017年1月歐盟執行委員會政策文書發表，將日本列為適足性認定之優先國家，將持續進行雙方後續對話。自2016年4月自2018年5月為止累計對話協商53次。於2017年5月施行修正之個人資料保護法，新導入域外適用規定，並對於國外執行當局為必要資訊提供為相關規定。依據上述對話意見，今年2月14日審議擬定「個人資料保護法指引－歐盟適足性認定之個人資料傳輸處理編(個人情報の保護に関する法律についてのガイドラインーEU域内から十分性認定により移転を受けた個人データの取扱い編)」草案，於今年4月25日至5月25日完成草案預告及意見徵集程序，預定於今年7月上旬訂定發布。其後，將於今年秋天完成歐盟與日本間相互指定與認定程序。亦即，個人情報保護委員會基於個人資料保護法第24條規定，指定歐洲經濟區（EEA）為與日本有同等水準之個人資料保護制度之外國，而歐盟執行委員會依據GDPR第45條規定，認定日本為具備適足保護水準。相互認定後，日本與歐盟間得相互為個人資料傳輸，如有相互協力必要性發生時，個人情報保護委員會及歐洲執行委員會應相互協議以為解決。