德國公布最新DiGA指引，針對「系統數據分析」作補充說明
德國聯邦藥品暨醫療器材管理署（Bundesinstitut für Arzneimittel und Medizinprodukte, BfArM）於2022年3月18日發布3.1版《數位健康應用程式指引》（Digitale Gesundheitsanwendungen(DiGA) Leitfaden），主要針對3.0版未詳盡之「系統數據分析」（Systematische Datenauswertung）部分作補充說明（參考資料四，頁152以下）。
德國於2019年12月即透過《數位化創新醫療服務法》（Digitale-Versorgung-Gesetz, DVG）修訂《社會法典》第五編（Sozialgesetzbuch Fünftes Buch, SGB V）關於法定健康保險之規定，賦予數位療法（Digital Therapeutics, DTx）納保給付的法律基礎，BfArM並透過《數位健康應用程式管理辦法》（Digitale Gesundheitsanwendungen-Verordnung – DiGAV）建構處方數位療法（Prescription Digital Therapeutics, PDT）的管理架構並發布DiGA指引，使數位療法得以快速被納入法定健康保險給付範圍。
開發商之數位健康應用程式取得歐盟醫療器材規則（Medical device regulation, MDR）CE Mark I & IIa級認證之後，得向BfArM提交申請，若該應用程式「符合法規要求」（Anforderungen），並具有「積極醫療效果」（Positive Versorgunseffekte），則該應用程式最快可以在三個月取得永久許可，通過許可將被列入DiGA目錄（DiGA-Verzeichnis）當中；而若僅「符合法規要求」則會被暫時收錄，需在十二個月內補上「積極醫療效果」的證據或報告，以取得永久許可，否則會從DiGA目錄中刪除。DiGA目錄中的應用程式（包含臨時許可）會納入單一支付標準（Einheitlicher Bewertungsmaßstab, EBM），法定健康保險將依該標準表列之金額給付給製造商。
目前DiGA目錄上共有36款應用程式，當中13款取得永久許可、19款取得臨時許可、另有4款被刪除；三分之一的應用程式係用於治療焦慮或憂鬱等精神疾病，其他尚包括治療耳鳴或肥胖症等疾病。病患近用DiGA目錄中之應用程式的途徑有二：透過醫師開立處方，或是依照醫師診斷之病症自行在DiGA目錄中查找對應的應用程式後提交處方申請。法定健康保險將會依照該應用程式被使用之次數，對照EBM所列之價額後，給付費用予開發商。
本文同步刊載於stli生醫未來式網站（https://www.biotechlaw.org.tw）
- Tammy Lovell, France to enable rapid market access for digital therapeutics, HEALTHCARE IT NEWS, Oct. 20, 2021
- Für DiGA-Nutzer, Das Bundesinstitut für Arzneimittel und Medizinprodukte
- DAS BUNDESINSTITUT FÜR ARZNEIMITTEL UND MEDIZINPRODUKTE, Das Fast-Track-Verfahren für digitale Gesundheitsanwendungen (DiGA) nach § 139e SGB V(2022)
黃昱揚
副法律研究員 編譯整理
Tammy Lovell, France to enable rapid market access for digital therapeutics, HEALTHCARE IT NEWS, Oct. 20, 2021, https://www.healthcareitnews.com/news/emea/france-enable-rapid-market-access-digital-therapeutics (last visited Oct. 06, 2022).
Für DiGA-Nutzer, Das Bundesinstitut für Arzneimittel und Medizinprodukte, https://diga.bfarm.de/de/diga-nutzer (last visited Oct. 06, 2022).
DAS BUNDESINSTITUT FÜR ARZNEIMITTEL UND MEDIZINPRODUKTE, Das Fast-Track-Verfahren für digitale Gesundheitsanwendungen (DiGA) nach § 139e SGB V(2022), https://www.bfarm.de/SharedDocs/Downloads/DE/Medizinprodukte/diga_leitfaden.pdf;jsessionid=06E8EC899C579E265076C66E8E9F1DA1.intranet261?__blob=publicationFile, (last visited Oct. 13, 2022).
陳箴，〈英國展開醫療器材監管公眾意見徵詢並公布《人工智慧軟體醫材改革計畫》〉，資訊工業策進會科技法律研究所，2012年12月，https://stli.iii.org.tw/article-detail.aspx?tp=1&d=8765&no=64（最後瀏覽日：2022/10/06）。
劉芷宜，〈世界經濟論壇2020年十大新興科技報告，與健康和環境相關之前瞻科技發展備受矚目〉，資訊工業策進會科技法律研究所，2021年1月，https://stli.iii.org.tw/article-detail.aspx?tp=1&d=8600&no=64（最後瀏覽日：2022/10/06）。
中國大陸工業和信息化部於2016年3月25日草擬「互聯網域名管理辦法（修訂徵求意見稿）」，並對外徵求相關意見至本年4月25日止。 該部曾於2004年11月5日公布互聯網絡域名管理辦法，然因隨著網際網路的發展，先前相關規範已不符時宜。新修訂之「互聯網域名管理辦法（修訂徵求意見稿）」計有六章，共56條條文。其中包含總則、域名管理、域名服務、監督檢查、罰則、及附則等規範內容。 本次修訂的重點在於中國大陸希冀建立其境內之域名暨相關服務管理體系，在第3條即開宗明義規定，中國大陸工業和信息化部對全國的域名服務實施監督管理；第5條亦規定，互聯網域名體系由工業和信息化部公告。且該管理辦法明定「.CN」、「.中國」屬於頂級域名，相關服務必須由設於中國大陸境內，且具備一定法定要件者始可提出申請。 此外，本次修法也強化其政府對域名管理的力度，如該管理辦法第4條規定，各省、自治區、直轄市通信管理局負責對本行政區域內的域名服務進行監督管理。又依第9條規定，在中國大陸境內設立域名伺服器及伺服器運行機構、域名註冊管理機構和域名註冊服務機構等，都要取得工業和信息化部，或是各省、自治區、直轄市通信管理局的許可。 因此，不論何業者如欲使用中國大陸相關域名服務或進行伺服器營運等業務，都在必須在其境內註冊、接受其主管機關之管理，且違反者依第48條以下之相關規定，將可能被處以罰款、公告違法情事，或限期改正等。
英國政府公布物聯網設備安全設計報告及製造商應遵循之設計準則草案英國數位文化媒體與體育部於2018年3月8日公布「安全設計：促進IoT用戶網路安全（Secure by Design: Improving the cyber security of consumer Internet of Things）」報告，目的在於讓物聯網設備製造商於製程中即採取具有安全性之設計，以確保用戶之資訊安全。此報告經英國國家網路安全中心(National Cyber Security Centre, NCSC)、製造商及零售商共同討論，並提出了一份可供製造商遵循之行為準則（Code of Practice）草案。 此行為準則中指出，除設備製造商之外，其他包含IoT服務提供者、行動電話軟體開發者與零售商等也是重要的利益相關人。 其中提出了13項行為準則： 不應設定預設密碼（default password）； 應實施漏洞揭露政策； 應持續更新軟體； 應確保機密與具有安全敏感性的資訊受到保護； 應確保通訊之安全； 應最小化設備可能受到網路攻擊的區域； 應確保軟體的可信性； 應確保設備上之個資受到妥善保障； 應確保系統對於停電事故具有可回復性； 應監督設備自動傳輸之數據； 應使用戶可以簡易的方式刪除個人資訊； 應使設備可被容易的安裝與維護； 應驗證輸入設備之數據。 此草案將接受公眾意見至2018年4月25日，並規劃於2018年期間進一步檢視是否應立相關法律與規範，以促進英國成為領導國際之數位國家，並減輕消費者之負擔並保障其隱私與安全權益。
美國聯邦法院裁定執法部門無搜索令要求提供手機位置記錄並未違憲美國聯邦第六巡迴上訴法院於2016年4月13日就U.S. v. Timothy Ivory Carpenter & Timothy Michael Sanders案作出判決，裁定執法機關在未取得搜索令的情況下要求出示或取得手機位置記錄，並不違反憲法增修條文第4條。美國憲法增修條文第4條規定：「人人具有保障人身、住所、文件及財物的安全，不受無理之搜索和拘捕的權利；此項權利，不得侵犯；除非有可成立的理由，加上宣誓或誓願保證，並具體指明必須搜索的地點，必須拘捕的人，或必須扣押的物品，否則一概不得頒發搜索令。」 本案事實係聯邦調查局取得兩名涉及多起搶劫案之嫌疑人的手機位置，而根據手機位置之相關資料顯示，於相關搶案發生之時間前後，該二名嫌疑人均位於事發地半英哩至兩英哩的範圍內，故該二名嫌疑人隨後被控多項罪名。在肯認與個人通訊相關之隱私法益的重要性的同時，聯邦第六巡迴上訴法院認為，「縱使個人通訊之內容落於私領域，但是為了將該些通訊內容自A地至B地所必須之資訊，則非屬私領域之範疇。」聯邦第六巡迴上訴法院拒絕將憲法增修條文第4條的保護延伸至像是個人通訊或IP位址等之後設資料(metadata)，其原因在於，蒐集此等資訊或記錄並不會揭露通訊的內容，因此本案之嫌疑人就聯邦調查局所取得之資訊並無隱私權之期待。法院認定，此等行為不同於自智慧型手機取得資訊，因為後者「通常而言儲存了大量有關於特定使用人之資訊。」 2015年11月9日，美國聯邦最高法院拒絕審理Davis v. United States案，該案係爭執搜索令於執法部門要求近用手機位置資料時之必要性。加州州長Jerry Brown於2015年10月亦簽署加州電子通訊法(California Electronic Communications Act, CECA)，該法禁止任何州政府的執法機關或其他調查單位，在未出示搜索令的情況下，要求個人或公司提供具敏感性之後設資料。
新加坡個人資料保護委員會2017年7月發布資料共享指引新加坡個人資料保護委員會(Personal Data Protection Commission, PDPC)於2017年7月27日發布資料共享指引(GUIDE TO DATA SHARING)，該指引協助組織遵守新加坡2012年個人資料保護法(Personal Data Protection Act 2012, PDPA)，並提供組織內部和組織之間的個資共享指引，例如得否共享個資，與如何應用，以確保符合PDPA共享個資之適當方法；並得將特定資料共享而豁免PDPA規範。該指引共分為三部分，並有附件A、B。 指引的第一部分為引言，關於資料共享區分為三種類型探討： 在同一組織內或關係組織間共享 與資料中介機構共享(依契約約定資料留存與保護義務) 與一個或多個組織共享(在不同私部門間、公私部門間) 共享包含向一或多組織為利用、揭露或後續蒐集個資；而在組織內共享個人已同意利用之個資，組織還應制定內部政策，防止濫用，並避免未經授權的處理、利用與揭露；還應考慮共享的預期目的，以及共享可能產生的潛在利益與風險。若組織在未經同意的情況下共享個資，必須確保根據PDPA的相關例外或豁免之規定。 指引的第二部分則在決定共享資料前應考慮的因素： 共享目的為何？是否適當？ 共享的個資類型為何？是否與預期目的相關？ 在該預期目的下，匿名資料是否足以代替個資？ 共享是否需要得同意？是否有例外? 即使無須同意，是否需通知共享目的？ 共享是否涉及個資跨境傳輸? 上述因素還能更細緻對應到附件A所列應思考問題，附件B則有相關作業流程範例。 指引的第三部分，具體說明如何共享個資，與資料共享應注意規範，並提供具體案例參考，值得作為組織遵守新加坡個人資料保護規範與資料共享之參考依據。