美國食品藥物管理局修訂《臨床研究電子系統、電子紀錄及電子簽章：問答集》指引草案
美國食品藥物管理局（U.S. Food and Drug Administration, US FDA）於2023年3月15日修訂《臨床研究電子系統、電子紀錄及電子簽章：問答集》（Electronic Systems, Electronic Records, and Electronic Signatures in Clinical Investigations: Questions and Answers）指引草案，為試驗委託者、臨床研究人員、人體研究倫理審查委員會、受託研究機構及其他利害關係人統整電子系統、電子紀錄及電子簽章常見問答，供食品、醫療產品、菸草製品及動物新藥臨床研究參考。
本指引草案修訂2017年6月21日所發布的《21 CFR part 11臨床研究使用電子紀錄及電子簽章—問答集》（Use of Electronic Records and Electronic Signatures in Clinical Investigations Under 21 Part 11-Questions and Answers），並將於本指引最終版確定後，取代2007年5月10日所發布的《臨床研究使用電腦系統》指引（Computerized Systems Used in Clinical Investigations）。US FDA認為電子系統、電子紀錄及電子簽章是可信且可靠的，並且通常可等同於紙本紀錄及手寫簽名的方式。
本指引修正重點如下：
一、新增電子系統驗證的風險基礎方法，以確保臨床研究建立、修改、維護、歸檔、檢索、傳輸電子資料及紀錄的真實性、完整性及機密性。
二、統整試驗委託者與資訊科技服務供應商合作應注意事項，以確保電子紀錄符合監管要求。
三、新增數位健康科技（digital health technology, DHT）定義及使用DHT考量重點。
關於臨床研究使用DHT，亦可參考2021年12月23日所公布的《透過數位健康科技擷取臨床研究遠端資料》（Digital Health Technologies for Remote Data Acquisition in Clinical Investigations）指引草案。該指引草案針對DHT的選擇、驗證、應用、訓練及風險提供相關建議。於臨床研究使用電子系統、電子紀錄及電子簽章已為國際趨勢，對於各國相關規範值得持續關注。
本文同步刊載於stli生醫未來式網站（https://www.biotechlaw.org.tw）
呂政諺
法律研究員 編譯整理
U.S. Food and Drug Administration [FDA], Electronic Systems, Electronic Records, and Electronic Signatures in Clinical Investigations: Questions and Answers, (Mar. 15, 2023), https://www.fda.gov/regulatory-information/search-fda-guidance-documents/electronic-systems-electronic-records-and-electronic-signatures-clinical-investigations-questions (last visited March 30, 2023).
U.S. Food and Drug Administration [FDA], Use of Electronic Records and Electronic Signatures in Clinical Investigations Under 21 Part 11-Questions and Answers, (Jun. 21, 2017), https://www.federalregister.gov/documents/2017/06/21/2017-12811/use-of-electronic-records-and-electronic-signatures-in-clinical-investigations-under-part (last visited March 30, 2023).
U.S. Food and Drug Administration [FDA], Computerized Systems Used in Clinical Investigations, (May 10, 2007), https://www.fda.gov/regulatory-information/search-fda-guidance-documents/computerized-systems-used-clinical-investigations (last visited March 30, 2023).
U.S. Food and Drug Administration [FDA], Digital Health Technologies for Remote Data Acquisition in Clinical Investigations, (Dec. 23, 2021), https://www.fda.gov/regulatory-information/search-fda-guidance-documents/digital-health-technologies-remote-data-acquisition-clinical-investigations (last visited March 30, 2023).
何佳穎，〈西班牙AEPD增加關於健康和個人資料保護關注領域〉，（2022）， https://stli.iii.org.tw/article-detail.aspx?tp=1&d=8844&no=64（最後瀏覽日：2023/4/6）。
張腕純，〈歐盟資料保護委員會對臨床試驗規則與GDPR之相互關係提出諮詢意見〉，《科技法律透析》，第31卷第4期，頁17-22（2019）。
謝易昕，〈美國衛生及公共服務部提出策略草案，以緩解健康資訊科技對醫護人員所造成的負擔〉，（2018），https://stli.iii.org.tw/article-detail.aspx?tp=1&d=8158&no=64（最後瀏覽日：2023/4/6）。
2019年2月澳洲政府依據「我的健康紀錄法」（My Health Records Act 2012），執行全國國民納入「我的健康紀錄系統」（My Health Record System）（下稱系統）之政策，有將近9成的國民被納入系統，為解決急診醫師在緊急救治時，需查看病患醫療資訊的需求；澳洲數位健康局（Australian Digital Health Agency, ADHA）於2019年11月發布了一項全國倡議的政策:急診醫師能使用我的健康紀錄系統，在急迫情形下即時做診斷。因此澳洲健康安全與品質委員會（Australian Commission on Safety and Quality in Health Care）與澳洲急診醫學院（Australasian College for Emergency Medicine, ACEM）共同訂定「急診醫師使用我的健康紀錄之指引」（Emergency Department Clinicians’ Guide to My Health Record）（下稱指引）提供急診科醫師參考，說明如下: 原則上只有病患之家庭醫師或主治醫師才能進入系統查看病患的醫療資訊，其他未經同意的醫師不得隨意查看病患的醫療資訊，但若病患發生急救狀況時，則允許急診醫師得使用系統查看病患之醫療資訊，例如:使用藥物資訊、各醫師之醫療診斷書、照顧資訊、處方簽紀錄，病患用藥歷史、住院紀錄、家族病史、專家建議信（Specialist letters）、器官捐贈與預立醫療決定（Advance care plans）、病理診斷、病人自行輸入的資訊，例如過敏反應等，協助急診醫師能使用病患就醫紀錄迅速的做診斷；允許急診醫師得直接查看病患之醫療資訊，也解決急診醫師在救治時，無法即時與病患之家庭醫師聯繫問題。另外，系統之病歷電子化也為急診醫師帶來益處，例如:醫療資訊的合併，整合病患的就醫資料、減少不必要及重複的檢查，即時傳遞醫療資料等。此外，為了保障國民之資訊自主，醫師必須尊重病患的權利，例如病患得使用取消功能來刪除病歷資訊、限制特定醫療人員或醫療機構查看、限制查看資料的類型等。 這項指引使急診醫師能更了解如何使用系統、在緊急救護時，得隨時能查病歷資料做出最佳的處置、系統化的便利性為急診醫師節省許多處理時間，並促進與提升醫療品質。
客戶機密資料外洩事件頻傳 美國AT＆T 8月底也被駭美國資安事件頻傳，美國 8/30 驚傳電信及電報公司（ AT ＆ T ）購物網站中之顧客消費資料遭駭客竊取事件。 AT ＆ T 發言人表示工程師在發現異狀後一個小時內關閉該網站並已採取相關保護措施，據 AT ＆ T 估計約 1 萬 9 千名在該網頁上以信用卡消費的顧客機密資料已外流，目前該公司正進行通知客戶之動作，並聯繫相關信用卡公司，期能將對顧客之損害降至最低。 AT ＆ T 通知當事人之作法，符合美國立法之趨勢。目前美國除了部分州已經通過立法要求資料持有業者必須將資料外洩事件告知當事人外，今年 7 月 19 日 Virginia 州議員 Thomas Davis 亦提出美國聯邦法典第 44 編（ title 44 ）修正提案，該提案通過後將強化美國聯邦法典中對於個人資料外洩時資料收集者之告知義務，以避免當事人因此蒙受損失。 雖然法規要求漸趨嚴格、完整，但長期關注隱私權問題之 Privacy Rights Clearinghouse 估計，美國自去年 2 月起至今年 8 月底止，約有 9100 萬人次之機密資料遭到竊取，換言之，約 1/3 的美國人機密資料曾遭竊取或外洩，網際網路與駭客技術的發展使得機密資料今日已不再機密了。
法國通過反盜版法案「創作與網路法」法國國會於2009年04月通過名為「創作與網路法」（Creation and Internet law）的反盜版法案，凡是非法下載遭發覺的網路使用者，執法單位將有權中斷其網路連線，若非法下載遭發覺超過兩次，執法單位得中斷其網路連線長達一年。而此次通過的新法，將取代現行非法下載者得處以最高3年以下的有期徒刑及30萬歐元罰款的規定。 此項法案受到法國當地權威音樂人士如Johnny Hallyday及Charles Aznavour等人的大力擁護，共有超過一萬名的藝術家聯署支持該項法案，支持者認為新法可望阻絕非法的影片及音樂盜版行為，法國文化部長Christine Albanel亦表示其期待新法可以解決文化商品頻遭侵害的現象。 但此項法案亦卻飽受消費團體的批評，部分反對者更直言新法不啻侵犯了公眾及個人的自由。法國消費者權益保護組織「消費者聯合會」（UFC-Que Choisir）抨擊新法是「司法怪物」（legal monstrosity），其表示網路使用者遭到中斷連線前，根本毫無機會回應執法單位的指控。另一個代表多家高科技與電子商務業者的協會，亦向政府請求在產業界提出替代解決方案前，暫緩實施該項法案。
美國針對政府雲端運算應用之資訊安全與認可評估提案為建構政府雲發展的妥適環境，美國於今年度啟動「聯邦風險與認可管理計畫」（Federal Risk and Authorization Management Program, FedRAMP），由國家技術標準局（National Institute of Standards and Technology, NIST）、公共服務行政部(General Service Administration)、資訊長聯席會(CIO Council)及其他關連私部門團體、NGO及學者代表共同組成的跨部會團隊，針對外部服務提供者提供政府部門IT共享的情形，建構一個共同授權與持續監督機制。在歷經18個月的討論後，於今（2010）年11月提出「政府雲端資訊安全與認可評估」提案（Proposed Security Assessment & Authorization for U.S Government Cloud Computing），現正公開徵詢公眾意見。 在FedRAMP計畫中，首欲解決公部門應用雲端運算所衍伸的安全性認可問題，因此，其將研議出一套跨部門共通性風險管理程序。尤其是公部門導入雲端應用服務，終究會歸結到委外服務的管理，因此本計劃的進行，是希望能夠讓各部門透過一個機制，無論在雲端運算的應用及外部服務提供之衡量上，皆能依循跨機關的共通資訊安全評定流程，使聯邦資訊安全要求能夠協調應用，並強化風險管理及逐步達成效率化以節省管理成本。 而在上述「政府雲端資訊安全與認可評估」文件中，可分為三個重要範疇。在雲端運算安全資訊安全基準的部份，主要是以NIST Special Publication 800-535中的資訊安全控制項作為基礎；並依據資訊系統所處理、儲存與傳輸的聯邦資訊的敏感性與重要性，區分影響等級。另一部份，則著重在持續性的系統監控，主要是判定所部署的資訊安全控制，能否在不斷變動的環境中持續有效運作。最後，則是針對聯邦資訊共享架構，出示模範管理模式、方策與責任分配體系。