美國食品藥物管理局修訂《臨床研究電子系統、電子紀錄及電子簽章：問答集》指引草案
美國食品藥物管理局（U.S. Food and Drug Administration, US FDA）於2023年3月15日修訂《臨床研究電子系統、電子紀錄及電子簽章：問答集》（Electronic Systems, Electronic Records, and Electronic Signatures in Clinical Investigations: Questions and Answers）指引草案，為試驗委託者、臨床研究人員、人體研究倫理審查委員會、受託研究機構及其他利害關係人統整電子系統、電子紀錄及電子簽章常見問答，供食品、醫療產品、菸草製品及動物新藥臨床研究參考。
本指引草案修訂2017年6月21日所發布的《21 CFR part 11臨床研究使用電子紀錄及電子簽章—問答集》（Use of Electronic Records and Electronic Signatures in Clinical Investigations Under 21 Part 11-Questions and Answers），並將於本指引最終版確定後，取代2007年5月10日所發布的《臨床研究使用電腦系統》指引（Computerized Systems Used in Clinical Investigations）。US FDA認為電子系統、電子紀錄及電子簽章是可信且可靠的，並且通常可等同於紙本紀錄及手寫簽名的方式。
本指引修正重點如下：
一、新增電子系統驗證的風險基礎方法，以確保臨床研究建立、修改、維護、歸檔、檢索、傳輸電子資料及紀錄的真實性、完整性及機密性。
二、統整試驗委託者與資訊科技服務供應商合作應注意事項，以確保電子紀錄符合監管要求。
三、新增數位健康科技（digital health technology, DHT）定義及使用DHT考量重點。
關於臨床研究使用DHT，亦可參考2021年12月23日所公布的《透過數位健康科技擷取臨床研究遠端資料》（Digital Health Technologies for Remote Data Acquisition in Clinical Investigations）指引草案。該指引草案針對DHT的選擇、驗證、應用、訓練及風險提供相關建議。於臨床研究使用電子系統、電子紀錄及電子簽章已為國際趨勢，對於各國相關規範值得持續關注。
本文同步刊載於stli生醫未來式網站（https://www.biotechlaw.org.tw）
呂政諺
法律研究員 編譯整理
U.S. Food and Drug Administration [FDA], Electronic Systems, Electronic Records, and Electronic Signatures in Clinical Investigations: Questions and Answers, (Mar. 15, 2023), https://www.fda.gov/regulatory-information/search-fda-guidance-documents/electronic-systems-electronic-records-and-electronic-signatures-clinical-investigations-questions (last visited March 30, 2023).
U.S. Food and Drug Administration [FDA], Use of Electronic Records and Electronic Signatures in Clinical Investigations Under 21 Part 11-Questions and Answers, (Jun. 21, 2017), https://www.federalregister.gov/documents/2017/06/21/2017-12811/use-of-electronic-records-and-electronic-signatures-in-clinical-investigations-under-part (last visited March 30, 2023).
U.S. Food and Drug Administration [FDA], Computerized Systems Used in Clinical Investigations, (May 10, 2007), https://www.fda.gov/regulatory-information/search-fda-guidance-documents/computerized-systems-used-clinical-investigations (last visited March 30, 2023).
U.S. Food and Drug Administration [FDA], Digital Health Technologies for Remote Data Acquisition in Clinical Investigations, (Dec. 23, 2021), https://www.fda.gov/regulatory-information/search-fda-guidance-documents/digital-health-technologies-remote-data-acquisition-clinical-investigations (last visited March 30, 2023).
何佳穎，〈西班牙AEPD增加關於健康和個人資料保護關注領域〉，（2022）， https://stli.iii.org.tw/article-detail.aspx?tp=1&d=8844&no=64（最後瀏覽日：2023/4/6）。
張腕純，〈歐盟資料保護委員會對臨床試驗規則與GDPR之相互關係提出諮詢意見〉，《科技法律透析》，第31卷第4期，頁17-22（2019）。
謝易昕，〈美國衛生及公共服務部提出策略草案，以緩解健康資訊科技對醫護人員所造成的負擔〉，（2018），https://stli.iii.org.tw/article-detail.aspx?tp=1&d=8158&no=64（最後瀏覽日：2023/4/6）。
英國於2020年1月31日正式脫歐，同時積極爭取與重要貿易夥伴美國簽訂自由貿易協定（Free Trade Agreement, FTA）。然而，美國認定中國大陸華為的5G設備存在資安風險，可能被用於間諜活動進而威脅國家安全，故主張美英貿易合作與情報共享的前提，必須建立在英國排除使用華為5G網路基礎建設之上，對此英國嘗試透過政策研擬，在5G經濟發展與國家安全間求取平衡。英國國家網路安全中心（National Cyber Security Centre, NCSC）於2020年1月28日，即針對使用「高風險供應商（High risk vendors簡稱HRV）」之電信網路，提出風險管理建議，說明如何因應HRV帶來的網路安全風險及挑戰（須注意高風險供應商HRV不一定是關鍵供應商Critical Vendor，必須透過關鍵與否及風險高低兩個變動因素加以細部區分）。目前英國5G及光纖到戶（Fiber To The Home, FTTH）計畫推動處於關鍵階段，NCSC向電信營運商提出有關使用HRV設備的非拘束性技術建議，將有助於保護營運商免於外部攻擊，並降低英國電信網路的國家安全風險。 NCSC在報告中，針對何謂高風險供應商，及如何管理這些供應商帶來的特定安全風險，提出詳盡判斷標準包括：供應商在英國及其他地區網路中的戰略地位及規模、對網路安全控管品質及透明度、過去商業行為及慣例、向英國營運商供應技術的穩定性及彈性等。另外供應商有無接受外國政府補貼及營業地點是考量重點：包括該廠商所屬國家政府機構對其施加影響之程度、是否具備攻擊英國網路能力、業務營運的重要組成部分是否受到本國法律監管，進而與英國法律相抵觸甚至進行外部指導等。 又為減少由HRV引起的網路安全風險，NCSC對於HRV控管提出具體建議。包括應限制在5G或FTTP網路核心功能中使用HRV產品及服務，並將高風險廠商供應上限設定為35％，有效進行網路安全風險管理，平衡安全性風險和市場供應多樣化彈性需求。另外，其他具備敏感性的網路營運模式，例如大量個資蒐集、語音系統、記錄備份系統、寬頻遠端接入系統（BNG / BRAS）等，必須根據具體情況，對HRV進行限制；且不得在與政府營運或重要國家基礎設施，及任何與安全系統直接相關的敏感網路中使用HRV設備。目前，中國大陸華為是英國NCSC唯一認定的HRV廠商，華為被禁止參與英國5G網路建設的核心部分且受有市占率35%的供應限制；華為亦需遵守NCSC要求，訂定風險緩解策略，確保產品及服務不致威脅英國網路即國家安全。
美國與歐盟宣布跨大西洋資料保護框架美國和歐盟執委會於2022年3月25日宣布將建立新的跨大西洋資料保護框架（Trans-Atlantic Data Privacy Framework），該框架將促進美國與歐洲之間的資料流通，並解決歐盟法院在2020年宣布隱私盾協議（EU-U.S. Privacy Shield framework）無效時所提出的疑慮與問題。 該框架是重新建立美國與歐盟兩地個人資料傳輸的一個重要法律機制。美國承諾將實施新措施，以確保訊號情報活動（signals intelligence activities）是在必要且合法的國家安全目標下進行，並且不得不成比例地影響對個人隱私和公民自由的保護。基此，美國承諾的新措施包含強化美國訊號情報活動的隱私及公民自由保障機制、建立獨立且具約束力的救濟措施，以及強化美國情報機構對現有訊號情報活動的程序且分層監督。對於歐盟公民而言，將有全新且高標準的規範來保護個人資料；而對於美歐間的民眾和企業而言，該框架將可促進資料持續流動，足以鞏固歐美兩地每年高達一兆美元的跨境貿易，並使各種規模的企業能夠在彼此的市場中競爭。 資料流通對於美歐雙方的經濟關係以及所有企業而言都至關重要。事實上，美國和歐洲之間的資料流通所創造的經濟價值高達7.1兆美元，高居世界首位。在此背景下，新的跨大西洋資料隱私框架將強化美國與歐盟雙方對隱私、資料保護、法治和整體國家安全的共同承諾，未來美國與歐盟雙方將依此框架持續推進雙方各自相關的法律規範。
日本個人資料保護委員會發布「禁止不當利用」與「停止利用」論點資料作為將來發布指引參考日本為因應去年6月通過「個人資料保護法」之修正（下稱「新法」），個人資料保護委員會於2021年2月19日第166次會議議題「禁止不當利用與停止利用之完備指引論點」（改正法に関連するガイドライン等の整備に向けた論点について（不適正利用の禁止・利用停止等）），公開兩份論點資料，作為將來發布指引之參考，並使企業等關係者在新法實施準備期間，得採取適當措施以達到法遵要求。 新法第16條之2「禁止不當利用」，旨在防止不當利用個人資料致本人權益受損。於「禁止不當利用之論點資料」指出具體要件有(1)「違法或不當行爲」，係指違反個人資料保護法及其他法令之行爲，或有違公序良俗，在社會觀念上非屬正當之行為；(2)「助長或誘發之危害」，在認定上將限縮在以業者提供時有認識第三方將違法利用個人資料，並可預見提供個人資料將受違法利用之情形，以免造成寒蟬效應。若第三方刻意隱瞞取得目的，即使已盡相當注意仍不能預見違法利用之情形，則非屬「危害」。 新法第30條第5項擴大「停止利用」請求權範圍，於「停止利用之論點資料」指出適用要件有(1)「個人資料處理業務已無利用個人資料之需要」，即個人資料利用目的已消失或該事業已中止時；(2)「發生第22條之2第1項本文情形」，係指發生資料外洩依規定須報告委員會之情形；(3)「可能損害本人權益時」，係指依法受保護之正當權益有受損可能為必要。另論點指出請求停止利用必須在「為防止本人權益受損必要限度內」，故業者對於超出必要限度之部分得拒絕之。而對於停止利用所費不貲或顯有重大困難之情形，得依個案具體考量採取適當替代措施。
歐盟法院佐審官允許Google販售商標關鍵字給廣告業者針對法國知名品牌LVMH控告搜尋引擎大廠Google以其商標作為關鍵字，販售給網路廣告業者，使得當使用者鍵入商標關鍵字搜尋時，廣告業者之商業訊息及其網址會呈現在搜尋結果中，而侵害LVMH商標權的訴訟案中，歐洲法院佐審官（advocate General）Poiares Maduro提出了法律意見書。 在該意見書中，其認為Google允許廣告業者選擇和商標有關的關鍵字並不構成商標侵權，選擇關鍵字僅是Google和廣告業者二造間的內部活動，並沒有對公眾販賣和商標相同或類似的產品或服務，非商標法所謂之使用。另外，根據關鍵字搜尋結果而呈現廣告業者之網址，也不會造成消費者對原始產品或服務混淆的風險。網際網路的使用者知道在Google搜尋引擎做搜尋時，並非只有商標擁有者的網址會呈現，甚至有時他們並不是尋找商標擁有者的網址。消費者會依據廣告內容及造訪廣告網址來認定產品或服務的來源，不是僅依據隨商標關鍵字而呈現出的廣告就作出來源的認定。 該佐審官的法律意見雖然對歐盟法院沒有拘束力，但該法院在大部分的案件中仍會依循該意見，通常在該意見提出後大約六個月會作出裁判。