英國國家醫療服務體系(NHS)公布國家資料退出(Opt-out)操作政策指導文件

  個人健康資料共享向為英國資料保護爭議。2017年英國資訊專員辦公室(ICO)認定Google旗下人工智慧部門DeepMind與英國國家醫療服務體系(NHS)的資料共享協議違反英國資料保護法後,英國衛生部(Department of Health and Social Care)於今年(2018)5月修正施行新「國家資料退出指令」(National data opt-out Direction 2018),英國健康與社會照護相關機構得參考國家醫療服務體系(NHS)10月公布之國家資料退出操作政策指導文件(National Data Opt-out Operational Policy Guidance Document)規劃病患退出權行使機制。

  該指導文件主要在闡釋英國病患退出權行使之整體政策,以及具體落實建議作法,例如:

  1. 退出因應措施。未來英國病患表示退出國家資料共享者,相關機構應配合完整移除資料,並不得保留重新識別(de-identify)可能性;
  2. 退出權行使。因指令不溯及既往適用,因此修正施行前已合法處理提供共享之資料,不必因此中止或另行進行去識別化等資料二次處理;此外,病患得動態行使其退出權,於退出後重新加入國家資料共享體系;應注意的是,退出權的行使,採整體性行使,亦即,病患不得選擇部分加入(如僅同意特定臨床試驗的資料共享);
  3. 例外得限制退出權情形。病患資料之共享,如係基於當事人同意(consent)、傳染病防治(communicable disease and risks to public health)、重大公共利益(overriding public interest)、法定義務或配合司法調查(information required by law or court order)等4種情形之一者,健康與社會照護相關機構得例外限制病患之退出權行使。

  NHS已於今年9月完成國家資料退出服務之資料保護影響評估(DPIA),評估結果認為非屬高風險,因此不會向ICO諮詢資料保護風險。後續英國相關機構應配合於2020年5月前完成病患資料共享退出機制之建置。

相關連結
※ 英國國家醫療服務體系(NHS)公布國家資料退出(Opt-out)操作政策指導文件, 資訊工業策進會科技法律研究所, https://stli.iii.org.tw/article-detail.aspx?no=64&tp=1&i=152&d=8119&lv2=152 (最後瀏覽日:2019/07/23)
引註此篇文章
你可能還會想看
歐盟個人資料侵害事故通知規則於2013年8月生效

  歐盟個人資料侵害事故通知規則(regulation on the notification of personal data breaches)於2013年8月生效,其目的係為統一歐盟各會員國有關個人資料侵害事故通知之規定,以使當事人可以獲得一致性的待遇,同時,業者於歐盟境內亦可採取一致性的作法。此規則將適用於所有供公眾使用之電子通訊服務(publicly available electronic communications services)提供者,例如網路服務提供者(Internet service providers)及電信業者,同時,其敍明前述業者所持有之個人資料如有發生洩露或其他侵害時,應通知當事人與通報主管機關之技術性程序(technical measures)。   依個人資料侵害事故通知規則之規定,業者於知悉個人資料侵害事故之24小時內通報主管機關,通報內容包括:事故發生之日期與時間、受侵害之個人資料之種類與內容、受影響之當事人人數、以及為降低對當事人可能帶的負面影響擬採取或己採取之組織上與技術上之措施。   個人資料侵害事故可能對當事人之個人資料或隱私產生負面影響,業者必須立即通知當事人有關個人資料侵害事故之情事,例如遭侵害之個人資料涉及金融資訊、個人資料遭侵害會造成當事人名譽受損或業者知悉該個人資料已被未經授權之第三人擁有時。若業者能證明其對被侵害之個人資料已滿足主管機關所要求的技術保護措施,使未經授權而取得資料之人無法探知該遭侵害之資料內容時,即無須通知當事人有關個人資料遭侵害之情事。

英國提出通訊資料法之草案

  英國內政部於2012年6月提出「通訊資料法」之草案(Draft Communications Data Bill),並將於10月舉行公聽會討論。   所謂通訊資料,非指通訊內容本身之資料,而係指通訊過程中所留下的相關紀錄性資料,包括通訊帳號所有人之資料、通訊之時間、長度、來源、位置等。而目前蒐集通訊資料之用途,多半為犯罪之偵防、避免緊急危難或反恐怖活動。其所牽涉之議題重點則為向提供通訊服務之公司調閱相關資料時,該公司是否有提供之義務,及調閱機關是否有相關權限或對資料之應用是否符合調閱之目的。   此次所提出之草案,主要可分為三大部分:第一部分賦予公務機關調閱資料之權限,並規定使用該等資料過程中,相關的安全保護措施與法定程序要求。第二部分規定調閱資料所必須的法定審查流程,包括主管機關內具備權限的高階主管,應依據比例原則,決定是否可調閱資料,並在一定情況下,須經司法機關審查。另外,國務大臣應建立一定審查機制,審核各主管機關之調閱目的與調閱程序恰當與否。最後,第三部分則是有關提升審查制度運作可能性之規定,諸如明訂各個機關所享有之調閱權,以及提供郵務及電信業務經營者相當之資源以配合機關調閱資料之需求。

英國資訊委員辦公室(ICO)進行監理沙盒初步公眾意見徵詢

  英國資訊委員辦公室(Information Commissioner's Office, ICO)2018年9月就監理沙盒為初步公眾意見徵詢,以瞭解其可行性。ICO監理沙盒之建立係依據英國2018-2021年科技策略(Technology Strategy for 2018-2021),並參考英國金融行為監理總署(Financial Conduct Authority, FCA)已成功發展之沙盒機制。ICO將提供組織於安全可控且不排除資料保護法規適用的環境下,以創新方式應用個資於開發創新產品與服務,並提供關於降低風險與資料保護設計(data protection by design)的專業知識和建議,同時確保組織採取適當安全維護措施。徵詢重點分為六部分: 障礙和挑戰(Barriers and Challenges):歐盟一般資料保護規則(General Data Protection Regulation, GDPR)或英國2018年資料保護法(Data Protection Act 2018, DPA18)之適用,以及ICO之監管方法,是否造成組織以創新方式應用個資於開發創新產品與服務之障礙或挑戰。 適用之可能範圍(Possible scope of an ICO Sandbox) 了解參與益處(Understanding the benefits of involvement) 機制(Sandbox mechanisms):於監理沙盒機制下不同階段提供指導,初期就如何解決資料保護相關問題提供非正式之指導(informal steers);中期提供法律允許與具適當保護措施之監管指導,如對參與者進入沙盒期間內非故意違反資料保護原則之行為,不會立即受到制裁之聲明函(letters of comfort)、確認組織未違反相關資料保護法規等;以及針對新興技術和創新特定領域,提供解決資料保護挑戰之預期指導(anticipatory guidance),如訂定相關行為準則(code of conduct)。 時機(Sandbox timings):包含開放申請進入沙盒時點、進入模式、是否彈性因應產品開發週期、測試階段期間等。 管理需求(Managing Demand):如設定優先進入沙盒領域、類型、設定參與者數量上限等。   該諮詢於10月12日結束,2018年底將公布結果,值得持續追蹤,以瞭解ICO監理沙盒未來之發展。   ICO亦接續於10月建立監管機關業務和隱私創新中心(Regulators’Business and Privacy Innovation Hub),與其他監管機關合作提供資料保護之專業知識,以確保法規與未來的技術同步發展;該中心也將與ICO監理沙盒共同推動,支持組織以不同方式使用個資開發創新產品和服務。

美國健康保險制度下的個人資料安全保護隱憂

  為降低美國人民在醫療保險費用的支出,同時加強管理現有的保險產業,同時提供美國人民一更易負擔的醫療保險制度,美國總統歐巴馬自上任以來遂特別加強推動美國健康保險制度,與相關現有醫療保險制度的建置與改革,並於2010年3月23日通過「病患保護與平價醫療法案」(The Patient Protection and Affordable Care Act,本法暱稱Obamacare),並計劃於今(2013)年10月正式啟動上路。   為集中且便利相關機構快速讀取單一個人之相關資訊,Obamacare計畫透過聯邦數據服務樞紐(The Federal Data Services Hub)的建置,彙整目前美國各單一政府單位所保有之全民個人資料,該類資料涵蓋個人醫療、教育、和財務等相關資訊,提供各州政府單位機關有需求時得以讀取。然而,儘管該服務樞紐的用意係為提供更完整的個人資料,然而其卻也因其本身具集中單一個人資料於一身的特性而受到各界的質疑。反對人士認為,由於該服務樞紐彙整龐大單一個人資料,因此若其未建立完善資訊安全機制,而遭受到不肖駭客入侵竊取個人資料的話,所造成的後果將影響甚遠,再加上未來將管理服務樞紐的美國衛生及公共服務部(The Department of Health and Human Services, HHS),遲遲未能讓外界信服其已建立充分的資訊安全保全系統來保障全美國人民的個人資料,因此反對人士對於該服務樞紐對於個人資料安全與隱私的保全能力感到堪慮。   根據美國隱私法(Privacy Act of 1974),美國政府需提供適當的隱私保全機制來保障美國人民的個人資料,同時,美國聯邦資訊安全管理法(Federal Information Security Management Act of 2002)亦要求美國政府需確保美國人民的個人資料不被濫用,故在該二法案的明文要求下,歐巴馬政府於推行Obamacare之際,相關資訊安全保全系統機制仍須符合標準始得合法運作。Obamacare上路在即,歐巴馬政府與相關部會該如何解決個人資料保護問題,其後續發展實值得觀察。

TOP