登入‧加入會員  | 購物車 |  購書服務 |  會員專區 |  會員Q&A |  書店公告 |  教師資源 |    sitemap 

元照

高級檢索

新書閱讀

研討會新訊

 看更多2020年時事短評
發佈日期:2020/04/06

你的健保資料被利用了嗎?
──淺談醫療資訊之「去識別化」


背 景

G公司與A公司簽訂雲端服務合作協議,積極進軍醫療領域,以建立現代化資訊系統及為醫師提供新工具作為目標。經報導,G公司於醫師不知情之情況下,存取大量患者之醫療紀錄,此不同於G公司平時所蒐集之大多數個資,醫療紀錄受到聯邦政府嚴格監管。G公司亦正測試人工智慧檢視醫療紀錄和尋找模式,並與A公司共享患者資料,只要G公司同意保護相關資訊,並在協議範圍內使用即可。而G公司雲端運算業務主管指出:「在這項協議下,A公司之資料僅可用於協議內所提供之服務,尚不得用於其他目的,而患者資訊不能也不會與任何G公司用戶個資做連結。」

焦點檢視

一、前言

在AI之發展過程中,大規模之個人醫療資訊(即「醫療大數據」)為AI醫療系統所使用,由於醫療資訊涉及個人之高度隱私,如未進行較嚴格限制,將對人民之隱私權造成過度侵害。惟一旦限制過高,又將造成AI醫療系統無法獲得所需資料,進而影響醫療系統之發展,此即屬個人隱私權與AI醫療系統發展間之利益衝突,學理上傾向以「去識別化」之方式解決。

二、個人醫療資訊之使用

(一)對於個人醫療資訊之蒐集、處理、再利用

從個人資料保護法(下稱「個資法」)第6條之規定可知,對於人民之醫療、病歷等敏感資訊,原則上無論是公務機關或非公務機關皆不得任意蒐集、處理、再利用,僅於部分例外情況方得為之。其中,第4款之情形,即為「去識別化」之具體規範。

惟究竟何謂「去識別化」?其係指個人資訊經「去識別化」處理過後,應無法再由資料、資訊、檢體回溯至個人身份之行為,其最終目標係使相關個人資訊不再具有「個人」之特性。

(二)去識別化之判斷標準

對於個人資料在何種情況下將喪失獨特性及個人化特徵,而不再受到個資法所保護,個資法第2條第1款僅單純以其是否可透過直接或間接之方式進行識別作為判斷;而最高行政法院於106年度判字第54號判決則認為,資料是否仍屬「個人資料」,應以其「去識別化」是否完成作為判準。

然究竟資料經過處理後,應由何人對於該資料是否已達無法識別之狀態,本法及施行細則均無相關之定義。高等行政法院103年度訴更一字第120號判決認為,應以資料接收者之角度辨別該資料是否有直接或間接識別之可能;而前述之最高法院判決則認為若資料蒐集者仍有還原資料與資料主體連結之可能時,即非屬去識別化之資料,然若僅資料釋出者得以還原,則應肯認其符合去識別化之標準。

三、「去識別化」與資訊自決權之關係

(一)資訊自決權之意涵

資訊自主權係指個人自主控制自身資料之資訊隱私權,其包含人民能夠決定是否揭露,以及在何種範圍內、於何時、以何種方式、向何人揭露之決定權。此外,人民對於個人資料之使用亦有知悉權、控制權以及更正權。

(二去識別化與資訊自決權之衝突

首先,不應直接將經過去識別化之個人資料排除於個人資料保護法之保障範圍,理由在於除了去識別化之過程一旦有違法之情形時,該非法蒐集、處理之個人資料即使經去識別化之處理,仍應受到個資法之保護而不得隨意利用外,若允許政府或私人企業得任意將人民之個人資料進行去識別化後,即宣稱其不再受到個資法之保護,此時人民對於個人資料究竟被誰持有、被如何使用將無法清楚掌握,有違上述資訊自決權保障之意涵。

而另一個問題在於之所以要將個人資料去識別化,原則上係為確保個人之資訊自決權不受到侵害,然對於醫療個人資訊去識別化可能會降低個人資料之利用價值,則若為使個人醫療資訊能真正的被利用於醫療AI系統中,其應如何取得當事人之同意,即係最重要之問題。同時對於醫療資訊之蒐集,是否應逐一取得同意?以及是否須根據不同之資料類型以不同之方式為之?此等問題值得吾人深思。

四、本案之處理

本案中,G公司係為私人企業,而其與醫療體系合作取得病患之個人醫療資訊,雖立意良善,且其宣稱該等醫療資訊並不會利用於其他目的,患者資訊亦不會與任何G公司用戶之個資做結合。然醫療資訊係屬高度敏感之個人資訊,G公司直接從A公司處獲取該等個人資訊而未經其同意,蓋人民去醫院看病時,原則上其僅可能同意醫院本身對於其醫療資訊進行蒐集利用,該同意之範圍應不及於第三方之私人企業。

因此,G公司蒐集、利用該資訊並未經過個人之同意,此時縱使其已對該等資訊進行去識別化之處理,醫療資訊仍因其手段係屬違法而未脫離個人資料之範疇,則個人之資訊自決權即有受到侵害之疑慮,人民應得向G公司請求將其個人之醫療資訊,自G公司所研發之醫療AI系統中消除。

五、結論

個人資訊在現今資料流通十分迅速之情況下,稍有不慎,即有揭露於公眾,並為他人所利用之可能。政府雖欲以去識別化之方式降低個人資訊之利用對資訊主體所產生之影響,然我國現行之規定尚不足以妥善處理去識別化本身之問題及其所帶來之後果。因此,對於人民資訊自決權之保障,尚有許多問題有待立法者以修法之方式解決。


法領域個人資料保護法、人體研究法、人體生物資料庫管理條例




 看更多2020年時事短評