壹、前言

健康資料不僅是醫療照護的基石，亦已成為推動生醫研究、公共衛生決策以及人工智慧應用的重要資源。如何在保障個人資料自主與隱私的同時，促進健康資料之「二次利用」（secondary use），已成為全球資料治理的核心議題。近年來，歐盟持續關注個人資料保護與資料共享之間的平衡。2022年，歐盟執委會提出「歐洲健康資料空間」（European Health Data Space, EHDS）立法草案，旨在建立兼顧資訊安全與法制規範的跨境健康資料共享機制。該法案已於2025年3月正式施行，不僅回應歐盟「一般資料保護規則」（GDPR）自實施以來在目的外利用所面臨的規範瓶頸，亦在歐盟資料治理藍圖下進一步強化健康資料利用的公共性。

EHDS的立法設計，象徵歐盟意在彌合健康資料「原始利用」（primary use）與「二次利用」之間的規範落差，同時回應各會員國在健康資料保護政策執行上規範密度不一的現實挑戰。本文將以EHDS的立法架構為核心，聚焦於健康資料「二次利用」的規範基礎，並進一步探討其在法律架構與技術實踐層面所面臨的爭議與挑戰。藉由對EHDS條文之研析，結合歐盟資料治理的政策脈絡，本文旨在勾勒EHDS在資料治理上的制度創新，並對歐盟未來健康資料利用體系的建構方向提出初步評析。

貳、EHDS之立法背景與政策演進

歐洲健康資料空間的立法推動，是歐盟在數位主權與健康資料治理雙重目標下的重要政策。其制度雛形可追溯至2020年歐盟執委會發布之《歐洲資料戰略》（European Data Strategy），該戰略提出建立跨領域的資料空間（data spaces），其中「健康資料空間」被列為實踐之首要。此不僅為回應COVID-19疫情中所面臨歐盟境內跨境資料流通之障礙，也盼能藉由資料標準化與制度化之建立，提升歐盟在數位健康、醫療科技與人工智慧發展中的競爭力。

EHDS的制度設計受到現有法律框架，特別是歐盟GDPR的深刻影響。雖然GDPR強調個人的資料自主權，但對於健康資料的二次利用，諸如科學研究、健康監測、科技開發等方面存在一定程度的規範限制與實務瓶頸。許多歐盟會員國對於「合法依據」（lawful basis）與「資料最小化」（data minimisation） 等原則的理解各異，致使健康資料的跨境共享難以實踐。EHDS提出設立名為「HealthData@EU」的歐盟級健康資料平台，支援健康資料的跨境互通性與再利用，同時要求各國設置資料近用機構（Health Data Access Bodies, HDAB）作為授權與監管的節點。EHDS 的立法草案亦明確區分資料「原始利用」與「二次利用」的範圍，後者涵蓋了政策制定、科學研究、產品開發與公共衛生應變等應用目的。2024年3月，歐洲議會與歐洲理事會就EHDS草案達成政治協商，2025年3月26日法案正式公告施行，預計於未來數年內逐步推動會員國健康資料的整合與應用，此亦象徵歐盟正逐步從「資料保護」邁向「資料再利用」的資料治理模式。

參、EHDS健康資料二次利用之規範設計

一、二次利用之定義與適用範圍

為促進健康資料整合，EHDS的立法目的之一，在於提供健康資料二次利用的適法基礎。相較於資料原始利用主要以病患照護為目的，二次利用之法定目的多元，包含研究、監管、統計、人工智慧訓練與公共利益等用途。依據EHDS之規範，「二次利用」係指資料處理之目的非直接服務於個別病患之醫療照護，而是以提升公共衛生、促進醫療創新以及推動知識共享為核心。適用範圍上，EHDS所謂的二次利用，包括公共衛生監測與疾病預警系統建置、醫療健康政策之制定與評估、基於匿名或去識別資料進行的科學研究與統計分析、醫療產品與器材的安全性監控與品質改善、人工智慧演算法模型的資料訓練，以及學術機構與教育機構進行之非商業性資料利用。這些資料利用目的具有促進公共利益的性質，亦能對歐盟整體健康資料治理與跨國資料分享帶來裨益。

相對而言，EHDS也劃定了若干被明確排除的資料使用目的。例如，保險公司基於健康資料進行保費定價、僱主於招聘流程中存取應徵者健康資訊、或企業以此進行商業行銷與行為預測等，皆被視為與公共利益目的不符，或存在歧視或個資隱私之風險。藉由「目的限制」的立法技術，EHDS試圖建構一以公共利益為導向的資料再利用模式。此一規範邏輯，彰顯EHDS在資料治理上的重要轉變：資料再利用的正當性，不僅取決於技術上的可行性，而是藉由技術與規範共同形塑治理框架，進一步落實健康資料二次利用的適法基礎。

二、HealthData@EU與跨境資料基礎建設

為實現健康資料在歐盟會員國間的安全流通與共享，EHDS設計了HealthData@EU作為跨境資料的基礎設施架構。HealthData@EU並非集中式的資料庫，而是一「聯邦式」（federated）的技術與治理架構，旨在整合歐盟各國的健康資料，同時維持資料在地化（data localization）之原則。HealthData@EU的核心在於促進會員國間健康資料之可搜尋性（discoverability）與可授權性（authorisability），使其可以相互交換（interoperability），並支援資料申請者藉由遠端分析系統（remote secure computing environments）進行資料處理。此一設計不僅回應了部分會員國關於資料在地化的規範要求，也進一步強化了HealthData@EU架構對於資安與隱私保護的實踐。

技術上，HealthData@EU整合了歐盟既有的健康資料共享框架，例如eHDSI（跨境電子健康資料交換系統）與MyHealth@EU，並進一步擴展至支援二次利用目的之技術協定與法律程序。制度層面，各會員國需設立對應機構及技術可操作性，以確保資料可依統一之標準進行交互共享。平台內部亦具備多層授權與審核機制，涵蓋資料使用申請、倫理法律評估、技術可行性判斷等，形成一整合資料技術與治理規範的健康資料使用生態系。值得注意的是，HealthData@EU並不僅僅是一資料平臺，也代表歐盟對於健康資料「公共基礎建設化」的藍圖設計。藉由此平臺，歐盟試圖推動健康資料作為公共資源（data as a commons）之具體化，以提升資料可用性、避免重複研究資源投入，並促進健康與公共福祉的提升。

三、資料近用機構（HDABs）之設置與職權

EHDS法案的另一項重要制度設計，即是要求各會員國設立「健康資料近用機構」（HDABs），負責健康資料二次利用的審查與授權。HDABs的設置，旨在解決目前歐盟跨境研究中因資料審核程序不一、權責不清所造成資料治理碎片化的問題，藉此實踐資料近用程序的標準化。依據EHDS規範，HDABs具有數項明確職責，包括接受健康資料二次利用的申請、進行適法性與倫理評估、發放資料使用許可（data permit），以及監控使用行為是否符合許可內容。此外，HDABs也被賦予促進資料可近性之公共溝通任務，如提供資料應用諮詢、促進研究機構與資料提供方之對話等。在此制度設計下，HDABs既是資料保護的監理者，也是研究與創新應用的促進者，凸顯EHDS對於「資料治理即服務」（data governance as a service）理念的落實。

然而，值得注意的是，儘管EHDS法案嘗試明確化HDABs的功能與職掌，其具體實施細節仍允許會員國保留相當程度的自主空間。此一設計雖有助於尊重各國資料治理文化與制度上的差異性，卻可能導致執行層面的落差。因此，如何在尊重成員國規範差異的同時維持EHDS整體資料系統之互通性與可信任度，將成為HDABs未來於實務運作中的關鍵挑戰。首先，HDABs的執行方式若因國情不同而出現差異，將造成跨國資料近用程序的不一致，進而削弱EHDS作為「單一歐洲健康資料空間」的初衷。其次，當各國在隱私保障強度與審查效率上存在落差時，亦可能影響申請者對於EHDS整體運作與可信任度的信心。再者，此一規範實踐上寬鬆不一的狀態，則可能使資料申請者存有「規範套利」（regulatory arbitrage）的動機，傾向選擇制度較為寬鬆的國家進行資料近用申請，進一步加劇歐盟區域間關於個資保護的落差。因此，如何在尊重成員國多樣性的同時，藉由共同的技術標準、最低限度的法律保障與跨國協調機制，確保EHDS系統在運作上能維持一致性與公平性，將成為HDABs在未來實務運作中的關鍵挑戰。

四、EHDS與GDPR間之規範競合

EHDS作為歐盟健康資料二次利用的規範基礎，與以嚴格個人資料保護著稱的GDPR規範如何競合，是EHDS能否落實資料共享的關鍵。EHDS並未試圖凌駕GDPR，而是在GDPR賦予個人資料自主權的基礎上，進一步設計符合健康資料二次利用的適法機制。EHDS允許健康資料在符合法定公共利益目的時進行二次利用，而無需取得事前同意（opt-in consent），但允許資料主體得隨時選擇退出 （opt-out），並採取去識別或匿名化技術作為安全維護措施。此一「目的導向的放寬」（purpose-based derogation），為科學研究及符合資料二次利用法定目的之資料再利用提供了適法基礎，也試圖調和GDPR本於「目的限制」（purpose limitation）以及特定目的同意之原則，致使資料難以二次利用的限制。儘管EHDS法案明言其應與GDPR保持一致，但在實務上，「同意機制」的取捨與「合法依據」（legal basis）的重新界定，均可能造成法規適用上的混淆。

同時，EHDS亦強化GDPR中的透明性與問責原則。資料主體不僅有權知悉其資料是否被納入二次利用，也可藉由選擇退出的方式，排除自身資料參與特定目的用途。 此外，HDABs在核發使用許可前，亦需評估資料處理計畫中的去識別標準、使用目的正當性、資料最小化原則等，以確保資料的整合及利用符合規範。GDPR作為歐盟資料保護法制的核心，其對個人資料的處理設有嚴格限制，特別是對於「敏感資料」，包括健康資料的處理必須基於資料主體之明示同意，除非有明確的法律例外。EHDS作為特別法，在不全面改寫GDPR的前提下，引入「公共利益導向」的資料再利用模式，可謂一亟具制度實驗性的立法嘗試。

然而，EHDS採取目的限制例外條款，允許在特定條件下資料得不經明示同意開放二次利用，此舉可能與GDPR對於有效同意所強調的「具體明確」與「資訊充分」的要求產生衝突。特別是對於「假名化」（pseudonymisation）與「匿名化」（anonymisation）之技術區別，在GDPR與EHDS之間並無統一標準，導致在實務上可能出現不同監管機關對於去識別技術之認定存在落差。EHDS採用「目的導向」的資料使用例外條款，使得不經同意即可處理特定類型的健康資料成為可能，這與GDPR強調以明確同意作為資料處理之適法基礎存在一定程度的緊張關係。GDPR對健康資料等敏感資料高度保護之要求，使的EHDS在設計資料流通機制時不得不仰賴成熟的去識別化技術，而這些技術的安全性與相應之法律效果，至今仍存有爭議。再者，EHDS所強調的「資料再利用」原則與GDPR「資料最小化」原則亦存在規範實踐上的潛在張力，顯示無論在技術或法理層面，EHDS與GDPR兩者仍需進一步調和。

此一衝突在資料跨境流通的情境下更為複雜。雖然EHDS設計了跨境平台HealthData@EU以促進歐盟會員國間資料分享之可互操作性，但不同會員國對於GDPR的解釋與執行仍存有差異。例如，德國資料保護機構長期對於健康資料使用抱持審慎之態度，與EHDS對資料開放性的期待產生落差。未來EHDS若未能釐清與GDPR規範與實踐層面之競合，其制度之落實將可能面臨質疑，甚而引發法律爭訟風險。

五、去識別化暨風險管理機制

儘管EHDS對健康資料的二次利用建立了法律與治理框架，但資料共享所伴隨的風險，包含隱私洩露、資料再識別與正當性爭議仍帶來一定的挑戰。為此，EHDS法案強調資料的可近性（availability）必須與資料的可控性（controllability）同步發展，藉由技術與治理制度共同構築風險管理機制。在技術層面，EHDS鼓勵資料處理者運用多種「隱私強化技術」（Privacy-Enhancing Technologies, PETs）來降低風險。例如，差分隱私（Differential Privacy）可在維持統計準確度的同時，抑制個別資料主體被識別之風險；安全多方計算（Secure Multi-Party Computation, SMPC）與同態加密（Homomorphic Encryption）等加密技術，則允許資料在不被解密的情況下進行分析。此外，EHDS也支持建立「遠端安全分析空間」（secure computing environments），讓研究人員在資料在地化的條件下完成運算，避免敏感資料實體跨境傳輸所產生的風險。

制度層面上，EHDS要求資料申請者在提出使用申請時，需同時提交完整的資料使用計畫書（data use plan），內容包括資料使用目的、技術措施、預期產出與風險應對策略。此類計畫書將作為資料近用機構審查與授權的依據，亦可納入後續監理及問責機制之中。值得注意的是，EHDS並未設立中央級別之審查機構，而是將審查監督權責交由歐盟會員國自行設計，賦予一定的制度彈性。然而這也意味著，在具體的規範執行層面，會員國之間可能出現技術標準與隱私風險評估不一等問題，因而，日後仍需仰賴歐盟層級之跨國協調與技術相互支援等機制作為調和。

整體而言，EHDS採取的是「事前風險緩釋」（ex-ante risk mitigation）與「事後問責」（ex-post accountability）並重的資料治理模式，藉由技術設計降低潛在風險，也強調資料申請制度上的透明性與責任分配。此一模式雖尚須全面實踐作為檢驗，但其系統性設計已為健康資料治理建立了新的模式......