島國沙龍 VIII：健保資料庫及其使用（Q&A篇）

對談 ／
李崇僖 台北醫學大學醫療暨生物科技法律研究所教授
許瑞彰 筑波醫電首席顧問

主持／陳惠敏 島國前進執行長
紀錄整理／島國前進秘書處

在兩位來賓表達過各自對於台灣「健保資料庫」的使用觀點後，這次的線上沙龍便進入Q&A的互動交流時間，除了直播現場觀眾有提出來的問題外，島國前進基金會事前有蒐集一些民眾對於健保資料庫的疑問請教兩位與談者，這些問題將一併由陳執行長代為提出。

陳：謝謝崇僖，剛剛提到蠻多重大的問題，譬如說是要立法還是要修法。立法修法之外，因為個資法修法到時候也不是只為了解決這個問題，還有剛剛講得蠻多關鍵問題，有點感覺是要大修。第二個是，如果立一個特別法的話，這個特別法顯然會遇到一個我們行政部門，希望數位發展部成立之後才來動這些的話，應該很多東西會動不了。以目前政府體制來講，要多生一個部門而且有能力幹嘛的部門都不是一件很容易的事，更何況現在是政府部門其實要精簡的狀態裡面。所以這個會得一個怎麼樣的地位，其實會是一個蠻大的困難。剛剛有提到說，包括公共利益誰來判斷，我覺得這個可能是一個蠻爭議的東西。問題說是，如果我們要像類似英國或者是其他國家有個專責機關仲裁也好，判定也好，以台灣來想，我現在只能想到的是像公平交易委員會、NCC呀，就是說由獨立委員會的形式去做。因為如果不需要去走法院，不需要曠日費時的話。但如果是沒有效的話，也不會有人信賴這個專責獨立機構做得出來的。
此外，可能很多團體會問一個問題 — — 我不知道我的資料有沒有被用，怎麼被使用，我有沒有一種check的能力是說我隨時進去確認我知道我被使用的方式、範圍到哪裡？然後被哪些機關使用？是否有營利效果？因為台灣就是會很經常把它當作是一刀兩斷的東西在思考，所以我覺得蠻複雜。但是也很謝謝剛剛崇僖釐清得蠻清楚的。我想說請兩位回答看看剛剛先有幾個在留言底下問的問題。有個問題是說，如果我們允許去識別化的商業利用，來換取不漲健保費，如果退出的話就漲健保費，這有沒有違憲？這個問題可能要請崇僖回答。第二個問題是說，退出權或者是被刪除權。如果我的資料已經取得去識別化，那怎麼去退出？就是怎麼執行退出權或被刪除權？那是事前登記的？或者是透過資料使用者去個別詢問說：我現在到底什麼狀況？當然我知道現在目前就放在衛福部那邊，但我想往後肯定不是，因為這不是衛福部擅長可以做的事情，他們只是擁有Data的單位。所以到時候肯定不是它，如果是由它來做可能會有點卡卡的。
還有些我們之前一開始收到幾個問題，我也一併提出來，兩位看誰願意回答，可以說明。
第一個是問使用的問題，怎麼讓學術研究人員，或者是一般的產業者去接近健保資料庫，取得這些資料的使用，這也許等下可以問問許顧問這邊，你們長期推動的時候，這樣的想法是怎麼樣？那如何能夠更便利。
第二個是關於倫理隱私跟法律的問題。其實有部分健保署，學術研究者認為完全去識別化無法回推的個資，就不算個資，不應該被個資法保護。提問者是想問崇僖說：這個說法在法理上是合理的嗎？如果說無法回推就不算個資，沒有個資法保護。但你剛剛其實演講裡已經講得很清楚，這不只是個資保護的概念。
第三個，如果說開放完全去識別化的研究，這樣還有侵害隱私跟人權的疑慮嗎？如果說Data完全不能用任何形式被分析的話，那台灣大數據或者是精準健康是不是就永遠沒辦法有下一步推展的機會？
還有一個部分，剛剛崇僖也有講像日本、歐美的進展。他的問題是說，我們的發展時間點如果跟國際相比的話，我們大概是落在哪裡？是很前面還是我們的確有一堆DATA但其實沒有在用，還是怎麼樣？剛剛有提到一個國科會的計畫，有在對精準醫療那邊有些病灶的初步使用。第二個跟國際有關的，像愛爾蘭他們其實沒有健保系統，提問者對我們期許很高，他希望台灣未來可以協助愛爾蘭有些合作分享，以後這些Data可以多使用，其實也就是Taiwan can help的概念。那是不是請兩位就哪些問題可以來回應一下？

　　　　　　　　　Ｑ：關於退出健保資料庫就漲健保費以及Taiwan can help？

許：我先補充一點，我剛剛是從比較科學角度來看一個願景，四年前，我就看到台灣的醫生程度很好，又有很多病曆跟資料，那時候我才會提出一點，不管是健保資料庫或是病歷來講，像是一個金礦，我們醫生又願意投入跟AI科學家一起合作的話，其實這些醫生是最好的老礦工，是有經驗的老礦工。我們AI只是很好的提煉金屬，所以整個遠景來講，台灣的兩大優勢就是ICT跟醫生，通常他們是認為醫生是最聰明的，當然是比較聰明沒有錯。所以我為什麼一直在強調為什麼這幾年來這麼多的醫生，還有生技產業一直在講資料的應用是非常重要。我先回答一題，剛剛講說如果退出健保資料庫，就提高健保費用，其實沒有一個法學者會認為說這是對的，因為這有點情緒化的東西。我覺得法律一定要比較寬鬆或者是具有前瞻性的開放，但是如果opt-out的人就漲健保費，我覺得這個在學理上是比較不能認同的。
然後至於愛爾蘭的部分，我們不曉得是哪個單位，但是我覺得台灣這幾年不管是從交流還是對談，還有我們25年以來全民健保成功的案例經驗，的確是可以幫上一些忙。

　Ｑ：關於我的資料如何被利用？我可不可以拒絕？怎麼拒絕？不拒絕的話可以獲得回饋嗎?

李：就我能夠記得的先討論，等下惠敏可以再補充追問一下。剛剛有個問題蠻重要的，就是我可不可以知道我的資料被做怎麼樣的利用？這是個蠻重要的觀念，我剛剛沒有時間講。歐盟GDPR所想要發展出來的模式，歐盟公民可以很容易地在網站上追蹤他的資料被利用的情況，跟隨時可以去表達同意或不同意，也就是說隨時可以改變同意或不同意。我們現在的個資法，是以當事人同意為前提，才能去使用資料。其實我們一天到晚都在同意很多事情，我們使用很多網站都同意了它利用我們個資，這些網站就可以很容易使用你的資料，並且你也不知道怎麼用。所以我常說我們要把Data Protection資料保護的概念進化到Data Governance資料治理。那資料治理的概念就包含了動態同意，我表達同意同時我還可以知道你在做什麼，並且我可以隨時改變我同意的內容，那只要我們善用資訊科技，其實這不是很難做到的事，而且這點做到後，下一個階段可以進而做到的是，我們資料很有價值，所以甚至我可以透過這個機制產生利益的回饋，你想要讓我繼續同意的話，你就要想辦法讓我覺得有獲得好處。我舉最典型的例子，美國的NIH（National Institutes of Health，國家衛生院）從2015年開始推精準醫學，希望募集一百萬人提供他的檢體、病歷、家族病史等等，才可以去做一個很完整的醫學研究，達到精準醫學。這一百萬人基本上都是簽署同意參與，但你知道任何的同意在生醫研究裡面都意味著你隨時也可以撤回，所以我要確保你會繼續參與。所以他們有個很重要的原則，讓這些參與者可以得到關於他們參與的研究資料，衍生出來的資訊回饋，他會知道他的基因資料有什麼特性，將來我們基因研究發現什麼比較高風險的疾病，它還可以通知當事人。

陳：或者他可不可以先用，因為我們知道有些罕見疾病的研究走在比較前面的，那它在一個大數據的狀況底下，當事人自己其實可能不會去做一些基因的測試，後來事先發現的話，這個回饋應該可以主動做回來嘛！這樣子它提供的這些Data才有互相生產的結果，比較有創造性。

李：對！他們現在在做的是資訊的回饋，他認為在這個時代什麼東西對你最有價值，不是回饋錢給你，而是讓你掌握關於你自己的重要資訊。而且那些資訊是經過我的分析得出來的資訊，所以對你來說很有價值。但惠敏剛剛提到的說，如果這些東西開發成藥之後，是不是他可以用比較便宜的價格使用這些藥，其實這個在美國早就有這樣的模式了。在差不多兩千零幾年的時候，就已經有藥廠他會跟一些病友團體，有遺傳性疾病的家長組成的團體，會跟這個藥廠合作簽約，如果你這個經過我們提供的基因做研究之後找到可以快速篩檢出缺陷基因，或開發出的藥。我們這個基金會，因為病友團體會組成基金會，可以有權利以比較便宜價格或免費獲得這些藥。這個其實在美國來講，這個大概是在十幾年前就有這個模式存在。但我剛剛講的NIH，是個更大型的計畫，沒有辦法做一個承諾說這個東西開發的藥什麼，因為開發藥的不是NIH本身，但是至少可以提供你資訊的回饋這件事。我要講的是，這後面發展成很大的制度趨勢。台灣在目前為止，都沒有這類的討論。這個發展很大的趨勢是說，不是說一次性同意就失去了對你資料的控制權，並且我可以隨時動態性地表達我的同意，就是我對什麼樣的利用很支持，什麼樣的利用不支持。這個當然需要透過資訊的介面。再來就是說，剛剛講的，我可以得到benefit sharing，這個benefit重點不是錢，重點是那個資訊，那個資訊很有價值。剛剛提到的，我能不能知道我的資料被做成什麼利用，你提這問題的背後，國外很早就思考這個問題，並且他們有發展出蠻多的模式。台灣落後蠻多的。所以我基本上不覺得我們可以幫忙愛爾蘭什麼東西。愛爾蘭旁邊就是英國，英國就可以幫他了。有個問題說，去識別的資料怎麼行使退出權。我剛剛沒有特別講去識別跟匿名有什麼不同。去識別是我提供給你上面有編碼，你不會知道那是誰，但我這邊有個可以還原身份的資料掌握在我這裡。提供給你的資料就算是去識別了，但沒有到達匿名。所謂匿名是完全沒有辦法還原的可能性，客觀上已經斷掉連結性，就是匿名。去識別這個程度，還是個資，因為他仍然存在可以識別出身份的可能性，另方面技術上這種資料還是有可能行使退出權的。至於已經被匿名之後呢，理論上在個資法定義上，那筆匿名化的資料，不是個資了，而且也無從讓人主張退出了。但是這樣講當然有爭議，有人會覺得說，我們這些人的個資只要被你完全匿名化之後，好像就不是個資，好像怎麼用都可以。確實，我認為這是歐美發展出來個資保護時，沒有想到的層面問題，因為歐洲建構個資法之目的仍在保護隱私，而完全匿名的資料就不會有隱私疑慮了。因為隨著這個時代發展，匿名化的資料本身也很有價值。當然民眾（當事人）也會關心，那樣的東西，不應該完全沒有可以主張的權利。可是像這樣的事情，必須透過立法去建立制度。所以我們個資法勢必要修法，而且要跟上國際潮流跟科技發展的趨勢，去做最能夠讓台灣善用這些資料，做好資料治理跟透明性跟當事人權益的平衡法制。這當然是個很大的挑戰。台灣在這方面的討論真的太少。

陳：剛剛還有個問題，資料治理產業是不是個應該重視的產業，可是台灣現在有這個產業嗎？第二個問題是，協助資料使用者確實地做去識別化，確實的資安保護，也就是說我很支持也很贊同說，現在不是在談資料保護，因為保護就是一副被保護者的樣子。可是如果是大的概念是新的資料治理的概念，這就不只是要把資料藏在哪裡，比較不會被拿去濫用的問題。這也涉及到我想要問的第二個問題，我很喜歡看科幻小說，科幻小說不是有三原則嗎？其中一項是要回到人，AI再怎麼強，最終也是回到人的最開始設計，這是所有科幻小說最基本的一個原則。換句話說，這就是在講，也許我們對這些東西的不信任是來自於對於人的不信任，而不是對於這整個制度的不信任。我們如果對於人的不信任，是真正關鍵不敢講出來，只是說，大家的尺度、光譜可能不太一樣，對於可不可以拿出來創造利益這件事情，可能會有不同的見解。可是我們也會說，如果沒有一個驅動力的話，可能就會變成把資料鎖在哪裡、誰去拿，這樣最初步的看法。
我想要問的是，我們有沒有一種處分是對於那些相對濫用資料者的處分，這樣子的話，某個程度來講才能夠去確保這個治理，當它為善的時候它可能是會善的，當它被惡的使用的時候，它也應該會有一個先擺在前面知道會發生的事情。因為這在學界已經開始做蠻多，可是我覺得有時候有點過頭了，就是倫理審查的部分。可是如果濫用者會受到一定的對應處罰，即便那個是政府、當權者都一樣，至少能夠保證可以去做的，而不是說怕每一筆被濫用，我乾脆把它關在家裡面的閣樓然後通通都不要管它。因為這樣這有點不是治理的概念，我就覺得有點像是軟禁還是囚禁那樣子。所以想問問看說兩位對這個有什麼看法？我們現在真的有所謂的資料治理的產業嗎？許顧問要不要先說一下，這真的有嗎？我們現在好像蠻初步的，使用的人在等修法，修法的人在看Data，好像都不知道是什麼樣的情況。變成像個案的方式嘗試看看，好像立法都走在個案的後面，明明像崇僖或很多人都已經做了一二十年的可能這麼長期各國的比較研究，或者是有這麼多的現況，為什麼我們沒有辦法再往前，反而幾乎不談的放在哪裡就好。那個阻礙到底在哪裡？

許：我先問李教授一個問題，「匿名化」跟「假名化」不一樣在哪裡？因為如果今天資安只要做到匿名化就好了，那我們工程師聽不懂匿名化跟假名化的情況之下，說真的是很難進行。所以我先問一下李教授，現在如果我們要把AI導入大數據的時候，因為有很多管理的部分會講到匿名化跟假名化。

　　　　　　　　　　　　　　Ｑ：匿名化與去識別化的不同？
　　　　　　　　　Ｑ：不當使用資料數據的人，在法律上是否有相應的處罰？

李：謝謝許顧問跟惠敏提的，我想這是個相關連的問題。我先從許顧問的問題，所謂假名化就是我說的去識別化。但是去識別的程度跟你去識別的時候，背後一個資訊系統本身安全性，譬如說駭客去入侵進而去破解這些情況都是可能發生的。所以匿名化就是客觀上被完全斷絕連結性，所以那筆資料不存在被還原的可能性。雖然也有人會說，在這個大數據的時代，我還是可以透過各種欄位的比對，而去界定某一種罕見疾病，他就是某個人，因為我可以很容易找出來他是去看哪一科的等等，背後拼湊出來。第一個，去識別跟假名化，會依造去識別的加密程度不同而使得它有被破解的可能。所以我剛剛才說有個專責機關去設定一個標準，你要到達那個標準。匿名化也可能透過大數據去加以比對去界定出某個人，這件事情就回到惠敏剛剛說的，對於違法者我們當然是要處罰，所以這些動作都是違法的。我們基本上提供給你去識別或匿名的資料，在契約上都必須註明「你不可以去做還原跟破解身份的動作」。如果違反這樣的約定，基本上在法律本身就要對他做夠重的處罰，這是任何的法律都一樣，它不可能去設計確保百分之百沒有風險，我們不會活在零風險的社會，但是我們要確保如果這個風險是人為的，我們就讓他付相當高的法律責任。所以這個議題，我想也是一定要在我們修訂個資法的時候去做的事，不然這個疑慮永遠都會存在。就像我講的Data這個東西的流通，從隱私疑慮的角度來說絕對不會是零風險。我們能夠去做的事情就是用夠重的處罰來嚇阻人們去做這樣的事。因為如果有幾件這樣的事情，會回過頭來讓人們更沒有信心，更不願意把資料同意別人去做什麼樣的利用。整體來說對這個社會是非常不好的發展，因為我們沒有資料就不可能訂出好的公共政策，這是一個很重要的前提。

許：所以透過我們這樣的交流，隱隱約約有個最大公約數，在設計法案的時候，應該是要有資料保護安全性。如果說還是沒有辦法阻止的時候，就是使用資料的人有不當的使用，也要有人負起責任。

李：這個就是說為什麼要有個資保護專責機關很重要，就是說它可以定出剛剛講的安全性，那個技術、責任標準以及它可以讓受侵害的人比較快速地得到申訴、救濟跟賠償以及可以快速地界定出是誰做的侵害行為，對他加重的處罰。這都不能像我們現在的法律適用的法院，那是非常沒有效率的一種法律執行方式。我只是要強調說，其實像歐盟也是一樣，它們很重視個資保護沒錯，可是它們的著重點會在於你拿到資料的那個合法的加以利用這件事情，是更重要的事情。

陳：這裡還有一個剛剛參與者問的問題。他問的是說，不管是資料治理或者是資料開發的產業，如果那個產業跟公部門用從公眾那邊蒐集到的大數據合作創造出經濟價值的時候，怎麼去制定一個產業方貢獻的回饋公部門或公眾的機制。就是經濟價值創造出來之後，怎麼回饋給公共部門或者是公眾，那國外有沒有什麼例子可以分享。像是崇僖剛剛有提供一個像是新藥開發優先給病人的案例之外，有沒有其他的例子。
第二個我自己想問的是，假設說有一個機構也好，產業也好，我覺得要去發現它有問題，也許不會這麼地不容易。可是可能人權團體最大的疑問是：如果那個人就是政府呢？如果不當使用者就是政府呢？我舉一個不是這麼恰當的例子，比方說我們最近到哪都要實名制，我們不是把我們手機個資Data，我們到哪裡都傳給1922，公部門跟我們保證兩個禮拜後就會銷毀，這個就是一個要相信它是善的。我想治理的概念不繫諸在那個人道德性的高低或者是良善與否，我想這就是人權團體特別擔心的，就是如果那個為惡者，或者是用這些data做政治目的在操作的人是政府的話，會是長成什麼樣？因為同一筆資料我們交給習近平政府的話，我們應該沒有人會相信，而且中國政府確實也正大規模地在做這件事情。可是我覺得這兩個事情不能放在同一個天平上，或同一個討論的基礎上，因為這會讓該往前走、更優化的情況走不下去。我覺得剛剛有個重點就是我們要相信，好的治理是民主深化是蠻關鍵的部分，也在對我們整個社會的能量或能力有蠻大的嘗試。所以可能要問問看崇僖。

　　　　　　　　　　Ｑ：藉由公眾數據獲得利潤的產業方如何回饋大眾？
　　　　　　　　　　　　　Ｑ：如果不當使用資訊的人是政府呢？

李：兩個問題，我簡單地回應一下。第一個問題，其實我們現在衛福部已經有訂一個如果使用衛福資料，衛福資料當然包含了可能健保署、國健署等等，這個衛福資料使用產生商業利益，就如果是做商業利用，必須要有些回饋，這個回饋有些形式，但最簡單來說就是要多付一點錢啦！就是說，那種回饋，多付一點錢比較實際啦，不要說等你將來產生利益之後，我可以跟你抽成，拜託這個政府絕對沒有能力可以去追溯來跟它抽成。所以你就叫它多補點錢就對了，那就是一個回饋。因為你要用政府的東西，一定要付個規費，那個規費只是政府管理成本的反映，但是如果商業利用的話，除了這個規費另外要多付些錢。這個錢要怎麼訂才合理，這個我們先不討論。但是衛福部已經有訂這個辦法，健保署搭配這個也訂了一個辦法，使用健保資料如果產生商業應用利益的話應該要回饋。但是同時社會上要有個觀念是，不要動不動就指責政府在賣個資，你又要它跟廠商談回饋，你又指控它賣個資。你怎麼去平衡這個觀點，我們覺得商業利用應該要回饋給全民，政府代表全民去收這筆錢或許可以挹注到健保、長照上的財務等等，另一方面你又覺得政府在賣資料牟利，但謀的是誰的利呢？這個我們就必須把觀念談清楚。一直觀念混淆的話，今天如果有個很有錢的廠商，想要用這筆資料，其實政府反而會很擔心，因為太過於樹大招風，但是那才是可能帶來很大的利益也說不定呀！我講這些東西的前提都是，我們那些資料是有經過去識別，理論上都不是侵犯隱私，只是在講資料如何被利用。所以我想這個辦法是有，只是運作的時候，我們社會上有些觀念需要被探討，才不會又衍伸出很多爭議。第二個問題，關於政府本身的濫用資料，我想個資保護專責機關本身所要監督的不只是民間的業者、團體，專責機關也在監督政府。所以在國外專責機關，也在出報告來指出政府某個部們所做的某件事情是違反個資法的，或者會受到政府部門詢問該如何做才合法因此會給予建議，因此這個專責機關本身的公信力很重要，像日本的個人情報保護委員會的委員都是要總理提名到國會同意任命，所以要確保它有個獨立性。所以我們也不能覺得政府掌握這些資料就是一種政治的利用，因為政府本身就扮演了要去制定政策，維護公益的角色，所以剛剛提到的可能是一些防疫，防疫可能是特殊期間，政府掌握這些資料，可能幫助它在政策制訂上更有依據，或者有時候是一些犯罪偵查的利用，我們可能擔心會造成侵犯人權，那就需要有法律去明文規定使用這些資料的程序。我想在法治國家盡量由法律去訂，或者透過有專責機關，有公信力，有獨立性的，事實上專責機關也不只是在這邊扮演糾察隊的角色，也定期要出一些報告，一些白皮書，讓社會大眾了解。我現在比較喜歡談的National Data Strategy，整個國家資料治理的策略、戰略是什麼，那這個東西是政府應該經常跟民眾溝通的事情，讓大家去了解你為什麼需要這個資料，你這個資料是拿來做什麼用？對我們的意義是什麼？這個溝通本身是必須持續進行的事情。

陳：如果就這樣講的話，那幾乎不可能是在，如果要塞在個資法裡，幾乎可能是要修很大。幾乎是單獨地一part去處理這個架構。

李：你剛剛提到公平交易委員會，也是一個方向。在歐盟很多個資議題是由歐盟負責競爭法的副主席直接介入去處罰的，那美國也是一樣，美國關於網路公司使用消費者個資，或者是限制民眾使用網路的言論自由等，其實就是FTC（Federal Trade Commission，聯邦貿易委員會），也就是我們的公平交易委員會。台灣公平交易委員會也會扮演一定的功能，但它的功能如果我們將來有專責機關的話，這兩者要做一些分工。公平交易委員會比較是站在產業合理的競爭秩序。也就說未來很大的議題是資料壟斷的問題，資料壟斷以及侵害消費者權益（侵害消費者資料上的權益），這個東西是公平會可以管的。未來應該是這兩個機關會需要協作，一起去分工完成一些事情。

陳：我想提問一下，我們剛剛好像有初初提到我們行政部門有初步個資法的修法的版本，有方向上的東西嗎？或者是我們民間是不是有一些。因為如果就我們剛剛，因為我覺得從出發的角度上不同的話，幾乎整個司法架構會長得差距非常的遙遠。譬如說如果崇僖你來立法的話，如果是從資料治理的角度，或者你覺得由國家戰略來看，這個資料到底要怎麼被使用。我就覺得現在個資法現在的狀況就是一套不合身的衣服，就是穿了怎麼去重新修剪可能都是困難的。當然就算是促轉會也好，或者是先來一個特別法的形式去重新框架，其實我覺得你剛剛講得很重要，我們台灣政府其實一直沒有在固定的時間做數位發展策略的國家報告。或者這包括說，可能性在哪邊，幾年的計畫，除了設立一個部之外，還有可能遇到的一些侵害狀況是怎麼樣，如果國家能夠主動做這件事情，其實可以建立人民對它的信任感。就像你剛剛講一個我覺得超有道理的，就是民間沒有Data到底要怎麼監督呀！我手上根本沒有東西，我只能懷疑你有拿這個在幹麻？但是如果能夠有這個Data可以去處理的話，國家某程度去做自我揭露的情況的話，其實它比較進入整個國家跟公眾利益在治理這個方向前進。如果是總統提名，是一個獨立的機關委員會，經由國會任命其實也是一個目前比較可能想到的方向。因為如果你把它塞在部會裡面一個小的好像外聘一些獨立學者的委員會的話，其實也擔心功能上不彰。因為整個台灣有很厲害AI的發展也好，或者是數位技術發展也好，都是我們一直很引以為傲的，那如果沒有這個政策上，感覺上是既遠古又現代的一個混合體，感覺上是蠻奇怪的。因為我覺得我們現在在談治理，我覺得大家對數位可能都只會想到唐鳳，但是那個治理是什麼？完全沒有一個藍圖，應該要長成什麼樣。其實今天已經提到蠻多重要的部分。民間這邊目前有其他想要獨立推一個立法的可能性嗎？數位發展部可以一起談。

李：以數位發展部的組織架構來說。內部有個資料治理司，但一個司不會是個資保護專門機關的獨立性，所以我認為它頂多可以規劃所謂的國家的資料治理策略，但是不會是一個獨立專責機關的定位。我會認為獨立專責機關是非常重要的，因為它可以包括監督行政部門，或許監察院本身可以發展出一個個資保護專責機關，如果監察院本身要留著的話。但我要講的是說，個資法要怎麼修法。因為國發會討論了很久弄了一個東西，但是它也沒有正式公開出來，它是等說數發部成立之後移交給數發部，讓數發部去提。
我剛有提到整個資料治理的議題，在整個國際上是高度政治性的議題，對於歐美來說，資料治理的意涵很重要，因為中國很明顯就是把資料掌握在黨的手上，連阿里巴巴、騰訊什麼的都要把資料上繳給共產黨。那還發展出社會信用評分等系統，就是數位極權主義，對歐美來說這就是一個大議題。但是美國跟歐洲本身做法又是不一樣，歐洲GDPR非常強調個人對資料的自主權，可是美國是沒有這種個人資料保護法的，美國是沒有個人資料擁有自主權的概念，他們只有你的隱私是否被侵犯這個問題。我們不談中國的話，在國際上其實就有GDPR這個系統跟美國想要發展出來的更強調資料的自由流通，當然是為保障他們的網路公司的商業利益。它們在APEC（Asia-Pacific Economic Cooperation，亞太經濟合作會議）裡面就建構了CBPR（Cross-Border Privacy Rules，跨境隱私保護規則體系）CBPR其實就是一種從美國思維來說，重視所謂資安這些東西，而不是去強調每個人對他的資料有自主權，你一定要經過同意才可以用於某種特定目的的使用，不是像歐洲的GDPR這麼嚴格制度。台灣現在是APEC會員國，並且已經加入CBPR裏面的系統，所以我們基本上就是承諾要follow CBPR，可是另一方面我們又承諾我們要配合歐盟的GDPR去修我們的個資法。所以台灣陷入一個精神分裂狀態。這個是一個難題，這個解套辦法，就只好靠美國跟歐盟坐下來好好談一談。我覺得拜登上台之後的發展趨勢，美國更積極願意坐下來跟歐盟談，以前川普是不理歐盟的，現在拜登是願意積極跟歐盟坐下來談，所以我基本上是認為在資料法制，在個資保護的模式上，未來是有可能美、歐找到一個共存的制度模式。它對台灣來說更容易去做決定，我們的法治、策略是什麼？其實對台灣來說非常重要，因為台灣也是一個非常重要的一員，因為台灣的晶片產業。其實我們講Data-Driven，我們講數位經濟，其實背後都是要晶片，沒有晶片那個東西發展不起來。所以台灣具有非常高的戰略地位。所以這次G7在倫敦開會的時候，就特別強調台灣安全的重要。為什麼要強調這件事情？因為未來跟中國對抗裡面，歐美所要發展科技裡面少不了晶片產業這一塊。晶片是一個很重要的技術核心，那Data只要各國不要有明顯立法上的衝突性，目前還是有衝突性存在，經常有美國的公司在歐洲被告上法院，然後公司敗訴這些問題。我覺得如果美國真的要認真討論怎麼跟歐洲共同發展出一個新的世界貿易秩序，來對抗中國的話，Data這塊是一定要處理的。其實在五月份《外交事務》這個期刊，它其實有一篇文章〈Data is power〉內容就是在講，美國太疏忽關於資料這個東西應該積極去介入建立國際貿易的新規則，因為現在所有國際貿易都不會沒有資料在裡面跑，它認為這一塊都是中國在主導，因為中國透過他們的一帶一路去建構很多電信網絡，其實就是在延伸數位極權主義的國際影響力。美國如果要對抗中國數位極權主義的擴張，美國必須積極跟歐洲合作來建構新的WTO規範，去處理資料新的法律模式。我講得有點大，但我的意思，台灣如果要來談這個議題，台灣有台灣的角色，就是我們的晶片產業。但台灣也有台灣的困難，我們離中國這麼近，然後我們這麼依賴美國的保護，我們又跟歐盟是很重要的商業夥伴，所以這也是我們這幾年也沒有什麼動作啦！也很難去定調，但是我覺得這是接下來一兩年，國家應該花很多時間去關注的議題。

陳：隨著國外政權的轉變更迭，台灣有發言地位的話，我們沒有必要置外在這個討論之外，最後才去follow，但是我們要知道有哪些參考標準在哪邊。還有聽眾問一個問題，醫療研究往往會涉及縱向研究（與時間相關），除了健保資料本身外，很有可能會需要跟醫療機構資料（如電子病歷）來串連﹐甚至其他相關資料如癌症登記檔等來協助預測臨床的outcome，涉及到的個資或資料保護的做法，很可能會包含去識別與再識別。想請教這部份在現行規範下是否有建議的做法？

　　　　　　　　　　Q：現行健保資料庫與其他醫療病歷資料的串連？

李：我們常說健保資料是很有價值的東西，但是它其實有價值是在於很完整，涵蓋面很廣，但其實是很粗糙的。它基本上是為了申報健保支付而填寫的東西。所以裡面也常常是錯的，就是說沒有這個病徵也寫這個病徵，希望讓檢查檢驗得到給付。所以健保資料其實是不太準確的資料，但好處是在於涵蓋的範圍很完整。你也比較方便找到剛剛講的時間序，如果你能夠得到時間序連續的資料的話，這是有可能的，健保署只要把它去識別之後，是可以提供這樣的資料給你。醫院病歷資料的好處，是比較嚴謹的資料，正確性非常高，但缺點是不完整的資料。因為不會所有的人都在裡面，而且任何一個人也不會都在一家醫院治療，才會有日本去弄那個法律，想辦法讓它可以被串接在一起。既能夠讓外部單位拿到匿名化資料，同時又是能夠被串接好的資料。這件事情，其實台灣沒有認真地處理，我們現在在做精準健康平台，其實仍然是一樣，要各醫院積極地收案，要民眾願意參與，然後寫同意書，同意書寫說我們現在就是要做精準健康精準醫療，然後你要同意，我們可以把這個資料拿去給藥廠去做研究。這都沒有錯，但是藥廠從醫院拿到資料又怎麼樣呢？它沒有辦法去跟別的資料進行串接，拿到完整的資料。因為醫院提供給它一定是去識別化的，所以我們還是需要有個制度去補上來，讓精準健康是真的可以做到精準健康。我們得到的資料，跟可持續追蹤的資料相串連，那麼我們才能夠真正發展出真正精準健康的研究成果，但是這個東西沒有透過法律是不可能做得到的。要透過法律保障，法律保障讓提供資料的機構不會有相關的法律責任，相關當事人也不會在這樣的過程產生過大的資料洩密的風險。這其實都需要法律去處理，而不是政府丟錢下去給各個醫院多收案多收案，就可以解決的問題。

許：我要補充一下，其實有時候大政府是個好處，因為在全部醫院的資料如果用一個機制，然後有些分潤。就是說，台大醫院的資料這麼多，如果跟一個小診所的資料，這樣做等全的一個使用，事實上是有點不太公平的 。其實政府花很大力氣是希望各大醫院能在一個安全的機制下，能把整個病曆做一個更大完整的資料庫。但就像剛剛惠敏提到說，如果資料被洩漏的時候，醫院就倒霉了。所以現在尤其是大型的教學醫院，其實在做這些資料分享的時候，的確都有很大的考量。我是想說這樣資料這麼好的話，如果全民都有共識的話，如果說這些病曆都可以好好來做大數據的時候，那我們在精準醫學方面會變成世界的一個頂尖。我為什麼一直強調這一點，其實我們的生長數據跟電商數據跟中國比起來，我們根本不能比，現在能夠比的只有我們生物資訊這一方面是一個強項，在第二方面台灣醫生的素質也比較高，所以在寫病歷等資料，真的是蠻可貴的。我也希望說，我們這次是拋磚引玉，我們希望說大家有個共識，push政府一下重視Ｍedical AI跟數據的運用。因為說真的這四年來，我們看到立法院真的沒有為這個做一個什麼白皮書送進去。

陳：因為法律跟專責機構這兩個問題一定要解決，不然也沒有什麼本錢去談這件事情。我們會在整個國際的局勢裡被動地在別人要求底下，做了某一些開放，但是又沒有辦法把那個東西妥善地使用，或者是精準地使用。以我是台灣國民來講，會遇到的困擾是說，我們有時候去看病，我們知道台灣醫生的醫術很優秀，但幾乎每個人都在經歷同樣的歷程，一開始覺得不舒服，然後進到醫院以後，幾乎所有該做的事情就像重複再做一次一樣，就是不斷地重複就醫過程。這對任何人來講，都是蠻浪費的事情，浪費你的時間。你在這家醫院看不好，你又去下一家醫院從頭再開始。你有蠻多Data握在醫院跟國家手中，但是好像沒有被善加利用，反而是可惜的地方。
剛剛在談到大數據的時候，也是會有這個迷思，大家會去比說中國這麼大，有這麼多Data，而且他們要Data要得完全沒有法律的狀態。跟台灣比起來，中國市場的Data這麼大，如果它要拿去做任何運用的話，都是數量很大。台灣這麼小，Data數這麼少，那這些Data數到底代表了什麼意義。這個其實我們都能夠站在蠻前面的，就是因為我們各行各業的發展上的進步是很多，可是那些橫向串連，整個連結的角度做得蠻差的，不知道這個大家有什麼看法？

李：我補充一下，其實生醫的資料，台灣還是有優勢。除了我們醫療品質很好，資料可靠度很高之外，我想就是說我們畢竟醫學追求的是越來越精準，所以以我們華人（台灣人、亞洲人）自己的資料就能夠發展出我們自己的精準醫療，比如IBM（International Business Machines Corporation，國際商業機器公司）訓練的Watson到台灣可能就不太能用，因為他們在訓練Watson的時候，是用美國的白人病歷資料。我們確實是有優勢的，只是我們要用法制讓相關的人知道怎麼做是合法的。第二個是既合法又有效率的，它是真的可以讓資料發揮最大效用。我們目前是大家盡量不要違法，大家合法，結果就是那個資料是非常零碎的，沒有辦法產生有價值的使用方式。第三個，即使合法可以用了，它還是有不太願意拿出來跟大家分享的問題，這是剛剛許顧問提到的：誒我是臺大醫院，你只是診所／小醫院，我們為什麼要在同一個水平線上來談這個資料合作？所以為什麼我一開始講完《經濟學人》那個東西的時候，下一頁就跟你談資料的特性，因為它是意味著資料的合作是非常困難的，因為資料合作的過程中，相關過程的人都會覺得我的權益沒有得到保障。因為資料在法律上的權利屬性不夠清楚的關係，所以日本政府就會頒布所謂「契約範本」（model contract）直接告訴你說，如果要提供資料有哪些合作模式。契約條款一條一條都有範本寫給你，在這個基礎上，大家會比較好談。現階段來說，我們要用法律直接去定義資料的財產價值跟可以主張的權利，可能並不容易。我說的不是人格權，我說的是財產權的部分。但是呢？我們透過契約是可以做很好的約定。政府如果把契約範本都弄出來，這個合作可以發展很快。所以這個也是需要去突破的。我想數位發展部可以做這一件事，就是我們說它會有個資料治理司，這個司理論上可以提供的服務就包含這個，資料的治理包含資料能夠被適當的open data、open innovation，這樣的一個理想它需要有配套的環境，其實資料治理司可以去推動這件事，協助讓擁有資料的機構，不一定只有醫院，因為將來的精準醫學不一定只要靠醫院資料，它可能還有很多個人資料匯總在一起才能真正有效的分析。這樣的合作其實是非常複雜的商業情境。台灣是有機會的，到了這個時候，才說以色列跟輝瑞簽那個約，最快的打到疫苗，你到現在才在講這件事 It’s too late!我們就是要提早去做這件事，這是一個很大的挑戰，但我想台灣還是很有機會做這一件事。

陳：就是要開始啦！沒有開始就什麼機會都沒有。這一兩年其實是蠻關鍵的契機，我覺得是說拜登政府跟歐洲開始在談一些可能性，跟大家要放下的條件基礎的時候，其實我們必須在這裡面掌握先機。至少我覺得台灣要先去講說自己版本裡面必要的底線是什麼？那個東西在往後談判的時候才不會倉促地被推到談判桌上去做什麼。台灣做為一個亞熱帶醫學很重要的地方，其實我們很多醫學院裡面就設了亞熱帶醫學研究中心，因為這不是只有for台灣，而是為了全球環境。這一題比我想像的難談很多，它的困難度很高，醫學界的朋友有些期待跟想法，但是法律學界的其實對這一塊的參與者其實沒有想像的這麼多。當然漸漸地，崇僖這邊北醫這邊有，中研院法律所有資訊法中心，可能有碰到這些問題。但相對在法學界的討論，我覺得是偏低。就是不管要從什麼樣的方向去談，財產權也好，我們都偏向把它用人格權去談的時候，那個對話好像也沒有卡得很近。
如果我們這一兩年要繼續推的話，島國這邊也會繼續談下去，因為我覺得目標上我們不一定有能力去提出一個所謂完整的法律條文，但是我們可能必須有個任務，是集合各界的力量，去共同提出我們認為至少要有的底線在哪邊。至少，我們剛剛說你把去識別化跟匿名兩個混在一起談，就是讓問題沒有辦法切開來看。台灣其實講真的也是從代工一路走過來，我們也真的很會把生產的秘密反向操作。但在面對Data的時候，如果是這樣的預設的話，很多事情就會談不下去。如果我們先採取什麼樣的立場，我覺得就會有困難。還有我想問一個很蠢的問題，現在是衛福部主要在抓這件事情，我當然知道他們有那些專業的法制人員，可是他們有人有能力在處理、理解關於數位發展跟資料治理方面的專門人才嗎？我真的蠻懷疑這件事情的。

許：那個惠敏的問題，李教授一開始就有提到了，其實這個數位治理因為它涉及的層面是很高的，所以它不單只是衛福部的，所以現在就寄予未來的數位發展部。有啦！這幾年衛福部在有些法規的鬆綁是有，但是整個資料治理方面，我認為應該不是屬於衛福部啦！

陳：我們知道不是屬於衛福部，但是我們政府的思維上還是會由一個部門去做主導。您剛剛講國發會嘛！它就會負責有個新的機構。可是我真的有點好奇，我之前做資安管理的立法，最後結果也是在各個部會裡面塞了一個資安長，可是那個資安長可能以前就是在管資訊而已，就是跟真正的資安概念有距離。所以我會想說國家的人才上，或者公務部門官僚體系裡面，有這樣能力的人根本不想要進政府。如果我們本來在政府裡面的人才比較少的話，其實就會跟當時處理資安問題一樣，人才怎麼進入到政府去成立。譬如說我要建專責機構，人才卻比較喜歡業界，那為什麼要進專責機構。學界的人也會卡到說假設我這個專責機構，是四年一任，有些學校是兩年借調就結束，兩年搞不掉就馬上要回學校。雖然有心做這個，但把人才納入政府裡面機率感覺上不高。我當然知道它是個跨部會，但它最後就會各自為政。政府裡的人只想管一件事情，就是：誰是主辦單位。而且最討厭的是它們不喜歡兩個部門一起合作，不知道到時候誰要負這個責任。也就是說，它的長成過程裡面，還是會有個官僚體系的現有的方向，蠻需要有點創新的方向去突破。

許：我再補充一下，其實事實上去年科技部、經濟部還有衛福部，三個次長都在定期開會。惠敏，我說真的今天參加這個會議，最大的期許是這樣，我們真的開了很多很多會議，我認為這次剛好是賴老師邀請，賴老師有那麼多AI的學生，又是在台大。可能的話，我們希望之後可以連結時常在關心這個議題的民間單位跟組織，可以結合起來做個更好的白皮書給立法院。我說真的現在的立法委員不是他們不願意做事，是他們的助理都太年輕了，你要他們去寫這些法案什麼的其實是不容易的。所以參加這個會議我最大的期許，惠敏能不能依島國的名義來號召一下以前幾個辦過活動的重要單位統合起起來，來個民間版。

　　　　　　　　　　Q：目前台灣政府部門對於數位發展世代準備好了嗎？

李：我也補充一下，剛剛惠敏所提的問題，將來數發部確實會有一個挑戰是說。我們之所以要有數發部，是因為各個部門都很難跟上數位化時代，去制定配合數位的政策，所以我們要有個數發部。但是數發部未來要如何帶領各個部會去轉型轉變，這就是他們之間的分工協調，怎麼去帶動的問題。所以確實，在精準醫療、數位醫療還有醫療資料這一塊怎麼去善用這一件事，衛福部一定是有權責，可是數發部要扮演一個能夠去催化它、改變它的思考方式的機制。但因為數發部還沒有成立，所以我也不知道到時候會怎麼運作，但是我倒覺得，其實在全球來講，資料治理的議題都是還是競合發展的階段，而台灣是會有位置的。台灣的晶片產業這麼強，你看那個美國、日本還有德國都要拜託台積電去設廠，最重要是技術還是掌握在台灣的手上。所以Data這個議題，我認為台灣是有話語權的。所以我們或許不用這麼被動等說，美國跟歐洲好好坐下來談出一個共識，我們就知道要跟隨什麼規則，我覺得也未必要這麼被動。我們應該可以主動提出，從台灣的角度，尤其我們就是直接面對數位極權主義國家的第一線，我們可以提出我們的立法藍圖，這個我認為政府機關不會做，因為那個野心太大了。我倒覺得民間可以做，民間如果去分析整個全球數位經濟發展趨勢，全球政治互動的利害關係以及大家共同要面對哪些問題，我們事實上是可能可以提出一個草案，這個草案是除了寫中文也可以寫英文投到國際期刊上。這是台灣民間的聲音，我覺得可以做，這件事情我們可以一起思考看看。

陳：我覺得今天的討論很有貢獻！接下來我們會催促大家一起來幹這件事情喔！有時候我們就很憂心，我們有很棒的優勢，雖然是一個土地人口面積很小的國家，但其實我們是超老牌的民主國家，有非常成熟的機制。可是我們也的確面臨治理轉型的階段，這個階段隨著四年政權轉移，有時候就被忽略到。但這其實很可惜。民間的力量真的蠻大的，大家的目標也是很真實的。我們會就這個題目辦討論會，也會再找大家，希望大家能一起來參加。我們就真正提一個，不一定是完整的法條，但是我們可以去提出一個以台灣優勢為主的藍圖，然後跟國際說明我們的立場在哪邊。今天很感謝大家的參加，請大家接下來就密切注意島國前進會繼續討論下去。