Search
【#吳景欽 專欄】健康通行證的憲法顧慮
為了防疫，歐盟各國家沿襲以色列的作法，即進入公眾場所，須出示所謂 #健康通行證。而法國更從8月開始，將通行證的適用範圍，從原先的博物館、美術館、觀光景點等，擴大至戲院、餐廳、球場等地，致引爆新一波的黃背心抗爭。這也讓人思考，我國如施行相類制度，到底會有何等的法律障礙？
而就我國來說，就所謂健康通行證，即是進入某些處所，須持有疫苗接種之證明，這必涉及個人醫療隱私之暴露。而根據個人資料保護法第6條第1項，有關病歷、醫療、健康檢查等個人資訊，除非有法律明文或得當事人同意，任何人皆不得蒐集、處理或利用，若有違反，依個人資訊保護法第41條，還可處五年以下有期徒刑。故要施行健康通行證制度，肯定得有法律的授權依據。
#防疫中的人權保障
運動手錶隨身裝置資料直通雲端 資安及法規遵循不容輕忽
穿戴科技實現智慧健身 連網隱私供應鏈皆須安全
2021-05-25陳宏志
企業或組織內部對於連網裝置有較嚴謹規範，如自攜裝置（BYOD）相關規定，一般多會注意NB或智慧型手機。然就穿戴式裝置或相關設備，有鑑於其功能及能蒐集之資訊等日新月異，企業經營者或管理者規劃蒐集資料、擴大商機之外，在內部管理亦不可不注意。
約三五好友下班後或假日去練空中瑜珈、TRX，或到健身房內使用跑步機、飛輪，這樣的場景處處可見。而運動的過程不僅搭配音樂、錄音／影或社交軟體，以及各類健康管理APP，以便隨時直播、貼文、上傳相片，更會拿起智慧型手機計算消耗之卡路里等，健身時結合穿戴式裝置或軟體，幾乎已經成為全民運動。
由於國人健康意識抬頭，運動產業之盛行也是有目共睹。以民營健身中心為例，依教育部體育署2020年的統計，2019年全臺高達620間，銷售額更已突破新臺幣100億元。當臺灣正掀起一股健身熱潮下，運動結合科技打造新型態智慧健身已成為發展趨勢，各部會也投入相關資源，如經濟部技術處與資策會成立運動科技大聯盟以服務產學研界，宣示帶動運動產業轉型發展決心。且積極健身的同時，民眾常搭配穿戴式裝置（Wearable Devices），如智慧手環或手錶，以掌握心跳、血壓等生理資訊，作為私人教練或自我鍛鍊時規劃運動處方之參考。
二類生理數據／資訊法規各自適用
然而上開情境涉及生理數據或相關資訊，且可能被設備製造商或其他服務業者所蒐集、處理或利用，有關穿戴式裝置蒐集所得資訊是否符合個人資料保護法（簡稱個資法）之敏感或特種個資，以及適用該法規範，曾引起不少爭議。為解決爭議，個資法令主管機關－國家發展委員會（簡稱國發會）於2018年11月，就「業者蒐集、處理、利用民眾自行操作器材所得之生理數據資訊，是否屬醫療或健康檢查之特種個人資料範疇」已有函釋，將這些裝置蒐集所得資訊依對象、目的等分為二大類，並說明各自適用規範。
依國發會函釋重點，若屬受醫療院所委託，為供醫師或其他醫事人員以醫學目的所為之診察治療或基於醫療行為檢查，取得民眾自行操作器材所測量之生理數據資訊，符合個資法對醫療或健康檢查個人資料（簡稱個資）之定義者，這些穿戴式裝置、設備、器材或軟體所蒐集、處理或利用之資訊，不僅符合敏感或特種個資，更應依個資法相關規定辦理，如書面同意等。
但如果不是醫療院所委託，而屬於民眾自行操作器材所蒐集之資訊，因未涉及醫事人員診察（診斷）、治療，或以醫療行為施以檢查等，並不屬於敏感或特種個資。不過由於相關資訊仍會符合個資法對個資之定義，且可能提供給業者進行蒐集、處理、利用之行為，故應依循個資法規範，如履行告知、符合法定情形並於特定目的內利用等，不可不慎。
穿戴式裝置是否符合醫療器材
除了健身器材如為醫療器材應符合法規外，民眾所使用之穿戴式裝置若屬供醫師或其他醫事人員，以醫學目的所為之診察治療或基於醫療行為檢查的用途，其所蒐集資訊除須符合個資法外，因涉及疾病診斷及治療等醫療目的，尚須依循醫療器材相關規範。因醫療器材管理法已於2020年1月公布，將於2021年5月1日施行。但在新法暫未施行前，就醫療器材之管理主要係依藥事法及醫療器材管理辦法為主。如運動時搭配之穿戴式裝置或軟體，先依醫療器材管理辦法附件一所列品項作為判斷依據，再搭配是否具診斷、治療功能或協助診斷、治療等綜合評估。
不管是穿戴式裝置內建，或自行下載之健康管理軟體，是否須納入醫療器材之管理，前提是要先符合法規定義。依衛生福利部食品藥物管理署（衛福部食藥署）於2020年12月修訂「醫用軟體分級分類參考指引」觀之，所謂醫用軟體泛指蒐集、儲存、分析、顯示、轉換人體健康狀態、生理參數、醫療相關紀錄等處理軟體。其使用場所更涵蓋醫療院所、個人居家使用或遠距醫療照顧。
爰民眾搭配健身所使用之穿戴式裝置或APP等，無論是內建或自行下載，依食藥署對外說明，倘該軟體僅為協助掌握日常生活或健康管理需求，如計算休閒或運動時之心率及血氧值，或鼓勵、監控飲食或運動之作息管理，不涉及特定疾病診斷及治療等醫療目的者，暫不涉及醫療器材之管理。反之，已列入前述法令之適用範圍（如附件所列品項），或經綜合評估屬於醫療器材之範疇，則須依循現行管理法規，包含但不限於如遵守產品開發、申請查驗登記相關規範，並清楚刊登廠商名稱、地址、品名及許可證字號等完整內容。
萬物聯（連）網、安全第一
不僅上開個資與醫療之法令遵循需求，穿戴式裝置等連網裝置之安全，也非新興議題。如自2015年起美國聯邦貿易委員會（FTC）及歐盟網路與資訊安全局（ENISA）等主管機關，已陸續提供物聯網（IoT）指引或參考資訊，並推動認／驗證。以FTC為例，像是設計此類產品時，需要考慮身分驗證、以保護產品與其他設備或服務間接觸的端點。連網後如何控管權限、利用現成的軟體工具保障安全，或在啟動產品或服務前進行安全測試，甚至預設安全選項供做出廠設定等，都是其建議廠商應注意的安全防護要項。
此外，除前述對IoT之安全考量或建議，如果企業或組織內部對於連網裝置有較嚴謹規範，如自攜裝置（BYOD）相關規定，一般多會注意NB或智慧型手機。然就穿戴式裝置或相關設備，有鑑於其功能及能蒐集之資訊等日新月異，企業經營者或管理者規劃蒐集資料、擴大商機之外，在內部管理亦不可不注意。
另因現代產業因專業分工甚細，生產、製造、銷售或後續服務可能分由不同廠商提供，或採用特定零組件再行組裝，且2019年隨著5G相關產品與服務逐漸興起，運用科技方便迅速之餘，也不能忽略對委／受託業務的監管，以減少或避免風險。這從2020年震驚全球的美國Solarwinds案件就可瞭解發展趨勢，駭客透過供應鏈內的平台，進行竊取其他成員資料之行為，更讓許多企業或組織意識到內部與委外管理一樣重要。基此，穿戴式裝置連網後，不僅在資安管理或隱私保護，確保供應鏈安全亦將是未來應持續關注之重點。
資料來源：https://www.netadmin.com.tw/netadmin/zh-tw/viewpoint/566EFC7BB1384CDB913F5B2D90FC8E0D
公寓大廈與他人發生訴訟後，將法院判決書公布出來可以嗎?
上次告狀俠PO了個資法的文章後，有民眾來信詢問「聽說，因為公寓大廈管理條例第38條第2項有規定，管理委員會為原告或被告時應將訴訟事件要旨速告區分所有權人，所以管委會如果將法院寄來含有姓名、年籍、住址等個人資料之判決書公告給區分所有權人，是屬於有法源依據，不用將個人資料遮掩處理直接公告利用，並不違反個資法，這是真的嗎?」
回到這次的問題，我們還是得先了解
Ｑ：什麼是個人資料保護法所稱的個人資料？
Ａ：依個人資保護法第2條第1款規定，自然人之姓名、出生年月日、國民身分證統一編號、護照號碼、特徵、指紋、婚姻、家庭、教育、職業、病歷、醫療、基因、性生活、健康檢查、犯罪前科、聯絡方式、財務情況、社會活動及其他得以直接或間接方式識別該個人之資料等，均屬「個人資料」之範疇，且依同法第20條之規定，因故取得他人個人資料者，原則上僅得於蒐集之特定目的必要範圍內，就該個人資料加以利用。是以，有關一般人之國民身分證統一編號、住址等個人資料，自然屬於個人隱私，如果未經其同意，亦無相關法定事由存在(指的是個人資料保護法第20條的規定)，就擅自公開揭露，就會違反個人資料保護法第20條的規定而侵害他人之隱私權。那麼擅自公布者，依個人資料保護法第28條、第29條的規定就要負損害賠償責任。
接下來
Ｑ：「公寓大廈管理條例第38條所稱之訴訟事件要旨是否包含當事人之個資?直接公告會不會違反個資法?」
Ａ：直接將判決書貼出，不將對造個資做遮掩處理，是會有違反個資法問題的。
按「管理委員會為原告或被告時，應將訴訟事件要旨速告區分所有權人，公寓大廈管理條例第38條第2項固有明文，惟上開法條既僅規定管理委員會應將「訴訟事件要旨」告知區分所有權人，其目的著重於使區分所有權人得知悉相關訴訟之內容、進行情形及結果，至訴訟相關當事人之個人資料，與該訴訟之進行情形及結果無關，亦與其他區分所有權人之利益無涉，則不在公告揭示之範圍。」(臺灣臺北地方法院 108 年訴字第 3416 號民事判決判決意旨參照)
簡單說就是，訴訟事件之要旨即訴訟的進度、內容、結果，與訴訟當事人之個人資料無關，也不影響區分所有權人的利益情況下，當事人之個人資料並不在公寓大廈管理條例第38條第2項所稱之訴訟事件要旨範圍。
所以聽說的東西真的先當聽說就好，不要輕信，還是得多方查證一下才好哦。
