由健保資料庫釋憲案判決，看台灣如何良善治理健康大數據

劉汗曦（國科會2030年跨世代台灣社會發展政策研究研究員、國立陽明交通大學公衛博士候選人）

報導者投書/2022-8-20

 

爭議與訴訟長達10年之久（2012－2022）的健保資料庫案，總算在今年8月12日宣判，並以現行健保資料庫在原始蒐集目的外之「二次利用」（secondary use）違憲，應於3年內完成修法，而暫時劃下句點。

這份剛出爐憲法判決（111年憲判字第13號）對台灣人民的意義，正如同謝銘洋大法官在其部分不同意見書結語中所述：「⋯⋯是繼司法院釋字第603號解釋之後，在個人資訊隱私權保障上極為重要的一個判決，將影響未來台灣個人資訊隱私權保障的走向」。

然而，本件由台灣人權促進會所提起的訴訟案，儘管影響深遠，但不管在訴訟階段或判決之後，除了部分學者的評論與相關團體的關注外，似乎並不如當年釋字603號全民指紋資料庫案那樣地受到矚目與博得媒體版面。

其實，本件判決衍伸出許多值得我們嚴肅思考與仔細籌劃的問題，涉及與我國社會及產業進行數位轉型所息息相關的百年大計。以下將針對這份判決之影響，分別從其憲法意義與對民眾權益影響、獨立個資管制機關與國際經驗、值得信任的數位資訊使用等多個面向，進行分析。

回溯「隱私權」在《憲法》保障的歷程，健保資料庫案判決效果是什麼？

大法官所做成的憲法解釋或判決，就是對於國家最高法律秩序「憲法」的闡釋與說明，效力上等同於《憲法》，因此可以拘束司法、行政、甚至立法機關。故一但《憲法》判決宣告某部法律違憲，該規範在期限後就不再有法律效力，而如果憲法判決肯認人民具有某個權利，人民亦可以據此向政府請求。

大法官的這項權力，包含可以隨著社會發展與變遷，某種程度上創設《憲法》上的權利。以本件涉及的隱私權與資訊隱私權為例，「隱私權」這個概念與名詞，並未出現在我國憲法條文中，其是否受到憲法保護的權利，在早期是非常被質疑的。

是大法官們透過使用憲法第78條、79條所賦予其的解釋憲法權限，逐步地透過各項解釋來創設。其中釋字第585號解釋（真調會條例案），率先說明隱私權是憲法第22條所保障的基本人權；接著在釋字第603號解釋（全民指紋庫案），再將隱私權擴展到包含資訊隱私權的樣態；最後在2022年大法官會議改為憲法法庭後，以本件111年憲判字13號判決（健保資料庫案），將資訊隱私權的範圍與內涵延伸到更廣的定義。

在本件《憲法》判決之後，人民請求停止利用其個資的權利（退出權）就明確受到憲法保障。且因現行法制有所欠缺，大法官命相關主管機關應於3年內將現行法規修法改善。若3年內沒有完成修法，人民得逕行請求停止利用，行政機關（衛福部、健保署等）應立即停止，若仍不停止或受有損害，人民則可向司法機關請求救濟與保護。這是本件憲法判決出爐後，對於人民最直接立即的影響。

判決主文之外，大法官們的憂心與決心

然而，大量敏感性的個人數據的蒐集、處理、利用，正是這個數位轉型的燃料、能源與核心，所牽涉的法律與倫理議題非常複雜與棘手。如同哈佛大學教授肖莎娜．祖博夫（Shoshana Zuboff）在其當代巨著《監控資本主義時代》（The Age of Surveillance Capitalism）書中所指出的：「布滿感測器的衣物、回答所有問題的溫柔語音；聆聽你的電視、了解你的房子、包容你一切低語的床、讀取你的書本⋯⋯」包含個人資料在內的大量人類行為數據，正持續大量地透過各式各樣的平台與裝置，被不斷地被蒐集與處理，這其中就包括敏感性的醫療與健康個資。

更重要的是，絕大多數的這些數據資料，最終被掌握在大型科技公司或政府機關的手上，對於個人來說，如果對其懷疑、不信任、不滿、甚至想要反對，都是難以與這樣的力量相抗衡的。

因此，雖然本件《憲法》訴訟的最初起因與核心爭點，是來自於要求退出健保資料庫的二次利用。但在過程之中，雙方當事人的主張與答辯，以及憲法法庭的判決、大法官們的各式協同或不同意見書中，卻早因社會與產業的數位轉型，而不得不將戰場，擴及到整個數位時代下我國個人資料保護制度的應有面貌。特別是個資保護之獨立監督機制欠缺，是否構成違反《憲法》第22條保障人民資訊隱私權等違憲問題。

換言之，林子儀大法官在距今17年前的釋字603號協同意見書中，所擔憂的問題：「隨電腦處理資訊技術的發達，過去所無法處理之零碎、片段、無意義的個人資料，在現今即能快速地彼此串連、比對歸檔與系統化。當大量關乎個人但看似中性無害的資訊累積在一起時，個人長期的行動軌跡便呼之欲出。誰掌握了這些技術與資訊，便掌握了監看他人的權力。」在17年後的今日，隨著科技與應用的實際，已經成為了對於民眾隱私權益更加具體風險與侵害。

所以我們可以看到，在本件判決中，有許多位大法官都在其意見書中強烈表達了他們對於數位時代隱私侵害的憂慮，以及大法官作為憲政與人民守護者的決心：

「國家的力量挟勢著科技的優勢越來越強大時，應更謙遜地保障人民的隱私權」、「只有在個人資訊隱私權受到充分尊重與保障的前提下，公共利益才有真正實現的意義；否則將如極權國家，使人民隱私淪為國家高權統治下的祭品！」——謝銘洋大法官部分不同意見書

「在全面監控、徹底利用、高度效益的中國式資訊社會，與透過尊重人權、自由的民主社會機制，來追求類似的資訊治理及效益目標，我們的選擇應該是很明顯的」——黃昭元大法官部分不同意見書

「大數據時代，網路連結無遠弗屆，本件所涉及高敏感特種資料，一但遭到濫用或不當外洩，其所造成的隱私權侵害，往往具不可逆的災難性、毀滅性規模」、「不讓人民生活在伊藤潤二筆下的『無街之城』，不僅是本席在對學術研究與基本權利二者作出權衡後的呼籲，更是本庭貫徹憲法保障人民資訊隱私權的職責所在」——許宗力大法官部分不同意見書

因此，本件判決的另外一個亮點，就是大法官們在主文中所直接指出「⋯⋯法律規定整體觀察，欠缺個人資料保護之獨立監督機制，對個人資訊隱私權保護之保障不足，而有違憲之虞」，並且命相關機關在3年內需要完成修法、建立制度等語。

當同意成為儀式，獨立第三方機制如何重建保護網？

這是我國隱私保護與個資治理法制上的一個重要里程碑。過去我國法在談資訊隱私，是將其作為一個「個人資料之自主控制」的概念與權利。這種資訊隱私權的內涵，透過《個人資料保護法》的立法，是以「告知與同意」（Notice and Consent）的方式形成實踐。換言之，就是欲使用他人個資的一方，透過先告知個資主體方，其打算在何種範圍、何時、何種方式來蒐集與使用該個資，再進而取得主體方同意的方式來進行。

然而，這種形式規定到最後，演變成一連串的書面告知文字與最後的簽名同意。作為個資主體的當事人，固然理論上，是有權利來「自主」地決定是否授權同意（或不同意）各種針對其個資的搜集處理利用行為。但現實上，除了勾選同意與逕行簽名外，是沒有什麼選擇的。因為一但不同意，所要付出的代價就是必須離開、無法使用該商品或服務。這當該項商品或服務，已經成為市場上的多數主流、甚至是難以取代之時，除非真的想要離群索居、特立獨行，否則實在殊難想像當事人有拒絕不同意的選項存在。

因此，傳統上這種透過資訊自主的資訊隱私概念、告知與同意之控制路徑來保護個資的方式，在這個科技快速進步、產業數位轉型、線上平台經濟的年代，似乎已經有使不上力、保護空洞化的狀況，而成為對於個資空虛的自主、無力的控制。

故大法官們在這份判決中，嘗試另闢「組織與程序保障」的途徑，來強調資訊的良善治理（Good Governance）。判決理由中指出：

「特定基本權利就其性質或保障內容，需仰賴國家積極提供適當組織與程序規定，始能獲得實踐者，國家亦應以法律或法律明確授權之命令為之，始符合法治國家法律保留之要求。」

雖然針對的是健保資料庫，認為「國家亦有義務以法律積極建置適當之組織與程序性防護機制」，來處理「個人健保資料之對外傳輸或提供利用相關行為，其所應遵循之法定要件與正當程序，包括上開資料以資料庫儲存、處理、對外傳輸及對外利用之主體、目的、要件、範圍及方式」，但在理論上，可以外推大法官們同樣贊成其他由國家所搜集、處理、利用的個人資料與資料庫，基於資訊隱私權，也應該建構同樣的組織與程序性防護機制，甚至是第三方獨立監理機構，作為我國資訊隱私權的一種制度性保障。

這點從大法官們雖然沒有在多數意見的判決書中明說，但在多份協同或不同意見書中提及可以看出。部分大法官屬意一個「獨立第三方監督機制之組織與程序」（許宗力大法官部分不同意見書），認為需要一個「第三方監理機制，由不參與個資取用之獨立監督機關掌理人民個資保護認為，並建立個資法領域完整之行政管制體系」，認為「就日益迫切之資安風險預防言，國家建立個資保護之獨立監督機制，已屬迫在眉睫之需」（蔡宗珍大法官部分協同、部分不同意見書）。

關於健康資料治理法制，國際經驗有哪些可以借鑑？

首先，在個資保護與資料治理上，大法官們的目光是望向歐洲與美國兩地的。不但判決書本身，就特別提及歐盟《一般資料保護規則》（General Data Protection Regulation, GDPR），並援引GDPR規範下各國所設立的國家層級個資監管機關，作為範例（如下圖）。

歐洲數據保護委員會（EDPB）共有27個會員國，外加冰島、挪威、列支敦斯登等3個非歐盟國家，但因為歐洲經濟區（EEA）會員，故可參加委員會但無表決權；瑞士及脫歐後之英國則非會員。（圖取自EDPB）

歐洲數據保護委員會（EDPB）共有27個會員國，外加冰島、挪威、列支敦斯登等3個非歐盟國家，但因為歐洲經濟區（EEA）會員，故可參加委員會但無表決權；瑞士及脫歐後之英國則非會員。（圖取自EDPB）

甚至我們可以在黃昭元大法官的部分不同意意見書中，看到黃大法官明確提及美國1996年《健康保險可攜與責任法》（Health Insurance Portability and Accountability Act of 1996, HIPAA），以及該法案授權下所訂立的《隱私規則》（Privacy Rule）。這些美國法規在資訊隱私與資訊安全的規範上，有相當多細膩要求，是值得我們借鏡與參考的比較法經驗。

事實上，如果我們從比較法的觀點，特別是數位憲政主義（digital constitutionalism）的經驗來看，台灣在資訊隱私與個資保護上，所面對到的衝突與掙扎，也是歐陸國家所曾經歷過的。歐洲法學者格雷戈里奧 （Giovanni De Gregorio）曾將歐盟國家數位科技轉型與法治規範互動的歷程，區分為3個階段：

第一階段-數位自由主義（digital liberalism）：

是在網際網路科技引進的初期，人類基於對於新興技術的憧憬，而在規範抱持著盡量開放、鼓勵的態度。

如網路服務提供者在符合一定條件下，對於其使用者在平台上的不當言論（侵害著作權或妨害名譽）是可以主張免責的。

第二階段-司法積極主義（judicial activism）：

隨著數位科技的各項應用發展，開始產生各種問題與權益侵害，因此人們開始援引各項歐盟條約與基本權利來提起訴訟，期望透過司法積極介入來保障權益。

最知名的例子，就是歐盟法院承認民眾的「被遺忘權」（the right to be forgotten），而判命Google除去關於該民眾那些年代久遠但不名譽的搜尋連結。

第三階段-數位憲政主義（digital constitutionalism）：

隨著個別判決的累積、歸類而被成文法典化，最終進入數位憲政主義階段。在這其中最著名的法規之一，就是集最新個資隱私規範大全的GDPR。前述判決所承認的「被遺忘權」，就直接規範在GDPR的第17條之中。

從這樣的發展經驗來看，健保資料庫這件由台灣人權促進會所提出的訴訟案，是我國數位法治發展上，脫離數位自由主義、腳踏司法積極主義、望向數位憲政主義的一個關鍵節點與判決。

這件自2012年提起，並經過漫長10年爭訟的案件，終於在2022年8月12日宣判而有所初步結論。但從歷審判決、雙方書狀、言詞辯論主張等整個案情發展脈絡來爬梳，各界似乎也認識到原先想當然爾的直接二次利用的不妥、現況規範密度與資料治理框架的不足、援引比較法規範及憲法來尋求司法保護的做法，這些都有當年歐盟國家揚棄數位自由主義、擁抱司法積極主義的影子。

而大法官們在判決書與理由書中，要求政府主管機關建構的新個資與健保資料庫治理監督機制、甚至是獨立機關，也是朝向數位憲政主義路程的方向。換言之，利用這次憲法判決要求修法的機會，讓國內各界針對數位轉型年代進行辯論，決定我們需要怎樣一套數位治理的架構，來處理包括政府資料庫在內的資料二次利用、獨立監理機制與機關的各項議題，讓權力得以受到法律的監督與限制，讓民眾的個資與隱私能受到法治的保護，也讓台灣朝向數位憲政主義階段邁進。

如何建立一個值得信任的健保資料庫與健康大數據使用呢？

「公共信任，應該是難以寫入現代資訊法制，然又不可或缺的制度之不成文支柱。」

如同上述黃昭元大法官在其意見書所言，在數位時代，想要讓健保資料庫等健康大數據之使用，能夠得到民眾的同意與支持，先設法解除或降低不信任是十分關鍵的。

無獨有偶地，國際間許多隱私權學者如Ari Ezra Waldman、Neil Richards、Woodrow Hartzog等，近年來也同樣提出或重申了「信任」（trust）這個概念的重要性，認為其才是改進當前空洞的告知與同意之控制模式的關鍵。什麼是數位年代的「數位信任」（digital trust）呢？如果從信任的本質出發，講的是一種「基於對於特定人或特定機構的行為期待，而願意承擔風險向其提供資訊，使自己處於易受傷害的脆弱狀態」。

舉例而言，在COVID-19疫情期間，若有公司或醫院架構了一個網站平台，讓註冊會員可以付費向駐站的醫師，線上諮詢健康問題。此時，病人會員為了能夠從平台醫師處得到所要的健康資訊，至少需要提供自身的人別（姓名年籍）、病歷（健康狀況、家族病史）、財務（信用卡資訊）等重要個資。

這對於這位病人會員來說，使用這樣的智慧醫療服務，是需要冒著不小的風險的：包括信用卡資料外洩而遭盜刷、病歷資料外流而受到不利益（例如傳染病或遺傳性疾病病史被保險公司或工作場所知悉，而被拒保或解僱）、醫療診斷發生錯誤後續求償等各種情事。

因此該提供服務的平台公司或醫院、以及駐站的醫師，都需要有辦法取得使用者的信任（資深名醫、教學醫院、親友口碑、資安措施、責任保險等），減低其不信任，方有可能讓其承擔這些風險，主動願意提供資訊，使自身處於脆弱易受傷害的狀態。

如果認可這樣的醫療數位轉型是該做（減少實體接觸與疫情散布）或想做（控制醫療成本與改善人力不足），在法律與制度上，是可以透過各樣的設計，來消彌民眾的不信任、來促進數位信任的。

這其中可以增進數位信任的措施，包括了對於從事這項業務的機構與醫師進行證照資格管制、制定網路平台資訊安全與金流安全的規範、設立專屬或獨立之個資監理或消費者保護機關、要求提供服務的公司與網站應該對於重要資訊進行揭露（證照、資格、經營團隊、安全措施、責任保險）等等，都是建構與維護在數位時代下數位信任的重要制度性措施。故而，本件憲法判決所提及的新個資與健保資料庫治理監督機制、甚至是獨立機關，都是邁向數位憲政主義、建構數位信任、良善治理健康大數據極為重要與基礎的一環。

未完待續：人人都是當事人

10年過去了，本件訴訟雖然到了一個段落，但3年內完成修法的碼表卻又馬上開始計時，一刻都無法放鬆。更重要的是，正如聲請人方（原告）翁國彥律師在憲法法庭言詞辯論當天所說，本件很有可能是「大法官釋憲史上首次出現，今天在座的每一個人、每一位國民都已經是當事人的案件」。

健保資料庫、所有健康大數據，甚至所有個資的治理，都有機會利用這次來全盤進行檢討與修正，使得數位信任成為可能、使得數位憲政主義得以落實，這是對於生活在這塊土地上的每一個人，都應該認為是重要且相關的事情！