在大數據風潮引領下，「開放資料」呼聲不斷，讓資料可被自由散布及加值運用。但與開放資料趨勢相衝突的是國家機密、營業秘密、著作權及個資的保護。因此開放資料須經過篩選過濾，由高層核准或當事人同意把關，或採取「去識別化」措施，以降低風險。
個人的病歷、醫療、基因、健康檢查等資料皆屬個資。個人的生醫個資彙集起來就變成群體的大數據資料庫，可依不同標準如性別、年齡、種族、地域、職業、疾病等，做更廣更深的健康管理、疾病醫療及商業利用。不管是生醫個資或是大數據之蒐集、處理及利用，其實都涉及個資保護。
實體與虛擬的生醫個資
做為一個人，實體存在的就是身體本身，有細胞、組織、器官、系統、皮膚、毛髮等。而虛擬存在的就是與身體有關的各種資訊，如體重、體溫、血壓度數、心跳次數、血糖指數、基因密碼等，這些生醫個資可藉由儀器測量來獲得及評估。隨著數位行動科技的進步，以及大數據的分析加值運用，生醫產業朝向智慧醫療與智慧健康的方向發展。
預防勝於治療，藉由AI人工智慧、雲端科技、行動裝置、物聯網以及人體健康資料庫大數據的整合，不僅可就特定個人的生理健康數據記錄評估並提供改善建議，亦得就各種範圍的群體數據進行分析研究建立參考標準。惟個人的病歷、醫療、基因、健康檢查等資料依個資法第2條規定，皆屬個資，亦應重視相關之法律保護。
個人的生醫個資
實務上有一則關於毛髮、體液的法院判決凸顯個人生醫個資的重要性，其案情為：某甲乙兩人到A商旅投宿，卻遇到某徵信業者意圖侵入甲乙住宿之房間強行拍攝而發生爭執。甲乙離開A商旅後，A商旅的員工丙，竟依徵信業者所求而將甲乙二人使用過未經清洗的床單、被單、毛巾、浴巾等物品販賣給該徵信業者。甲乙二人主張該等物品有他們的毛髮、體液等基因附著，屬於得以直接或間接識別個人之資料，在未經當事人同意下竟被A商旅的員工丙蒐集及販賣予徵信業者，造成甲乙二人精神上損害。
法院判決認為A商旅及其員工丙應連帶賠償8萬元，其理由主要為：飯店或旅館之房客雖然已離開房間，其遺留之使用過貼身物品或垃圾通常含有其毛髮、體液等生物跡證，自屬含有基因等個人資料，當受憲法資訊隱私權之保護，該等物品或垃圾應由飯店或旅館業者循正當管道清洗或清除，此乃一般房客在社會通念下具備之合理隱私期待，飯店或旅館業者不得將該等物品或垃圾為其他不當之處理或利用。若未經房客同意，亦無法律之依據，逕自將包含他人基因等個人資料之物品或垃圾為不當之處理或利用，自屬侵害他人自主控制其個人資料之資訊隱私權之態樣，若情節重大，當事人雖非財產上之損害，自得依民法第195條第1項前段請求賠償相當之金額（參見高雄地院107年消字第5號民事判決）。
由上可見，不僅個人身體隱私不容遭他人任意偷拍，身體毛髮體液亦附有基因個資而應予保護。值得一提的是，該案亦得依個資法第28、29條規定，主張個資被侵害而請求非財產上的損害賠償。
大數據的生醫個資
許多個人的生醫個資匯聚起來就形成群體生醫資料的大數據。隨著大數據風潮所引領，「開放資料」（Open Data）呼聲不斷，讓資料可被自由地使用與散布，進一步加值運用。就開放的資料內容為何，有所謂「開放政府資料」（Open Government Data）與「開放銀行」（Open Banking）等類別。因為政府與銀行裡蘊藏民眾與客戶廣大的資料，若能經第三方開採而創新應用，或可發揮極大功效。與開放資料趨勢相衝突的是國家機密、營業秘密、著作權及個資的保護。因此開放資料須經過篩選過濾，由高層核准或當事人同意把關，或是採取「去識別化」措施，以降低資料開放的風險。
現在已有許多大型醫院如北醫，標榜進行醫療大數據的研究開發。而我國推行全民健康保險雖然面臨財務困難但仍屬成效卓著，健保署將民眾之個人健保資料提供予國家衛生研究院建置「全民健康保險研究資料庫」及衛福部建置「衛生福利資料科學中心」之利用，透過該二機構再將全民健保資料釋出給研究單位、民間機構等做研究發展之用，此即開放政府資料之著例。
過往曾有民眾提起訴願及行政訴訟主張健保署違反個資法規定，惟法院認為應屬合法（參見最高行政法院106年度判字第54號行政判決），該案已聲請大法官會議解釋，值得注意其後續發展。
遵守個資法
不管是生醫個資或是大數據之蒐集、處理及利用，都需要注意個資的保護。依個資法第6條規定，包括生醫個資之特種個資原則上不得蒐集、處理或利用。但有下列情形之一者，不在此限：
1. 法律明文規定。
2. 公務機關執行法定職務或非公務機關履行法定義務必要範圍內，且事前或事後有適當安全維護措施。
3. 當事人自行公開或其他已合法公開之個人資料。
4. 公務機關或學術研究機構基於醫療、衛生或犯罪預防之目的，為統計或學術研究而有必要，且資料經過提供者處理後或經蒐集者依其揭露方式無從識別特定之當事人。
5. 為協助公務機關執行法定職務或非公務機關履行法定義務必要範圍內，且事前或事後有適當安全維護措施。
6. 經當事人書面同意。但逾越特定目的之必要範圍或其他法律另有限制不得僅依當事人書面同意蒐集、處理或利用，或其同意違反其意願者，不在此限。
由上可知，民間企業對生醫個資的蒐集、處理或利用受有較大的限制，主要是透過當事人書面同意的管道，而政府機關則較為多元。個人通常會同意醫療院或健康管理APP所基於上開目的而蒐集、處理及利用生醫個資。但若超過服務特定個人目的之外所為之蒐集、處理及利用，理應另外取得當事人同意，倘若進而以大數據做加值應用，則至少應採取「去識別化」措施，以保護個資，至於是否還需要當事人同意或是當事人可選擇退出，實涉及個案利用上之手段、目的及比例原則，則見仁見智。
＜本文作者：陳佑寰，目前為執業律師。國立台灣大學法學碩士，美國賓夕法尼亞大學法學碩士。專攻領域為智慧財產權法、高科技產業議題及資訊法等。＞