撰文／何楷平
在AI大數據時代，「個人資料」不只是靜態資訊，更是驅動產業創新與公共治理的核心資源。但龐大的資料數據，也潛藏隱私權保障的高度爭議。2022年8月11日，憲法法庭「111年憲判字第13號」判決，成為這場辯論的關鍵轉折點。
判決指出，健保資料對外提供與監督，欠缺明確法律依據與獨立機制，要求判決日起3年內，制定或修正相關法律，建立讓人民得以請求停止「目的外利用」的管道。這也是我國憲政史上，首次明確點出「台灣欠缺獨立個資監督機制」。
在此背景下，政府於2024年底啟動「個資三法」修法，包括《個人資料保護法》、《個人資料保護委員會組織法》、《全民健康保險資料管理條例》。
這場修法行動，為台灣停滯已久的個資治理帶來一線曙光，卻也掀開更深一層的制度辯問：隱私保障與資料利用如何達到平衡？公益研究與商業應用的界線，又該如何劃分？
「個資會」獨立性受質疑？
這次《個人資料保護法》的修訂，並未針對實體條文進行大幅度的變動，而比較偏向是為了回應憲法法庭要求，替新成立的「個人資料保護委員會」（簡稱個資會）提供法律依據與制度定位。
然而，個資會在制度設計上，引發不少質疑；其中最為外界詬病的就是「獨立性不足」。
中央研究院歐美研究所副研究員何之行指出，雖然個資會須為是獨立機關，但目前定位為「三級機關」，且機關首長人選由行政院長任命，因而在實際運作上，可能難以完全擺脫行政體系的影響。同時，也可能使個資會在履行監督責任時面臨挑戰：一方面必須監督政府機關，另一方面又隸屬於同一行政架構之下，恐削弱外界對其獨立性的期待。
健保資料「退出權」的三大漏洞
在「個資三法」中，最受矚目的就是《全民健康保險資料管理條例》。這部專法的立法目標，是回應憲法法庭指出健保資料「目的外利用」缺乏法律依據的問題，特別是當健保資料被用於學術研究或其他公共目的時，民眾幾乎沒有選擇或拒絕的空間。
因此，草案條例引入「退出權」機制，也就是允許民眾「事後」表達拒絕其資料被二次利用。不過，這項設計同樣存在不少缺陷。
首先是「法律授權過於空白」。
該草案條文對「退出權」的程序與要件，描述過於模糊，把關鍵細節全交由主管機關決定，導致是否符合憲法所要求的法律保留原則，受到質疑。此外，草案條文中提到的「例外規定」也過於空泛，其中提到的例外規定如「國家安全」、「公共衛生」等條款模糊不清。
這些例外條款，如果沒有設定清楚的範圍與條件，就可能被過度擴張解釋，或遭「公益」之名被廣泛利用資料，使民眾原本應有的退出選擇權被輕易排除，導致國人個資自主權依然存在漏洞。
其次是「告知方式落後」，未能善用科技工具。國立政治大學法學院教授劉定基指出，目前草案仍依循《個資法》第17條的公告方式（公務機關應將相關事項公開於電腦網站，或以其他適當方式供公眾查閱），等於把「退出權的知情義務」推回給民眾自行搜尋，而非以更主動且直覺的工具（例如以手機簡訊通知、健保快易通APP通知）來盡到告知義務。
再者，退出權的「空白期」過長，也讓制度效果大打折扣。
目前草案條例允許健保署在30天內完成註記，換句話說，民眾在提出申請行使退出權後長達30天的空白期，資料仍可能被釋出或利用；且一旦資料已經釋出，即便30天後退出權生效了，也無法再追溯收回，形同「無法彌補的30天」。
立法延宕，行政命令暫時補位
2025年8月11日是修法大限之日，《全民健康保險資料管理條例》仍未完成立法。對此，健保署於同年8月12日公告「全民健康保險資料研究利用與停止利用申請作業及管理要點」，聲稱這是《全民健康保險資料管理條例》草案完成立法前，提供民眾申請停止資料目的外利用的作業依據，再度引發不少「用行政命令補漏洞」的質疑。
這只是冰山一角。中央研究院法律學研究所資訊法中心主任吳全峰指出，就目前草案進展來看，台灣對退出權的範圍仍過於侷限，僅涵蓋健保與醫療服務資料，卻沒有包括衛福部轄下其他重要的社福與健康資料（如性侵、家暴、癌症登記等檔案），使得國人的個資自主權仍顯不足。
退出權是回應個資自主的重要手段，但如果流於形式，就算法律文字上承諾給予退出權，實務上，民眾仍可能無法真正掌握自己資料的流向。
健保資料怎麼用？公益與商業的角力
另一個問題則是，公益研究與商業利用的界線爭議。
在台灣現行制度下，健保資料的使用被嚴格區分為「公益研究」與「商業利用」。法規限制商業主體（如藥廠、生技公司）不得直接申請資料；但並未禁止透過大學或研究機構進行「產學合作」來間接使用。
然而，面對AI大數據與精準醫療快速發展，需要龐大且多元的資料作為基礎，若規範過於僵硬、缺乏彈性，不僅可能壓抑創新，也會忽視一個更重要的課題──許多商業應用往往同時兼具公共利益。
何之行副研究員認為，商業運用並非本質上的惡。現行個資法強調「申請主體」而非「使用目的」，導致企業選擇透過產學合作來「繞道」取得資料的情況相當普遍，等於表面上禁止了，但其實難以落實。
舉例來說，台灣擁有2,300萬人完整健保資料，在藥品研發與AI應用上具備極高發展潛力。若過度限制商業使用，只看「申請主體」、不看「使用目的」，不允許商業機構直接作為申請者，反而可能因此削弱資料運用的價值。
相比之下，國際上已有值得台灣借鏡的經驗。以歐盟GDPR為例，側重審查資料的「使用目的」是否屬於科學研究，而非以資料申請者的身份作為限制，同時設計出一系列當事人權利保護機制（如撤回同意、資料可攜權等），來確保民眾能隨時掌控資料流向、以及對資料利用的選擇權。
何之行副研究員觀察，在歐盟GDPR架構下，即使是商業機構，如藥廠或基因檢測的生技公司，只要其申請資料的使用目的為「科學研究」（Scientific Research），仍是有機會被允許的，「限制申請主體，卻沒有仔細審查使用目的，是會在『鼓勵創新』與『保護隱私』之間缺乏彈性。」
更進一步，歐盟今（2025）年推動的《歐洲健康資料空間》（European Health Data Space, EHDS），嘗試將健康資料整合，並建立資料二次利用的規範基礎，讓資料更容易因公共利益的目的而被再利用。
以英國而言，其採取「兩階段退出機制」：民眾可以選擇不讓其健康資料進入中央資料庫，也可以在資料釋出給第三方前，再度行使退出權，同時，透過定期更新同意機制，民眾也可以重新決定是否同意資料使用，藉此強化自主性。一方面，賦予個人更多權利去控制和存取自己的健康資料，另一方面，也允許經過匿名化處理的健康資料，在安全機制下再利用，支持醫療研究、技術創新與政策制定。
這樣的設計，凸顯了公益研究與商業利用，並非完全對立──透明與彈性可以並存，隱私與創新也能兼顧。
換句話說，只要制度具備透明化與嚴謹的審查程序，並落實退出機制，民眾就能清楚知道自己擁有「可撤回、可選擇」的自主權，對資料利用的信任度自然會提升。同時，資料使用者（如藥廠或生技公司）若能依循明確規則行事，不僅能避免誤踩紅線，更能專注於研發與應用，進而在 AI 時代中找到隱私保護與資料流通的平衡，讓個資治理改革，成為推動產業創新與社會發展的助力。
個資隱私與產業創新的共生之路
整體來看，這次的修法依然停留在「碎片化立法」與「監督機制不足」的困境，除此之外，個資治理的更深一層挑戰，還包括台灣社會在「個資保護意識」的欠缺。
許多公務機關或企業在管理個資時，仍停留在「填一份告知同意書」的形式思維，將個資保護視為例行公事，而非日常性的責任。執法上，也常見在資料外洩事件發生後的「事後被動介入」，而不是透過預防性的監督與稽核，透過更健全的制度來達到「事前主動預防」。
另一方面，溝通消極與透明度不足，也可能成為個資治理發展的阻礙。吳全峰主任認為，即使立法完成了，若民眾對資料的收集方式、使用目的及成果，毫無清楚認知，法律設計得再嚴謹，也無法換取社會信任、達到有利產業發展與個資保障的目標。
因此，除了全面檢視立法與制度合宜，也要徹底建立獨立與有效監督，更重要的是持續與社會對話，讓民眾理解自己的資料被如何運用、又如何回饋社會，鼓勵民眾在知情與自主的前提下參與，提升社會接受度與信任感。
資料治理不僅是法律條文的設計問題，更是國家在面對 AI 與大數據浪潮時，能否展現制度韌性與治理能力的考驗。唯有在隱私保障與資料利用之間取得穩健的平衡，台灣才能逐步奠定值得人民信賴、同時支撐產業創新的制度基礎。
＠66期執編律師：賴亭尹律師、蔡雅瀅律師、蔡毓貞律師