2020年美國Dinerstein v. Google案分析患者可否主張財產損害作出判決。以下針對RWE使用、與醫療產業關係、以及資料再識別技術開發，及Dinerstein v. Google一案分析，以提供未來國內發展智慧醫療產業相關參考。

圖片來源 : shutterstock、達志影像

真實世界證據（Real-World Evidence, RWE）為佐證、支持醫藥品法規及審查決定（regulatory decision）的基準，亦適用於核准藥品新增適應症的核准，可以減低臨床試驗成本，以解決試驗數據不足之問題。然而真實世界證據，係使用真實世界數據為研究資料來源，經適當分析方法所產生的證據。在醫療產業，需利用各種來源定期收集的與患者健康狀況或醫療保健提供相關的數據，這些數據涉及許多患者的資料。患者對於資料分享是否具有可主張財產權之利益，不無疑問。

RWE之使用可大幅降低臨床試驗成本

2020年全球處方藥（prescription drug）支出預計約為1.3兆美元；僅美國就將花費約3500億美元[1]，預計這項高支出將在全球以每年3-6%的速度增長，增長幅度讓各國衛生主管機關用於醫藥公衛預算支出成倍數上漲。2018年，全球癌症治療支出約為1500億美元，並且在過去5年中每年增長超過10%。眾所周知，藥品需要進行各期臨床試驗，甚至大規模的樞紐性試驗，以提供必要的安全性與療效驗證數據，供衛生主管機關審查評估使用該藥品的風險與利益，作為核准藥品上市與否的依據，傳統新藥研發所需期程，藥品從臨床前測試到最終核准上市保守估計約需8-12年，如果將高失敗率納入考量，估計開發一種新藥的成本約為30億美元，其中只有10-20%的藥品完成試驗，通過衛生主管機關審查成功進入市場[2]。

美國政府及國會意識到高昂的藥品費用問題，於2016年通過《21世紀醫療法案》（21st Century Cures Act）要求美國食品藥物管理署（FDA）加速新治療方法的核准，其中一個重點，即為要求制訂一套利用RWE來佐證、支持醫藥品法規及審查決定（regulatory decision）的基準，亦適用於核准藥品新增適應症的核准。

真實世界證據運用於醫療產業

所謂RWE係指使用真實世界數據（Real-World Data, RWD）為研究資料來源，經適當分析方法所產生的證據。狹義來說，RWD來自非實驗型研究之數據，例如電子資料庫或病歷資料等[3]。廣義的RWD指的是隨機對照試驗以外所蒐集到，從各種來源定期收集的與患者健康狀況和/或醫療保健提供相關的數據。可以包括電子病歷、索賠和計費數據、產品與疾病登記資料、病患生成數據或電子健康紀錄（如：穿戴式裝置、健康追蹤、居家監控設備所得資料等）[4]。示意圖如下：

圖1：RWE來源示意圖

來源：本文作者提供

2017年8月，美國FDA公佈《使用真實世界證據以支持醫療器材查驗登記指引》（Use of Real-World Evidence to Support Regulatory Decision-Making for Medical Devices），正式將RWE納入美國FDA審查的參考依據，並說明資料蒐集、來源及處理過程的要求。2019年5月公布「Submitting Documents Using Real-World Data and Real-World Evidence to FDA for Drugs and Biologics Guidance for Industry」，鼓勵使用RWD的申請人進一步分析數據產生RWE，作為向FDA提交申請文件的一部分，FDA亦提供簡單、統一的格式，讓申請人可提供有關其使用RWE的相關資訊，並鼓勵申請人利用及分析RWE之前，提供前瞻性設計計畫（prospective design plan）與FDA討論，RWD/RWE的應用正式由醫療器材拓展到藥品甚至生物藥品的上市許可。台灣衛生福利部食品藥物管理署（TFDA）亦於2020年10月擬定「使用真實世界數據／真實世界證據作為申請藥品審查技術文件應注意事項（草案）」，對外徵求意見[5]。 國際真實世界數據/證據指引整理如下表。

表1：國際真實世界數據/證據指引（整理時間：2021. 07）

資料來源：各主管機關網頁，作者整理

RWE在藥品開發上可用於了解「真實世界」環境，例如：治療人群、護理模式和疾病負擔，使用現有數據評估當前療法的有效性，改進或補充新藥常規試驗的數據，並提供新藥相對有效性的新證據。因此，被列為法規科學研究與發展之重點項目，2018年美國FDA真實世界證據計畫的框架特別強調，RWD是與患者健康狀況和/或分娩相關的數據，從各種來源定期收集的醫療保健，RWE是關於使用和潛在益處的臨床證據或源自RWD的醫療產品的風險，以務實的嘗試搭配嚴謹的外部控制、觀測數據的適應度，合理研判數據是否符合標準[6]。

考量RWD/RWE的基礎關鍵在於資料庫的建立、數據收集以及分析方法發展，衛生主管機關以及人體試驗委員會對於此類數據資料收集的認知亦需與時俱進，以精進臨床試驗設計並輔助評估藥品上市前後療效或安全性，伴隨電腦、穿戴裝置和其他生物感測器收集並儲存健康數據的速度持續增長，這些資訊將幫助我們回答許多過去難以解釋的問題，隨著分析方法不斷優化，RWE將能更適切地將分析結果應用於醫療產品的開發和批准。

去識別化仍有再識別之可能性

醫療機構或健保機構使用的去識別化技術是否可以隱私權一直存有疑問。2008年中國蘇州大學CN108491497B專利申請案，「基於生成式對抗網路技術的醫療文本生成方法」。該申請案即說明係以將原始醫療文件，進行分類處理，以保留必要醫療文件，然後將醫療數據打散後，模擬產生新的醫療文件，以供機器學習、資料探勘、人工智慧等方法，以供訓練、學習和測試使用。專利說明書指出，本項技術旨在解決醫療文件可能涉及到的病人隱私安全問題，以便解決醫療資料不足的問題。

CN108491497B專利申請案說明書中，更以美國印第安那州某位前市長，突然被發現感染有惡性傳染疾病。事後得知，該市長在事發前曾去某家醫院就診，有人根據這家醫院提供的所謂「無個人敏感隱私資訊」的醫療資料，結合其他大型資料進行分析，推斷出該市長患有惡性傳染疾病。說明書上的案例訊息不明。然而，2019年5月28日，印第安納州的Medical Informatics Engineering, Inc公司因為400萬人的個人健康資料，因違反HIPPA（Health Insurance Portability and Accountability Act）相關規定，而與多州和解，同意支付900,000美元和解金[7]。

醫療資訊提供第三人分析是否對個人構成損害

承認RWE證據，引發了科技產業致力利用AI技術，由患者的病歷中，尋找可能有助於預測醫療問題的模式。僅管美國科技公司和大學研究人員表示，其所使用的記錄將去除個人身份信息，以保護患者隱私。然而，相關分享資訊過程中，是否侵害資訊來源者財產權？不無疑問。2019年6月，伊利諾伊州的馬特·迪納斯坦（Matt Dinerstein）向美國伊利諾州北區地方法院提起集體訴訟，控告芝加哥大學、芝加哥大學醫學中心和谷歌，指控其機密醫療信息在未經其書面通知的情況下被提供給谷歌。2020年伊利諾州的聯邦法官駁回芝加哥大學醫學中心和谷歌的集體訴訟。

Dinerstein v. Google[8]案，肇因於2017年Google與芝加哥大學（University of Chicago）雙方進行的合作研究計畫，該計畫利用機械學習技術，以開發「識別患者的健康問題並預測未來醫療事件」的機制，作為合作項目的一部分。因為合作計畫關係，芝加哥大學與Google共享2010年1月1日至2016年6月30日間使用大學門診、住院或急診服務的成年患者的去識別化電子健康記錄（EHR），以幫助Google改進預測分析系統。起訴狀指稱醫學中心提供數據資料包括服務日期、醫生記錄的時間戳，原告認為這些原始資料沒有充分編輯或匿名，因此這些健康訊息可以透過技術而被重新識別，Google擁有通過其其他服務獲得的關於個人的信息。因此該分享違反了1996年HIPAA限制了「個人可識別的健康信息」的共享之規定。被告芝加哥大學則否認有任何不當行為，且聲稱與合作人間使用了安全且符合HIPAA的數據共享方法。然而，HIPAA並不提供私人訴訟權，因此Dinerstein根據原告在大學入學時簽署的協議，就違約損害提起訴訟。美國伊利諾州東北區地方法院法官，駁回集體訴訟。並以原告無法證明醫療記錄對於患者具有商業價值為由，駁回損害賠償之請求。

由於違反HIPPA規定並無民事損害賠償請求之規定，因此，原告本件訴訟損害賠償的請求，係違反入院和門診協議和授權協議規定請求給付。原告指出入院門診協議中規定：「我了解將盡一切努力保護隱私，並且對我的醫療信息的任何使用都將遵守聯邦和州法律，包括管理患者保密的所有法律，以及芝加哥大學醫療中心隱私實踐通知。」另外，原告所收到隱私通知，其中指出：「未經您或您的個人代表簽署的書面授權，我們不會出於本通知中描述的原因以外的任何原因使用或共享您的醫療信息。」是以，原告聲稱，當大學與Google共享原告的電子病歷，但未能正確編輯電子病歷中的患者服務日期和醫療記錄時，大學違反了以上約定。

被告則抗辯原告非適格的當事人且未能陳述賠償方式，要求法院駁回原告之訴。法院認為，雖然原告無法證明具體損害，而不能要求任何金錢損失，但透過指控大學違反入院協議中做出的承諾，被告確實違反合約，因此原告具有提起訴訟的必要資格。其次，為了提出違約損害賠償，原告需要證明合同確實存在並且被違約。依照大學遵守有關患者秘密之承諾，法院認定被告違反HIPAA，違反了大學的入院協議。根據HIPAA隱私規則，出售患者的受保護健康訊息（PHI）需要患者的書面授權。

法院認定原告就診醫療的資料可以準確歸類為PHI，因為大學未能從數據中刪除所有識別元素，例如入學和出院日期。由於PHI受到「出售」的影響，因為DUA授予大學「非排他性、永久許可」，可以使用Google創建的「用於內部非商業研究目的」的訓練模型和預測，這些模型構成直接或間接報酬。法院指出，HIPAA確認「報酬」不僅僅指支付金錢。因此，法院認定該大學違反了與原告之間關於原告患者隱私的協議，位於出售PHI之前尋求病患同意。原告認為，大學根據數據使用協議（DUA），將電子健康記錄（EHR）傳輸給Google。而作為交換大學的EHR數據之對價，雙方的DUA則授權大學永久使用Google機器學習研究開發的模型和預測。

至於原告能否追回經濟損害賠償？原告提出了金錢損害的理論，其中包括他在UCMC接受治療的一部分費用是他沒有從中受益的「隱私成本」，或者他因使用他的健康信息。法院認定原告關於金錢損害賠償的理論均不充分。由於原告無法提出足以支持違約索賠的損害賠償理由。因此，法院批准了被告提出的駁回提議，理由是被告未就違約行為提出救濟要求。

法院對去標識化的充分性進行仔細審查的原因，是機器學習和人工智能技術的進步，它們能夠通過組合單獨的數據集來重新識別以前去標識化的數據集。一項研究發現，在某些情況下，從可穿戴追踪器收集的去識別化數據可以準確地重新識別，高達80%的兒童和95%的成年人。在這種情況下，Google有可能重新識別從大學收到的資料集（Data Set）。鑑於原告使用裝有Google應用程序的智能手機，該智能手機能夠準確地確定原告在大學醫療中心住院期間的地理位置，谷歌有可能將其從醫院收到的信息結合起來，而識別資訊來源者身分。

結論

Dinerstein v. Google案原告雖然無法具證據體之損害，然而法院已經確認，對於個人受保護資料，進行目的外之使用，即便未有金錢上的獲利，其所取得無償使用系統利益，亦構成販賣，該種資料分享，仍需經資料來源者同意，否則構成違約，該種分享行為仍有訴訟風險。

備註：

【本文僅反映專家作者意見，不代表本報立場。】

Facebook 在北美智權報粉絲團上追踪我們