范建得觀點：健康資料不再只是病歷─Amazon案正在改寫AI時代的資料治理規則

もし誰かが「健康資料とは何か」と尋ねた場合、現在の大多数の人の最初の答えは、依然として病歴、健保資料、健康診断報告書、または病院の診療記録であるかもしれません。しかし、人工知能（AI）が急速に発展している今日、個人の健康状態を真正に反映する情報は、すでに医療機関が保存する病歴に限定されていません。あなたのスマートフォンの位置情報、ネット検索履歴、消費嗜好、ウェアラブルデバイス、睡眠状態、運動の軌跡、さらには頻繁に訪れる場所さえも、アルゴリズムによる分析を通じて、病歴よりもはるかに詳細な「健康肖像」を構成する可能性があります。

これこそが近年のグローバルな健康資料ガバナンスにおける最大の変化です。2025年、アメリカのワシントン州で起きたMaxwell v. Amazon訴訟は、まさにこの変革の幕開けを示しています。原告は、Amazonが第三者のソフトウェア開発キット（SDK）およびデジタル追跡技術を用いて、ユーザーが健康関連アプリ（App）上で行う操作記録、位置情報、その他のデジタル足跡を収集しており、それによって個人の健康状態を反映する分析データを構築していると主張しています。この案件はまだ裁判所による実体判決が出ていないものの、すでに全世界が共通して考えるべき重要な問いを提起しています。すなわち、「日常の生活データがAI分析によって個人の健康状態を推論できるようになったとき、私たちは過去の『健康資料とは病歴だけ』という考え方を、依然として健康資料ガバナンスの基礎として用いてよいのか？」ということです。

答えはおそらく「否」でしょう。

真に注目すべき点は、この事件が改革の始まりではなく、むしろアメリカのワシントン州が、すでにデジタル健康資料ガバナンスが直面する新たな課題を予見していたことを示していることです。実は2023年、ワシントン州は『私の健康、私のデータ法』（My Health My Data Act: MHMDA）を制定しており、これは世界的にも代表的な消費者向け健康資料保護法の一つとなっています。その核心理念は極めて明確です。資料が医療機関によって生成されたものでなくても、個人の健康状態を識別、推論、または合理的に関連付けることができるならば、それは法的に保護されるべき健康資料になり得る、というものです。

この制度の最大の突破点は、健康資料の法的定義が、もはや資料の出所に完全に依存しなくなったことです。代わりに、資料の「機能」と「用途」が重視されるようになりました。言い換えれば、法律が問うのは「これが病歴かどうか」ではなく、「これらの資料が個人の健康状態を描き出すのに十分かどうか」なのです。

まさにこれが、AI時代がもたらした重大な変化です。

かつては、健康資料の多くが病院、診療所、保険会社に集中していました。そのため、関連する法制も医療機関を中心に構築されてきました。例えば、アメリカの『健康保険の携帯性と責任に関する法』（HIPAA）や、我が国の『医療法』『人體研究法』などの制度は、すべてこのような考え方に基づいています。

しかし今、デジタル技術と人工知能の急速な発展に伴い、実際に大量の健康情報を握っているのは、もはや医療機関だけではありません。スマートフォンのOS、ソーシャルメディアプラットフォーム、ECプラットフォーム、ナビゲーションサービス、スマートウォッチ、健康アプリ、そしてさまざまなAIサービス提供者が、その中心にいるのです。こうした企業は個人の病歴を持っていなくても、数百に及ぶ一見ばらばらで無害に見える生活データを分析することで、ユーザーが妊娠しているかどうか、心理疾患を抱えているかどうか、慢性疾患にかかっているかどうか、さらには将来的な健康リスクを予測することさえ可能になります。

つまり、AIによって資料の価値は、個々の情報そのものにあるのではなく、異なる資料同士を結びつけ、統合する能力にあります。したがって、真にガバナンスが必要なのは資料そのものだけでなく、資料がどのように分析され、どのように推論され、どのように再利用されるかという「行為」そのものなのです。

これはまさに、グローバルな資料ガバナンスが直面している重要なパラダイムシフトを反映しています。

欧州連合（EU）が近年推進している『欧州健康データ空間』（European Health Data Space: EHDS）では、個人の自律性、医療ケア、科学研究の革新の両立を強調しており、ある意味で、元々の『一般データ保護規則』（GDPR）が求める高リスクデータに対する厳格な監督を緩和する余地を設けています。一方で、全国的な健康資料専法を持たないアメリカでは、ワシントン州をはじめとする複数の州が、むしろ積極的に消費者向け健康資料を保護範囲に取り入れています。

これに対して、台湾は実は健康資料保護制度が不足しているわけではありません。例えば、『個人資料保護法』第6条では、病歴、医療、健康診断、遺伝子情報などを特別個人資料として位置づけています。また、『医療法』『人體研究法』『人體生物資料庫管理条例』などの法規も、相当に整った医療研究ガバナンス体制を構築しています。伝統的な医療資料の保護に関しては、台湾の制度は遅れをとっていません。

しかし、真に再考が必要なのは、AI時代に大量に出現する新型の健康資料、すなわち上記の消費者向け健康資料が、既存の法制の想定を超えてしまっているかどうか、という点です。例えば、個人の位置情報記録が、腫瘍センターに長期にわたって通院していることを推論できるか？特定の健康食品の購入履歴が、慢性疾患の罹患を示している可能性があるか？ネット検索履歴が、個人の精神的健康状態を明らかにできるか？ウェアラブルデバイスが収集した睡眠、心拍、活動量のデータをAIモデルで分析した結果が、法的に健康資料と見なされるべきか？現行法はこうした問題に対して、依然として一貫性と明確性に欠ける判断基準を持っています。

一方で、資料ガバナンスが関心を持つべき対象も、もはや「合法に収集されているか」だけではありません。資料は異なるプラットフォーム、異なるアルゴリズム、異なるサービス提供者間を流動し、同じデータが何度も分析・統合・再利用されることで、最終的に新たな健康推論が形成されます。したがって、真に管理が必要なのは資料のライフサイクル全体、すなわち収集、分析、推論、共有、越境伝送、AIモデル訓練の各段階であり、単に資料を取得した瞬間だけではありません。

これはつまり、企業のガバナンス責任が徐々に変化していることを意味しています。今後、企業は「私は合法に資料を収集しましたか？」と問うだけでなく、「私のAIシステムは個人の健康情報を推論する可能性がありますか？」「関連資料は第三者によって再利用されていますか？」「サプライチェーン内のソフトウェア開発キット（SDK）、広告プラットフォーム、データ分析サービスは、既定の資料ガバナンス要件を満たしていますか？」と問われるようになります。健康資料ガバナンスは、次第にESGガバナンス、取締役会の監督、企業リスク管理の重要な課題となり、もはや法務部門や情報部門の個別の仕事では済まなくなっているのです。

政府にとっても、台湾は今、個人資料保護制度の改革という重要な局面にあります。新しく設立された個人資料保護委員会は、一貫した執行基準を確立するという重要な使命を担っています。AI時代に生じる新型の健康資料に対応して、今後すぐに新しい健康資料専法を制定する必要はないかもしれませんが、既存の『個人資料保護法』の枠組みの中で、健康推論資料、高リスクAI処理、資料保護影響評価、プラットフォームおよびサプライチェーン責任などの制度を段階的に整備することで、現行法制がAI時代の新たな課題に応えることができるようになります。より広い視点から見れば、これは単なる法律問題ではなく、デジタル社会において人々が資料の利用に対して信頼を築く方法に関する問題でもあり、まさにここが最も重要なポイントです。

もし人々が、自分の資料が適切に保護され、透明性があり、十分な保障のもとで合理的に利用されると信じることができれば、健康資料は精密医療、スマートケア、公衆衛生の発展を推進する重要な基盤となります。逆に、透明なガバナンスと効果的な監督がなければ、どんなに先進的なAI技術であっても、信頼の欠如によって社会的支持を失い、広く受け入れられることは難しくなります。

Amazon事件が世界に与えた真の啓示は、最終的に企業が違法と判定されるかどうかではなく、AI時代に最も重要な健康資料は、すでに病院の病歴ではなく、日々のデジタル生活の中に散らばるさまざまなデジタル足跡である、ということを私たちに思い出させたことにあります。こうした資料がイノベーションを促進する一方で、人々の信頼と法的保護を受けられるようにすることが、今後10年間のグローバルな健康資料ガバナンスにおいて最も重要な課題であり、台湾が避けられない新たな挑戦でもあります。

Amazon事件が本当に変えたものは何か？

ここ一年ほど、Maxwell v. Amazonは、グローバルな健康資料ガバナンスで最も注目されている案件の一つとなっています。しかし、その真の重要性は、Amazonが最終的に敗訴するかどうかではなく、人工知能、デジタルプラットフォーム、健康資料ガバナンスが交差する中で生じる新たな法的問題を、初めて司法手続の中で完全に提示したことにあるのです。これにより、個人情報保護に関する議論の範囲が大きく広がりました。

原告は、Amazonが医療機関を通じて病歴を取得したのではなく、第三者のアプリに組み込まれたソフトウェア開発キット（SDK）を通じて、デバイス識別番号、広告識別番号、正確な位置情報などのデータを収集し、クロスプラットフォームでの識別、行動分析、商業分析に使用していると主張しています。争点の核心はもはや病歴ではなく、こうした一見普通のデジタルデータが、個人の健康状態を識別または推論できるほどに十分なものであるかどうか、そして企業がそれによって健康資料保護の法的義務を負うべきかどうか、という点にあります。

注目に値するのは、この事件はまだ拘束力のある実体判決を受けていないことです。そのため、世界中で実際に議論されているのは、Amazonがすでに違法であったかどうかではなく、もっと根本的な法的問題です。