范建得觀點：健康資料不再只是病歷─Amazon案正在改寫AI時代的資料治理規則

如果有人問：「什麼是健康資料？」目前大多數人的第一個答案，仍然是病歷、健保資料、健康檢查報告或醫院的診療紀錄。然而，在人工智慧（AI）快速發展的今天，真正能反映一個人健康狀況的資訊，早已不再侷限於醫療院所保存的病歷。你的手機定位、網路搜尋紀錄、消費偏好、穿戴裝置、睡眠狀況、運動軌跡，甚至經常造訪的場所，都可能在演算法分析下，拼湊出一幅遠比病歷更完整的「健康肖像」。 這也是近年全球健康資料治理最大的轉變。 2025年，美國華盛頓州發生的 Maxwell v. Amazon 訴訟，正好揭開了這場變革的序幕。原告主張，Amazon透過第三方軟體開發套件（Software Development Kit,SDK）及數位追蹤技術，蒐集使用者在健康相關應用程式（App）上的操作紀錄、定位資訊及其他數位足跡，並可能據此建立足以反映個人健康狀況的分析資料。雖然案件目前尚未作成法院實體判決，但已經提出一個值得全球共同思考的問題：當日常生活資料經過AI分析後，即足以推論個人的健康狀態時，我們是否還能沿用過去「只有病歷才是健康資料」的思維，作為健康資料治理的基礎？ 答案恐怕是否定的。 真正值得注意的是，這起案件並非促成改革的起點，而是反映出美國華盛頓州早已預見數位健康資料治理所面臨的新挑戰。早在2023年，華盛頓州便制定《我的健康我的資料法》(《My Health My Data Act》; MHMDA），成為全球最具代表性的消費型健康資料保護法之一。它的核心理念十分明確：即使資料不是由醫療機構產生，只要足以識別、推論或合理連結至個人的健康狀態，即可能屬於應受法律保護的健康資料。 此一制度最大的突破，讓健康資料的法律定義，不再完全取決於資料的來源，而是資料的功能與用途。換句話說，法律關心的不再只是「這是不是病歷」，而是「這些資料是否足以描繪一個人的健康狀況」。 這正是AI時代所帶來的重大改變。 過去，健康資料主要掌握在醫院、診所及保險公司，因此相關法制多以醫療機構作為規範核心，例如美國《健康保險可攜性與責任法》（Health Insurance Portability and Accountability Act, HIPAA）或我國《醫療法》、《人體研究法》等制度，都建立在這樣的思維上。 如今，隨著數位科技與人工智慧的快速發展，真正大量掌握健康資訊的，已不再侷限於醫療機構，而可能是手機作業系統、社群平台、電子商務平台、導航服務、智慧手錶、健康App及各種AI服務提供者。這些企業未必持有個人病歷，卻可能透過數百項看似零散且無害的生活資料，分析出使用者是否懷孕、是否罹患心理疾病、是否患有慢性病，甚至預測其未來健康風險。 換言之，AI讓資料的價值不再只存在於單一資訊本身，而在於不同資料之間的連結、整合能力。因此，真正需要治理的，不只是資料本身，更包括資料如何被分析、如何被推論，以及如何被再次利用等行為。 這也反映出全球資料治理正在發生的重要典範轉移。 歐盟近年推動《歐洲健康資料空間》（European Health Data Space, EHDS）時，即強調健康資料應兼顧個人自主、醫療照護及科研創新，也就是資料多元使用下的調和空間，在某種程度上透過法制調適，釋出了原《一般資料保護規則》（GDPR）所要求高風險資料應受到更嚴格監理的除外空間。相對的，原沒有全國性健康資料專法的美國，包括華盛頓州在內的多個州，反而更積極的將消費型健康資料納入保護範圍。 相較之下，臺灣其實並非缺乏健康資料保護制度。例如，《個人資料保護法》第六條已將病歷、醫療、健康檢查及基因等資訊列為特種個人資料；《醫療法》、《人體研究法》、《人體生物資料庫管理條例》等法規，也建立了相當完整的醫療研究治理架構。就傳統醫療資料的保護而言，臺灣的制度並不落後。 然而，真正需要重新思考的是，AI時代大量出現的新型健康資料，例如上述消費型健康資料，是否已超出現有法制的規範想像。例如，一個人的定位紀錄是否足以推論其長期往返腫瘤中心？購買特定保健食品的消費紀錄，是否可能反映其罹患慢性疾病？網路搜尋紀錄是否足以揭露個人的心理健康狀況？穿戴裝置所蒐集的睡眠、心率及活動量資料，經AI模型分析後是否已足以構成法律上的健康資料？現行法律對這些問題，仍缺乏一致而明確的判斷標準。 另一方面，資料治理所關注的，也已不再只是蒐集是否合法的問題。資料往往會在不同平台、不同演算法及不同服務提供者之間流動；同一筆資料可能經過多次分析、整合及再利用，最終形成新的健康推論。因此，真正需要管理的是資料的完整生命週期，包括蒐集、分析、推論、分享、跨境傳輸及AI模型訓練的各個階段，而非僅止於取得資料的那一刻。 這也意味著，企業的治理責任正在逐步改變。未來企業不能只問「我是否合法蒐集資料」，更必須回答「我的AI系統是否可能推論出個人的健康資訊？」「相關資料是否遭第三方重新利用？」「供應鏈中的軟體開發套件（SDK）、廣告平台及資料分析服務是否符合既定的資料治理要求？」健康資料治理將逐漸成為ESG治理、董事會監督及企業風險管理的重要課題，而不只是法務或資訊部門的的個別工作。 對政府而言，臺灣正值個人資料保護制度改革的重要階段，新成立的個人資料保護委員會，將肩負建立一致執法標準的重要使命。面對AI時代所衍生的新型態健康資料，未來或許不必急於另行制定一部新的健康資料專法，而是可在既有《個人資料保護法》的架構下，逐步完善健康推論資料、高風險AI處理、資料保護影響評估及平台與供應鏈責任等制度，使現行法制得以回應AI時代的新挑戰。從更宏觀的角度來看，這不只是法律問題，更涉及數位社會如何建立人民對資料利用的信任，而這正式關鍵所在。 如果人民相信其資料會被妥善保護、並在透明、受到充分保障下被合理利用，健康資料將成為推動精準醫療、智慧照護及公共衛生發展的重要基礎；反之，若缺乏透明治理與有效監督，再先進的AI技術也可能因信任不足而失去社會支持，難以獲得廣泛接受。 Amazon案真正帶給世界的啟示，並不在於它最後是否判定企業違法，而在於它提醒我們：AI時代最重要的健康資料，可能早已不是醫院裡的病歷，而是散落在每一天數位生活中的各種數位足跡。如何讓這些資料在促進創新的同時，仍受到人民信任與法律保障，將是未來十年全球健康資料治理最重要的課題，也是臺灣不能迴避的新挑戰。 Amazon案真正改變了什麼？ 近一年來，Maxwell v. Amazon 成為全球健康資料治理最受關注的案件之一。然而，它真正的重要性，並不在於 Amazon最終是否敗訴，而在於它第一次將人工智慧、數位平台與健康資料治理交會所產生的新興法律問題，完整呈現在司法程序中，也讓個資保護的討論範圍大幅擴大。 原告主張，Amazon 並非透過醫療院所取得病歷，而是藉由嵌入第三方應用程式（App）的軟體開發套件（SDK），蒐集裝置識別碼、廣告識別碼、精準定位等資料，並用於跨平台識別、行為分析及商業分析。爭議的核心因此已不再是病歷，而是這些看似普通的數位資料，是否已足以辨識或推論一個人的健康狀態，以及企業是否因此負有健康資料保護的法律義務。 值得注意的是，本案迄今尚未形成具有拘束力的實體判決。因此，全球真正討論的並非 Amazon 是否已違法，而是它所提出的一個更根本的法