當資料成為關鍵：臺灣衛福資料的應用與取得

在當今社會，資料驅動決策已成為提升公共衛生服務品質、推動醫學進步的核心動力。臺灣擁有相當完善的全民健康保險資料庫與各類衛生福利統計數據，這些由政府累積的龐大資訊資產，對於學術研究、政策制定乃至產業創新，都具有難以估量的價值。然而，這些涉及民眾敏感健康狀況的資訊，其取得與運用並非毫無限制，而是透過一套嚴謹的「衛生福利資料申請審核」機制來把關。這套機制如何在促進公共利益與保障個人隱私之間取得平衡，是許多研究者與機構關心的焦點。

衛福資料的價值光譜：從巨觀政策到個人健康

我們所指的衛生福利資料，涵蓋範圍相當廣泛。最為人熟知的是全民健康保險研究資料庫（NHIRD），包含全體投保人的就醫紀錄、用藥明細、檢查報告摘要等。此外，國民健康署的各項健康促進調查、癌症登記資料、死因統計，以及社會及家庭署的社福補助、長照服務使用紀錄、兒童發展監測資料等，都屬於可申請的範疇。這些資料經過適當的處理與串聯，能夠描繪出臺灣民眾健康狀況、醫療資源分布、疾病盛行趨勢、社會福利需求等關鍵圖像，對於以下面向至關重要：

• 流行病學研究： 追蹤特定疾病（如糖尿病、心血管疾病、癌症）的發生率、盛行率及相關危險因子，分析不同區域或族群的健康差異。
• 醫療科技評估： 評估新藥、新醫材或新治療方案在真實世界的成本效益與臨床效果，供健保給付決策參考。
• 公共衛生政策制定： 模擬政策介入（如菸捐調漲、癌症篩檢推廣計畫）的潛在影響，評估現行政策（如長照2.0）的執行成效與資源配置合理性。
• 醫療品質與安全監測： 分析醫療機構的服務量能、處置模式差異對病人預後的影響，辨識潛在的醫療安全風險。
• 社會福利資源規劃： 精準掌握高齡人口分布、失能狀況、經濟弱勢家庭需求，優化社福資源的投放策略與服務設計。

申請資格門檻：誰能叩開資料大門？

並非任何個人或單位都能隨意申請使用這些敏感資料。衛福部設有明確的申請資格規範，主要開放對象包括：

1. 政府機關： 中央及地方衛生、社政主管機關，為執行法定職務或政策規劃評估所需。
2. 學術研究機構： 經教育部核准設立的大專院校、中央研究院及其附屬研究單位，以執行研究計畫為目的。
3. 醫療機構： 依《醫療法》設立的醫院、診所，主要用於提升醫療服務品質或內部管理研究。
4. 依法設立之財團法人、社團法人： 其章程宗旨需與醫療、衛生、社會福利相關，且申請用途符合其設立目的。常見者如病友團體、醫學會、基金會等。
5. 其他經主管機關核准者： 此為特殊情況，需經衛福部專案審查認定其申請具重大公共利益且無適當替代方案。

值得注意的是，個人原則上無法直接申請使用涉及他人個資的原始資料或大規模統計資料。個人申請主要限於查詢或申請「與自身相關」的特定資料（如特定就醫紀錄摘要、申請社福資格所需的證明文件），這屬於《個人資料保護法》賦予的當事人權利，而非本文探討的「研究或政策應用」型態的資料申請。

核心流程：從構想到資料交付的漫長旅程

整個衛生福利資料申請審核流程，是一套標準化卻又充滿細節考驗的程序，通常包含以下關鍵階段：

階段一：事前準備與資格確認

• 鎖定資料來源與範圍： 明確知道你需要哪些特定資料庫或資料集（如：健保資料庫2005年抽樣歸人檔、2010-2020年癌症登記資料特定部位）。不同資料來源的主管單位可能不同（健保署、國健署、社家署）。
• 檢視申請資格： 確認自身所屬單位是否符合上述申請資格類別。
• 研究計畫書撰寫： 這是整個申請的核心文件。必須詳述研究目的、背景、重要性、研究方法（包含統計分析方法）、預期成果與公共利益、具體要求的資料項目（精確到欄位級別）、所需資料時間範圍、申請資料筆數或人數規模。計畫書需強調符合《個人資料保護法》的必要性、比例性原則，以及對隱私權侵害最小化的設計（例如使用去識別化資料、最小夠用原則）。
• 倫理審查委員會（IRB）核准： 幾乎所有涉及人體研究的資料申請，都必須先取得申請單位所屬或合作醫療機構的「人體研究倫理審查委員會」核准證明。IRB會審查研究計畫的科學性、倫理合規性（特別是隱私保護措施與風險評估）。

階段二：正式遞交申請

• 確認受理窗口： 根據申請的資料類別，向正確的衛福部所屬機關（如健保署、國健署、社家署）或衛福部資訊處提出申請。
• 填寫制式申請書： 填寫官方提供的申請表格，包含計畫基本資料、申請單位與計畫主持人資訊、資料需求清單、資料使用期限與保存方式、資料安全維護計畫等。
• 備齊應附文件： 包括完整研究計畫書、IRB核准證明正本、申請單位立案或登記證明文件影本、計畫主持人及相關研究人員的學經歷證明與個資保密切結書、資料安全環境說明（如：實體環境、網路安全、存取控管、加密措施）等。文件不全會直接延宕審查時程。

階段三：機關審查與跨部會協調

• 書面初審： 受理機關檢視申請文件是否齊備、格式是否符合、申請資格與資料範圍是否匹配。
• 實質審查： 由具備醫學、統計、資訊、法律、倫理等專業背景的委員組成審查會進行。審查重點包括：
  • 研究目的的正當性與公共利益關聯性。
  • 研究方法是否嚴謹科學，預期成果是否合理可達。
  • 申請的資料範圍、項目、筆數是否為達成研究目的之「最小必要」？有無過度申請？
  • 資料安全維護計畫（包含儲存環境、傳輸方式、人員權限管理、加密機制、災害防護、資料銷毀程序）是否具體可行且符合法規要求（如資通安全管理法、個資法施行細則）。
  • 隱私保護措施是否足夠？是否優先申請去識別化資料？若需間接識別碼串接，其必要性與風險控管方案為何？
  • 研究團隊是否有足夠專業能力執行計畫並保護資料？
  • 是否已取得IRB核准？
• 跨機關協調： 若申請涉及多個資料庫（如同時需要健保資料與癌症登記資料），或資料來源屬不同機關管轄，則需進行跨機關協調會議，確認資料提供方式、權責與費用分攤。
• 要求補正或修正： 審查過程中，委員常會提出疑問或要求申請人補充說明、修正計畫書內容（特別是縮減資料範圍或強化安全措施）。此階段來回溝通可能耗費數週至數月。

階段四：核定結果與後續作業

• 審查結果通知： 申請人會收到正式的審核結果通知函，可能為「核准」、「修正後核准」、「駁回」。若被駁回，會附上理由。
• 簽訂行政契約： 獲得核准後，申請單位需與資料提供機關簽訂具有法律效力的行政契約（或稱資料使用協議書）。契約中會詳載雙方權利義務，包括：
  • 資料使用範圍限制（僅限於核准之研究計畫）。
  • 資料保密義務與違約罰則（含損害賠償）。
  • 資料安全維護的具體責任。
  • 禁止嘗試重新識別個人的義務。
  • 研究成果發表前的審查或報備義務（特別是涉及敏感性議題或特定族群時）。
  • 資料使用期限屆滿後的歸還或銷毀程序。
  • 相關費用（資料處理費、檢索費、傳輸費等）的支付。
• 資料準備與交付： 資料提供機關依據核准範圍準備資料。交付方式通常有兩種：
  • 實體交付： 將加密的儲存媒體（如硬碟）於指定地點交付，申請單位簽收。
  • 安全網路傳輸： 透過政府專屬的安全檔案傳輸服務或加密的VPN管道傳送。此方式逐漸成為主流。
• 資料接收與入庫： 申請單位需在符合契約規範的安全環境（常指通過稽核的「資料安全工作站」或「封閉網路環境」）接收資料，並進行完整性檢查。

階段五：使用期間與結束後管理

• 嚴格遵守契約： 在資料使用期間，研究團隊必須恪守契約規定，僅能由授權人員在授權環境下存取資料進行分析，嚴禁複製、攜出或挪作他用。
• 定期/不定期查核： 資料提供機關或衛福部有權進行書面或實地稽核，檢查資料保存與使用狀況是否符合安全規範。
• 研究成果提交： 契約通常要求研究完成後提交成果報告（如論文、研究報告）副本給資料提供機關，以供追蹤應用效益。
• 資料銷毀與結案證明： 使用期限屆滿或研究完成後，申請單位必須依照契約規定的方式（如：格式化儲存媒體、見證銷毀、提交銷毀證明）徹底銷毀或歸還所持有之資料。完成此程序後，可向機關申請結案證明。

成敗關鍵：影響審核結果的核心要素

申請案能否順利過關，取決於多項因素，以下幾點常是審查委員關注的重點，也是申請者容易忽略或準備不足之處：

1. 研究目的與公共利益的明確連結與說服力： 計畫書不能僅陳述學術興趣，必須清晰論證此研究如何對臺灣的公共衛生政策、醫療品質提升、特定疾病防治、社會福利資源優化等帶來具體助益。連結愈具體、證據愈充分（如引用國內相關統計凸顯問題嚴重性），說服力愈強。
2. 資料需求的最小化與精準性： 這是審查委員嚴格把關的要項。申請者常犯的錯誤是「寧可多要，以免不夠」，導致申請過於寬泛。必須證明所申請的「每一個」資料項目、每一個欄位、每一段時間區間，都是支持核心研究問題所「不可或缺」的。例如：研究某藥物的長期心血管風險，若申請20年的資料但主要分析集中在近5年新用藥者，就需強力說明為何需要回溯到20年前的舊資料。
3. 隱私保護措施的周延性與可行性：
   • 優先使用去識別化資料： 證明已優先考慮並申請最高階的去識別化資料（如健保資料庫的「抽樣歸人檔」已移除直接識別符）。若需使用含間接識別碼（如就醫日期、地點、部分診斷碼）的資料進行跨資料庫串接，必須提出無法用去識別化資料替代的強力理由，並詳述串接的必要性與科學價值。
   • 環境與技術描述具體： 資料安全維護計畫不能僅寫「遵守資安規定」或「使用防火牆」。需具體描述：存放資料的伺服器或電腦是否實體隔離（Air Gap）？網路是否與外部完全斷開？存取權限如何依角色設定（僅特定人員可用特定軟體存取特定資料夾）？採用何種加密標準（如AES-256）加密靜態資料與傳輸中資料？如何記錄與監控所有資料存取行為？實體環境的門禁管理？災難復原計畫？
   • 人員管理嚴謹： 所有接觸資料的研究人員都需簽署具法律效力的保密協議，並接受個資保護與資安訓練。計畫主持人負有管理監督之責。
4. 研究方法的嚴謹性與可行性： 委員通常具備學術背景，會檢視研究設計（是世代研究、病例對照研究、隨機試驗的次級資料分析？）、統計分析方法是否得當、預期成果是否過於樂觀或不切實際、研究團隊是否有足夠的統計與領域專業執行該計畫。方法論上的重大瑕疵可能直接導致駁回。
5. IRB核准的適切性： 審查會尊重但並非完全依賴IRB的決定。會檢視IRB核准的範圍與條件是否涵蓋本資料申請案的所有風險面向，特別是當申請資料的敏感性高於IRB審查時所知的範圍時。

常見挑戰與可能對策

申請者常面臨以下困境，需預先思考解決方案：

• 審查時程冗長： 從送件到取得資料，耗時數月至超過一年是常態。對策：儘早啟動申請流程，預留充分緩衝時間；申請前可先與承辦人員非正式諮詢，確認文件要求與潛在問題；計畫書與資安計畫力求完整周延，減少補正次數。
• 資料範圍遭限縮： 審查結果常要求縮減申請的資料項目、時間範圍或人數規模。對策：在計畫書中預先說明「核心必要資料」與「次要輔助資料」的差異，若遭限縮，評估是否仍能回答主要研究問題；準備替代分析方案（Plan B）。
• 資安要求門檻高： 建置符合標準的封閉分析環境（如專用伺服器房、隔離網路）成本高昂。對策：尋求與已具備合格資安環境的學術單位或國家高速網路與計算中心合作；評估使用衛福部建置的「衛生福利資料科學中心」或「健康資料加值應用協作中心」等提供之安全作業平台（需付費），這些平台提供符合規範的運算環境與部分常用資料集。
• 跨資料庫串接困難： 申請不同來源資料（如健保加癌症登記）需跨機關協調，且串接技術複雜（需倚賴機關處理）。對策：確認是否有機關已建置好的串接檔可供申請；在計畫書中明確論證串接的必要性與預期效益，並預留足夠的機關作業時間與預算。
• 費用負擔： 資料處理、檢索、傳輸、平台使用都可能產生費用，規模大的申請案費用可觀。對策：在撰寫研究計畫經費預算時，即應詳細估算並編列相關費用。

資料的未來：持續演進的法規與技術平衡點

臺灣的衛生福利資料申請制度，是《個人資料保護法》、《政府資訊公開法》、《全民健康保險法》、《人體研究法》等多重法規交織下的產物。隨著技術發展（如AI分析、去識別化再識別風險研究）和社會對隱私權益的重視提升（如歐盟GDPR的影響），相關法規與審查標準也持續演進：

• 強化去識別化技術與規範： 衛福部持續要求資料提供機關提升資料去識別化的強度與標準化，並研究新技術（如差分隱私）的應用可行性。
• 精進資料安全稽核機制： 對申請單位的實地稽核可能更為頻繁與深入，運用技術工具監控資料使用異常行為。
• 推動可信任研究環境： 鼓勵使用集中管理的安全分析平台（如前述之協作中心），降低個別申請單位建置高規格資安環境的門檻，同時提升機關監管效率。
• 探索資料治理新模式： 討論如「資料信托」或引入更細緻的民眾同意模式（如廣泛同意、動態同意）在某些特定研究應用的可能性，但這涉及複雜的法規調整與社會共識。

結語：在數據洪流中尋找公共善治的燈塔

衛生福利資料的價值毋庸置疑，它是提升國民健康、完善社會安全網的寶貴資產。然而，其核心是每一位民眾最私密的健康與生活紀錄。臺灣現行的申請審核機制，試圖在「促進公共利益的研究應用」與「保障個人隱私與自主」這兩項同樣重要的價值之間，築起一道堅實而動態調整的防火牆。這道牆並非為了阻擋，而是為了確保每一次資料的釋出與使用，都經過嚴謹的倫理思辨、科學評估與風險管控。

對於研究者或政策分析者而言，理解並尊重這套機制的設計邏輯與審查重點，做好萬全準備，清晰闡述研究的公益價值與對隱私保護的承諾，是成功取得資料、貢獻於臺灣社會健康福祉的關鍵第一步。這不僅是滿足行政程序的必要條件，更是負責任地運用全民共同資產，贏得社會信任的基石。資料的開放與應用，終極目標是為了創造一個更健康、更公平、更具韌性的社會，而這目標的達成，有賴於每一個環節對倫理與法治的堅持。