運動手錶隨身裝置資料直通雲端　資安及法規遵循不容輕忽

穿戴科技實現智慧健身　連網隱私供應鏈皆須安全

2021-05-25陳宏志

企業或組織內部對於連網裝置有較嚴謹規範，如自攜裝置（BYOD）相關規定，一般多會注意NB或智慧型手機。然就穿戴式裝置或相關設備，有鑑於其功能及能蒐集之資訊等日新月異，企業經營者或管理者規劃蒐集資料、擴大商機之外，在內部管理亦不可不注意。

約三五好友下班後或假日去練空中瑜珈、TRX，或到健身房內使用跑步機、飛輪，這樣的場景處處可見。而運動的過程不僅搭配音樂、錄音／影或社交軟體，以及各類健康管理APP，以便隨時直播、貼文、上傳相片，更會拿起智慧型手機計算消耗之卡路里等，健身時結合穿戴式裝置或軟體，幾乎已經成為全民運動。

由於國人健康意識抬頭，運動產業之盛行也是有目共睹。以民營健身中心為例，依教育部體育署2020年的統計，2019年全臺高達620間，銷售額更已突破新臺幣100億元。當臺灣正掀起一股健身熱潮下，運動結合科技打造新型態智慧健身已成為發展趨勢，各部會也投入相關資源，如經濟部技術處與資策會成立運動科技大聯盟以服務產學研界，宣示帶動運動產業轉型發展決心。且積極健身的同時，民眾常搭配穿戴式裝置（Wearable Devices），如智慧手環或手錶，以掌握心跳、血壓等生理資訊，作為私人教練或自我鍛鍊時規劃運動處方之參考。

二類生理數據／資訊法規各自適用

然而上開情境涉及生理數據或相關資訊，且可能被設備製造商或其他服務業者所蒐集、處理或利用，有關穿戴式裝置蒐集所得資訊是否符合個人資料保護法（簡稱個資法）之敏感或特種個資，以及適用該法規範，曾引起不少爭議。為解決爭議，個資法令主管機關－國家發展委員會（簡稱國發會）於2018年11月，就「業者蒐集、處理、利用民眾自行操作器材所得之生理數據資訊，是否屬醫療或健康檢查之特種個人資料範疇」已有函釋，將這些裝置蒐集所得資訊依對象、目的等分為二大類，並說明各自適用規範。

依國發會函釋重點，若屬受醫療院所委託，為供醫師或其他醫事人員以醫學目的所為之診察治療或基於醫療行為檢查，取得民眾自行操作器材所測量之生理數據資訊，符合個資法對醫療或健康檢查個人資料（簡稱個資）之定義者，這些穿戴式裝置、設備、器材或軟體所蒐集、處理或利用之資訊，不僅符合敏感或特種個資，更應依個資法相關規定辦理，如書面同意等。

但如果不是醫療院所委託，而屬於民眾自行操作器材所蒐集之資訊，因未涉及醫事人員診察（診斷）、治療，或以醫療行為施以檢查等，並不屬於敏感或特種個資。不過由於相關資訊仍會符合個資法對個資之定義，且可能提供給業者進行蒐集、處理、利用之行為，故應依循個資法規範，如履行告知、符合法定情形並於特定目的內利用等，不可不慎。

穿戴式裝置是否符合醫療器材

除了健身器材如為醫療器材應符合法規外，民眾所使用之穿戴式裝置若屬供醫師或其他醫事人員，以醫學目的所為之診察治療或基於醫療行為檢查的用途，其所蒐集資訊除須符合個資法外，因涉及疾病診斷及治療等醫療目的，尚須依循醫療器材相關規範。因醫療器材管理法已於2020年1月公布，將於2021年5月1日施行。但在新法暫未施行前，就醫療器材之管理主要係依藥事法及醫療器材管理辦法為主。如運動時搭配之穿戴式裝置或軟體，先依醫療器材管理辦法附件一所列品項作為判斷依據，再搭配是否具診斷、治療功能或協助診斷、治療等綜合評估。

不管是穿戴式裝置內建，或自行下載之健康管理軟體，是否須納入醫療器材之管理，前提是要先符合法規定義。依衛生福利部食品藥物管理署（衛福部食藥署）於2020年12月修訂「醫用軟體分級分類參考指引」觀之，所謂醫用軟體泛指蒐集、儲存、分析、顯示、轉換人體健康狀態、生理參數、醫療相關紀錄等處理軟體。其使用場所更涵蓋醫療院所、個人居家使用或遠距醫療照顧。

爰民眾搭配健身所使用之穿戴式裝置或APP等，無論是內建或自行下載，依食藥署對外說明，倘該軟體僅為協助掌握日常生活或健康管理需求，如計算休閒或運動時之心率及血氧值，或鼓勵、監控飲食或運動之作息管理，不涉及特定疾病診斷及治療等醫療目的者，暫不涉及醫療器材之管理。反之，已列入前述法令之適用範圍（如附件所列品項），或經綜合評估屬於醫療器材之範疇，則須依循現行管理法規，包含但不限於如遵守產品開發、申請查驗登記相關規範，並清楚刊登廠商名稱、地址、品名及許可證字號等完整內容。

萬物聯（連）網、安全第一

不僅上開個資與醫療之法令遵循需求，穿戴式裝置等連網裝置之安全，也非新興議題。如自2015年起美國聯邦貿易委員會（FTC）及歐盟網路與資訊安全局（ENISA）等主管機關，已陸續提供物聯網（IoT）指引或參考資訊，並推動認／驗證。以FTC為例，像是設計此類產品時，需要考慮身分驗證、以保護產品與其他設備或服務間接觸的端點。連網後如何控管權限、利用現成的軟體工具保障安全，或在啟動產品或服務前進行安全測試，甚至預設安全選項供做出廠設定等，都是其建議廠商應注意的安全防護要項。

此外，除前述對IoT之安全考量或建議，如果企業或組織內部對於連網裝置有較嚴謹規範，如自攜裝置（BYOD）相關規定，一般多會注意NB或智慧型手機。然就穿戴式裝置或相關設備，有鑑於其功能及能蒐集之資訊等日新月異，企業經營者或管理者規劃蒐集資料、擴大商機之外，在內部管理亦不可不注意。

另因現代產業因專業分工甚細，生產、製造、銷售或後續服務可能分由不同廠商提供，或採用特定零組件再行組裝，且2019年隨著5G相關產品與服務逐漸興起，運用科技方便迅速之餘，也不能忽略對委／受託業務的監管，以減少或避免風險。這從2020年震驚全球的美國Solarwinds案件就可瞭解發展趨勢，駭客透過供應鏈內的平台，進行竊取其他成員資料之行為，更讓許多企業或組織意識到內部與委外管理一樣重要。基此，穿戴式裝置連網後，不僅在資安管理或隱私保護，確保供應鏈安全亦將是未來應持續關注之重點。

資料來源：https://www.netadmin.com.tw/netadmin/zh-tw/viewpoint/566EFC7BB1384CDB913F5B2D90FC8E0D

竹縣加強查核市售醫用口罩 醫用口罩分辨秘訣告訴你

好不容易緩和的疫情，因為比利時工程師、泰國移工、日本女學生返國驗出新冠病毒抗體，讓國內二次疫情疑慮未歇，再次掀起醫用口罩搶購潮，而民眾最擔心買到不合格、非MIT的，究竟該如何分辨醫用口罩呢? 新竹縣政府衛生局提醒民眾，選購醫用口罩一定要有完整包裝、標示、合格的商家(領有藥商執照)，切勿購買來路不明、路邊攤的醫用口罩，若是上網購買，也要注意賣家是否有揭露諮詢專線、產品名稱、許可證字號、使用方法、藥商名稱、地址等。為維護民眾權益，縣長楊文科也指示衛生局，即日起透過原有醫療器材稽查機制，加強查核市售醫用口罩是否符合相關規定，同時呼籲合法藥商，善盡產品把關職責，保護民眾使用安全，切勿販售來路不明之商品以免觸法。

「醫用口罩」屬於醫療器材，必須要有醫療器材許可證字號。「醫用」口罩，是用來防止病人與醫護人員之間的微生物、體液以及粒狀物質的傳遞；依照不同功能與設計，可分為：為執行手術程序而穿戴的口罩（屬第２等級醫療器材，中風險性），以及其他醫用口罩（屬第１等級醫療器材，低風險性）。醫用口罩皆應符合國家標準CNS14774（T5017），不論是本國製造或由外國輸入的醫療器材，都必須取得衛生福利部核發的醫療器材許可證(衛部（署）醫器製字第000000號、衛部（署）醫器製壹字第000000號、衛部（署）醫器輸字第000000號、衛部（署）醫器陸輸字第000000號、衛部（署）醫器輸壹字第000000號)，民眾可依口罩外包裝之字號至食藥署網站的「西藥、醫療器材、含藥化粧品許可證查詢」系統網頁查詢相關資訊。販賣醫療器材業者，必須先取得各縣市衛生局核發的販賣業藥商許可執照，消費者購買醫療器材時，應先認明店家持有前述執照。基於醫療器材不同於一般商品，不是所有品項都適合透過通訊交易通路（包括網路、電視購物、以型錄販賣等）販售。衛生福利部已於106年公告得於通訊交易通路販售的醫療器材品項，第1等級與第2等級的醫用口罩，都是可以經由通訊交易通路販售的品項。

另外，通訊交易通路應設有諮詢專線供消費者洽詢，也必須在通路明顯可見處，讓消費者辨識諮詢專線。消費者購買醫療器材時，也應注意產品資訊，如：產品名稱、許可證字號、使用方法、藥商名稱、地址等。

【生活法律小常識】

隱形眼鏡可以在網路上賣嗎？

一天，小雅眨著眼睛對好友小玲說：「你看我的眼睛！」小玲看了很久，才發現小雅的眼珠居然是藍色的。小雅洋洋得意的說：「我是戴了彩色的隱形眼鏡喲！」　　小玲羨慕的問：「你在哪兒買的？貴不貴？」小雅回答：「去香港玩的時候，親戚買來送我的。我家裡還有很多，怕戴不完，準備放在網路上賣，賺一些零用錢！」小玲聽了疑惑的問：「隱形眼鏡可以在網路上賣嗎？」小雅反駁：「隱形眼鏡是商品，為什麼不能上網拍賣？」

隨著網路時代來臨，網路成為時下多數人選擇消費的新興交易途徑，民眾在網路架設虛擬店面或透過網路交易平台、部落格、臉書社團等販售商品，除了一般日常家用品，許多人會想將個人購買或親友贈送的醫療用品等，如：血壓計、血糖機、拋棄式隱形眼鏡、痘痘貼等上網販售。但不代表什麼都可以透過網路完成交易喔！

依據藥事法第13 條之規定，醫療器材包括診斷、治療、減輕或直接預防人類疾病，或足以影響人類身體結構及機能之儀器、器械、用具及其附件、配件、零件；又衛生福利部依照醫療器材對人體造成影響之風險程度，將醫療器材由低到高分為第一到第三等級來管理，常見的醫療器材分級及品項如下：
1、第一等級醫療器材，例如：棉花棒、紗布、OK 繃、機械式輪椅、一般醫用口罩（外科手術口罩除外）、機械式助行器等；
2、第二等級醫療器材，例如：日戴型或日拋型隱形眼鏡、血糖機、血壓計、體溫計、耳溫槍、衛生棉條、保險套、低週波治療儀等；
3、第三等級醫療器材，例如：矽膠乳房植入物、冠狀動脈血管支架、心律調節器等。

本案例中小雅要賣的隱形眼鏡屬於第二等級醫療器材，依規定只要是醫療器材、藥品，都要領有販賣業藥商許可執照的處所才能販售；目前只有事先取得地方衛生局核准的藥商，才能在網路及郵購通路販售低風險的第一等級醫療器材，例如：OK繃、紗布、棉花棒、一般醫用口罩、束腹帶、機械式輪椅等，而衛生福利部並未核准藥商在網路虛擬通路販售任何藥品或第二等級以上醫療器材，一般民眾未領有醫療器材許可證，在網路上販賣隱形眼鏡亦是觸法行為。

依據藥事法第84條規定，「未經核准擅自製造或輸入醫療器材者，處三年以下有期徒刑，得併科新台幣十萬元以下罰金。明知為前項之醫療器材而販賣、供應、運送、寄藏、牙保、轉讓或意圖販賣而陳列者，依前項規定處罰之。因過失犯前項之罪者，處六月以下有期徒刑、拘役或新台幣五萬元以下罰金。」

提醒民眾，虛擬網路不得任意販售藥品及醫療器材，以免觸法遭罰，損人又害己。