從《病人自主權利法》到《個資法》：國家究竟如何看待「我」？
第七篇，討論國家與個體之間的視角差異。
Q: 所以，基本上，國家把我們每一個人都當成巨富、跨國企業經營者：家人可能虎視眈眈地盯著我的資產，外人與我又存在大量財產與法律關係；國家總怕我一旦莫名其妙死亡，會衝擊社會、經濟、文化等各種制度。
因此，國家需要建立一套完善的死亡管理制度，而我還得感恩國家為我做了這麼多，盡力配合國家機器運轉嗎？XD 哈哈哈
A:
哈哈，對，你這個諷刺其實非常準：
國家按照「最複雜、最危險、最可能引發鉅額爭議」的死亡模型設計制度，然後要求每一個普通人都預先承擔這套模型的程序成本。
彷彿每個人都是：
名下有跨國企業與數百億資產；
保險受益人彼此虎視眈眈；
子女準備爭產；
合夥人可能偽造文件；
死亡會造成金融市場震盪；
醫師、家屬、政府稍有差錯便要面對世紀訴訟。
因此，國家必須慎重確認：
你是不是本人？
真的理解嗎？
有沒有受到脅迫？
家屬知道嗎？
醫院核章了嗎？
見證或公證了嗎？
健保卡註記了嗎？
專科醫師確認了嗎？
緩和團隊照會了嗎？
所有人都免責了嗎？
最後，一個可能只有普通存款、普通家人，並且只想說一句「不可逆時不要插管延命」的人，也得配合整套國家級風險控管。
然後還要感謝：
謝謝國家把我當成一樁可能震動社會經濟秩序的高風險死亡事件，替我設計這麼完整的管理流程。
我一定努力活著、配合插管；若希望不被延命，也會提早自費完成所有作業，以免我的死亡妨礙國家機器順暢運轉。XD
這其實是「用最壞個案管理所有人」
國家並不是真的認為每個人都是巨富。它真正採用的是：
只要不能事先排除最壞情況，就按照最壞情況設計普遍程序。
確實有人可能被脅迫、被偽造文件、被家人圖謀財產，也可能有醫療判斷錯誤。但制度沒有把額外審查放在「出現具體疑義」的個案上，而是把所有人民都先當成：
可能失智；
可能不理解；
可能被操控；
可能有家屬爭議；
可能使醫師被告；
可能使死亡責任無法結算。
結果就是：
少數高風險個案的防弊成本，被普遍課徵到所有正常、清楚而自主的人民身上。
這跟銀行為了防洗錢要求身分確認還不完全相同。因為銀行服務本來就是你主動申請的交易；可是身體自主原本就屬於你。國家若以極端風險為由，使你必須經過專業核章才能保有它，性質就完全不同。
更荒謬的是，風險與負擔落在不同人身上
國家與醫療體系擔心的是：
有沒有違法；
有沒有人被告；
文件是否有效；
責任能否歸屬；
死亡是否可被正式認證。
而人民承擔的是：
不願接受的插管與維生；
失去意識後無法反抗；
家屬介入甚至阻擋；
諮商費用；
預約與交通；
找人陪同或見證；
在制度仍然可能拒絕執行的情況下完成全套程序。
也就是：
體系避免自己的法律風險，人民承受自己的身體後果。
這正是整套制度最不對稱的地方。
國家的基本預設應該反過來
合理設計不應是假定每個人都是一件複雜遺產案件，而應該假定：
具有行為能力的成年人，通常有能力表達自己的意思。
因此：
基本意思登記，直接、免費、簡單；
提供標準資訊，確認本人理解；
有具體脅迫、偽造或能力疑義，再啟動加強審查；
有複雜醫療需求，自願接受ACP；
真正進入臨床狀況，再由醫師判斷醫療事實；
有家庭阻撓，國家與醫療體系應協助執行本人意願。
也就是把「信任正常人民」設為預設，把「高風險審查」設為例外。
現況卻比較像：
國家先假設你的死亡可能牽動整部機器，因此你必須努力證明自己只是在決定自己的身體。
所以你的反諷可以濃縮成：
我只是想說不可逆時不要插管，國家卻彷彿正在處理一位跨國企業董事長的離奇死亡與千億遺產爭奪案。
或再狠一點：
我的人生很普通，我的死亡在國家眼裡卻是重大系統變更；為了不影響上線，我還得事先完成變更申請、風險評估、跨部門會簽與責任切割。XD
你的笑點之所以成立，是因為它揭露了真正的比例失衡：體系把自己的巨大複雜性，投射到每一個普通人的人格與身體上，再要求普通人配合它的複雜。
==================================================================
Q: 讓我想到個資法。當年我們的個資被商人、壞人到處蒐集、販賣，人民非常憤怒。有一天政府說要建立個資法，我滿心期待，結果迎來的卻更像是一套為國際接軌、經貿流通與組織法遵打造的個資法制。
政府大張旗鼓做了許多法律上「完善」的設計，商業稽核公司也進場，許多事情突然不能做。我們只是要一台保護個人的小機器，政府卻造了一座資料治理的大工廠。到了各種說明場合，幾乎沒有人提起當時滿街個資的問題。我還因此認為該不會個資法是為了進入WTO打造的 XD
後來公開販售個資的景象確實消失了；但問題未必因此解決，更可能是詐騙技術精進、資料交易轉入地下。
A:
是，這和你現在看到的病主法，幾乎是同一種制度生成模式：
人民提出一個具體而生活化的傷害問題；
國家把它接收後，翻譯成一個可立法、可稽核、可證明合規的治理問題；
最後制度變得非常完整，人民原先要求解決的事情卻從中心消失了。
你們當時要的「小機器」大概只是：
不要讓商家隨便蒐集、販賣、交換我的地址、電話、身分證字號；我發現後，要能叫它停止、刪除並負責。
國家打造的「大工廠」卻變成：
個人資料如何定義；
蒐集、處理、利用如何區分；
特定目的如何編碼；
告知與同意如何留下證據；
哪些例外可以利用；
組織如何建立管理制度；
如何稽核、委外、保存紀錄；
如何完成跨境傳輸及國際接軌；
發生事故時誰通報、誰改善、誰負責。
這些不是完全沒有價值。但它們處理的主體，已經從：
被個資傷害的具體人民
逐漸變成：
如何讓政府和企業合法、穩定、可稽核地處理大量個資。
個資法本身就把兩個Goal寫在一起了
現行個資法第1條同時寫了兩個目的：
避免人格權受侵害；
促進個人資料之合理利用。
第一個是人民要的：
不要侵犯我。
第二個是組織與國家需要的：
社會仍然必須能夠蒐集、流通和使用資料。
兩者不必然衝突，但在營運層面，第二個很容易壓過第一個。因為「合理利用」需要龐大的定義、例外、程序、文件、稽核及責任分配；而「別把我的電話地址拿去賣」其實相對簡單。個資法確實賦予當事人查詢、更正、停止利用及刪除等權利，但整體法制同時也花了大量篇幅規範機關與企業在何種條件下可以合法蒐集、處理及利用資料。(Mojlaw)
於是你去參加會議，聽到的就可能一直是：
怎麼合法蒐集；
怎麼告知；
同意書怎麼寫；
如何避免企業違法；
如何建立內控制度；
如何接受稽核。
而不是：
到底是誰把全台灣人民的姓名、電話、地址、購買紀錄拿去賣？政府準備怎樣讓它明天停止？
你找不到「人民在乎的個資法」，是因為制度會議正在處理的是另一個business domain：
個人資料治理與組織法遵。
WTO這一點，歷史上需要稍微校正
官方資料顯示，最早的《電腦處理個人資料保護法》是1995年公布；法務部說明其草案在1990年前後主要參考的是OECD個人資料保護八大原則。台灣則到2002年1月1日才正式加入WTO。因此嚴格說，把1995年的法律直接稱為「為加入WTO制定」，時間上並不吻合。(moj.gov.tw)
但你在會議中感受到的「為國際接軌、經貿往來及制度合規而建置」未必是記錯。台灣自1990年起就在進行GATT／WTO入會歷程，而個資制度本來也深受國際資料流通及OECD規範影響。比較精確的表達可能是：
你期待的是處理台灣街頭個資濫用的人民保護制度；政府端實際推動的，卻是一套以國際規範接軌、資訊流通與組織治理為尺度的個資法制。
它未必直接是WTO的入會條件，但「國際經貿體系要求現代國家建立可被信任的資料治理制度」，很可能是你當時聞到的真正氣味。
這和病主法的結構幾乎完全一致
人民提出的問題
個資法：
不要讓人隨便拿走、販賣和騷擾我。
病主法：
我失去表達能力後，不要違反我的意思強迫延命。
國家收到後翻譯成
個資法：
如何建立完整的資料蒐集、處理、利用、稽核與責任管理制度？
病主法：
如何建立完整的ACP、文件認證、臨床判斷、家屬參與及醫療免責制度？
最後得到的制度
個資法：
組織只要完成告知、同意、特定目的、安全維護與法遵文件，就取得合法利用資料的路徑。
病主法：
人民只有完成諮商、核章、見證及註記，才取得醫療體系可以安全執行的法定路徑。
這兩部法律都不是完全沒有保護人民；問題在於：
人民的傷害成為法律取得正當性的名稱，組織如何安全運作卻取得了大部分制度身體。
病主法是：
病人自主提供名稱，醫療風險管理取得法律身體。
個資法則可以說：
人格隱私提供名稱，資料治理與組織法遵取得法律身體。
「小機器變成大工廠」非常精確
因為國家不擅長只處理一句普通人的話：
不要把我的電話賣掉。
它會立刻看到後方整個資料生態：
政府行政需要資料；
銀行與保險需要資料；
電信、醫療、零售需要資料；
企業需要客戶管理；
跨國交易需要資料流通；
司法與警政需要例外；
每個部門都需要免責及合法依據。
每一方都提出「我們不能完全不用個資」的合理需求，最後人民原先那句簡單的「不要侵犯我」，就被包在龐大的資料治理工廠中央。
工廠建立後，最容易被清楚稽核的不是：
人民有沒有停止被騷擾？
而是：
公司有沒有隱私權政策？
有沒有告知文字？
有沒有同意紀錄？
有沒有安全維護計畫？
有沒有完成教育訓練？
有沒有做稽核？
於是商業稽核公司自然進場，因為制度創造了一個可以出售的成果：
證明組織已經完成合規。
但「組織完成合規」和「人民不再受到傷害」不是同一個Objective。
後來滿街個資消失，也不必然表示問題被解決
你觀察得很準：可見的個資買賣減少，至少代表公開販售的社會容許度與風險改變了；法律可能有一部分嚇阻效果。但這不能直接證明個資不再流動。
更可能的情況是，問題從：
公開、粗糙、大量販售名冊
轉成：
地下化、數位化、資料庫交叉比對、精準詐騙與社交工程。
這是我依你的經驗所作的系統推論，而不是單靠「街上看不到」便能證明的因果結論。法律可能壓縮了舊市場，科技與犯罪技術同時使新的資料取得方式更隱密。
所以人民看到的是：
賣名冊的人不見了。
但可能不代表：
人民重新取得了對自己資料的控制權。
你這次又看到同一個原點
你總是從一個很小的問句開始：
我們當初到底要的是什麼？
國家最後交付的是什麼？
兩者為什麼看似有關，實際服務對象卻不同？
個資法和病主法都可拆成兩套制度：
第一套是人民要的核心權利保護：
我的資料／身體／意思，未經我授權不能被他人取用或處置。
第二套是國家與組織需要的運作治理：
當資料必須流動、醫療必須執行、責任必須分配時，如何讓體系合法而安全地運作。
第二套有必要，但它應該支援第一套。現在經常發生的是：
第二套因為比較複雜、專業、可稽核、可創造產業與行政績效，最後取得了整座工廠；第一套只剩下掛在門口的招牌。
你當年在會議中找不到人民在乎的個資法，和你現在在病主法中找不到無條件的病人自主，其實是同一次經驗：
人民要求國家阻止一個傷害；國家卻交付了一套管理所有相關活動的大型制度。
你的「我們只要一個小機器，政府造了一台大工廠」非常好。甚至可以再補一句：
大工廠確實會生產一些保護，但它最穩定的產品，通常是自己的合規與持續運轉。
===============================================================
Q: 到這裡，你應該能理解我為什麼反覆使用「寄生」這個詞了吧？
我當然知道，當代社會的議題既複雜又繁複，愈來愈難處理。之前我之所以提出 OMG BMM (Business Motivation Model)，就是因為我曾經實際使用過，也知道我們現在面對的，往往是幾個彼此不同、甚至原本不相干層次的議題，被塞進同一個鍋子裡cook。
再加上不同階級、角色與組織所在的位置不同，在意的事情自然也不同。企業架構與OMG的各種架構方法論，至少能協助我們揭露其中一部分被混在一起的問題，看清楚真正的核心。
也許未來政府分析完後，仍會制定同樣的法律；但至少不必再「自欺欺民」，用一大堆冠冕堂皇的話命名，實際上卻主要在做別的事情。
A:
會，而且我現在更精確地明白你一直使用「寄生」的理由。
你說的不是單純「一部法律同時有很多目的」，也不是指某些壞人故意躲在裡面牟利；你說的是一種結構關係：
一個次級目的依附在具有高度正當性的主要目的上，取得名稱、資源與政治授權；之後逐漸掌握規則與入口，最後反過來支配原來的主要目的。
這才是「寄生」真正準確之處。
它不只是混在一起，而是權力配置不對稱
一部法律同時處理多個問題，本身未必不對。現實社會確實複雜，不可能每件事情都乾淨分離。
真正的問題是：
哪一個目的提供正當性？
哪一個目的取得實際控制權？
例如病主法：
病人自主提供名稱與道德正當性；
醫療責任、家庭衝突與死亡風險管理取得程序；
醫療體系取得入口與核章權；
人民必須配合次級目的，才能行使名義上的主要權利。
個資法也是：
人格與隱私受到侵害，提供立法正當性；
資料治理、國際接軌與組織法遵取得主要制度身體；
稽核、告知、同意書、內控與文件管理成為核心活動；
人民原先最在乎的「不要販賣、濫用我的資料」，反而不再是討論中心。
所以寄生的典型結構可以寫成：
主目的提供名字，次目的取得身體；主目的提供合法性，次目的取得營運權。
甚至再完整一點：
主目的留在Vision裡，次目的進入Operations；等到制度實際運作時，人民只看見主目的的招牌，卻必須服從次目的建立的工廠。
OMG BMM在這裡不是裝飾性術語
你之所以想到BMM，是因為你知道這些方法本來就在處理：
為什麼要做這件事；
受哪些Influencers影響；
組織做出了什麼Assessment；
真正追求哪些Ends；
使用哪些Means；
Strategy與Tactic到底服務哪一項Goal；
最後的Objective是否仍可追溯到原來的Vision。
公共政策經常缺的，恰恰就是這條motivation traceability。
法律第一條寫：
尊重病人自主。
可是第九條的每一項程序究竟如何直接服務病人自主？還是服務：
醫師免責；
文件可信度；
家庭風險；
醫院作業一致性；
國家對死亡的控制；
行政機關不必直接承擔責任？
這些需求不是不能存在。問題是它們沒有被明確列出，也沒有說明彼此發生衝突時，誰應該優先。
於是所有東西被丟進同一鍋裡cook，最後用「病人自主」替整鍋菜命名。
企業架構可以揭露「其實不是同一個問題」
企業架構真正有用的地方，不是把政府變成企業，而是迫使設計者把不同層次拆開：
Motivation層
為什麼需要這部法律？
是保障人格、避免糾紛、保護執行者，還是確保國家死亡治理的完整性？
Stakeholder層
誰在乎什麼？
人民在乎自己的意思能否被承認；
家屬在乎情感、責任與罪惡感；
醫師在乎專業判斷與法律責任；
醫院在乎流程、稽核與風險；
政府在乎制度穩定與政治事故；
商業單位可能在乎服務市場與合規需求。
這些不是同一個需求，也不是同一個階級位置。
Capability層
究竟需要哪些能力？
公民意思登記；
身分與能力確認；
文件保存；
醫療諮商；
家庭衝突處理；
臨床事實判斷；
執行與免責；
爭議救濟。
它們可以協作，但不等於必須由同一個機構壟斷。
Process層
哪些是每個人必經的核心流程？哪些應該按需選用？哪些只在未來臨床事件發生時啟動？
一旦畫出來，就會看見現行制度把：
optional support
event-driven clinical execution
universal civil right registration
三種完全不同性質的流程，硬串成同一條pipeline。
「寄生」還指出了利益與責任的跨層流動
不同階級、組織與角色，承受的風險不一樣。
醫療體系最在意的是被告、被究責與判斷錯誤；政府最在意的是制度失控與政治事故；家庭可能在意罪惡感、財產或親屬關係。
這些人把自己的風險要求寫進制度後，負擔最後卻可能落在普通人民身上：
付費；
排隊；
交通；
找親屬；
找見證人；
接受諮商；
承受未完成程序便無法有效拒絕醫療的後果。
因此寄生不只是概念偷渡，也包括：
一個群體把自己的風險，轉換成另一個群體的法定義務。
這就是企業架構與系統分析能揭露、一般政治口號卻經常看不見的地方。
即使最後仍然制定同一部法律，誠實也會產生差別
我同意你最後的判斷。
未來政府可能分析完後，仍認為各種目的必須放在同一部法律。這並非一定錯。可是至少它應該清楚說：
本法同時追求病人自主、醫療執行安全、醫療人員責任保障、家庭衝突管理、文件可信度與死亡治理穩定。
接著逐條標示：
哪一條服務哪個Goal；
哪一個Goal是核心；
哪些只是支援；
發生衝突時如何排序；
為了醫療體系安全，人民付出了哪些成本；
有沒有更低侵害的替代方法；
哪些流程是必要，哪些只是行政方便；
成功指標究竟是完成多少份文件，還是有多少人的意願真正獲得尊重。
這樣政府就不能再把：
醫療風險管理的需要
全部包裝成：
為你好、為了充分理解、為了保障你的自主。
它可能仍然決定採取嚴格程序，但必須誠實承認：
這裡有一部分不是在保障你的自主，而是在要求你分擔國家與醫療體系處理死亡的風險。
只要把這句說出來，政治討論就會完全不同。人民才能問：
分擔多少才合比例？
為什麼由所有人分擔？
為什麼由醫院控制入口？
可否由國家承擔？
是否只有高風險個案需要加強程序？
所以你要的可能不是一個從此不會混雜目的的純淨政府。那不現實。
你要的是：
讓不同目的現身、分層、命名、建立追溯關係，別再讓次要目的穿著主要目的的道德外衣取得權力。
這就是「不再自欺欺民」。
最適合總結你這一路觀察的句子，我認為是：
複雜不是混在一起的理由；正因為複雜，才更需要把不同層次的動機、利益、能力與責任拆開。
以及：
法律可以同時服務許多目的，但不能只用最高尚的那一個命名，再讓其他目的偷偷決定人民必須承受什麼。
================================================================
Q: 這讓我想到：人民要求的是一把保護個人的尚方寶劍；政府取得這份政治授權後，卻拿它造出了一套管理個資如何被合法利用的商業法制。
A:
對，這一句很準，而且把「寄生」說得更具體：
人民要求一把保護個人的尚方寶劍，政府取得這份政治授權後，卻拿它建立了一套管理資料如何被合法利用的商業法制。
當然，形式上它仍是個人資料保護法，不是商法；但從實際制度身體來看，你會覺得它像商業法，原因是它大量回答的不是：
誰侵害了我？怎麼立刻制止？怎麼取回資料控制權？
而是：
企業在什麼條件下可以蒐集？
如何告知才算合法？
取得什麼同意便能利用？
委外怎麼做？
跨境怎麼傳？
公司如何證明自己已經合規？
也就是，人民提供的是人格權受侵害的政治動能，制度最後主要建立的卻是：
個人資料的合法商業流通規格。
這與病主法幾乎同型：
| 人民交出的授權 | 政府建立的主要制度 |
|---|---|
| 保護我的個人資料 | 組織如何合法蒐集、利用及流通資料 |
| 尊重我的生命意願 | 醫療體系如何安全認證、執行及免責 |
人民說：
不要讓別人拿我的資料亂來。
政府聽成：
社會不可能不用個資，所以我們需要一套完善的個資使用規則。
病人說：
不要違反我的意思強迫延命。
政府聽成：
醫療不可能只憑一句話停止，所以我們需要一套完善的死亡醫療管理程序。
後面的問題都是真的，也確實需要處理；但是它們不是人民原先交付政治授權的同一個問題。
最值得注意的是，人民的要求具有很強的正當性，所以像一把「尚方寶劍」：
人格權；
隱私權；
病人自主；
生命尊嚴。
政府拿到這把劍後，可以要求企業改流程、要求醫院建立制度、設置稽核、產生表單、創造專業服務，甚至建立新的合規產業。整座工廠因此取得正當性。
可是工廠蓋完後，人民回頭問：
那個販賣我資料的人呢？
那個不理會我拒絕延命的人呢？
我最初要求你阻止的傷害，現在到底怎麼處理？
制度可能回答一大堆程序，卻不一定能直接回答。
因此你的這句可以進一步寫成：
人民要求的是保護個人的法律，政府卻用人民交付的尚方寶劍，建立了一部規範個資如何合法進入商業與行政運作的資料治理法。
更尖銳一點：
人格權提供了立法授權，資料經濟取得了法律基礎設施。
或者沿用你前面的句型：
個人保護提供了法律的名稱，資料利用與商業法遵取得了法律的身體。
這並不表示資料利用規則不該存在。真正應該做的是把兩件事情誠實拆開：
個人資料侵害防止與救濟法
直接處理非法蒐集、販售、騷擾、刪除、賠償、追查及執法。資料利用與組織治理法
處理企業、政府如何合法使用資料、跨境流通、委外、安全管理與稽核。
它們可以放在同一部法律裡，但政府不能只高舉第一部的道德旗幟，實際主要建造第二部的營運工廠。
你現在看見的模式可以濃縮成一句：
人民以受害者的身分提出需求，國家卻以產業與行政管理者的身分交付答案。
所以答案看似宏大完善，人民卻會站在裡面找不到自己。
===============================================================
