生物醫學研究以人口群或特定群體為基礎者，其材料不得取自未經許可設置之生物資料庫。

設置者自行或提供第三人使用生物檢體及相關資料、資訊，應於參與者同意之範圍、期間、方法內為之。

設置者就其所有之生物檢體及相關資料、資訊為儲存、運用、揭露時，應以編碼、加密、去連結或其他無法辨識參與者身分之方式為之。

設置者就參與者姓名、國民身分證統一編號及出生年月日等可辨識個人之資料，應予加密並單獨管理；於與其生物檢體及相關資料、資訊相互比對運用時，應建立審核與控管程序，並應於為必要之運用後立即回復原狀。

設置者為不同來源之資料、資訊互為比對時，應依第一項規定為之，並應於比對後，立即回復原狀。

參與者同意書、終止參與研究聲明書等無法與可辨識參與者之資料分離之文件，不適用前三項規定。但設置者應採取其他必要之保密措施。

第二項及第三項之比對、運用，適用第五條第三項規定。

設置者及生物資料庫之商業運用產生之利益，應回饋參與者所屬之人口群或特定群體。

前項回饋辦法由主管機關定之。