在醫療場域中，診所行政人員的法律責任核心在於對病患個人資料的保護，這與《個人資料保護法》（個資法）和《醫療法》等相關法規緊密相連。本指南旨在協助診所行政人員與醫療機構管理者，深入瞭解在個資保護方面的法律義務與風險控管。
診所行政人員在日常工作中，從病患掛號、病歷建檔到醫療資訊的處理，無不涉及個人資料的蒐集、處理及利用。若稍有不慎，即可能觸犯相關法規，面臨行政罰鍰、民事賠償甚至刑事責任。因此，瞭解並遵守相關法律規定，建立完善的個資保護制度至關重要。
本指南將涵蓋以下重點：
- 違反《個人資料保護法》與《醫療法》可能產生的法律責任。
- 確保個資保護的實務建議，從建立完善的個資保護制度，到定期進行風險評估與員工訓練。
- 確保告知同意原則的落實，在蒐集個資時，提供明確的告知聲明並取得病患簽名同意，確保病患瞭解個資用途。
- 個資外洩事件的應變處理，包含制定並執行個資外洩應變計畫。
專家提示：建立個資保護制度時，應考量機構的規模、業務性質及風險程度，並定期審視與更新相關政策。此外，加強員工教育訓練，提升其個資保護意識與能力，是降低法律風險的有效途徑。
立即下載個資保護檢查表，檢視您的診所是否符合法規要求！
更多資訊可參考 醫師診所競業禁止:與非競業條款的比較
診所行政人員務必重視法律責任與個資保護，以下提供具體可行的建議：
- 建立並定期更新符合《個資法》與《醫療法》的個資保護政策與SOP，明確規範資料蒐集、處理、利用各環節。
- 在蒐集病患個資時，務必透過書面同意書清楚告知蒐集目的、利用方式等，確保符合告知同意原則。
- 實施嚴格的病歷系統存取權限控管與加密，定期進行弱點掃描，強化資訊安全維護。
- 定期為員工舉辦個資保護與勞動法規培訓，提升法律意識與風險辨識能力。
- 預先制定個資外洩應變計畫，明確通報流程與補救措施，並定期演練，以有效應對突發狀況。
醫療個資保護的法規基石：《個資法》與《醫療法》的核心義務
在台灣，保護醫療個人資料的核心法規是 《個人資料保護法》 (簡稱個資法)。此外，《醫療法》 也包含相關的保護條款，特別是關於醫療機構及其人員對病人病情和健康資訊的保密義務。
《個人資料保護法》
- 核心原則： 個資法規定了個人資料的蒐集、處理、利用、儲存、傳輸和銷毀等各個環節的規範，旨在保護當事人的權益，並確保資料的安全。
- 敏感性資料的特殊規定： 該法特別將涉及醫療、基因、性生活、健康檢查及犯罪前科的個人資料列為敏感性資料，對其蒐集、處理和利用設有更嚴格的限制。原則上不得蒐集、處理或利用這些資料，除非有法律明文規定、公務機關執行法定職務、當事人自行公開，或學術研究機構基於醫療、衛生或犯罪預防目的並經過一定程序。
- 告知與同意： 在蒐集個人資料時，應告知當事人蒐集的目的、類別、利用期間、地區、對象及方式，並尊重當事人的權益，包括查詢、閱覽、複製、更正、停止利用及刪除等權利。對於敏感性個人資料，通常需要取得當事人的書面同意。
- 安全維護義務： 醫療機構和相關人員必須採取適當的安全措施，保護個人資料免於外洩、竄改、毀損或滅失。這包括硬體設備的安全防護（如防火牆）和軟體系統的安全管理（如權限控管、資料加密）。
- 法律責任： 若違反個資法，可能面臨民事賠償、刑事處罰（如兩年以下有期徒刑、拘役或罰金）以及行政罰鍰。
《醫療法》
- 保密義務： 醫療法第72條明確規定，醫療機構及其人員因業務而知悉或持有病人病情或健康資訊，不得無故洩漏。
- 檢查與報告： 醫療機構應依法令規定或主管機關通知，提出報告並接受檢查。若任意洩漏病人病情或健康資訊，可能面臨罰鍰。
- 醫療隱私維護規範： 衛生福利部公告修正「醫療機構醫療隱私維護規範」，將隱私權保護擴大至全院適用，並涵蓋診療過程中的錄音錄影同意、檢查處置場所的隱私隔間、以及呼喚病人時應注意的尊嚴等細節。
- 罰則： 若違反醫療法關於病人隱私的規定，除可能面臨罰鍰外，觸犯刑事法律者，將移送司法機關辦理。
其他相關規定與實務
- 《醫院個人資料檔案安全維護計畫實施辦法》： 衛生福利部於2020年公告此辦法，並於2021年生效，要求醫院擬定資料安全維護計畫。
- 醫師的法律責任： 醫師在日常診療中必須嚴格遵守個資法等相關規定，妥善管理病患的姓名、病歷、聯絡方式等資訊，以保護病患的隱私權益。
實務操作手冊：診所行政人員應遵守的病患資料處理規範
診所處理病患個人資料時，必須嚴格遵守《個人資料保護法》及《醫療法》等相關法規，以保障病患的隱私權。一、 病患個資的蒐集
- 告知義務與同意原則： 診所必須明確告知病患蒐集的個資目的（例如：病歷建檔、醫療診斷、後續追蹤等）、利用方式、利用期間、利用地區，並取得病患的書面同意，除非法律另有規定。
- 最小化原則： 診所應僅蒐集達成特定醫療目的所必需的資料，避免過度蒐集。
- 間接蒐集： 若係透過緊急聯絡人等方式間接蒐集個資，且僅為醫療業務所需，得免為告知並無需同意。
二、 病患個資的處理與利用
- 目的內利用： 診所對於蒐集到的病患個資，僅限於原告知的目的範圍內處理與利用，不得超出必要範圍或用於其他目的（例如：未經同意不得用於行銷活動）。
- 資料去識別化： 若需將病歷資料用於學術研究，應進行去識別化處理，移除可直接識別個人的資訊。
- 特定目的外利用： 若需將個資用於特定目的外，必須事先徵得病患的同意，或符合法律明文規定的特定情形。
三、 病患個資的安全維護
- 善良管理人注意義務： 診所對所蒐集、處理、利用的病患個資負有善良管理人之注意義務，必須採取適當的安全措施，防止個資被竊取、竄改、毀損、滅失或不當利用。
- 安全措施： 這包括硬體設備的安全防護（如防火牆、入侵偵測系統）、軟體系統的安全管理（如權限控管、資料加密），以及人員管理、內部控制、風險評估等。
- 資訊系統安全： 定期檢視並更新資訊系統，確保電子病歷系統符合法規要求，並進行安全漏洞掃描與滲透測試。
- 儲存安全： 建立完善的資安防護體系，涵蓋硬體設備安全，並加強員工的資安意識。
四、 病患權利
- 查詢、閱覽、製給複製本： 病患有權向診所查詢、閱覽、或請求複製其個人資料。
- 補充、更正、停止蒐集、處理、利用、刪除： 病患亦有權請求補充、更正、停止蒐集、處理、利用，甚至刪除其個人資料。
- 診所回應： 診所應在規定期間內（最遲30天）對病患的請求做出準駁決定，並以書面通知。
五、 相關法規
- 個人資料保護法： 規範個人資料的蒐集、處理、利用、儲存、傳輸、銷毀等各環節。
- 醫療法： 規定醫療機構應妥善保管病歷，並建立病歷管理制度；對於無故洩漏病人病情或健康資訊者，將處以罰鍰。
- 醫院個人資料檔案安全維護計畫實施辦法： 加強醫院對個人資料的保護，維護資料安全。
總結
診所處理病患個資，不僅是法律責任，也是維護醫病信任的關鍵。診所應建立完善的個資保護政策，落實資訊安全防護措施，並對員工進行相關培訓，以符合法規要求並贏得病患的信任。
防患未然：建立完善的個資保護制度與應變計畫
建立診所的個人資料保護制度，是確保病患隱私權益、符合法律規範的關鍵。以下將從幾個核心面向進行詳細 1. 建立完善的個人資料保護政策與標準作業流程 (SOP)
- 政策制定：診所應制定明確的個人資料保護政策，涵蓋資料的蒐集、處理、利用、儲存、傳輸及銷毀等各個環節。這份政策應符合《個人資料保護法》(個資法)及相關法規的要求。
- SOP 建立：基於保護政策，制定詳細的標準作業流程 (SOP)，規範具體的執行細節。例如，針對資料的加密、存取權限控管、員工的權限設定、以及定期審查權限等。
2. 履行告知義務與取得同意
- 告知內容：在蒐集病患個人資料時，必須明確告知蒐集的目的、資料的類別、利用的期間、地區、對象及方式。同時，也要告知病患其依法享有的權利，例如查詢、閱覽、複製、更正、停止利用及刪除等。
- 告知方式：告知方式應讓病患清楚理解，可透過書面、口頭說明或張貼公告等。建議製作「個人資料蒐集告知同意書」，讓病患簽署，確保已盡到告知義務。
- 同意原則：除非法律另有規定，否則蒐集、處理或利用病患的個人資料，都必須取得病患的書面同意。同意的範圍應明確，不得超出告知的目的。
3. 加強資料安全維護
- 軟體系統安全：
- 病歷系統加密：確保病歷系統中的資料經過加密處理，即使資料被竊取，也難以解讀。
- 存取權限控管：實施嚴格的存取權限控管，僅授權必要的員工存取病患個人資料，並定期審查權限設定。
- 弱點掃描與滲透測試：定期進行弱點掃描與滲透測試，找出系統中的安全漏洞，並及時修補。
- 實體安全：確保病歷存放的空間安全，避免紙本資料受潮、遺失，並對接觸病歷的人員、時間及內容進行記錄。
- 資料備份：建立電子資料檔案的備份機制及管理程序。
4. 員工教育訓練與內部管理
- 安全意識：定期對員工進行個人資料保護相關的教育訓練，強化其資訊安全意識，從源頭降低個資外洩風險。
- 權限管理：依據業務作業需要，建立管理機制，設定員工的權限，控管其接觸個人資料，並定期確認權限的必要性及適當性。
- 離職處理：取消離職員工的存取權限，並要求其將執行業務所持有之文件、資料辦理交接，不得攜離使用。
5. 建立個人資料外洩應變與通報機制
- 應變計畫：診所應事先制定個人資料外洩應變計畫，明確規範事件通報流程、損害控制措施、法律顧問諮詢等步驟。
- 通報：依《個人資料保護法》規定，診所應在發現個資外洩事件後，立即通報主管機關。
- 通知：以適當方式通知受影響的病患，告知事件經過、可能造成的影響，以及診所已採取的補救措施。
6. 定期檢視與更新
- 政策檢討：至少每年一次或在重大法規變動時，全面檢視診所的個人資料保護政策，並根據最新的法規與實務經驗進行調整。
- 系統更新：確保診所使用的電子病歷系統符合個資保護法規要求，並且定期更新系統版本。
透過以上措施，診所可以建立健全的個人資料保護制度，有效降低個資外洩的風險，同時贏得病患的信任。為建立有效的個人資料保護制度，診所應從多方面著手，確保病患的隱私權益並符合《個人資料保護法》（個資法）的相關規定。這包括制定完善的政策與流程、確實履行告知義務、加強資訊安全維護、對員工進行培訓，以及建立應變機制。
一、 建立完善的政策與標準作業流程 (SOP)
診所應制定明確的個人資料保護政策，涵蓋資料的蒐集、處理、利用、儲存、傳輸及銷毀等各個環節。在此基礎上，建立詳細的標準作業流程 (SOP)，規範具體的執行細節，例如資料加密、存取權限控管、員工權限設定及定期審查等。
二、 履行告知義務與取得同意
在蒐集病患個人資料時，診所必須明確告知蒐集目的、資料類別、利用期間、地區、對象及方式，並告知病患其享有的權利（如查詢、閱覽、更正、刪除等）。告知方式應清晰易懂，建議製作「個人資料蒐集告知同意書」供病患簽署，以確保已盡到告知義務。除非法律明文規定，否則蒐集、處理或利用病患個人資料均須取得病患的書面同意，且同意範圍不得超出告知的目的。
三、 加強資料安全維護
- 資訊系統安全：病歷系統應進行加密處理，並實施嚴格的存取權限控管，僅授權必要人員接觸病患資料，同時定期審查權限設定。此外，定期進行弱點掃描與滲透測試，及時修補系統漏洞。
- 實體安全：紙本病歷的存放應確保安全，避免遺失或毀損，並對接觸人員、時間及內容進行記錄。
- 資料備份：應建立電子資料檔案的備份機制與管理程序。
四、 員工教育訓練與內部管理
診所應定期對員工進行個人資料保護相關的教育訓練，提升其資訊安全意識，從源頭降低個資外洩風險。同時，應建立員工權限管理機制，依業務需要設定權限，並在員工離職時取消其存取權限，確保資料安全。
五、 建立個人資料外洩應變與通報機制
診所應預先制定個人資料外洩應變計畫，明確事件通報流程、損害控制措施及法律顧問諮詢等步驟。一旦發生個資外洩事件，應立即通報主管機關，並適時通知受影響的病患，說明事件經過、影響及已採取的補救措施。
六、 定期檢視與更新
診所應至少每年一次或在法規重大變動時，全面檢視個人資料保護政策，並依據最新法規與實務經驗進行調整。同時，應確保使用的電子病歷系統符合法規要求，並定期更新系統版本，以防範潛在的安全威脅。
| 面向 | 內容 |
|---|---|
| 建立完善的政策與標準作業流程 (SOP) | 診所應制定明確的個人資料保護政策，涵蓋資料的蒐集、處理、利用、儲存、傳輸及銷毀等各個環節。在此基礎上，建立詳細的標準作業流程 (SOP)，規範具體的執行細節，例如資料加密、存取權限控管、員工權限設定及定期審查等 。 |
| 履行告知義務與取得同意 | 在蒐集病患個人資料時，診所必須明確告知蒐集目的、資料類別、利用期間、地區、對象及方式，並告知病患其享有的權利（如查詢、閱覽、更正、刪除等）。告知方式應清晰易懂，建議製作「個人資料蒐集告知同意書」供病患簽署，以確保已盡到告知義務。除非法律明文規定，否則蒐集、處理或利用病患個人資料均須取得病患的書面同意，且同意範圍不得超出告知的目的 . |
| 加強資料安全維護 | 資訊系統安全：病歷系統應進行加密處理，並實施嚴格的存取權限控管，僅授權必要人員接觸病患資料，同時定期審查權限設定。此外，定期進行弱點掃描與滲透測試，及時修補系統漏洞 。 實體安全：紙本病歷的存放應確保安全，避免遺失或毀損，並對接觸人員、時間及內容進行記錄 。 資料備份：應建立電子資料檔案的備份機制與管理程序 。 |
| 員工教育訓練與內部管理 | 診所應定期對員工進行個人資料保護相關的教育訓練，提升其資訊安全意識，從源頭降低個資外洩風險 。同時，應建立員工權限管理機制，依業務需要設定權限，並在員工離職時取消其存取權限，確保資料安全 。 |
| 建立個人資料外洩應變與通報機制 | 診所應預先制定個人資料外洩應變計畫，明確事件通報流程、損害控制措施及法律顧問諮詢等步驟。一旦發生個資外洩事件，應立即通報主管機關，並適時通知受影響的病患，說明事件經過、影響及已採取的補救措施 . |
| 定期檢視與更新 | 診所應至少每年一次或在法規重大變動時，全面檢視個人資料保護政策，並依據最新法規與實務經驗進行調整 。同時，應確保使用的電子病歷系統符合法規要求，並定期更新系統版本，以防範潛在的安全威脅 。 |
診所行政人員的法律責任與個資保護. Photos provided by unsplash
掌握關鍵：規避常見法律風險與最佳實務案例解析
診所經營可能面臨多種法律風險，為確保診所的穩健發展並保障病患與員工的權益，應採取積極的預防措施。以下將從幾個主要方面詳細一、 醫療糾紛與病歷管理
- 病歷書寫與管理： 病歷是醫療行為的重要證據，必須詳實、完整、清晰地記載，包括就診日期、主訴、檢查結果、診斷、治療經過等。 嚴禁塗改或偽造病歷。 病歷應依醫療法規定的年限妥善保存，並確保其安全性。
- 知情同意： 在進行手術、侵入性檢查或使用高風險藥物前，必須充分告知病患病情、治療方案、風險、副作用、替代方案等，並取得書面同意。
- 高風險診療與患者群體： 需特別關注手術、麻醉、介入性檢查等高風險診療項目，以及老年人、兒童、孕婦、精神疾病患者等高危險患者群體，加強評估與溝通。
- 醫患溝通： 建立良好的醫患溝通管道，及時回應病患的疑問與擔憂，避免因溝通不足導致誤解與糾紛。
二、 勞動法規遵循
- 勞動契約： 應為診所內不同職位的員工（醫師、護理師、行政人員等）擬定客製化且符合勞動基準法規定的勞動契約，明確工作內容、工時、薪資、休假、加班費等權益。
- 工時與加班費： 嚴格遵守工時規定，正確計算並給付加班費，並確實記錄員工工時。
- 休假制度： 依法提供年假、病假、產假等各種休假權益，並明確規定申請程序。
- 薪資福利： 確保薪資結構透明，符合最低工資規定，並依法給付全勤獎金、加班費等。
- 勞動法規培訓： 定期為員工舉辦勞動法規培訓，提升其法律意識和風險辨識能力。
三、 藥品與管制藥品管理
- 藥品採購與儲存： 確保藥品來源合法，供應商具備藥品販賣許可證，並建立完善的藥品進貨紀錄。 藥品儲存應符合規定，確保藥品質量。
- 處方與調劑： 嚴格按照處方箋進行藥品調劑，確認處方合法性、完整性與適當性，並仔細計算藥品劑量。
- 管制藥品管理： 管制藥品因其特殊性，需嚴格按照相關法規進行管理，包括採購、儲存、申報與紀錄，以防濫用或流用。 診所若涉及調劑業務，依法可能需設置藥師。
四、 內部管理與風險預防機制
- 法律顧問： 聘請專業法律顧問，協助處理法律事務，定期進行法律健檢，確保診所營運的合法合規性。
- 標準化作業程序(SOP)： 建立標準化的法律文件範本，例如知情同意書、勞動契約等，並制定清晰的診所內部規範和操作流程。
- 員工培訓： 定期對員工進行法律風險教育訓練，提升整體法律意識。
- 風險評估： 定期執行診所內部法律風險評估，識別潛在的法律風險點，並制定針對性的預防策略。
五、 設立與營運階段的風險
- 診所設立： 診所選址需符合相關法規，並確保建築結構、消防安全等合規。 應及早申請醫療機構設置許可證。
- 健保申報： 診所是健保申報的主體，應確保申報的正確性、完整性，並遵守相關規定與時限。
- 廣告宣傳： 醫療廣告需符合相關規範，不得誇大不實或涉及醫療糾紛。
診所行政人員的法律責任與個資保護結論
綜上所述，診所行政人員的法律責任與個資保護是醫療機構運營中不可或缺的一環。面對日益嚴峻的法規環境和不斷演進的資安威脅，診所行政人員必須具備高度的法律意識和專業知識，纔能有效管理和保護病患的個人資料，降低法律風險，維護診所的聲譽和永續發展。
本指南涵蓋了《個人資料保護法》、《醫療法》等相關法規的核心義務、病患資料處理的實務規範、個資保護制度的建立與應變，以及常見法律風險的規避與最佳實務案例。期望透過這些資訊，能幫助診所行政人員更深入地理解自身所肩負的法律責任，並在日常工作中有效落實個資保護措施。
建立完善的個資保護體系並非一蹴可幾，需要持續的努力和精進。診所應定期檢視和更新相關政策，加強員工的教育訓練，並密切關注最新的法規動態和行業趨勢，才能在保障病患隱私的同時，確保診所的營運符合法律規範。只有如此，才能真正實現醫病雙贏，建立彼此信任的良好關係。
診所行政人員的法律責任與個資保護 常見問題快速FAQ
診所行政人員在個資保護方面的主要法律責任是什麼？
診所行政人員需遵守《個人資料保護法》和《醫療法》等相關法規，保護病患個人資料，避免洩漏、竄改或不當使用，並建立完善的個資保護制度。
違反個資法可能面臨哪些法律責任？
違反個資法可能面臨行政罰鍰、民事賠償，甚至刑事責任，如兩年以下有期徒刑、拘役或罰金。
《個人資料保護法》中，敏感性資料有哪些特殊規定？
敏感性資料如醫療、基因、性生活等，原則上不得蒐集、處理或利用，除非有法律明文規定、公務機關執行法定職務、當事人自行公開等例外情況。
診所應如何落實告知同意原則？
診所在蒐集個資時，應明確告知病患蒐集目的、類別、利用期間等，並取得病患的書面同意，確保病患瞭解個資用途及權益。
診所應如何建立完善的個資保護制度？
診所應制定個人資料保護政策、建立標準作業流程、加強資料安全維護、對員工進行教育訓練，並建立個資外洩應變與通報機制。
發生個資外洩事件時，診所應如何應變？
診所應立即啟動個資外洩應變計畫，通報主管機關，並通知受影響的病患，說明事件經過、影響及已採取的補救措施。
病患有哪些關於個人資料的權利？
病患有權向診所查詢、閱覽、複製、補充、更正、停止蒐集、處理、利用或刪除其個人資料。
診所病歷管理有哪些需要注意的地方？
病歷必須詳實、完整、清晰地記載，嚴禁塗改或偽造，並依醫療法規定的年限妥善保存，確保安全性。
診所應如何遵守勞動法規？
診所應為員工擬定符合勞動基準法規定的勞動契約，嚴格遵守工時規定，依法提供休假權益，並確保薪資福利符合規定。
診所藥品管理有哪些重點？
確保藥品來源合法，建立完善的藥品進貨紀錄，嚴格按照處方箋進行藥品調劑，並對管制藥品進行嚴格管理，以防濫用或流用。
