診所個資保護與法律責任：行政人員必懂的實務指南

在醫療體系中，診所行政人員扮演著至關重要的角色，不僅是診所運營的基石，更是病患資料安全的第一線守護者。面對日益嚴峻的個資保護挑戰，深入瞭解並嚴格遵守相關法律責任，已成為每位行政人員的必備技能。

本指南旨在幫助診所行政人員全面掌握個人資料保護的核心要點，從告知義務與同意原則，到資料安全維護義務，再到個資外洩事件的應變與通報，提供清晰、實用的操作指南。我們將深入解析《個人資料保護法》、《醫療法》等相關法規，並結合診所實務案例，讓您輕鬆應對日常工作中的各種挑戰。

具體而言，本指南將涵蓋以下重要內容：

• 如何建立完善的內部管理制度，從源頭上降低個資外洩風險？
• 如何提供符合法規要求的告知聲明，並有效地取得病患的簽名同意？
• 如何落實最小化原則，只蒐集必要的個人資料？
• 如何實施有效的安全措施，保護病患資料免受未經授權的存取？
• 一旦發生個資外洩事件，如何迅速且正確地應對和通報？

此外，我們還將分享選擇雲端服務供應商的最佳實踐，以及如何加強員工的資安意識，共同打造一個安全、可靠的醫療環境。 請務必定期檢視更新個資保護政策，確保診所營運符合最新法規。

本指南不僅是法律知識的普及，更是實務操作的指導。我們相信，透過學習和應用本指南的內容，診所行政人員能夠在保護病患隱私的同時，維護診所的聲譽和永續經營。讓我們一起努力，為病患提供更安全、更安心的醫療服務！

立即下載個資保護檢查表，檢視您的診所是否符合法規要求！

診所行政人員務必瞭解個資保護的重要性，以下提供您在實際工作中應用的建議：

1. 務必取得病患簽署的個資同意書，明確告知蒐集目的、利用範圍及權利，並定期更新同意書範本。
2. 嚴格遵守最小化原則，僅蒐集必要的病患資料，並定期檢視現有資料，刪除不必要的資訊。
3. 建立並定期演練個資外洩應變計畫，確保能迅速控制損害並通報主管機關與病患。
4. 定期進行員工個資保護教育訓練，提升資安意識，並針對不同職務提供客製化課程。
5. 落實風險管理，定期評估診所內個資外洩的潛在風險，並採取適當的安全措施，如資料加密和權限控管。

診所個資保護的重要性與法律責任解析

診所行政人員若觸犯《個人資料保護法》（簡稱個資法），可能面臨民事賠償責任、刑事責任以及行政責任。

民事賠償責任：
若因違反個資法導致當事人權益受損，診所需負損害賠償責任。若能證明無故意或過失，則可免責。
對於損害賠償總額，最高可達新台幣2億元。若被害人難以證明實際損害額，可請求法院依侵害情節計算，每人每次賠償500元至2萬元。

刑事責任：
若行為人意圖為自己或第三人不法之利益，或損害他人利益，而違反個資法相關規定，致生損害於他人，可能面臨5年以下有期徒刑，得併科新台幣100萬元以下罰金。
若涉及非法利用特種個人資料（如病歷、基因、性生活等），且有非法利用意圖，可能觸犯刑法妨害祕密罪或個資法相關刑責。

行政責任：
主管機關（例如衛生福利部）可依據個資法對違規的診所處以罰鍰。
依據個資法，非公務機關若未採取適當安全措施，導致個資被竊取、竄改、毀損、滅失或洩漏，可處新台幣2萬元至200萬元罰鍰，若屆期未改正或情節重大者，按次處15萬元以上、1,500萬元以下罰鍰。
情節嚴重者，可能被命令停止蒐集、處理或利用個人資料。

此外，違反個資法除了上述責任外，也可能對診所的聲譽造成損害，影響病患的信任度。 診所應建立完善的個資保護制度，包括制定個資保護政策、建立內部管理程序、進行風險評估、加強員工教育訓練等，以避免觸法。

遵守個資法的關鍵步驟：告知、同意與安全措施

診所應確保遵守個人資料保護法（個資法）的告知與同意要求，主要可從以下幾個面向著手：

1. 充分告知病患個人資料的蒐集、處理與利用情況：

• 告知目的： 診所必須清楚告知病患，蒐集其個人資料的具體目的，例如：提供醫療服務、病歷紀錄、開立處方、聯繫就醫事項、進行衛教推廣、研究計畫、保險申報等。
• 告知資料類別： 說明將會蒐集哪些類型的個人資料，例如：姓名、聯絡方式（電話、地址、電子郵件）、身分證字號、出生年月日、性別、病歷紀錄、健康狀況、就醫紀錄等。
• 告知利用期間、地區、對象及方式： 說明這些資料將會保存多久、在哪裡使用、會提供給哪些對象（例如：醫療體系內部的其他單位、合作的醫療機構、委外處理的廠商、依法有權調查的機關等），以及如何使用（例如：書面、電子文件、電話、傳真、自動化設備等）。
• 告知病患權利： 告知病患依法擁有的權利，包括查詢、請求閱覽、請求製給複製本、請求補充或更正、請求停止蒐集、處理或利用，以及請求刪除其個人資料。

2. 取得病患的明確同意：

• 書面同意： 對於醫療紀錄等敏感性個人資料，應取得病患的書面同意。這通常透過簽署「個人資料同意書」來達成。
• 同意書內容： 同意書應清楚載明上述告知事項，並讓病患有「同意」或「不同意」的選項，特別是在特定目的外利用個人資料時。
• 知情同意： 確保病患在充分理解告知內容後，自願表達同意。若病患為未成年人或心智障礙者，應由法定代理人或直系親屬簽署同意書。
• 同意的效力： 病患簽署同意書，即表示已詳閱並瞭解內容，且同意遵守相關事項。

3. 落實個資法基本原則：

• 最小化原則： 只蒐集與特定目的直接相關的個人資料，避免過度蒐集。
• 目的必要性： 蒐集、處理、利用個人資料都應基於特定、合法的目的。
• 安全維護： 採取適當的資訊安全措施，保護個人資料不被竊取、洩漏、竄改或侵害。醫療機構對於病患個資的保護，負有善良管理人之注意義務，若未採取適當措施導致個資外洩，可能需負損害賠償責任。

4. 建立內部管理機制：

• 標準作業流程（SOP）： 制定明確的個資保護標準作業流程，涵蓋資料蒐集、儲存、使用、傳輸、銷毀等各環節。
• 員工訓練： 定期對診所員工進行個資法相關訓練，提升其對個資保護的意識與能力。
• 權限控管： 強化病歷資料的存取權限控管，確保只有必要人員才能接觸病患資料。
• 安全稽覈： 定期進行安全稽覈，評估個資保護措施的有效性，並及時修補漏洞。
• 應變計畫： 建立資料外洩事件的應變計畫，以便在發生個資外洩時能迅速有效地處理。

應對個資外洩：緊急應變與通報流程

診所發生個人資料外洩時，應依據「個人資料保護法」及相關規定，進行緊急應變與通報。以下為應變與通報的重點：

一、 緊急應變措施：

• 立即啟動應變計畫：當發現個資外洩事故時，應立即啟動組織的應變計畫，並組成事故應變小組。
• 資安事件處理：若事故涉及資訊安全，應依據資通安全緊急應變計畫處理。
• 控制損害：應立即採取措施，防止個資繼續外洩、損毀、滅失或被竄改，並盡可能減少損害範圍。這可能包括：
  • 進行初步調查，判斷風險來源及影響範圍。
  • 確保必要的證據被保存和保管。
  • 對於涉及民、刑事案件的情況，應即時通報警政或檢調單位。
• 法律諮詢：法務人員應就相關法律層面提出對策，以應對後續的法律程序。
• 記錄事故：詳細記錄個人資料侵害的事實、影響及已採取的應變措施，並由監管機關事後查驗。

二、 通報義務：

• 內部通報：
  • 發現個資外洩後，應立即通報診所內部指定的個資聯絡窗口或委員會。
  • 若事件緊急重大，應迅速知會相關處理單位，例如資訊單位。
• 對外通報：
  • 通知當事人：若個人資料外洩可能導致當事人權利或自由的風險，應以適當方式（如書面、電話、電子郵件等）通知當事人，並說明事實、已採取的因應措施。若人數眾多，可改以網站公告或媒體發布等方式。
  • 通報主管機關：依據「個人資料保護法」及相關規定，可能需要向主管機關通報。通報內容通常包括事件的性質、影響範圍、已採取的措施等。
  • 外部溝通：若有需要，應進行對外溝通，例如準備常見問答(FAQ)、回應媒體詢問，或發布新聞稿。

三、 法律責任：

• 違反個資法規定，導致個資遭不法蒐集、處理、利用或其他侵害當事人權利者，可能需負擔民事損害賠償責任。
• 若有意圖為自己或第三人不法之利益或損害他人之利益，違反個資法相關規定，可能構成刑事責任，面臨有期徒刑及罰金。
• 即使不構成刑事責任，若違法利用個資但未造成損害，主管機關仍可處以罰鍰，並要求限期改善。

重要提醒：
應事先建立完善的資安事件通報及應變計畫（SOP），並預先準備好通知範本，以確保事件發生時能迅速有效應對。
保留所有與個資外洩事件相關的證據，以備後續的法律程序。

診所個人資料外洩的緊急應變與通報流程重點

階段	措施	內容
緊急應變	啟動應變計畫	立即啟動組織的應變計畫，組成事故應變小組
緊急應變	資安事件處理	若事故涉及資訊安全，應依據資通安全緊急應變計畫處理
緊急應變	控制損害	防止個資繼續外洩、損毀、滅失或被竄改，減少損害範圍，進行初步調查，保存證據，通報警政或檢調單位
緊急應變	法律諮詢	法務人員應就相關法律層面提出對策
緊急應變	記錄事故	詳細記錄個人資料侵害的事實、影響及已採取的應變措施，供監管機關查驗
通報義務	內部通報	立即通報診所內部指定的個資聯絡窗口或委員會，事件緊急重大應迅速知會相關處理單位
通報義務	對外通報	通知當事人個資外洩的事實、已採取的因應措施(書面、電話、電子郵件等)，或網站公告、媒體發布，向主管機關通報事件的性質、影響範圍、已採取的措施等，進行對外溝通，準備常見問答(FAQ)、回應媒體詢問，或發布新聞稿
法律責任	民事責任	違反個資法規定，導致個資遭不法蒐集、處理、利用或其他侵害當事人權利者，可能需負擔民事損害賠償責任
法律責任	刑事責任	若有意圖為自己或第三人不法之利益或損害他人之利益，違反個資法相關規定，可能構成刑事責任，面臨有期徒刑及罰金
法律責任	行政責任	即使不構成刑事責任，若違法利用個資但未造成損害，主管機關仍可處以罰鍰，並要求限期改善

提升個資保護效能：風險管理與員工訓練最佳實務

提升診所個資保護效能，關鍵在於建立完善的風險管理機制並落實員工訓練。這兩者相輔相成，能有效降低個人資料外洩的風險，保障病患權益，並維護診所的聲譽與營運。

一、 風險管理：識別、評估與應對

診所應定期進行個人資料風險評估，從技術、流程、人員等三個層面系統性地識別潛在的個資外洩風險。

• 技術層面：

  • 資訊系統安全： 定期修補軟體漏洞，確保作業系統、應用程式及電子病歷系統是最新的版本。設定高強度密碼、啟用雙重驗證、安裝防火牆和入侵偵測系統，並實施資料加密。
  • 設備安全： 嚴格管理USB設備使用，掃描並記錄掃描結果；對物聯網設備進行存取控制與授權檢測，並更改預設密碼。
  • 供應商風險： 確保委外廠商（如系統維護商）具備足夠的安全措施，並簽訂資安及個資保密合約。

• 流程層面：

  • 標準作業流程(SOP)： 建立明確的資料加密、權限控管等個人資料保護標準作業流程。
  • 蒐集、處理、利用規範： 嚴格遵守個資法告知與同意原則，明確告知病患蒐集目的、利用範圍、保存期限，並取得病患同意。
  • 紙本資料管理： 妥善保管紙本病歷，並制定銷毀或匿名化程序。

• 人員層面：

  • 權限控管： 根據職務性質、工作內容等因素，將醫療資料的存取權限進行分級管理。
  • 應變計畫： 建立個人資料外洩事件的應變處理流程，包含事件通報、損害控制、事後補救等步驟，並定期演練。

二、 員工訓練：提升意識與技能

員工是個人資料保護的重要環節，因此，提升員工的個人資料保護意識和技能至關重要。

• 教育訓練內容：

  • 法規遵循： 講解個人資料保護法、醫療法等相關法規，讓員工瞭解其法律責任。
  • 安全操作： 訓練員工正確的資料處理、儲存、傳輸及銷毀方法，識別釣魚攻擊、惡意連結等常見網路威脅。
  • 風險意識： 透過案例分析，讓員工瞭解個資外洩的嚴重後果，以及人為疏失可能帶來的風險。
  • 應變流程： 讓員工熟悉個資外洩事件的應變處理流程，明確其在事件發生後的責任與行動步驟。

• 訓練方式與頻率：

  • 定期舉辦： 應定期舉辦教育訓練，例如新進員工到職時提供至少3小時的資訊安全相關訓練，並要求員工每年至少接受3小時的資安教育訓練課程。
  • 客製化課程： 根據不同崗位和職責的員工，提供客製化的訓練課程。
  • 委外訓練： 可考慮由診所委外廠商協助提供訓練，並提供專業教材。

結論

透過實施完善的風險管理措施，並持續強化員工的個人資料保護訓練，診所能有效降低個人資料外洩的風險，確保病患隱私安全，並符合相關法律法規的要求。這不僅是法律上的義務，更是建立病患信任、維持診所良好聲譽的基石。

診所行政人員的法律責任與個資保護結論

在這個資訊爆炸的時代，診所行政人員在日常工作中肩負著重大的法律責任，尤其是在個資保護方面。透過本指南的深入探討，我們瞭解到，從建立完善的內部管理制度、取得病患知情同意，到實施有效的安全措施以及應對個資外洩事件，每一個環節都至關重要。

診所行政人員的法律責任與個資保護不僅僅是遵守法規，更是對病患隱私權益的尊重與保障。 唯有不斷提升風險管理意識，加強員工教育訓練，才能真正落實個資保護，為病患提供更安全、更安心的醫療服務。

本指南希望能成為您在診所行政人員法律責任與個資保護道路上的得力助手。 請務必將這些知識融入日常工作，共同守護病患的個人資料，為診所的永續經營奠定堅實的基礎。讓我們一起努力，打造一個值得信賴的醫療環境！

更多資訊可參考 診所護理師執業風險與法律責任

更多資訊可參考 診所法律眉角多？避免常見營運違規的地雷區

診所行政人員的法律責任與個資保護 常見問題快速FAQ

診所行政人員在個資保護方面的主要責任是什麼？

診所行政人員負責保護病患的個人資料安全，遵守個資法相關規定，並在發生個資外洩事件時採取適當的應變措施。

診所違反個資法可能面臨哪些法律責任？

診所可能面臨民事賠償責任、刑事責任以及行政責任，包括罰鍰、停止蒐集或處理個資等。

診所如何確保符合個資法的告知與同意要求？

診所應充分告知病患個資蒐集的目的、類別、利用方式等，並取得病患明確的書面或電子同意。

發生個資外洩事件時，診所應如何應對？

診所應立即啟動應變計畫，控制損害，通知當事人及主管機關，並詳細記錄事故。

診所如何提升個資保護的效能？

診所應建立完善的風險管理機制，定期進行風險評估，並加強員工的個資保護教育訓練。

診所的個資保護風險管理應包含哪些層面？

風險管理應涵蓋技術層面（如資訊系統安全）、流程層面（如資料蒐集規範）和人員層面（如權限控管）。

員工訓練在個資保護中扮演什麼角色？

員工訓練可以提升員工的個資保護意識和技能，使其瞭解相關法規、安全操作方法和應變流程，以減少人為疏失。

診所應多久進行一次個資保護教育訓練？

新進員工到職時應接受至少3小時的資訊安全相關訓練，並要求員工每年至少接受3小時的資安教育訓練課程。

最小化原則是什麼？

最小化原則指只蒐集與特定目的直接相關的個人資料，避免過度蒐集。

如果病患不同意診所蒐集個資會怎麼樣？

如果病患不同意，診所應停止蒐集相關個人資料，並評估是否影響醫療服務的提供，在不違反醫療常規下尊重病患意願。