隨著社會對隱私權益的日益重視，隱私權保護：病人資料的保密與使用成為醫療機構和個人都不可忽視的重要課題。本文旨在說明醫療院所對病人資料所負擔的保密義務，以及相關的法律規範，進而提供診所實務上保護病人隱私的具體建議與方法。
在醫療過程中，您所提供的個人資料受到法律的嚴格保護。醫療機構及相關人員必須遵守《醫療法》、《個人資料保護法》等相關法規，確保您的病歷、檢查報告、用藥紀錄等資訊不被洩漏或不當使用。診所應建立完善的病人資料管理制度，例如設定嚴格的權限管理，限制只有相關人員才能存取特定資料；採用安全的資訊系統，定期更新與維護，以防範駭客入侵；並且加強員工的資安意識培訓，確保每個人都瞭解保密的重要性.
實務建議： 許多診所忽略了紙本病歷的管理，應注意妥善保管，避免隨意丟棄或放置於可輕易取得之處。定期檢視診所內的資訊安全措施，可以有效降低資料外洩的風險。
歡迎聯絡【展正國際法律事務所 黃偉琳律師】 Welcome to contact us
這篇文章的實用建議如下(更多細節請繼續往下閱讀)
- 建立並定期檢視診所的病人資料管理制度： 診所應建立完善的病人資料管理制度，包括紙本和電子病歷的管理，設定嚴格的權限管理，限制只有相關人員才能存取特定資料，並定期檢視與更新資訊安全措施，降低資料外洩的風險. 妥善保管紙本病歷，避免隨意丟棄或放置於可輕易取得之處.
- 強化員工資安意識與落實資訊安全防護： 加強員工的資安意識培訓，確保每個人都瞭解保密的重要性，並定期對員工進行安全意識培訓，內容涵蓋個資法規、釣魚郵件識別、密碼安全等. 採用安全的資訊系統，定期更新與維護，以防範駭客入侵，並實施資料加密、存取控制等技術.
- 了解並告知病人隱私權益： 醫療機構應清楚告知病人其在醫療過程中享有的隱私權利，包含資料蒐集的目的、利用範圍等，並取得病人的同意. 同時，建立良好的醫病溝通管道，確保病人充分了解自己的病情與治療方案，增強醫病互信，以降低醫療爭議的發生.
隱私權保護：病人資料使用之法律框架解析
在探討病人資料的保密與使用之前，我們必須先了解其背後所依循的法律框架。台灣的醫療體系受到多重法律規範的約束，旨在確保病人的隱私權受到充分保障，同時兼顧醫療服務的提供和公共利益的維護。以下將解析幾項關鍵的法律條文：
主要法律依據
- 《醫療法》：
《醫療法》第72條明確規定，醫療機構及其人員因業務而知悉或持有的病人病情或健康資訊，不得無故洩漏。這項條文確立了醫療人員對病人資料的保密義務，是隱私權保護的重要基石。
- 《個人資料保護法》：
《個人資料保護法》 (簡稱個資法) 規範了個人資料的蒐集、處理及利用，醫療資料屬於特種個資，受到更嚴格的保護。根據個資法，醫療機構在蒐集病人資料時，必須明確告知蒐集目的、利用範圍等事項，並取得病人的同意。此外，個資法也要求醫療機構採取適當的安全維護措施，防止資料被竊取、竄改、洩漏等。
- 《醫師法》：
《醫師法》也對醫師的專業倫理和保密義務有所規範，醫師在執行醫療業務時，應以病人福祉為優先，並保守病人祕密。
相關法規命令與行政規則
- 《醫療機構醫療隱私維護規範》：
衛生福利部（原衛生署）訂定了《醫療機構醫療隱私維護規範》，對醫療機構在病人隱私保護方面應注意的事項，做出了更詳細的規定。例如，規範要求醫療機構在進行病情說明、觸診等醫療行為時，應考慮到環境，儘量保護病人的隱私；在診療過程中，如需錄音錄影，應先徵得病人同意。
- 《醫院個人資料檔案安全維護計畫實施辦法》：
為加強醫院對於個人資料的保護措施，衛生福利部依據個資法第27條，訂定了《醫院個人資料檔案安全維護計畫實施辦法》。該辦法要求醫院建立對個人資料的管理、稽覈、保存及改善機制，以維護個人資料的安全性與正確性。
法律責任
違反上述法律規定，可能導致嚴重的法律後果：
- 民事責任：
若因醫療機構或人員的過失，洩漏病人資料，導致病人權益受損，病人可依民法請求損害賠償。
- 刑事責任：
若無故洩漏病人隱私，情節嚴重者，可能觸犯刑法。例如，刑法第315條之1對於無故以錄音、照相、錄影或電磁紀錄竊錄他人非公開活動、言論、談話或身體隱私部位者，亦定有刑責。
- 行政責任：
醫療機構若違反醫療法或個資法等相關規定，衛生主管機關可處以罰鍰、停業等行政處分。
數位醫療時代的挑戰
隨著數位醫療的發展，電子病歷、遠距醫療等新興應用越來越普及，病人資料的安全也面臨新的挑戰。醫療機構必須加強資訊安全防護，例如採用資料加密、權限管理等技術，防止駭客入侵。同時，也應定期對員工進行資安意識培訓，提高警覺性，避免因人為疏失導致資料外洩。
結語
病人資料的保密與使用涉及複雜的法律問題，醫療機構和醫療人員必須深入瞭解相關法規，並採取有效的措施，才能在保障病人隱私權的同時，促進醫療事業的發展。
隱私權保護：病人資料保密義務與實務案例分析
醫療機構及醫療人員對於病人的資料，在法律和倫理上都負有保密義務。這項義務不僅保護病人的隱私權，也是建立良好醫病關係的基石。以下將詳細說明保密義務的範圍、例外情況，並透過實務案例分析，讓您更瞭解如何避免觸法。
病人資料保密義務的範圍
- 保密範圍廣泛：保密範圍不僅限於病歷上的書面資料，還包括所有因業務而知悉或持有的病人資訊，例如：
- 個人基本資料：姓名、身分證字號、聯絡方式、住址等。
- 病情與健康資訊：病歷、檢查報告、診斷、治療計畫等.
- 其他隱私資訊：病人告知的個人家庭事務、交往情況等。
- 醫療影像：X光片等。
- 保密對象：保密義務的對象不僅是病人本身，還包括所有未經授權的第三人。
- 保密時間：保密義務不因醫療服務的結束而終止，即使病人已出院或過世，醫療機構和人員仍應持續遵守保密規定。
病人資料保密義務的例外情況
在某些特殊情況下，基於法律或公益考量，醫療機構或人員可能需要在一定限度內揭露病人資料。這些例外情況包括：
- 法律明文規定：例如，發現法定傳染病時，醫療機構必須依《傳染病防治法》向主管機關通報。
- 配合司法調查：當司法機關因偵辦案件需要，要求醫療機構提供病人資料時，醫療機構有義務配合。
- 保護第三人權益：當病人有自傷或傷人傾向時，為了保護病人本身或其他人的安全，醫療機構可以採取必要措施，例如通知家屬或警方。
- 經病人同意：如果病人同意醫療機構將其資料提供給特定對象或用於特定目的，醫療機構可以依其意願處理。
實務案例分析
近年來，國內外頻傳醫療機構洩漏病人資料的事件，以下列舉幾個案例，並分析其涉及的法律責任：
- 案例一：泰國醫院病歷遭濫用：泰國一間醫院因未妥善處理病患紙本資料，致使病歷單外流並被用來包裝街邊小吃，初步估計逾千份紙本病歷外洩，其中包含高度敏感的醫療資訊。
- 案例二：駭客攻擊竊取個資：來自中國的駭客組織CrazyHunter於2025年初，陸續針對台灣醫學中心發動系統性攻擊，竊取大量病患病歷、醫護人員個資及手術紀錄，並將之公佈於網路上。
- 案例三：員工違規查詢病歷：2025年5月，傳出某醫院呼吸治療師竟能查閱醫院內病人個資，凸顯院內管理出現問題。
法律責任：
- 《醫療法》：醫療機構及其人員無故洩漏病人資料，將處新台幣5萬元以上25萬元以下罰鍰。
- 《個人資料保護法》：非公務機關違反個資法規定，導致個人資料被不法蒐集、處理、利用，可能面臨民事損害賠償責任，每人每一事件可處新台幣500元以上2萬元以下賠償。
- 《刑法》：無故洩漏因業務知悉的他人祕密者，可能觸犯刑法洩漏業務上知悉他人祕密罪。
如何避免觸犯病人資料保密義務？
醫療機構和人員應採取以下措施，以確保病人資料的安全：
- 建立完善的管理制度：制定明確的病人資料管理政策，規範資料的蒐集、儲存、使用、傳輸和銷毀流程。
- 加強資安防護：
- 定期進行風險評估，檢視資訊系統的安全性，並及時修補漏洞。
- 實施嚴格的權限管理，限制員工對病人資料的存取權限。
- 採用資料加密、防火牆等技術，防止未經授權的存取和洩漏。
- 定期備份資料，以應對資料遺失或損毀的風險。
- 加強員工教育訓練：定期舉辦資安意識培訓，提高員工對病人資料保護的重視程度，並使其瞭解相關法律法規和醫院政策.
- 簽訂保密協議：要求所有接觸病人資料的員工簽署保密協議，明確其保密義務和責任。
- 建立申訴管道：設立病人隱私權申訴管道，及時處理病人的相關疑慮和投訴。
總結：
病人資料保密是醫療機構和人員的基本義務，也是對病人權益的尊重。透過瞭解保密義務的範圍和例外情況，並採取有效的保護措施，我們可以共同守護病人的隱私權，建立更安全、更值得信賴的醫療環境。此外，醫療機構也應該隨時關注最新的醫療資訊安全趨勢，例如區塊鏈技術在保護病人隱私方面的應用、以及遠距醫療帶來的資訊安全挑戰，並將這些最新的知識和技術轉化為診所可以實際應用的方法，幫助他們提升資訊安全防護能力。
隱私權保護:病人資料的保密與使用. Photos provided by unsplash
隱私權保護：診所如何落實病人資料保密措施？
在瞭解了病人資料保密的重要性與相關法規後，診所經營者和醫療人員最關心的，莫過於如何將這些知識轉化為實際行動，有效落實病人資料的保密措施。以下將提供一系列具體且可操作的建議，幫助診所建立完善的病人資料保護體系，守護病人的隱私權益。
建立完善的病人資料管理制度
一個完善的病人資料管理制度是診所落實保密措施的基石。這包括明確的資料蒐集、儲存、使用、傳輸和銷毀流程，以及相應的責任歸屬。
- 制定隱私政策：診所應制定清晰易懂的隱私政策，明確告知病人診所如何蒐集、使用和保護其個人資料。隱私政策應置於診所明顯之處，並於病人首次就診時提供。
- 取得病人同意：在蒐集病人資料前，務必取得病人的知情同意。同意書內容應包含蒐集目的、使用範圍、保存期限等重要資訊。
- 資料分類分級：將病人資料依敏感程度進行分類分級，例如病歷、檢查報告、用藥紀錄等，並針對不同等級的資料採取不同的保護措施。
- 定期審查與更新：定期審查病人資料管理制度，確保其符合最新的法規要求和最佳實務。
實施嚴格的權限管理
權限管理是防止未經授權存取病人資料的重要手段。診所應根據員工的職責範圍，設定不同的資料存取權限，確保只有必要人員才能接觸到相關資料.
- 最小權限原則： 遵循最小權限原則，僅授予員工完成其工作所需的最低權限。
- 角色基礎存取控制（RBAC）： 採用角色基礎存取控制，根據員工的角色而非個人身分來分配權限。
- 定期審查權限： 定期審查員工的權限設定，確保其仍然符合其職責需求。
- 存取紀錄追蹤： 建立完善的存取紀錄追蹤機制，記錄所有對病人資料的存取行為，以便於日後追蹤和稽覈。
採用安全的資訊系統
診所使用的資訊系統，如電子病歷系統、診所管理系統等，應具備完善的安全防護功能，防止資料外洩和駭客入侵.
- 選擇合格的供應商： 選擇信譽良好、具有資訊安全認證的供應商，確保其提供的系統符合相關安全標準.
- 定期更新系統： 定期更新系統和軟體，修補已知的安全漏洞.
- 資料加密： 採用資料加密技術，對儲存在系統中的病人資料進行加密，防止資料在未經授權的情況下被讀取.
- 防火牆設定： 設定防火牆，限制對診所內部網路的存取，防止外部惡意攻擊.
- 入侵偵測系統（IDS）： 部署入侵偵測系統，監控網路流量，及時發現並阻止潛在的入侵行為.
加強員工的資安培訓
員工是診所資訊安全防護的第一道防線。診所應定期對員工進行資安培訓，提高其資訊安全意識，使其瞭解病人資料保密的重要性，以及如何避免常見的資安風險.
- 定期培訓課程： 定期舉辦資安培訓課程，講解最新的資安知識和技能.
- 模擬釣魚演練： 進行模擬釣魚演練，提高員工識別釣魚郵件的能力.
- 密碼安全： 宣導密碼安全的重要性，要求員工使用高強度密碼，並定期更換.
- 行動裝置安全： 針對使用行動裝置處理病人資料的員工，加強行動裝置安全管理，例如設定螢幕鎖定、安裝防毒軟體等.
定期進行風險評估
診所應定期進行風險評估，識別潛在的資訊安全風險，並制定相應的應對措施.
- 識別資產： 識別診所內所有與病人資料相關的資產，包括硬體、軟體、資料庫等.
- 評估威脅： 評估可能對這些資產構成威脅的因素，例如駭客攻擊、病毒感染、內部人員疏失等.
- 評估漏洞： 評估資產中存在的安全漏洞，例如未修補的系統漏洞、弱密碼等.
- 制定應對措施： 根據風險評估結果，制定相應的應對措施，例如加強系統安全、改善管理流程等.
建立事件應變機制
即使採取了完善的防護措施，也無法完全避免資安事件的發生。診所應建立完善的事件應變機制，以便在事件發生時能夠迅速有效地控制損失，並儘快恢復正常運營.
- 成立應變小組： 成立由相關人員組成的應變小組，負責處理資安事件.
- 制定應變計畫： 制定詳細的應變計畫，明確各個階段的處理流程和責任分工.
- 定期演練： 定期進行應變演練，確保員工熟悉應變流程.
- 通報機制： 建立明確的通報機制，確保資安事件能夠及時上報.
落實病人資料保密措施是一項持續性的工作，需要診所經營者和全體員工的共同努力。通過建立完善的管理制度、實施嚴格的權限管理、採用安全的資訊系統、加強員工的資安培訓、定期進行風險評估和建立事件應變機制，診所可以有效地保護病人的隱私權益，贏得病人的信任，並在競爭激烈的醫療市場中脫穎而出.
| 措施 | 具體建議 | 說明 |
|---|---|---|
| 建立完善的病人資料管理制度 |
|
這是診所落實保密措施的基石，包括明確的資料蒐集、儲存、使用、傳輸和銷毀流程，以及相應的責任歸屬。 |
| 實施嚴格的權限管理 |
|
這是防止未經授權存取病人資料的重要手段。診所應根據員工的職責範圍，設定不同的資料存取權限，確保只有必要人員才能接觸到相關資料。 |
| 採用安全的資訊系統 |
|
診所使用的資訊系統，如電子病歷系統、診所管理系統等，應具備完善的安全防護功能，防止資料外洩和駭客入侵。 |
| 加強員工的資安培訓 |
|
員工是診所資訊安全防護的第一道防線。診所應定期對員工進行資安培訓，提高其資訊安全意識，使其瞭解病人資料保密的重要性，以及如何避免常見的資安風險。 |
| 定期進行風險評估 |
|
診所應定期進行風險評估，識別潛在的資訊安全風險，並制定相應的應對措施。 |
| 建立事件應變機制 |
|
即使採取了完善的防護措施，也無法完全避免資安事件的發生。診所應建立完善的事件應變機制，以便在事件發生時能夠迅速有效地控制損失，並儘快恢復正常運營。 |
隱私權保護：病人資料使用之常見問答
在醫療過程中，病人資料的保密與使用經常引起許多疑問。為了幫助您更清楚地瞭解您的權益和醫療機構的責任，以下列出一些常見問題及解答：
常見問題與解答
- 問題一：我有權利查看自己的病歷嗎？
- 問題二：如果我發現病歷上的資料有錯誤，可以要求更正嗎？
- 問題三：醫療機構可以將我的病歷資料提供給其他人嗎？
- 問題四：如果我認為醫療機構洩漏了我的病歷資料，我該怎麼辦？
- 醫療機構： 首先向該醫療機構的申訴部門或相關負責人反映。
- 衛生主管機關： 向當地衛生局提出檢舉。
- 個人資料保護委員會： 未來個資保護委員會成立後，可向該委員會提出申訴。
- 私隱專員公署 (香港)： 如果事件發生在香港，您可以向私隱專員公署投訴。
- 問題五：診所結束營業後，我的病歷資料會如何處理？
- 問題六：我可以拒絕醫療機構使用我的資料做研究嗎？
- 問題七：請問醫療機構在未經我同意下，可以使用我的個人資料作直接行銷嗎？
- 問題八：在遠距醫療中，我的資料安全有保障嗎？
- 問題九：如果我是未成年人，我的父母或監護人可以查看我的病歷嗎？
可以的！您有權利要求查閱、複製您的病歷資料。根據《醫療法》和《個人資料保護法》，醫療機構不得無故拒絕您的要求。您可以向醫院或診所提出申請，詳細瞭解查閱病歷的程序和費用。
原則上，醫療機構未經您的同意，不得將您的病歷資料提供給任何第三人。但為了公共衛生或法律的需要，例如傳染病防治、犯罪偵查等，醫療機構可能需要在符合法定程序下提供相關資料。此外，若您有保險理賠或其他需求，可以主動授權醫療機構提供病歷資料給特定對象。
如果您懷疑醫療機構洩漏了您的病歷資料，您可以向以下單位提出申訴：
您也可以尋求法律途徑，例如提起民事訴訟，要求損害賠償，或提出刑事告訴，追究相關人員的法律責任。
診所結束營業時，必須依照《醫療法》的規定，將病歷資料移交給其他醫療機構或衛生主管機關保管。您可以向原診所或當地衛生局查詢您的病歷資料的保管地點。
可以的！醫療機構若要將您的病歷資料用於學術研究，必須經過您的書面同意，並且經過醫院研究倫理委員會的審查。您可以隨時撤回您的同意。醫療機構必須尊重您的意願，不得強迫您參與研究。
不可以！根據《個人資料保護法》，醫療機構在未經您同意的情況下，不得使用您的個人資料進行直接行銷。如果您不
醫療機構在使用遠距醫療服務時，應採取適當的資訊安全措施，例如資料加密、身分驗證等，以確保您的病歷資料在傳輸和儲存過程中的安全。同時，醫 療機構也應告知您遠距醫療服務可能存在的風險，以及您的權益。
一般情況下，未成年病人的父母或監護人可以查閱其病歷資料。但若未成年人已具備足夠的理解能力，且涉及較為私密的醫療資訊（例如性病、墮胎等），醫療機構應尊重未成年人的意願，並在取得其同意後，才能將相關資料告知父母或監護人。
提醒您： 醫療機構有責任保護您的病人資料，您也有權利瞭解並維護自身的隱私權益。如果您對病人資料的保密與使用有任何疑慮，請隨時向醫療機構或相關主管機關諮詢。
隱私權保護:病人資料的保密與使用結論
在這個資訊爆炸的時代，隱私權保護：病人資料的保密與使用顯得格外重要。我們不僅回顧了醫療機構在法律和倫理上對病人資料的保密義務，也探討了相關法規和診所實務操作建議。更重要的是，我們提供了一系列實用的隱私保護方法，幫助您更好地守護自己的醫療資訊 。
守護病人資料的隱私權是一項持續性的工作，需要醫療機構和每位民眾的共同努力。只有當我們充分了解自身的權益，並積極採取保護措施，才能在這個數位時代安心就醫，享有完善的醫療服務。請記住，您的隱私權至關重要，讓我們一起為隱私權保護盡一份心力。
如果您對隱私權保護或病人資料保密有任何疑問或需要進一步的法律諮詢，
歡迎聯絡【展正國際法律事務所 黃偉琳律師】 Welcome to contact us
隱私權保護:病人資料的保密與使用 常見問題快速FAQ
問題一：醫療機構可以未經我同意將我的病歷資料提供給其他人嗎？
原則上，醫療機構在未經您的同意下，不得將您的病歷資料提供給任何第三人。但為了公共衛生或法律的需要，例如傳染病防治、犯罪偵查等，醫療機構可能需要在符合法定程序下提供相關資料。此外，若您有保險理賠或其他需求，可以主動授權醫療機構提供病歷資料給特定對象。
問題二：如果我懷疑醫療機構洩漏了我的病歷資料，我應該怎麼做？
如果您懷疑醫療機構洩漏了您的病歷資料，您可以向以下單位提出申訴：
- 醫療機構： 首先向該醫療機構的申訴部門或相關負責人反映。
- 衛生主管機關： 向當地衛生局提出檢舉。
您也可以尋求法律途徑，例如提起民事訴訟，要求損害賠償，或提出刑事告訴，追究相關人員的法律責任。
問題三：診所結束營業後，我的病歷資料會如何處理？
診所結束營業時，必須依照《醫療法》的規定，將病歷資料移交給其他醫療機構或衛生主管機關保管。您可以向原診所或當地衛生局查詢您的病歷資料的保管地點。
