醫療個資共享之法制問題探討
醫療法;個人資料保護法;醫療機構電子病歷製作及管理辦法
僅供委員問政所需參考
                        

                        
                            不代表本院意見或立場
                        

                    
                

            
        

        
            編號：2322
        

        
            議題研析
        

        
            
            一、題目：醫療個資共享之法制問題探討
        

        
            二、議題所涉法規
        

        醫療法、個人資料保護法、醫療機構電子病歷製作及管理辦法

        
            三、背景說明
        

        （一）據報載，自2020年7月起，中華民國人壽保險商業同業公會（下稱壽險公會）利用區塊鏈技術，打造保險科技運用共享平臺，並於2021年將系統延伸至醫院，推出「保險理賠醫起通」服務。民眾可授權醫院，透過上開平臺，將醫療單據資料直接傳送指定之保險公司，即可完成理賠申請。目前總計已有19家醫院25個院區加入該服務，涵蓋全國半數醫學中心[footnoteRef:1]。 [1:  郝充仁，理賠醫起通   翻轉保險服務，經濟日報，2023年11月23日， 第A4版。] 


        （二）保險科技運用共享平臺係由金融監督管理委員會保險局指導壽險公會與保險業者所共同建置。該平臺讓保戶理賠可透過保險業務員行動裝置、保險公司官網或壽險公會保險存摺「一站申請、多家受理」；合作醫療院所亦可將診斷證明、醫療費用證明等就診資料，線上傳送保險公司作為理賠申請文件，以降低保險理賠所需時間及成本[footnoteRef:2]。論者認為上開服務雖可降低醫院與保險公司之行政成本，並加速醫院對於健康資料之運用，有助於預防保健、健康管理及醫療保險之結合。然因國人對於健康資料保護之信賴文化尚未成熟，仍應儘速健全資料隱私及安全相關法規之建置[footnoteRef:3]。 [2:  謝方娪，壽險公會保險理賠醫起通  最快1、2年實現出院即理賠，中央社，2023年7月4日，國內財經。]  [3:  郝充仁，同註1。] 


        
            四、探討研析
        

        
             (一) 
            病歷及健康資訊之保密義務
        

        司法院釋字第585號理由書及第603號解釋指出，隱私權乃為不可或缺之基本權利，而受憲法第22條所保障。不法侵害他人隱私者，原則上除保密為醫療契約之附隨義務，而應負債務不履行之損害賠償責任外，亦構成民法第184條第1項前段[footnoteRef:4]之侵權行為，並有第195條第1項[footnoteRef:5]之非財產上損害賠償責任。另醫師無故洩漏因業務知悉或持有之他人秘密者，尚可能涉及刑法第316條[footnoteRef:6]之洩漏業務上知悉他人秘密罪。 [4:  民法第184條第1項：「因故意或過失，不法侵害他人之權利者，負損害賠償責任。故意以背於善良風俗之方法，加損害於他人者亦同。」]  [5:  民法第195條第1項：「不法侵害他人之身體、健康、名譽、自由、信用、隱私、貞操，或不法侵害其他人格法益而情節重大者，被害人雖非財產上之損害，亦得請求賠償相當之金額。其名譽被侵害者，並得請求回復名譽之適當處分。」]  [6:  刑法第316條：「醫師、藥師、藥商、助產士、心理師、宗教師、律師、辯護人、公證人、會計師或其業務上佐理人，或曾任此等職務之人，無故洩漏因業務知悉或持有之他人秘密者，處一年以下有期徒刑、拘役或五萬元以下罰金。」] 


        查醫師法第23條[footnoteRef:7]明定，醫師除受有關機關詢問或委託鑑定外，對於因業務知悉或持有他人病情或健康資訊，不得無故洩露；醫療法第72條規定：「醫療機構及其人員因業務而知悉或持有病人病情或健康資訊，不得無故洩露」。另查傳染病防治法第10條規定：「政府機關、醫事機構、醫事人員及其他因業務知悉傳染病或疑似傳染病病人之姓名、病歷及病史等有關資料者，不得洩漏」；人類免疫缺乏病毒傳染防治及感染者權益保障條例第14條亦規定：「主管機關、醫事機構、醫事人員及其他因業務知悉感染者之姓名及病歷等有關資料者，除依法律規定或基於防治需要者外，對於該項資料，不得洩漏。」準此，醫療機構及醫事人員對於民眾之病歷及健康資訊，依法皆負保密義務。 [7:  醫師法第23條：「醫師除依前條規定外，對於因業務知悉或持有他人病情或健康資訊，不得無故洩露。」] 


        
             (二) 個人資料之蒐用限制規範
        

        按民眾之病歷、醫療及健康檢查資料，皆屬個人資料保護法（下稱個資法）第2條第1款[footnoteRef:8]之「個人資料」（下稱個資）。依同法施行細則第4條第1項、第2項及第5項規定，所稱病歷個資，指醫療法第67條第2項[footnoteRef:9]所列各款資料；醫療個資，指病歷及其他由醫師或其他之醫事人員，以治療、矯正、預防人體疾病、傷害、殘缺為目的所為之診察及治療，或基於診察結果所為處方、用藥、施術或處置所產生之個資；健康檢查個資，指非針對特定疾病進行診斷或治療之目的，而以醫療行為施以檢查所產生之資料。 [8:  個資法第2條第1款：「本法用詞，定義如下：一、個人資料：指自然人之姓名、出生年月日、國民身分證統一編號、護照號碼、特徵、指紋、婚姻、家庭、教育、職業、病歷、醫療、基因、性生活、健康檢查、犯罪前科、聯絡方式、財務情況、社會活動及其他得以直接或間接方式識別該個人之資料。」]  [9:  醫療法第67條第2項：「前項所稱病歷，應包括下列各款之資料：一、醫師依醫師法執行業務所製作之病歷。二、各項檢查、檢驗報告資料。三、其他各類醫事人員執行業務所製作之紀錄。」] 


        依個資法第6條第1項規定，前開（特種）個資除所列各款情形外，原則上不得蒐集、處理與利用，縱「經當事人書面同意」，若逾越特定目的之必要範圍，亦不得為之；同條第2項並明定，前開個資之蒐用，準用同法第8條、第9條規定，應向當事人告知有關事項[footnoteRef:10]。 [10:  個資法第6條：「有關病歷、醫療、基因、性生活、健康檢查及犯罪前科之個人資料，不得蒐集、處理或利用。但有下列情形之一者，不在此限：……六、經當事人書面同意。但逾越特定目的之必要範圍或其他法律另有限制不得僅依當事人書面同意蒐集、處理或利用，或其同意違反其意願者，不在此限（第1項）。依前項規定蒐集、處理或利用個人資料，準用第八條、第九條規定；其中前項第六款之書面同意，準用第七條第一項、第二項及第四項規定，並以書面為之（第2項）。」] 


        另查醫療法第69條[footnoteRef:11]及其授權訂定之醫療機構電子病歷製作及管理辦法第18條第1項、第19條第1項本文規定[footnoteRef:12]，中央主管機關或經中央主管機關認可之機關及公、私立機構，得設置電子病歷交換平臺，供醫療機構進行跨機構電子病歷交換或利用；醫療機構依該交換平臺為電子病歷交換或利用時，應經病人同意，始得為之。準此，電子病歷於醫療機構之跨機構交換或利用，除須經病人同意，依該辦法第21條規定[footnoteRef:13]，相關個資之保護亦適用個資法、醫院個人資料檔案安全維護計畫實施辦法及其他相關法令之規定。 [11:  醫療法第69條：「醫療機構以電子文件方式製作及貯存之病歷，得免另以書面方式製作；其資格條件與製作方式、內容及其他應遵行事項之辦法，由中央主管機關定之。」]  [12:  醫療機構電子病歷製作及管理辦法第18條第1項：「中央主管機關或經中央主管機關認可之機關及公、私立機構，得設置電子病歷交換平臺，供醫療機構進行跨機構電子病歷交換或利用。」；第19條第1項：「醫療機構依前條第一項交換平臺為電子病歷交換或利用時，應經病人同意，始得為之。但病人情況緊急，無法取得或未能及時取得同意者，不在此限。」]  [13:  醫療機構電子病歷製作及管理辦法第21條：「電子病歷個人資料之保護，本辦法未規定者，依個人資料保護法、醫院個人資料檔案安全維護計畫實施辦法及其他相關法令之規定。」] 


        
            (三)醫療個資共享之法制問題
        

        司法院釋字第603號解釋揭示：「隱私權乃為不可或缺之基本權利，而受憲法第22條所保障。其中就個人自主控制個人資料之資訊隱私權而言，乃保障人民決定是否揭露其個人資料、及在何種範圍內、於何時、以何種方式、向何人揭露之決定權，並保障人民對其個人資料之使用有知悉與控制權及資料記載錯誤之更正權。」準此，個資非經本人之許諾，應不得任意蒐集、儲存、運用及傳遞；若基於公益目的而有限制該權利之必要，必須符合憲法規範之要求。

        現行醫療法第74條規定：「醫院、診所診治病人時，得依需要，並經病人或其法定代理人、配偶、親屬或關係人之同意，商洽病人原診治之醫院、診所，提供病歷複製本或病歷摘要及各種檢查報告資料。原診治之醫院、診所不得拒絕；其所需費用，由病人負擔。」查其規範意旨雖為定明轉診病人之原診治醫院、診所有提供病人病歷資料之義務，以利接受轉診醫院、診所之診斷，並避免不必要之重複檢查，節省病人之時間及金錢。惟所定「得依需要」蒐用民眾病歷及醫療個資之要件，似有易致濫用而與憲法第23條「比例原則」未符之疑慮。

        另壽險公會推動「保險理賠醫起通」服務，民眾固可於線上簽署授權書，並指定就醫科別、區間及種類，由該公會傳送醫院驗證確認後，透過保險科技運用共享平臺將自身醫療資料提供保險公司使用[footnoteRef:14]。惟查醫療機構將民眾醫療個資提供非屬醫療機構之保險業者，縱「經當事人書面同意」，其個資利用行為，恐亦有逾越醫療特定目的之必要範圍，而與前開個資法規範未合之疑慮。 [14:  謝方娪，保險理賠醫起通2.0年底上線 台大醫北榮長庚可望加入，中央社，2023年5月28日，國內財經。] 


        按美國業於1996年通過「健康保險可攜性與責任法」（Health Insurance Portability and Accountability Act, HIPAA），用以改善醫療保險市場上個人與團體醫療資訊之移轉可能性及繼續性。經查該法除適用對象涵蓋醫療機構、保險業及健康照護機構，且就醫療資訊之應用（交換）機制、資訊安全及隱私保護定有詳盡規範，並明定相關授權使用與揭露，以及最小必要資訊使用等原則[footnoteRef:15]，當可作為我國研修醫療個資共享法規之參考借鏡。 [15:  呂昭芬，〈論醫療資訊電子化與隱私權之保護－以美國為借鑑〉，《軍法專刊》，第64卷，第2期，2018年4月，頁131-132。] 


        撰稿人：彭文暉

        1