個人資料保護法 - 現行法制 - 我國之現況 - 醫學研究與個人資料保護--以日本疫學研究為中心

5. 我國之現況

5.1 現行法制

5.1.1 個人資料保護法

5.1.1.1 現有條文之問題

按個資法所保護之個資，依其第 2 條為自然人之姓名、出生年月日、國民身分證統一編號、護照號碼、特徵、指紋、婚姻、家庭、教育、職等、病歷、基因、性生活、健康檢查、犯罪前科、聯絡方式、財務情況、社會活動及其他得以直接或間接方式識別該當個人之資料。第 6 條則參照 EU 指令第 8 條第一項⁶⁴，將有關醫療、基因、性生活、健康檢查及犯罪前科等五項個

64 1995 年歐盟 EU 指令（Directive 95/46/EC of the European Parliament and of the Council

資，列為特別保護之對象，除有但書所列事由外，原則上禁止蒐集、處理及利用。因上開五項資料為私密性極高，一般人不欲為外人所知之敏感性資料，故特別立法加強保護。同條第一項但書第四款則定明：公務機關或學術研究機構，基於醫療、衛生或犯罪預防之目的，為統計或學術研究有必要時，例外得蒐集、處理或利用上開高敏感性特種個資。受適用除外者限於公務機關或學術研究機構，未及於個人；且限於為醫療、衛生或犯罪預防之目的而進行之統計或學術研究，始得不受個資法規範。

如此立法所造成之問題如下：

首先，如上述其適用主體僅限為「學術研究機構」未包含個人，故個人學術研究者並無上開例外事由之適用；換言之，個人學術研究者無法基於醫療、衛生、或犯罪預防目的、或公共利益為統計或學術研究而蒐集、處理或利用個資。為何限制個人之研究者，其立法理由僅說明以：為避免寬濫，僅限制學術研究機構基於公益而有必要者，始得為之。如此對個人學術研究之自由加以限制是否妥當？並非無商榷之餘地。

其次，「醫療」資料與「病歷」資料之差別，前開第 6 條規定，將「醫療」資料列為敏感性特種資料，而病歷則被排除在外；查醫療法第 67 條第一項：醫療機構應建立病歷，第二項則規定病歷應包括下列資料：1.醫生依醫師法執行業務製作之病歷；2.各項檢查、檢驗報告資料；3.其他各類醫事人員執行業務所製作之紀錄。再查醫師法第 12 條第二項、第三項規定，病歷除應載明病人姓名、出生年月日、性別及住址外，其內容至少應載明就診日期、

主訴、檢查項目及結果、診斷或病名、治療處置或用藥等情形，以及其他應記載事項。有關醫療之個資為何？並未有任何相關法律定義，如依字面解釋，個人醫療資料應指醫療機關在對個人進行醫療行為時所紀錄之資料。而

of 24 October 1995 on the protection of individuals with regard to the processing of per-sonal data and on the free movement of such data），第 8 條第一項將個人有關健康等資料列為敏感性（sensitive）資料，原則上禁止蒐集、處理。我國個資法第 6 條亦將有關醫療、基因、健康檢查之個人資料，列為敏感性特種資料。

所謂「醫療行為」於現行醫事法規中則未作任何定義規定，依衛生署歷年函釋一貫解為：指凡以治療、矯治或預防人體疾病、傷害、殘缺為目的所為之診療、診斷及治療；或基於診療、診斷之結果，以治療為目的所為之處方、

用藥、施術或處置等行為之全部或一部之總稱⁶⁵。自上述相關法令觀之，病歷為醫療機構之醫生或其他醫事人員因執行業務所製作有關病人之紀錄，而醫療行為則未限定醫療機構之醫事人員所為業務上行為，而係以行為目的及施行行為為要件⁶⁶，故而依此衍生之個資種類、範圍應較病歷廣泛，病歷應為其中主要內容。在醫學研究上病歷更常是重要材料，日本亦將病歷視為疫學研究中之既存資料⁶⁷，但前述第 6 條卻未將病歷列舉入內，以後對病歷之蒐集，研究者勢必須依個資法第 8 條或第 9 條告知當事人；且公務機關須依同法第 15 條第二款經當事人書面同意，非公務機關須依第 19 條第一項第一款法律有明文規定或第五款經當事人書面同意、如為研究機構則依同條第四款須基於公共利益為統計或學術研究而有必要，取得經匿名化處理後之病歷，如此一來，利用病歷之要件不同於其他醫療資訊，又無法為疫學上之長期追蹤研究，顯有未妥。

又個資法有關規範學術研究之條文，除第 6 條第一項第四款對學術研究機構蒐集、處理或利用醫療、健康檢查等敏感性個資作特別規定外；對其他個資，公務機關之學術研究機構依第 16 條但書第四款，非公務機關依第 19 條第一項第四款、第 20 條第一項但書第五款，均得於「資料經提供者處理後或蒐集者依其揭露方式無從識別特定當事人」要件下，無須當事人同意，以基於公共利益為學術研究有必要之理由，蒐集、處理、利用個資，甚至為原定目的外之利用。據此研究機構可能在研究對象完全不知情之狀態下，以學

65 行政院衛生署 81 年 8 月 11 日衛署醫字第 8156514 號函、91 年 2 月 8 日衛食字第 091002479 號函、同年 8 月 27 日衛署醫字第 0190047110 號函。另參見郭吉助，「論醫事法律上之醫療行為⎯⎯由法制面談起」，台北榮民總醫院網站：http://homepage.

vghtpe.gov.tw/～ged/listn_a122.htm/（最後點閱時間：2011 年 10 月 31 日）。

66 郭吉助，同前註，頁 1。

67 増井徹、高田容子，前揭註 59，頁 115。

術研究為名目，大量蒐集、處理或利用個人資料，嚴重悖離個資法之立法意旨，而引起學者之批判⁶⁸。按疫學研究雖為一般人承認公益性高之研究，但仍須尊重研究對象之資訊自主權，如本文前 4.1.4 所述，吾人參酌日本疫學研究倫理，其仍以取得研究對象 IC 為原則，即使得以簡略方式或免除取得 IC 者，係限於無法取得 IC，且必須得到倫理審查委員會承認、研究機關首長之許可，並公開有關研究之資訊要件下；亦即配套以倫理委員會監督及透明化資訊方式，盡可能保障研究之正當、合法進行；上開制度之設計，不僅在疫學研究上，於其他領域之學術研究實亦具有參考之價值。

綜上，因應醫學研究領域所涉及個資之特性、對研究對象影響等，進行研究時取得個資之方式，實有採強度、密度不同規範之必要性，鑑此我國現行個資法似乎未作周延之設計與立法，造成未周全保護研究對象權利之缺失，又有嚴重衝擊醫學研究機構或個人研究之問題。

5.1.1.2 最近修法之動向

以下就法務部最近之個資法修法動向⁶⁹與本文主題有密切關連者，在此簡述之：1.修正草案中已將病歷納入為第 6 條敏感性特種資料；此部分已解決病歷未列入敏感性特種資料引發之疑慮，但也同時壓縮病歷可得利用之空間。2.同條第一項第四款後段，原條文之「經一定程序所為蒐集、處理或利用之個人資料」，草案修正為「資料經過提供者處理後或蒐集者依其揭露方式無從識別特定之當事人」；並刪除同條第二項「前項第四款個人資料蒐集、處理或利用之範圍、程序及其他應遵行事項之辦法，由中央目的事業主管機關會同法務部定之」規定。換言之，草案新修正條文對統計或學術研究用敏感性特種資料，只要提供者提供時，或蒐集者揭露時，已經匿名化處

68 劉靜怡，「不算進步的立法：『個人資料保護法』初步評析」，月旦法學雜誌，第 183 期，頁 153（2010）。

69 本文所述之個資法修正草案係指法務部於 2012 年 8 月 31 日公布在其網站上之資訊，參見個人資料保護法部分條文修正草案總說明及條文對照表，法務部網站：

http://www.moj.gov.tw/ct.asp?xItem=279906&ctNode=28007&mp=001 （最後點閱時間：2012 年 11 月 10 日）。

理，即不受第 6 條之限制；至於其蒐集、處理或程序，在公務機關部分將來應以行政規則定之；學術研究機構則得由其中央目的事業主管機關依個資法第 27 條第二項規定，指定非公務機關訂定個人資料檔案安全維護計畫等即可。3.又為貫徹大法官釋字第 603 號解釋所揭示個人對自己資料之自主控制權為憲法保護之基本權意旨，於草案新修條文條第一項但書另加入第六款：

經當事人書面同意，及第五款公益條款之例外規定；顯有意放寬第 6 條但書之適用範圍。

依上開修正條款於疫學研究上，進行研究之公務機關或學術研究機構，

今後除依同項第 4 款將資料經匿名化處理後，得蒐集、處理或利用研究對象之檢體、病歷等資料外，尚可以得到研究對象之書面同意方式為蒐集等；此款例外規定之增訂應可解決疫學研究上須長期對特定研究對象追蹤而無法以匿名化處理之個人資料之問題。但應注意者，修正草案本條將原第二項刪除，新定為：依前項但書規定蒐集、處理或利用個人資料，準用第 8 條、第 9 條規定；其中第六款之書面同意，並準用第 7 條規定；申言之，原未增訂本項時，因個資法第 8 條、第 9 條有關直接及間接蒐集個資之告知本人規定，為公務機關依同法第 15 條、非公務機關依第 19 條蒐集敏感性特種個資以外個資之要件，故留下有將第 6 條解為蒐集敏感性個資無須向當事人告知之空間，形成敏感性個資之蒐集反較一般個資更不尊重、保護當事人之不合理現象，現修正草案中特別作上述第二項之增訂，是合理之修法。

再依個資法立法理由說明：本法之性質應為普通法，其他特別法有關個資蒐集或利用之規定，不論較本法規定更為嚴格或寬鬆者，依特別法優於普通法之法理，自應優先適用各該特別規定。前述個資法第 6 條第一項但書第一款亦明定：法律有明文規定得蒐集、處理或利用敏感性特種個資之例外事

在文檔中醫學研究與個人資料保護--以日本疫學研究為中心 (頁 34-39)