第四章 強化醫療資訊隱私權利保護(一)
第三節 小結
第一項 落實資訊安全管理
「個人資料保護法」立法目的在於防止個人因為資料受濫用或不 當揭露而造成人格權之侵害，因此對於個人資料的保護應該基於「預 防原則」109。亦即在資料蒐集利用等過程中，應該就可能出現的隱私 侵害實施主動的保護措施。正如林子儀大法官於釋字第 603 號解釋協 同意見書：「本案令人尤其疑懼之處，在於立法部門對此一影響重大 的決策欠缺民主程序中必要的審議思辯在先，而行政部門亦難以提出 得確保資訊安全管理及正當使用的機制在後。」
而許宗力大法官與曾有田大法官在同案之協同意見書亦強調保 護措施之重要：「其次，資訊科技之發達，固使國家得以更快速、方 便的自動化方式蒐集、儲存、利用與傳遞個人資訊，但同時也使儲存 於國家資料庫中之個人資訊處於外洩或遭第三人竊取、盜用之更大風 險中。是基於基本權的保護義務功能，國家有義務採取適當之組織與 程序上保護措施，使個人資訊隱私權免於遭受第三人之侵害。同時基 於當代資訊科技發展之開放性，國家並有義務不斷配合資訊科技發展 的腳步，採取隨科技進步而升級之動態性的權利保護措施，以有效保 護人民之資訊隱私權。」。
為資訊持有機構內部對於資訊安全管理的措施，在機構中可能接 觸或使用醫療資訊的人員相當多，其中包括進行醫療決策的醫師，輔 助醫療行為進行的其他醫事人員，負責資訊存取管理的資訊人員，協 助行政事務之處理，例如完成年度報表及分析之行政人員或進行保險 申報之人員等。又同為醫療人員，對於醫療資訊之存取使用，可能包 括現在仍進行治療中的病人或曾經接受診療的病人資訊等。因此，資 訊處理利用之授權、驗證或查核，為機構內部進行資訊安全管理必須 依層級需要而給予不同程度之授權，包含接觸資料的內容、範圍、時 間等等，以避免不當流用。
除了內部的安全管理外，在 ISO 標準中也強調當資訊需傳輸給第 三方時，安全管理的範圍必須延伸至第三方，這也如同歐盟要求會員 國將資料傳輸給非會員國時，該會員國必須有符合歐盟資訊保護的法
109 李惠宗，「個人資料保護法上的帝王條款—目的拘束原則」，法令月刊，64 卷 1 期，頁 48，
2013 年 1 月
87
制之原則，唯有在安全管理機制與法制一致化，才能真正落實資訊安 全管理。
第二項 標準化管理法制化
電子病歷發展伴隨而來的是資訊安全及隱私保護之疑慮。2008 年 行政院衛生署提出「電子病歷資訊安全強化案」中曾提及「ISO 27001：
2005 為目前國際公認最完整之資訊安全管理系統驗證標準，醫院資 訊作業若通過 ISO 27001：2005 標準驗證，無疑可提升民眾對醫院電 子病歷作業之接受度及信賴度」110，擬藉由提供醫院資訊安全種子人 員培訓、教育訓練及 ISO 27001:2005 驗證服務等措施，鼓勵醫院自 主導入 ISO 27001:2005，強化電子病歷之資訊安全。由該專案可知，
我國於發展電子病歷過程中，對於參與機構的內部資訊安全管理與民 眾隱私權維護的重視，並且肯認資訊安全管理標準 ISO 27001:2005 的 執行，確實能保障個人資訊隱私；但由於僅採鼓勵方式而非納入法規 強制要求依該標準辦理，倘若在全面實施電子病歷時，缺少適當的法 規作為規範保護的依據，如此對資訊隱私侵害的保障必然不足；機構 內部資訊管理的強度若缺少外部法規的規範，僅僅依賴企業社會責任 以及機構自覺作為資訊安全管理的動力，民眾對於醫療資訊隱私侵害 的疑慮將難以消除。
正如 ISO 29100 隱私框架對於隱私安全防護需求中首要考量的就 是法規的要求，機構對於個人資訊安全的保護措施必須符合法令，透 過外部法令之管制來進行內部安全防護系統。若缺少外部法令明確而 且有力的規範，內部安全防護系統也將可能因為機構考量人力物力成 本而削減，這就是他律與自律的結合，兩者間是密不可分。
第三項 建議
落實資訊安全管理標準化，建立符合國際標準要求之管理系統，
在 HFMEA 資訊安全問題的類別中，總 RPN 值由 1122 降低至 438，
改善率為 61%，而依八二法則選取之資安問題類別項目總 RPN 值則 由 899 下降至 291，改善率為 67.6%。健全資訊安全管理措施為保障 個人資料隱私之基礎，當個人資料受到的保護越完善，隱私保障越周
110 參閱衛生福利部電子病歷推動專區網站：http://emr.mohw.gov.tw/doc/電子病歷資訊安全強化 案 RFP.pdf，最後瀏覽日 2015 年 10 月 31 日
88
全，個人也越放心讓資料做最適當之使用；反之，若資訊安全管理措 施無法具體化而流於形式，資訊遭濫用與不當暴露的可能性就越高；
由於隱私受侵害可能性增加，民眾不信任資料管理者，也就不願意將 個人資料提供，在日本被稱為「過剩反應」111。若資料的使用是屬於 法規中不需取得當事人同意即可使用的情形，更將造成人民對於機關 甚至於法規之不信任。而這種情形，在政府推廣雲端建設或電子病歷 交換等計畫時，更是凸顯安全管理規範的重要性。
如前項所述，我國於「個人資料保護法」中要求機關對於資料之 管理必須有安全措施，而施行細則也參考國際資訊安全管理標準，將 資訊安全管理的項目納入其中，但僅為參考作法缺少強制性，也無認 證查核之機制，在實務上只能在發生隱私侵害時才會進行檢視，做為 機關是否有善盡資料保護責任之參考，對於提供資料隱私主動保護並 不足夠，特別是對於特種資料如醫療資訊之保護更顯不足。
雖然 ISO 標準化的條文是使用於機構的管理，於醫療資訊安全管 理及隱私權保護，可以政府作為資訊管理機構，各醫療院所為機構之 合作部門，以契約或立法來規範雙方之義務，厲行資訊安全管理程序，
醫療機構及政府均須符合安全管理要求方能進行電子病歷之傳輸(如 BS 10012 4.8.3 data sharing 之要求)；安全管理之達成可藉由標準化認 證或由評鑑方式達成。於各項行政通報，第三方也需符合資訊安全管 理品質之要求(BS 8.15 disclosure to third party)，如此方能讓資訊安全 風險降低。
建構安全的資訊系統，有賴於管理者的支持與決心，在 ISO 27002、
ISO 27002、或是 ISO 27799 中皆強調此重要性。此要件不僅適用於機 構，也適用於政府對於資訊安全管理的政策；參考國際標準的方法、
原則與框架，將其應用於資訊保護的規範，將有利於資訊安全需求與 保護標準的一致性，如此他律與自律的連結也更為緊密，將可營造更 讓人民信賴的資訊安全環境，方能達到「個人資料保護法」第 1 條促 成個人資料合理利用的目標。
個人隱私權的保護主要依賴法律涵蓋的密度而決定，無論是 ISO 27001 或是 BS 10012 的資訊安全管理皆以法律規定為依歸，意即在 法律許可之範圍內，機構可裁量資訊安全的層次。「個人資料保護法」
111 張永宏，「試評個人資料保護法適用上的幾個問題」，月旦裁判時報，第 31 期，頁 61，2015 年 1 月
89
對於資訊保護的規定應更明確，而非於資訊權利受損時處罰，應加強 處理資訊之機構於內部管理之義務，方可落實保護資訊權利。本文建 議持有管理特種資訊之機關，應賦予更高之責任，將「個人資料保護 法」施行細則第 12 條內容，列為允許進行特種資料蒐集、處理與利 用之必要條件，輔導進行標準化之認證，經由常規之查核，以確保安 全維護措施之正常運作。對於「個人資料保護法」第 48 條違反實施 安全措施要求之處罰，應涵括所有機關，如此方能強化公務機關或非 公務機關對於資訊安全管理的責任。
90
91
第五章 強化醫療資訊隱私權利保護(二)
—授權同意與限制
第一節 說明同意與授權
在個人資料的蒐集、處理與利用上，當事人同意之意義在於表彰 個人對於個人隱私的自主控制，為隱私保護的基礎。我國關於資訊蒐 集使用的告知或同意，是採法律保留的方式，由立法者先行制定，因 此需要受到較高密度的保護規範。在醫療行為進行時，充分的蒐集醫 療資訊為進行正確診治的必要過程，但一般醫療行為蒐集醫療資訊的 過程，由 HFMEA 結果分析，有將近四成是因違反同意規定而侵犯現 行所賦予個人的資訊權利，是除了安全管理措施外，佔率次高的部分；
如何調和資訊權利與順行醫療行為，能兼顧隱私與醫療品質，將是本 章討論的重點。
第一項 問題分析
授權同意相關問題包含醫療照護、健保資料庫使用、研究與遠距 照護等進行時之同意。由 RPN 分項類別之占率排序(如圖十二)可知，
為了進行醫療行而需蒐集、利用醫療資訊時造成的授權同意問題最高，
其中多屬醫療資訊間接蒐集，例如由雲端藥歷取得過去與現在用藥、
經由電子病歷平台查詢他院紀錄、同醫療體系內之醫院進行跨院查詢、
甚至是院內資料庫查詢，占 49%；其次為健保資料庫使用時的當事人 同意問題，整體占率為 33.5%，此部分主要涉及健保資料目的外使用 與資料去連結問題，因此將於第六章討論；其餘與研究相關之授權同 意約占 10%，遠距照護資料取得之授權同意占 7.6%，研究與遠距照 護之授權問題因為各失效原因之 RPN 值均小於 24，依八二法則暫時 排除於改善對策討論之範圍，因此暫不於此討論。