醫院個資外洩之法律責任與救濟

一、問題／事實整理（LawChain 原文）

當事人之公公因多重疾病（包括洗腎、末期腎衰竭、失智症及褥瘡等）住院治療約三個月後過世。住院期間，一名曾任職於該醫院但已退休之親屬，透過認識之護理人員，要求該護理人員將病患電腦病歷中關於傷口清創之紀錄拍照提供。此行為未透過合法管道取得，且該親屬並非病患之法定代理人或直系親屬。病患過世後，該親屬將所取得之病歷照片張貼於約二十人之家族群組中，並附加指控性言論。當事人本身亦任職於該醫院，因此事件受到名譽及精神上之損害。當事人欲了解護理人員及散布病歷者應負之法律責任，以及家屬是否可請求損害賠償。

資料來源：法律圈 LawChain

二、爭點

• 護理人員未經授權將病患病歷資料提供予第三人拍照，是否違反個人資料保護法及醫療法之保密義務？
• 取得病歷照片之人將其散布於群組並附加不實指控，是否另構成妨害名譽或侵害隱私權？
• 病患已過世，其個人資料之保護是否延續？家屬可否以自身名義主張權利？
• 醫院對於護理人員之違規行為是否應負監督管理責任？

三、相關法條

個人資料保護法第20條：非公務機關對個人資料之利用，應於蒐集之特定目的必要範圍內為之。

個人資料保護法第41條：意圖為自己或第三人不法之利益或損害他人之利益，而違反本法規定足生損害於他人者，處五年以下有期徒刑，得併科新臺幣一百萬元以下罰金。

醫療法第72條：醫療機構及其人員因業務而知悉或持有病人病情或健康資訊，不得無故洩漏。

刑法第310條：意圖散布於眾，而指摘或傳述足以毀損他人名譽之事者，為誹謗罪。

民法第195條：不法侵害他人之隱私者，被害人雖非財產上之損害，亦得請求賠償相當之金額。

四、涵攝分析

就護理人員之責任而言，病患之病歷資料屬於個人資料保護法所定義之「病歷」及「醫療」等特種個人資料，醫療機構及其人員僅得於執行醫療業務之必要範圍內使用，不得無故洩漏。護理人員應非相關親屬之請求，將電腦病歷拍照提供予該親屬，已明顯逾越其職務範圍，違反個人資料保護法第20條及醫療法第72條之保密義務。該護理人員可能面臨個人資料保護法第41條之刑事處罰（五年以下有期徒刑），以及醫療法相關之行政處分。

就散布者之責任而言，取得病歷照片後將其張貼於家族群組並附加指控性言論，可能構成：（一）個人資料保護法之違法利用個人資料；（二）刑法第310條誹謗罪（若所附言論足以毀損他人名譽）；（三）民法第195條侵害隱私權之侵權行為。即使病患已過世，散布其病歷資料之行為仍可能侵害在世家屬之名譽權及隱私權，特別是當散布行為附帶對家屬之不實指控時。

就醫院之責任而言，依民法第188條僱用人責任及個人資料保護法第29條之規定，醫院對於護理人員違法洩漏個人資料之行為，若未能證明已盡監督管理之義務，應與護理人員連帶負損害賠償責任。

五、結論與建議

結論：護理人員未經授權提供病歷資料供拍照，違反個資法及醫療法，可處刑事罰則。散布者另涉妨害名譽及侵害隱私。家屬得向護理人員、散布者及醫院請求損害賠償。

1. 保全群組中病歷照片及指控性言論之截圖證據，包括完整之對話紀錄、張貼時間及群組成員名單。
2. 向該醫院之醫療品質管理部門或院長室提出正式書面申訴，要求調查護理人員違規洩漏病歷之行為。
3. 向檢察機關對護理人員提出違反個人資料保護法之刑事告訴，對散布者提出妨害名譽及違反個資法之刑事告訴。
4. 同時向衛生主管機關檢舉醫院及護理人員違反醫療法第72條病歷保密義務之行為。
5. 委任律師提起民事訴訟，向護理人員、散布者及醫院請求精神慰撫金及其他損害賠償。