Newsletter
憲法法庭認定全民健康保險資料庫對資訊隱私權之保障不足，應於三年內修法或制定專法改善
憲法法庭認定全民健康保險資料庫對資訊隱私權之保障不足，應於三年內修法或制定專法改善
莊郁沁
全民健康保險（下稱「健保」）資料庫爭議歷時十年，憲法法庭於2022年8月12日做出111年憲判字第13號判決（下稱「本判決」），認定個人資料保護法（下稱「個資法」）第6條第1項但書第4款並未違憲，但因個資法及全民健康保險法（下稱「健保法」）有其他對資訊隱私權保障不足之處，故應於本判決宣示之日起3年內修正相關法律或制定專法，以規範下列事項：
1. 建立個人資料保護之獨立監督機制；
2. 個人健保資料得由主管機關衛生福利部中央健康保險署（下稱「健保署」）建立資料庫及釋出個資之要件及管制等規定（即以資料庫儲存、處理、對外傳輸及對外提供利用之主體、目的、要件、範圍及方式暨相關組織上及程序上之監督防護機制等重要事項）；及
3. 當事人得請求停止利用之相關規定（關於此項，若逾期於3年內未修正或制定相關法律者，當事人得請求停止目的外利用其人健保資料）。
以下針對案件背景及本件憲法法庭判決理由要點及後續影響簡要說明：
一、案件背景
我國自1995年起實施健保制度，主管機關健保署為辦理健保業務多年來蒐集可觀的健保資料，包含個人健保資料。健保署前將健保資料委託財團法人國家衛生研究院（下稱「國衛院」）建置「全民健康保險研究資料庫」，自2000年起對外提供使用，但於2016年已終止對外提供。健保署並設有「全民健康保險人資訊整合應用服務中心」對外提供已透過加密演算法以假名化處理之健保資料。
本案聲請人（7位自然人）於2012年分別發函向健保署表示，拒絕健保署將其個人健保資料釋出給第三人，用於健保相關業務以外之目的，健保署拒絕其主張。聲請人嗣提起訴願、行政訴訟獲不利終局判決，乃於2017年聲請解釋憲法，請求宣告相關法規違憲。
二、判決理由要點
(一) 個資之認定：因健保資料為高敏感特種個資，具有高度個體差異，於客觀上仍可能以極端方式還原而間接識別特定當事人，此為科學上之事實，故個人健保資料無論為原始型態或經處理（如加密或匿名化），均必然仍屬「得直接或間接識別該個人」之資料，而屬個資法所保障之個人資料（下稱「個資」）。
此外，本判決亦提及若有可能將個人健保資料處理為完全不具還原識別可能性之匿名資料，該資料已非受憲法第22條資訊隱私權保障之個資，但已喪失可擇定變因交互比對、建立相關性之特性，故可能無從達成統計或學術研究目的。無論如何此種資料似已非本判決擬處理之對象。
(二) 重申及釐清個人自主控制個資之資訊隱私權：本判決重申隱私權受憲法第22條所保障，人民可決定是否及如何揭露其個資，且有利用前透過同意達成之事前控制權，及利用中、後之事後控制權，包括請求刪除、停止或限制利用個資之權利。
(三) 個資法第6條第1項但書第4款之規定並未違憲：該款規定高敏感特種個資得不經當事人同意而蒐集、處理或利用之例外情形為「四、公務機關或學術研究機構基於醫療、衛生……之目的，為統計或學術研究而有必要，且資料經過提供者處理後或經蒐集者依其揭露方式無從識別特定之當事人。」該款容許公務機關或學術研究機構為醫療或衛生之法定目的，蒐集、處理及利用個人健保資料，並規定相關要件，其意義尚屬得理解且能預見，亦得由司法審查加以認定及判斷，與法律明確性原則尚無違背。此外，其蒐集、處理及利用之目的限於醫療與衛生，且以透過統計或學術研究方式，而促成法定目的即醫療、衛生之發展，符合特別重要公益目的。此外，該款已要求採取去識別化措施之義務（雖仍可能還原識別），但手段已足以大幅降低可能所生侵害，故與比例原則無違。
(四) 應建立個人資料保護之獨立監督機制：就資訊隱私權之保障而言，應對所蒐集之個資採取組織上與程序上必要之防護措施，就此，個資保護之獨立監督機制為重要之關鍵制度。尤其個人健保資料業已逸脫個人控制範圍，如何避免其不受濫用或不當洩漏，更有賴獨立機制之監督，以確保具體情狀是否合於比例原則。但由個資法暨其他相關法律規定整體觀察，均欠缺個資保護之獨立監督機制，對個人資訊隱私權之保障自有不足，故應由相關機關於本判決宣示之日起3年內建立相關法制。
(五) 應修法或以專法規定建立資料庫及釋出個資之要件及管制等規定：健保法第79條及第80條僅規定健保署就健保資料及相關資料之蒐集等，至健保署就所蒐集資料包括個人健保資料應如何為保存、利用，其應遵循之法定要件與正當程序，暨應如何避免該等資訊不受濫用與不當洩漏之適當防護機制等重要事項，則僅規範應依個資法規定為之。但個資法係框架性規範，並非關於個人健保資料蒐用之專法，其規定不及於對外傳輸、處理或利用個人健保資料相關法定組織上與程序上要求之重要事項。因此，因修法或以專法規定健保資料以資料庫儲存、處理、對外傳輸及對外提供利用之主體、目的、要件、範圍及方式，暨相關組織上及程序上之監督防護機制等重要事項，相關機關並應於本判決宣示之日起3年內完成相關法制。
(六) 應修法或以專法規定當事人得請求停止利用之相關規定：基於對個資之事後控制權，就健保署因辦理健保業務而合法蒐集健保資料中個人健保資料，並提供公務機關或學術研究機構原始蒐集目的外利用此一限制個人資訊隱私權之行為，當事人之停止利用權應仍受憲法第22條規定保障。由健保法及健保資料庫相關法制整體觀察，一律未許當事人得請求停止利用，停止利用應遵循之相關程序亦無規定，亦即欠缺當事人得請求停止利用之相關規定，顯然於個人資訊隱私權之保護有所不足，相關機關並應於本判決宣示之日起3年內完成相關法制。逾期未制定或修正相關法律者，當事人得請求停止上開目的外利用。
三、本案後續影響
(一) 本判決對高敏感特種個資之認定採取較廣之認定，以及客觀上仍可能以極端方式還原而間接識別特定當事人者，仍為個資。故未來雖就高敏感特種個資已進行加密或匿名化之處理，依據個案情形仍可能被認定仍屬個資，而無法排除個資法之適用，仍應於辦理相關個案時注意。
(二) 本判決肯認健保資料庫仍有其應建置及釋出供醫療或衛生等法定目的使用之必要，但應符合手段原則上相稱性，故應透過建立獨立監督機制、規範建立資料庫及釋出個資之要件及管制等規定及規範當事人得請求停止利用（opt-out）等方式取得公益與資訊隱私權間之平衡。本所將持續關注相關機關修法或立法之進程，協助客戶向相關機關反應法制規範意見，以促進符合法益衡平之法制建立。