[個資與隱私法 9] 醫療、金融、教育的特別個資規範
特定行業因處理個資的敏感性,有特別法律規範。本文以醫療、金融、教育三大行業的特別規範,梳理當代特殊個資保護的完整地圖。
個 資 與 隱 私 法 · 第 九 篇 · 特 殊 行 業
醫療 · 金融 · 教育
三大行業的特別規範
病歷、信用、學籍是最敏感的三類個資。除了個資法，三個行業各有專法另設保密義務與罰則，這裡整理成一張合規地圖。
劉博文律師 · 和鼎律師事務所主持律師
本文導讀
醫療看醫療法與醫師法，金融看銀行法與金管會的 AI 指引，教育看學生輔導法與個資法。三者共通的底線，是個資法第 6 條對特種個資的限制。
第 壹 章
三大特殊行業的個資地位
從敏感性到專法管制
這三個行業同時受兩層規範：個資法定一般規則，專法再加一層保密義務與罰則。出事時，往往是兩套責任一起來。
其中最嚴格的是「特種個資」，也就是病歷、醫療、基因、性生活、健康檢查及犯罪前科這六類資料。個資法第 6 條原則上禁止蒐集、處理或利用，只有法律明文規定、經當事人書面同意等列舉的例外情形才可以。
6條
特種個資
個資法第 6 條：病歷、醫療、基因、性生活、健康檢查、犯罪前科六類特種個資
3類
敏感行業
醫療、金融、教育各有專法、主管機關與特別規範
5年
刑度上限
意圖不法利益違法利用個資、足生損害者，依個資法第 41 條最重 5 年有期徒刑
TYPE I
醫療業
病歷、健康、基因資料。法律：個資法第 6 條、醫療法第 72 條、醫師法第 23 條。兩部專法都明定不得無故洩漏病人的病情或健康資訊。
TYPE II
金融業
存款、放款、匯款資料。法律：個資法、銀行法第 48 條、保險法與金管會指引。銀行對客戶資料負法定保密義務。
TYPE III
教育業
學籍、成績、家庭、輔導紀錄。法律：個資法、學生輔導法第 17 條。學生多半未成年，目的外利用前要特別留意家長同意。
第 貳 章
三大行業特別規範對照
主管機關、法律、責任的差異
三個行業的差別，主要在主管機關與罰則輕重。金融業違反保密義務，罰鍰從 200 萬元起跳；醫療業的罰鍰較低，但醫師個人另有罰鍰與懲戒的壓力。
三大行業 · 特別個資規範對照
| 面向 | 醫療 | 金融 | 教育 |
|---|---|---|---|
| 主管機關 | 衛生福利部、地方衛生局 | 金融監督管理委員會 | 教育部、地方教育局處 |
| 核心法律 | 醫療法第 67 至 72 條（病歷與保密）、醫師法第 23 條 | 銀行法第 48 條、保險法 | 個資法、學生輔導法第 17 條 |
| 違反責任 | 醫療機構罰 5 萬至 25 萬元（醫療法第 103 條）；醫師另罰 2 萬至 10 萬元（醫師法第 29 條），並可能移付懲戒 | 罰 200 萬至 5,000 萬元（銀行法第 129 條第 11 款） | 私立學校適用個資法罰鍰；公私立學校都可能負損害賠償，人員可能受懲處 |
| 特殊要件 | 特種個資須符合第 6 條例外；病歷至少保存 7 年（醫療法第 70 條） | 存款、放款、匯款資料保密（銀行法第 48 條第 2 項） | 輔導人員保密義務；目的外利用宜取得家長同意 |
| 國際傳輸 | 主管機關得依個資法第 21 條限制 | 同左 | 同左 |
「特殊行業的個資保護,核心不只是「合規」,而是「對人的最深尊重」。病歷、信用、學籍,每一筆都承載個人最私密的人生軌跡。」
— 本文觀點
醫療機構洩漏病歷的四種責任
| 責任類型 | 內容 | 法源 |
|---|---|---|
| 行政罰鍰（機構） | 不得無故洩漏因業務知悉的病人病情或健康資訊；違反處 5 萬至 25 萬元 | 醫療法第 72 條、第 103 條 |
| 行政罰鍰（醫師） | 醫師不得無故洩露病人病情或健康資訊；違反處 2 萬至 10 萬元 | 醫師法第 23 條、第 29 條 |
| 刑事 | 醫師無故洩漏業務上知悉的秘密，最重 1 年有期徒刑；意圖不法利益違法利用、足生損害，最重 5 年 | 刑法第 316 條、個資法第 41 條 |
| 民事 | 病人可請求財產與精神上損害賠償；難以證明損害額時，每人每一事件 500 元至 2 萬元 | 個資法第 28 條、第 29 條 |
罰鍰金額依現行條文；醫師另可能因違背醫學倫理或業務上不正當行為被移付懲戒（醫師法第 25 條）。
特種個資能不能用：依序檢查
是不是特種個資
病歷、醫療、基因、性生活、健康檢查、犯罪前科，屬於個資法第 6 條的範圍，原則禁止。
有沒有法定例外
法律明文規定、履行法定義務且有安全措施、當事人自行公開、公務機關或學術研究機構為統計或學術研究且無從識別、協助公務機關或履行法定義務，或經當事人書面同意。
同意是否有效
書面同意不能逾越特定目的的必要範圍，其他法律另有限制時，光有同意也不夠（第 6 條第 1 項第 6 款但書）。
專法有無加重
醫療看醫療法與醫師法，金融看銀行法，教育看學生輔導法；專法的保密義務另外計算責任。
第 參 章
結語 · 下一篇:兒童個資特別保護
附 記
特殊行業個資合規涉及多重專法,複雜度高於一般行業。本所協助過醫療機構、金融業者、教育機構處理相關合規與爭議。如有需要請聯絡諮詢。
常見問題
Q. 醫療機構洩漏病歷,法律後果是什麼?
A. 可能同時面對四種責任。行政：違反醫療法第 72 條，機構依第 103 條處 5 萬至 25 萬元罰鍰；醫師個人違反醫師法第 23 條，依第 29 條處 2 萬至 10 萬元。刑事：醫師無故洩漏業務上知悉的秘密，可能構成刑法第 316 條；意圖不法利益違法利用病歷、足生損害，依個資法第 41 條最重 5 年有期徒刑。民事：病人可依個資法第 29 條請求賠償。懲戒：情節嚴重時，醫師可能被移付懲戒。
Q. 銀行外洩客戶資料的處罰多重?
A. 個資法與銀行法可能同時適用。個資法：違法蒐集、處理或利用，依第 47 條處 5 萬至 50 萬元罰鍰；未採行適當安全措施，依第 48 條處 2 萬至 200 萬元，屆期未改正或情節重大者可達 1,500 萬元。銀行法：違反第 48 條第 2 項的保密義務，依第 129 條第 11 款處 200 萬至 5,000 萬元罰鍰。客戶另可請求民事賠償。
Q. 學校可以將學生個資提供給課輔班嗎?
A. 原則上不可以。學校蒐集學生個資是為了教學與學籍管理，交給校外課輔班屬於目的外利用，必須符合個資法的例外事由，最常見的是取得家長同意（公立學校看第 16 條，私立學校看第 20 條）。這種同意要在告知利用目的、範圍及不同意的影響後單獨取得（第 7 條第 2 項）。違反時學校可能要負損害賠償，私立學校另有罰鍰，相關人員可能受懲處。建議把「教學」與「商業合作」完全分開處理。
Q. 醫療業使用 AI 處理病歷,合規嗎?
A. 要分三層評估。第一，個資法第 6 條：病歷屬特種個資，須符合法定例外，例如法律明文規定、經病人書面同意，或由公務機關、學術研究機構為統計或學術研究，且資料無從識別特定個人。第二，醫療法：病歷的保管、保存期限與保密（第 70 條、第 72 條）。第三，AI 服務商如何處理資料：伺服器位置、是否用於訓練模型、是否傳到國外。導入前宜請熟悉醫療法與個資法的律師整體規劃。
Q. 金融業客戶資料能用於 AI 信用評分嗎?
A. 可以，但有條件。金管會「金融業運用人工智慧（AI）指引」以六項核心原則為架構：治理與問責、公平性與以人為本、保護隱私及客戶權益、系統穩健與安全、透明與可解釋、永續發展。個資法方面，客戶資料用於 AI 訓練或評分，須在原蒐集目的範圍內，否則要另有法定事由或取得新的同意。實務建議：開戶同意書明確揭露 AI 應用、定期檢視模型是否產生歧視、提供解釋與申訴管道。
個資與隱私法系列(規劃中,陸續上線)
- [個資與隱私法 1] 個資法總論:從個資法第 19 條到 GDPR 的當代隱私挑戰
- [個資與隱私法 2] 蒐集、處理、利用三段式架構與當事人同意
- [個資與隱私法 3] 當事人權利:查詢、更正、停止處理、刪除
- [個資與隱私法 4] 跨境傳輸的法律地圖
- [個資與隱私法 5] 資料保護長(DPO)制度與企業治理
- [個資與隱私法 6] GDPR 域外效力與台灣企業合規
- [個資與隱私法 7] 資料外洩的緊急處理 SOP
- [個資與隱私法 8] 員工個資與雇主監控的邊界
- [個資與隱私法 9] 醫療、金融、教育的特別個資規範(本文)
- [個資與隱私法 10] 兒童與未成年人個資特別保護
- [個資與隱私法 11] 數位足跡、Cookie、追蹤的法律邊界
- [個資與隱私法 12] 個資保護委員會與監理動態
