全民健康保險資料管理條例 第 6 條

主管機關及保險人應備置電腦、資通系統與資通服務及必要之相關設施、設備，建置健保資料之相關資料庫，並指定專責單位及專人管理之。 　　主管機關建置前項資料庫需用之健保資料，由保險人將該等資料假名化後，傳輸予主管機關。 　　前項健保資料假名化之程序、作業方式及其他相關事項之辦法，由主管機關定之。 　　主管機關應定期或不定期考核第一項資料庫之管理及運用；發現有應改善事項時，應改善或通知保險人立即或限期改善。

立法理由一、第一項定明主管機關及保險人應備置電腦、相關設施、設備等，建置健保資料之資料庫，指定專責單位及專人管理，其管理方式依當時科技及專業水準辦理；即依資通安全管理法之規定，並導入ISO/IEC 27001資訊安全管理系統(Information Security Management System，ISMS)之國際標準認證，持續強化健保資料之資安管控及防護措施，並按政府機關(構)資通安全責任等級A級機關規範辦理，以維護資料安全。 　　二、依本判決主文第三項及判決理由第六十五段之意旨，國家強制蒐集個人健保資料並以資料庫儲存、處理、對外傳輸及對外提供利用，應確保該個人健保資料不受濫用或不當洩漏，爰為確保資料之安全性，依資通安全責任等級分級辦法附表十「資通系統防護基準」規定，主管機關建置資料庫所需之健保資料，由保險人將該等資料假名化後，傳輸予主管機關，以維護資通安全，爰為第二項規定。 　　三、第三項授權主管機關訂定健保資料假名化之程序、作業方式及其他相關事項之辦法。 　　四、第四項定明主管機關應定期或不定期就第一項資料庫之管理及運用進行相關考核作業，並於發現應改善事項時進行改善。又依資通安全管理法規定，上級機關應稽核所屬機關之資通安全維護計畫實施情形，以確保健保資料相關資料庫之管理及運用符合規定，爰併定明主管機關通知保險人改善規定。