最高行政法院(含改制前行政法院)103年度判字第600號

最　高　行　政　法　院　判　決

103年度判字第600號

上訴人

蔡季勳

上訴人

邱伊翎

上訴人

施逸翔

共同訴訟代理人

蘇錦霞 律師

上訴人

陳瑞榆

上訴人

滕西華

上訴人

黃淑英

上訴人

劉怡顯

上訴人

洪芳婷

上八人共同訴訟代理人

賴中強 律師

被上訴人

衛生福利部中央健康保險署

代表人

黃三桂

訴訟代理人

蔡順雄 律師

訴訟代理人

鄭凱威 律師

輔助參加人

財團法人國家衛生研究院

代表人

龔行健

訴訟代理人

蔡順雄 律師

訴訟代理人

鄭凱威 律師

輔助參加人

衛生福利部

代表人

蔣丙煌

訴訟代理人

蕭維德 律師

　黃金洙　律師

上列當事人間個人資料保護法事件，上訴人對於中華民國103年5月14日臺北高等行政法院102年度訴字第36號判決，提起上訴，本院判決如下：

主文

理由

一、上訴人分別於民國101年5月9日（3件）、101年5月22日（1件）、101年6月26日（4件），以存證信函向被上訴人表示，拒絕被上訴人將其所蒐集之上訴人個人全民健康保險資料（下稱健保資料）釋出給第三者，用於健保相關業務以外之目的等語。經被上訴人分別以101年6月14日健保企字第1010028005C號函、101年6月14日健保企字第1010028005D號函、101年6月14日健保企字第1010028005G號函、101年6月14日健保企字第1010028005M號函、101年7月9日健保企字第1010030867號函（同文號4件，以上合稱系爭函文，即本件原處分）回復上訴人等略以，被上訴人因辦理全民健康保險（下稱全民健保）業務，而擁有全國民眾之納保與就醫資料，為促進國內全民健保相關研究，以提升醫療衛生發展，對外提供利用時，均依行為時電腦處理個人資料保護法（下稱舊個資法）之規定辦理，並有嚴格之資料管理措施，以保障研究資料被合法合理使用等語。上訴人不服，提起訴願，均遭駁回，提起行政訴訟，經原審法院以102年度訴字第36號判決駁回，上訴人猶不服，乃提起本件上訴。

二、上訴人起訴主張略以：上訴人為被上訴人之被保險人，至醫療院所就診時，醫療院所即將上訴人之就診醫療資料，向被上訴人申請給付健保應給付之金額，被上訴人因而取得上訴人之就醫與健保資料，然其自87年起，在欠缺法律授權依據或上訴人之授權同意下，逕將蒐集之個人就醫與健保資料，委託輔助參加人財團法人國家衛生研究院（下稱國家衛生研究院）建置全民健保研究資料庫，分為非學術研究類及學術研究類；且自89年起，提供或販售個人就醫與健保資料庫加值服務予學界與生物技術產業使用。然按舊個資法第8條之規定，被上訴人縱令得為特定目的外之再利用，仍應符合「應於法令職掌必要範圍內為之」之限制。其次，依輔助參加人衛生福利部組織法，該部就全民健保業務僅有「財務之政策規劃、管理及監督」之權限；且依據全民健保法第80條規定，主管機關並無全面性取得國人健保資料之權限。至於輔助參加人衛生福利部所稱，被上訴人係依據行政院通過之「國民健康資訊建設計畫」而全面性地提供健保資料，惟此已超越被上訴人之法令職掌範圍，違反舊個資法第8條的再利用之規定。另被上訴人雖主張依據舊個資法第8條第7款及修正後之個人資料保護法（下稱新個資法）第16條第5款之規定而為目的外利用，然查其所提供利用之健保個資雖經「加密」，仍存在識別個人之高度危險，且依輔助參加人國家衛生研究院全民健保研究資料庫申請使用作業要點第8點第1項及全民健保研究資料庫加值服務申請原則第9點第1項之規定，顯見被上訴人僅係透過法律責任之轉嫁（要求使用者不得進行個人辨識），而非在事實上已可確認「無害於當事人之重大利益」。況依被上訴人所稱之去個人化處理，係指將全民健保資料加密處理，目前為個人身分證字號欄位加密。然按舊個資法第3條第1款規定，身分證統一編號僅其中一項，並非將此欄位加密後即無從由其他資料識別個人。且依協作中心健康資料庫建置及使用作業規範第5項、第6項之規定，顯示此等個人就醫與健保資料雖經「匿名」，惟事實上並未完全去除與個人之連結，仍可直接或間接識別特定當事人。又被上訴人釋出的資料雖皆以代碼編譯，但透過代碼簿的解碼，仍可得知諸多個人基本資料、就醫紀錄及相關健康醫療資料之內容。此外，個人之身分證欄雖已加密，但透過出生年月日、性別、承保類別、承保單位區碼等較易查得之資料，再輔以其他管道獲知之資訊。被上訴人既未提出任何實質證據以實其說，證明所述「去個人化」確屬存在，則內含各種敏感性資訊的個人就醫與健保資料在被上訴人的此等利用型態下，既可能直接或間接遭到識別，實難謂「無害於當事人之重大利益」。另被上訴人舉法務部101年7月30日法律字第10103106010號函釋（下稱法務部101年7月30日函釋），主張若原始個資「非經當事人書面同意而蒐集」，則其目的外利用之範圍亦非當事人所得限制；然該函釋之適用原應以目的外利用並未違法為前提，否則無異於承認只要原始蒐集「未經當事人書面同意」，即可架空當事人對違法變更目的之停止處理與利用請求權；且該函釋以「經當事人書面同意而蒐集」作為當事人得依新個資法第11條第4項，主張停止利用請求權之要件，增加法律所無之限制，有違憲法第23條之「法律保留原則」。又按司法院釋字第603號解釋所揭明之「個人自主控制個人資料之資訊隱私權」應包含事前與事後控制權，後者不僅具有補充前者之功能，於前者無法實現時，亦具有獨立保障資訊自主權之功能。因此，新個資法第3條第4款之停止處理、蒐集及利用請求權，即為憲法保障資訊自主之事後控制權，不僅不得預先拋棄或以特約限制，其法律限制亦應符合憲法第23條之比例原則。又舊個資法第8條及新個資法第16條列舉可不經當事人書面同意而為目的外利用之各款事由，但事前無需經當事人書面同意，並不當然等同其享有事後控制權之事由。而舊個資法第8條第7款所定之「為學術研究而有必要且無害於當事人之重大利益」，僅限制當事人對「變更目的」的事前同意權，並非當然限制新個資法第3條第4款之事後停止利用請求權。另新個資法第11條第3項但書規定「因執行職務或業務所必須或經當事人書面同意者」，與舊個資法第13條第3項但書「因執行職務所必需或經依本法規定變更目的或經當事人書面同意者」相比，新法刪除了「經依本法規定變更目的」作為限制當事人事後停止請求權的事由。因此，依照新個資法第11條第3項規定，當事人得於事後主張停止利用請求權。末按允許當事人於「事後」請求停止學術研究之目的外利用，符合研究倫理與憲法學術研究依現行國內與國際上相關之研究倫理規範，承認被研究者除了事前同意之權利外，亦有不可被剝奪的事後退出權利，為平衡個人資訊自主權利與學術研究的合理手段等語，求為判決撤銷訴願決定及原處分，並命被上訴人就上訴人之申請應作成准予停止將上訴人等之個人全民健康保險資料提供予輔助參加人國家衛生研究院建置全民健保研究資料庫及輔助參加人衛生福利部建置協作中心作學術或商業利用之決定。

三、被上訴人則以：被上訴人以系爭函文針對其所掌管之全民健保資料，對外提供學術研究之法律依據及相關作業等提出說明，並未有針對公法上具體事件，作成決定或有其他公權力措施而對外直接發生法律效果之單方行政行為，是系爭函文應為觀念通知而非行政處分，上訴人自不得對之提起訴願、行政訴訟。其次，被上訴人為促進國內全民健保相關研究，將其所蒐集之全民健保資料經過匿名等去個人化處理後，委託輔助參加人國家衛生研究院建置全民健保研究資料庫，對外提供學術研究利用，而該全民健保研究資料庫之全民健保資料之提供，除在確保民眾隱私權益及資料安全前提下進行，並有嚴格之資料管理措施，以保障研究資料被合法並合理使用，是不論依舊個資法第8條第7款或新個資法第16條第5款規定，均屬合法。上訴人雖主張被上訴人將所掌全民健保資料提供予輔助參加人，非屬法令執掌範圍內之行為云云；然依修正前行政院衛生署中央健保局組織法第2條第5款及第8款、修正後輔助參加人衛生福利部中央健康保險署組織法第2條第5款、第8款等規定可知，被上訴人之職掌除有全民健保事項外，另就國內醫療品質提升之研擬、規劃及執行，乃至於一切與全民健保有關之事項等，亦皆屬被上訴人之職掌範圍。再者，被上訴人所蒐集之個人就醫資料，符合舊個資法第7條第1款「於法令規定職掌之必要範圍內者」之規定而蒐集，即並非透過當事人書面同意而蒐集。其次，上訴人依新個資法第11條之規定，雖有請求停止電腦處理及利用之權，惟應符合「個人資料正確性有爭議者」、「個人資料蒐集之特定目的消失或期限屆滿時」、「違反本法規定蒐集、處理或利用個人資料者」之要件始得為之。經查，被上訴人就上訴人之健保資料為特定目的外利用之目的乃「基於公共利益為統計或學術研究」，因此在「基於公共利益為統計或學術研究」之目的消滅前，上訴人請求停止處理及利用，顯無所據。另按司法院釋字第603號解釋意旨，個人資料自決權並非絕對之權利，而係於增進公共利益之必要時，得以法律為適當之限制。是以，被上訴人將全民健保資料交由輔助參加人建立資料庫，提供全民健保業務以外目的之使用，符合舊個資法第8條第7款規定，自無侵害憲法對個人資料之自主保障。又按輔助參加人衛生福利部基於全民健保之主管機關身分，本得因執行法定職務之必要，依新個資法第15條之規定，向被上訴人間接蒐集全民健保資料，且依該法第8條及第9條之規定，免為事前告知之義務。查協作中心乃輔助參加人衛生福利部基於其職掌所建置之單位，依新個資法第16條第5款之規定，將其所蒐集之全民健保資料提供予該中心為利用，則此一利用行為係輔助參加人衛生福利部所為，並非被上訴人之利用行為，被上訴人自無職權停止上級機關輔助參加人衛生福利部此一利用行為。從而，上訴人等指摘協作中心對外提供資料之合法性，甚且請求至協作中心進行證據調查等情，既皆與本件訴訟無關等語，資為抗辯，求為判決駁回上訴人在原審之訴。

四、輔助參加人國家衛生研究院則以：被上訴人為促進國內全民健保相關研究，自87年起依舊個資法第8條第7款之規定，將被上訴人所蒐集之全民健保資料經過匿名等去個人化處理後，委託輔助參加人國家衛生研究院建置全民健保研究資料庫，並於89年起正式對外提供學術研究利用，並依勞務採購之方式簽有全民健保研究資料庫建置及管理契約在案。被上訴人委託輔助參加人國家衛生研究院建置之全民健保研究資料庫中之全民健保資料，均已經過層層加密等去個人化之處理，已無足資辨識特定當事人，則依法務部101年7月30日函釋意旨，各該資料既已無從以直接或間接方式識別之，應已無個資法之適用。上訴人雖主張全民健保研究資料庫自89年起提供或販售健保資料庫加值服務予學界與生物技術產業使用云云；惟輔助參加人國家衛生研究院對資料申請者僅酌收工本費以應支出，上訴人稱有所謂販售行為云云，實有誤解。縱認被上訴人將所掌全民健保資料，提供予輔助參加人國家衛生研究院建置全民健保研究資料庫，屬目的外利用，仍符合新個資法第16條第5款與舊個資法第8條第7款之要件時，應得就所蒐集之個人資料，為特定目的外之利用。查目前國內醫藥衛生研究人員亦多運用該資料庫資料，發表大量學術研究成果並刊載於國內外期刊，實有助於國內醫療衛生及全民健保之發展，該資料庫資料之運用，確有利於公共利益或學術研究而有必要等語。

五、輔助參加人衛生福利部則以：輔助參加人衛生福利部為達到健康資訊共享之目標，減少資源重複投入，在滿足健康資訊交流之需要並兼顧個人健康資料隱私之保障，於96年1月31日陳報行政院通過「國民健康資訊建設計畫」，為推動健康資料加值應用，以加強統計支援決策功能，並增進學術研究能量，而於98年3月1日成立協作中心，於100年2月1日開始對外試行營運。又輔助參加人衛生福利部設有健康資料加值應用指導委員會，配合政府組織改造，刻正籌設資料應用管理審議會，以擴大對健康資料管理運用層面。其次，按統計法第3條、輔助參加人衛生福利部處務規程第18條之規定，該部為辦理各項衛生及社會福利統計之法定職掌，於法令規定職掌之必要範圍內，請求被上訴人提供全民健保處方及治療明細、全民健保處方及治療醫令等各項明細檔、全民健保承保檔及全民健保重大傷病檔等各項資料。協作中心將資料檔中之涉及個人資料之敏感欄位（如身分證字號、醫療機構代碼）等予以加密，加密後無從識別個人資料之檔案，並未留存被上訴人提供時之原始資料。上訴人主張提供部分個人資料，經由串檔變項的連結，可進而搜尋出其他資料檔案中該特定個人的其他醫療與健保資料，據以聲請調查證據云云，惟查，協作中心之作業方式，原則上所申請之檔案欄位均應事先申請核准，且亦不允許申請者任意進行檔案間之搜尋連結。況在實際作業上，凡是涉及個人資料如身分證字號或出生年月日等，均係以加密後之代碼方式顯現或未完整提供，則上訴人在實際作業上，事實上亦不可能以提供特定個人之部分資料方式進行檔案之搜尋等語。

六、原審斟酌全辯論意旨及調查證據之結果，以：㈠查上訴人先後於101年5月9日、5月22日、6月26日，以存證信函向被上訴人表示拒絕將其個人健保資料用於原目的外使用，經被上訴人分別於101年6月14日、同年7月9日，以系爭函文回復上訴人時，當時有效法律仍為舊個資法；迨上訴人提起訴願後，舊個資法始修正為新個資法，本件原則上應適用新個資法。然而，新個資法第6條、第54條尚未施行，本件上訴人請求被上訴人停止利用之個人資料，為個人至醫療院所就診之健保資料，原屬於新個資法第6條所規範之「有關醫療或健康檢查之個人資料」，惟該條文尚未施行，故不予適用。至於本件兩造當事人所爭執之「目的內或目的外使用」問題，新個資法就公務機關對個人資料之蒐集、處理及利用，區別第6條第1項之敏感特種資料及其他一般個人資料兩類，分別加以規範；而前揭第15條、第16條係新法對於一般個人資料所為規定，因此本件被上訴人所利用之個人健保資料，原屬敏感特種資料，然既不適用新個資法第6條規定，自不應適用新個資法第15條、第16條規定，仍應適用未區分敏感特種及一般資料之舊個資法第7條、第8條之相關規定。至於新個資法其他未區別敏感特種資料及一般資料之其他條文，本件自得適用。㈡系爭函文性質上屬行政處分，自得為行政訴訟之訟爭對象：新個資法在於規範資料蒐集者對其所蒐集之個人資料，有維護其正確性之義務；且其蒐集須基於特定目的，當事人如發現資料蒐集者違反該法所定蒐集、處理或利用個人資料之相關規定，均有請求資料蒐集者更正補充，或刪除、停止蒐集、處理或利用該個人資料之權利。且依新個資法規定，當事人提出上開請求，行政機關應依據相關規定為審查，於期限內為准駁之決定，並通知當事人。換言之，人民依據個資法向行政機關請求停止蒐集、處理或利用，性質上係請求行政機關作成一准予停止蒐集、處理或利用之行政處分，而非僅請求行政機關作成一單純提供之事實行為，故於行政機關否准當事人之請求所為之決定，乃係機關就公法上具體事件所為之決定而對外直接發生法律效果之單方行政行為，其性質為行政處分，是以，政府機關於否准其請求時，人民自得對之循序提起訴願、課予義務訴訟，以資救濟。被上訴人抗辯系爭函文僅屬觀念通知，並非對上訴人之請求有所准駁而損其權益，非行政處分，上訴人不得提起行政訴訟云云，容有誤會，先予敘明。㈢被上訴人將上訴人之個人健保資料提供予輔助參加人國家衛生研究院建置全民健保研究資料庫及輔助參加人衛生福利部建置協作中心，屬於公務機關對於個人資料之利用：本件被上訴人所蒐集之個人健保資料，主要係依全民健保法、全民健保醫療辦法、全民健保醫事服務機構醫療服務審查辦法等相關法令規定，在其職掌範圍內，由保險醫事服務機構申報醫療費用及上傳健保IC卡之就醫紀錄而來，符合舊個資法第7條第1款「於法令規定職掌之必要範圍內者」之規定。又舊個資法第8條規定規範公務機關蒐集處理個人資料後，合法利用該個人資料之要件。

㈣本件被上訴人將上訴人之個人健保資料提供予輔助參加人國家衛生研究院建置全民健保研究資料庫及輔助參加人衛生福利部建置協作中心，尚在被上訴人法令職掌必要範圍內為之：被上訴人於87年間委託該院建置全民健保研究資料庫，於同年2月3日依勞務採購之方式簽有全民健保研究資料庫建置及管理契約；嗣於89年起正式對外提供學術研究利用。由上開契約第2條規定可知，被上訴人所委託輔助參加人國家衛生研究院之標的為「進行資料加值服務，負責健保研究資料庫之建置、對外提供、開放使用等相關事務與勞務」。又查輔助參加人衛生福利部於96年1月31日陳報行政院通過「國民健康資訊建設計畫」，為推動健康資料加值應用，以加強統計支援決策功能，並增進學術研究能量，而於98年3 月1日成立協作中心，並於100年2月1日開始對外營運。另依前述被上訴人組織法第2條第5款及第8款規定，可知全民健保醫療服務審查業務與醫療品質提升業務之研擬、規劃及執行，與其他有關全民健保業務事項，亦屬被上訴人之掌理事項，故被上訴人將上訴人之個人健保資料提供予輔助參加人國家衛生研究院建置全民健保研究資料庫及輔助參加人衛生福利部建置協作中心，尚在被上訴人法令職掌必要範圍內為之。㈤本件被上訴人將上訴人之個人健保資料提供予輔助參加人國家衛生研究院建置全民健保研究資料庫及輔助參加人衛生福利部建置協作中心，尚在被上訴人法令職掌必要範圍內為之，雖與被上訴人原蒐集之目的未合，然其係基於學術研究，以提升醫療衛生發展所為，且經層層加密處理，而無從以直接或間接方式識別之，對於個人資料已有相當之保護，應已符合舊個資法第8條第7款之要件，亦與新個資法第16條第5款、第6條第1項第4款之規範意旨無違，而得為特定目的外之利用，是本件原處分，核無違誤。㈥上訴人雖主張縱令被上訴人之利用行為合法，然其基於資訊自主權，仍可事後請求停止原蒐集目的外之利用云云。惟按，個人資訊隱私權為憲法保障之基本權利，人民固有自由決定是否揭露其個人資料、及在何種範圍內、於何時、以何種方式、向何人揭露之決定權，並有對其個人資料之使用有知悉與控制權及資料記載錯誤之更正權；惟憲法對資訊隱私權之保障並非絕對，國家得於符合憲法第23條規定意旨之範圍內，以法律明確規定對之予以適當之限制，為司法院釋字第603號解釋闡述明確。再參酌新個資法第1條規定之立法目的，基於個人資訊隱私權並非絕對權利，立法者自得在保障個人資料之隱私，以及合理利用個人資料之平衡考量下，限制個人資訊隱私權。因此，上訴人雖主張資訊自主權有事前與事後控制權，然就權利本質而言，兩者應屬一體之兩面，法律既已限制事前同意權，亦應同時限制事後排除權，否則被上訴人得不經個人同意利用其資料，個人卻能任意行使排除權，則法律所欲達到合理利用個人資料、增進公共利益之目的顯無以達成，如此一來，個人資訊自決權反成絕對權利，當非立法本質，是上訴人主張其有「事後退出權」乙節，尚無依據。又上訴人另主張渠等行使事後排除權，就相對於被上訴人所提供全國民眾健保資料之數量比例而言，微不足道，不影響學術研究，故應允許其等行使事後排除權云云。然個人得否行使事後排除權，應非以數量比例或影響力強弱等事由，作為判斷依據，其主張自無足採。此外，上訴人復主張被上訴人提供利用之健保資料雖經加密，仍存在識別個人之高度危險云云。然個人之健保資料經加密處理，已無個人姓名、身分證字號等年籍資料，亦無具體明確之醫療訊息，無從依個人身分連結至特定健保資料，且其相關資料均以代碼呈現，縱依保障個人隱私權較為周延之新個資法，亦已符合該法第16 條第5款有關「資料經過提供者處理後或蒐集者依其揭露方式無從識別特定之當事人」之情形。至於上訴人主張其輸入特定個人資料加以查詢，最終僅有一人符合其要件，亦可推測出此人之身分云云。姑不論上訴人主張之調查方式與全民健保研究資料庫或協作中心之實際作業方式是否相符，上訴人主張上情係測試者事先已知悉特定個人之身分，經輸入業已得知之資料以進行確認之程序，與一般社會大眾在未事先知悉特定人身分之情況下，經由其揭露方式可識別出特定個人身分之隱私暴露情形有異，從而上訴人上開主張，亦無足採。綜上所述，本件上訴人之主張委無足採，原處分並無違誤，因將訴願決定及原處分均予維持，駁回上訴人在原審之訴。

七、上訴意旨略以：舊個資法第7條、第8條係公務機關對個人資料蒐集、處理及利用之一般性規定，經新個資法繼受修正移列第15條、第16條，顯然可認為，新個資法第15條、第16條為個人資料蒐集、處理及利用之一般原則及最低限度保障，並於敏感性個人資料於第6條有更為嚴格之規定。原審未見新個資法結構中此種一般與特別規定之關係，另一方面又造成請求權規定與其請求權基礎之要件所適用之違法性判斷規定，分別適用不同之新舊法規定，違反法律適用之整體性及權利義務之平衡，而有法律割裂適用之適用法規不當之違誤。又原審就新個資法第3條第4款及第16條規定所為之解釋，違反比例原則，亦有不適用法規或適用法規不當之違法云云。

八、本院按：

㈠按新個資法第1條規定：「為規範個人資料之蒐集、處理及利用，以避免人格權受侵害，並促進個人資料之合理利用，特制定本法。」第2條規定：「本法用詞，定義如下：一、個人資料：指自然人之姓名、出生年月日、國民身分證統一編號、護照號碼、特徵、指紋、婚姻、家庭、教育、職業、病歷、醫療、基因、性生活、健康檢查、犯罪前科、聯絡方式、財務情況、社會活動及其他得以直接或間接方式識別該個人之資料。二、個人資料檔案：指依系統建立而得以自動化機器或其他非自動化方式檢索、整理之個人資料之集合。

三、蒐集：指以任何方式取得個人資料。四、處理：指為建立或利用個人資料檔案所為資料之記錄、輸入、儲存、編輯、更正、複製、檢索、刪除、輸出、連結或內部傳送。五、利用：指將蒐集之個人資料為處理以外之使用。……」第3條規定：「當事人就其個人資料依本法規定行使之下列權利，不得預先拋棄或以特約限制之：一、查詢或請求閱覽。二、請求製給複製本。三、請求補充或更正。四、請求停止蒐集、處理或利用。五、請求刪除。」第5條：「個人資料之蒐集、處理或利用，應尊重當事人之權益，依誠實及信用方法為之，不得逾越特定目的之必要範圍，並應與蒐集之目的具有正當合理之關聯。」第11條規定：「（第1項）公務機關或非公務機關應維護個人資料之正確，並應主動或依當事人之請求更正或補充之。（第2項）個人資料正確性有爭議者，應主動或依當事人之請求停止處理或利用。但因執行職務或業務所必須並註明其爭議或經當事人書面同意者，不在此限。（第3項）個人資料蒐集之特定目的消失或期限屆滿時，應主動或依當事人之請求，刪除、停止處理或利用該個人資料。但因執行職務或業務所必須或經當事人書面同意者，不在此限。（第4項）違反本法規定蒐集、處理或利用個人資料者，應主動或依當事人之請求，刪除、停止蒐集、處理或利用該個人資料。（第5項）因可歸責於公務機關或非公務機關之事由，未為更正或補充之個人資料，應於更正或補充後，通知曾提供利用之對象。」第13條規定：「（第1項）公務機關或非公務機關受理當事人依第10條規定之請求，應於15日內，為准駁之決定；必要時，得予延長，延長之期間不得逾15日，並應將其原因以書面通知請求人。（第2項）公務機關或非公務機關受理當事人依第11條規定之請求，應於30日內，為准駁之決定；必要時，得予延長，延長之期間不得逾30日，並應將其原因以書面通知請求人。」第15條規定：「公務機關對個人資料之蒐集或處理，除第6條第1項所規定資料外，應有特定目的，並符合下列情形之一者：

一、執行法定職務必要範圍內。二、經當事人書面同意。三、對當事人權益無侵害。」第16條規定：「公務機關對個人資料之利用，除第6條第1項所規定資料外，應於執行法定職務必要範圍內為之，並與蒐集之特定目的相符。但有下列情形之一者，得為特定目的外之利用：一、法律明文規定。二、為維護國家安全或增進公共利益。三、為免除當事人之生命、身體、自由或財產上之危險。四、為防止他人權益之重大危害。五、公務機關或學術研究機構基於公共利益為統計或學術研究而有必要，且資料經過提供者處理後或蒐集者依其揭露方式無從識別特定之當事人。六、有利於當事人權益。七、經當事人書面同意。」該法施行細則第10條規定：「本法……第15條第1款、……所稱法定職務，指於下列法規中所定公務機關之職務：一、法律、法律授權之命令。二、自治條例。三、法律或自治條例授權之自治規則。四、法律或中央法規授權之委辦規則。」準此，公務機關如係執行該細則第10條所列法規所規定之職務，而有蒐集或處理個人資料之必要者，符合新個資法第15條之規定。另依新個資法第16條規定，公務機關對於個人資料之利用，原則應於執行法定職務必要範圍內為之，並與蒐集之特定目的相符，否則，應符合新個資法第16條但書各款所列情形之一，始得為特定目的外之利用；並應注意其手段有助於目的之達成，選擇對人民權益損害最少之方式，對人民權益造成之損害不得與欲達成目的之利益顯失衡平，且其利用不得逾越特定目的之必要範圍，應與蒐集之目的具有正當合理之關聯。

㈡次按99年5月26日修正公布之新個資法，除第6條、第54條外，於101年10月1日施行。雖新個資法第6條第1項規定尚未施行，惟有關「醫療、基因、性生活、健康檢查及犯罪前科」等特種個人資料仍屬個人資料，其蒐集、處理、利用仍適用新個資法有關一般個人資料之規定，應依新個資法第15條、第16條規定辦理。查被上訴人（改制前行政院衛生署中央健康保險局）依全民健保法第7條規定，為全民健保之保險人，為執行全民健保法所定保險業務之法定職務，基於全民健保之特定目的，即得蒐集相關個人資料，並得於上開蒐集之特定目的內利用之。本件個人健保資料雖屬新個資法第6條所稱「有關醫療或健康檢查」之個人資料，惟其蒐集、處理及利用，仍應依新個資法第15條、第16條規定辦理。則原審認新個資法就公務機關對個人資料之蒐集、處理及利用，區別第6條第1項之敏感特種資料及其他一般個人資料兩類，分別加以規範；而新個資法第15條、第16條係新法對於一般個人資料所為規定，因此本件被上訴人所利用之個人健保資料，原屬敏感特種資料，不適用新個資法第6條規定，自不應適用新個資法第15條、第16條規定，仍應適用未區分敏感特種及一般資料之舊個資法第7條、第8條之相關規定等情，即有判決適用法規不當之違法。

㈢綜上，原判決既有上開違誤，並其違法影響判決結論，故上訴意旨指摘原判決違法，求予廢棄，即有理由；又本件事證尚有未明，有由原審法院再為調查審認之必要，本院並無從自為判決；故將原判決廢棄，發回原審法院再為調查後，另為適法之裁判。

九、據上論結，本件上訴為有理由。依行政訴訟法第256條第1項、第260條第1項，判決如主文。

最高行政法院第五庭

以 上 正 本 證 明 與 原 本 無 異