最高行政法院(含改制前行政法院)106年度判字第54號

最　高　行　政　法　院　判　決

106年度判字第54號

上訴人

蔡季勳

上訴人

邱伊翎

上訴人

施逸翔

上訴人

陳瑞榆

上訴人

滕西華

上訴人

黃淑英

上訴人

劉怡顯

上訴人

洪芳婷

共同訴訟代理人

劉繼蔚 律師

共同訴訟代理人

翁國彥 律師

共同訴訟代理人

蘇錦霞 律師

被上訴人

衛生福利部中央健康保險署

代表人

李伯璋

訴訟代理人

蔡順雄 律師

訴訟代理人

鄭凱威 律師

輔助參加人

財團法人國家衛生研究院

代表人

余幸司

訴訟代理人

蔡順雄 律師

訴訟代理人

鄭凱威 律師

輔助參加人

衛生福利部

代表人

林奏延

訴訟代理人

蕭維德 律師

黃金洙 律師

上列當事人間個人資料保護法事件，上訴人對於中華民國105年5月19日臺北高等行政法院103年度訴更一字第120號判決，提起上訴，本院判決如下：

主文

理由

一、事實概要：

㈠上訴人分別於民國101年5月9日（3件）、101年5月22日（1件）、101年6月26日（4件），以存證信函向被上訴人表示，拒絕被上訴人將其所蒐集之上訴人個人全民健康保險資料（下稱「健保資料」）釋出給第三者，用於健保相關業務以外之目的等語。經被上訴人分別以101年6月14日健保企字第0000000000C號函、101年6月14日健保企字第0000000000D號函、101年6月14日健保企字第0000000000G號函、101年6月14日健保企字第0000000000M號函、101年7月9日健保企字第000000000H號函（同文號4件，下合稱「系爭函文」，即本件原處分）回復上訴人。

㈡內容略以：被上訴人因辦理全民健康保險（下稱「全民健保」）業務，而擁有全國民眾之納保與就醫資料，為促進國內全民健保相關研究，以提升醫療衛生發展，對外提供利用時，均依行為時電腦處理個人資料保護法（下稱「舊個資法」）之規定辦理，並有嚴格之資料管理措施，以保障研究資料被合法合理使用等語。

㈢上訴人不服，提起訴願，均遭駁回（訴願決定：改制前行政院衛生署101年11月7日衛署訴字第0000000000號；101年11月6日衛署訴字第0000000000、0000000000、0000000000、0000000000、0000000000、0000000000、0000000000號），提起行政訴訟，經原審法院以102年度訴字第36號判決（下稱「前審判決」）駁回，上訴人猶不服，提起上訴，復經本院103年度判字第600號判決（下稱「本院廢棄判決」）廢棄，發回原審法院更為審理。經原審法院以103年度訴更一字第120號判決（下稱原判決）駁回上訴人之訴，上訴人仍不服，遂提起本件上訴。

二、上訴人起訴主張：

㈠依104年12月30日修正之個人資料保護法（下稱新個資法）第6條規定，「有關病歷、醫療、基因、性生活、健康檢查及犯罪前科之個人資料」為一般所稱「敏感性個人資料」，除非有本條所列情形之一者外，原則上「不得蒐集、處理或利用」。本案所涉及之上訴人健保資料，至少屬於上訴人之病歷與醫療個人資料，其蒐集、處理或利用應適用本條規定。然公務機關「蒐集或處理」敏感性個資時，除應符合本條規定外，仍應符合新個資法第15條「應有特定目的」之規範；「利用」敏感性個資時，除應符合新個資法第6條規定外，亦應受新個資法第16條「應於執行法定職務必要範圍內為之，並與蒐集之特定目的相符」之限制。

㈡依據本院廢棄判決意旨，「特定目的外之利用……並應注意其手段有助於目的之達成，選擇對人民權益損害最少之方式，對人民權益造成之損害不得與欲達成目的之利益顯失衡平，且其利用不得逾越特定目的之必要範圍，應與蒐集之目的具有正當合理之關聯。」可知敏感性個資之目的外利用，除應符合新個資法第6條與第16條但書各款之一外，仍應同時受到比例原則以及正當合理關聯性之限制。

㈢新個資法第16條但書各款所排除者，僅為公務機關對個人資料之利用，應「與蒐集之特定目的相符」之限制，並未排除公務機關對個人資料之利用，仍應「於執行法定職務必要範圍內為之」之要求。若不作此解釋，無異於允許公務機關得任意從事「非法定職務」之行為，將背離法治國原則之基本精神。本件被上訴人於蒐集之特定目的外，將未經加密而可直接識別之全民健保個資提供予輔助參加人衛生福利部（下稱輔助參加人衛福部）之行為，若係基於參與「國民健康資訊建設計畫」之目的，顯然並非執行被上訴人之法定職務。再者，研究者發表研究成果刊登在學術期刊上，本無法直接等同於實現公共利益，若被上訴人所指「學術研究」，係指將資料庫內之全民健保資訊用於改善臨床醫療技術、探究疾病原因或新藥開發，然被上訴人迄今亦未說明自87年起建置「全民健康保險研究資料庫」迄今，實際應用在醫療學術或全民健保制度改革上，究竟有何具體研究價值或成果，難謂已證明被上訴人將全民個人健保資料釋出予輔助參加人，確實適合且有助於公共利益之實現。故被上訴人將上訴人個人健保資料提供予輔助參加人衛福部及財團法人國家衛生研究院（下稱國衛院）之目的外利用行為，不符合新個資法第16條但書第5款「基於公共利益」之要件。

㈣依本院廢棄判決之意旨，公務機關於「特定目的外」利用個人資料時，縱令假設其已符合新個資法第16條但書各款所列得不經當事人「事前」同意而為利用之情形，其採行之手段對個人受憲法保障之基本權利所造成之限制，仍應符合憲法比例原則及各個子原則之要求。換言之，新個資法第16條但書第5款規定，雖可作為限制當事人「事前同意」之法律基礎，卻不是可以作為直接限制「事後停止請求權」之依據。原判決雖然認為就權利本質而言，資訊自主權之事前與事後控制權屬一體之兩面，法律既已限制事前同意權，亦應同時限制事後排除權云云，惟此一「法律上判斷」既然經本院廢棄判決所駁斥在案，原審法院即應受到拘束。準此，本案被上訴人若主張基於學術研究之一般目的而利用健保個資，並在限制當事人之「事前同意」外，復欲進一步限制當事人之「事後停止請求權」，則不僅應說明所追求之目的何以較一般學術研究具有更重大與迫切之利益，更負有舉證義務，證明採行全面限制自主權之手段，確係為追求該等更重大與迫切利益所必要，方符合憲法比例原則要求，而非謂其目的外利用符合新個資法第16條但書第5款規定即為已足。故被上訴人以「不允許上訴人事後退出」之手段，將上訴人個人之健保資料提供予輔助參加人衛福部，進行目的外利用，並非達成一般學術研究之必要手段，已牴觸比例原則下之「最小侵害原則」，違反憲法比例原則與正當合理關聯性之限制。

㈤對於個人資料之目的外利用，原應由個人資料的「原始蒐集者」負擔確保目的外利用為合法之義務，是新舊個資法第16條但書第5款，既然均以「資料無從識別特定當事人」作為無須取得當事人同意即可為目的外利用之要件，自應由「原始蒐集者」負責確保提供予「第二次利用」之資料，已無從識別特定個人。故無論是新舊個資法第6條第1項但書第5款規定之解釋，均應將重點置於「依『其』揭露方式無從識別特定之當事人」中的「其」，而將之解釋為「原始蒐集者（即第二次利用之提供者）」。本件被上訴人將未加密之健保資料提供予輔助參加人衛福部，使之與其他行政機關建立之資料庫進行串連比對之目的外利用行為，不符新個資法第16條但書第5款與第6條第1項但書第4款，應由被上訴人負擔「資料去識別化」義務之規定。此外，被上訴人及輔助參加人衛福部均已於訴訟中自承，被上訴人提供予輔助參加人衛福部之健保資料係原始未加密之可識別資料，再由輔助參加人衛福部以其程式自行加密，並保留解密之金鑰。因此，被上訴人將未加密之健保資料提供予輔助參加人衛福部，使之與其他行政機關建立之資料庫進行串連比對之目的外利用行為，顯然不符合新個資法第16條但書第5款與第6條第1項但書第4款應由被上訴人負擔「資料去識別化」義務之規定，應無疑義。

㈥輔助參加人衛福部所稱之「加密」，充其量僅為以一組特定之亂碼取代個人身分證字號的「假名化」處理（pseudonymization），而非真正「無從識別特定當事人」之「去識別化」（anonymization）。蓋判斷資料是否「無從識別特定當事人」，至少應從三個面向為之：標定可能性（singlingout）、連結性（linkability）、推論性（inference）。倘特定個人之資料可以從資料庫眾多資料中被標定，或者可將同屬一特定個人之資料在相同或不同之資料庫間相互連結，或者足以提供作為推論與該特定個人有關之新資訊，則該等資料仍屬「可識別之資料」。反之，只有在資料已欠缺標定性、無連結性、亦不具有推論性時，方得謂該等資料已經屬於「無從識別特定當事人」。輔助參加人衛福部所為之加密處理，不僅仍允許健保資料內之串連，也允許與其他資料庫之資料進行串接比對，進而推論出與特定個人有關之新資訊，皆不符合前述「無從識別特定個人」之標準。故輔助參加人衛福部於取得可識別之全民健保個資後所為之加密處理，並未達到「去識別化」程度，其處理與利用該等敏感性個資之行為，不符合新個資法第6條第1項但書第4款與第16條但書第5款「無從識別特定當事人」之要件。另依新個資法第11條第4項規定，上訴人對於被上訴人本身之違法利用或輔助參加人衛福部之違法處理利用行為，均得請求被上訴人停止利用等語，求為判決⒈訴願決定及原處分均撤銷。⒉被上訴人應依上訴人之申請，作成准予停止將上訴人之個人健保資料提供予輔助參加人國衛院建置「全民健康保險研究資料庫」及輔助參加人衛福部建置「衛生福利資料科學中心」及分中心作為學術或商業利用之行政處分。

三、被上訴人則以：

㈠觀諸新個資法第3條之規定，細繹其規範之內容僅在闡明所列舉之權利不得預先拋棄或以特約限制之，但該等權利應如何具體實現、其實現之構成要件暨所生之法律效果為何則付之闕如，即該規定尚未見人民有何申請權，或得申請行政機關對其作成一定之行政處分之意旨於其中，顯見其非所謂「具請求權結構之法規範」。又司法院釋字第603號解釋亦僅闡明「個人自主控制個人資料之資訊隱私權」之存在，然其具體內涵為何，其應如何具體實現、其實現之構成要件暨所生之法律效果為何仍付之闕如，仍有待立法者以具體法律之個別條文（如新個資法之規定）抑或行政機關以法規命令等予以規範、補充及落實，上訴人再依各該法律抑或法規命令等為權利上之主張，應非得逕依司法院釋字第603號解釋所揭櫫之基本權上位概念作為其向被上訴人申請作成一定行政處分之依據。故本件上訴人等依新個資法第3條之規定及司法院釋字第603號解釋為本件課予義務訴訟提起之依據，實與行政訴訟法第5條之要件不符。

㈡有關法務部101年7月30日法律字第10103106010號函（下稱法務部101年7月30日函）雖係針對舊個資法第16條之規定所為，然新個資法第6條第1項但書第4款同樣有「且資料經過提供者處理後或經蒐集者依其揭露方式無從識別特定之當事人。」等語之規定，故法務部101年7月30日函於新個資法第6條之適用上亦有參考之價值。是以，輔助參加人國衛院建置之「全民健康保險研究資料庫」中之健保資料，均已無足資辨識該特定當事人，則依法務部101年7月30日函意旨，各該資料既已無從以直接或間接方式識別之，其應已無新個資法之適用。

㈢又依新個資法第6條第1項但書第2款、被上訴人組織法第2條第5款及第8款規定可知，被上訴人之執掌除有全民健保事項外，另就國內醫療品質提升之研擬、規劃及執行乃至於一切與全民健康有關之事項等亦皆屬被上訴人之職掌範圍，是國內全民健康保險相關研究之促進、醫療衛生發展之提升等自屬被上訴人之職掌無疑。從而，被上訴人將所掌之健保資料經過個人身分證字號加密程序、刪除個人出生日（僅有出生年月）且無個人姓名資料後，委託輔助參加人國衛院建置「全民健康保險研究資料庫」對外提供學術研究利用，其目的既係基於提升國內醫療品質、促進國內醫療研究等公益目的，而國內醫藥衛生研究人員亦確實多運用該資料庫資料，發表大量學術研究成果並刊載於國內外期刊，確有助於國內醫療衛生及全民健保之發展，自屬被上訴人於法定職務範圍內所為之行為。又被上訴人將所掌之健保資料提供予輔助參加人國衛院建置「全民健康保險研究資料庫」前，業已經過二次加密，而輔助參加人國衛院將「全民健康保險研究資料庫」之資料對外提供服務時，乃再另為加密，顯見業已該當事前或事後有適當安全維護措施之要件。

㈣被上訴人為促進國內全民健保相關研究，以提升醫療衛生發展而達增進公共利益之目的，乃依新個資法第6條第1項但書第4款「基於醫療、衛生之目的為學術研究而有必要」之規定，將被上訴人所蒐集之健保資料經過匿名、加密等處理後，委託輔助參加人國衛院建置「全民健康保險研究資料庫」，就此一目的上訴人亦未否認，則本件應符合新個資法第6條第1項但書第4款之要件。又依新個資法施行細則第17條規定，被上訴人所為之「加密」程序實已符合新個資法對於個人資料保護之要求，而該當於新個資法第6條第1項但書第4款所規定「資料經過處理後或依其揭露方式無從識別特定當事人」之要件。被上訴人委託輔助參加人國衛院建置「全民健康保險研究資料庫」提供予學術單位為資料加值服務之申請，其即應屬個人資料「提供者」，則承前所述，被上訴人既已於提供申請前為3次之「加密」程序，即已達提供者處理後無從識別特定之當事人之要求；而學術單位申請取得經加密之「全民健康保險研究資料」後，即屬個人資料「蒐集者」，一般而言學術單位依所申請資料而發表之論文等研究，均僅係相關個人資料分析研究後所得之最終結果，而不會有任何個人資料之揭露，應可認亦已達依其揭露方式無從識別特定之當事人之要求。

㈤被上訴人所為利用行為確實已促成諸多學術研究成果並刊載於國內外期刊，顯見其確有助於國內醫療衛生及全民健保發展此一行政目的之達成，就此應有該當於所謂「適當性原則」；而被上訴人就所掌「健保資料」為利用前均已經層層加密程序而使該資料無從識別特定之當事人，對於當事人之隱私已有相當保障，故被上訴人業已依侵害最小之手段達成行政目的，就此應有該當於所謂「必要性原則」；再者，前開國內醫療衛生及全民健保發展之成果乃全民所得共享，此參「財訊」週刊所刊載斗大「兩千三百萬人健保資料找到肝癌解藥」之標題即明，而所為利用行為又業經層層加密程序而無侵害隱私之虞，顯見所欲追求之公益遠大於受損之私益，自符比例原則。另基於學術、醫療研究之目的，本需有全民健保之實際統計資料，以便解讀該等統計數字所呈現之科學上意義。凡此均足見被上訴人之利用行為具有必要性亦符合比例原則。

㈥至於上訴人主張除非有顯不能徵得當事人同意的情況，原則上需將當事人同意權作為前提條件，否則即侵犯渠等憲法所保障之個人資料自決權云云，顯係將所謂個人資料之「自主控制權」解釋為絕對之權利，此已明顯違反司法院釋字第603號解釋所揭櫫之意旨，洵不足採。從而，所謂資訊自主權既非絕對之權利，而建置「全民健康保險研究資料庫」提供予學術單位為資料加值服務所達成之公益亦遠大於上訴人等所犧牲之利益，足見此應已通過比例原則之檢視。且為了增進公共利益之必要時，得以法律為適當之限制，則上訴人所謂事前同意權或事後排除權，於增進公共利益之必要時本得予以限制。

㈦我國全民健保對象人數眾多，而每一年度門診件數更係驚人，如以新個資法第6條第1項但書第6款「書面同意」作為利用依據，所需耗費之社會成本實屬龐大，乃有以新個資法第6條第1項但書第2款及第4款規定，為被上訴人將所掌健保資料委託輔助參加人國衛院建立「全民健康保險研究資料庫」提供予學術單位為資料加值服務申請此一利用依據之必要。又依被上訴人與輔助參加人國衛院簽訂之「全民健康保險研究資料庫建置及管理契約」第2條可知，被上訴人所委託輔助參加人國衛院之標的為「進行資料加值服務，負責健保研究資料庫之建置、對外提供、開放使用等相關事務與勞務」，亦即此一採購案為單純之勞務採購，是被上訴人與輔助參加人國衛院間針對「全民健康保險研究資料庫」之建置，僅為依政府採購法及其子法所為之私經濟行政，其間並不涉及行政機關行使公權力之行為，而無行政程序法第15條及第16條規定之適用，自無須有該法規所規定授權之依據或公告程序。

㈧依新個資法第8條第2項第2款、第9條第2項第1款及第6條第1項但書第2款之規定，輔助參加人衛福部基於全民健保主管機關之身分（全民健康保險法第4條及第7條規定參照），本得因執行法定職務之必要，而依新個資法第6條第1項但書第2款規定向被上訴人間接蒐集健保資料，且依輔助參加人衛福部表示其間接蒐集健保資料之法源依據乃統計法第3條所規定，及衛福部組織法第2條所規定等語，而此一間接蒐集個人資料行為尚免為事前告知之義務，是可知被上訴人將所掌之健保資料提供予輔助參加人衛福部，洵係依法規所為。又被上訴人將所掌「健保資料」提供予輔助參加人衛福部既係依法律之規定所為，應有該當於新個資法第6條第1項但書第1款規定，且新個資法第6條第1項但書第1款之「法律明文規定」等語，其並未如同條第4款規定「且資料經過提供者處理後或蒐集者依其揭露方式無從識別特定之當事人」等語之要求，則縱被上訴人將所掌「健保資料」提供予輔助參加人衛福部時未先予「加密」，亦無任何違法之情事。至上訴人雖稱該等加密資料得經由其他管道而有機會可找出特定個人之資料云云，然僅見空言指摘或推測，而未見提出實質證據以實其說，上訴人之主張自不足採等語，資為抗辯，求為判決駁回上訴人之訴。

四、輔助參加人衛福部則以：

㈠有關輔助參加人衛福部建置「衛生福利資料科學中心」係依據國民健康資訊建設計畫而來，主要目的係為將所蒐集之健康資料，於去識別化後，提供一平台與政府機關及學術單位予以加值利用以產生具應用價值之集體資訊，用以促進公共衛生決策品質、相關學術研究及醫療保健服務業等相關產業研發創新之參據，用以增進公共利益與全民福祉。

㈡而依法務部105年4月8日法律字第10503505760號函檢送「公務機關利用去識別化資料之合理風險控制及法律責任」之研析報告，可採取「可匿之擬匿名化資料」方式進行去識別化，復依新個資法施行細則第17條規定，可證明輔助參加人衛福部所採取之以代碼等方式雙重加密之方式即符合法律規定。參酌上述輔助參加人衛福部就資料之加密及申請利用所採取之各項資訊安全管控措施，即令輔助參加人衛福部仍保有解密之工具，但資料經層層加密及管控後顯然已非一般無先前資訊之申請人可直接或輕易透過公開資料而間接識別，符合法律所定「資料經過蒐集者依其揭露方式無從識別特定之當事人」之要件。

㈢建置「衛生福利資料科學中心」目的既在促進公共衛生決策品質、相關學術研究及醫療保健服務業等相關產業研發創新，亦屬輔助參加人衛福部之法定職掌，被上訴人提供健保資料供輔助參加人衛福部建置「衛生福利資料科學中心」即係協助衛福部執行法定職務，有其必要性，且現行加密作業方式已改為由輔助參加人衛福部派專人至被上訴人執行加密作業，再攜回加密之資料，原始資料自始均未曾離開被上訴人，加密後之資料並由輔助參加人衛福部依衛福部衛生福利資料應用管理要點進行控管，事前事後均已採取適當之安全維護措施，亦符合新個資法第6條第1項但書第5款「為協助公務機關執行法定職務之必要範圍內，且事前或事後有適當之安全維護措施」之規定等語，資為抗辯，求為判決駁回上訴人之訴。

五、輔助參加人國衛院則以：

㈠被上訴人為促進國內全民健保相關研究，以提升醫療衛生發展，藉以達增進公共利益之目的，依新個資法第16條但書第2款、第5款之規定，將被上訴人所蒐集之健保資料經過匿名等去個人化處理後，委託建置「全民健康保險研究資料庫」對外提供學術研究利用，就此「財訊」週刊亦以斗大「兩千三百萬人健保資料找到肝癌解藥」之標題讚揚運用該資料庫所得到之寶貴成果，足見該資料庫資料之運用確有利於公共利益或學術研究而有必要。輔助參加人國衛院更定期舉辦相關研討會及教育推廣活動，而致力於「全民健康保險研究資料庫」正確使用觀念含個人隱私維護之推廣及優良研究成果之發表，此確足提昇我國之醫療品質，亦足見輔助參加人國衛院對於「全民健康保險研究資料庫」對外提供使用乙事之用心。綜上，縱認被上訴人將所掌健保資料提供予輔助參加人國衛院建置「全民健康保險研究資料庫」屬目的外利用，然此亦符合新個資法第16條但書第2款及第5款規定之要件，而無任何之違法情事。

㈡蓋無論舊個資法第8條第4款、第7款抑或新個資法第16條但書第2款、第5款均有規定於該當「為增進公共利益者」及「為學術研究而有必要者」之要件下，得就所蒐集之個人資料為目的外利用，故新、舊個資法就此目的外利用之要件並無差異。本院廢棄判決雖有指摘前審判決有關於新舊個資法之適用有所不當，然針對前審判決之其餘理由，即被上訴人就所蒐集「健保資料」為目的外利用乙節符合司法院釋字第603號解釋、新個資法第16條之規範意旨等情，並未見指摘其有違背法令之情事，故前審判決此部分之認定尚無任何不當或違法之處等語，資為抗辯，求為判決駁回上訴人之訴。

六、原審斟酌全辯論意旨及調查證據之結果，以：

㈠按關於課予義務訴訟事件，行政法院係針對「法院裁判時原告之請求權是否成立、行政機關有無行為義務」之爭議，作成法律上判斷，故其判斷基準時點，非僅以作成處分時之事實及法律狀態為準，事實審法院言詞辯論程序終結前之事實狀態的變更，法律審法院裁判前之法律狀態的變更，均應加以考量（本院100年度判字第1924號、98年度判字第1211號、92年度判字第1331號、89年度判字第1659號等判決參照）。本件上訴人訴請被上訴人就其等之申請，應作成准予停止將上訴人之個人健保資料提供予輔助參加人國衛院建置「全民健康保險研究資料庫」及輔助參加人衛福部建置「衛生福利資料科學中心」及分中心作為學術或商業利用之行政處分，係屬課予義務訴訟，有關法律修正之適用問題，應以行政法院事實審言詞辯論終結時為基準時。查上訴人等人先後於101年5月9日、5月22日、6月26日，以存證信函向被上訴人表示拒絕將其個人健保資料用於原目的外使用，經被上訴人分別於101年6月14日、同年7月9日，以系爭函文回復上訴人，當時有效法律仍為舊個資法；迨上訴人提起訴願後，舊個資法始修正為新個資法，揆諸上開說明，本件原則上應適用新個資法。

㈡系爭函文性質上屬行政處分，自得為行政訴訟之訟爭對象：按新個資法第3條規定：「當事人就其個人資料依本法規定行使之下列權利，不得預先拋棄或以特約限制之：一、查詢或請求閱覽。二、請求製給複製本。三、請求補充或更正。

四、請求停止蒐集、處理或利用。五、請求刪除。」可知為保障並強化當事人就其個人資料擁有自決權，新個資法賦予當事人重要之「武器」，除法律另有特別規定外，原則上當事人對於蒐集或持有個人資料者，無論是公務或非公務機關，皆有該條所規定之權利，且該等規定不得預先拋棄或以特約限制之。又同法第11條第4項規定：「違反本法規定蒐集、處理或利用個人資料者，應主動或依當事人之請求，刪除、停止蒐集、處理或利用該個人資料。」第13條第2項規定：「公務機關或非公務機關受理當事人依第十一條規定之請求，應於三十日內，為准駁之決定；必要時，得予延長，延長之期間不得逾三十日，並應將其原因以書面通知請求人。」另參酌新個資法第13條之立法理由：「……當事人向公務機關或非公務機關請求查詢、閱覽、製給複製本，或請求更正、補充、刪除、停止蒐集、處理或利用其個人資料，遭駁回拒絕或未於規定期間內決定時，得依相關法律提起訴願或訴訟，自不待言。」可知新個資法在於規範資料蒐集者對其所蒐集之個人資料，有維護其正確性之義務；且其蒐集須基於特定目的，當事人如發現資料蒐集者違反該法所定蒐集、處理或利用個人資料之相關規定，均有請求資料蒐集者更正、補充，或刪除、停止蒐集、處理或利用該個人資料之權利。且依前述規定，當事人向行政機關提出上開請求，行政機關應依據相關規定為審查，於期限內為准駁之決定，並通知當事人。換言之，人民依據新個資法向行政機關請求停止蒐集、處理或利用，性質上係請求行政機關作成一准予停止蒐集、處理或利用之行政處分，而非僅請求行政機關作成一單純提供之事實行為，故於行政機關否准當事人之請求所為之決定，乃係機關就公法上具體事件所為之決定而對外直接發生法律效果之單方行政行為，其性質為行政處分，是以，行政機關於否准其請求時，人民自得對之循序提起訴願、課予義務訴訟，以資救濟。

㈢本件被上訴人所蒐集之個人健保資料，主要係依全民健康保險法、全民健康保險醫療辦法、全民健康保險醫療費用申報與核付及醫療服務機構審查辦法（原名稱：全民健康保險醫事服務機構醫療服務審查辦法）等相關法令規定，在其職掌範圍內，由保險醫事服務機構申報醫療費用及上傳健保IC卡之就醫紀錄而來，符合新個資法第15條第1款「執行法定職務必要範圍內」之規定，兩造對此並無爭執。兩造所爭執者，在於被上訴人將上訴人之個人健保資料提供予輔助參加人國衛院建置「全民健康保險研究資料庫」及輔助參加人衛福部建置「衛生福利資料科學中心」及分中心，是否合法，其性質應屬公務機關對於個人資料之「利用」行為。因此本件審究之重點，在於被上訴人對上訴人個人健保資料之利用，是否合法有據乙節。查被上訴人依全民健保法第7條規定，為全民健保之保險人，為執行全民健康保險法所定全民健保業務之法定職務，基於全民健保之特定目的，即得蒐集相關個人資料，並得於上開蒐集之特定目的內利用之。本件個人健保資料雖屬新個資法第6條所稱「有關醫療或健康檢查」之個人資料，惟其蒐集、處理及利用，仍應依新個資法第6條第1項但書第4款、第15條、第16條規定辦理。前揭規定，乃規範公務機關蒐集處理個人資料後，合法利用該個人資料之要件。準此，公務機關利用前揭個人資料，須「應於執行法定職務必要範圍內為之」、「與蒐集之特定目的相符」；且資料蒐集者原則上應於「特定目的內」使用，僅例外在某些狀況下才能作「特定目的外」之利用。

㈣被上訴人將上訴人之個人健保資料提供予輔助參加人國衛院建置「全民健康保險研究資料庫」及輔助參加人衛福部建置「衛生福利資料科學中心」及分中心，尚在被上訴人執行法定職務必要範圍內為之：

⒈被上訴人於87年間委託該院建置「全民健康保險研究資料庫」，於同年2月3日依勞務採購之方式與輔助參加人國衛院簽有「全民健康保險學術研究資料庫建立及管理契約」；嗣於89年起正式對外提供學術研究利用。由上開契約第2條第1項規定可知，被上訴人所委託輔助參加人國衛院之標的為「……進行資料加值服務，負責健保研究資料庫之建置、對外提供、開放使用等相關事務與勞務」。

⒉又查輔助參加人衛福部於96年1月31日陳報行政院通過「國民健康資訊建設計畫」，為推動健康資料加值應用，以加強統計支援決策功能，並增進學術研究能量，而於98年3月1日成立「健康資料加值應用協作中心」（該中心於104年5月5日、同年8月12日依序更名為「衛生福利資料統計應用中心」、「衛生福利資料科學中心」），並於100年2月1日開始對外營運。其建置目標主要係為將所蒐集之健康資料，於去識別化後，提供一平台予政府機關及學術單位予以加值利用，以產生具應用價值之集體資訊，用以促進公共衛生決策品質及相關學術研究之統計應用，進而增進公共利益與全民福祉等情，有更名前「健康資料加值應用協作中心」之網頁資料可稽。

⒊依被上訴人組織法第2條第5款及第8款規定，可知全民健康保險醫療服務審查業務與醫療品質提升業務之研擬、規劃及執行，與其他有關全民健康保險業務事項，均屬被上訴人之掌理事項，是國內全民健保相關研究之促進、醫療衛生發展之提升等自屬被上訴人之職掌，故被上訴人將上訴人之個人健保資料提供予輔助參加人國衛院建置「全民健康保險研究資料庫」及輔助參加人衛福部建置「衛生福利資料科學中心」及分中心，尚在被上訴人執行法定職務必要範圍內為之。

㈤被上訴人將上訴人之個人健保資料提供予輔助參加人國衛院建置「全民健康保險研究資料庫」及輔助參加人衛福部建置「衛生福利資料科學中心」及分中心，符合新個資法第6條第1項但書第4款及第16條但書第5款之特定目的外之利用：

⒈個人對自身資訊固應有處理與利用之自主權利，但基於個人資料的有用性，個人資料之合理利用，同係新個資法的立法目的之一，是以個人資料的自主權利或資訊自決權，自不免存在著他人合理利用範圍，所以新個資法立法目的在於個人資料的「保護」，而非個人資料的「保密」，當個人權益與重大公共利益相衝突時，個人資訊的自主決定權應須有所退讓。因此，如何確保個人資料之保護，又能合理利用個人資料，促進社會進步，使兩者保持平衡，始符合新個資法之立法宗旨。準此個人對自身醫療或健康資料之自主權，非不得因醫（疫）學研究之公益目的需要而受合理之限制，據此本件被上訴人之利用行為是否適法，非單一法益之考量，而須進行前述利益衡量，當公共利益顯大於個人資料之保護而有必要時，公務機關即得蒐集、處理或利用個人資料。

⒉經查，被上訴人有鑑於我國目前全民健保納保率達到99％以上，使得健保資料成為醫藥衛生相關領域研究中具有代表性的實證資料，其研究成果可作為醫藥衛生政策的參考，為重要的研究資源；故自87年起，委託輔助參加人國衛院推動「全民健康保險研究資料庫」之建置，經過兩年籌備，自89年起提供學界健保資料庫加值服務，以利相關研究。其對學術界提供「一般申請」與「特殊需求」兩類服務，「一般申請」係提供4種制式光碟片加值資料檔，包括基本資料檔、系統抽樣檔、特定主題分檔、承保抽樣歸人檔等；「特殊需求」則由研究人員依研究計畫提出擷取條件，其工作人員自加值資料庫擷取特定資料後提供。又輔助參加人衛福部依國民健康資訊建設計畫（National Health Informatics Project, NHIP）」，成立「衛生福利資料科學中心」，其建置目標係將個別健康資料予以加值，產生具應用價值之集體資訊，以促進公共衛生決策品質、相關學術研究及醫療保健服務業等相關產業研發創新之參據，用以增進全民福祉等情，有相關網頁資料附卷可稽。可知被上訴人將上訴人之個人健保資料提供予輔助參加人國衛院建置「全民健康保險研究資料庫」及輔助參加人衛福部建置「衛生福利資料科學中心」，係為學術研究之目的，且具公共利益，至為明確。

⒊且被上訴人將所掌之全民健保資料，委託輔助參加人國衛院建置「全民健康保險研究資料庫」對外提供學術研究利用，其目的既係基於提升國內醫療品質、促進國內醫療研究等公益目的，而國內醫藥衛生研究人員亦確實多運用該資料庫資料，發表大量學術研究成果並刊載於國內外期刊，學界申請研究踴躍，激盪研究能量，以103年向「衛生福利資料科學中心」所申請之最新資料觀之，被上訴人所為利用行為確實已促成諸多學術研究成果並刊載於國內外期刊。此外，前開國內醫療衛生及全民健保發展之成果乃全民所得共享，此參「財訊」週刊所刊載「兩千三百萬人健保資料找到肝癌解藥」之標題，亦足見其確有助於國內醫療衛生及全民健保發展此一行政目的之達成，就此應有該當於所謂「適當性原則」。被上訴人就所掌「健保資料」為利用前均已經層層加密程序而使該資料無從識別特定之當事人（詳如後述），對於當事人之隱私已有相當保障，故被上訴人業已依侵害最小之手段達成行政目的，就此應有該當於所謂「必要性原則」，所欲追求之公益遠大於個資之保護私益而有必要，就此應有該當於比例原則。

⒋次按依輔助參加人衛福部組織法第2條規定，舉凡與衛生福利政策、法令、資源之規劃、管理、監督與相關事務之調查研究或其他一切與衛生福利有關之事項，而有辦理統計之必要時，均為統計法第3條所稱輔助參加人衛福部應辦理之統計，而屬輔助參加人衛福部法定職掌。從而，為辦理衛生福利相關事項之統計，輔助參加人衛福部即可本於法定職掌請求被上訴人提供健保資料，無需如上訴人所主張須限於「全民健保財務之政策規劃、管理及監督」之範圍。而輔助參加人衛福部所建置「衛生福利資料科學中心」係依據「國民健康資訊建設計畫」而來，主要目的係為將所蒐集之健康資料，於去識別化後，提供一平台予政府機關及學術單位予以加值利用以產生具應用價值之集體資訊，用以促進公共衛生決策品質、相關學術研究及醫療保健服務業等相關產業研發創新之參據，用以增進公共利益與全民福祉。足見，輔助參加人衛福部基於學術、醫療研究之目的，本需有全民健保之實際統計資料，以便解讀該等統計數字所呈現之科學上意義，凡此均足見被上訴人之利用行為具有必要性亦符合比例原則，自符合新個資法第6條第1項但書第4款及第16條但書第5款之要件。上訴人雖主張輔助參加人國衛院於網站上有區分提供學術單位及非學術單位利用，即係有提供商業利用云云，經查，前開類別僅為申請人類別之區分，無論係何種申請類別，其所申請資料均仍應用於學術研究之目的，上訴人逕將「非學術研究類」與「商業利用」劃上等號，尚非可採。

⒌被上訴人提供輔助參加人國衛院所建置「全民健康保險研究資料庫」及輔助參加人衛福部所建置「衛生福利資料科學中心」及分中心，經過處理後其揭露方式已符合新個資法施行細則第17條之規定而無從識別特定之當事人：

⑴輔助參加人國衛院部分：

①依被上訴人委託輔助參加人國衛院建置「全民健康保險研究資料庫」，並與其簽有「全民健康保險研究資料庫建置及管理契約」在卷，依該契約第2條規定可知，被上訴人所委託輔助參加人國衛院之標的為「進行資料加值服務，負責健保研究資料庫之建置、對外提供、開放使用等相關事務與勞務」。而各醫療院所申報醫療資料予被上訴人後，即為被上訴人所蒐集之原始資料（明碼），該資料先經被上訴人去除個人資料中之姓名，並將個人資料中之病患ID、醫師ID、藥師ID、醫事機構代碼等欄位資料為第一次加密(加密即指以加密程式將特定欄位作變造)而進入被上訴人之「倉儲資料庫」，嗣委託輔助參加人國衛院建置「全民健康保險研究資料庫」時，所提供之資料乃再將前開病患ID、醫師ID、藥師ID、醫事機構代碼等欄位資料經過第二次加密，而成為輔助參加人國衛院「全民健康保險研究資料庫」之原始資料。嗣輔助參加人國衛院將「全民健康保險研究資料庫」之資料對外提供服務時，乃再另為加密，原始資料之ID長度亦從原來之10碼變為32碼。

②再查，輔助參加人國衛院就前開委託事項，業將「加值服務申請原則」公開於輔助參加人國衛院網頁，以供申請者公開瀏覽之。而申請者通常會依據輔助參加人國衛院網頁所載之聯絡電話，先洽詢相關問題，以瞭解申請細節與應遵循之規則，後續才提出服務申請案（或不申請）。又服務申請表單並已e化，採線上填寫，惟「全民健康保險研究資料庫資料加值服務使用同意書」需提供蓋章簽名正本，另併同研究計畫書及該計畫書經任一合格之「倫理審查委員會（IRB）」審查通過證明文件影本，郵寄予輔助參加人國衛院。待輔助參加人國衛院收到該申請案後，行政人員會先檢視各項資料填寫完整性，後續再將申請案送交專家學者（按通常為二名），請其提供諮詢意見（專家學者為輔助參加人國衛院所聘之委員，委員會之組成為參加人國衛院依契約附件「加值服務申請原則」之「五、監督管理」規定執行），有全民健康保險研究資料庫加值服務申請原則及申請流程等影本在卷為憑。且輔助參加人國衛院就資料為對外供學術研究之提供，依全民健康保險研究資料庫加值服務申請原則第5點（三）之規定，申請人所申請資料應符合研究所需，並遵循最少資料原則及抽樣原則，以保護個人隱私。最少資料原則係指每件申請案以僅提供其研究所需最少資料為原則。申請案之資料採分年計畫，每年所申請之資料以不超過該年資料總量10％為原則，凡超過10％上限者，輔助參加人國衛院將請申請人以抽樣或限縮擷取條件等方式減量後提供，可知被上訴人原始蒐集之個人健保資料，經被上訴人及輔助參加人國衛院進行層層加密措施，且建構防止資料外流之處理程序，已無從識別特定當事人，自合於新個資法第6條第1項但書第4款及第16條但書第5款之去識別化要件。

③上訴人雖提出原證2之投影片資料主張被上訴人所為之「加密」程序未達「無從識別特定當事人」之程度云云。惟查，該原證2除第1頁之第2張投影片屬輔助參加人國衛院網站所得資料外，其餘投影片內容均為上訴人所自行製作，其中第1頁之第1張投影片之內容，被上訴人並否認其真實，是上訴人前開主張真實性，已有所疑。上訴人雖主張原證2第3頁以下所檢附之承保資料檔、門診處方治療明細檔等資料可得出特定當事人云云，然姑不論該等資料是否為真，依上訴人所檢附之資料觀之，其身分證字號欄位均屬亂碼資料，無從得以識別特定個別當事人之情事或可能。況縱如上訴人所稱仍得識別特定當事人云云，乃因其係先掌握特定個人之完整個資，再據該個資比對申請所得之資料，藉以確認比對出之結果為該特定個人，此與一般社會大眾在未事先知悉特定人身分之情況下，經由其揭露方式無從識別出特定個人身分之隱私暴露情形有異。上訴人據此主張被上訴人之「加密」程序未達「無從識別特定當事人」之程度云云，洵不足採。

⑵輔助參加人衛福部部分：

①輔助參加人衛福部建置「衛生福利資料科學中心」之目的係為提供健康資料加值處理以供政府機關作為決策參考或供學術機構作次級資料分析及相關加值應用，並訂有「衛生福利部健康資料加值應用協作中心健康資料庫建置及使用作業規範」作為資料庫使用及管理之依據，依上開資料庫建置及使用作業規範第6點即限制得申請使用資料庫之資格及目的限於政府機關為業務需求之公益目的或各學術單位或相關醫事機構之研究用途需求為限。

②其次，輔助參加人衛福部就所提供之資料及申請流程進行以下去識別化及資訊安全保護措施，確保個人資料不致外洩而損及當事人權益：將所提供之個人資料進行雙重加密，使資料庫所提供之資料無從直接或間接識別個人資訊（前揭資料庫建置及使用作業規範第12點參照）。資料欄位經篩選，以審查是否符合申請目的，且僅提供部分欄位資料檔而非全欄位資料檔（前揭資料庫建置及使用作業規範第5點、第8點參照）。於實體隔離之獨立作業區域進行資料加值分析：就此，輔助參加人衛福部訂有「衛生福利部健康資料加值應用協作中心獨立作業區作業規範」及「獨立作業區使用人員注意事項」，採用實體隔離之獨立作業區域提供分析人員使用，為設有門禁管制並裝設監視設備之獨立空間、出入需配戴識別證、為單一出入口、僅可於指定電腦作業、無對外網路、不可攜入實體參考文件、手機、攝（錄）影機、筆記型電腦、個人數位處理器（PDA）、隨身碟及各類可攜式儲存攝錄設備，如需紙筆須向值班人員申請並須於離場前繳回專用紙筆，且全天候進行監控錄影。以確保使用者無從自行攜入其他資料，藉以進行加密資料比對破解。使用資料庫人員需簽署保密切結書及資料使用聲明書（前揭資料庫建置及使用作業規範第9點參照）。僅允許攜出不具識別性之統計結果，個案資料不許攜出（前揭資料庫建置及使用作業規範第12點〈五〉〈六〉〈七〉之規定參照）。

③由以上資料申請及處理過程，可知輔助參加人衛福部就被上訴人所提供之健保資料已進行相當嚴格之去識別化之加密處理，無從識別特定個人之資訊，並於資料提供之審查及作業過程設有相當嚴謹之管控及作業規範，以確保個人資料不致外洩，足證資料提供利用之處理程序，已無從識別特定當事人，自合於新個資法第6條第1項但書第4款及第16條但書第5款之去識別化要件。上訴人主張輔助參加人衛福部所為之加密處理，並未達到「去識別化」程度云云，尚非可採。

⑶上訴人雖主張被上訴人及輔助參加人衛福部均已自承，被上訴人提供予輔助參加人衛福部之健保資料係原始未加密之可識別資料，再由輔助參加人衛福部以其程式自行加密，並保留解密之金鑰。因此，被上訴人將未加密之健保資料提供予輔助參加人衛福部，使之與其他行政機關建立之資料庫進行串連比對之目的外利用行為，顯然不符合新個資法第16條但書第5款及第6條第1項但書第4款應由被上訴人負擔「資料去識別化」義務之規定云云。然按新個資法第16條但書第5款及第6條第1項但書第4款所規定「資料經過提供者處理後或蒐集者依其揭露方式無從識別特定之當事人」等語，乃指「提供者處理後」或「蒐集者依其揭露方式」二者「擇一」達到無從識別特定之當事人即可，而非指需「併同」達到無從識別特定之當事人，此參新個資法第6條第1項但書第4款及第16條但書第5款乃規定「或」而非「及」即明。經查，輔助參加人衛福部依其組織法之職掌本即包含：「衛生福利政策、法令、資源之規劃、管理、監督與相關事務之調查研究、管制考核、科技發展及其他有關衛生福利事項」等，其建置「衛生福利資料科學中心」目的既在促進公共衛生決策品質、相關學術研究及醫療保健服務業等相關產業研發創新，亦屬輔助參加人衛福部之法定職掌，被上訴人提供健保資料供輔助參加人衛福部建置「衛生福利資料科學中心」及分中心即係協助輔助參加人衛福部執行法定職務，為統計或學術有其必要性，且現行加密作業方式已改為由輔助參加人衛福部派專人至被上訴人執行加密作業，再攜回加密之資料，原始資料自始均未曾離開被上訴人機關，加密後之資料並由輔助參加人衛福部依前述作業及管理規定進行控管，事前事後均已採取適當之安全維護措施，自符合新個資法第16條但書第5款及第6條第1項但書第4款所規定「資料經過蒐集者依其揭露方式無從識別特定之當事人」之要件，上訴人前揭主張，自無足採。

⑷上訴人雖主張輔助參加人國衛院所建置「全民健康保險研究資料庫」及輔助參加人衛福部所建置「衛生福利資料科學中心」及分中心，仍有間接識別特定個人之可能，並聲請至前揭資料庫及中心調查證據。惟查上訴人所聲請調查證據之方式，係請求至前揭處所，針對健康資料檔之資料進行搜尋及測試，其方法為上訴人提供特定個人可公開取得之部分承保與就醫資訊，藉由連接資料之搜尋，得出資料檔中該特定個人的醫療資料。亦即，上訴人係在已知悉特定個人之身分之前提下，經輸入業已得知之資料以進行確認之程序，與一般社會大眾在未事先知悉特定人身分之情況下，經由揭露方式無從識別出特定個人隱私暴露之情形有異，以此方式調查證據，並主張輔助參加人所建置資料庫及資料科學中心仍得間接識別特定個人之可能云云，自無足採。況且，上訴人聲請調查證據之方式亦與現行輔助參加人之作業及管理方式不符，以此調查證據，並不可採。蓋依輔助參加人衛福部「衛生福利資料科學中心」使用資料注意事項所示，申請者申請至該中心使用資料庫檔案進行加值應用，需事先填具申請單，載明申請者資料、實際處理資料人員清冊、研究計畫摘要、預計使用資料檔清單，尤其需敘明勾選之資料檔欄位，不允許全欄位申請，且限制最多可勾選之欄位數（每一資料檔允許勾選之最多欄位均不相同），供該中心事先審核申請者所申請勾選之欄位需求與所申請之研究目的是否相符，並進行二次加密後，始通知申請者至指定處所進行加值應用，且進行資料處理時不允許申請者攜入任何紙筆、隨身碟等任何資料儲存媒介、連接外部網路等等，只能使用中心提供之電腦在全程錄影下作業（業如前述）。故該中心之作業方式原則上所申請之檔案欄位均應事先審核是否與申請目的相符並加密，事實上亦不允許申請者以特定個人之部分身分資料檔案進行檔案間之搜尋連結，是上訴人以實際作業上所不可能提供特定個人之部分資料方式進行檔案之搜尋為其調查證據方式，自難採取，原審法院認無調查之必要，上訴人主張被上訴人及輔助參加人構成行政訴訟法第135條訴訟上不當之證據妨礙行為云云，亦無足採。

㈥上訴人另主張縱令被上訴人之利用行為合法，然其基於資訊自主權，仍可事後請求停止原蒐集目的外之利用云云。惟按，個人資訊隱私權為憲法保障之基本權利，人民固有自由決定是否揭露其個人資料、及在何種範圍內、於何時、以何種方式、向何人揭露之決定權，並有對其個人資料之使用有知悉與控制權及資料記載錯誤之更正權；惟憲法對資訊隱私權之保障並非絕對，國家得於符合憲法第23條規定意旨之範圍內，以法律明確規定對之予以適當之限制，為司法院釋字第603號解釋闡述明確。再參酌新個資法第1條之規定，可知新個資法之立法目的有二，其一為個人隱私權之保護，避免人格權受侵害，另一是促進個人資料之合理利用。其中保護個人隱私權之立法目的，為一般人較易認知之概念，後者有關個人資料合理利用之立法目的，則易受到忽略。然各類個人資料經蒐集處理成檔案後，如能妥善利用，不論在政府行政、經濟發展、學術研究等各方面，均能發揮莫大功能，有效達成公益目的。因此，基於個人資訊隱私權並非絕對權利，立法者自得在保障個人資料之隱私，以及合理利用個人資料之平衡考量下，限制個人資訊隱私權。因此，上訴人雖主張資訊自主權有事前與事後控制權，然就權利本質而言，兩者應屬一體之兩面，法律既已限制事前同意權，亦應同時限制事後排除權，否則被上訴人得不經個人同意利用其資料，個人卻能任意行使排除權，則法律所欲達到合理利用個人資料、增進公共利益之目的顯無以達成，如此一來，個人資訊自決權反成絕對權利，當非立法本旨，是上訴人主張其有不受限制之「事後退出權」乙節，尚無依據。又上訴人另主張其等8人行使事後排除權，就相對於被上訴人所提供全國民眾健保資料之數量比例而言，微不足道，不影響學術研究，故應允許其等行使事後排除權云云。然個人得否行使事後排除權，其理由已如上述，應非以數量比例或影響力強弱等事由，作為判斷依據，其主張自無足採。

㈦綜上所述，本件上訴人之主張委無足採，原處分據以駁回上訴人之申請，並無違誤，訴願決定予以維持，亦無不合。上訴人訴請撤銷訴願決定及原處分，並請求被上訴人應作成如其聲明所示之行政處分，為無理由，應予駁回。

七、上訴人上訴意旨略以：

㈠原審法院作成本次判決之合議庭法官，曾參與本院廢棄判決發回更審之審理過程，具有應迴避事由卻未依法自行迴避，不但顯然違反行政訴訟法第19條第5款規定，且揆諸法官迴避制度之本旨，若法官先後參與更審前、後同一事實審法院之審判時必須自行迴避，則對連續參與法律審及發回事實審法院審理之法官，更應命其迴避，以維護法官迴避制度之精神及訴訟當事人對於司法客觀、公正性之信賴。依此，原審法院之審判程序應有違反行政訴訟法第243條第2項第2款之情形，構成判決當然違背法令。

㈡更審法院以組織法之執掌與新個資法第16條但書對目的外研究利用之規定，作為國家大規模強制蒐集人民健康資料後轉而建立資料庫之法律依據，有判決違背司法院解釋與不備理由之當然違背法令：

⒈司法院釋字第603號解釋既已認為國家大規模蒐集人民「指紋」並建立資料庫，應有法律作為其依據，則本案所涉之全民健保個資，依據舉重以明輕之法律解釋原則，理應受到較指紋更高之保護，其大規模之蒐集與資料庫之建立，應適用司法院釋字第603號解釋揭示之法律原則，由法律明文其設置之依據，方屬合憲。

⒉本案被上訴人係依據全民健康保險法之規定蒐集上訴人之健保個資，固然符合法律保留原則，但被上訴人轉而將該等個資提供予輔助參加人建置大型資料庫，不僅已脫逸全民健康保險法原始設定之蒐集目的，其所依據者也並非全民健康保險法或其他相關法律中，明確授權被上訴人可將大規模蒐集之全民健保個資，轉而儲存為資料庫供處理與利用之任何規定，而是被上訴人組織法之執掌與新個資法第16條但書第5款有關目的外學術研究利用之一般性規定。該等一般性規定，均未就大規模蒐集全民健保個資轉而建立資料庫之「特定公益目的」有所明文，更未就大規模蒐集與儲存全民健保個資之範圍及方式予以特定。因此立法者根本不可能對全民健保資料庫中可能發生的各種實際利用，與特定目的進行必要性與關連性的衡量。

⒊更審法院未查，竟持以作為國家大規模蒐集全民健保資料以建立資料庫的法律依據，進而判決肯認被上訴人提供健保個資予輔助參加人設置全民健保資料庫之合法性，顯然違背司法院釋字第603號解釋所稱應由「法律明訂蒐集目的」的意旨。上訴人在原審與更審階段，雖一再主張被上訴人對上訴人個資之利用行為違反該號解釋意旨，但更審法院未置一詞即駁回起訴，實有判決不備理由及不適用司法院解釋之當然違背法令。

㈢更審法院以組織法之執掌，解釋新個資法第16條「執行法定職務」之要件，有適用法規不當之判決違法：

⒈本案被上訴人之組織法規範內容，僅屬事務權限分配之規定，並無法作為限制個人資訊自主權的「法定職務」基礎。除此之外，遍查全民健康保險法或其他法令，亦均無其他作用法，明訂被上訴人有將全民健保個資交付予輔助參加人建置資料庫之「法定職務」相關規定。被上訴人在欠缺作用法明確授權之「法定職務」依據下，仍對上訴人之健保個資進行超出原始蒐集目的以外之利用，即顯然逾越新個資法第16條要求公務機關對個人資料之利用必須在「執行法定職務必要範圍內」之規定。

⒉更審法院竟直接以被上訴人之組織法規定，充作公務機關限制個人資訊自主權之「法定職務」依據，已違背行政法基本原則與司法院釋字第535號解釋「行政機關行使職權，固不應僅以組織法有無相關執掌規定為準，更應以行為法（作用法）之授權為依據，始符合依法行政之原則。」之意旨。因此，更審法院將被上訴人組織法第2條第5款、第8款規定，視為被上訴人將上訴人之健保個資提供予輔助參加人建置資料庫之「法定職務」依據，不但解釋、適用新個資法第16條明顯不當，更混淆「組織法、作用法」應予明確區隔之行政基本原則與司法院解釋，判決自屬當然違背法令。

⒊而更審法院未參酌本院廢棄判決意旨，調查確認被上訴人對上訴人健保個資所為之利用，是否在其執行全民健康保險法所定保險業務之「法定職務必要範圍」內，亦有判決違反行政訴訟法第260條之當然違法。

㈣更審法院以個資需用機關之違法間接蒐集，作為原蒐集公務機關目的外利用個資之依據，有不適用法規與適用不當及不備理由之判決當然違背法令：

⒈依統計法施行細則第14條及第15條規定足見，所謂「檔案表冊」均屬「統整性資料」，而非各筆全民健保之原始資料。輔助參加人衛福部縱令得依統計法施行細則第77條向被上訴人調用全民健保之「檔案表冊」，亦僅指被上訴人應提供其辦理統計業務所產生之報告、冊籍、圖表與儲存媒體，以及調查表、登記冊、整理表或報告表等相關之統整性資料，而非謂輔助參加人衛福部即得據此全面性地向被上訴人逐筆調閱可識別之原始全民健保個資。

⒉更審法院不查，竟籠統地以統計法第3條作為輔助參加人衛福部向被上訴人調用「各筆全民健保原始資料」的法律依據，違反新個資法第15條，規範公務機關蒐集個資，若非經當事人同意或對當事人權益無侵害，僅能基於「執行法定職務必要範圍內」之規定，已屬判決不適用法規之違法。

⒊更審法院再以輔助參加人衛福部此等違反新個資法第15條之蒐集行為，作為被上訴人依新個資法第16條但書第5款對輔助參加人衛福部提供全民健保原始資料，供其進行統計與研究之依據，亦有不當解釋適用新個資法第16條但書第5款之判決違法。

⒋上訴人於更審階段，雖一再主張，統計法及其施行細則相關規定，並未賦予輔助參加人衛福部得據以向被上訴人取得「各筆全民健保原始資料」之權限，更審法院對此竟未置一詞，即駁回起訴，復有判決不備理由之當然違背法令。

㈤更審法院以「資料接收者」事後之再揭露行為，作為判斷「原始蒐集者」提供二次利用之資料是否已達新個資法第16條但書第5款「無從識別特定當事人」之基準點，顯有理由矛盾與適用法規不當之判決當然違法：

⒈被上訴人及輔助參加人衛福部均自承，被上訴人提供予輔助參加人衛福部之健保資料，係原始未加密之可識別性資料，更審法院亦認定，被上訴人與輔助參加人衛福部間之作業方式，確係「由輔助參加人衛福部派專人至被上訴人執行加密作業，再攜回加密之資料」。詎料，更審法院雖認知此等事實，竟稱新個資法第16條但書第5款及第6條第1項但書第4款所規定「資料經過提供者處理後或蒐集者依其揭露方式無從辨識特定之當事人」等語，乃指「提供者處理後」或「蒐集者依其揭露方式」二者「擇一」達到無從識別特定之當事人即可，而非指需「併同」達到無從識別特定之當事人，因此輔助參加人衛福部既已在接收資料後自行加密，即已屬無從識別，而非謂僅能由原始蒐集者（即被上訴人）提供無從識別之資料云云。

⒉惟查，更審法院上開解釋，無異於允許二次利用的「資料接收者」以其單方作為免除「原始蒐集者」原應負有使「資料接收者」，無從自其所接收之資料直接或間接識別特定個人的擔保責任。此與更審法院先前所謂個人資料是否不再具有識別性，「應以資料接收者之角度判別揭露之資料是否具有直接或間接識別之可能」的見解，背道而馳。

⒊再者，更審法院就「資料經過提供者處理後或蒐集者依其揭露方式無從識別特定之當事人」等語所為之解釋，雖強調文句中連結前後條件者為「或」而非「且」，因此只要二條件擇一，達到無從識別特定之當事人即可。然而系爭條文解釋之真正關鍵應在於「依『其』揭露方式無從識別特定之當事人」中的「其」，所指為何人。若二次利用前，應由「原始蒐集者（即二次利用之資料提供者或揭露者）」負責擔保所提供之資料，對「資料接收者」而言已無從識別特定個人，始能貫徹個人資料保護的目的特定與利用限定原則，則「原始蒐集者」自應於資料提供前，進行去識別化之「處理」（此即「資料經過提供者處理後無從識別」），「或」雖未經特別的去識別化處理，但原始蒐集者僅「揭露」無從識別特定個人之部分予二次利用之資料接收者（此即「經蒐集者依其揭露方式無從識別」）。從而，系爭條文當中的「其」，就應指「原始蒐集者」始符合個資保護與體系解釋之原則。

⒋更審法院不查，竟以條文允許「提供者處理後」或「蒐集者依其揭露方式」二者「擇一」，即誤認為可依蒐集者（即二次利用之資料接收者，在本案中即為輔助參加人衛福部）將資料進一步對外「揭露」時的揭露方式，判斷原始蒐集者（在本案中即為被上訴人）提供二次利用之資料，是否達到無從識別特定當事人之程度，其在解釋適用個資法第16條但書第5款與第6條第1項但書第4款時，復有適用法規不當之判決違法。

㈥更審法院禁止以對照、組合、連結其他公眾可得資料之方式，證明系爭資料仍具有間接識別特定個人之可能，顯有理由矛盾與不適用法規之判決當然違法：

⒈姑不論上訴人用以證明輔助參加人國衛院與衛福部對外釋出的資料仍具間接識別性之證據方法，是否確如更審法院所稱「係先掌握特定個人之完整個資，再據該個資比對申請所得之資料，藉以確認比對出之結果為該特定個人」，或「係在已知悉特定個人之身分之前提下，經輸入業已得知之資料進行確認之程序」，更審法院否定上訴人之主張與駁回證據調查聲請所持之理由，等於禁止上訴人以對照、組合、連結其他公眾可得資料之方式，證明系爭資料仍具有間接識別特定個人之可能，而與更審法院自己在判斷資料是否仍具間接識別性所採用之標準相背離，顯有理由矛盾之判決當然違法，亦有不適用新個資法施行細則第2條之判決違法。

⒉上訴人雖已於更審階段，一再說明所提出之模擬研究計畫之研究課題何以具有學術研究上之正當理由與價值，所申請之資料欄位與資料樣本數，相較於其他已通過之計畫亦無不合理之處，因此與輔助參加人過去曾釋出資料供利用之其他研究計畫，並無不同。惟更審法院未就上訴人所提出之理由，審查認定上訴人所提證據調查方法之合理性，並對上訴人所提出之證據調查方法提出無理質疑，實已構成行政訴訟法第135條訴訟上不當之證據妨礙行為。

㈦更審法院以「法定職務」與「第16條但書各款事由」之審查，取代「利用手段」是否符合新個資法第16條「必要範圍」與「比例原則」之判斷，有法規適用不當與判決不備理由之判決當然違法：更審法院論斷被上訴人之目的外利用符合比例原則，無非僅是將其所認定被上訴人之法定職務，涵攝於新個資法第16條但書第5款事由所規定之要件。亦即更審法院僅以被上訴人基於國內醫療衛生品質提升及全民健保發展之法定職務所為的利用，已促成相關的「學術研究」，並藉由編碼加密，達到「無從識別特定當事人」之要求，即認定被上訴人之目的外利用符合適當性、必要性與合比例性等原則。然而更審法院實際上卻從未針對被上訴人所採行之具體「利用手段」，論究即使在其所稱之研擬、規劃與執行醫療服務審查或醫療品質提升等全民健保業務的目的下，何以不能由被上訴人自行從事相關學術研究，而必須對外提供輔助參加人利用始能為之？何以不能僅由被上訴人提供統整後之統計資料予輔助參加人，竟必須對輔助參加人全面提供每一位國人健保個資，供其建立資料庫，甚至與其他資料庫相互串連？又何以為了提升醫療衛生品質或全民健保發展之目的，資料竟「一個都不能少」？換言之，更審法院除了重複論述新個資法第16條但書第5款事由所規定之要件外，根本並未針對被上訴人為達成該等法定職務目的所具體採行之「利用手段」，進行必要性與比例性之判斷，實際上架空新個資法第16條及本院廢棄判決對「利用手段」所獨立課予的規範要求，應有不適用新個資法第16條及判決不備理由之當然違法。

㈧更審法院認為法律既限制當事人之事前同意權，即當然亦限制其事後排除權，與本院認為即使具備得限制事前同意而為目的外利用之事由，其整體利用手段，仍應另受憲法比例原則拘束之意旨不符，有判決牴觸行政訴訟法第260條第3項之當然違法：

⒈依據本院廢棄判決意旨，縱使公務機關可以依據新個資法第16條但書各款規定，不經當事人之事前同意，及針對個人資料作特定目的外之利用，其具體之「利用手段」仍必須進一步受到憲法比例原則之拘束與檢驗，並非毫無限制。更審法院在前審判決中雖已指稱事前同意權與事後排除權為一體兩面，法律既已限制事前同意權，亦應同時限制事後排除權云云，惟此一法律解釋形同將新個資法第16條但書各款規定，視為均可以同時限制事前同意權與事後排除權，顯然牴觸本院廢棄判決意旨，判決當然違背法令。

⒉原判決顯然令新個資法第16條但書各款規定均成為資訊自主權之「絕對限制事由」，使新個資法第11條第3項之「事後停止請求權」在同條第4項「排除違法侵害之停止請求權」之外，原應具有以事後「選擇退出」代替事前同意之多元資訊自主權保障功能，遭到否定。因此，更審法院自創「一體兩面」之法律解釋方式，認為公務機關可以引用新個資法第16條同時限制當事人之事前同意與事後排除權，顯然違背資訊自主權之核心內涵，並有架空新個資法第11條第3項對於新個資法第3條第4款、第16條適用法令不當之當然違法。

⒊被上訴人主張基於學術研究之一般目的，而欲利用全民健保個資，並且欲同時限制當事人之事前同意權與事後停止請求權，自應逐一針對不同之研究，具體說明究竟有何具有重大、迫切之利益，可以支持公務機關採行全面限制人民資訊自主權之手段，方符合比例原則要求，而不能徒以新個資法第16條但書第5款作為限制事後退出之依據。更有甚者，若由必要性之角度觀察，相較被上訴人所蒐集訊息量極為龐大之全民健保資料，上訴人等8人之健保個資顯然只是滄海一粟、九牛一毛，縱使被上訴人同意上訴人之申請而停止對個人資料作目的外利用，顯然並不影響輔助參加人建置全民健保資料庫之整體運作，被上訴人卻拒絕上訴人行使事後停止請求權，顯然有違比例原則。因此，本案被上訴人依據新個資法第16條但書第5款，不經上訴人之事前同意而對個人資料作目的外利用，即足以達成該款所欲實現之公益目的，實無必要進一步限制當事人主張事後停止請求權。惟被上訴人在有多種可以達成相同行政目的之措施中，卻執意選擇對上訴人權益侵害最烈之手段，顯示被上訴人否准上訴人行使事後停止請求權，不符比例原則下之最小侵害原則，應為違法。而更審法院對於上訴人之主張完全視而不見，牴觸本院廢棄判決意旨及比例原則，更有判決不備理由及適用法規不當之當然違法等語。

八、本院按：

㈠本件上訴爭點之確定：

⒈本件行政爭訟為「課予義務爭訟」類型，上訴人請求被上訴人作成特定行政處分之經過及其請求內容，與被上訴人作成否准處分之理由，可簡言如下：

⑴本件上訴人共8人各自於101年5月間，向被上訴人請求作成「『停止』將其8人之健保資料提供予下列輔助參加人作下列使用」之行政處分（至於「停止」之具體執行方式，當指「將已輸入資料庫之8人健保資料刪除，並不得將該8人後續形成之健保資料提供予輔助參加人」）。

①輔助參加人國衛院係在建置「全民健康保險研究資料庫」時，將該等8人資料納入資料庫所儲存之資料中。

②輔助參加人衛福部係在建置「健康資料加值應用協作中心」與「分中心」時，將該等8人資料納入中心之資料庫中，供作學術或商業利用。

⑵被上訴人作成否准處分之經過及其理由則如下述：

①用以表徵否准處分之行政函示文號：A.101年6月14日健保企字第0000000000C號函。B.101年6月14日健保企字第0000000000D號函。C.101年6月14日健保企字第0000000000G號函。D.101年6月14日健保企字第0000000000M號函。E.101年7月9日健保企字第000000000H號函。

②否准請求之理由：A.被上訴人因辦理全民健保業務，（依法）取得及擁有全國民眾之納保與就醫資料。B.被上訴人為促進國內全民健保相關研究，以提升醫療衛生發展，（依法）得對外「提供」及「利用」上開資料。C.而被上訴人（實際）對外提供利用前開資料時，均有依舊個資法之相關規定辦理，而有嚴格之資料管理措施，以保障研究資料被合法合理使用。

⒉上訴人因此提起行政爭訟，迭經爭訟程序，最終由原判決從實體上駁回上訴人提起之課予義務訴訟。上訴人因此提起本件上訴。而訴訟繫屬本院期間，輔助參加人國衛院具狀表明「截至105年6月28日為止，其已依約將原始資料及光碟資料檔交還被上訴人，並將所有加值資料檔案銷毀且不保留備份」，並提出網路資料為據。此項事實主張如果為真，上訴人有關「請求被上訴人停止提供其8人之健保資料予輔助參加人國家衛生研究院」部分，即無訴之利益可言。上訴意旨對此爭點未作出直接回應（不過在主要記載實體上訴理由之「行政訴訟上訴理由㈡狀」中，即未再提及國家衛生研究院之部分），爰在此先予敘明。

⒊上訴意旨指摘原判決違法，其主張可分程序法與實體法二大部分，其中程序法部分之指摘不外是：

⑴本案提起行政爭訟後，在行政訴訟程序中，先由前審判決駁回上訴人在原審之訴，上訴人提起上訴後，經本院廢棄判決將「前審判決」廢棄，發回臺北高等行政法院更為審理。原審法院因此作成原判決，再次駁回上訴人在原審之訴。

⑵但作成本院廢棄判決之法官林惠瑜，亦參與原判決之作成，有違行政訴訟法第19條第5款所指「曾參與該訴訟事件前審裁判」之「應自行迴避」規定，依行政訴訟法第243條第2項第2款之規定，原判決「當然違背法令」，應予廢棄。

⒋又上訴意旨認「原判決在實體法層面亦屬違法」之指摘，其具體內容，如依新個資法所架構之規範體系，按照本院下述理解方式予以解析，則可敘明如下：

⑴按新個資法第1條明定：為規範「個人資料」之「蒐集」、「處理」及「利用」，以避免人格權受侵害，並促進個人資料之合理利用，特制定本法（事實上，各筆個人資料必須集合成可供檢索查詢之「個人資料檔案」，利用價值更大，更有規範之必要）。而同法第2條各款規定則對各該法條用語，均有法律明示之定義，爰引述如下：

①「個人資料」之定義為「指自然人之姓名、出生年月日、國民身分證統一編號、護照號碼、特徵、指紋、婚姻、家庭、教育、職業、病歷、醫療、基因、性生活、健康檢查、犯罪前科、聯絡方式、財務情況、社會活動及其他得以直接或間接方式識別該個人之資料」（第2條第1款參照）。

②「個人資料檔案」之定義為「指依系統建立而得以自動化機器或其他非自動化方式檢索、整理之個人資料之集合」（第2條第2款參照）。

③「蒐集」之定義為「指以任何方式取得個人資料」（第2條第3款參照）。

④「處理」之定義為「指為建立或利用個人資料檔案所為資料之記錄、輸入、儲存、編輯、更正、複製、檢索、刪除、輸出、連結或內部傳送」（第2條第4款參照）。

⑤「利用」之定義為「指將蒐集之個人資料為處理以外之使用」（第2條第5款參照）。

⑵而依本院對上開規範體系架構之理解，個人資料之形成及使用過程，在正常情況下，可描述如下：

①要先有「蒐集」行為，才有蒐集而得之眾多筆數之個人資料。

②取得之多筆資料則要經過「處理」行為，才能使其「檔案化」，形成「個人資料檔案」。A.在「檔案化」之過程，可能會有「去識別化」之作業程序，此項作業程序一經完成，「原始個人資料」與留存在「個人資料檔案」中之個人資料訊息即會有所差異（原始個人資料中原則上會保留有較多之訊息）。B.此時「原始個人資料」與「個人資料檔案」之某筆資料會有連結，讓檔案之維護者得以追索查證檔案中某筆資料之正確性。不過也可以「人為地」將此等追索功能排除（例如將原始個人資料內容刪除，並為註記，此時檔案的維護者即使依循原來建檔路徑，追到「原始個人資料」位置，該位置內之訊息內容則已刪除（或者加上隱藏資料之註記）。

③原則上或常態上，只有處理完畢形成「個人資料檔案」，其檔案內部訊息才會有利用價值，也才會在實證上真正有「利用」行為之出現。

⑶但如果實證作業不是按照前開常態作業模式行之，則其可能會帶來某些法律適用疑義，就以本案爭議內容為說明，可能之疑義有：

①特定行政機關蒐集而得之個人資料，如果交給另一行政機關予以「檔案化」；或者該特定行政機關雖已將蒐集而得之個人資料予以「檔案化」，但交給另一行政機關進行轉檔作業，使原檔案內資料訊息，得以轉錄到另一種不同格式之檔案中，以便後續利用。則此等行政機關內部行為在新個資法中有如何評價﹖是認為個人資料在不同機關間之內部流通，在新個資法不具規範意義，因此資料僅是處於「蒐集」完成階段；還是認為已超過蒐集階段，要依新個資法為進一步之規範評價。

②如應依新個資法為進一步之規範評價，則應定性為「處理」行為，還是「利用」行為。另外應接受規範評價之公部門到底是「提供者」，抑或是「接收及建檔（或轉檔）者」﹖這些議題在法律適用上均有疑義。

⑷而上述法律適用疑義，本案爭訟兩造大體上已有定見，並在此定見基礎下進行訴訟攻防，而原判決亦同樣是在此定見下作成終局判斷，本院前次發回判決亦然。以下依此定見，解析上訴意旨之具體主張如下：

①本案訴訟兩造之法律定見為「被上訴人是個人資料之蒐集者，其將蒐集而得之個人資料交由二輔助參加人分別建置『資料庫』（『健康資料加值應用協作中心』或其分中心之設立，性質上亦屬『資料庫』之建立），則屬『利用』行為，因此該利用行為應受新個資法第16條之規制」。上訴人在此法律定見基礎下引用司法院釋字第603號解釋意旨，認為：A.被上訴人依全民健康保險法及其相關附屬法規，在職掌範圍內，有權蒐集「由保險醫事服務機構申報醫療費用及上傳健保IC卡之就醫紀錄而來」之個人資料，符合新個資法第15條第1款所定「執行法定職務必要範圍內」之許可要件。B.但其對上開蒐集而得個人健保資料之「利用」，依司法院釋字第603號解釋意旨所示，在法之實質層面，必須「出於特定重大公益目的」，而在法之形式層面，則應遵守「嚴格意義下」之「法律保留原則」。C.而新個資法第16條但書第5款之規定內容，並不夠具體明確，因此不具「司法院釋字第603號解釋意旨所指法律保留原則」之規範適格。

②同樣在上開法律定性基礎下，上訴人復主張：「新個資法第16條規定『公務機關應於執行法定職務必要範圍內為個人資料之利用』，其條文所指『執行法定職務』，必須有行政作用法之明文依據。而本案中被上訴人在沒有行政作用法明文之情況下，將健保資料交予輔助參加人利用，用以建置資料庫，即屬違法」。

③此外上訴人復針對「被上訴人提供健保資料予輔助參加人衛福部」之事實，在法律涵攝上為以下主張：A.在規範評價上，被上訴人提供該健保資料之行為，應定性為「利用」行為；而輔助參加人衛福部取得健保資料則應定性為「間接」之「蒐集行為」。且輔助參加人衛福部此等「蒐集行為」，一樣要符合新個資法第15條之「蒐集」許可要件。如果輔助參加人衛福部之「間接蒐集行為」不符合新個資法第15條所定之「蒐集」許可要件，被上訴人之前開利用行為之合法性亦當然會受到連帶影響，而應被評定為不合法。B.事實上，輔助參加人衛福部並無「蒐集」健保資料之職權，輔助參加人衛福部所稱：其基於「統計」需求，而有蒐集各筆健保資料，毫無道理，因為輔助參加人衛福部之統計工作，只需有被上訴人提供、「將前開健保資料予以處理，使其檔案化後」而形成之「資料庫」（上訴書狀中用「統整資料」來稱呼），即可進行，不需由輔助參加人衛福部取得各筆獨立之健保資料。

④同樣基於「被上訴人提供健保資料予輔助參加人衛福部」之客觀事實，上訴人復就本案「去識別化」之作業模式，是否違反新個資法第16條但書第5款所定「資料經過提供者處理後或經蒐集者依其揭露方式無從識別特定之當事人」之規範內容一節為爭議，主張：A.依該條款之規定，資料提供者在其提供資料之時點，即應使資料接收者，對「每筆特定資料與該筆資料來源主體間之連結」之「可識別性」完全喪失，「一筆資料與特定主體間」之「連結」線索，只掌握在資料提供者手中。B.所以該條款前段所載「資料經過提供者處理後」之法條文字，是指「資料提供者已將資料去識別化（從實證的角度想像，最有效之方法即是多筆資料檔案化之過程，去除某些欄位）」。而後段所載「經蒐集者依其揭露方式無從識別特定之當事人」，同樣是指「資料提供者在提供資料時，僅揭露各筆資料中無從識別特定個人部分之訊息」。C.但被上訴人提供健保資料予輔助參加人衛福部之作業模式卻是：「由輔助參加人衛福部派專人來執行加密作業，再攜回加密之資料」。如此一來，輔助參加人衛福部實際上也掌握到還原「一筆資料與特定主體間連結關係」之鑰匙，顯然違反新個資法第16條但書第5款所定之「去識別化」要件。

⑤再就「去識別化」作業所應具備之實證效用強度，上訴人復主張「應有強度之要求」，必須強到「即使以公眾可得資料與資料庫呈現之一筆資料進行對照、組合與連結，也無法形成特定主體與該筆資料之連結」，如果沒有到達如此之實證效用強度，即不符合「去識別化」之規定。並要求對本案二個資料庫中之資料內容，其去識別化之強度，進行證據調查，且謂原判決未予調查，即有違法。

⑥又因新個資法第16條規定，蒐集目的外之利用，一樣要在「執行法定職務『必要』範圍內」為之，上訴人因此主張：「蒐集目的外之個人資料利用，一樣要符合比例原則。但原判決對比例原則所要求之三要件，即達成目的之『有效性』、在眾多可選擇手段中侵害性最小之『必要性』與『手段所造成之成本小於目的貫徹而得之收益』之『相當性』。在本案中為何不能由被上訴人依蒐集而得之資料自行從事研究，為何被上訴人不能先統整資料，再交付衛福部使用，而需提供每一國人之個人資料，甚至與其他資料庫串連，且要求『任何一筆資料均不可少』，此等作為有違比例原則，原判決未予審查，即屬違法」云云。

⑦最後上訴人從「個人自主控制個人資料之資訊隱私權」之角度切入，主張：「在個人資料之蒐集、處理及各種不同之利用階段，個人對其資訊之控制權是否存在，都應依各階段之時空環境所應適用法規範，（包括比例原則在內），考慮個案事實情節，從公、私益權衡之角度，重為檢驗。因此並沒有所謂『依法前蒐集階段之事前同意權如受限制，則後利用階段之事後排除權即被剝奪』之法理存在」。從而謂：「原判決所指，個人對被動公開其自身資訊之『事前同意權』與『事後排除權』，為一體兩面之法律觀點，顯然不可採。實則上訴人等8人之8筆健保資料，相對於臺灣地區全體國民之全部資料，極其微小，排除該8筆資料對資料庫之整體運作實無任何影響，不准排除之結果，等於是選擇對上訴人權益侵害最烈之手段，有違比例原則下之『必要性原則』（或稱『最小損害原則』）」云云。

㈡本院之判斷：

⒈程序法爭點部分：

⑴原判決作成法官應否迴避之爭議部分：

①按「法官有下列情形之一者，應自行迴避，不得執行職務：……五、曾參與該訴訟事件之前審裁判。」99年5月1日修正施行之現行行政訴訟法第19條第5款定有明文。查本款於本次修正施行前固規定：「曾參與該訴訟事件之前審裁判或更審前之原裁判者。」即法官應自行迴避之事由係包含參與該訴訟事件更審前之原裁判者。惟此「參與更審前裁判」之應自行迴避事由，業於本次修正時予以刪除，修正理由為「配合民事訴訟法第32條第7款」規定；而民事訴訟法第32條第7款之修正理由則謂：「法官曾參與該訴訟事件『更審前之裁判』，依其文義解釋，凡在更審前曾參與該訴訟事件裁判之法官，不問係在何審級，均包括在內。若該訴訟事件發回多次，而原審法院法官員額較少，勢必發生無法官可執行職務之情形。又依修正後第478條第4項規定，受發回或發交之法院，應以第三審法院所為廢棄理由之法律上判斷為其判斷基礎，故該訴訟事件於發回或發交後縱仍由參與更審前裁判之

正第7款，將此部分規定刪除。」足知，參與更審前裁判之法官再參與該訴訟事件之更審裁判，因於該當事人之審級利益並無影響，故現行行政訴訟法規定，並未將其規範為法官應自行迴避之事由。

②至現行行政訴訟法第19條第5款所稱法官參與「前審裁判」，則係指法官就同一事件已參與下級審裁判，嗣後再參與上級審裁判而言。此規定係基於法官就同一事件如先後參與不同審級之裁判，已損及當事人審級利益之意旨而為。申言之，本款所定「法官曾參與該訴訟事件之前審裁判」應自行迴避，乃在保障當事人的審級利益；倘法官就同一事件，先後參與不同審級之審判，顯然剝奪當事人之審級利益，故本款將法官曾參與「前審裁判（下級審法院之裁判）」，列為

③至若訴訟事件之裁判經本院廢棄，發回或發交高等行政法院更為審理者，因該受發回或發交之高等行政法院，應以本院所為廢棄理由之法律上判斷為其判決基礎，是該訴訟事件於發回或發交後縱仍由參與更審前裁判之法官審理，亦不致有所偏頗，而有迴避之必要。另法官曾參與上級審之裁判，將原判決廢棄發回（發交）更審，雖嗣後再行上訴，上級審曾參與裁判之

之適用。

④經查，本件參與原判決之林惠瑜法官固曾參與本院廢棄判決之審理過程，惟如前所述，因該受發回或發交之高等行政法院，應以本院所為廢棄理由之法律上判斷為其判決基礎，是該訴訟事件於發回或發交後縱仍由參與更審前裁判之法官審理，亦不致有所偏頗。故上訴意旨以參與原判決之林惠瑜法官，曾參與本院廢棄判決之審理及裁判，援引行政訴訟法第19條第5款規定，指摘原判決有行政訴訟法第243條第2項第2款「應迴避之法官參與裁判」之當然違背法令情事云云，顯有誤解而無可採。

⑵上訴人就「其等請求被上訴人應對輔助參加人國家衛生研究院作成處分」之部分，是否仍有「訴之利益」一節:

①按自提起行政訴訟起，至訴訟終了時止，在此期間內，凡請求行政法院裁判者，應以有值得保護之權利存在，而具訴訟權能為必要。又訴訟權能要件為法院應依職權調查事項，因此，縱於高等行政法院言詞辯論終結時具備訴訟權能，但於上訴本院後，本院仍應依職權調查訴訟權能之有無，如發現上訴人欠缺該要件者，應認其上訴為無理由，而為其敗訴之判決。

②是本院依職權調查結果，輔助參加人國衛院就「全民健康保險研究資料庫」加值服務已於105年6月28日終止不再提供，並已依合約約定將原始資料及光碟資料檔交予被上訴人，並將所有加值資料檔案銷毀，且不保留備份。在此情況下，本件即無再由判決命被上訴人作成「應依上訴人之申請，准予停止將上訴人之個人健保資料提供予輔助參加人國衛院建置『全民健康保險研究資料庫』」此一處分之必要，蓋斯時上訴人等此一請求業已獲得滿足，無訴訟權能存在，就此應予駁回。

⒉實體法爭點部分：

⑴在此首應指明以下之法律觀點：

①本案被上訴人將蒐集而得之健保資料，交由輔助參加人衛福部建置資料庫時（至於國家衛生研究院部分，如前所述，因已無訴之利益，故在實體法層次勿庸再行論述），到底該當於「個人資料」之「處理」，抑或是「個人資料」之「利用」，在法律適用上實有疑義。因為從前述新個資法第2條對「處理」及「利用」法條用語之立法定義觀之，資料必須先有「處理」，才能形成「資料檔案」。而「資料庫」則屬大規模之「資料檔案」，至於資料之運用，從實證觀點言之，如果資料不是以檔案之形式存在，幾乎沒有可用性。因此資料之處理必須早於資料之利用。

②再者，單一機關間對個人資料之「蒐集」、「處理」與「利用」行為，理應前後相續，且「蒐集」與「處理」行為應連結看待，合併處理（新個資法第15條參照）。而資料之蒐集及處理，亦必有其「利用」目的存在，故從實證之角度言之，從許可蒐集之原因，大體上即可推知利用目的為何。

③至於在不同公務機關間，已蒐集之個人資料是否許可流通，如許可流通，應依新個資法中哪些條文來加以規範，即成為重要之法律議題。對此議題本院之法律見解如下：A.首先要指明，個人資料一旦蒐集而得，必然會先以某種格式之檔案形式予以儲存，因此實證上所謂「個人資料在不同公務機關間之流通」，通常可能是「個人資料檔案」格式之轉換，從某一格式之檔案軟體，轉至另外一種可能存取檢索功能更強大之檔案軟體資料庫上。B.又有關不同公務機關間，已蒐集個人資料之流通，在實證需求上實難避免，而且此等流通可以減輕重複蒐集之行政成本支出，從「促進個人資料之合理利用」觀點言之（新個資法第1條參照），實無禁止之必要。C.然而不可否認者，資料一旦流通在外，即很容易不斷流通散布，因此具有「覆水難收」之實證特徵，知悉個人資料之公務機關越多，個人資料流通在外之可能性越高，從新個資法「保護人格權」之整體立法意旨言之，理應受到新個資法相關規定之規範。但因為新個資法對此待規範之事項，沒有對應之條文為規範，因此形成一個「法律漏洞」。C.對此法律漏洞之填補，有二組待規範之事項，其一為資料提供者之規範，其二則為資料接受者之規範。其中對資料提供者而言，對他公務機關提供資料，類似於資料之利用，因此在事務法則上性質最接近，而可為類推適用之條文應為新個資法第16條有關「資料利用」之規定。D.至於對資料之收受者而言，首應探究，其收受之資料是否還屬「個人資料」。而其判準則為資料內容之「去識別化」作業是否已經完成。如果該資料內容已完成「去識別化」作業，「個人」屬性即已消失，不能再視之為新個資法所規範之「個人資料」，而該資料收受者對資料之後續處理及利用，亦不受新個資法之規範。但若未進行「去識別化」作業，或作業不嚴謹，未達成「去識別化」作業應有之實證效用（即徹底切斷資料內容與特定主體間之連結），該收受之資料仍具「個人資料」屬性時，則應依其收受目的是為「處理」或「利用」而受新個資法對應法規範之規制（「處理」行為受新個資法第15條及第6條之規範，而「利用」行為受新個資法第16條及第6條之規範）。

⑵在前開法律觀點下，上訴人前開各項上訴理由，某些論點的確具有啟發性及前膽性，但依法律適用邏輯推論，最終仍難推翻原判決終局判斷之合法性，是其上訴從結論言，尚非有據，爰說明如下：

①有關被上訴人將健保資料交付輔助參加人衛福部建立資料庫之「行為」，是出於「特定重大公益目的」，且有「實證法之具體明文規定」為據，而符合司法院釋字第603號解釋所定之合法要件。A.針對此一爭點，首應說明前開「交付並由輔助參加人衛福部建立資料庫之行為」，其實不是「利用」行為，而是「處理」行為，只是「類推適用」新個資法第16條之規定，而要求該「處理行為」有「重大公益目的」存在，並在被上訴人之處理權限範圍內。B.實則臺灣地區全體國民之身體、健康、疾病及就醫等宏觀資料，對健康政策之擬定，與疾病之預防與治療均有重大意義，此等資料之處理具有「重大公益目的」實甚明確，上訴人對此亦無爭議。C.至於有關「實證法賦予被上訴人處理健保資料之明文規範為何」之爭點部分，實則連上訴人也承認實證法已明文賦予被上訴人對健保資料之「蒐集」權限，則觀之新個資法第15條之規定，蒐集與處理並列，被上訴人既然依法享有「蒐集」職權，當然也同時可依相同之實證法規定享有「處理」職權。D.原判決則從被上訴人之組織法中尋找前開所謂「利用」行為之規範依據，顯然是沒有嚴格區分「處理」與「利用」行為間之差異所致。但鑑於「處理」是為「利用」作預備，因此其論點仍可用以支持本院以上之法律論點。E.上訴意旨雖謂「被上訴人之行政組織法中，有關部門職掌之法規範，不得據為判定其『利用』個人資料之授權規範」云云，但從新個資法第16條使用「應於執行法定職務必要範圍內」等法條用語，作為「個人資料利用」之限制等情觀之，新個資法明顯有以組織法職掌規範，作為劃定權限之規範依據，是以上訴人此部分之上訴理由自非可採。

②再者，有關「被上訴人將個人資料交給其上級機關輔助參加人衛福部建置資料庫之『處理』行為，是否與其原先之蒐集目的相符。抑或是特定蒐集目的外之『處理』行為，應類推適用而受新個資法第16條但書第5款許可規定之檢驗」一節，本院對此議題則認「鑑於被上訴人與輔助參加人衛福部間有上下隸屬關係，而衛福部間職掌範圍大於被上訴人」，其「處理」健保資料建置資料庫，在未來打算經由該資料庫所從事之活動範圍，也必然較被上訴人之職掌事項為廣，因此超出被上訴人原來之蒐集目的範圍，而應受新個資法第16條但書第5款許可規定之檢驗。此項議題似乎訴訟兩造並未爭執。

③而本案適用新個資法第16條但書第5款許可規定為檢驗後，如果得以通過「去識別化」之檢驗標準，即可終局確定上訴人等之隱私權不會受到侵犯，而其以「隱私權有受侵犯之虞」為基礎所提起之本案請求，亦可確定於法無據，原判決之最終判斷結論即可維持。然而基於以下之理由，本院發現本案去識別化作業模式，實不足到達「完全切斷資料內容與特定主體間之連結線索」之程度，因此移轉至輔助參加人衛福部之健保資料，其「個人資料」屬性，尚未被全然排除（雖然已經大幅度降低），因此仍有繼續檢討該資料收受者輔助參加人衛福部對被上訴人所持有之健保資料有無蒐集處理職權之必要。A.本院認為資料尚未「去識別化」之主要理由即是，從被上訴人與輔助參加人衛福部自承之「去識別化」作業模式觀之，由輔助參加人衛福部派專人來執行「加密」作業，再攜回加密之個人資料建置資料庫。如此作業模式即表示輔助參加人衛福部本也有「還原」資料與主體間連結之能力，此等結果顯然與由被上訴人「單方」掌握「還原」能力之「去識別化」標準不符。B.被上訴人雖抗辯稱「『原始資料』仍然保留在被上訴人手中」云云，但此等抗辯毫無道理，因為：資料實際上是一種訊息，應與訊息載體分離看待。而所謂「原始資料」其實僅是儲放資料（訊息）之載體，因此載體即使留在原處，載體內之訊息已透過轉換載體之方式，而脫逸被上訴人之控管，並為輔助參加人衛福部所控管，只要輔助參加人衛福部之內部單位公務員，有「還原」資料與主體連結之可能，對輔助參加人衛福部而言，該資料仍未「去識別化」，而屬「個人資料」。C.當然本院在此也明瞭，前開健保資料雖未完全符合「去識別化」之法定作業模式要求，但因為該等資料解密鑰匙，仍由輔助參加人衛福部內負責資訊秘密業務單位之公務員保有，而非輔助參加人衛福部內之任何成員均可取閱，則該等資料與特定主體連結之「可識別性」已大幅度降低，但只要輔助參加人衛福部內部單位成員，有還原資料與主體連結之能力，即不符合「去識別化」之標準。D.不過在此要附帶說明，上訴意旨中對「去識別化」之實證效用強度要求，則已超過「去識別化」作業之設置目的，而非可採。實則「去識別化」之功能及作用，只在確保社會大眾，在看到資料內容時，不會從資料內容輕易推知該資料所屬之主體。但刻意鎖定特定主體，主動搜尋與該主體身分有關之各式資訊，再與「個人資料」作連結之方式，此等該特定主體即使有隱私權受到侵犯，其受侵犯之原因也不是來自公務機關掌握之「個人資料」，而是一開始連續不當之私人資訊探究行為。因此此等結果之防止，已不在「去識別化效用強度」之法定標準範圍內。另外如果上訴人等8人真要堅持「去識別化實證效用強度」之法律主張，則其亦須明瞭，本案其等8人是以自身權益受侵害而提起爭訟，而非為了公共利益，因此有關「本案去識別化實證效用強度不足」之待證事實，亦應以其等8人為基礎。總結以上之論述，本院不認為上訴人有關「去識別化效用強度法定標準」之主張為可採，亦認原審法院對此部分事實未依上訴人聲請而為證據調查，於法尚無違誤。

④有關輔助參加人衛福部是否有蒐集及處理本案健保資料之職權一節，本院斟酌再三，考量以下因素，認為依輔助參加人衛福部相關之組織法規定，應認其有蒐集及處理本案健保資料之職權，理由如下：A.前已言之，全體國民之身體、健康、就醫等宏觀資料，對國家衛生福利之增進，有重大意義，而具高度之公益性。且其蒐集困難，一旦搜集而得，應給予充分利用之機會，以增進社會整體福利。唯一要考量之成本即是對隱私權之侵犯可能，如果隱私權之侵犯可能性得以排除，再無限制健保資料流通之正當性。B.固然在本案中被上訴人與輔助參加人衛福部間之「去識別化」作業的確有所疏漏（如果沒有疏漏，經過去識別化之健保資料即不再是應受新個資法規範之個人資料，後續法律觀點均屬多餘），但本院在前同樣指明，此等資料之可識別性已大幅度降低，雖然資料同時存放在二個不同之公務機關，但二機關間有上、下級之直接隸屬關係，且控制解秘鑰匙之內部成員，仍是各自負責資訊秘密業務之少數成員，保密流程只要稍加改進，即可到達新個資法所定「去識別化」之標準。C.再按依新個資法第15條之規定，公務機關對個人資料之蒐集或處理，除需符合第6條第1項之規定外（此點訴訟二造並無議），應有「特定目的」，並需在「執行法定職務必要範圍內」。其中「法定職務」部分，依上所述，只要有組織法之依據即可。而「特定目的」之界定，以上⒉⑵④A.B.所述之因素不可能毫無影響。特別在「個人資料是以『間接』蒐集（即訊息拷貝）方式取得，而且與主體連結之識別能力已大幅度降低」之情況下，由於「處理」後之資料本得存在多用途之「利用」可能性，因此「特定目的」之解釋，至少在「處理」階段，應採較寬鬆之標準，而以「法定職務」為界。就本案而言，輔助參加人衛福部作為主管全國衛生福利事項之專業最高機關，如何將「透過健保機關蒐集、而與健康及醫療事務有關」之健保資料，著眼於「健全國家衛生福利」之高度，而建立起存取及使用便利、內容完備，可供多面向研究之資料庫，有助於其職掌事項之踐行，乃屬其應負擔「特定目的」之行政任務（此項行政任務對被上訴人而言，因其職掌業務之範圍較小，其視野之廣度及深度無法與輔助參加人衛福部相較）。又依衛生福利部組織法第2條第5款、第8款及第12款之規定，衛福部掌理之事項包括「醫事人員、醫事機構、醫事團體與全國醫療網、緊急醫療業務之政策規劃、管理及督導」（第5款）、「心理健康及精神疾病防治相關政策與物質成癮防治之政策規劃、管理及監督」（第8款）及「其他有關衛生福利事項」（第12款），因此建置上開資料庫，同樣在其「執行法定職務」之必要範圍內。原判決認衛福部有「利用」（實為「處理」）本案健保資料之職權，其理由形成雖與本院見解不太一致，但最終結論尚無不同。

⑤至於被上訴人「將尚未完全去識別化、仍具個人屬性之健保資料，交付衛福部建置資料庫」等行為是否違反「比例原則」一節，經查：A.行政措施有無違反比例原則之審查，其方式不外是「在行政目的給定」之前提下，審查達成目的所使用行政措施手段，是否符合「有用性」（即手段有助於目的之達成）、「必要性」（即在眾多可供選擇之手段中，選擇侵犯程度最低手段，故此項要件又被稱為「損害最小原則」）與「相當性」（指採行特定行政手段所形成之成本，最低限度內，至少要與其目的實現所能獲致之效益相等）。B.就本案而言，無論審查之行政措施是本院所界定之「建置資料庫」行為，還是上訴意旨中所延伸、因事後提供資料庫資料而生之「利用」行為。該等行政措施符合「有用性」及「相當性」之法定標準都無疑義。唯一有進一步討論空間之要件，即為「必要性」要件。但此項要件之論辯，必須先列舉出各種可能之行政措施選項，才有討論其中何種行政措施成本最低、損害最小。C.對此爭點上訴意旨似認：「被上訴人應該選擇自己建置資料庫，從事利用活動，而資料庫不能與其他資料庫串連，更要容許個人健保資料之自由退出。如此才是對個人隱私權損害最小之手段」。然而前已言之，比例原則在實務上之操作，以「目的給定」為其前提。大型資料庫之建置，對量化之實證研究極其重要，而且資料越全面，利用潛能越高（容許自由資料之自由退出，容易造成取樣偏誤，至少有此可能性）。另外而資料庫內容所能適用之實證研究領域，職掌視野較大之公務部門亦較有認識可能性，被上訴人將資料交給其上級機關建置（甚或是改良）資料庫，目的在追求資料之更高使用效率，此項「高使用效率之追求」才是本案資料「處理」（甚或是「利用」）之給定目的。在此「給定」目的下，如果能夠「去識別化」，即無比例原則下「必要性」要件之違反，故上訴人此部分主張顯非有據。

⑥最後「有關個人資訊隱私權之保障，是否應在個人資料之蒐集、處理與利用等每一階段，都要依其所處之時空環境背景，按照實證法之具體規定，重為審查判斷。而本案被上訴人在提供健保資料給輔助參加人衛福部建置資料庫時，是否有依法保障上訴人等之個人資訊隱私權」之爭點部分，本院見解如下：A.在法律適用之抽象法律解釋層次上，本院同意上訴人提出之法律論點，即個人對自身資訊公開之「事前同意權」，與其後來要除去已公開資訊之「事後排除權」，並非如原判決所言「為一體之兩面，因此事前被動公開，事後即不得排除已公開之資訊」云云。因為從新個資法將「蒐集及處理」、與「利用」分開規範之規範架構觀之，即可知悉，新個資法要求執法者「在資料蒐集、處理及利用之每一階段」，均應重新評估「是否有對個人資訊隱私權提供足夠之保障。B.但是針對本案事實之法律涵攝而言，被上訴人拒絕上訴人「停止使用其等個人健保資料，將該等健保資料從資料庫中排除」之請求，並無違反比例原則下之「必要性」原則（或「損害最小」原則），其理由可分述如下：(A).本案所稱之資料，重視的不是其載體，而載體內儲存之訊息，可以「資訊」稱之。而資訊則是一種有價值的社會資源，蒐集成本高（資訊數量越多，蒐集成本也越大），但只要運用得當，能創造之效益更大。因此完善資料庫之建立，是重要的公共財。(B).個人資料涉及個人資訊隱私權，因此與建立資料庫所形成之公共利益有相衝突之現象，協調化解此等「公、私益衝突」現象最有效率之手段，即是個人資料之「去識別化」。(C).至於基於「個人資訊隱私權」之考量，而徹底排除特定主體之個人資料，其手段太過，有礙於公益之實踐。因為資料取得是一種「採樣」行為，採樣過程中必須確保採樣所得之樣本，能夠精準代表母體，維持樣本數據在統計學上所要求之「不偏」、「有效」與「一致」標準。如果容許樣本之採集受到選擇，其採樣結果之「樣本」品質，即會受到重大影響。(D).又上訴意旨主張：「刪除上訴人等8人資料之資料樣本資料，影響輕微」云云，但如果容許少數人退去，基於執法平等性之要求，多數人也可比照辦理，如此可能引發退出風潮，形成「破窗效應」，造成資料蒐集投入成本之虛耗。(E).就本案而言，或許個人資料之去識別化作業尚有漏洞，但依前所述，識別作用實際上已大幅度降低。再者本案既非客觀之公益爭訟，上訴人乃是為維護其等「個人資訊隱私權」而提起主觀爭訟，則其等主張「僅需排除其8人之健保資料，即可確保其等『個人資訊隱私權』」云云，亦需針對個案事實，指明隱私權可能受侵犯之程度及其蓋然率，方能謂「隱私權有受侵害之虞」。而上訴意旨對此亦從未為具體主張。

㈢總結以上所述，原判決對本案之實體判斷，其最終判斷結論尚無違誤，應予維持。上訴意旨指摘原判決違背法令，求予廢棄，為無理由，應予駁回。

九、據上論結，本件上訴為無理由。依行政訴訟法第255條第1項、第98條第1項前段、第104條、民事訴訟法第85條第1項前段，判決如主文。

最高行政法院第四庭

以 上 正 本 證 明 與 原 本 無 異