我國全民健康保險制度（健保）自 1995 年起實施，多年來累積了龐大且可觀的個人健康保險就醫建檔資料。過去，這些涉及大量個人及敏感資訊的健保資料庫，在未經民眾明確同意的情況下，常提供予醫療院所、學術研究機構進行統計分析及研究。

然而，隨著《全民健康保險資料管理條例》於 2026 年 8 月 10 日正式施行，新法正式確立民眾的「退出權」，也明訂違法使用資料最高可罰 1000 萬元、非法危害資料庫核心資通系統設備者最重可判 10 年徒刑。

哪些健保資料會被拿去研究？

到底哪些個人健保個資會被釋出供「特定目的外」（如學術研究、公務執行）利用？根據健保署與衛福部規範，供學研機構申請利用的健保資料主要分為「承保資料」與「醫療服務資料」2 大性質，具體涵蓋以下 4 大類：

• 承保資料：包含保險對象之投保身分、薪資級距、投保地點及其他投保資料。

• 醫療服務—就醫及用藥紀錄：保險對象的就醫與用藥紀錄、重大傷病狀態及其他醫療服務申報資料（如病歷與藥歷、處方箋、診療紀錄等）。

• 醫療服務—醫學影像及病理報告：各種醫學影像（含報告）及病理報告。

• 醫療服務—檢查與檢驗結果：常規生化檢驗、檢查資料。

雖然對外提供的資料均會透過加密與去識別化（假名化）技術處理，但憲法法庭在判決中特別示警，個人健保資料承載了高度個體差異的極私密敏感事項。藉由年齡與就醫機構，極可能描繪出個人的生活區域與行動軌跡。

由病歷、醫療及健康檢查資料中，可深入解讀出個人的傷病與醫療處置歷史（如職業傷病、家暴傷害或性犯罪傷害）、投藥紀錄、手術與診療影像紀錄、生育紀錄、疫苗接種紀錄，甚至是家族高危險疾病因子。

這些高度敏感的特種個資一旦洩漏或遭濫用，對人民隱私權侵害的嚴重性甚至遠超指紋。因此，新法實施後，民眾可主張「退出權」不提供學術研究，以維護資訊自主權。

想拒絕資料被研究？享終身退出權，新制上路前 30 天可搶先喊卡

《全民健康保險資料管理條例》2026 年 8 月 10 日正式施行後，民眾可隨時申請退出新制度正式建立健保資料「退出權」，讓民眾能拒絕健保資料的特定目的外利用。新法施行後 30 天內，衛福部及健保署將先停止受理政府機關、醫療機構、學術研究機構提出的相關資料利用申請，這段「暫停受理期」，民眾可以提出退出申請。逾期未申請雖視為同意，之後仍可提出退出申請。

如果在 30 天期限內沒有提出退出，原則上視為同意，健保資料即可依照新法規定，用於符合特定公益目的之特定目的外利用。不過，這不代表一旦同意就無法反悔，期限過後，民眾仍然可以提出退出申請。

誰可以申請健保資料？政府機關、醫療院所、學術單位

過去健保資料除了供政府機關使用，也可能提供給醫療院所、學術研究單位進行統計分析及研究。行政院 2025 年 5 月，通過《全民健康保險資料管理條例》草案，立法院同年 12 月 2 日三讀通過，經總統公布及行政院公告後，新制度自 2026 年 8 月 10 日起正式生效。

健保資料若用於蒐集目的以外的用途，必須具備明確的公益性，包括提升醫療品質與醫療服務可近性、促進公共衛生及社會福利、增進公共利益、改善健康不平等、促進學術研究發展、提供政府機關與行政法人執行法定職務。

相關資料利用不得以商業營利為目的，申請資格也受到限制，可申請利用健保資料的對象，包括政府機關、行政法人、於台灣境內設立的醫療機構、學術研究機構及大學，以及受政府機關委託辦理相關工作的法人、大學或其他機構。

未經核准擅自利用，最高可罰新台幣 1000 萬元

政府機關及行政法人若因執行法定職務，申請特定目的外利用健保資料，應以書面向保險人提出，取得的資料運用及管理，依各機關所依據的法律辦理，例如司法機關因偵查、審判或執行法定職務調取健保資料，須依訴訟法規辦理，監察機關執行法定職務調取健保資料，則須依監察法規辦理，經主管機關或保險人審查核准後，以書面通知申請者。

新法同時明訂違法使用健保資料的罰則，未經核准擅自利用最高可罰新台幣 1000 萬元，危害健保資料庫核心資通系統設備或電腦機房者，甚至可能面臨刑事追訴。

為什麼要修法？2022 年憲法法庭催生退出權

新法的誕生，源於一場歷時長達 10 年的司法訴訟與釋憲爭取。2012 年（民國 101 年）5 月至 6 月間，蔡季勳、邱伊翎、施逸翔、滕西華、黃淑英、劉怡顯、洪芳婷等 7 位民眾（多為人權與社福團體代表），認為健保署將他們的敏感健保個資，強制釋出給國家衛生研究院（全民健康保險研究資料庫）及衛福部（衛生福利資料科學中心）做目的外利用，侵害了其憲法保障之資訊隱私權，因而寄發存證信函向健保署表達拒絕。

當時健保署以「資料已假名化」且「符合當時電腦處理個人資料保護法」等理由拒絕當事人要求。7 位聲請人不服，依法提起訴願、行政訴訟。

歷經多年纏訟，台北高等行政法院兩度判決駁回，最高行政法院也於 2017 年做出 106 年度判字第 54 號確定終局判決，駁回聲請人上訴定讞。

聲請人認為敗訴判決所適用的《個人資料保護法》相關條文有違憲疑慮，於 2017 年底向大法官聲請釋憲。憲法法庭受理後，於 2022 年 4 月 26 日召開言詞辯論，並於同年 8 月 12 日做出 「111 年憲判字第 13 號判決」。

憲法法庭在判決中指出，雖然提供健保資料供學術研究具有重大公益，但由整體法制觀察，既有法規 「欠缺個人資料保護之獨立監督機制」，且健保署提供資料庫對外利用時，「一律未許當事人得請求停止利用（欠缺退出權）」，宣告相關制度部分違憲，並限期相關機關於 3 年內修正健保法或制定專法。

衛福部隨即著手推動立法工作，讓健保資料特定目的外利用及管理之規範，從「作業規則層次」提升至「法律位階」。《全民健康保險資料管理條例》全文共計 27 條，涵蓋特定目的外利用及管理規範、退出權機制與罰則三大重點。

除「退出權」外，使用單位、監督與退出機制正式入法

新法上路前，健保資料庫的公務與學術研究使用規範，停留在作業規則層次，欠缺足夠的個人資料監督機制，也沒有明確管道，讓民眾要求停止資料使用。

新法上路後，申請「特定目的外利用」健保資料的對象，明訂為政府機關、行政法人、醫療機構、學術研究機構及大學等特定單位，且不得作商業營利用途；民眾也多了 30 天內申請退出的權利，期限過後仍可提出退出申請；罰則同步以法律位階明確規範。

新法明訂違規使用健保資料的法律責任。若未經主管機關或保險人核准，擅自將健保資料用於蒐集目的以外的用途，可處 200 萬元以上、1000 萬元以下罰鍰，違規者自處分送達日起 1 年內，不得再次提出健保資料利用申請，已取得的相關健保資料也必須依法銷毀。

新法施行前取得的資料，也應銷毀

新法施行前已取得的健保資料，應予銷毀，政府機關（構）執行法定職務者除外，違反規定未予銷毀者，處 200 萬元以上、1000 萬元以下罰鍰。

由於健保資料庫涉及大量個人及敏感資訊，新法也針對資料庫設備建立刑事責任。若以竊取、毀壞或其他非法方式，危害健保資料庫核心資通系統設備，或電腦機房功能正常運作，可處 1 年以上、7 年以下有期徒刑，得併科 1000 萬元以下罰金。

若意圖危害國安或社會安定而犯前項之罪，刑責提高至 3 年以上、10 年以下有期徒刑，得併科 5000 萬元以下罰金。從事業務之人若利用職務上機會犯罪，加重其刑 2 分之一，即使犯罪尚未完成，未遂犯同樣依法處罰。

資料來源：風傳媒、衛生福利部、民視新聞網、衛生福利部中央健保險署、憲法法庭；本文初稿由 AI 協助整理，編輯：支琬清

核稿編輯：張玉琦