病歷不是想看就能看！醫師偷查病歷還傳簡訊搶病患，竟然吃上官司？－刑事訴訟律師｜彰化刑事訴訟律師｜員林刑事訴訟律師
到醫院看病，民眾通常會向醫師說明自己的身體狀況、過去病史，甚至提供許多不願讓外人知道的私密資訊。這些資料之所以能夠安心交給醫院保管，是因為病患相信醫療人員會基於診療需要使用，而不是拿來做其他用途。但如果有醫師利用職務上的便利，私下查詢其他醫師的病患資料，再透過簡訊聯絡病患，希望對方改掛自己的門診，這樣的行為可能違法了！
近期就發生一起引起討論的案件。根據2026年9月21日新聞報導，臺北市某醫院一名泌尿科醫師，涉嫌透過院內醫療資訊系統，查詢另外兩名醫師所診治的3名病患資料，包括基本資料、病歷紀錄及聯絡方式，隨後傳送簡訊給病患，批評原主治醫師的醫療技術，並建議病患改由其他醫師診治。事情曝光後，臺北地檢署認為該名醫師涉嫌違反《個人資料保護法》，依法提起公訴。
醫師本來就有權使用醫院的病歷系統，為什麼查詢病歷還會涉及犯罪？如果醫師主張自己是為了提醒病患、維護醫療品質，是否就能免除法律責任？
一、病歷不是一般個資，應受更嚴格的保護
《個人資料保護法》第6條規定，有關病歷、醫療、基因、性生活、健康檢查及犯罪前科等個人資料，原則上不得任意蒐集、處理或利用，除非符合法律明文規定、履行法定義務、當事人書面同意或其他法定例外情形。
原因並不難理解。一般人可以接受醫院知道自己的姓名、電話，但不代表願意讓所有醫師都知道自己曾經接受哪些治療、罹患什麼疾病，甚至將這些資訊拿來作為招攬病患的工具。這正是個資法所要保障的重要權益之一：每個人對於自身個人資料如何被取得、使用，以及提供給誰，應享有一定程度的自主決定權。
二、醫師有病歷系統的查詢權限，不代表想查誰就能查誰
醫院為了提供完整醫療照護，通常會建立電子病歷系統，讓具有權限的醫療人員查閱相關資料。然而，系統允許查詢，與法律允許查詢，是兩回事。醫師查閱病歷，仍應有合法且正當的目的，例如診斷治療、跨科會診、必要的醫療討論，或符合法定條件的教學研究。
醫師是否違法查閱病歷，不能單憑病患有無掛該名醫師的門診來判斷，也不能因為醫師擁有院內系統的查詢權限，就認定其所有查閱行為均屬合法。判斷的關鍵在於醫師查閱病歷是否具有正當的業務或醫療目的，以及取得資料後的使用方式，是否逾越原有目的與權限的合理範圍。
以這次新聞案件為例，遭起訴的醫師辯稱，自己查閱病歷後，認為原本的治療方式與醫療指引不符，因此才傳送簡訊建議病患尋求其他醫師意見。但檢察官依簡訊內容認定，其目的在於招攬病患前往自己的門診接受診療或手術，而非單純進行醫療照護，因此認為已涉及非法利用個人資料。
三、醫療關懷有界線，私下聯絡仍須合法
醫療專業本來就容許不同意見。對於同一種疾病，不同醫師提出不同治療建議，也不是罕見的事情。但即使醫師認為其他醫師的治療方式有問題，也不能因此任意使用病患的個人資料。
《個人資料保護法》第20條規定，非公務機關利用一般個人資料，原則上應在原先蒐集的特定目的必要範圍內進行；若要超出原本目的使用，則必須符合其他法定要件。至於病歷及醫療資料，更應優先檢視同法第6條的特別規定。
舉例而言，醫院蒐集病患電話號碼，原本是為了安排門診、通知檢查結果或聯繫醫療事項。但如果醫師將這些電話號碼取出，用自己的手機傳送訊息，要求病患改掛自己的門診，以增加個人看診業績，就已經涉及不同的資料利用目的。
尤其本案中，檢方認為，即使醫師對其他同事的治療方式有不同看法，仍可透過院內醫療討論等合法方式處理，而非擅自使用病患資料，傳送帶有貶低其他醫師內容的簡訊。
四、違法使用病患個資，最重可能面臨五年有期徒刑
醫師違法使用病患資料，並非單純違反醫院內部規定而已。依《個人資料保護法》第41條規定，行為人如果意圖為自己或第三人不法之利益，或損害他人之利益，而違反個資法相關規定，且足生損害於他人者，最重可處五年以下有期徒刑，並得併科新臺幣100萬元以下罰金。
要成立個資法第41條的犯罪，除了客觀上有違法蒐集、處理或利用個資的行為，仍須具備法條要求的主觀不法意圖，以及足生損害於他人的要件。
例如，醫師因為工作疏失，將門診通知傳送給錯誤病患，與醫師明知資料僅能供醫療使用，卻刻意取得病患聯絡方式，拿來招攬自己的業務，兩者在犯罪故意及法律責任上就有明顯差別。至於本次新聞案件，檢察官認為醫師係為增加自身診療人數，才利用病患資料傳送招攬訊息，因而依個資法提起公訴。
五、醫師違法使用個資，醫院難辭管理責任
如果醫師是透過醫院的資訊系統取得病患資料，醫院是否也需要負責？
依《個人資料保護法》及相關醫療法規，醫療機構對於所保管的病患資料，負有適當的安全維護義務。醫院不能只把病歷系統建立起來，就認為已經完成個資保護工作，而應透過合理的權限管理、查詢紀錄、異常使用稽核及人員教育訓練，防止病患資料遭到不當使用。
不過，醫師違法利用病患個資，並不代表醫院當然要與醫師承擔相同的法律責任。醫院是否涉及行政責任或民事損害賠償，仍須依個資管理措施是否適當、醫師行為與職務間的關聯、損害結果及其他法律要件分別認定。尤其民事責任部分，尚須檢視《民法》第188條僱用人責任，以及個資法相關損害賠償規定是否適用。
六、病歷遭不當查閱，病患的損害賠償權益
如果病患發現自己的病歷遭到醫療人員不當查閱，甚至被用來傳送私人訊息、招攬業務，除了向醫院反映，也可以依法尋求救濟。
首先，可以要求醫院釐清個資遭使用的原因、涉及哪些資料，以及相關使用行為是否具有合法依據，並請求採取必要的保護措施。如果涉及違反個資法的犯罪行為，也可以向檢警機關提出告訴或告發。
此外，依據《個人資料保護法》第29條及《民法》第184條、第195條等規定，病患如因違法利用個資而受有損害，且符合相關請求權要件，亦得評估請求財產上或非財產上的損害賠償。
病患如果發現異常情況，應妥善保存簡訊、通訊紀錄及相關資料，並及早要求醫院調查，以利後續釐清責任。
七、醫師批評同業技術，是否構成誹謗罪？
除了個資法，本次案件還涉及另一個值得討論的問題：醫師在簡訊中批評其他醫師的醫療技術，是否會構成誹謗罪？
依《刑法》第310條規定，誹謗罪原則上涉及意圖散布於眾，而指摘或傳述足以毀損他人名譽的具體事實。對於「具體事實的指摘」與「主觀意見的評論」，仍有不同的判斷方式。
單純表示某位醫師的技術不好，與指稱某位醫師曾經偽造病歷、收取非法費用，在法律評價上就有所不同。前者涉及主觀評價，後者則涉及可以檢驗真偽的具體事實。
在這次案件中，檢察官認為相關簡訊主要屬於主觀意見及評論，不符合所指控誹謗罪的構成要件，因此未就該部分起訴。
病歷是病患的隱私，不是醫師招攬業務的工具！醫療關係建立在信任之上，病患願意向醫師坦露自己的疾病、身體狀況及私密資訊，是為了接受適當的診療，而不是同意醫療人員將這些資料用於私人目的。
醫師即使具有專業資格，也擁有醫院資訊系統的使用權限，仍應遵守個資保護規定。具有查詢權限，不代表可以任意利用；基於醫療需要取得的資料，也不能當然轉作私人招攬業務使用。
近期就發生一起引起討論的案件。根據2026年9月21日新聞報導，臺北市某醫院一名泌尿科醫師，涉嫌透過院內醫療資訊系統，查詢另外兩名醫師所診治的3名病患資料，包括基本資料、病歷紀錄及聯絡方式，隨後傳送簡訊給病患，批評原主治醫師的醫療技術，並建議病患改由其他醫師診治。事情曝光後，臺北地檢署認為該名醫師涉嫌違反《個人資料保護法》，依法提起公訴。
醫師本來就有權使用醫院的病歷系統，為什麼查詢病歷還會涉及犯罪？如果醫師主張自己是為了提醒病患、維護醫療品質，是否就能免除法律責任？
一、病歷不是一般個資，應受更嚴格的保護
《個人資料保護法》第6條規定，有關病歷、醫療、基因、性生活、健康檢查及犯罪前科等個人資料，原則上不得任意蒐集、處理或利用，除非符合法律明文規定、履行法定義務、當事人書面同意或其他法定例外情形。
原因並不難理解。一般人可以接受醫院知道自己的姓名、電話，但不代表願意讓所有醫師都知道自己曾經接受哪些治療、罹患什麼疾病，甚至將這些資訊拿來作為招攬病患的工具。這正是個資法所要保障的重要權益之一：每個人對於自身個人資料如何被取得、使用，以及提供給誰，應享有一定程度的自主決定權。
二、醫師有病歷系統的查詢權限，不代表想查誰就能查誰
醫院為了提供完整醫療照護，通常會建立電子病歷系統，讓具有權限的醫療人員查閱相關資料。然而，系統允許查詢，與法律允許查詢，是兩回事。醫師查閱病歷，仍應有合法且正當的目的，例如診斷治療、跨科會診、必要的醫療討論，或符合法定條件的教學研究。
醫師是否違法查閱病歷，不能單憑病患有無掛該名醫師的門診來判斷，也不能因為醫師擁有院內系統的查詢權限，就認定其所有查閱行為均屬合法。判斷的關鍵在於醫師查閱病歷是否具有正當的業務或醫療目的，以及取得資料後的使用方式，是否逾越原有目的與權限的合理範圍。
以這次新聞案件為例，遭起訴的醫師辯稱，自己查閱病歷後，認為原本的治療方式與醫療指引不符，因此才傳送簡訊建議病患尋求其他醫師意見。但檢察官依簡訊內容認定，其目的在於招攬病患前往自己的門診接受診療或手術，而非單純進行醫療照護，因此認為已涉及非法利用個人資料。
三、醫療關懷有界線，私下聯絡仍須合法
醫療專業本來就容許不同意見。對於同一種疾病，不同醫師提出不同治療建議，也不是罕見的事情。但即使醫師認為其他醫師的治療方式有問題，也不能因此任意使用病患的個人資料。
《個人資料保護法》第20條規定，非公務機關利用一般個人資料，原則上應在原先蒐集的特定目的必要範圍內進行；若要超出原本目的使用，則必須符合其他法定要件。至於病歷及醫療資料，更應優先檢視同法第6條的特別規定。
舉例而言，醫院蒐集病患電話號碼，原本是為了安排門診、通知檢查結果或聯繫醫療事項。但如果醫師將這些電話號碼取出，用自己的手機傳送訊息，要求病患改掛自己的門診，以增加個人看診業績，就已經涉及不同的資料利用目的。
尤其本案中，檢方認為，即使醫師對其他同事的治療方式有不同看法，仍可透過院內醫療討論等合法方式處理，而非擅自使用病患資料，傳送帶有貶低其他醫師內容的簡訊。
四、違法使用病患個資，最重可能面臨五年有期徒刑
醫師違法使用病患資料，並非單純違反醫院內部規定而已。依《個人資料保護法》第41條規定，行為人如果意圖為自己或第三人不法之利益，或損害他人之利益，而違反個資法相關規定，且足生損害於他人者，最重可處五年以下有期徒刑，並得併科新臺幣100萬元以下罰金。
要成立個資法第41條的犯罪，除了客觀上有違法蒐集、處理或利用個資的行為，仍須具備法條要求的主觀不法意圖，以及足生損害於他人的要件。
例如，醫師因為工作疏失，將門診通知傳送給錯誤病患，與醫師明知資料僅能供醫療使用，卻刻意取得病患聯絡方式，拿來招攬自己的業務，兩者在犯罪故意及法律責任上就有明顯差別。至於本次新聞案件，檢察官認為醫師係為增加自身診療人數，才利用病患資料傳送招攬訊息，因而依個資法提起公訴。
五、醫師違法使用個資，醫院難辭管理責任
如果醫師是透過醫院的資訊系統取得病患資料，醫院是否也需要負責？
依《個人資料保護法》及相關醫療法規，醫療機構對於所保管的病患資料，負有適當的安全維護義務。醫院不能只把病歷系統建立起來，就認為已經完成個資保護工作，而應透過合理的權限管理、查詢紀錄、異常使用稽核及人員教育訓練，防止病患資料遭到不當使用。
不過，醫師違法利用病患個資，並不代表醫院當然要與醫師承擔相同的法律責任。醫院是否涉及行政責任或民事損害賠償，仍須依個資管理措施是否適當、醫師行為與職務間的關聯、損害結果及其他法律要件分別認定。尤其民事責任部分，尚須檢視《民法》第188條僱用人責任，以及個資法相關損害賠償規定是否適用。
六、病歷遭不當查閱，病患的損害賠償權益
如果病患發現自己的病歷遭到醫療人員不當查閱，甚至被用來傳送私人訊息、招攬業務，除了向醫院反映，也可以依法尋求救濟。
首先，可以要求醫院釐清個資遭使用的原因、涉及哪些資料，以及相關使用行為是否具有合法依據，並請求採取必要的保護措施。如果涉及違反個資法的犯罪行為，也可以向檢警機關提出告訴或告發。
此外，依據《個人資料保護法》第29條及《民法》第184條、第195條等規定，病患如因違法利用個資而受有損害，且符合相關請求權要件，亦得評估請求財產上或非財產上的損害賠償。
病患如果發現異常情況，應妥善保存簡訊、通訊紀錄及相關資料，並及早要求醫院調查，以利後續釐清責任。
七、醫師批評同業技術，是否構成誹謗罪？
除了個資法，本次案件還涉及另一個值得討論的問題：醫師在簡訊中批評其他醫師的醫療技術，是否會構成誹謗罪？
依《刑法》第310條規定，誹謗罪原則上涉及意圖散布於眾，而指摘或傳述足以毀損他人名譽的具體事實。對於「具體事實的指摘」與「主觀意見的評論」，仍有不同的判斷方式。
單純表示某位醫師的技術不好，與指稱某位醫師曾經偽造病歷、收取非法費用，在法律評價上就有所不同。前者涉及主觀評價，後者則涉及可以檢驗真偽的具體事實。
在這次案件中，檢察官認為相關簡訊主要屬於主觀意見及評論，不符合所指控誹謗罪的構成要件，因此未就該部分起訴。
病歷是病患的隱私，不是醫師招攬業務的工具！醫療關係建立在信任之上，病患願意向醫師坦露自己的疾病、身體狀況及私密資訊，是為了接受適當的診療，而不是同意醫療人員將這些資料用於私人目的。
醫師即使具有專業資格，也擁有醫院資訊系統的使用權限，仍應遵守個資保護規定。具有查詢權限，不代表可以任意利用；基於醫療需要取得的資料，也不能當然轉作私人招攬業務使用。
#個資法
