觀點投書：醫療專業社群治理中的個資風險─當LINE群組驗證踩上《個資法》紅線 | 周祖佑

在台灣醫療圈，LINE群組早已不只是聊天工具。

從臨床資訊交流、健保政策討論，到跨院合作與醫療爭議即時應變，許多醫療專業社群幾乎已成為「非正式醫療治理系統」的一部分。尤其在高度專業化的次專科領域中，社群管理者為了維持群組純度，避免非醫療人士混入，開始建立各式「身份驗證機制」。

但近期某些醫療專業社群的審核流程，卻逐漸浮現令人憂心的問題。部分群組要求申請者：

這樣的流程，看似只是「驗證醫師身份」，實際上卻已經進入《個人資料保護法》的高風險區域。問題不只是「管太多」，而是：

｢當醫療專業社群開始建立自己的身份資料庫，它是否也同時承擔起法律與治理責任？｣

壹、醫療人員的身份資訊，也是受保護的個資

許多人以為，《個資法》在醫療實務上，只保護病患資料。但事實上，醫療人員自己的專業身份資訊，同樣具有高度識別性。例如：

這些資料結合後，已足以形成完整的「專業身份輪廓」。因為，依照《個人資料保護法》第2條，只要能直接或間接識別個人，即屬受保護之個人資料。

因此，當LINE群組透過Google表單，蒐集並保存上述資訊時，本質上已構成：個資蒐集、個資處理與個資利用。

這並非說是「私人群組所以沒關係」。而是，只要存在系統性蒐集與管理，就必須接受個資法規範。

老實說，醫療社群要求身份驗證，本身亦非毫無正當性。畢竟：

因此，「確認是否為醫療專業人士」，似乎具有合理目的。但法律真正檢驗的，從來不是「目的」，而是：是否以最小侵害方式達成目的？

這正是《個資法》第19條與比例原則的核心。

如果驗證目的只是確認：「是否為有效會員」！那麼理論上：僅提供會員編號，或遮蔽部分資訊，甚或由一次性人工驗證後，立即刪除，似已足夠。

然而，目前不少社群的做法，卻是：要求完整頁面截圖，顯示現職單位，顯示Email，永久保存於雲端…等。這便可能構成「過度蒐集」。更直白地說：驗證身份，不代表可以要求交出整份數位身份履歷。

另一個更值得警惕的問題是：醫學會會員資料原本是為何而蒐集？

通常是：

但如今，這些資料卻被轉用於：LINE群組審查，第三方社群驗證，Google Form建檔…等。若該社群，又並非醫學會正式授權組織，那就可能產生《個資法》第20條「目的外利用」爭議。這也是許多管理者容易忽略的盲點：即使會員願意自行上傳，也不代表資料利用方式當然合法。

因為法律檢驗的，不只是「有沒有同意」，亦包括：是否符合原始蒐集目的？是否存在較低侵害替代方案？還有，是否符合比例原則？

許多人會說：「Google表單很方便，大家都這樣做。」

但真正的問題，不是工具本身，而是：這些資料被誰保存？保存多久？誰能下載？是否會刪除？目前許多社群的風險在於：

而當資料涉及：專業身份、執業資訊、聯絡方式…等，其外洩風險與法律責任，遠高於一般社群。

依《個資法》第27條，非公務機關對個資負有安全維護義務。若資料外流，管理者可能面臨：行政裁罰，民事賠償，嚴重時甚至刑事責任！尤其在醫療界，「專業身份資料」本身就可能具有高度敏感性。

這起事件真正值得討論的，不只是法律問題。而是：台灣醫療專業社群，是否已經進入「需要治理」的新階段？

過去，LINE群組只是資訊交流工具。但現在，若它已逐漸成為：專業圈層管理系統，醫療政策輿論場，或半正式身份審核機制。而當社群開始擁有「治理能力」，就必須同時承擔：法律責任、資安責任與倫理責任。

高品質的醫療專業社群，不應只追求「阻絕外人」。更應該同時做到：社群純淨度，個資最小化與系統安全性，這三者之間的平衡。

很多人談到個資法，第一反應往往是：「有必要這麼嚴格嗎？」

但真正成熟的醫療治理，不是建立在「方便管理」之上，而是建立在：對資訊自主權的尊重。未來更合理的作法應包括：

因為醫療倫理，不能只停留在病歷保密。在數位時代，醫療專業人員自己的數位身份，同樣值得被保護。

台灣醫療界長期強調病人隱私與資訊安全。但當醫療人員自己的專業身份資料，開始被大量蒐集、截圖、保存於雲端時，我們也許該重新思考：在數位醫療時代，誰來守護醫療人的數位隱私？

真正值得信任的專業社群，不只是「管理嚴格」。而是：

即使在驗證身份時，也願意克制權力、尊重隱私、遵守法律。

因為所有治理的核心，最終都應回到同一件事：對人的尊重。

＊作者為國防醫學大學醫學院、中原大學法學院兼任助理教授，國立高雄師範大學成人教育研究所博士，中華民國基層醫師協會常務。