行業透視

私營診所處理病人資料，私隱條例要求什麼？

響・商業誌 編輯部｜2026-09-16

《個人資料(私隱)條例》適用於所有處理個人資料的機構，私營診所亦不例外。本文整理診所收集、使用及保管病人資料時須遵守的主要規定，協助業界按公開資料及官方指引做好合規。

私營診所每日處理大量病人資料，由姓名、聯絡方式到病歷、診斷記錄，皆屬《個人資料(私隱)條例》下的個人資料。事實上，條例對公私營機構一視同仁，診所一旦控制資料的收集、持有或使用，便成為受規管的「資料使用者」。以下按個人資料私隱專員公署（PCPD）及政府公開資料，說明診所須留意的要點。

私營診所是「資料使用者」，受六項原則規管

《個人資料(私隱)條例》（香港法例第486章）於1996年12月20日生效，並以國際認可的保障資料原則為藍本；《2012年個人資料(私隱)(修訂)條例》的修訂條文其後全面實施^[3]。條例的核心，是規管資料使用者在收集、持有、準確性、保留期間、使用、保安、私隱政策、查閱及更改個人資料各方面的「六項保障資料原則」^[2]。對診所而言，這六項原則構成合規的基本框架。

資料來源：憲制及內地事務局《個人資料（私隱）條例檢討諮詢文件》[3]

收集時須提供《收集個人資料聲明》

醫院或診所在收集病人個人資料時，應向病人提供一份《收集個人資料聲明》，清楚述明收集資料的用途、資料可能轉移給甚麼類別的人、不提供資料所須承受的後果，以及查閱資料的權利，以符合保障資料第1原則^[2]。此外，PCPD 於2026年3月發布給醫護提供者及醫護專業人員的資訊單張，亦提醒診所要確保職員在病人給予電子健康紀錄的參與同意及互通同意前，提醒其細閱相關《收集個人資料聲明》、《私隱政策聲明》及《參與者須知》^[1]。

事實上，不當收集同樣會觸犯原則。PCPD 曾引用的個案中，一名私家醫生在沒有通知病人的情況下，將與病人之間的對話錄音，違反保障資料第1原則；該醫生其後承諾停止有關錄音行為並確認已刪除錄音^[2]。這顯示「如何收集」與「收集甚麼」同樣重要。

資料只能用於原定目的，保安須盡切實可行步驟

按保障資料第3原則，病人個人資料必須用於收集時所述的目的；若用於新目的，須取得病人同意，除非條例下的法定豁免適用^[3]。在保安方面，第4原則要求診所採取一切切實可行步驟，防止資料遭未獲授權或意外的查閱、處理、刪除或遺失^[3]。

然而，隨著電子健康紀錄互通系統的普及，存取權限管理更受關注。PCPD 指出，醫護提供者須採取合理步驟，確保只有相關的醫護專業人員，方可按「有需要知道」的原則取覽與其提供服務有關的健康紀錄；一旦發生資料外洩，應盡快通知電子健康紀錄專員及個人資料私隱專員^[1]。此外，診所應制定並定期檢視其個人資料私隱政策，符合第5原則的透明度要求^[1]。

病人有權查閱及更正醫療紀錄

條例賦予資料當事人查閱權，病人可要求索取其醫療紀錄的副本，這是常見的查閱資料要求例子之一^[4]。一般而言，資料使用者須在接獲查閱資料要求後 40 日內依從；所收取的費用不得「超乎適度」，即不得超過依從要求所需的直接成本^[4]。若病人發現所提供的個人資料不正確，可提出改正資料要求，資料使用者同樣須在 40 日內回應^[4]。

直接促銷與資料外洩受嚴格規管

直接促銷受嚴格限制。PCPD 明確指出，在電子健康紀錄互通系統中使用健康紀錄作直接促銷，屬《電子健康紀錄互通系統條例》下的刑事罪行；若診所打算在自家系統使用個人資料作直接促銷，亦須遵守《個人資料(私隱)條例》相關規定，否則同樣可能觸犯刑事罪行^[1]。

不過，違反保障資料原則本身並不構成罪行；若 PCPD 調查後認為資料使用者正在或可能繼續違反規定，可向其主要執行通知，不遵從執行通知才會招致罰則——最高可處罰款 50,000 元及監禁 2 年，持續違反每日另罰 1,000 元。條例下各項罪行（不包括違反原則本身）的罰則由第3級罰款（最高 10,000 元）至第5級罰款（最高 50,000 元）及監禁 2 年不等^[3]。因此，診所應以政策、培訓及權限管理將合規落到實處，而非僅在事後補救。