「哈囉 Fiona，請問一下，這疊健檢報告，該怎麼處理？」
年度健檢後一個月，Jason 總算收到醫院寄來的全公司健檢報告，厚厚一疊。雖說在人力資源 (HR) 部門已經待了幾年，先前也曾耳聞同事在辦理健檢，但今年這項業務第一次由他主辦，不免有些手忙腳亂。於是他轉頭請教 Fiona。
面對這一整疊報告，他正苦惱著，該提醒健檢報告有紅字的同仁就醫呢？ 還是直接鎖在檔案櫃裡就好？
利用這篇文章，我們一起幫 Jason 找答案。
【註 1】本文談的主要是「一般健康檢查」。至於噪音作業、游離輻射作業、特定化學品作業、...... 等「特殊健康檢查」，因有其特別規定，大致不在本文討論範圍。
個資法怎麼說？
《個人資料保護法》第 6 條第一項：
「
有關病歷、醫療、基因、性生活、健康檢查及犯罪前科之個人資料，不得蒐集、處理或利用。但有下列情形之一者，不在此限：
一、法律明文規定。
二、公務機關執行法定職務或非公務機關履行法定義務必要範圍內，且事前或事後有適當安全維護措施。
三、當事人自行公開或其他已合法公開之個人資料。
四、公務機關或學術研究機構基於醫療、衛生或犯罪預防之目的，為統計或學術研究而有必要，且資料經過提供者處理後或經蒐集者依其揭露方式無從識別特定之當事人。
五、為協助公務機關執行法定職務或非公務機關履行法定義務必要範圍內，且事前或事後有適當安全維護措施。
六、經當事人書面同意。但逾越特定目的之必要範圍或其他法律另有限制不得僅依當事人書面同意蒐集、處理或利用，或其同意違反其意願者，不在此限。
」
也就是說，健檢報告是重要的隱私資料，原則上不能蒐集、處理、利用，除非符合上列但書。
如果你曾翻過個資法，就會知道，所有個人資料，都要有基本的保護，而這裡的第 6 條，跟健康、犯罪前科有關的資料，是受到特別保護的。個資法第 6 條等於是在跟你說：「注意囉！這些資料，原則上通通不准碰，除非符合例外條款。」
和本文主題最有關的例外條款，是這三個：
「
一、法律明文規定。
二、公務機關執行法定職務或非公務機關履行法定義務必要範圍內，且事前或事後有適當安全維護措施。
六、經當事人書面同意。......
」
我們先看「法律明文規定」。
法定健檢頻率、項目：公司可以蒐集
《職業安全衛生法》第 20 條：
「
雇主於僱用勞工時，應施行體格檢查；對在職勞工應施行下列健康檢查：
一、一般健康檢查。
二、從事特別危害健康作業者之特殊健康檢查。
三、經中央主管機關指定為特定對象及特定項目之健康檢查。
前項檢查應由中央主管機關會商中央衛生主管機關認可之醫療機構之醫師為之；檢查紀錄雇主應予保存，並負擔健康檢查費用；實施特殊健康檢查時，雇主應提供勞工作業內容及暴露情形等作業經歷資料予醫療機構。
」
個資法對個人資料的保護，主要分三個層次：
1. 蒐集
2. 處理
3. 利用
既然上述法規說，老闆有義務為員工安排健康檢查，而且必須保存健檢紀錄，所以健檢資料的「蒐集」這個層次，雇主算是得到法律明文授權。
延伸閱讀
● 身為勞工的你，若違反這些，可能遭罰 3000 元！
● 健檢前，一口水都不能喝？
公司的「誰」可以看？
蒐集可以，那處理、利用呢？
《職業安全衛生法》第 21 條第一、二項：
「
雇主依前條體格檢查發現應僱勞工不適於從事某種工作，不得僱用其從事該項工作。健康檢查發現勞工有異常情形者，應由醫護人員提供其健康指導；其經醫師健康評估結果，不能適應原有工作者，應參採醫師之建議，變更其作業場所、更換工作或縮短工作時間，並採取健康管理措施。
雇主應依前條檢查結果及個人健康注意事項，彙編成健康檢查手冊，發給勞工，並不得作為健康管理目的以外之用途。
」
這段法條提到，健檢報告的兩種處理、利用情況：
● 健檢異常 → 醫護人員提供健康指導。
● 不能適應原有工作 → 參採醫師之建議而調整工作。
亦即，只有醫師、護理人員被允許「碰」員工的健檢資料。
那麼，醫師、護理人員從哪裡來？
你可能想到：「好像有聽說，員工達一定人數的公司，必須特約或僱用醫護人員，幫忙照顧員工的健康 ......」
是的，可參考這兩篇延伸閱讀文章：
● 你的公司裡，有醫護人員嗎？
● 「職醫」是什麼？
「那我們公司人數還沒到門檻，沒有特約的醫護人員，怎麼辦？ 誰可以看員工的健檢報告？」
最保險的作法，就是由健檢醫療院所的醫護人員提供上述健康指導、工作調整建議，或尋求相關政府單位的協助，例如職安署的勞工健康服務中心、職業傷病防治中心。
換句話說，即使是法定頻率、項目的體檢健檢報告，也只能給醫護人員看，其他人應避免。
職安衛人員呢？
一般口語稱呼的工安、勞安、職安衛人員，有許多職務名稱 &...
由許君豪醫師的健康筆記發佈於 2019年2月24日 星期日
這一題，是很多公司、環安衛工作者的困擾。接下來，我們直球對決：職安衛人員，可以處理、利用勞工的健檢報告嗎？
如果你是職安衛人員，這段是為你而寫的。請記得保護自己，別誤觸陷阱。如果你是公司主管、決策者，也請特別留意這一段，以免陷入侵犯隱私權的困境。
再看一次「法律明文規定」。
「法律」這個詞，在台灣的法規體系裡，是有特別定義的。
《憲法》第 170 條：「本憲法所稱之法律，謂經立法院通過，總統公布之法律。」
《中央法規標準法》第 2 條：「法律得定名為法、律、條例或通則。」
所以，法規名稱後面不是法、律、條例、通則的，嚴格來說不算是法律。這和口語裡比較廣義的「法律」一詞不同，務必注意。
【註 2】位階低於法律的「命令」，其中一種名稱是「辦法」，例如《職業安全衛生管理辦法》。以辦法為結尾的法規，雖然也有「法」在最後一個字，但它屬於命令，不屬於法律，請留意。
然而，由於法律案必須在立法院經三讀通過、並經總統公布，所以比較缺乏彈性。這時可以用法律授權行政主管機關制定「命令」的作法，以增加彈性。
例如，《個人資料保護法施行細則》第 9 條：「本法第六條第一項但書第一款、...... 所稱法律，指法律或法律具體明確授權之法規命令。」就幫個資法的法律一詞解套，提高了彈性。
即使這樣擴張了彈性，你若搜尋相關法規，包括《職業安全衛生法》、《職業安全衛生法施行細則》、《職業安全衛生設施規則》、《勞工健康保護規則》、......，會發現沒有任何一條法規明文規定職安衛人員可以處理、利用員工的健檢資料。「法律明文規定」這條路行不通。
那剩下這兩條路，行得通嗎？
「
二、公務機關執行法定職務或非公務機關履行法定義務必要範圍內，且事前或事後有適當安全維護措施。
六、經當事人書面同意。......
」
我們來看「必要範圍內」。
你可能想到：《職業安全衛生設施規則》裡有提到，人因危害、不法侵害（職場罷凌）、過負荷（過勞）等危害的預防，事業單位必須參照中央主管機關公告之相關指引，訂定計畫或有執行紀錄或文件，而指引裡面，職安衛人員是很重要的成員，甚至是主導的角色。既然指引都寫了，應該算是必要範圍內吧！？
請仔細翻查，指引裡面有提到，職安衛人員可以直接處理、利用員工的第一手健檢報告嗎？某員工有糖尿病、高血壓，職安衛人員「有必要」知道嗎？即使知道了，有足夠的背景知識可以管理這些疾病嗎？
疾病的診斷、治療、復健等知識，臨床的內科學、外科學、檢驗醫學、...... 等，以及更基礎的解剖學、組織學、生理學、病理學、......，如果你是沒有醫護背景的職安衛人員，相信這些對你而言，都是相當陌生的，因為學習過程中幾乎沒有這類課程。
因此，如果有一群員工，因為不滿健檢報告被公司的職安衛人員拿去看，而質疑公司：「職安衛人員沒有學過醫學、護理學，對疾病的診斷、治療、復健也沒受過的正規訓練，憑什麼只因為指引有提到他們，就讓他們看我們的健檢報告？」公司在「必要 or 非必要」的爭議上，真能站得住腳嗎？答案是很清楚的。
「那十年心血管風險百分比怎麼辦？」
其實，健檢醫療院所就可以算好百分比給你了。
身為職安衛人員，你只需要知道哪些同事有較高風險、他們應避免從事哪些工作，而不需要明確知道他們有沒有糖尿病、高血壓之類的疾病。因為如果某員工血糖高到可能影響工作安全性，「理論上」健檢單位的醫師要提醒你們公司，這位員工應該避免哪些高風險工作，但不應該直接告訴公司這位員工有糖尿病。
如果「實際上」健檢單位的醫師沒有提醒公司，那可能是法規體系設計得還不夠好，也可能是健檢醫院沒做到該做的事。總之，處理「法規說健檢後需要配工，指引說需要算心血管風險百分比，但健檢單位給我們的指示不足，怎麼辦？」這樣的矛盾，是政府和公司該煩惱的，而不是你，職安衛人員，的責任。
「可是我們公司的工安、勞安、職安衛人員，一直以來都有在看同事的健檢報告啊！甚至之前勞動檢查時，檢查員還提醒我們安全衛生人員要管理這些資料耶！」
即使看了上面這些解釋，你心中可能還是有疑惑。
面對這股心中的疑惑，在此提供兩個思考點供你參酌：第一，法規並非 100% 邏輯嚴謹，相關的法條之間有小矛盾，是很常見的。第二，你可以問自己一個終極問題：如果一位很懂法律的員工，因為我看了他的健檢資料而告我，我有把握可以全身而退嗎？
若你上網提問：「職安衛人員，可以看員工的健檢報告嗎？」可能有許多網友留言「我們公司都這樣做 ......」、「我覺得可以 ......」
但若你不幸被告，留言的人會出面幫你擋子彈嗎？「我覺得可以 ......」這樣的理由，你猜法官覺得如何？
到這裡，或許還是有讀者心中浮現疑惑：「可是，我看某某某裁判書，法官不是這樣說的喔！」
這樣的疑惑的確有道理，正反兩方可以花一整天的時間討論。為節省篇幅，這裡只提出一個事實，供你參考：在司法實務上，「高度類似的情境，不同法官的裁量結果卻彼此矛盾」是屢見不鮮的。
本文的觀點，是綜合考量個資法及相關法規立法精神、法條內容、過去裁判結果、以及個人實務經驗後，筆者認為目前相對適當的作法。若讀者有自己的考量和理由，請依自己的選擇為準。
總之，不論你是職安衛人員還是公司高階主管，這件事，值得花時間想清楚。
至於最後一條可能的路「經當事人書面同意。......」也有它自己的麻煩之處，我們將在最後那個段落一併談。
延伸閱讀
● 體檢、健檢費，誰付？（勞工 or 雇主）
● 體檢「辨色力」異常，愛注意！
人資 (HR) 呢？
人力資源工作者和「健康、醫療」相關專業領域的距離，比職安衛人員更遠。
的確，人資在過勞預防、病假管理、復工配工、...... 等，都有重要的角色，也應該主動參與。但第一線健檢資料，還是別碰吧。
超出法定頻率、項目：沒把握就別碰！
那法定頻率、項目以外的健檢資料呢？
例如，公司優於法規，提供：
● 每年一次健檢：高於法規頻率（依法僅 65 歲以上勞工才須每年做一般健康檢查）。
● 加做項目（免費／部分補助）：腹部超音波、心電圖、電腦斷層、癌症篩檢、......
這就要談到前面提到的「六、經當事人書面同意。......」了。
我們看看這一款的全文：「六、經當事人書面同意。但逾越特定目的之必要範圍或其他法律另有限制不得僅依當事人書面同意蒐集、處理或利用，或其同意違反其意願者，不在此限。」
依據這款條文，以公司經營管理的角度來看，要蒐集、處理、利用這些「優於法規」項目或頻率的健檢資料，須注意三件事：
A. 取得員工書面同意
B. 須能舉證「未逾越特定目的之必要範圍」
C. 須能舉證「其同意未違反其意願」
其中，B、C 在勞動檢查機構或員工集體提出異議的時候，特別重要。雖然依法條字面上而言，舉證責任不見得在雇主身上，仍應有所準備。
還有一個陷阱：告知。
《個人資料保護法》第 8 條第一項：
「
公務機關或非公務機關依第十五條或第十九條規定向當事人蒐集個人資料時，應明確告知當事人下列事項：
一、公務機關或非公務機關名稱。
二、蒐集之目的。
三、個人資料之類別。
四、個人資料利用之期間、地區、對象及方式。
五、當事人依第三條規定得行使之權利及方式。
六、當事人得自由選擇提供個人資料時，不提供將對其權益之影響。
」
《個人資料保護法》第 6 條第二項：「依前項規定蒐集、處理或利用個人資料，準用第八條、第九條規定；其中前項第六款之書面同意，準用第七條第一項、第二項及第四項規定，並以書面為之。」
【註 3】個資法第 8 條講向當事人蒐集個人資料的告知義務，第 9 條講蒐集非由當事人提供之個人資料的告知義務。此處為精簡版面，僅列出第 8 條。
也就是說，如果公司要蒐集、處理、利用這些優於法規的健檢項目，除了書面同意、確保未超過必要範圍、確保未違反員工意願，還必須做到完善的告知。
「好麻煩啊！？」
的確。如果你覺得煩，可以反問自己一句：「我們公司真的需要留存這些優於法規的資料嗎？花人力物力在這上面，確實對公司、對同仁有幫助嗎？」
叔叔是有練過的。如果你們公司對這兩個問題的答案沒有充分的把握，那優於法規的部分，就讓醫院或健檢中心直接把報告寄給員工就好，公司別碰！
延伸閱讀
● 勞動檢查前，公司會收到通知嗎？
● 健檢「紅字」的標準，是怎麼訂出來的？
● 上下班途中車禍、事故，算勞保職災嗎？ 不一定！