診所網站被駭：病患個資的判斷、通知與通報

診所網站被駭，先別急著發公告，第一件事是確認病患資料到底有沒有被拿走：網站存了哪些欄位、存在哪台主機、預約資料是不是其實放在第三方系統。確認有外洩或無法排除時，依現行《個人資料保護法》第12條與施行細則第22條，要查明後以適當方式通知病患，內容包括被侵害的事實與已採取的因應措施；若事故涉及電子病歷系統，醫療機構另有72小時內通報地方衛生主管機關的規定。

「網站被駭」不等於「個資外洩」。有些入侵只是首頁被換掉，網站根本沒存病患資料；有些則是預約資料庫被整包下載。先釐清三個問題：

1. 網站蒐集了哪些欄位？列出官網每個表單（預約、聯絡、問卷）收了哪些欄位，例如姓名、電話、出生日期、身分證字號、預約時段、看診科別、症狀。
2. 這些資料存在哪裡？可能存在官網主機的資料庫、只寄到診所信箱不留存，或預約按鈕其實連到第三方系統，資料根本不在官網主機上。
3. 入侵者碰得到哪些地方？請網站廠商或主機商確認入侵範圍是否包含資料庫、後台帳號或備份檔。

也要注意資料的敏感度。個資法第2條把病歷、醫療、聯絡方式等都列為個人資料，第6條另把病歷、醫療、健康檢查等列為原則上不得蒐集、處理或利用的特種個資。表單若有症狀或看診科別，影響會比只有姓名電話更大，要分開評估。

清除惡意程式、修補漏洞屬於網站技術處理，站內另有一篇網站被駭的通用處理專文；這裡只整理和病患個資有關、診所自己要主導的步驟。

1. 先保存紀錄，再動手清理：請主機商與網站廠商在清除前保留伺服器存取紀錄、後台登入紀錄與被修改的檔案。直接重灌或還原，會把判斷外洩範圍的證據一起洗掉。
2. 停用受影響的表單：把線上預約與其他表單暫時下架，改放公告請病患以電話或現場預約，避免入侵期間繼續有新資料送進可能被監看的表單。
3. 收回帳號權限：更改網站後台、主機、資料庫與表單通知信箱的密碼，移除不明帳號。
4. 評估外洩範圍：依前一段的方式，整理出可能受影響的期間、筆數、欄位，以及是否包含醫療相關資料。暫時無法確定的部分，寫明「無法排除」，不要先假設沒事。
5. 確認是否牽涉病歷系統：官網、預約系統與院內的電子病歷或醫療資訊系統是否相連、是否在同一台主機或共用帳號。這會影響後面要適用哪些規定。
6. 建立事件紀錄：用一份文件依時間記下：何時發現、誰發現、看到什麼、做了哪些處置、聯絡了哪些單位。之後通知病患、回覆主管機關或諮詢律師，都會用到。
7. 準備通知內容與聯絡窗口：指定專人回覆病患詢問，先擬好通知草稿（內容要求見後段）。

診所屬於個資法所稱的非公務機關。依全國法規資料庫目前生效的條文，個資法第12條規定，公務機關或非公務機關「違反本法規定，致個人資料被竊取、洩漏、竄改或其他侵害者，應查明後以適當方式通知當事人」。同法第27條也要求保有個人資料檔案的非公務機關採行適當安全措施，防止個資被竊取、竄改、毀損、滅失或洩漏。

什麼是「適當方式」、要通知什麼，寫在《個人資料保護法施行細則》第22條：

預約資料通常有電話，逐一以簡訊或電話通知是條文明列的方式；需費過鉅時才考慮官網公告等公開方式。網站被駭是否落入第12條「違反本法規定」的情形，屬於法律判斷，請與律師或主管機關確認。

另外要知道：個資法已在2025年11月11日修正公布，新版第12條改為知悉個資被竊取、竄改、毀損、滅失或洩漏時就應通知當事人，符合一定範圍者要向主管機關通報，並須採取應變措施、保存紀錄，細節另以辦法訂定。但施行日期由行政院另定，全國法規資料庫目前標示尚未生效，處理時以已生效條文為準，並留意施行公告。

衛生福利部依醫療法訂定的《醫療機構電子病歷製作及管理辦法》，要求以電子方式製作病歷的醫療機構建立安全事故處理機制，涵蓋系統遭侵入、資料洩漏、毀損等事故的預防、通報、應變與檢討。該辦法第5條規定：

• 發生這類安全事故時，醫療機構應以個資法施行細則第22條所定的方式及內容，通知當事人或其法定代理人。
• 事故影響醫療機構營運或當事人權益時，應於知悉事故發生起七十二小時內，通報直轄市、縣（市）主管機關。依醫療法第11條，地方主管機關是直轄市或縣（市）政府，實務上就是所在地的衛生局。

這條針對電子病歷系統的安全事故。官網表單若與病歷系統完全分開，未必直接適用；但若彼此相連，或入侵延伸到病歷系統，就要把72小時時限納入考量。拿不準時，盡早向所在地衛生局詢問。

另一部《醫院個人資料檔案安全維護計畫實施辦法》也有72小時內書面通報的規定，但它所稱的醫院，是總床數達一百床以上的私立醫院、醫療法人醫院及其他法人附設醫院，一般診所不在適用範圍內。

通知的法定最低內容是「被侵害的事實」與「已採取的因應措施」。為了讓病患看得懂、少一些恐慌，草稿可以依下面的順序整理：

1. 發生了什麼：何時發現官網遭入侵，可能受影響的期間。
2. 哪些資料可能受影響：具體列出欄位，例如姓名、電話、預約時段；有就寫，沒有的也可以註明未受影響，例如網站未存身分證字號。
3. 診所已經做了什麼：例如已停用線上預約、已更換密碼、已委請專業人員調查。
4. 病患可以注意什麼：提醒留意自稱診所人員的可疑來電或簡訊，診所不會以電話要求提供帳號密碼或匯款。
5. 聯絡窗口：專責回覆的人員與聯絡方式。

不要淡化成「系統維護」，也不要寫入未查證的推測；調查有新進展可再補充通知。每一筆通知的時間、方式與對象都要留存。

• 預約資料不存在官網主機上：預約交給專門的預約系統，官網只放連結，官網被駭也碰不到預約資料。
• 選用重視資安的預約系統：詢問資料存放位置、傳輸是否加密、能否開兩步驟驗證、有無存取紀錄、出事時如何通知診所，並寫進合約。
• 最小化蒐集欄位：預約只需要能聯絡、能排時段的欄位。身分證字號、詳細症狀這類資料，留到現場或院內系統再收，不要放在官網表單。
• 保留存取紀錄：確認主機與預約系統會保存登入與存取紀錄，並知道出事時怎麼調閱。這是判斷外洩範圍的依據。
• 帳號分人、匯出檔不留：帳號一人一組，人員異動立即停用；匯出名單用完就刪，不放在網站目錄。

如果官網目前仍與表單資料放在同一台主機，可以趁重建時一併調整架構，主機選擇可參考虛擬主機的方案說明；其他常見問題可到常見問題查看。

本文整理的是公開法規與技術處理方向，不是法律意見。實際是否要通知、通報，以及通知範圍與措辭，請諮詢律師，或向所在地衛生局等主管機關確認；法條以全國法規資料庫公布的原文為準。需要技術面的協助，可以透過聯絡我們表單說明狀況。

• 網站被駭怎麼辦：清除惡意程式與通報步驟
• 虛擬主機：重建官網時，選擇有存取紀錄與備份機制的主機環境。
• 聯絡我們：說明網站被駭的狀況，請我們協助評估主機與資料存放方式。