近日週刊爆料，一份由政府持有之高達三千筆的愛滋患者（AIDS，人類後天免疫缺乏症候群）資料，數年前遭外洩至國外網站，可直接下載患者姓名、身分證字號、出生年月日等，顯然為嚴重個資外洩事件。若非新聞報導，社會大眾根本不知此一事件。然而，台北市衛生局竟然發函給週刊媒體，以保護愛滋患者權益為名義，要求前往說明，不禁讓人懷疑，此舉是否為變相施壓媒體不得報導？
一般而言，數千筆個資外洩，已屬重大，而這種隱私性超高的法定傳染病特種個資，若於網路上揭露，對於被害人之傷害，更難以想像。新聞指述，該外洩之個資，為台北市立聯合醫院昆明防治中心於2007年進行研究，相關人員將患者名單當作簡報附件，事後有人將簡報上傳至國際簡報下載平台。然而，原本基於防疫目的等所蒐集之個人資料，竟因研討會發表之需要而後續未妥善處理，才出了這個大包。政府單位至少在2016年就發現此一事件，也要求該網路平台下架刪除，迄今仍持續追蹤、監測，並表示若有相關資料流出，均要求下架。但是，政府可以如此輕描淡寫就過去了嗎？此一事件，若適用到前一陣子生效的歐盟個資法GDPR(General Data Protection Regulation)，將是非常嚴重的事情。
AIDS屬於有關醫療的「特種個人資料」，受〈個人資料保護法〉第6條規範。此外，依〈人類免疫缺乏病毒傳染防治及感染者權益保障條例」第14條規定：「主管機關、醫事機構、醫事人員及其他因業務知悉感染者之姓名及病歷等有關資料者，除依法律規定或基於防治需要者外，對於該項資料，不得洩漏。」此一外洩事件，顯然違反規定。再者，外洩至國外網站事件，很早就發生了，為何國人現在才知悉詳情呢？是否有政府機關互相包庇之情？有待釐清。
依據個資法第12條規定：「公務機關或非公務機關違反本法規定，致個人資料被竊取、洩漏、竄改或其他侵害者，應查明後以適當方式通知當事人。」個資法施行細則第22條規定，適當方式通知必須要「即時」。請問一下，相關單位有「即時通知」這些被害人嗎？而新聞媒體只是報導「個資外洩事件」，不是報導「個資內容」，試問：政府單位為何要叫媒體去說明？如此作為，難道不會造成新聞媒體的寒蟬效應嗎？事件既已發生，政府單位應好好地善後，不應該怪罪新聞媒體的報導，文過飾非絕非上策，否則只會激發新聞媒體能量的大爆發。
最後，從此一事件中，應併予思考「被遺忘權」（right to be forgotten）的概念。此概念由來於歐盟個資法，即個資主體有權要求控制者停止傳輸、刪除其資料，例如歐洲民眾經常向Google要求移除某搜尋結果，雖然我國法未具體載明此一權利，仍期待法院能加強對被遺忘權概念的落實。AIDS名單外洩到無遠弗屆的網路，在數位時代的資訊記憶存在著易取性、耐久性、全面性的特色，傳播快速且廣泛，難以掌控，「被遺忘權」更顯重要，尤其是個資外洩之最後一道保障民眾權利的重要手段。個資如何被利用、何時應刪除，自己都有權決定，被遺忘權對於民眾來說，應是很重要的一種權利。企盼藉由此次公務機關出包事件，促使政府機關加強被遺忘權的落實，俾利保護個資遭洩的被害人。 （相關報導： 柯怡如觀點：身分證產生器避免個資外洩？或是構成犯罪！ ｜ 更多文章 ）
＊作者為陽昇法律事務所主持律師
