您好：
提問中張三的行為可能違反個人資料保護法（以下簡稱「個資法」），也可能構成刑法誹謗罪。以下簡單介紹可能涉及的法律規定，如有個案需求，建議您尋求專業律師的協助。
為了保障人民的人格權（隱私權），個資法規範公務機關及非公務機關（例如自然人、企業）蒐集[1]、處理[2]、利用[3]個人資料的行為。
個人資料，指的是自然人的姓名、出生年月日、身分證字號、護照號碼、特徵、指紋、婚姻、職業、病歷、聯絡方式等，以及其他可以直接或間接識別特定個人的資料[4]。只要依據個資法的規定[5]，原則上可以蒐集、處理或利用個人資料。
然而，由於病歷、醫療、基因、性生活、健康檢查、犯罪前科具有高度敏感性，如果被任意蒐集、處理或利用，恐怕會對當事人造成難以彌補的傷害，因此這些「特種個人資料」（以下簡稱「特種個資」）受到個資法更高程度的保護，除非有法定的情形，否則不可以蒐集、處理或利用[6]。
依照個資法施行細則，前述所稱「醫療事項」，應指病歷及其他因醫師或醫事人員診察、治療而產生的個人資料[7]。有法院實務認為，透過傳述而得知他人罹患疾病之資訊，屬於醫療事項[8]。而「傳述」屬於個資法所稱「利用」行為。因此，除非當事人自行公開，或有其他法定情形，否則不得在未經當事人同意之下，將當事人罹患的疾病傳述於他人。
如果是為了自己或他人不法的財產利益，或是想要損害他人的利益，而違法利用特種個資，且足以造成他人的損害，將構成「侵害個資罪」，而面臨最高5年有期徒刑，及最高100萬元的罰金[11]。
不過，如果違法利用特種個資，並非出於獲取不法財產利益，或損害他人利益的目的；或是行為不足以造成損害，雖然不構成侵害個資罪，仍會被主管機關處5萬至50萬元的罰鍰[12]。
誹謗，是指披露、揭發、宣傳足以毀損他人名譽之事。如果誹謗者能夠證明誹謗的內容為真實，原則上法律不罰，但如果該事實只涉及私德而與公共利益無關，仍會成立誹謗罪[14]。
誹謗罪是否成立，其中有一個條件是誹謗內容要確實降低他人在社會上的人格評價。至於傳述他人的隱疾，是否會降低他人的人格評價，參考過去相關判決，法院可能因疾病的性質而有不同的認定。
過去有實務案例，被告在網路上指稱當事人得過「菜花」，法院認定此誹謗內容足以貶損他人的人格評價[15]；但也有實務案例，被告揭發當事人罹患「焦慮症」、「憂鬱症」之事實，法院認為罹患焦慮症、憂鬱症並非當事人所願意，依照社會通念，其他人並不會因為得知當事人罹患疾病而對其人格有負面的評價，因此不構成誹謗罪[16]。所以提問人的問題，需要法院依據個案情節加以判斷。
延伸閱讀：
韓瑋倫（2022），《哪些資料是個人資料？判斷標準是什麼？》。
韓瑋倫（2022），《有哪些資料是受到特別保護的特種個人資料？應如何合法運用這些資料？》。
黃郁真（2022），《一般人公布他人的個人資料違法嗎？》。
法律百科（2022），《網路上的法律問題—個人資料保護》。
蔡文元（2022），《什麼是誹謗罪？那些情況下誹謗例外不受處罰？》。
註腳
- 個人資料保護法第2條第3項：「本法用詞，定義如下：
三、蒐集：指以任何方式取得個人資料。」 - 個人資料保護法第2條第4項：「本法用詞，定義如下：
四、處理：指為建立或利用個人資料檔案所為資料之記錄、輸入、儲存、編輯、更正、複製、檢索、刪除、輸出、連結或內部傳送。」 - 個人資料保護法第2條第5項：「本法用詞，定義如下：
五、利用：指將蒐集之個人資料為處理以外之使用。」 - 個人資料保護法第2條第5項：「本法用詞，定義如下：
一、個人資料：指自然人之姓名、出生年月日、國民身分證統一編號、護照號碼、特徵、指紋、婚姻、家庭、教育、職業、病歷、醫療、基因、性生活、健康檢查、犯罪前科、聯絡方式、財務情況、社會活動及其他得以直接或間接方式識別該個人之資料。」 - 個人資料保護法第5條：「個人資料之蒐集、處理或利用，應尊重當事人之權益，依誠實及信用方法為之，不得逾越特定目的之必要範圍，並應與蒐集之目的具有正當合理之關聯。」
- 個人資料保護法第6條第1項：「有關病歷、醫療、基因、性生活、健康檢查及犯罪前科之個人資料，不得蒐集、處理或利用。但有下列情形之一者，不在此限：
一、法律明文規定。
二、公務機關執行法定職務或非公務機關履行法定義務必要範圍內，且事前或事後有適當安全維護措施。
三、當事人自行公開或其他已合法公開之個人資料。
四、公務機關或學術研究機構基於醫療、衛生或犯罪預防之目的，為統計或學術研究而有必要，且資料經過提供者處理後或經蒐集者依其揭露方式無從識別特定之當事人。
五、為協助公務機關執行法定職務或非公務機關履行法定義務必要範圍內，且事前或事後有適當安全維護措施。
六、經當事人書面同意。但逾越特定目的之必要範圍或其他法律另有限制不得僅依當事人書面同意蒐集、處理或利用，或其同意違反其意願者，不在此限。」 - 個人資料保護法施行細則第4條第2項：「本法第二條第一款所稱醫療之個人資料，指病歷及其他由醫師或其他之醫事人員，以治療、矯正、預防人體疾病、傷害、殘缺為目的，或其他醫學上之正當理由，所為之診察及治療；或基於以上之診察結果，所為處方、用藥、施術或處置所產生之個人資料。」
- 臺灣高等法院107年度上易字第323號刑事判決：「被告前揭公開指述或張貼載有告訴人之犯罪前科（傷害前科，判刑拘役30天）、醫療事項（罹患焦慮症）、學歷資料（小學肄業騙大學畢業）等，自屬上開法律明定之個人資料。然若被告並無同條（個資法第6條第1項）項但書情形，即不得利用上揭醫療、犯罪前科資料。」
- 個人資料保護法第29條第1項：「非公務機關違反本法規定，致個人資料遭不法蒐集、處理、利用或其他侵害當事人權利者，負損害賠償責任。但能證明其無故意或過失者，不在此限。」
- 個人資料保護法第29條第2項：「依前項規定請求賠償者，適用前條第二項至第六項規定。」
個人資料保護法第28條第3項：「依前二項情形，如被害人不易或不能證明其實際損害額時，得請求法院依侵害情節，以每人每一事件新臺幣五百元以上二萬元以下計算。」 - 個人資料保護法第41條：「意圖為自己或第三人不法之利益或損害他人之利益，而違反第六條第一項、第十五條、第十六條、第十九條、第二十條第一項規定，或中央目的事業主管機關依第二十一條限制國際傳輸之命令或處分，足生損害於他人者，處五年以下有期徒刑，得併科新臺幣一百萬元以下罰金。」
- 個人資料保護法第47條：「非公務機關有下列情事之一者，由中央目的事業主管機關或直轄市、縣（市）政府處新臺幣五萬元以上五十萬元以下罰鍰，並令限期改正，屆期未改正者，按次處罰之：
一、違反第六條第一項規定。
二、違反第十九條規定。
三、違反第二十條第一項規定。
四、違反中央目的事業主管機關依第二十一條規定限制國際傳輸之命令或處分。」 - 中華民國刑法第310條第1項：「意圖散布於眾，而指摘或傳述足以毀損他人名譽之事者，為誹謗罪，處一年以下有期徒刑、拘役或一萬五千元以下罰金。」
- 中華民國刑法第310條第3項：「對於所誹謗之事，能證明其為真實者，不罰。但涉於私德而與公共利益無關者，不在此限。」
- 臺灣基隆地方法院110年度易字第494號刑事判決。
- 臺灣高等法院107年度上易字第323號刑事判決。