個人可識別健康資訊

個人可識別健康資訊（Individually Identifiable Health Data）是指任何與個人健康狀況、醫療服務提供或醫療費用支付相關，且包含足以識別個人身份識別碼（如姓名、身分證號、病歷號）的資訊。此概念在美國健康保險流通與責任法案（HIPAA）中被定義為「受保護健康資訊」（PHI）。在歐盟GDPR中，雖無完全對應的單一術語，但其本質屬於第9條規範的「健康相關資料」，被列為需特殊保護的敏感個資。台灣《個人資料保護法》第6條亦將醫療、基因、健康檢查等資料列為特種個人資料，原則上不得蒐集、處理或利用。在風險管理體系中，此類資料因其高度敏感性，被視為最高風險等級的資訊資產，必須在隱私資訊管理系統（PIMS, ISO/IEC 27701）中實施最嚴格的存取控制、加密與監控措施，以防範資料外洩風險。

企業在風險管理中應用個人可識別健康資訊的管理，需遵循嚴謹的程序化步驟，以確保合規並降低風險。第一步為「資料盤點與分類」，企業需利用資料掃描工具，全面盤點內部系統、資料庫與非結構化檔案，識別所有健康資訊，並依據ISO/IEC 27701控制項目A.7.2.2的要求，將其標記為最高敏感等級。第二步為「隱私衝擊評估與控制措施設計」，依據GDPR第35條要求，針對涉及此類資料的處理活動進行資料保護衝擊評估（DPIA），識別風險並設計對應的控制措施，例如採用化名技術（Pseudonymisation）處理臨床試驗數據、對儲存病歷的資料庫進行全磁碟加密。第三步為「持續監控與應變演練」，部署資料外洩防護（DLP）系統，監控異常存取行為，並定期（如每半年）舉行資料外洩應變演練。台灣某生技公司透過導入此流程，將其臨床試驗資料處理的GDPR合規率提升至98%，並成功通過數家歐盟合作夥伴的供應商資安審計。

台灣企業在管理個人可識別健康資訊時，主要面臨三大挑戰。首先是「法規認知落差」，特別是對於GDPR跨境傳輸的嚴格要求與台灣個資法之間的差異不甚了解，易導致合規漏洞。其次是「技術與資源投入不足」，許多中小型醫療機構或生技新創公司缺乏預算導入如資料庫活動監控（DAM）或特權帳號管理（PAM）等高階資安工具。第三是「內部人員資安意識薄弱」，員工可能習慣以未加密的電子郵件傳送病歷摘要，或使用弱密碼，形成管理破口。對策建議：針對法規落差，應建立由法務與IT人員組成的隱私保護工作小組，以GDPR為基準，制定統一的集團隱私政策（預計3個月內完成）。針對資源不足，可優先採用訂閱制的雲端資安服務，並將資料保護官（DPO）職能委外給專業顧問（預計6個月內導入）。針對人員意識，應立即推動強制性的年度資安教育訓練與社交工程演練，並將考核結果納入績效評估，建立全員參與的隱私保護文化（立即啟動，持續進行）。