個人健康資訊

個人健康資訊（Personal Health Information, PHI）是指任何可用於識別個人身份，且與其過去、現在或未來的身體或心理健康狀況、所接受的醫療照護，或醫療照護費用支付相關的資訊。此概念源於美國《健康保險可攜與責任法》（HIPAA），其對PHI的定義極為廣泛，包含病歷、檢驗報告、帳單資訊等。在歐盟《一般資料保護規則》（GDPR）中，雖未使用PHI一詞，但其第4(15)條定義的「健康資料」（data concerning health）與其概念一致，並將其列為需特殊保護的特種個人資料。台灣《個人資料保護法》第6條亦將「健康檢查」、「醫療」列為特種個人資料，原則上不得蒐集、處理或利用。在風險管理體系中，PHI因其高度敏感性，被視為高風險資料資產，是隱私資訊管理系統（PIMS, 如ISO/IEC 27701）的核心保護對象，與一般個資（PII）相比，其外洩造成的損害更為嚴重，法律責任也更重。

在企業風險管理中，管理個人健康資訊（PHI）需遵循嚴謹的系統化流程，以確保合規並降低外洩風險。第一步是「資料盤點與分類」，企業需全面識別、清點內部所有流程中所處理的PHI，並依據其敏感性與法規要求（如HIPAA、GDPR）進行分級。第二步是「風險評鑑與衝擊分析」，採用NIST SP 800-30等風險評鑑框架，分析PHI在儲存、傳輸、處理各環節可能面臨的威脅與脆弱性，並執行隱私衝擊評估（PIA/DPIA）以量化潛在損害。第三步是「導入控制措施」，基於風險評鑑結果，依據ISO 27799（健康資訊安全管理標準）與ISO/IEC 27001，部署加密、存取控制、日誌監控等技術與組織措施。例如，某跨國醫療器材公司導入此流程後，其對GDPR的合規率提升了40%，與PHI相關的資安事件數量在一年內減少了60%，並順利通過年度外部審計，有效避免了潛在的數百萬歐元罰款。

台灣企業在導入個人健康資訊（PHI）管理時，主要面臨三大挑戰。首先是「法規複雜性與國際接軌」，企業不僅要遵循台灣《個資法》，若服務涉及歐盟或美國公民，還需同時符合GDPR及HIPAA的嚴格要求，法規的差異性導致合規成本極高。其次是「技術與資源限制」，許多醫療機構或健康科技新創公司仍使用資安防護不足的舊有系統，缺乏預算與專業人才進行系統升級與導入如ISO 27799等國際標準。第三是「員工資安意識薄弱」，內部人員的疏忽是PHI外洩的主要原因之一。對策上，企業應優先執行「資料保護衝擊評估（DPIA）」，釐清法規適用範圍與風險熱點（預計時程：1個月）。接著，應制定分階段的「資安投資藍圖」，優先強化存取控制與資料加密等核心防護（預計時程：3-6個月）。最後，必須推動「常態化資安教育訓練」，針對不同職級員工設計課程並納入績效考核，將隱私保護內化為企業文化（預計時程：長期持續）。