在台灣，遠距醫療的合規問題並不只是「Zoom 有沒有加密」這麼簡單。一間診所要合法使用 Zoom 進行視訊診療，需要同時符合個人資料保護法（個資法）、醫療法，以及 2024 年修訂的通訊診察治療辦法三個法規框架。其中任何一個環節出現缺口，即便平台本身的資安設定再完善，整個視訊診療流程在法律上仍可能構成違規。
本文的核心答案是：Zoom 可以在台灣醫療場景中合規使用，但前提條件缺一不可——必須使用付費方案、簽署業務夥伴協議（Business Associate Agreement，BAA），並正確設定帳號。此外，當 AI 筆記工具加入通話時，合規責任同樣延伸至那個工具，而不是停留在 Zoom 本身。
哪些 Zoom 方案符合台灣醫療院所的使用規定
Zoom 免費版在任何情況下都不適用於醫療院所的診療場景。Zoom 不會為免費帳號簽署業務夥伴協議（BAA），而沒有 BAA，任何在通話中出現的個人健康資料——包括病患姓名、診斷、治療計畫，甚至視訊中的面孔——都有可能在個資法的「特種個人資料」框架下構成未授權處理。
要取得可供醫療場景使用的帳號資格，機構需要以下其中一種方案：
- Zoom Workplace Pro、Business 或 Enterprise。這些付費方案一旦向 Zoom 申請並完成 BAA 簽署，即可在符合設定的前提下用於醫療場景。
- Zoom Workplace for Healthcare。Zoom 的醫療專用方案，在 BAA 合規基礎上增加了專為臨床工作流程設計的控制功能，並支援與電子病歷系統（EMR）整合。定價依授權數量與附加功能報價，需直接與 Zoom 業務團隊接洽。
如果機構已在使用 Zoom Business 或 Enterprise 用於一般辦公，通常不需要另行申請醫療版授權——只需簽署 BAA 並完成帳號設定即可。需要注意的是，BAA 不會自動涵蓋 Zoom 帳號下的所有功能模組。Zoom 電話（Zoom Phone）、Zoom 聊天室（Team Chat）等功能若要納入相同合規範圍，需在 BAA 條款中明確確認涵蓋範圍，而不是假設簽了一份協議就覆蓋了所有功能。
如何完成 BAA 簽署與合規帳號設定
簽署業務夥伴協議（BAA）是法律層面的基礎，沒有 BAA 就沒有合規。以下是完整的執行流程：
- 確認方案資格。免費帳號與個人帳號不在資格範圍內。
- 向 Zoom 申請 BAA。Zoom 使用標準化協議範本，醫療院所無法以自訂版本替換。
- 由機構的個資保護負責人或資安長審閱並簽署。這通常是機構個人資料管理辦法中指定的負責人，在台灣醫療院所中常見職銜為院長、資訊長或法遵主管。
- 完成帳號設定。簽署 BAA 不會自動更改任何帳號設定，需要由管理員手動調整。
- 在第一次視訊診療前完成員工教育訓練。設定正確的帳號被錯誤操作，仍然構成違規。
BAA 簽署完成後，以下這些設定對於任何可能出現個人健康資料的會議最為關鍵：
- 每場會議啟用等候室（Waiting Room），確保病患在主持人允許前不會進入通話。
- 每場排定的會議設置密碼，不限於「敏感」類型的通話。
- 使用唯一會議 ID 而非個人常設會議 ID（PMI），PMI 適合內部使用，但不適合外部診療。
- 傳輸加密，Zoom Business 與醫療版預設啟用。
- 限制螢幕共享與檔案傳輸，防止病患端裝置意外將內容推送至通話。
- 開啟稽核日誌，記錄誰加入了哪場會議、何時加入，符合個資法對存取控制記錄的要求。
- 雲端錄影政策，通話一旦錄製，錄影檔案即成為個人健康資料。儲存位置必須在 BAA 涵蓋範圍內，且需設定自動刪除或保存期限，而非讓錄影無限期累積。
部分 Zoom AI 功能在帳號簽署 BAA 後會被自動停用，因為這些功能尚未被納入協議的適用範圍。建議在簽署後重新確認管理後台的設定狀態，而非假設所有功能都已自動合規。
台灣個資法與遠距醫療的合規框架
在台灣，遠距醫療的法規框架與美國不同，但保護目標相似。主要適用法規包括：
個人資料保護法（個資法）
個資法將病患的健康診療資料列為「特種個人資料」，受到最高等級的保護規範。醫療院所在蒐集、處理或利用這類資料時，需具備明確的法定依據或取得當事人書面同意，且資料的傳輸路徑與儲存方式均須符合個資法第 27 條的安全維護義務。
通訊診察治療辦法（2024 修訂版）
2024 年修訂的通訊診察治療辦法明確規定了視訊診療的技術與資安標準。辦法要求視訊診療平台必須具備身分驗證機制、資料加密傳輸，並對通訊過程保留完整的稽核記錄。這些要求直接對應 Zoom 帳號設定中的等候室、加密傳輸與稽核日誌等功能。
ISO 27001 認證
雖然 ISO 27001 並非法定強制要求，但在台灣醫療資安的實務框架中，ISO 27001 已成為醫療院所評估供應商資安能力的重要指標。選擇已通過 ISO 27001 認證的服務供應商，有助於降低因供應商資安缺口造成的違規風險。
在合規的 Zoom 通話中使用 AI 筆記工具
這是大多數指南跳過的部分，也是許多醫療院所在不知情的情況下走出自身合規框架的地方。Zoom 的 BAA 涵蓋的是 Zoom 本身。它不會自動延伸至你在通話中使用的其他工具。
如果醫師使用獨立的 AI 筆記工具來轉錄或摘要視訊診療內容——無論是瀏覽器擴充功能、以機器人身分加入會議的程式，還是在桌面背景運作的應用程式——那個工具同樣在處理個人健康資料。如果該工具沒有自己的 BAA 及符合個資法的資料處理流程，把它加入一場已合規設定的 Zoom 診療，等同於在最後一哩路打開了一個缺口。合規責任不會自動轉移給筆記工具的供應商——它留在醫療院所本身，直到有一份 BAA 說明了責任的分配方式。
在引入任何 AI 錄音或筆記工具之前，有兩個問題值得優先釐清：
- 該供應商是否提供 BAA，且機構是否已完成簽署？
- 音訊在被擷取的那一刻起流向哪裡，在刪除之前有哪些人員或系統可以存取？
Plaud Desktop 針對線上診療場景，對第二個問題提供了清晰的答案。它在 Zoom、Google Meet 或 Microsoft Teams 通話啟動時，直接從桌面擷取音訊，無需機器人以可見參與者身分加入會議——對於本已覺得視訊診療不如面對面親切的病患而言，這個差異有其實質意義。
對於從未接觸 Zoom 的面對面或電話診療，硬體方案以不同方式回答了「音訊流向哪裡」的問題。Plaud Note Pro 是一款實體 AI 筆記工具，它在同步至雲端之前，先在裝置本機保存錄音，讓臨床人員對音訊保有實體持有權，直到主動選擇同步為止。Plaud 的完整合規清單——包含 HIPAA、SOC 2 Type II、GDPR 及 ISO 27001——公開於台灣安全中心，供機構法遵人員在任何診療通話啟用前自行查閱。
合規責任仍在醫療院所本身
簽署 BAA 和使用付費方案讓你取得了合規的資格，但並不等於已經合規。從實際的資安事件調查模式來看，造成個資外洩的鮮少是平台本身，而幾乎總是設定錯誤或流程缺口——某位員工用個人免費帳號進行了一場臨床通話、一段錄影被儲存在不在 BAA 涵蓋範圍內的本機資料夾、等候室因為那天診所太忙而被關掉。
以下這些常見缺口值得定期（而非只在初次設定時）確認：
- 員工在機構授權帳號載入較慢時，習慣性地改用個人或免費 Zoom 帳號。
- 錄影被下載到不在 BAA 涵蓋範圍內的筆電或共用資料夾。
- 新進員工在第一次視訊診療前，從未接受過合規設定的教育訓練。
- 透過 Zoom 連結的第三方行事曆、排程或轉錄外掛，未經獨立的 BAA 審核就直接使用。
記錄確認過程，而不只是記錄問題的修復。一份存檔的 BAA 本身不夠——如果衛福部或個資委員會進行稽核，你需要能夠說明帳號設定如何被確認、新進員工的訓練是何時完成的，以及第三方工具的最後一次合規審查是什麼時候。一張由法遵負責人定期審閱、簽名並標記日期的季度檢查清單，能把「我們相信我們符合規定」轉化為可以在稽核時拿出來的文件。
關於遠距醫療平台合規的進一步說明，可參考衛生福利部公告的相關辦法與指引，以及通訊診察治療辦法的最新版本，因為主管機關隨著技術演進持續更新相關規範。你的機構風險評估應當以對待電子郵件或檔案儲存的相同標準來對待視訊會議平台——每項供應商關係都需要有自己的 BAA、設定確認機制，以及在員工訓練計畫中的對應位置。
下一步：在下一次視訊診療前確認你的 BAA
如果機構已在付費使用 Zoom Business、Enterprise 或 Workplace for Healthcare，最快的改善方案通常不是更換平台，而是這週內確認三件事：BAA 是否已簽署且存檔、每場臨床會議的等候室和密碼設定是否已開啟，以及任何在 Zoom 通話內或以獨立工具進行錄音的解決方案，是否都能提供自己的合規文件。
Plaud 的完整認證清單——包含 HIPAA、SOC 2 Type II 及 GDPR——公開於 台灣安全中心，供機構的法遵或資安負責人在任何臨床工作流程啟用前自行查閱。
錄製通話前，請告知所有參與者並取得其同意，並遵守相關法律規定。
常見問題解答（FAQ）
Zoom Pro 符合個資法規定嗎？
Zoom Pro 方案在完成業務夥伴協議（BAA）簽署並正確設定帳號後，可以用於需要處理個人健康資料的診療場景。單憑 Pro 方案本身，未簽署 BAA，不足以在法規層面完成合規。
如何確認我的 Zoom 帳號是否符合規定？
直接確認三件事：第一，機構與 Zoom 之間已有一份已簽署的業務夥伴協議（BAA）存檔；第二，帳號所在方案被 Zoom 納入 BAA 適用範圍，例如 Business、Enterprise 或 Workplace for Healthcare；第三，等候室、密碼、加密與限制共享等設定，已在每場可能出現個人健康資料的會議中確實開啟，而不只是員工記得標記為「敏感」的那些通話。
Zoom 免費版符合個資法嗎？
不符合。Zoom 不為免費帳號提供 BAA，在沒有 BAA 的情況下，無論啟用了什麼設定，個人健康資料都不應在該平台上傳輸。
Zoom 電話（Zoom Phone）符合規定嗎？
Zoom Phone 可以被納入與 Zoom 會議同一份機構 BAA 的涵蓋範圍，前提是使用的方案具備 BAA 資格，且電話服務啟用於受涵蓋的帳號下。建議直接查閱簽署的 BAA 條款，確認哪些具體服務在協議範圍內。
Zoom AI Companion 符合規定嗎？
部分 Zoom AI Companion 功能在簽署 BAA 的帳號上會被自動停用，因為這些功能尚未被納入協議的適用範圍。建議在簽署後重新確認管理後台，查看哪些 AI 功能仍處於啟用狀態。
Zoom 適合用於心理諮商的視訊診療嗎？
在與其他臨床場景相同的條件下，可以使用——帳號須為 BAA 適用方案、BAA 已簽署、每場通話開啟等候室和密碼。心理諮商通話往往涉及比一般醫療更敏感的個人資訊揭露，許多診所會採取額外措施，例如完全停用聊天和檔案傳輸功能，並確認所有錄音（無論是在 Zoom 內或透過獨立工具進行）都具備合規的儲存路徑。
