在資料經濟時代，資料為王的呼聲日起，誰擁有眾多資料，就有機會創造更多獲利。但也常發生企業或組織濫用所擁有的資料，進行特定目的外之行銷等違法情事，或是不法份子不斷利用人員疏失或內部管理不善，搭配運用簡單的工具，如夾帶木馬之檔案，達成竊取資料之目的。確保個資與資安管控，可從身分識別與授權強化。
早在2010年前，兩岸等地都傳出利用照片或圖片夾帶木馬程序，伺機竊取目標對象資訊之新聞。但至2018年，中國大陸公安部仍有破獲不法份子利用圖片之木馬程式，傳送給醫美診所或整形醫院，佯稱有美容或整形需求，趁院內人員開啟圖片後，內部系統被植入木馬，竊取相關資訊含病患隱私在內，且被對外販售牟利之案件。
如同一再宣導注意社交工程郵件，及勿開啟來路不明的檔案，或是建議安裝防毒軟體，以符合基本的資安防護。但不法份子還是不斷利用人員疏失或內部管理不善，搭配運用簡單的工具，如夾帶木馬之檔案，達成竊取資料之目的。為強化資安防護，行政院國家資通安全會報技術服務中心（技服中心）於2014年有提供安全控制措施參考指引（修訂2.0版），內容包含存取控制、認知與訓練、鑑別與識別等多項建議，相關資料均可供強化防護之參考。
2019年1月資通安全管理法（資安法）施行後，其子法之應辦事項，對於受規範對象（含公務機關與特定非公務機關）之管理面或技術面，也有相關具體要求，如為確保內、外部使用者，以及進行身分管理等。其中，識別與鑑別是主要控制措施之一。尤其像前述2018年之案件，除加裝防毒軟體以避免惡意程式外，對於非內部使用者，組織或系統也應進行識別與鑑別，確保沒有權限進入內部系統近用（Access）資料，因而造成損失。
納入事物形組合深化身分認證成效
對於醫療院所來說，除原有的資料或數據治理需求，在資安法施行後，因該法定義之特定非公務機關，包含關鍵基礎設施提供者、公營事業及政府捐助之財團法人。其中，關鍵基礎設施又依領域分為8大類，計有能源、水資源、通訊傳播、交通、銀行與金融、緊急救援與醫院、中央與地方政府機關，以及高科技園區。除衛生福利部（衛福部）既有規範外，目前共有64家醫療院所因屬於關鍵基礎設施，包含部立醫院、重度級急救責任醫院，及傳染病應變醫院三大類，須依循資安法規範。
另落實前述應辦事項外，為深化身分驗（認）證之成效，確保相關機制或措施確實發揮功能，也建議加強密碼強度，搭配大小寫、數字或特殊符號。近年來更鼓勵採用雙因子或多重認證方式，運用事（something you know）、物（something you have）及形（something you are）等因素之組合，如帳號密碼、搭配簡訊代碼，以辨別使用者之身分，這些都是醫療院所或相關機關在制度或系統設計上，可以納入考量的內容。
強化授權機制避免資料濫用
在資料經濟時代，誰擁有眾多資料，就有機會創造更多獲利。但也常發生企業或組織濫用所擁有的資料，進行特定目的外之行銷等違法情事。為了活化資料運用，且避免概括式同意（或授權），造成後續渠等與當事人就資料或個資利用產生衝突，越來越多企業或組織（含公務機關）朝強化授權機制的方式改善。
如國發會於2020年推動MyData平臺，經身分驗證及同意後，讓民眾保存在政府機關內的資料，可享規劃之三種服務模式：
（一）資料下載：民眾可自行下載運用如個人戶籍、戶政國民身分證影像、地籍及實價、勞保投保、財產、個人所得、車駕籍等資料。
（二）臨櫃核驗：民眾在辦理臨櫃業務時，除攜帶相關文件資料，也可使用條碼，俾利臨櫃人員辦理相關服務。
（三）線上服務：民眾可於該平臺上採當次即時同意，將其資料線上傳送給其他機關（構）辦理個人化服務。
除了一般個資外，醫療院所涉及之特種個資（又稱敏感性資訊），因2012年起民間團體與衛福部對健保資料庫之爭議，引發大眾對於此類資料運用的關注與討論，詳情可見最高行政法院106年度判字第54號判決，在此僅就核心之一的當事人同意（含告知事項）、特定目的之利用，以及是否需要再取得授權乙節，尤其是未成年人部分，說明醫療院所可能之議題與因應。
無論是我國個資法或歐盟GDPR等法令，為權衡隱私保護與產業運用，在個資法制上，多以履行告知，取得當事人同意後，於符合特定目的之利用為主，並搭配最小化、誠信原則及當事人權利行使等以為權衡。但因醫療、健康等特種個資，屬資訊自主權或隱私之核心，需要保護的程度更高，因此尚搭配書面同意作為法定要件，以及原則限制，例外允許蒐集、處理或利用之機制。
醫療院所向來對於資安、個資已有一定之管理機制，除醫事法規、ISO資安或個資標準外，以個資法為例，當事人為資料主體，同意與否之意思表示皆由其為之。但在醫療現場，如遇有遠距或視訊之情形、病歷存放地點不一、短時間無法取得當事人授權，或需要家屬同意等情形，要符合個資相關法令遵循可能會有部分窒礙之處。為解決可能議題，臺北市立聯合醫院自2019年起，已規劃區塊鏈設計的即時授權病歷調閱平台。2020年更已推動遠距醫療通APP，整合視訊會診、區塊鏈病歷共享，以及行動式醫材儀器等，或可符合需求。
留意未成年法遵議題
依現行法規，特種個資採原則限制，例外允許蒐集、處理或利用，且須取得單獨所為之意思表示。然在未成年人部分，依現行民法規定20歲為成年、未滿20歲為限制行為能力人，涉及意思表示部分，除民法第77條依其年齡及身分、日常生活所必需等之外，其餘應得父母或行使親權之人之允許。
縱使民法修法後，2023年將下修至18歲為成年，在取得未成年之個資時仍較歐盟（16歲）或中國大陸（14歲）空間為大。在醫療實務上，除資料或數據治理之考量，如何確保取得符合法遵之同意，於未成年人為當事人之情形仍應注意。
＜本文作者：陳宏志目前服務於資策會，專注於資料治理議題，如資安、個資政策或法令及管理實務，並協助零售、物流、智慧財產權等規劃區塊鏈應用。＞