符合 HIPAA 的聽寫 App：要檢查什麼
如果你口述病患筆記、信件或會談摘要，你的聽寫 App 處理的就是受保護的健康資訊。許多 App 自稱「符合 HIPAA」，但 HIPAA 並不認證產品，這個標籤的意思也可能大不相同。以下說明挑選符合 HIPAA 的聽寫 App 時真正重要的是什麼，並附上一份在口述第一則筆記之前就能用的清單。
並沒有官方的「符合 HIPAA」標籤
美國衛生及公共服務部（HHS）不會認證或背書任何產品符合 HIPAA。HHS 也表示，它不承認民間機構核發的「認證」，這些認證也不能免除醫療服務提供者自身的義務。所以當業者說「符合 HIPAA」時，請把它當成需要查證的說法，而不是保證。是否合規取決於工具如何處理資料、簽訂了哪些協議，以及你如何使用它。
關鍵問題：業者會接收病患資料嗎？
根據 HIPAA，代表醫療服務提供者建立、接收、保存或傳輸受保護健康資訊的公司，屬於業務夥伴（business associate）。在與其分享病患資訊之前，你需要一份業務夥伴協議（BAA）：業者在其中承諾保護這些資料。
這就是為什麼音訊的去向如此重要：
- 雲端聽寫。你的錄音會被上傳，並在業者的伺服器上轉錄。業者接收了病患資料，所以你需要 BAA，並依賴它的安全措施、保存規則和員工。
- 加密的雲端儲存。即使業者無法讀取你的檔案，HHS 指引也指出，儲存加密病患資料但沒有密鑰的雲端業者仍屬於業務夥伴。你仍然需要 BAA。
- 裝置端聽寫。如果錄音、轉錄和儲存全部在你自己的手機上完成，而開發者從不接收資料，那麼開發者就沒有代表你處理病患資訊。你自己的 HIPAA 義務依然適用，首先是保護好裝置。
加密：手機遺失時的安全網
手機會遺失，也會被偷。根據 HIPAA 的違規通報規則，依照 HHS 指引加密的受保護健康資訊被視為「已保護」，因此只要解密密鑰沒有一併外洩，遺失一台加密裝置通常不構成需要通報的違規事件。挑選聽寫 App 時，請留意：
- 錄音和轉錄在裝置上加密，最好還有 App 專屬的鎖，這樣即使手機已解鎖也不會暴露它們。
- 密鑰由手機的安全硬體保護，例如 Face ID 和 iPhone 的 Secure Enclave，而不是存放在別處的密碼。
- 傳輸加密，適用於任何確實離開手機的內容，例如匯出到你的電子病歷系統。
挑選聽寫 App 的檢查清單
- 音訊在哪裡轉錄？在你的裝置上，還是在業者的伺服器上？用飛航模式測試看看。
- 業者會簽署 BAA 嗎？只要有病患資料抵達其伺服器，你就需要 BAA，而且可能只有某些方案才提供。
- 資料在儲存和傳輸時都加密嗎？問清楚使用什麼標準，以及由誰持有密鑰。
- 你的資料會被用來訓練 AI 嗎？要找明確的「不會」，而不是「可能會使用去識別化的資料」。
- 誰能存取錄音？員工、外包人員、轉錄員、AI 業者？
- 資料保存多久，能否徹底刪除？
- 你能掌控匯出嗎？把筆記傳送到電子病歷或診所軟體，每一次都應由你決定。
HIPAA 的其他要求依然適用
沒有哪款 App 能單獨讓你合規。隨時更新手機軟體，使用高強度密碼和 Face ID，不要與他人共用裝置，並遵守所屬機構關於行動裝置的政策。治療師也要記得，心理治療筆記在 HIPAA 下享有額外保護。如果你在診所或醫院工作，導入新工具之前請先諮詢法遵或隱私負責人。
不確定 iPhone 內建聽寫會如何處理你的聲音？請閱讀iPhone 聽寫私密嗎？
常見問題
有沒有官方的符合 HIPAA 聽寫 App 名單？
沒有。HHS 不認證也不背書任何產品，所以「符合 HIPAA」的標籤只是業者自己的說法。請檢查 App 如何處理資料，以及業者在接收病患資訊時是否會簽署業務夥伴協議。
聽寫 App 需要簽業務夥伴協議嗎？
如果業者代表你建立、接收、保存或傳輸病患資訊，例如在其伺服器上轉錄你的音訊，或把你的筆記儲存在其雲端，就需要簽。如果一切都留在你自己的裝置上，業者從不接收，那麼業者手上就沒有病患資料，但仍請與你的法遵負責人確認。
iPhone 內建的聽寫符合 HIPAA 嗎？
它並不是為臨床用途設計的工具。依你的語言和 iPhone 機型，聽寫可能在手機上處理，也可能傳送到 Apple 的伺服器，而文字會進入你正在輸入的 App。我們關於 iPhone 聽寫隱私的指南說明了要檢查的設定。
加密能讓 App 符合 HIPAA 嗎？
光靠加密不行，但它非常重要。符合 HHS 指引的加密代表裝置遺失或被偷通常不構成需要通報的違規事件。你仍然需要存取控制、合理的政策，並且在業者接收資料時簽訂業務夥伴協議。
本指南提供的是關於 HIPAA 的一般資訊，並非法律意見。以你所屬機構的政策和法遵負責人的意見為準。