🔑 名詞卡
HIPAA（Health Insurance Portability and Accountability Act，美國健康保險可攜性與責任法案）
🎯 定義
美國自 2016 年起強制施行的法律，適用所有涉及健康資訊的機構（醫療機構、保險公司、第三方合作廠商），用於規範和確保個人隱私及資料安全，是醫療 AI 專案必須遵循的產業專用合規規範。
三大保護措施
| 類型 | 內容 |
|---|---|
| 技術性保護措施 | 強制資料加密、身份驗證與訪問控制、安全資料傳輸儲存 |
| 實體性保護措施 | 設備安全管控、資料備份與災難復原 |
| 行政性保護措施 | 安全政策與程序、員工培訓、定期內部風險評估 |
記憶技巧
HIPAA 三保護＝「技術（加密/控管）＋實體（設備/備份）＋行政（政策/培訓）」三道防線。
易混淆
- vs PCI-DSS：HIPAA 適用醫療健康資訊產業，PCI-DSS 適用支付卡資訊處理產業，兩者皆為產業專用合規規範但適用領域不同。
📖 課文原文「HIPAA⋯美國自 2016 年起強制施行的法律，適用所有涉及健康資訊的機構⋯用於規範和確保個人隱私及資料安全。」