文／蕭奕弘
2026 年 1 月 14 日，衛生福利部舉辦「主權雲應用發表會」，這場發表會由部長石崇良親自主持，邀請全球三大雲端服務商 Google、Microsoft 與 Amazon 的代表到場，會中由衛福部資訊處提出「主權雲端八大指導方針」。
雖然指導方針在法律性質上屬於沒有強制力的行政指導，但這項政策方針後續將作為政府採購雲端的具體標準，甚至未來醫療院所的電子病歷，也可能會採取類似的雲端標準。對於政府機關、醫療院所與高度監管產業的資訊主管而言，這不僅是一項政策宣示，而是未來醫療雲端的系統架構與委外契約設計的重要前提。
什麼是主權雲？
主權雲是一種強調資料主權與在地控制的雲端架構，從技術架構來看，主權雲並非單一雲服務型態，而是透過金鑰管理、法遵要求與資料在地，確保實際控制權掌握在資料所有者或資料管理機關手中。
2018 年，美國通過《Clarifying Lawful Overseas Use of Data Act（CLOUD Act）》，不論伺服器是否存放於美國境內，美國法院核發的令狀可以向受美國司法管轄的服務提供者，取得所存放的數位資料。這也讓各國在使用雲端系統時，產生關於關鍵基礎設施資料可能外流的擔憂。
從另外一方面來說，資料存放雲端除了便利考量之外，對於身處高度地緣政治風險環境的我國而言，資料存放在技術成熟、具有異地備援、高資安標準的雲端服務空間，以增加數位韌性，也是現今所需考量的重點。綜合上述因素，為兼顧資料主權與資訊安全而使用雲端服務，正是主權雲的核心精神。
高度敏感的醫療個資：監管規格更甚金融
金融與醫療都受到高度監管，所掌管的資料也都高度敏感，但相較金融機構存放的客戶資料，醫療資料涉及個人資料保護法第 6 條的敏感性資料：病歷、醫療、基因等，受到的監管要求更加嚴格。
111 年憲判字第 13 號憲法判決指出個人健保資料，承載大量個人資訊，得以深入解讀並預測資料當事人人格與身心狀況，進而模擬建構其人格圖像之重要個資，其具有私密敏感與潛在延伸影響資料當事人之社會、經濟生活之特質，國家有義務以法律積極建置適當之組織與程序性防護機制。從資訊治理的角度來看，這意味著健保與醫療資料不僅是一般個資，而是屬於「一旦外洩即可能造成長期、不可回復風險」的高風險資料類型。
2022 年，衛生福利部修正「醫療機構電子病歷製作及管理辦法」，增訂網路傳輸電子病歷應使用加密機制，也將雲端服務納入規範，除要求醫療機構應對雲端業者進行監督外，就資料存放地點也規定除特殊情形，經衛生福利部核准外，應設置於我國境內。此次修法的立法理由也指出：「雲端服務係資訊時代下之必然產物，結合雲端運算、雲端儲存、網路連線，與商業需求之新時代網際網路服務之雲端服務是無可避免。」
[ 加入 CIO Taiwan 官方 LINE 、 Facebook 與 LinkedIn，與全球CIO同步獲取精華見解 ]
2023 年，金管會修正發布「金融機構作業委託他人處理內部作業制度及程序辦法」，也將金融機構委外使用雲端服務納入規範，強調傳輸及儲存客戶資料，應透過加密或代碼化等保護措施。資料如儲存境外，該地資料保護法規不能低於我國要求，涉及重大性消費金融業務資訊系統的客戶資料儲存地，應以存放境內為原則。
由近年來金管會與衛生福利部就金融、醫療雲端服務的連續修法可見，主管機關對雲端採用的態度已由「保守觀望」轉為「依照風險有條件開放」，其中又以醫療病歷的管制最嚴格，規定原則應存放境內，例外需經核准。至於金融機構的客戶資料，並未強制規定存放境內，僅要求存放地資料保護法規不能低於我國要求。
此次指導方針，衛生福利部就政府所存放的醫療病歷與基因資料，提出更嚴格的標準，這個標準未來會不會延伸到對醫療機構存放電子病歷的要求，還需進一步觀察。
解析「主權雲八大指導方針」
這八項指導方針包括：
第一，全程加密：金鑰由衛生福利部獨自管理，業者無法解密資料，掌握技術控制權。
第二，用途限制：禁止資料被移作未經許可的分析或模型訓練。
第三，不可逆刪除：資料刪除後，必須徹底而無法還原。
第四，資料在地：資料及備份必須存放在我國境內資料中心，禁止跨境傳輸。
第五，人員主權：高權限管理人員必須具備我國國籍，並通過背景審核。
第六，遵循法規：雲端服務必須完全遵守我國法規，如資通安全管理法及個人資料保護法，業者必須承諾，當外國法律（如美國雲端法案）與我國法規產生衝突時，應優先遵守我國法律。
第七，數位韌性：建立雙活或異地多可用區，確保資安攻擊時，醫療系統仍可以持續運作。
第八，透明稽核：確保持續稽核權，相關操作紀錄可即時由衛生福利部追蹤。
這八項指導方針要求雲端服務在「金鑰、資料位置、人員、法遵、韌性與稽核」等各個層面，都要讓衛生福利部掌握完整的控制權，高於一般商用雲端服務的設定。
以歐盟推動的 GAIA-X 計畫為例，該計畫引入三個級別的標章制度，用來標示雲服務符合歐洲數位主權要求的強度，對比歐盟 GAIA-X，衛生福利部提出的主權雲指導方針，大抵接近最高等級，要求資料在地、技術與法律控制，是目前國內管制最嚴格的雲端資訊治理政策。
對醫療機構領域的資訊主管而言，未來在規劃醫療或高敏感資料系統時，雲端架構設計、委外契約條款，以及金鑰與存取權限的治理方式，將是需要加以考量的核心議題。
(本文授權非營利轉載，請註明出處：CIO Taiwan)
