衛生署大力推動電子病歷以及病歷電子化，期望減少資源浪費、提昇醫療品質。然電子病歷在資料隱私安全上難免遭受質疑。當法規鬆綁可望加速推動時，安全的問題不容忽視。
近年衛生署持續推動電子病歷及健保政策制度，今年初資策會MIC調查顯示，2009年台灣醫學中心的平均資通訊科技投資金額，預期將有6%的成長率，且首要資訊硬體投資，係以提升病歷資訊安全及醫療資訊系統升級為主要目的。約有28%的醫院會增加資訊安全投資，顯示資安逐漸成為醫院重視的IT基礎建設。
電子病歷問題
電子病歷推動已近10年，礙於醫療機構推動實務上的困難、法規、簽章…等種種問題，使得政策始終未能有具體成果。台北醫學大學副校長李友專認為，不應把科技（電子簽章）綁在「醫療機構電子病歷製作及管理辦法」（以下簡稱電子病歷管理辦法）中，使用電子簽章的時機點應是當電子病歷要跨出醫院進行交換時，再者應使用「醫院機構章」即可，該病歷是否確實為該醫師所開立是否未經竄改，應是醫院負起管理責任。電子病歷格式與交換才是主管機關應關注的重點。
6月中，衛生署召開電子病歷管理辦法修正草案公聽會，會中所提出的修正方向對於上述問題做出重大調整，預料能提升醫療機構實施電子病歷的意願，修正頒布後台灣醫療電子化環境可望向前邁進一大步。現行電子病歷管理辦法只談到電子病歷的製作及儲存方式，而影響層面更大，更多人所期待的個人病歷資料帶著走的電子病歷交換與跨院傳輸，不在此次討論範圍內，留待以後逐步實現。
有鑑於這些年來，在醫療院所推動電子病歷，普遍遇到簽章技術困難、需大量資金投入等難題（請見「推動時的難題已一一克服」），因此此次修正辦法中最重大的改變就是第4條第2點（見表1），原本規定電子病歷一定要使用電子簽章，而現今則放寬為可使用醫療機構自行的電腦化存證管理，讓技術的使用選擇更彈性。
而對於哪些資料需要電子簽章？衛生署副署長陳再晉日前在修正草案公聽會中明確指出，凡屬於醫師智慧財產製作而成的病歷就需要簽章，一般影像資料未必需要簽章，妥善貯存就好。他指出，此次修法取消強制規定使用電子簽章，雖然資訊安全的保護程度可能會下降，但電子病歷安全性應以不低於紙本為原則。讓電子病歷問題單純化，先「簡單上路」。
表1 「醫療機構電子病歷製作及管理辦法」重大要點修正前後比較表
推動時的難題已一一克服
|
問題1：電子簽章不易增刪修改又費時
初版訂定的電子病歷管理辦法，規定電子簽章、時戳及醫事人員卡，都必須透過衛生署的HCA發佈（現已開放可自建時戳），但問題在於電子病歷在使用電子簽章保護後，若要修改就必須重新製作病歷檔案；同時，目前每份病歷使用電子簽章約需花費3～4秒的時間，一天若有200位病人，便需耗費800秒來進行電子簽章認證。不但會增添醫療資訊系統的負擔，當初望預期的效益也不可見。
問題2：HCA卡的使用習慣
另一方面，亦需使用電子簽章的醫事人員憑證卡也遇到相類似的問題。台灣醫療院所由於求診病患過多，尤其大型醫學中心，醫師須開2個診間同時看診，導致醫師能持有的醫師卡，卻有共用的情況。衛生署新竹醫院資訊室主任楊新偉指出，目前醫管會正在評估是否能將自然人憑證(NCA)與HCA共用，以解決上述的問題。衛生署資訊中心主任徐嫦娥對此表示，的確是有這部分的規劃，因目前藥師、檢驗師使用的醫事人員卡僅發放一半，部分醫事人員工作若需用到電子簽章，便可考慮使用NCA。但這項規劃也存有某些問題，像有些醫事人員認為NCA屬私人物件，為何要應用於公務？再者，病患對電子病歷院際傳輸亦需簽署同意書，而若將簽章存置於NCA內，一般病患看診亦鮮少攜帶此，諸多考量，都是相關主管機關應解決的問題。
問題3：醫師操作系統習慣
然而最重要的，是要讓全體醫生及醫事人員接受電子病歷亦是挑戰之一，這看在資訊化程度高的衛生署新竹醫院眼中，他們認為，醫師年齡是一關鍵，年輕醫師接受資訊化程度越高，然較年長的醫師基於對醫療專業的尊重，也必須持續與之溝通。同時，資訊部門也可從系統設計面著手，盡量將操作介面Windows化，並且以點選方式取代打字輸入，讓使用者簡單操作，就能漸漸改變使用者習慣。楊新偉笑說，許多經驗較長的醫師在接受電子病歷後，反會主動提出資訊需求，請資訊室同仁協助解決。
|
稽核檢查成重點 ISO 27001驗證可參考
電子病歷管理辦法經過這次修正後，讓各醫院有更高的自主性來決定簽章使用技術，電子病歷可望加速推動，然而這時檢查機制就相形重要。根據電子病歷管理辦法第7條規定，「醫療機構實施電子病歷，應將開始實施之日期及範圍報請直轄市、縣（市）主管機關備查，…」，修正草案的第3條第3點後段亦提到「須有可供查核等管理機制」。衛生署資訊中心主任徐嫦娥指出，醫療院所必須依照管理辦法中的各條法規，提出資料說明如何符合法規要求。因此，如果不是走HCA電子簽章，各醫院也應能證明自行管理之電腦簽章及電子病歷如何不被竄改。
目前衛生署委託台灣醫院協會研擬中的電子病歷檢查機制以ISO 27001為基礎，制定出各項檢查項目。以第3條第6點「足資確保病歷資訊系統之安全機制」為例，其檢查項目為下列3項：
1.訂有病歷安全系統安全防護機制之規範。
2.有依據上述規範實際執行並留有記錄。
3.訂有定期稽核措施並持續追蹤改善。
檢查辦法正式出爐後，未來將由各地方政府衛生局人員負起查核責任。然而衛生局稽查人員是否具備足夠的資安稽核專業不得而知，但這時醫院是否取得ISO 27001驗證通過，預料將成為重要參考指標。
衛生署同時提出配套政策：補助ISMS 強化醫院安全等級。衛生署日前提出補助醫療院所推動ISO 27001資安驗證的專案，廣受好評。徐嫦娥指出，電子病歷本身就屬電子檔型式，若不加以嚴密管控，資料遭篡改、偽造的機率將會大幅提升。因此，醫院如能獲得國際性的認證標準，便代表其在資安管理制度，與對文件、醫事人員的作業規範具有一定水平，無形中亦會鞏固病患對醫院的信任。她表示，衛生署的資安驗證補助計畫，在公開招標時僅規劃20家醫院，但意外的有52家報名爭取；徐嫦娥透露，看到各家醫院對推動ISMS抱持熱忱，衛生署已向經建會爭取另一筆補助經費，盼在年底能有更多醫療院所能通過ISO 27001資安驗證。
交換格式問題有待解決
當醫院電子病歷製作的推動進行到一定程度時，再一步步談電子病歷的交換，徐嫦娥說。全景軟體專案一處處長張世旻認為，現在法規放寬可使用HCA數位簽章以外的方式，如指紋等電腦化簽名方式，但將來恐怕不適合做為跨院交換溝通的媒介技術。
提到未來若要做跨院電子病歷的交換，取得病人同意是必要的動作，而衛生署希望能讓各個醫院體系發展成為聚落，其電子病歷格式相同，能讓病人一次授權。以下是目前關於電子病歷格式的推動情形：
<BOX>電子病歷格式標準尚未成熟
1. 目前僅能在相同醫療體系內交換
醫療體系如署立醫院、長庚、榮總、台北市立聯合醫院等，同一體系內使用的資訊系統大致相同，較無格式問題。目前HL7 CDA 3.x格式已見一雛型，全台28家署立醫院也於2007年即規劃導入電子病歷。衛生署醫管會表示，署立醫院的跨院電子病歷交換機制與辦法預計於7月正式確定。張世旻認為，主管機關應加強電子病歷宣導，使民眾了解其用意。但將來實際推動上，除非民眾於外地遊玩並於當地署立醫院就醫，回到居住所附近醫院看診後才會需要電子病歷交換，但前提是必需都同樣在署立醫院體系，然而現實情況可能不是如此，跨體系之間的就醫行為仍較為常見。
2. 衛生署修訂108項電子病歷格式製作標準單張
衛生署現正規劃電子病歷格式製作標準單張，例如皮膚科病歷格式需要姓名、過敏源等欄位，不同門診科別有不同單張，目前已規劃至60張，預計年底要增修至常用的108張標準格式，並公告欲將資料傳至醫院，先需轉為標準格式，讓接收單位得以判讀，再進行下一步的資訊系統整合。
但徐嫦娥也坦言，各醫院間需交換的單張數多，108張根本不敷使用，僅能優先訂定核心的醫療資源。未來醫療院所若有新增病歷格式的需求，衛生署將於官網與HL7網站上建置電子病歷標準管理網站，日後新增表單提案，便有一建置平台，並公告已新增的表單項目，開放有需要的醫院使用，避免重複開發的資源浪費。
而對於台灣2萬多家的診所，因其無編制資訊人員，資訊應用多以外包形式，要如何統一電子病歷格式？徐嫦娥笑說，2萬家乍聽之下嚇人，然台灣針對醫療的資訊廠商大約僅有5~6家，僅需對這些廠商進行相關的技術輔導，便能將此一問題解決。她進一步表示，衛生署在開發108張單張時，特別優先針對診所需求，協助訂定格式，再依地區、區域醫院、醫學中心所需欄位，進行單張的擴充。關於診所的電子病歷格式單張總計2張，從去年便開始陸續輔導廠商推動電子病歷，已有約200家診所正在進行，現在就將這200家診所電子病歷系統轉換為XML、國際文件標準的格式，再交由健保局審查其格式是否符合相關標準。
3. TMT格式標準
衛生署2006年曾委託進行「以病人為中心之電子病歷跨院資訊交換環境之研究」，亦發展出TMT的格式標準及以單張為單位之TMT標準Schema，李友專說，此格式從設計到推動約莫4年，已具有內容標準，無架構標準，目前共規劃28,000個資料元件，走XML格式，可算電子病歷的第3.5級。雖已讓11家醫學中心試用，發出約2,000份電子病歷。但由於衛生署政策改施行HL7 3.0 CDA架構，讓這些醫學中心不敢冒然行事，徒然浪費醫療資源，因此TMT計畫的標準，未見顯著成績。
法規鬆綁 有賴稽核把關
政策發展至此，總算撥雲見日，電子病歷能有擴大發展下去的契機。然而，彈性開放的政策雖然解決了醫療院所對於簽章技術面的疑慮，後續更重要的是必須能落實稽核審查制度，而非只是靠一般性的書面審查，或等待民眾舉發才去做適法性查核。
尤其未來正式實施，查核的責任是落在各地方政府衛生局人員身上，當各醫療院所紛紛提出採取自行的簽章機制時，主管機關人員能否具備足夠的專業進行稽核，為民眾的病歷隱私安全把關？別忘了美國維吉尼亞州的825萬筆病人醫療紀錄資料遭駭客竊取的前車之鑑，而他們還是有HIPAA如此法規的國家（相關報導請見「從維吉尼亞醫療安全事件看資安法規」）。當電子病歷的巨輪再次推動之下，安全是現在的重點。