答案是「可以」，但僅限於特定條件下。Zoom 可以支援符合 HIPAA 標準的視像診症，前提是機構使用合資格的付費方案、與 Zoom 簽署商業夥伴協議（Business Associate Agreement，簡稱 BAA），並正確設定及使用帳戶。以上步驟缺一不可。只要漏做任何一項，Zoom 通話中一旦涉及受保護健康資訊（PHI）——病人姓名、診斷結果、治療方案，甚至只是視像中的樣貌——便隨時可能構成 HIPAA 違規。
目前沒有任何視像會議平台獲得「HIPAA 認證」，亦沒有任何政府機構會為軟件蓋上合規印章。所謂「合規」，其實是供應商提供的功能，加上機構日常實際使用方式的綜合結果。Zoom 負責建構相關工具，機構則負責啟用並依 HIPAA 要求正確使用。
哪些 Zoom 方案符合 HIPAA 標準
Zoom 的免費版本在任何情況下都不符合 HIPAA 使用資格。Zoom 不會為免費帳戶簽署 BAA，而在沒有 BAA 的情況下，任何經平台傳輸的 PHI 均屬違規，不論加密程度看起來有多完善。
要取得 BAA，機構需要使用以下其中一種方案：
- Zoom Workplace Pro、Business 或 Enterprise。這些付費方案在向 Zoom 提出申請後，均符合簽署 BAA 的資格。
- Zoom Workplace for Healthcare。Zoom 專為醫療機構設計的方案，建基於同一套可簽署 BAA 的基礎架構，並加入針對臨床工作流程的額外控制，以及電子病歷系統的整合選項。
醫療專用方案的定價由 Zoom 銷售團隊直接報價，因其按授權數量及附加功能而定。若機構已在使用 Zoom Business 或 Enterprise 作一般用途，一般毋須另外申請醫療專用授權，只需取得 BAA，並在現有帳戶上完成正確設定。
BAA 並不會自動涵蓋 Zoom 產品家族中的每一項服務。Zoom Meetings、Zoom Phone 與 Zoom Team Chat 理論上均可納入同一協議，但前提是相關服務所屬的方案及帳戶已被 Zoom 納入 BAA 涵蓋範圍。常見誤解是假設會議功能已受保障，之後在不同授權下新增的電話線路便自動一同受保障。建議直接查閱 BAA 內容，或向 Zoom 客戶團隊查詢，而非假設管理後台顯示的每項功能都已涵蓋在內。
如何取得 Zoom BAA 及設定合規會議
已簽署的 BAA 是合規的法律基礎。沒有 BAA，任何程度的加密都無法令 Zoom 通話符合 HIPAA 標準。以下是建議流程：
- 確認方案是否符合資格。免費及個人帳戶並不符合資格。
- 向 Zoom 申請 BAA。Zoom 為所有醫療客戶提供統一版本的 BAA，機構不能以自訂協議取代，因為 Zoom 條款要求採用其標準版本。
- 由機構的保安主任審閱及簽署。一般由機構合規政策中列明的 HIPAA 私隱主任或保安主任負責。
- 啟用所需的帳戶設定。已簽署的 BAA 並不會自動配置任何設定，仍需由專人負責鎖定帳戶。
- 於首次接觸病人前完成員工培訓。即使帳戶本身合規，使用方式錯誤仍構成違規。
完成 BAA 簽署後，以下設定對任何可能涉及 PHI 的會議尤其重要：
- 每次會議均設有等候室，確保沒有人可在主持人核准前進入通話。
- 所有預約會議均設有密碼，而非只為看似敏感的會議設定。
- 每次病人診症均使用獨立會議 ID，而非重複使用固定的個人會議 ID。
- 啟用傳輸中加密，Zoom 在 Business 及醫療專用方案中預設已啟用此功能。
- 限制螢幕分享及檔案傳輸，避免病人裝置意外將內容推送至通話之中。
- 開啟稽核紀錄，讓保安主任可審視誰在何時加入通話，以及有哪些內容被錄製，以配合 HIPAA 安全規則下的稽核控制要求。
- 制定清晰的雲端錄影政策，因為錄影一旦包含病人的聲音或影像，即屬 PHI。無論 Zoom 錄影儲存於 Zoom 雲端或本機硬碟，該儲存位置都必須納入機構的 BAA 涵蓋範圍及保安管控之內。建議將下載權限限制予主持人，並設定自動刪除或保留期限，避免錄影檔案無止境累積。
部分 Zoom AI 功能會在受保護實體（covered entity）簽署 BAA 後自動停用，原因是相關功能尚未被納入協議範圍。建議於簽署後檢查管理後台設定，而非假設介面上顯示的每項功能均已受保障。
錄製 Zoom 醫療通話而不違反 BAA
這部分是多數指南容易忽略之處，亦是許多診所在不知不覺間偏離自身合規計劃的地方。Zoom 的 BAA 只涵蓋 Zoom 本身，並不會自動延伸至其他接入通話的工具。
若臨床醫生使用另一款獨立的 AI 筆記工具，為視像診症進行轉錄或摘要，該工具同樣在處理 PHI——不論它是瀏覽器擴充功能、以可見參加者身份加入會議的機械人，還是桌面背景應用程式。若該工具本身沒有簽署 BAA，亦沒有一套符合 HIPAA 要求的音訊及逐字稿處理機制，將其接入 Zoom 診症，隨時足以抵銷機構在 Zoom 一方已完成的合規工作。相關責任並不會自動轉移至筆記工具供應商，而是繼續由受保護實體承擔，除非 BAA 另有說明。
在任何 AI 錄音工具接觸病人診症之前，值得先問清楚兩條問題：
- 該供應商是否提供 BAA，機構是否已經簽署？
- 音訊在被錄下的一刻會傳送到哪裡，在刪除之前又有誰可以查閱？
Plaud Desktop 正是針對第二條問題，為網上診症提供清晰答案的工具。它能偵測 Zoom、Google Meet 或 Microsoft Teams 通話開始，並直接從桌面原生擷取音訊，過程中不會有機械人以可見參加者身份加入會議——這一點對於本已認為視像診症不及親身應診有人情味的病人而言，尤其重要。
至於完全不經 Zoom 進行的親身應診或電話診症，硬件優先的做法則以另一種方式回答同一條「音訊去了哪裡」的問題。Plaud Note Pro 作為實體 AI 筆記裝置，會先將錄音保留在裝置本身，待雲端處理開始前，臨床醫生仍實際掌控該段音訊，直至決定同步為止。它是 Plaud 醫療產品系列之一，建基於同一套 HIPAA、SOC 2 及 GDPR 合規框架，令筆記工具本身是否具備 BAA 這條問題，早於引入臨床工作流程之前已有明確答案。
進行錄音前，應確保符合相關法律及取得在場人士同意。
合規責任始終在於機構本身
BAA 與付費方案只令機構「符合申請資格」，本身並不等同「已經合規」。有分析整理美國 OCR 執法數據後指出，違規事故大多並非源於平台本身，而是幾乎每次都源自設定疏漏或工作流程缺口——例如員工為求方便使用個人 Zoom 帳戶接聽病人來電、錄影檔案儲存至未加密的本機資料夾，或因拖慢診所運作而關閉等候室功能。
以下是值得定期覆核、而非只在設定初期檢查一次的常見缺口：
- 員工在機構認可帳戶開啟較慢時，改用個人或免費 Zoom 帳戶。
- 錄影檔案下載至不受 BAA 涵蓋的手提電腦或共享硬碟。
- 新入職員工在首次接觸病人前，未曾接受平台合規設定的培訓。
- 第三方日曆、預約或轉錄附加工具接入 Zoom，卻未經獨立 BAA 審查。
建議記錄每次檢查過程，而非只記錄修正結果。若稽核機構查問機構如何確認帳戶設定正確、由誰培訓新員工，以及最近一次覆核已連接的第三方工具是甚麼時候，單靠一份已簽署的 BAA 未必足夠。由保安主任定期審閱並註明日期的簡短季度檢查清單，能將「相信自己已經合規」轉化為可直接呈交審核的實質紀錄。
機構的風險評估宜將視像會議工具視為與電郵或檔案儲存同等重要的供應商關係，需要獨立的 BAA、獨立的設定審查，以及在員工培訓中佔一席位。
下次診症前，先核實 BAA
若機構已經在使用 Zoom Business、Enterprise 或 Workplace for Healthcare，最快的補救方式通常不是轉用新平台，而是本週內確認三件事：BAA 已簽署並存檔、每次臨床會議均已啟用等候室與密碼設定，以及任何負責錄製通話的工具——不論是在 Zoom 之內或透過獨立筆記工具——都能提供該工具本身的 HIPAA 相關文件。
在錄音方面，Plaud 於其信任中心公開完整的合規清單，包括 HIPAA、SOC 2 及 GDPR，機構保安主任可在其接觸任何一段病人對話之前先行審閱。
常見問題
Zoom Pro 符合 HIPAA 標準嗎？
Zoom Pro 在機構與 Zoom 簽署商業夥伴協議並正確設定帳戶後，可以符合 HIPAA 標準。單靠 Pro 方案本身，若未簽署 BAA，並不足以處理 PHI。
如何得知自己的 Zoom 帳戶是否符合 HIPAA 標準？
可直接核實三件事。第一，確認機構與 Zoom Video Communications 之間已簽署 BAA 並存檔。第二，確認帳戶所用的方案已被 Zoom 納入該 BAA 之中，例如 Business、Enterprise 或 Workplace for Healthcare。第三，確認所需設定——等候室、密碼、加密及限制分享——已在每次可能涉及 PHI 的會議中啟用，而非只在員工記得標記為敏感的會議中啟用。
Zoom 免費版本符合 HIPAA 標準嗎？
不符合。Zoom 不會為免費帳戶提供商業夥伴協議，在沒有已簽署 BAA 的情況下，不論啟用甚麼設定，均不可經平台傳輸 PHI。
Zoom Phone 符合 HIPAA 標準嗎？
若機構的方案符合 BAA 資格，且電話服務已在受涵蓋的帳戶上啟用，Zoom Phone 可納入涵蓋 Zoom Meetings 的同一機構 BAA 之中。建議向 Zoom 查詢或直接查閱已簽署的 BAA，以確認哪些具體服務屬於涵蓋範圍。
Zoom AI Companion 符合 HIPAA 標準嗎？
部分 Zoom AI Companion 功能，會在帳戶簽署 BAA 後自動關閉，原因是並非每項 AI 功能都已被納入協議範圍。建議簽署後檢查管理後台，確認哪些 AI 功能仍然啟用，並核對 Zoom 文件是否確認每項功能均受 BAA 涵蓋。
Zoom 於遙距診症用途上符合 HIPAA 標準嗎？
符合，前提是帳戶所用方案符合 BAA 資格、已完成簽署，並在會診中設定等候室、密碼及限制分享功能。遙距診症所涉及的 PHI 風險，與其他臨床對話相同，因此適用同一套要求。
Zoom 於心理治療用途上符合 HIPAA 標準嗎？
符合，條件與其他臨床用途相同。心理治療時病人透露的內容，往往較一般醫療診症更為敏感，因此不少機構會加設額外保障，例如完全停用聊天及檔案傳輸功能，並確認任何錄音——不論是在 Zoom 內錄製，或透過獨立筆記工具錄製——均具備自身合規的儲存路徑。
