先確認資料用途與適用規範
診療、研究、行銷與模型訓練分開評估
台灣個資法對病歷、醫療等資料設有特別規範，蒐集、處理與利用須確認適用依據及例外條件；不能把一般服務同意視為涵蓋所有後續用途。實際適用仍應依資料內容、機構性質與用途由法遵人員確認。
同一張照片用於諮詢紀錄、公開廣告與 AI 訓練，所需權限與告知內容可能不同。系統設計應保存用途與授權狀態，而不是只留下單一「已同意」勾選。
為什麼遮住姓名仍不夠？
影像本身與附加資訊都可能辨認個人
臉型、刺青、特殊病灶與拍攝環境可能成為識別線索；檔名、影像中燒錄文字及附加欄位也可能包含病歷號或日期。處理流程應同時檢查像素與中繼資料，並以樣本複核遮蔽是否破壞必要分析內容。
代碼化資料若仍可透過對照表還原身分，不能逕稱完全匿名。即使移除直接識別欄位，也需評估與其他資料交叉比對的可能性。完整臉部影像尤其不宜因移除姓名就宣稱去識別完成。
標註委外與 AI 生成要控制範圍
提供完成任務所需的最少內容
標註人員應只看到必要影像，透過有期限的帳號與受控介面操作；下載、截圖與外傳風險需結合契約、技術限制及稽核處理。委外約定應載明可用目的、再委託、保存、刪除與事件通報責任。
生成式工具的服務條款、訓練使用政策與資料留存要逐項確認。合成影像也不能自動認定沒有隱私風險；若源自真實個案，仍需評估是否保留可識別特徵。對外展示要清楚區分示意素材與實際療程紀錄。
雲端影像儲存如何設計？
私有存取、短效連結與稽核一起規劃
儲存空間預設不公開，由後端依角色與個案關係授權。下載連結應限定效期與用途，並注意取得連結者在期限內可能仍可存取。傳輸與儲存加密之外，金鑰管理、服務帳號權限與異常下載告警同樣重要。
原圖、處理後影像與身分對照表可採分離管理；快取、縮圖、備份與日誌也要納入保存政策。刪除主檔並不代表所有副本立即消失，應有明確的備份到期與刪除說明。
從一條影像流程開始驗收
檢查上傳、瀏覽、匯出與刪除
挑選一個典型個案，驗證上傳內容檢查、跨帳號拒絕、連結過期、員工離職及委外帳號到期。再確認匯出檔案與系統日誌沒有意外夾帶姓名或病歷資訊，將缺失列入修正追蹤。
導入前可準備影像用途清單、同意流程與使用角色，據此規劃權限和驗收。本文是系統治理建議，不將技術去識別化視為免除法定義務的捷徑。
常見問題
照片遮住眼睛就匿名了嗎？
不一定。其他臉部特徵、身體標記與背景仍可能辨認個人。
加密能取代權限設定嗎？
不能。已獲解密權限的帳號仍可能不當存取或匯出。