一條新生兒手環，大概是每個人此生最早穿戴的識別物件。軟式聚丙烯或 PVC 材質，寬度不到一公分，圈在嬰兒細瘦的手腕或腳踝上，以熱感應列印出母親姓名、病歷號、出生日期與時分。扣具是一次性按扣，只能收緊，無法鬆開重戴，除非剪斷。防水是基本要求，洗澡與擦拭都不能讓字跡糊掉；材質要軟，不能磨傷新生兒的皮膚；邊緣要圓，不能留毛邊。字級單一、欄位固定、沒有任何裝飾，它的美學是徹底的功能主義，因為它的真正使用者是護理師的眼睛，家長的期待不在設計考量裡。
這條手環的全部設計目的，可以濃縮成四個字：防止抱錯。它看似廉價，實際上是一整套身分管理系統的最前端。與它配套的還有出生腳印、牀頭卡、母嬰交接時的雙人核對，層層疊上去，都是為了確保離開嬰兒室的那個孩子，與病歷上登記的那個孩子是同一個。
這套系統的存在本身就說明，抱錯在產科的設計前提裡是一個被認真防範的錯誤。而近日登上熱搜的這則新聞，把問題推到了系統的另一端。一名當年在醫院被抱錯的女子，長大後回頭追索自己的來歷，向醫院要求提供她出生同期的新生兒資訊，院方拒絕了。
名冊上的欄位，是為內部管理而設
手環之外，醫院還留有另一層紀錄。產房登記、嬰兒室日誌、母嬰交接單，最後彙整成同一時段的出生名冊。這份名冊的欄位通常很儉省：母親姓名、牀號、出生日期與時分、性別、離院日期。欄位越少，管理的效率越高，這是登記冊設計的基本邏輯，與我們先前在吉隆遺物清點裡登記冊上的編號欄看到的是同一套文法。每一欄都為了內部管理而設，沒有一欄是為了讓外人翻閱而存在。
對外的那一版，醫院只發給每個家庭一張出生證明書，欄位更少：父母姓名、出生時間、體重身長。名冊與證明書是同一份資料的兩種輸出格式，一種給內部留存，一種交到當事人手上。整個系統裡從來沒有第三種輸出，一種提供給想要比對的第三人。
爭議就出在讀取的方向上。這名女子想要的，是一種水平方向的讀取：橫向翻閱整本名冊，逐一比對同期出生的嬰兒。而病歷調閱制度允許的，是垂直方向的讀取：本人或法定代理人，可以調閱屬於自己的那一頁。你能看到自己的紀錄，看不到別人的那一頁，更看不到整本裝訂成冊的清單。醫院的拒絕，就落在這條水平與垂直的分界線上。
拒絕也是一種排版
院方拒絕的理由落在隱私這一側。名冊上除了她，還有其他家庭，每一筆欄位背後都指向另一位當年也在場的母親與另一個孩子。交出名冊，等於把這些家庭捲進一場他們未曾同意參與的比對。有些人可能根本不知道當年發生過什麼，有些人可能不願意在數十年後重新翻動家裡的舊事。
於是同一份文件上撞著兩種正當性。她要的答案，需要名冊完整；別人要的安靜，需要名冊封存。而「涉及他人隱私」一類的公文句式，正是制度用來處理這種衝突的語言：字數少、格式固定、不承載細節。這類文書的寫法向來如此，用最經濟的字數畫出最清楚的界線，與鹹陽案起訴書裡層層升級的動詞屬於同一門手藝。官方文件不解釋情感，只陳述邊界。
但拒絕提供名冊，與拒絕協助，是兩件不同的事。這兩者之間的空隙，正是設計可以著力的地方。
匹配，而非公開
近年尋親領域發展出來的解法，剛好繞開了名冊要不要公開的兩難。公安機關的 DNA 比對資料庫與各類尋親平臺，採行的都是匹配邏輯：你提交自己的資料，系統在後臺比對，只有當另一方也建了檔、也願意被找到時，系統才輸出一個配對結果。你始終看不到資料庫裡的其他人，其他人也看不到你。
這是介面設計裡典型的雙向同意結構。名冊式公開，是把整本書攤開給一個人看；匹配式設計，是讓兩個都在尋找的人，在彼此都同意的條件下被系統帶到對方面前。資料全程封存，只在配對成立的那一刻產生可見的輸出。就連通知的方式本身也需要設計，措辭、管道、留給對方考慮的時間，每一處都是介面。
以此回看醫院的角色，出路其實相當清楚。醫院可以在不交出名冊的前提下，由院方持名冊與這名女子的資料進行內部比對，再以書面通知可能相符的家庭，把選擇權交還給對方。拒絕交出名冊，是隱私的守門；連比對服務都不提供，則是服務設計的缺席。這個缺席在醫院的流程裡找不到任何表格或窗口可以承載，因為它從來沒有被設計出來過。個資意識抬頭之後，機構學會了說不；說不之後的下一步，多數機構還沒有開始設計。
手環與檔案，同一門邊界設計
回到那條手環。它的扣具只進不出，把身分鎖定在一個嬰兒身上；檔案室的調閱制度只縱不橫，把個資鎖定在一個當事人身上。兩者做的是同一個設計動作：封閉。一個防止身分被交換，一個防止資料被擴散。
這套封閉邏輯防住了大多數的錯，也讓少數被抱錯的人生在事後追索時找不到入口。當年手環沒能攔下的交換，如今得越過一條被設計成不可穿越的資料邊界才能善後，同一套系統在時間前後各持一半的答案。
設計在這裡能做的，無須在隱私與真相之間選邊，而是找出兩者之間那扇門的位置，裝上一個雙方同意才能轉動的門把。這次的拒絕之所以讓人難受，是因為那扇門至今還停留在圖紙上，連門把的規格都還沒有人畫。