解读|医疗数据出境安全如何保障合规管理？

近期，数据安全话题持续升温，国家互联网信息办公室相关部门先后要求下架多款App，并持续对多家公司实施网络安全审查。受此影响，多家计划赴美IPO的企业被推至资本市场热议前沿。

放眼医药行业，随着《数据安全法》正式实施的脚步逐渐临近，医疗数据资产价值飞速提升的同时，资本市场发展、数据跨境流动与国家安全和公共利益之间的考量成为各方关注的焦点。医疗数据的生物（理）特征、隐私特征和伦理特征都使其天然带有“安全红线”属性，数据应用与数据保护之间的紧张关系更为严峻。

《数据安全法》将于今年9月1日实施。而就在2021年10月29日，国家互联网信息办公室发布了《数据出境安全评估办法（征求意见稿）》，向社会公开征求意见，进一步加强数据出境的安全属性。

《数据出境安全评估办法（征求意见稿）》是为了规范数据出境活动，保护个人信息权益，维护国家安全和社会公共利益，促进数据跨境安全、自由流动，根据《中华人民共和国网络安全法》、《中华人民共和国数据安全法》、《中华人民共和国个人信息保护法》等法律法规，制定本办法。

什么是数据出境

在国家网信办2017年4月11日发布的《个人信息和重要数据出境安全评估办法（征求意见稿）》中，将“数据出境”定义为“网络运营者将在中华人民共和国境内运营中收集和产生的个人信息和重要数据，提供给位于境外的机构、组织、个人”。同年8月30日，全国信标委发布《信息安全技术 数据出境安全评估指南（征求意见稿）》（以下简称“《数据出境评估指南》”）的3.7条对“数据出境”作出更进一步的解释，数据出境是指“网络运营者通过网络等方式，将其在中华人民共和国境内运营中收集和产生的个人信息和重要数据，通过直接提供或开展业务、提供服务、产品等方式提供给境外的机构、组织或个人的一次性活动或连续性活动。”

医疗数据出境法律法规现状

目前，我国针对医疗数据的监管规定分散在不同的法律法规中，并没有明确统一的规定，同一数据处理主体收集的医疗数据可能涉及到多种法规的监管，同一医疗数据又因监管角度不同而构成多种受保护的数据类型，无疑为医药行业从业者以及相关投资机构的合规或是尽调工作增加难度。
医疗数据的来源和范围具有多样化的特征，包括病患数据、病历信息、医疗保险信息、健康日志、基因遗传、医学实验、临床数据、IVD及第三方检测数据、科研数据等。通过对目前颁行的医疗行业法律法规、标准和指南的归纳，医疗数据又可进一步细分为健康医疗大数据（患者数据）、个人健康医疗数据、医疗器械领域的健康数据；人口健康信息、个人健康生理信息；人类遗传资源；病历（电子病历）。
下表简要罗列了目前生效的或是尚在征求意见的法律法规、标准和指南中涉及数据信息跨境传输（共享）的有关规定。

医疗数据出境风险评估事项

《数据出境安全评估办法（征求意见稿）》中规定，数据处理者在向境外提供数据前，应事先开展数据出境风险自评估，重点评估以下事项：（一）数据出境及境外接收方处理数据的目的、范围、方式等的合法性、正当性、必要性；（二）出境数据的数量、范围、种类、敏感程度，数据出境可能对国家安全、公共利益、个人或者组织合法权益带来的风险；（三）数据处理者在数据转移环节的管理和技术措施、能力等能否防范数据泄露、毁损等风险；（四）境外接收方承诺承担的责任义务，以及履行责任义务的管理和技术措施、能力等能否保障出境数据的安全；（五）数据出境和再转移后泄露、毁损、篡改、滥用等的风险，个人维护个人信息权益的渠道是否通畅等；（六）与境外接收方订立的数据出境相关合同是否充分约定了数据安全保护责任义务。
总结：医疗数据安全合规体系建立必须围绕医疗数据全周期的运行开展，正所谓数据跨境传输合规无法“独木成林”。医疗企业必须通过采取必要措施，确保医疗数据信息有效保护和合法利用，并使其处于持续安全的状态。
来源：医疗器械创新网 部分资料整理自中伦世界
-END-