律所实务丨医疗数据（个人信息）合规问题探讨及3点合规建议

【珠海律师、珠海法律咨询、珠海律师事务所、京师律所、京师珠海】

医疗数据具有广泛的真实性，属于隐私、敏感个人信息。涉及医疗数据主体通常包括：医疗服务机构、信息系统供应商、医疗设备制造商、卫健主管部门、关键信息基础设施运行者等等。为保障数据安全，加强数据合规建设是数据治理的必然要求。鉴于数据合规的重要性，笔者将结合《数据安全法》、《个人信息保护法》、《民法典》，以及新近出台的《武汉市支持数字经济加快发展若干政策》（以下简称《政策》），从患者个人信息保护的角度，分析我国医疗卫生机构应如何提高数据合规管理水平，构建医疗数据合规体系，以实现对患者数据安全的保障。

一、建立医疗数据合规体系

当下，数据合规审查已经成为国内外行政监管的重点。立法虽然明确规定了个人信息保护的各项义务，但要做到数据合规，仅仅是建章立制，显然还远远不够。例如，艾滋病属于患者个人隐私信息，应该受到严格保护。但是2016年7月，全国30多个省份发生至少275名艾滋病患者的个人信息泄露而导致的诈骗事件，这必然不是因为当时没有《个人信息保护法》。患者个人信息安全要得到切实保护，通过立法确立患者权利是一方面，强调国家对个人信息保护的义务则是另一方面。这种义务进一步分解，则落实成为个人信息处理主体的自律及行政机关对个人信息处理主体的监管。虽然医疗卫生机构的行为合规不必然等于患者信息安全，但不履行数据合规义务，患者信息安全肯定难以得到保障。

医疗卫生机构在收集和使用患者个人信息方面，有着惯性思维，认为患者向医生提供个人信息理所当然。例如，在科室对典型病例的讨论会上，未将病案匿名化即分享资料并不少见。又如，“医疗卫生机构”已经被定义为公共场所，那么在安装视频监控设备的地方应该提醒就诊者注意，但是很多机构没有恰当的告知提示。在传统观点看来，提供医疗卫生服务才是医疗卫生机构的核心业务，而其他工作如保护患者个人信息安全是非主流工作任务。对待这种非主流工作，常见的状态是：基层被动等待上级提出要求，要求下达后对任务进行分解，再采用命令方式下压到每一位基层员工。在这种情况下，具体负责处理患者信息的医生护士们只会认为合规任务增加了他们的工作负担，执行效率大打折扣。因此，自律的前提是提升保护意识，坚定患者个人信息保护是核心工作任务。不论是管理层还是执行层，都需要充分提升这项意识。如果仅有管理层意识到合规的重要性，只能是事倍功半。提升意识的同时是改变工作方式，为避免合规任务沦为与众多日常行政管理命令等同的工作要求，建立数据合规体系需要与医疗卫生机构日常质量管理紧密结合。

合规体系可以分为日常合规体系和危机应对体系。日常合规体系的建设是日常工作状态下确保合规、减少违规事件发生的基础，包括四个方面内容：其一，针对不同工作岗位的风险指数提出具体的合规指标要求。例如，对日常问诊岗位和医技影像岗位的合规有哪些具体要求，他们处理的数据分别归入哪一类哪一级进行处理和保护，对无需个人同意即可以处理的患者个人信息作明确且严格列举。其二，配备独立和充分的资源，对各岗位落实合规的效果进行内部监督和考评。例如，设立专门的数据合规工作岗位，对日常合规进行检查、纠正、培训，同时有资金支持对机构日常合规情况进行年度或者月度审计等。其三，梳理本机构哪些具体业务可能涉及数据安全违规的刑事罪名或行政处罚，聘请第三方机构进行定期审查。例如，对在本机构举办的临床试验合同进行审查，对申办者、控制人数据合规义务要有详细的规范，落实具体责任人，提升责任意识；对第三方系统供应商合同的审查。目前各医疗卫生机构都有数量众多的第三方系统供应商为其提供服务，如果因为对第三方系统供应商的监管不足导致对患者个人信息安全造成损害，聘任他们的医疗机构难辞其咎，法律责任也不可避免。其四，对违反数据合规义务进行处理的机制。例如，对相关信息输入代码错误，对信息分级错误等要建立识别机制、修改机制、纠正机制。对患者提出的请求有投诉接待机制和反馈机制。

危机应对体系是数据泄露或者其他安全事件发生之后，如何应对危机，降低损失，尽可能维护患者数据安全的基础。健全的危机应对体系，是能够及时阻止损失扩大的体系，是在反思之后能够及时填补制度漏洞的体系，是在事件发生之后主动配合检察机关或者行政机关进行整改的体系。该体系的建设分成涉嫌刑事追诉以及涉嫌行政处罚两个等级的预案，不论是发生哪个级别的违规行为，都需要立即采取补救措施，通知行政主管部门和可能受影响的患者。例如，万豪国际集团的数据泄露事件，在他们意识到存在危险后，行动非常迅速，三天内便聘请第三方专业安全团队协助调查取证和及时止损，最后获得了英国信息专员办公室的减轻处罚。

二、构建医疗数据合规的对策建议

共享健康医疗数据，对推进数据合规、数据共享等在健康医疗领域应用的深化发展，提升我国社会养老益民服务质量，促进我国医药科学的发展进步具有重要意义。基于医疗数据合规基本原则理论指导，结合我国健康医疗数据共享活动开展所面临的痛点问题，就推进我国数据共享规模化发展提出以下建议：

1、以人为本，完善健康数据共享动力建设

面向个人数据，强化个人在医疗数据共享中的角色体现和共享控制。赋予个体患者在一般医疗数据共享中对个人数据的绝对知情权、相对支配权和选择权，包括授权、出让、中止等。面向非个体患者来源的医疗规模化价值数据，建立数据所有人制度，明确“所有人”对于医疗数据的权责，包括数据共享交易权及数据保护、数据维护更新义务等。建立医疗数据共享价值激励机制，以充分调动各方开展、参与医疗数据共享活动的积极性。推动医疗数据共享利益分配机制建设，明确一般及特殊情况下不同类别医疗数据的有偿或无偿共享条件，包括源数据、自然再生数据、人为再生数据等；借助区块链智能合约机制等固化交易规则和利益分配规则，从技术层面建立可信医疗数据共享应用。

2、基于数据共享协议确立健康医疗数据共享追溯机制

以规范化的医疗数据共享协议为依托，建立医疗数据共享活动事前备案（审批）、事中可追溯、事后可问责的共享透明机制。任一医疗数据共享活动的开展均应向企业管理层以及监管部门提供相应数据共享协议文本及变更信息。数据共享协议根据不同的数据共享目的，应清楚阐明数据共享价值、共享数据质量时效等要求、参与方及缔约各方权益保障措施、数据共享计划实施方案，并提供相关风险（如数据滥用等规避处理原则）等具体要素信息。此外，健康医疗数据共享协议的起草和签署者必须深刻理解数据安全的法律含义和可用于促进该过程的法律工具，确保对于法律上的分歧或歧义作了柔性补充。各地健康医疗数据共享活动等可纳入政务服务平台进行统一监管。

3、完善健康医疗数据共享管理标准建设

结合《数据安全法》、《个人信息保护法》、《政策》等，加快医疗数据共享管理类标准的制定和应用，推动标准化嵌套的健康医疗数据共享全生命周期评估预警程序、数据授权访问控制模型等中间件在数据共享基础设施平台的应用。事前的评估程序应以医疗数据共享的风险规避和利益最大化为导向；事中评估程序应注重审查数据按计划安全共享及达到预期目的的相关情况，确保达到预期的效果；事后评估程序应注重总结流程中发现和待完善的问题，形成反馈记录以进一步优化共享工作流。

4、创建安全和谐的健康医疗数据共享市场环境

完善数据要素市场法律法规，面向医疗数据共享活动建立医疗数据共享负面清单制度。进一步创新政府间、政民间、政企间尤其是企业间医疗数据共享开放合作模式，如基于区块链技术创建医疗数据共享众包平台。通过主题式互动社区创建，促进整个医疗数据共享链条上的个人、数据密集型部门（私营部门和公共部门）、科技企业、研究人员、学术机构和资本提供者等多利益相关方在医疗数据共享活动中以目标需求为导向的无缝互动。建立长效沟通机制以增进信任，在开放多元合作模式下推动建立和谐的医疗数据市场。

三、结语

对普通人来说，既需要应用医疗大数据以帮助他们获取更好的服务，也需要对个人信息进行必要的保护，这就要求数据处理主体能够在数据开发应用和个人信息与隐私保护之间达致平衡。医疗卫生机构作为个人医疗信息的主要处理主体，随着其处理的医疗数据数量的高速增长和各种复杂场景的出现，迫切需要提升其数据保护能力，需要建构一套有用且灵活的合规体系来解决与患者个人信息保护相关的伦理或法律问题。经过对数据合规义务发展的历史梳理和现实考察，通过机构自律和行政监管的紧密结合，实现对患者个人信息的保护，以提升患者安全，促进医患信任。

作者介绍

彭俊武，北京市京师（武汉）律师事务所商标申请与诉讼部主任。同时具有机电工科、及法学教育背景。从事法律服务期间负责过大型国企、驰名商标企业的商标诉讼；负责过知名连锁品牌企业知识产权顾问，包括连锁经营涉及的法律问题；负责过北京知名新媒体企业知识产权顾问多年，期间成功应对多起恶意抢注商标事件。