随着信息技术和网络技术的飞速发展，医院数字化建设日新月异，“数字医疗”、“数字健康”、“互联网+ 医疗健康”等医疗数据共享新模式迅速发展，同时医疗数据在安全和管理上也不断受到挑战。健康医疗数据主体涉及：个人健康医疗数据主体（个人、患者）、健康医疗数据控制者（医院、医保机构、政府机构、科研机构等）、健康医疗数据处理者（系统供应商、数据分析公司、诊疗方案供应商等）、健康医疗数据使用者。不同主体之间以及同一主体内部不同科室、部门之间数据交换与共享需求日益旺盛，医疗数据成为宝贵数据资产也在被不断挖掘和利用，极大推动了医疗服务水平提升，医院数字信息系统成为医疗生产服务的重要技术支撑。但由于医疗领域特殊性，医疗数据不仅承载医疗对象健康状态及医学处理过程信息，还涉及大量医疗对象的个体敏感信息，若管理不当，将引发个人隐私泄漏和保护的社会问题，也是近年来医疗数据安全的热点问题。

一套整体的医疗数据隐私保护体系涉及：国家医疗数据隐私保护法律法规顶层框架设计，以医院为主的医疗机构数据隐私保护管理机制，不断完善的数据隐私保护信息技术等。笔者将根据已有的研究基础，从法规、管理、技术三个角度撰写系列文章，探讨如何实现医疗数据隐私保护体系建设，本文从法律法规角度出发，分析健康医疗数据面临的主要问题，我国个人信息保护法律框架，我国《个人信息保护法（草案）》与欧盟的《一般数据保护条例》对比分析，我国健康医疗数据隐私监管缺失和法律建议。

1.健康医疗数据的安全问题

安全问题主要包括两种：

2.健康医疗数据的垄断问题

经济合作与发展组织的竞争委员会曾于2016年公布了一份名为《大数据：引领竞争政策进入数字时代》的报告书，在该份报告书中，经济合作与发展组织提出了大数据商业的数据驱动网络效应，这导致的结果是用户不得不依存于成为胜利者的巨大平台。作为高额的沉没成本的反面，大数据产业的先发企业相较于后发企业，在后期势必会拥有边际成本趋近于零的优势，这便有可能导致因控制大数据而滥用其垄断优势的情况。

需要指出的是，实务中对于健康医疗数据垄断的认定是极为复杂的，甚至会出现与理论相背离的情况，相关市场的具体划分方法、健康医疗数据企业的合并审查、健康医疗数据企业市场支配力的认定等问题，均亟待理论界与实务界作进一步的研究与讨论。

3.健康医疗数据的失信问题

健康医疗数据的失信问题，主要出现在健康医疗数据的分析、整理过程中。在数据分析实务中，有时会存在基于特定目的，而人为控制分析样本的情况，这样的分析结果虽然有一定的基础，但并不能真正反映大数据背后的真实性——有数据分析造假之嫌。失信的健康医疗数据非但不能实现前述社会效果，反而会对整个健康医疗行业造成破坏，甚至会引发严重的社会问题。

健康医疗数据属于个人信息保护的范畴，整体看，针对个人信息保护的法律法规尚处于起步阶段。我国目前尚未就个人信息保护进行单独立法，个人信息保护的规定散见于各部法律、司法解释、部门规章之中。

《全国人民代表大会常务委员会关于加强网络信息保护的决定》、《网络安全法》在宏观层面提供了个人信息保护的法律依据。于此同时，《刑法修正案（七）》与《刑法修正案（九）》增设了侵害个人信息构成犯罪的规定，《消费者权益保护法》和《侵权责任法》则在民事层面涉及到个人信息的保护。已经通过的《民法典》人格权编中明确了自然人的个人信息受法律保护，并将自然人的“电子邮箱地址”和“行踪信息”纳入个人信息的范围。

有关个人信息保护的司法解释主要包括：《最高人民法院关于审理利用信息网络侵害人身权益民事纠纷案件适用法律若干问题的规定》和《最高人民法院 最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》，两个司法解释分别在民事与刑事领域细化了侵犯个人信息的认定标准和法律责任。

在部门规章层面，《电信和互联网用户个人信息保护规定》侧重于规定电信业务经营者和互联网信息服务提供者在个人信息保护方面的职责；《互联网个人信息安全保护指南》引导个人信息持有者采取有效的信息安全保护措施；《儿童个人信息网络保护规定》主要聚焦于十四周岁以下未成年人的网络个人信息保护。另外，《信息安全技术信息安全规范（GB/T35273-2020）》则在具体操作规范上提供了指导与参考意见。

当前，个人信息被侵犯的事件层出不穷，部分互联网公司利用手中掌握的技术，过度收集公民个人信息数据，并对个人数据非法利用，产生了极坏的社会影响。民众对加强个人信息保护的呼声越来越强烈。可以预见在不久的将来将会陆续出台、生效一批包括《个人信息保护法》在内的与个人信息保护相关的法律、法规、规章及其他规范性文件。尚在起草阶段的《个人信息保护法》也有望明确“个人信息”的内涵和外延，理顺相关主体之间的关系，并覆盖对个人信息的收集、存储、使用、共享、跨境传输等多个方面。在规章层面，目前处于公开征求意见的《数据安全管理办法》涉及我国境内利用网络开展数据收集、存储、传输、处理、使用等活动，而《个人信息出境安全评估办法》则规制网络运营者向境外提供我国公民个人信息的行为。在行业规范层面，目前处于公开征求意见的《信息安全技术个人信息告知同意指南》以及《移动互联网App个人信息安全防范指引》探索尝试为信息设备端口收集个人信息提供规范指引。

《个人信息保护法（草案）》是我国数据隐私保护的重要法律，虽然目前仍是草案稿件，但是该法规意义十分重大，是我国个人信息保护的重大进步。欧盟的《一般数据保护条例》（General Data Protection Regulation,GDPR）对获取和管理个人信息提出了新的、更严格的要求，它给高科技企业带来了巨大的影响，其影响之深远已超出欧盟，波及全球多个国家。对两者的比较，更有利于理解我国隐私保护的特点，有利于境内公司了解开展境外数据业务时应该注意的事项。

1.适用范围: 属地管辖加域外适用

《草案》第三条规定组织、个人在中华人民共和国境内处理自然人个人信息的活动,适用本法。

在中华人民共和国境外处理中华人民共和国境内自然人个人信息的活动, 以向境内自然人提供产品或者服务为目的,也适用本法。

GDPR第三条也同样强调适用范围是针对发生在欧盟内的数据主体提供商品和服务的过程中。

2.合法性原则

GDPR第六条规定了六项个人数据处理行为的合法性原则，同意和基于合同处理是其中的两项；《草案》第十三条也同样规定了取得个人的同意和为订立或者履行个人作为一方当事人的合同所必为个人信息处理者处理个人信息行为的前提。

3.敏感个人信息的定义

敏感个人信息定义：敏感个人信息是一旦泄露或者非法使用,可能导致个人受到歧视或者人身、财产安全受到严重危害的个人信息,包括种族、民族、宗教信仰、个人生物特征、医疗健康、金融账户、个人行踪等信息。

《草案》定义的敏感个人信息范围比GDPR更广，特别是金融账户及个人行踪等信息。结合《个人信息安全规范》，还包括通信记录，通讯录，网页浏览记录，住宿信息等。

4.儿童年龄的定义

《草案》第十五条对儿童的定义为14岁；GDPR 规定为16岁。

5.数据跨境

GDPR是强调保护自然人（数据主体），而《草案》包含国家安全因素的考虑。

GDPR提供了包括白名单、标准合同范本、约束性公司规则、专门同意等满足跨境要求。

《草案》第三十八条规定了数据跨境的条件为：网信部门的安全评估、专业机构的保护认证和与接收方签订合同并监督个人信息处理活动满足草案要求。

《草案》第四十条对于个人信息本地化提出了比网络安全法更广的要求，除了关键信息基础设施运营者之外，个人信息数量达到网信部门规定数量的个人信息处理者也需要本地化。第三十九条的“单独同意”也可能对本地化带来潜在的要求。

6.惩罚力度

《草案》第七章规定惩罚金额为五千万元以下或者上一年度营业额5%以下罚款；对直接负责的主管人员和其他直接责任人员处十万元以上一百万元以下罚款；

GDPR规定为2000万欧元的行政罚款或上一财政年度全球营业额的饿4%，两者以较高者为准。

7.其他

《草案》第五十二条规定需在中华人民共和国境外的个人信息处理者,应当在中华人民共和国境内设立专门机构或者指定代表；GDPR第27条规定控制者或处理者应当以书面形式指定欧盟中的代理人，第37条规定数据控制者和处理者应指派数据保护专员。

《草案》第五十四条要求个人信息处理者应当对个人信息处理活动在事前进行风险评估,并对处理情况进行记录，且风险评估报告和处理记录应至少保存三年；GDPR中同样规定了处理活动记录的要求，但没有三年的具体保存约束。

中国自2013 年以后,密集出台了多项政策来促进健康医疗大数据产业的发展。2016 年《关于促进和规范健康医疗大数据应用发展的指导意见》明确指出:“到2020 年,健康医疗大数据相关政策法规、安全防护、应用标准体系不断完善,适应国情的健康医疗大数据应用发展模式基本建立。”遗憾的是,中国健康医疗大数据领域的立法推进还存在明显的滞后性,目前对健康医疗信息相关的隐私利益没有设立专门立法,个人信息保护法也一直没有出台。

健康医疗信息的隐私保护散见于《侵权责任法》《精神卫生法》《护士管理办法》等法律法规中的简单规定,可以说中国医疗隐私信息保护基本上处于缺位的状态。

法律制度的难产源于立法准备的不足,立法准备不足的原因在于信息隐私立法保护中的几个核心问题尚未澄清。如隐私信息究竟是保护个人信息还是个人隐私? 其权利属性如何? 其保护模式如何? 其保护框架如何? 等等。鉴于此,本文拟对健康医疗隐私信息保护中的几个问题逐一展开分析和论证,厘清健康医疗信息隐私的法律属性、保护框架等基本问题,以期对中国未来个人信息立法有所助益。

1.建立健康医疗数据的专门数据立法保护

制度由健康医疗数据的特殊性所决定，相对于一般个人信息，应对健康医疗信息进行更高标准的保护。借鉴国际经验，比如，奥地利、日本均有专门的健康医疗数据立法，荷兰的《医疗合同法》及美国的《医疗保险的可携带性与责任法》虽系医事法，亦对健康医疗数据进行了专门的规定。在一般数据立法的基础上，对于健康医疗数据进行专门立法是十分必要的。

2.完善健康医疗数据的竞争法保护制度

在反垄断法方面，健康医疗领域目前尚无特别典型的案例，但国内外的IT 巨头（如国外的谷歌、亚马逊、脸书等，国内的百度、阿里、腾讯等）占有海量数据是不争的事实，互联网巨头纷纷布局在线医生、在线药房、在线问诊等健康医疗业务，其发展规模也越来越大。因此，一方面，我们要严格执行反垄断法，及时发现并采取措施解决我国国内可能出现的数据垄断问题；另一方面，我们也要密切关注国外关于数据垄断的立法及司法动向，并适当吸收其中符合我国国情的内容。

3.完善健康医疗数据合同法律制度

尽管健康医疗数据涉及诸多法律主体，其法律关系亦是错综复杂，但健康医疗数据的法律关系主要是民事法律主体之间的权利义务关系，因此，传统的民事合同制度对于调整健康医疗数据的法律关系依然发挥着不可取代的作用。当然，有别于传统的民事合同，健康医疗数据的民事合同有其自身的特殊性，因此，对于健康医疗数据的民事合同，有必要在法律中予以特别规定，以引导其主体秉承意思自治、诚实信用的原则，通过合同协调各主体之间的权利义务关系。由于其法律关系的复杂性，仅依靠现有的合同法难以有效调整，所以，出台直接针对数据合同的法规或司法解释，对其加以引导，是完善健康医疗数据合同法律制度的应有之义。

4.推动技术保护的相关立法

健康医疗数据产业本身是技术进步的产物，健康医疗数据的保护、利用，健康医疗数据产业的发展，也同样离不开技术。尤其是涉及健康医疗数据的保护，一方面需要管理制度的完善；另一方面，也需要技术措施的跟进，特别是时下新兴的区块链技术，对于健康医疗数据的保护具有实际意义。2019 年2 月15 日，我国国家互联网信息办公室颁布了《区块链信息服务管理规定》，这是我国区块链技术立法的肇始。我们期望，在全面依法治国的大背景下，对健康医疗数据保护的一系列法律法规应尽快出台，为建设社会主义现代化强国发挥作用。

参考文献

大数据环境下医疗数据隐私保护对策研究；王天屹，刘爱萍

信息安全技术健康医疗数据安全指南；

论健康医疗大数据中的隐私信息立法保护；粟　丹

浅析我国个人信息保护法律制度；刘启鸣，姚 瀚

《中华人民共和国个人信息保护法（草案）》解读；德勤

健康医疗数据法律规制研究；刘 瑛，高 逸

本文作者：牛津（海南）区块链研究院行业研究组研究员 zhoufei