作者：蔡榮偉 錢聞侃 中倫律師事務(wù)所 上海辦公室
來源：@中倫視界
序言
2020年12月14日，國(guó)標(biāo)委發(fā)布GB/T 39725-2020《信息安全技術(shù) 健康醫(yī)療數(shù)據(jù)安全指南》（“《指南》”），該《指南》將于2021年7月1日正式實(shí)施。《指南》由信安標(biāo)委提出并歸口，健康醫(yī)療數(shù)據(jù)生命周期內(nèi)可能涉及的各主體都參與起草。其中，包括北京協(xié)和醫(yī)院、上海市兒童醫(yī)院等各城市三甲醫(yī)院，東軟集團(tuán)、零氪科技等第三方數(shù)據(jù)服務(wù)商，各保險(xiǎn)公司、大學(xué)以及與網(wǎng)絡(luò)安全保護(hù)相關(guān)的中國(guó)信息安全測(cè)評(píng)中心等。此前，國(guó)標(biāo)委曾于2018年12月發(fā)布征求意見稿《信息安全技術(shù) 健康醫(yī)療信息安全指南》。作為推薦性國(guó)標(biāo)，《指南》并不具有強(qiáng)制法律效力。各企業(yè)在合規(guī)過程中，可將《指南》作為參考，同時(shí)需結(jié)合《網(wǎng)絡(luò)安全法》《個(gè)人信息安全規(guī)范》《國(guó)家健康醫(yī)療大數(shù)據(jù)標(biāo)準(zhǔn)、安全和服務(wù)管理辦法（試行）》及《人口健康信息管理辦法（試行）》等法規(guī)及標(biāo)準(zhǔn)以保證全面性。
本文試從《指南》概覽、分級(jí)分類建議及應(yīng)用場(chǎng)景建議等方面，對(duì)《指南》進(jìn)行簡(jiǎn)要分析。
一、《指南》概覽
正如引言中指出，隨著健康醫(yī)療數(shù)據(jù)的應(yīng)用、“互聯(lián)網(wǎng)+醫(yī)療健康”和智慧醫(yī)療的發(fā)展，健康醫(yī)療數(shù)據(jù)從存儲(chǔ)到應(yīng)用的各個(gè)階段都在發(fā)生新的變化，遭遇新的問題和挑戰(zhàn)。目前對(duì)健康醫(yī)療數(shù)據(jù)的監(jiān)管已經(jīng)無法適應(yīng)時(shí)代的要求。此次《指南》的發(fā)布，也是為了解決健康醫(yī)療數(shù)據(jù)的融合共享和開放應(yīng)用，讓數(shù)據(jù)在為個(gè)人及國(guó)家利益服務(wù)的同時(shí)，也保證個(gè)人信息的安全和國(guó)家公共利益的需要。
《指南》全文共11個(gè)部分，詳細(xì)規(guī)定了醫(yī)療數(shù)據(jù)的分類體系、使用披露原則、安全措施、安全管理指南、安全技術(shù)指南等?！吨改稀返牡?1部分對(duì)8個(gè)代表性場(chǎng)景的數(shù)據(jù)安全進(jìn)行分析，包括在數(shù)據(jù)應(yīng)用中最常出現(xiàn)問題的臨床研究數(shù)據(jù)、健康數(shù)據(jù)、移動(dòng)應(yīng)用數(shù)據(jù)及醫(yī)療器械數(shù)據(jù)等，具有很強(qiáng)的實(shí)操性。
《指南》的適用對(duì)象為健康醫(yī)療數(shù)據(jù)控制者，即“能夠決定健康醫(yī)療數(shù)據(jù)處理的目的、方式及范圍等的組織或個(gè)人”。如果兩方或多方可以共同決定數(shù)據(jù)使用處理的目、方式及范圍，則為共同控制者。除了控制者外，第6.3條還規(guī)定了處理者和使用者。常見的處理者包括：健康醫(yī)療信息系統(tǒng)供應(yīng)商、健康醫(yī)療數(shù)據(jù)分析公司、輔助診療解決方案供應(yīng)商等。
《指南》將“個(gè)人健康醫(yī)療數(shù)據(jù)”定義為“單獨(dú)或者與其他信息結(jié)合后能夠識(shí)別特定自然人或者反映特定自然人生理或心理健康的相關(guān)電子數(shù)據(jù)”。并且在附錄A給出一共11個(gè)舉例。其中包括：向個(gè)人提供醫(yī)療服務(wù)過程中采集的有關(guān)個(gè)人的既往病史、社會(huì)史、家族史等病歷記載，可穿戴設(shè)備采集的與個(gè)人健康相關(guān)的數(shù)據(jù)，關(guān)于個(gè)人的支付或醫(yī)保數(shù)據(jù)等。在《指南》出臺(tái)以前，關(guān)于健康醫(yī)療類數(shù)據(jù)的定義散見于各文件中，下表總結(jié)了相關(guān)定義：
二、個(gè)人健康醫(yī)療數(shù)據(jù)的分類和分級(jí)
《指南》第6部分結(jié)合數(shù)據(jù)本身的性質(zhì)及其所反映的內(nèi)容，將健康醫(yī)療數(shù)據(jù)分為6個(gè)類別，并且在每個(gè)類別下給出了具體范圍，對(duì)于醫(yī)療機(jī)構(gòu)細(xì)化數(shù)據(jù)提供了參考?！吨改稀诽岢龅木唧w類別與范圍如下圖：
同時(shí)，《指南》還與現(xiàn)有的數(shù)據(jù)分級(jí)要求相呼應(yīng)，根據(jù)數(shù)據(jù)的重要程度、風(fēng)險(xiǎn)級(jí)別以及對(duì)數(shù)據(jù)主體可能造成的損害和影響的級(jí)別分為5個(gè)級(jí)別。相關(guān)級(jí)別的舉例及使用范圍總結(jié)如下：
此外，《指南》第8.1條及8.3 條還根據(jù)不同的數(shù)據(jù)特點(diǎn)及適用場(chǎng)合提出了安全措施建議。健康醫(yī)療數(shù)據(jù)控制者及處理者也可以針對(duì)自身的處理使用場(chǎng)景進(jìn)行參考，達(dá)到更好的合規(guī)效果。
三、針對(duì)健康醫(yī)療數(shù)據(jù)的使用原則
3.1 推薦性標(biāo)準(zhǔn)
本文開頭提出過，《指南》作為推薦性標(biāo)準(zhǔn)，在針對(duì)控制者提出授權(quán)、披露、使用原則的規(guī)定中，《指南》使用的表述均為“宜”。比如，“宜告知并獲得主體的授權(quán)”“宜使用通俗易懂的語(yǔ)言”“超出范圍使用或披露的，宜在此征得主體同意”。而相比之下，《個(gè)人信息安全規(guī)范》《人口健康信息管理辦法（試行）》等中，都是使用“應(yīng)”進(jìn)行表述，語(yǔ)氣較為強(qiáng)烈。由此可見，《指南》雖可以為醫(yī)療數(shù)據(jù)的合規(guī)提供參考思路，但仍無法作為企業(yè)及執(zhí)法部門依照遵循的堅(jiān)實(shí)法律依據(jù)。
3.2 獲得授權(quán)的例外情形
在授權(quán)同意方面，《指南》針對(duì)醫(yī)療數(shù)據(jù)給出了使用或披露時(shí)，可以不獲得主體授權(quán)的例外情形。其中包括“向主體提供其本人健康醫(yī)療數(shù)據(jù)”“治療、支付或保健護(hù)理時(shí)”“涉及公共利益或法律法規(guī)要求時(shí)”及“受限制數(shù)據(jù)集用于科學(xué)研究、醫(yī)學(xué)/健康教育、公共衛(wèi)生目的時(shí)”。各控制者仍然需要謹(jǐn)慎地適用例外情形，并且需要注意結(jié)合相關(guān)法規(guī)及標(biāo)準(zhǔn)中更嚴(yán)格的要求。
3.3 引入第三方服務(wù)商的情形
根據(jù)目前實(shí)際情況中，許多醫(yī)療機(jī)構(gòu)會(huì)聘請(qǐng)第三方服務(wù)商提供數(shù)據(jù)相關(guān)服務(wù)的情況，《指南》針對(duì)醫(yī)療機(jī)構(gòu)作為控制者需要與使用者、處理者共同處理數(shù)據(jù)的情況給出了參考意見。舉例來說，作為控制者宜確認(rèn)所聘用的處理者的安全能力是否滿足要求，并且需要與處理者簽署數(shù)據(jù)處理協(xié)議?！吨改稀吩诟戒浿刑峁┝丝晒﹨⒖嫉臄?shù)據(jù)處理使用協(xié)議模板。另外，未經(jīng)控制者許可，處理者不能再引入其他第三方協(xié)助處理數(shù)據(jù)。
除了引入服務(wù)商的情形，另一較為常見的情形是控制者向政府授權(quán)的第三方控制者提供數(shù)據(jù)。此種情形下，《指南》建議原控制者審核加蓋政府公章的相關(guān)文件以增加保險(xiǎn)系數(shù)。并且，原控制者按要求提供數(shù)據(jù)后，相關(guān)數(shù)據(jù)的安全責(zé)任將由第三方控制者承擔(dān)。
3.4 非商業(yè)目的使用的情形
《指南》建議，如果出于科學(xué)研究、醫(yī)療保健業(yè)務(wù)、公共衛(wèi)生等目的，控制者可將特定受限制數(shù)據(jù)集用于上述目的?？刂普咝枰却_認(rèn)數(shù)據(jù)使用的合法性、正當(dāng)性和必要性，并確認(rèn)使用者具備相應(yīng)數(shù)據(jù)安全能力，能夠確保數(shù)據(jù)在后續(xù)使用及保存中的相關(guān)安全要求。同樣地，控制者需要與使用者簽訂數(shù)據(jù)使用協(xié)議，對(duì)于數(shù)據(jù)保護(hù)作出承諾。
3.5 去標(biāo)識(shí)化建議
《指南》除了建議按照《個(gè)人信息安全規(guī)范》開展去標(biāo)識(shí)化工作外，還針對(duì)應(yīng)用于臨床研究和醫(yī)藥醫(yī)療研發(fā)的數(shù)據(jù)提出了更詳細(xì)的去標(biāo)識(shí)化要求。例如，如果是可以唯一識(shí)別到個(gè)人的數(shù)據(jù)，如病歷號(hào)等，需要從數(shù)據(jù)中心去除。而可以關(guān)聯(lián)到個(gè)人的信息，則宜進(jìn)行泛化、轉(zhuǎn)換等處理?！吨改稀愤€針對(duì)具體的姓名、聯(lián)系方式、日期等項(xiàng)目提出了去標(biāo)識(shí)化方法建議。
四、針對(duì)代表性場(chǎng)景的數(shù)據(jù)安全指導(dǎo)
《指南》的一大亮點(diǎn)，是針對(duì)8個(gè)具有代表性的場(chǎng)景的數(shù)據(jù)安全進(jìn)行了建議。詳細(xì)給出了重點(diǎn)安全措施、數(shù)據(jù)分級(jí)、數(shù)據(jù)采集、數(shù)據(jù)傳輸、存儲(chǔ)、使用等跨越數(shù)據(jù)生命全周期的建議。8個(gè)場(chǎng)景所涉及的具體情況概括如下：
1）醫(yī)生在提供健康醫(yī)療服務(wù)過程中調(diào)閱相應(yīng)患者數(shù)據(jù)的場(chǎng)景；
2）患者通過在線方式查詢本人健康醫(yī)療數(shù)據(jù)的場(chǎng)景；
3）學(xué)術(shù)性醫(yī)學(xué)中心、研究機(jī)構(gòu)等進(jìn)行臨床研究的場(chǎng)景；
4）第三方政府部們或企業(yè)等，出于非營(yíng)利性目的申請(qǐng)對(duì)健康醫(yī)療數(shù)據(jù)進(jìn)行二次利用，也就是和收集時(shí)目的并不相同的利用的場(chǎng)景；
5）通過健康觸感器采集與被采集者健康狀況相關(guān)的數(shù)據(jù)，應(yīng)用于醫(yī)療服務(wù)和健康生活的場(chǎng)景；
6）通過網(wǎng)絡(luò)為個(gè)人提供在線健康醫(yī)療服務(wù)或數(shù)據(jù)服務(wù)的移動(dòng)應(yīng)用程序的場(chǎng)景；
7）商業(yè)保險(xiǎn)公司經(jīng)購(gòu)買商業(yè)保險(xiǎn)的主體授權(quán)，與醫(yī)療機(jī)構(gòu)建立連接的場(chǎng)景；
8）醫(yī)療器械廠商對(duì)器械進(jìn)行遠(yuǎn)程維護(hù)，讀取數(shù)據(jù)，維護(hù)日志和報(bào)告的情形。
以第6類“通過網(wǎng)絡(luò)為個(gè)人提供在線健康醫(yī)療服務(wù)或數(shù)據(jù)服務(wù)的移動(dòng)應(yīng)用程序”的場(chǎng)景為例，《指南》對(duì)于此類應(yīng)用發(fā)布者提供了建議。比如，在數(shù)據(jù)采集時(shí)，需要明示信息并征得用戶同意。在訪問控制時(shí)，需要對(duì)訪問權(quán)限進(jìn)行一系列的限制。在數(shù)據(jù)存儲(chǔ)時(shí)，需要定期備份應(yīng)用程序數(shù)據(jù)，并且如果使用可移動(dòng)介質(zhì)存儲(chǔ)數(shù)據(jù)和個(gè)人身份標(biāo)識(shí)信息，則宜對(duì)存儲(chǔ)在介質(zhì)上的數(shù)據(jù)進(jìn)行加密。
五、結(jié)語(yǔ)
近年來，醫(yī)療行業(yè)發(fā)展迅速，與數(shù)據(jù)相關(guān)的各種服務(wù)也是層出不窮。其中涉及的數(shù)據(jù)具有敏感度高，流通頻繁等特點(diǎn)。在需求與挑戰(zhàn)共存的當(dāng)下，無論是數(shù)據(jù)的控制者，還是數(shù)據(jù)的處理者和使用者，都應(yīng)該針對(duì)自身的實(shí)際情況，結(jié)合已經(jīng)出臺(tái)的法規(guī)及標(biāo)準(zhǔn)進(jìn)行參考，將數(shù)據(jù)安全合規(guī)貫徹得更徹底。返回搜狐，查看更多
責(zé)任編輯：
