作者：鄧勇

摘 要

本文擬從國家衛(wèi)生健康委員會于2018年7月12日發(fā)布的《國家健康醫(yī)療大數據標準、安全和服務管理辦法（試行）》規(guī)定中就智能可穿戴設備服務商的合規(guī)途徑進行初步探討。

北京時間2018年9月13日，蘋果公司在2018蘋果秋季新品發(fā)布會上推出了三款新手機和第四代蘋果手表Apple Watch Series 4。蘋果公司表示，該款最新一代的智能手表背面內置了一個電子式心臟傳感器，用戶將手指放置在數碼表冠上30 秒，與背面的傳感器相配合，Apple Watch上就會顯示出用戶的實時心電圖，聯(lián)動iOS設備心電圖會完整地記錄到iPhone或iPad中，便于用戶自查或提供給醫(yī)生用于診斷。這是第一款直接面向消費者提供的非處方心電圖產品，并且已經通過了美國食品和藥品監(jiān)督管理局（FDA）的認證。該款智能手表已于2018年9月21日在中國正式開售。

就在蘋果推出最新一代手表之前不久，國家衛(wèi)生健康委員會于2018年7月12日發(fā)布了國衛(wèi)規(guī)劃發(fā)[2018]23號《國家健康醫(yī)療大數據標準、安全和服務管理辦法（試行）》（下稱《大數據辦法》）。該《大數據辦法》是根據《中華人民共和國網絡安全法》等法律法規(guī)以及《國務院辦公廳關于促進和規(guī)范健康醫(yī)療大數據應用發(fā)展的指導意見》（國辦發(fā)〔2016〕47號）和《國務院辦公廳關于促進“互聯(lián)網+醫(yī)療健康”發(fā)展的意見》（國辦發(fā)〔2018〕26號）等文件精神制定出臺的，是我國針對健康醫(yī)療大數據的第一部部門規(guī)章，首次對健康醫(yī)療大數據的標準、安全和服務管理進行了規(guī)定。

一.

智能可穿戴設備服務商將成為

健康醫(yī)療大數據的責任主體

相對智能手機而言，智能可穿戴設備更能迎合當今時代人們對醫(yī)療健康的日常監(jiān)測需求，讓身體的生理體征監(jiān)測變得更加便捷。對比傳統(tǒng)的醫(yī)療檢測設備，智能可穿戴設備可實時采集用戶大量的健康醫(yī)療數據信息及行為習慣，在與智能手機或平板電腦等智能終端聯(lián)動后還可以通過大數據、云計算等技術應用，成為醫(yī)療診斷獲取信息的重要途徑。正是基于這種市場需要，目前市面上已經出現了多款針對體溫、心率、睡眠、血壓、血糖、胎心等指標進行監(jiān)測的智能可穿戴產品，而以運動手環(huán)、智能手表、智能體脂秤為代表的智能可穿戴設備已漸成氣候，上文提及的最新一代蘋果手表更是已經具備繪制心電圖的準醫(yī)療檢查功能。

《大數據辦法》第四條將健康醫(yī)療大數據定義為“是指在人們疾病防治、健康管理等過程中生的與健康醫(yī)療相關的數據?！?，并在第六條第二款規(guī)定“各級各類醫(yī)療衛(wèi)生機構和相關企事業(yè)單位是健康醫(yī)療大數據安全和應用管理的責任單位”。根據上述規(guī)定，只要智能可穿戴設備具備可采集用戶健康醫(yī)療數據的功能，則智能可穿戴設服務商將成為健康醫(yī)療大數據的責任單位。

二.

智能可穿戴設備服務商作為

責任主體可能面臨的風險

1、

非法采集數據的風險

采集用戶的健康數據是智能可穿戴設備的核心功能?！洞髷祿k法》第二十二條規(guī)定“責任單位應當按照《中華人民共和國網絡安全法》的要求，嚴格規(guī)范不同等級用戶的數據接入和使用權限，并確保數據在授權范圍內使用。任何單位和個人不得擅自利用和發(fā)布未經授權或超出授權范圍的健康醫(yī)療大數據，不得使用非法手段獲取數據”；

第二十九條規(guī)定“責任單位采集健康醫(yī)療大數據，應當嚴格執(zhí)行國家和行業(yè)相關標準和程序，符合業(yè)務應用技術標準和管理規(guī)范，做到標準統(tǒng)一、術語規(guī)范、內容準確，保證服務和管理對象在本單位信息系統(tǒng)中身份標識唯一、基本數據項一致，所采集的信息應當嚴格實行信息復核終審程序，做好數據質量管理”。

我國《網絡安全法》的第四十一[1]和四十二條[2]對采集包括用戶健康數據在內的個人信息進行了嚴格規(guī)定，未經用戶同意采集個人信息是明顯違法的。假如一旦就采集用戶健康數據事宜發(fā)生糾紛，智能可穿戴設備服務商有責任證明其采集數據的行為是獲得了用戶的許可的，否則將面臨刪除所采集的不法信息且不能繼續(xù)采集等不利后果。

2、

違法管理數據的風險

《大數據辦法》第二十三條規(guī)定“責任單位應當建立嚴格的電子實名認證和數據訪問控制，規(guī)范數據接入、使用和銷毀過程的痕跡管理，確保健康醫(yī)療大數據訪問行為可管、可控及服務管理全程留痕，可查詢、可追溯，對任何數據泄密泄露事故及風險可追溯到相關責任單位和責任人?！?/p>

這一條對于管理健康醫(yī)療數據的責任單位提出了較高的技術要求和制度要求，規(guī)定智能可穿戴設備服務商要對健康醫(yī)療數據實施留痕管理；而第三十條關于“責任單位應當具備符合國家有關規(guī)定要求的數據存儲、容災備份和安全管理條件，加強對健康醫(yī)療大數據的存儲管理。

健康醫(yī)療大數據應當存儲在境內安全可信的服務器上，因業(yè)務需要確需向境外提供的，應當按照相關法律法規(guī)及有關要求進行安全評估審核”的規(guī)定則更加明確，這一條也是順應《網絡安全法》第三十七條的規(guī)定[3]。

從2018年2月28日起，蘋果公司在中國內地的iCloud服務將由云上貴州大數據產業(yè)發(fā)展有限公司負責運營，大陸所有蘋果用戶的iCloud數據都將遷移到云上貴州存儲，這一數據遷移也是蘋果公司的合規(guī)之舉。相信蘋果公司在大陸發(fā)售具備監(jiān)測用戶心電圖功能的最新一代蘋果手表時，也會慎重考慮《大數據辦法》的上述規(guī)定。

3、

非法使用數據的風險

《大數據辦法》第十七條規(guī)定“責任單位應當建立健全相關安全管理制度、操作規(guī)程和技術規(guī)范，落實“一把手”責任制，加強安全保障體系建設，強化統(tǒng)籌管理和協(xié)調監(jiān)督，保障健康醫(yī)療大數據安全。涉及國家秘密的健康醫(yī)療大數據的安全、管理和使用等，按照國家有關保密規(guī)定執(zhí)行。責任單位應當建立健全涉及國家秘密的健康醫(yī)療大數據管理與使用制度，對制作、審核、登記、拷貝、傳輸、銷毀等環(huán)節(jié)進行嚴格管理”。

《大數據辦法》并未對“一把手”及“一把手”所需承擔的責任作出明確規(guī)定，但根據基本法理，此處的“一把手”通常是指企業(yè)的法定代表人；如果參考《網絡安全法》的相關表述，也可推測“一把手”或可等同于《網絡安全法》所規(guī)定“直接負責的主管人員”。

我國《刑法》第二百五十三條規(guī)定了“非法獲取公民個人信息罪”的犯罪行為，對于“直接負責的主管人員和其他直接責任人員”將與單位一同承擔刑事責任。據此，《大數據辦法》所規(guī)定的健康醫(yī)療數據責任單位的“一把手”責任制，將給責任單位的直接主管人員帶來極大的責任風險，“一把手”亟需積極貫徹嚴格的管理制度，確保健康醫(yī)療大數據的安全。

4、

數據非法泄露的風險

《大數據辦法》第二十三、三十四條和三十五條對健康醫(yī)療大數據的泄露進行了明確規(guī)定，智能可穿戴設備服務商作為大數據的控制者，有義務確保大數據的存儲、使用及管理安全，確保不得非法泄露。

三.

智能可穿戴設備服務商的合規(guī)路徑

結合上述可能的風險分析，有以下合規(guī)路徑可參考：

1. 貫徹落實法定代表人或實際控制人責任制

《大數據辦法》所規(guī)定的“一把手”責任制是貫徹實施所有管理制度的核心，只有讓責任單位的法定代表人或實際控制人能夠真正成為大數據安全管理制度的最終承擔者，才有可能有效喚醒決策層的管理意識，才有可能真正提高實際管理者的管理水平，從而確保管理制度的真正落實。

2. 依法構建并落實數據管理機制

從法理上看，健康醫(yī)療大數據屬于個人隱私范疇，所以在構建數據管理機制時需要以保護個人隱私為最高原則，應當將從客戶處采集的隱私數據根據不同的數據類別設置不同的隱私查看及使用權限。而健康醫(yī)療數據的管理會包括但不限于采集、存儲、復制、傳輸、遷移、使用、銷毀等多個環(huán)節(jié)，建立建立醫(yī)療數據流動管理體系對健康醫(yī)療數據責任單位健全數據管理制度，完善數據授權體系具有重要意義。另外關于健康醫(yī)療數據的保密審查機制也應當成為醫(yī)療數據內部管理制度的重要組成部分。

3. 選擇有資質有實力可信賴的合作伙伴

《大數據辦法》第三十一、三十二條均對責任單位選擇健康醫(yī)療大數據的合作方進行了明確規(guī)定，并強調“責任單位委托有關機構存儲、運營健康醫(yī)療大數據，委托單位與受托單位共同承擔健康醫(yī)療大數據的管理和安全責任”。故責任單位在選擇相關數據服務商合作時，需要提前盡到審核義務，確保該合作方符合國家和行業(yè)規(guī)定的數據運營服務的條件，具備相應的服務資質、可建立健全的數據控制管理制度、符合國家安全標準的網絡安全等級標準、個人隱私保護制度等。

注 釋：

[1]《網絡安全法》第四十一條“網絡運營者收集、使用個人信息，應當遵循合法、正當、必要的原則，公開收集、使用規(guī)則，明示收集、使用信息的目的、方式和范圍，并經被收集者同意。網絡運營者不得收集與其提供的服務無關的個人信息，不得違反法律、行政法規(guī)的規(guī)定和雙方的約定收集、使用個人信息，并應當依照法律、行政法規(guī)的規(guī)定和與用戶的約定，處理其保存的個人信息?！薄　?/p>

[2]《網絡安全法》第四十二條“網絡運營者不得泄露、篡改、毀損其收集的個人信息；未經被收集者同意，不得向他人提供個人信息。但是，經過處理無法識別特定個人且不能復原的除外。網絡運營者應當采取技術措施和其他必要措施，確保其收集的個人信息安全，防止信息泄露、毀損、丟失。在發(fā)生或者可能發(fā)生個人信息泄露、毀損、丟失的情況時，應當立即采取補救措施，按照規(guī)定及時告知用戶并向有關主管部門報告?！?/p>

[3]《網絡安全法》第三十七條“關鍵信息基礎設施的運營者在中華人民共和國境內運營中收集和產生的個人信息和重要數據應當在境內存儲。因業(yè)務需要，確需向境外提供的，應當按照國家網信部門會同國務院有關部門制定的辦法進行安全評估；法律、行政法規(guī)另有規(guī)定的，依照其規(guī)定?！狈祷厮押?，查看更多

責任編輯：