大數據環境下醫療數據隱私保護面臨的挑戰及相關技術梳理

陳鶴群

摘 要

隨著大數據技術的迅猛發展，已經給許多領域帶來了巨大的影響，但大數據也同時帶來了隱私防護方面新的安全挑戰。醫療大數據對傳統的就醫模式也帶來了革命性的改變，但其便于共享、傳播、挖掘等特性再加上醫療行業的特殊性，又不得不讓人們更加重視隱私保護這一敏感問題。本文旨在對目前醫療大數據的現狀進行分析并對其可能面臨的隱私保護問題進行討論，并對目前技術與規范方面的隱私保護手段進行梳理，從而為在大數據環境下醫療數據的隱私保護尋求可行的方法，并對醫療大數據隱私保護體系的發展方向進行了展望。

【關鍵詞】大數據 醫療大數據 隱私保護

1 背景

由于信息化和網絡化技術與產業的迅猛發展，導致產生的數據量爆炸式的增長，大數據（Big Data）概念已儼然成為學術界與產業界的熱點。大數據正悄然影響并改變著人們的日常生活方式、工作方式和思考方式。在維基百科中大數據被定義為所涉及的數據量規模巨大到無法通過人工，在合理時間內達到截取、管理、處理、并整理成為人類所能解讀的信息。如今，每時每刻均有大量的數據不斷產生，其中既有互聯網用戶主動產生的（如：搜索引擎的使用、微博等），同時各種檢測設備也在源源不斷的產生大量數據。根據分析調研機構IDC發布的報告，2012年全球數據總量已經達到2.7ZB，并預計這一數字在2015年將達到8ZB，這更說明了大數據時代的來臨。大數據的意義不在于擁有巨大的數據信息，而是通過專業的技術手段對這些數據進行處理，并提煉出有意義的信息，實現數據的增值。為了實現最終的增值，大數據處理主要涉及以下的各階段：（1）數據采集與預處理；（2）數據分析；（3）數據解釋。

王利明教授在其主編的《人格權法新論》一書中認為：隱私權是自然人享有的對其個人的與公共利益無關的個人信息、私人活動和私有領域進行支配的一種人格權。個人數據作為個人隱私的一部分，也應受到法律法規的保護。在如今的日常生活中互聯網技術已經被廣泛使用，這也引發了許多侵害個人隱私權的問題，其核心問題就是個人數據的權利問題。隨著信息技術的不斷更新發展，在其發展過程中對個人隱私保護還將帶來許多意想不到的問題。

大數據技術就是一個典型的示例，作為一個新興技術大數據技術在數據處理過程及應用等方面，產生的數據交互、展示等均可能造成對客體隱私的侵害。所以在大數據技術不斷發展的同時，人們開始關注大數據技術所帶來的隱私保護問題。

馮登國等在《大數據安全與隱私保護》一文中提出，與傳統信息安全問題相比，大數據在用戶隱私保護方面面臨著新的挑戰。大量事實已經表明，大數據未能妥善處理會對用戶的隱私造成極大的侵害。根據需要保護的內容不同，隱私保護由可以進一步細分為位置隱私保護、標識隱私匿名保護、連接關系匿名保護。而醫療個人數據作為一種機具特殊性及敏感的個人數據，其在大數據環境中如何保護個人隱私不被侵害也變得日趨重要。

本文旨在對目前醫療大數據的現狀進行分析并對其可能面臨的隱私保護問題進行討論，并對目前技術與規范方面的隱私保護手段進行梳理，從而為在大數據環境下醫療數據的隱私保護尋求可行的方法。

2 醫療大數據的現狀

近年來，醫療衛生行業信息化技術的不斷發展及各系統的不斷建設，信息系統使用的范圍也隨之不斷擴大。如電子病歷的出現取代了傳統手寫病歷，以信息化的手段記錄保存了患者在醫院中發生的診斷治療行為的全過程，除此之外其還提供了其他相關服務。在信息系統被廣泛使用后，每天都產生大量的數據，而產生的大量數據不再僅僅是對醫療過程的記錄，通過進一步挖掘及使用后均能產生更大的意義。所以根據這些特性可以說醫療數據已經進入了大數據的時代，依照這些數據的性質可以分為醫院與區域性平臺兩個層面：

在醫院層面上，信息化系統的使用范圍與使用模式已不再僅僅基于原有的掛號收費方式，信息系統應當對患者在整個就醫的過程進行全程的記錄，并將進一步擴展至患者的其他個人健康信息。

電子病歷系統在醫院的使用，徹底改變了原有的就醫模式，將原有患者自管的紙質病歷改為了由醫院統一管理的電子化病歷。這樣醫生就可以更方便、快捷的查詢患者之前的就診記錄，有助于醫生作為更加安全準確的診斷。其保存的醫囑數據、診斷數據等，更是為科研教學提供了有力的數據支撐。作為一份完整電子病歷，其還應包括醫技科室產生的檢驗檢查信息。

目前醫技科室使用的專業化信息系統：如檢驗科室使用的LIS系統，通過儀器與信息系統的連接，實現了在系統中對實驗室樣品，數據的存儲與管理，與此同時其還提供了報告審核等其它相關的服務，實現了醫院檢驗科室規范化、智能化和自動化的管理。其它的如PACS、手術麻醉等專業信息系統，均如同LIS系統一樣為相關科室提供便捷并有助于提高管理水平，醫療質量，減少差錯的發生。這類系統的使用也使得收集診療數據成為可能，讓電子病歷變得更加完整，勢必也將有實驗室報告、影像信息等被記錄保存。

除此之外，對于一些?？婆c專病的需求，還將有其它的患者信息被收集記錄，如體征信息，對于高血壓病人持續記錄其血壓、心率等體征信息對于醫療行為也是非常有意義的。如其它健康信息，患者是否有吸煙史等信息對于某些疾病的治療也是

另一方面，隨著醫療衛生體制改革的不斷深化，區域性醫療衛生信息平臺建設已成為衛生信息化的建設重點，各地也相繼建成區縣級或省市及的區域平臺，打破了各系統各醫院間的信息孤島，實現了互聯互通、數據共享、業務協同，并建立了區域醫療衛生信息數據中心及全民健康檔案等。以上海為例，由上海申康醫院發展中心自2006開始主持規劃的上海醫聯工程，在申康所轄的38市級醫院之間建立了一個信息交換共享集成平臺及數據中心。不僅僅是醫院數據的抽取收集，而是在這些數據的基礎上進行提煉利用。

隨著數據采集范圍的不斷擴大和系統的運作，無論是在醫院還是區域平臺的數據中心中的數據量不斷累積，均已形成了醫療大數據的數據中心，endprint

大數據對醫療衛生行業的影響已不言而喻，近幾年醫療服務產生的數據總量更是急速增長，所以說醫療行業正處于一個重要的轉折點。

根據大數據的特性，醫療大數據需要在以下4個方面得到支持：

（1）數據量：診療數據、設備產生的數據；

（2）類型：結構化、非結構化；

（3）價值：基于現有數據庫中的數據進行分析，來支持不能種類的業務：如患者病史、歸檔檢驗結果分析，實時臨床決策分析；

（4）速度：實時數據分析，而非傳統的批量處理分析，對于實時運行中的每個時間節點產生影響，而不是事后處理。

大數據則因為有效的數據整合模式，可以滿足以患者為中心醫療服務的個性化醫療、協調和溝通、患者支持和賦權以及良好可及性等多方面需求，為其提供卓越的技術平臺，從醫學研究、臨床決策、疾病管理、患者參與以及醫療衛生決策等方面推動醫療模式的轉變。

3 醫療大數據面臨的隱私保護挑戰

隨著數據采集、加工和應用，不可避免的會發生泄漏的情況，也將會造成隱私的泄漏。醫療信息的隱私數據泄露的主要途徑包含以下兩個方面：

3.1 非交互式泄露

從醫院內部信息系統中的隱私泄露，在醫院的內部業務流程中有多個節點可以對數據進行訪問；

3.2 交互式泄露

主要針對在信息使用傳遞過程中，發生的泄露，可能包括科學研究的過程，區域性平臺數據交互等可使用基于角色訪問控制技術，但是對于權限分級、設定、信息分級等方面有較大的難度。

因為數據內容的特殊性，數據未能妥善處理會對個人隱私帶來極大的傷害。如孕婦個人信息的泄漏，可能帶來的一系列推銷、詐騙等問題，而在大數據環境下隱私泄漏的危險不僅僅限于其泄漏本身，而還在于基于數據對于下一步行為的預測與判斷。如得到患者的某個檢驗指標，便可以對其的健康狀況進行判斷并對其下一步的行為進行預判。在很多情況下人們認為只要對數據進行匿名處理或者對重要字段進行保護，個人隱私就是安全的，但是大量的事實已經證明，可以通過收集其他信息還是很容易的可以定位到具體的個人。如患者的診斷信息作為重要隱私進行保護，但是還是可以通過用藥信息或者實驗室報告的某個相關指標輕松的推斷出患者的診斷。所以醫療數據的隱私保護需要根據保護內容的不同進行進一步的細分。

4 現狀研究

針對以上提出的問題，以下將從制度與技術兩個方面對目前針對醫療數據的隱私保護進行展開。

從技術角度而言，大數據的隱私保護主要還是依賴于傳統數據隱私保護的一些密碼學技術，而醫療數據因為其特殊性對隱私保護技術的要求也有別與其它的系統。針對這些主要將需要保護的內容聚焦于以下幾點，并結合目前已有的技術手段，進行討論：

4.1 標識隱私匿名保護

在患者診療檔案中，往往會以患者的姓名、身份證號碼等作為患者的唯一標識，但是這些信息本身就應該是隱私保護的內容，所以需要在不影響信息準性的前提情況下對這些信息進行匿名保護。

童云海等提出了一種隱私保護數據發布中身份保持的匿名方法，在數據發布中先刪除身份標識準備，然后對準標識數據進行處理，在保持隱私的同時進一步提高了信息有效性，并采用概化和有損連接兩種實現方式。

可以看出標識匿名隱私保護，主要都是采取在保證數據有效性的前提下損失一些數據屬性，來保證數據的安全性，目前大部分的技術均采用了這種方式。但是在目前患者電子診療信息交互的過程中，信息的損失可能會影響正常流程的運行。在很難同時兼顧可用性與安全性的前提下，需要一種針對醫院及區域性平臺運作特點的算法，來找到可用與安全的折中點。

4.2 醫療數據的分級保護制度

以一份完整的診療檔案為例，其構成應當包含了各種信息，如患者基本信息、診斷信息、醫囑信息、檢驗檢查信息、藥品信息、收費信息、主治醫生信息等等。這些信息在隱私保護中都有著不同的權重，如果一概而論對所有信息都采用高級別的保護手段，會影響實際運作的效率，同時也是對資源的浪費。但如果只對核心信息進行保護，也會造成隱形泄露的問題。如只對檢驗報告進行保護，那么檢驗數據的泄露可以也容易的推導出檢驗報告的結果。所以需要建立一套數據的分級制度，對于不同級別的信息采用不同的保護措施，但由于涉及不同的系統和運作方式，制定一套完善分級制度有相當的難度，同時還涉及到了以下的訪問權限的控制；

4.3 基于訪問控制的隱私保護

醫療系統中隱私保護的難點還在于參與的人員節點多，導致了潛在的泄露點也多。訪問控制技術可以對不同的人員設置不同的權限來限制其訪問的內容，這其實就包括了數據分級的問題。如財務部門的人員應該只能訪問相關的收費信息而不能訪問醫生的診斷信息。

而目前大部分的訪問控制技術均是基于角色的訪問控制，更夠很好的控制角色能夠訪問的內容以及其相應的操作。但是規則的設置與權限的分級的實現手段比較復雜，無法通過統一的規則設置來進行統一的授權，許多情況下需要對角色的特殊情況進行單獨設置，也不便與進行整體的管理和調整。需要對規則引擎進行進一步的研究在適應醫療領域實際應用的需要。

通過以上對于不同問題不同技術手段的分析可以看出，在醫療大數據領域技術手段還不能很好的滿足實際應用的需求。同時需要建立一套適用于醫療大數據領域的完整隱私保護體系，在醫療數據的存儲環節、訪問環節、應用環節等形成系統性的保護。而在構建隱私保護體系時，除了相關技術，更應用完善制度保障。

技術作為隱私保護的必要條件，在有了技術的基礎上還是需要有相應切實可行的制度來規范人們的行為以及技術手段順利執行。如密碼學中的社會工程攻擊法，它并沒有直接針對任何加密系統，只是利用人們在執行過程中的一些弱點與漏洞來達到攻擊的目的，所有隱私保護同樣離不開法律、政策等的支撐。endprint

美國在這方面起步的最早，1974年美國就正式制定了《隱私權法》1996年美國國會就頒布了《健康保險攜帶和責任法案》（Health Insurance Portability and Accountability Act，HIPAA），2000年美國衛生和福利部（HHS）依據該法授權制定《個人可識別健康信息的隱私標準》。由此可以看出，美國已經建立了一個完整的醫療隱私保護體系。相比較我國對于這方面的法律政策還比較欠缺目前還有專門關于患者隱私保護方面的內容，只是有少數條文零星的涉及。2013年底，國家衛計委下發了關于《人口健康信息管理辦法（試行）》（征求意見稿），針對患者的電子信息對信息采集方的義務和行為進行規范了說明，并明確“誰采集、誰負責”的原則。除此之外，還需要明確的是患者電子診療檔案歸屬權的問題，患者的電子診療信息雖然產生在醫院并由醫院采集保管，但其所屬權是否應當屬于患者。即電子診療信息的用途應當僅限于為患者提供醫療服務，若為了其它目的使用時，如科研、教學等，使用者應當告知患者。

5 小結

在本文中對大數據環境下醫療大數據的形成進行了分析，并對醫療大數據所面臨的隱私安全問題以及相應的技術手段進行了梳理。隨著大數據技術的迅猛發展，醫療大數據已經初具規模。在享用醫療大數據帶來的便利同時，不得不去考慮其帶來的一系統隱私保護問題。相對而言國內目前的相關技術和制度研究均處于剛起步階段，還缺乏系統性的整體架構來對患者隱私進行保護。通過對目前一些隱私保護技術的梳理可以看到，每項技術雖然都有不同的特點，但是其真正在醫療領域的使用范圍及性能都受到了一定的限制，而且在一定程度上還缺乏對應的制度保障。只有通過對于技術手段和法規制度相結合的方式，針對醫療領域和醫療大數據的特性，才能構建出一套完善的隱私保護體系，相關的工作還需要我們進一步的研究。

參考文獻

[1]維基百科，大數據，http：//zh.wikipedia.org/wiki/%E5%A4%A7%E6%95%B0%E6%8D%AE

[2]馮國登，張敏，李昊.大數據安全與隱私保護[J].計算機學報，2014.

[3]楊吉江，許有志，王青.面向醫療信息的數據隱私保護技術[J].中國數字醫學，2010，05（08）.

[4]喬巖，王偉.大數據時代的醫療模式，醫學論壇網 http：//circ.cmt.com.cn/detail/345715.html.

[5]童云海，陶有東，唐世渭.隱私保護數據發布中身份保持的匿名方法[J].軟件學報，2010（04）：771-781.

作者單位

上海軟中信息技術有限公司 上海市 200235endprint