國內醫學數據安全治理法律法規建設探析*

李忠民 王思慧 陳先來 劉 莉 安 瑩 左懿靜 景雅桐

（1.中南大學生命科學學院 長沙 410013； 2.中南大學大數據研究院 長沙 410083）

1 引言

在信息時代，我們可以足不出門而知天下事，各種各樣的信息與數據充斥著我們的世界。數據的共享使得各個行業能為人們提供更加精準的個性化服務，大幅提高了工作的效率和可靠性。人類社會正由信息時代逐漸步入“大數據”時代。

隨著醫療行業信息化建設的不斷推進，醫學數據呈爆炸性增長，如何進一步推進醫學數據開放，深化共享合作是醫學大數據發展應用必須突破的瓶頸。由于醫學數據具有特殊價值，其不僅關乎公民自身，更與社會、國家的利益息息相關[1-3]。在醫學數據的生產、存儲、提供和利用中，不合規行為層出不窮，利益糾紛案件數量不斷攀升[4-5]，醫學數據的安全治理成為了一個日益嚴峻的問題。開放是共享的前提，而安全是開放的基礎。近幾年，我國對醫學數據安全問題高度關注，推動并制定了一系列相關法律法規。本文立足國內頒發的法律條文，從國家層面和地區層面進行分析，提出目前我國醫學數據治理中存在的問題及相關解決辦法，以期進一步釋放醫學大數據紅利。

2 國家層面法制建設現狀

醫學數據可被劃分為以下兩種：一是就診數據，即在醫療機構就診過程中產生的各項數據，如生化檢驗報告、影像檢查結果等；二是個人生物數據，一般指通過第三方機構或者設備產生的數據，如指紋、基因序列等[6]。國內有關醫學數據安全的法律法規也是圍繞上述兩種醫學數據逐漸進行精細化管理。

2.1 制定整體戰略規劃，完善醫學數據法制建設

國家戰略上，2010 年十七屆五中全會通過的《中共中央關于制定國民經濟和社會發展第十二個五年規劃的建議》（以下簡稱《建議》）[7]首次提出健全衛生行業覆蓋全行業的衛生信息網絡，推動居民健康卡建設，加強信息化標準和信息安全體系建設。該方案是國家層面第一次在醫療衛生行業提出信息安全這個概念，填補了我國針對醫院信息化建設中數據安全的研究空白。2011 年衛生部發布《衛生行業信息安全等級保護工作的指導意見》（以下簡稱《指導意見》）[8]，該《指導意見》在《建議》的基礎上推行了具體的執行措施，醫療衛生行業信息安全的監管體系得以正式形成。在醫院信息化建設的過程中，《指導意見》為保護數據安全發揮了重要的作用。在其后較長的一段時間內，我國針對醫學數據安全的法律法規沒有明顯的變化。

隨著大數據和人工智能在全球迅猛發展，我國政府將大數據發展作為國家戰略進行布局。2015 年，國務院發布《促進大數據行動綱要》[9]，提出完善法規制度和標準體系建設，科學規范利用大數據，切實保障數據安全的指導思想；構建民生服務新體系，發展健康醫療、養老服務，培育產業發展新生態；建設醫療健康服務大數據，構建電子健康檔案，形成規范、共享、互信的診療流程，加快民生服務普惠化；強調解決網絡安全問題，落實信息安全等級保護、風險評估等制度，明確各環節的范圍邊界、責任主體；提升安全可信產品和服務，加強監測、預警、控制和應急能力。該文件指出我國“法律法規建設滯后”的問題，需要加快法規制度建設的步伐。2016 年，國務院辦公廳印發《關于促進和規范健康醫療大數據應用發展的指導意見》[10]，全面推動“互聯網+健康醫療”，共部署了14 項健康醫療大數據重點任務和重大工程，強化標準和安全體系建設，完善安全管理責任，提供安全有效的技術支撐；促進醫療平臺的分級開放、數據融合，建立臨床醫學數據示范中心，不斷完善應用標準體系；深化健康醫療臨床和科研數據應用，加強基因信息安全管理，明確信息使用權限，推進網絡可信體系建設，重視確保安全的原則。該文件是對《促進大數據發展行動綱要》的一個具體落實，極大地推進了醫學大數據安全保護。同年，國務院印發《“十三五”國家戰略性新興產業發展規劃》[11]，點明加快數據資源開放共享，強化大數據與網絡信息安全保障并推動人工智能在醫學領域的應用，試點建立居民健康影像檔案。2016 年，工信部也發布了《大數據產業發展規劃（2016—2020 年）》[12]，將醫療健康大數據研究與應用設為重要任務。這是在“十二五”的基礎上，全力推動醫學大數據及相關產業的發展，推進其標準體系建設，保障醫學大數據的安全可靠性。2018 年，國務院辦公廳印發《科學數據管理辦法》[13]，明確了對科學數據的采集、匯交與存儲，共享與利用，保密與安全等相關規定。同年，互聯網醫院的發展得以推進，進一步開放了醫學數據的共享交流。

由上述文件發布的時間可以看到，“十二五”期間，隨著我國信息產業的飛速發展，醫療衛生行業逐漸向信息化轉型，醫療衛生領域的信息技術不斷革新，積累了豐富的醫學數據資源，為“十三五”時期我國醫學大數據產業的發展奠定了堅實基礎。也是在這個背景下，我國根據各個時期的國情制定了不同的數據安全保護政策。

相較于西方發達國家2003 年已經形成的較為完整的醫學數據隱私保護法，如：美國的《健康保險攜帶和責任法案》（Health Insurance Portability and Accountability Act,HIPAA），我國針對醫學數據的安全規范起步較晚，在2011 年才形成了可行的監督機制。2015 年以后，隨著大數據戰略成為國家戰略，在醫學數據的安全治理上我國與國際上的差距明顯縮小，并在2018 年針對醫學大數據形成了具體的管理辦法。

2.2 就診數據建設情況分析

隨著對醫學數據安全治理的推進，我國相關的法律規范逐漸細化，從整體模糊性管理逐漸轉為按照醫學數據不同分類進行具體落實。針對就診數據，2014 年原國家衛計委印發了《人口健康信息管理辦法（試行）》，規范人口健康信息的收集、管理和共享利用，保障信息安全，支撐衛生計生事業科學發展。該辦法明確了人口健康信息的定義，對全員人口信息、電子健康檔案、電子病歷內容進行了規定；對信息收集、信息管理、信息利用、信息安全與隱私保護進行規范闡述。2017 年原國家衛計委和國家中醫藥管理局聯合發布的《電子病歷應用管理規范（試行）》中規定：對電子病歷數據進行存儲保護，并提供數據使用的追蹤溯源手段[14]。這極大提高了就診數據的數據安全及可靠性，在保證患者隱私的同時，使醫院對就診數據的使用共享更具規范性。有關醫療就診數據的安全治理，除了針對電子病歷管理的專門條例外，在醫院、醫師和醫療事故管理的條例中也有相關規定，如《醫療機構病歷管理規定（2013 年版）》第14 條規定：醫療機構應當嚴格病歷管理，任何人不得隨意涂改病歷，嚴禁偽造、隱匿、銷毀、搶奪、竊取病歷。《中華人民共和國執業醫師法》第23 條規定：醫師不得隱匿、偽造或者銷毀醫學文書及有關資料。《醫療事故處理條例》第9 條規定：嚴禁涂改、偽造、隱匿、銷毀或者搶奪病歷資料。這些條例都對如何管理、使用和保存病歷做了嚴格說明，多方保護患者就診數據的安全。

2.3 個人生物數據建設情況分析

針對個人生物數據，由于第三方檢測機構的介入，有效的監管更加難以執行。全國信息標準化技術委員會在這方面發揮了重要作用，它于2017 年發布《信息安全技術 個人信息安全規范》（以下簡稱《個人信息安全規范》），并于2018 年5 月1 日起正式實施。該標準的發布使得《網絡安全法》有了具體的操作標準，填補了國內個人信息安全保護實踐操作上的空白。該標準將個人生物識別信息、健康生理信息歸于個人敏感信息中，并對個人信息和個人敏感信息定義進行了完善，同時對個人信息存儲模塊進行了弱化處理，強化了敏感數據的加密或去標識化、數據保存時長最小化等[15]。該標準在2018年10 月啟動了第一次修訂并于2019 年6 月發布征求意見稿[16]。本次修訂主要是針對在第一版規范中個人信息收集、使用原則方面存在的欠缺，以及第三方收集使用個人信息的明確監管標準的補充。針對個人生物數據主要增加“不得強迫收集個人信息”的要求。2019 年10月，《個人信息安全規范》最新版征求意見稿對外發布。相比 6 月份的征求意見稿，新版征求意見稿新增一些規定，如手機應用軟件App 應提供簡便易操作的注銷功能，核驗身份時不得要求用戶提供超過注冊、使用時收集的個人信息，個人生物數據得到進一步的保護。2020 年3月，該規范發布2020 年新版本，相較于第一版和征求意見稿發布的版本，新版本對個人生物信息的收集、儲存及使用做出了更加嚴格的要求，明確規定第三方收集個人生物識別信息不僅需滿足在第一版中提及的“單獨告知”，同時還需“取得用戶明示同意”，這對第三方收集個人生物數據做出了更大的限制，進一步提高了用戶個人生物數據的安全性。同時，新版規范還明確了個人生物信息不共享，個人生物識別信息要與個人身份信息分開存儲等。2020 年新版本的《個人信息安全規范》對個人信息安全保護工作的落實操作有著重大意義，代表我國在個人生物數據安全治理上的一個重大突破[17]。

基因測序數據是個人生物數據中最難監管的一塊，其特點在于科技含量高，不僅關乎個人安全，與國家安全也息息相關。2018 年，國內幾家知名醫院與公司因未經倫理審核便與國外機構合作開展中國人的基因測序研究而受到處罰[18]，引起公眾的擔憂。基因數據的外泄極易引起針對個人或地區基因層面的歧視。2019 年6 月10 日，李克強總理簽署《中華人民共和國人類遺傳資源管理條例》，該條例于同年7 月1 日正式實施，明確了人類遺傳資源的采集、保藏、利用和對外提供的行為規范，服務和監督以及相應的法律責任。該條例的主要內容是系統強化對人類遺傳資源的規范管理、鼓勵對人類遺傳資源的合理利用、積極提升人類遺傳資源政務的服務能力。主要工作包括加強監管，對我國人類遺傳資料活動各環節進行監督檢查，發現違反條例規定的行為，及時予以處理并向社會公布檢查、處理結果[19]。該條例的實施，填補了我國在遺傳資源安全保護方面的法律空白，通過有效的監管，使得基因測序等遺傳資源數據能在保障數據安全的前提下開放共享。

由圖1 可以比較清楚地看到，我國針對醫學數據安全治理的法律法規建設在2014 年以前是比較遲緩的，僅有兩份綱領性文件，難以落到實處。而隨著大數據的興起，國家愈加重視醫療數據安全，并在2015 年將大數據戰略定為國家戰略，極大推動了我國醫學數據安全治理的法律法規建設進程。建設內容的重點由電子健康檔案、電子病歷數據庫建設等方面逐漸轉向建立健全醫學數據開放、保護制度，加強對標準和安全體系的建設，明確安全管理責任，在應用發展共享與安全之間平衡協調發展。同時，醫學數據安全治理也呈現逐漸細化管理的趨勢，由最初的建立衛生行業信息安全等級，到電子病歷管理規范，再到個人生物數據安全，再到最后的遺傳資源保護。隨著醫學數據安全治理的法制建設不斷細化與明確，操作更具有可行性，醫學數據的安全性保障大大提高。

圖1 國家層面醫學數據安全治理法律建設進程

3 地區層面法制建設情況現狀

在地區層面，除個別地區會作為國家政策和法規的先導試驗區外，大多數地區都是緊隨國家步伐，以國家意志為指導，結合各省特點，制定適合本地區的相關法律法規。

由于各省市的經濟發展不平衡，在醫學大數據安全治理的發展進程上有快有慢，但整體均呈現積極發展的態勢。其中以上海為代表的東部地區和以貴州為代表的西部地區最為典型。

3.1 東部地區代表——上海

上海是我國對外交流的一個極為重要的窗口，也是我國的經濟中心，在醫學大數據安全治理上的規范辦法具有代表性。早在2006 年上海市就啟動了以跨醫院臨床信息共享為目標的市級醫院臨床信息共享項目（即：醫聯工程），該項目在2008 年正式落地運行，使得全市范圍內的醫療機構得以共享數據，為建立居民全程式的健康服務奠定了基礎。該項目吸收了國外醫療信息系統的隱私保護經驗，限定醫師只能在接診狀態下才能借閱患者的病歷資料，同時提供了對調閱患者病歷的追蹤功能，提高了患者就診數據的安全性[20]。2009 年，上海市下發《醫療機構信息系統安全等級保護基本要求》，這是我國第一個針對醫院信息化進程中信息安全的具體保護辦法[21]。上海的醫院信息化及信息安全建設走在了全國的前列，對國家醫療行業的信息安全建設有著重要的推動作用，對國家于2011 年提出的《衛生行業信息安全等級保護工作的指導意見》具有重要借鑒意義[22]。2013 年，上海市政府發布《上海市進一步深化公立醫院體制機制改革三年行動計劃（2013—2015 年）》，該行動計劃進一步強調了加快衛生信息化建設，建設以電子病歷系統和電子健康檔案為核心的區域衛生信息網，實現醫療衛生機構互聯互通、業務數據源頭采集、監測數據自動生成，確保數據的客觀真實[23]。2014 年，上海基本建成“上海健康云平臺”，包括數據資源管理、服務資源管理、應用服務支撐、綜合管理及決策支持4 個子平臺和1 個知識庫，該平臺的建設標志著上海市基本完成醫院信息化建設，逐漸向醫學大數據轉型。2018 年，上海市政府發布《關于推進本市健康服務業高質量發展加快建設一流醫學中心城市的若干意見》。該意見提出要建立跨部門密切配合、統一歸口的健康相關數據共享機制，消除數據壁壘，探索社會化健康醫療數據信息互通機制；建立“分級授權、分類應用、權責一致”的管理制度，加快健康醫療數據安全體系建設，建立數據安全管理責任制度，制定科學分類、風險分級的信息安全審查制度和個人隱私保護制度；嚴格規范大數據開發、挖掘、應用，穩步推動健康大數據開放，發展健康大數據資源服務全產業鏈。該意見的發布是上海對醫學大數據的進一步探索，在保障醫學數據安全的前提下，積極尋求醫學大數據的開放共享，具有前瞻性[24]。

3.2 西部地區代表——貴州

貴州是我國西部地區大數據發展較好的省份。在2011 年和2012 年貴州省人民政府辦公廳分別發布《關于印發貴州省2011 年公立醫院改革試點工作方案的通知》[25]和《關于印發貴州省“十二五”期間深化醫藥衛生體制改革規劃暨實施方案的通知》[26]。兩個通知均提到要加快和全面推進醫院信息化建設，逐步完善以電子病歷建設和醫院管理為重點的醫院信息化網絡，但都沒有提及醫學數據的安全保護。相較于上海2006 年就提出建設“醫聯工程”，2009 年就推出《醫療機構信息系統安全等級保護基本要求》等醫學數據安全保護辦法，貴州明顯滯后。2014 年，貴州省人民政府印發《關于加快大數據產業發展應用若干政策的意見》和《貴州省大數據產業發展應用規劃綱要（2014—2020 年）》（以下簡稱《綱要》）[27]。這是貴州省對大數據建設的重要探索，明確指出了要建立集中統一的信息安全保障管理體制，由貴州省數據資源管理辦公室統籌信息安全保障體系建設，但是這兩份文件并沒有形成具體的大數據安全保護辦法，也沒有明確指出醫學大數據的安全保護。直到2016 年，貴州省人民政府辦公廳印發《貴州省應急平臺體系數據管理暫行辦法》[28]，將數據分為靜態數據和動態數據兩大類進行保護，其中動態數據包含了醫學診療數據。該辦法明確了對數據的采集、更新、應用、存儲和備份、安全和保密的具體方法，相比2014 年發布的《綱要》更具可執行性，但該辦法仍然沒有專門針對醫學數據進行保護，只是將其劃分為應急平臺體系數據中的一部分。2017 年對于大數據在貴州的發展是至關重要的一年，2017 年2 月貴州省大數據發展管理局成立，標志著貴州正式將大數據發展提升到全省發展中的重要位置[29]。同年，《關于促進和規范健康醫療大數據應用發展的實施意見》發布，從加強標準規范體系建設、加強健康醫療數據安全保障、加強健康醫療信息化人才隊伍建設三個方面全面加速推進健康醫療大數據安全保障體系的建成。該意見是貴州第一份專門針對醫學大數據安全保護的條例，標志著醫學大數據的安全治理在貴州步入正軌[30]。

地區層面有關醫學數據安全治理的法制建設雖不斷發展，但存在區域差異。由上文可以看出，以上海為代表的東部沿海城市的發展速度明顯優于以貴州為代表的西部內陸城市，最主要的原因是經濟發展水平和信息化發展水平不一。東部地區城市信息化基礎設施完備，信息化程度高，在醫學大數據的整合上有著天然的優勢，因此能更早推動醫學大數據的安全治理。其次，受國家政策影響，相當一部分高新技術產業都集中于東部沿海地區，這也使得東部沿海地區在發展醫學大數據的安全治理上更加便捷。

4 存在的問題及改進方向

過去十年，尤其是2016 年以來，我國國家層面和地區層面為保障數據安全、釋放數據紅利出臺了一系列政策法規和標準指南，為醫學數據的安全治理提供了堅實的法理依據。在進一步完善醫學數據安全治理的法律法規建設中，仍然存在一些急需改進的問題。

4.1 醫學數據安全治理概念不清晰，需獨立定義醫學數據

我國已出臺的法律法規條文基本上都將醫學數據視為個人信息的一部分。如，在全國信息安全標準化技術委員會制定的相關標準中，個人信息是指以電子或其他方式記錄的能夠單獨或與其他信息結合識別自然人身份的各種信息。個人信息包括醫學數據，例如指紋、虹膜、生物特征識別數據等。進行醫學數據安全治理，必須獨立、清晰地在法律法規中對醫學數據的內涵和外延進行界定，而不是籠統地包含在個人信息中。醫學數據的獨立定義，不僅能提升相關法律的針對性，同時也能推動專門的醫學數據安全治理部門的成立，這對醫學數據的采集、傳輸、存儲、共享、使用、銷毀等工作有極大的促進作用。

4.2 醫學數據安全保障機制不完善，需加強多方監管責任

眾多個人就診數據和生物數據的集合，蘊含著巨大的商業價值。這些數據在采集、存儲、傳輸、交互、使用過程中會涉及多方機構和多類人員，因此，醫學數據安全治理，需加強對所有涉及醫學數據的機構和人員的監管。醫療機構、第三方檢測機構、醫學數據平臺運維方、醫學數據采集設備提供商、醫學數據使用者等等，都是醫學數據安全監管的對象，同時，他們也都負有保護醫學數據安全的責任。只有在數據安全有保障的情況下，才可能進行醫學數據的開放共享，實現數據紅利。

4.3 醫學數據安全技術方案較陳舊，需及時補充新興技術

我國現有的國家層面和地方層面的法律法規條文中，有關醫學數據安全治理的技術方案仍停留在采用安全可靠的產品和服務，做好數據分級分類、數據去標識化、數據脫敏、數據備份、身份認證、訪問授權、行為追溯等方面，以防止數據被攻擊、篡改和泄露。最近幾年，各國加大了數據安全技術的研發投入，大量新的成果涌現并被應用于實踐中。在我國有關數據安全治理的法律條文中，應及時補充這些新興技術，如采用區塊鏈技術[31]存儲數據，建立可信執行環境[32]，利用聯邦學習、安全多方計算等方式對醫學數據進行分析挖掘。

4.4 醫學數據安全治理實施難到位，需制定專項法律法規

由于我國沒有醫學數據安全治理的專項法律法規，在實踐中，通常參照綜合性的各項指南、意見、條例、辦法執行，而這些文件對于醫學數據安全治理只是進行了原則性規定，可操作性不強，難以執行到位。而且，這些文件對于造成醫學數據安全事故的機構和個人也缺乏相應的法律問責。因此，我國迫切需要針對醫學行業特色，出臺醫學數據安全治理的專項法律，規定違法行為應當承擔的公法責任和私法責任，增強法律的強制約束性。

5 結語

隨著醫學數據泄露事件的不斷曝光，以及醫療機構、科研人員、保險公司、衛生行政主管部門等對醫學數據開放共享的迫切需求，我國醫學數據安全治理法制建設取得了快速發展。目前我國尚未建立完整的醫學數據安全治理法律體系，多數涉及醫學數據安全治理的內容常散見于法律、行政法規以及司法解釋中。近些年來雖出臺了醫學數據安全治理的相關政策，但離建立一套完整成熟的體系還存在一定的距離。醫學數據安全治理是一個長期、系統、復雜的工程。我國的醫學數據安全治理法制建設之路以中央牽頭的指導性文件或法規為中心，各地區緊隨其后，制定符合地區實際情況的法規，更好地維護醫學數據安全。在保持我國現有特色的基礎上，可以借鑒美國《健康保險攜帶和責任法案》（Health Insurance Portability and Accountability Act，HIPAA），將法律和行業自律結合起來，比如醫療保險行業、大型醫院、醫療商業機構等，使其更有針對性[33-34]。在未來的發展中，一套完整成熟的醫學數據安全治理法律體系可以為我國衛生行業信息化發展提供完備的國家保障，從而釋放醫學大數據的龐大紅利，促進我國健康事業和國民經濟發展。