醫療區塊鏈技術運用的法律規制探究

劉惠明,潘珺瑜

(河海大學法學院,江蘇 南京 210024)

隨著科學技術的不斷發展,醫療領域越來越智慧化,醫療數據也呈現井噴式增長的趨勢,當前大部分機構采用的都是集中式的數據共享方式,通過集中數據源來實現醫療數據的共享[1]。但實踐表明,傳統集中式的數據共享方法并不能很好地適應當前復雜的醫療數據環境,由于沒有統一的方式與標準,容易出現信息孤島化的現象,使得共享的目的難以實現。在信息化程度加深的當下,公民個人也更注重個人電子信息的保護,而傳統的集中式存儲方式容易導致數據丟失或者被篡改,并不能保證醫療數據的安全可靠。一方面,數據所有者希望能夠控制他們的數據以及隱私;另一方面,數據消費者要求有方法來了解何時、如何以及誰產生了數據[2]。因此,需要引入基于區塊鏈技術和代理再加密的去中心化的數據治理框架。與傳統的數據儲存、傳遞方式相比,區塊鏈技術的去中心化以及不易被篡改的特征更符合醫療領域對于數據存儲與傳遞的要求。但區塊鏈技術在運用的過程中,現有的法律制度并不能很好地規制區塊鏈技術。本研究借助學校各類電子資源,包括中國知網以及ISI、Web of Science(SCI)等數據庫,以“醫療區塊鏈”“法律規制”“數據保護官”“監管沙盒”等為關鍵詞進行搜索,了解區塊鏈的結構以及在醫療領域的實際運用,了解現階段法律規定的滯后之處,從國內外現有的解決方式中結合醫療領域的實際情況給出可行的法律規制途徑。并通過對現有法律規范進行梳理,找出醫療區塊鏈技術在運用過程中存在的法律規制缺陷,結合我國現有的立法模式以及英國在數據保護層面的法律經驗,提出了針對醫療區塊鏈技術的法律規制途徑。

1 區塊鏈技術在醫療領域的運用

1.1 區塊鏈結構

區塊鏈技術運用了密碼學中的哈希算法,即將任意長度的字符串轉換成固定長度的輸出,此輸出值被稱為哈希值。在區塊鏈中通常不保存原始數據,而是保存該數據的哈希值。除了哈希算法,區塊鏈技術還利用了非對稱加密技術,該技術需要密鑰的公鑰和私鑰成對出現。公鑰公開、私鑰保密,區塊鏈上公鑰加密的信息只有對應的私鑰才能解密[3]。這種技術允許存儲在區塊鏈節點中的記錄和數據是不可破壞的,并允許來源跟蹤它,保持源信息的隱藏[4]。區塊長鏈中的每一個區塊都由區塊頭和區塊交易記錄組成,每個區塊的區塊頭都是對上一區塊的區塊頭的區塊交易記錄計算哈希值而得到的。通過每個區塊存儲上一區塊的哈希值,將所有區塊按順序連接起來即可得到區塊鏈,具體如圖1所示。因為區塊鏈長鏈式的結構讓其具有不可篡改的特性,對區塊鏈中任意一個區塊信息的修改,不僅需要修改該區塊中的交易記錄,還需要修改下一個區塊中區塊頭的哈希值。而上一區塊中區塊頭哈希值的改變必然導致下一區塊中哈希值的變化,故對任一區塊交易記錄的篡改,需要修改從該區塊到最后一個區塊所有的信息,這個工程的工作量巨大,且很難不被發現。

圖1 區塊鏈結構

區塊鏈還具有“去中心化”的特征,其本質是建立分布式群體共管結構以及防止大規模數據擁塞的流通渠道,確保用戶可以平等并且便捷地加入區塊鏈鏈條之中[5]。要完成這一點運用到了區塊鏈的“分布式賬本”“非對稱加密”“共識機制”“智能合約”技術:分布式賬本是一種在網絡成員之間共享、復制和同步的數據庫;共識機制是指網絡中的所有節點間如何達成共識的認證原則;智能合約是一種執行合同的計算機協議,允許在沒有第三方的情況下進行可追蹤的可信交易[6]。

1.2 區塊鏈技術在醫療領域的運用

在醫療領域應用區塊鏈技術是醫療領域發展的一個趨勢,區塊鏈技術也將重塑醫療行業信息化的未來。區塊鏈技術不僅可以實現電子醫療病歷的共享,而且在藥品溯源、醫聯體等多個醫療領域都可以運用該技術。區塊鏈技術在醫療行業的具體運用如圖2所示。

圖2 醫療區塊鏈技術

1.2.1 電子病歷存儲與共享

區塊鏈技術在電子病歷中的應用是醫療區塊鏈技術運用的重點。2019年9月四川省委建委發布《關于推進智慧醫療融合發展的指導意見》[7],該《意見》指出要建立基于區塊鏈的電子病歷系統以提升電子病歷共享的安全性以及及時性。通過區塊鏈技術,醫院可以將患者的醫療信息保存在區塊鏈上,再利用非對稱加密技術,醫生或者其他機構可以通過公鑰訪問區塊鏈查看患者的醫療行為,而患者個人可以通過私鑰查看自己的醫療信息[8]。2019年,上海仁濟醫院通過區塊鏈技術初步實現異地電子病歷的共享,同年上海市人民醫院與安徽省立醫院共建區塊鏈電子病歷[9]。2021年,浙江大學醫學院附屬邵逸夫醫院正式上線了區塊鏈醫療應用[10]。可以說,基于區塊鏈的電子病歷研究和實踐應用創新非常活躍。

1.2.2 藥品溯源與防偽

傳統藥品在生產以及流通過程中,通常會存在數據被篡改的情況,這是因為傳統數據是集中存儲于中心數據庫,數據在上傳以及共享的過程中均有被篡改的風險[11]。利用區塊鏈技術的可追溯性以及不可篡改性,構建藥品溯源系統,將藥品的來源出處、流轉歷史記錄、歸屬地都會被忠實地記錄在鏈,全程追蹤藥品信息,一旦出現違法操作都將有源可溯[12]。

1.2.3 醫保支付結算與監督

醫療保險種類繁多、報銷環節復雜致使醫保費用清算時間過長,可借助區塊鏈智能合約技術完成醫保費用自動清算[13]。再將整個醫保支付結算過程關鍵信息上鏈,包括參保人身份信息、交易信息、結算信息以及清算信息等,醫保管理部門對整個過程進行監管,確保數據信息的可追溯性以及安全性,并且支持后期安全審計工作和司法存證[14]。

區塊鏈技術在醫療領域得到了迅速發展,但也存在一些問題。例如,與此相關的市場監督以及政策監督都還比較落后,缺乏頂層設計;密鑰的管理存在安全隱患,如果密鑰丟失,用戶也將無法訪問區塊鏈。

2 醫療區塊鏈技術運用的法律挑戰

醫療區塊鏈技術以其去中心化、不可篡改性、匿名性為醫療領域的信息互通、數據傳遞等提供了新的可能,但基于法律規定的滯后性,區塊鏈技術適用現行法律法規時往往存在沖突。

2.1 醫療區塊鏈技術運用是否適用《個人信息保護法》存在爭議

我國現行《個人信息保護法》于2021年11月開始施行,為我國個人信息保護提供了法律依據,但醫療區塊鏈技術的運用是否適用個保法學界尚存在爭議。《個人信息保護法》規定個人信息是可識別的信息,不包括匿名化后的信息。但醫療區塊鏈中并不保存原始數據,而只是保存該數據的哈希值,每一哈希值都是不固定的字符串,故就該字符串是否屬于法律所保護的可識別的個人信息的問題,學者之間的觀點也存在巨大分歧,法律也并未對此進行規定。一方面,有學者認為該字符串無法進行逆向工程,不具有可追溯性,故而認為其具有匿名性不屬于個人信息[15]。另一方面,有學者認為雖然該字符串并不能進行逆向工程,但數據信息與數據信息主體之間仍然存在固有聯系,可以通過“容易比照”或“暴力攻擊”來識別和追溯原始信息主體,所以認為該字符串屬于個人信息[16]。

2.2 醫療區塊鏈技術帶來的監管問題

2.2.1 監管主體不具有針對性

《個人信息保護法》第五十八條規定提供重要互聯網平臺服務、用戶數量巨大、業務類型復雜的超大型互聯網平臺應當按照法律規定建立由外部成員組成的監管機構監督個人信息保護情況。但是根據《個人信息保護法》以及互聯網平臺分類分級指南,運用醫療區塊鏈技術的病患、醫療機構以及衛生監管部門等都不符合超大型互聯網平臺的構成條件,因此其監管機構只能是普通的個人信息處理監管機構即國家網信部門,而不能是專門的監管主體。但是醫療數據運用到不同的應用場景,對數據質量、安全的要求也不盡相同,國家網信部門不具備醫療的專業知識,無法就不同應用場景的醫療數據作出具有針對性的監管。

2.2.2 缺乏監管依據和義務主體

國家網信部門在監管醫療區塊鏈技術的適用時不能超出《個人信息保護法》一般性規范,但醫療區塊鏈技術在適用《個人信息保護法》時存在內源性沖突。

我國現行的《個人信息保護法》的本質依舊是中心化的數據管理模式,采用的是讓特定的義務實體承擔法律責任的方式來進行法律規制。但醫療區塊鏈本質是群體性共管結構,目的是讓各醫療機構等通過醫療區塊鏈來實現信息互通。鏈上主體繁雜,且對于區塊鏈技術中義務主體的認定,截至目前仍未找到行之有效的解決方法,想要通過讓特定義務主體承擔法律責任的監管方式難以得到有效落實。且就算找到特定的義務主體,但因為通過網絡即可加入區塊鏈,隨之而來管轄問題,也很容易造成司法資源的浪費。

2.2.3 醫療區塊鏈技術對權利救濟的挑戰

《個人信息保護法》第六條以及第八條規定了收集、處理個人信息應當采用對個人影響最小的方式以及保證個人信息的質量的原則。第十三條以及第十五條規定個人有權同意個人信息處理者處理其個人信息,也有權撤回其同意。以上條款規定了個人有權對自己的個人信息作出修改、刪除等權利。但是醫療區塊鏈技術的運用是為了實現電子病歷的共享以及藥品溯源等,這就要求區塊鏈上的數據以全面具體為標準,且需要具有不可篡改的特征以保證數據的全面性以及準確性。醫療區塊鏈技術讓信息所有者已有的被遺忘權以及修改權等權利救濟途徑無法得到落實,需要盡快確立全新的管理理念和立法要求。

2.2.4 對醫療區塊鏈技術的認知不足

區塊鏈技術的去中心化是對傳統醫療數據共享方式的一種顛覆,在傳統集中式信息共享過程中,通常醫療機構和保險機構等對于患者的數據信息處于壟斷地位。這種傳遞方式通常伴隨著信息不對等,但區塊鏈技術的分布式存儲結構給予了患者個人對于自己的數據信息的決定權,讓患者個人也參與到信息傳遞的過程中。但是,基于區塊鏈技術的數據傳遞與共享涉及密碼學、醫學、信息科學等多個學科,這對使用者提出了高要求,也導致了醫療機構等對醫療區塊鏈技術的運用存在諸多顧慮。

3 區塊鏈技術運用于醫療領域的法律規制途徑展望

數據作為新型生產要素,是驅動數字經濟發展的基礎。但不可否認的是,隨著科技發展數據傳遞越來越便捷的同時,數據安全問題也隨之而來。在醫療區塊鏈技術運用帶來便捷的同時,也應該意識到具體的成文法規并不能一一規制隨著技術發展而不斷創新的新興技術,對于醫療區塊鏈的法律規制應當依靠原則而非規則。

2022年12月2日國務院印發《關于構建數據基礎制度更好發揮數據要素作用的意見》要求充分發揮政府的引導作用,明確監管紅線,但同時也要建立健全鼓勵創新、包容創新的容錯糾錯機制[17]。法律規范如何平衡數據安全與技術創新之間的張力,避免因監管不力致使安全風險累積,或過度監管制約創新,是當前數據安全治理的重要課題[18]。從比較法視域觀察,起源于金融科技治理領域的監管沙盒制度以及“多原則、少規則”的治理思路是有效平衡數據創新與安全的治理工具。例如,針對醫療區塊鏈技術對權利救濟帶來的挑戰,可以在沙盒監管模式下嘗試不同的規則,在比較中完善法律,也給技術發展留下空間。同時,也可借鑒歐盟《一般數據條例》(以下簡稱“GDPR”)中關于數據保護官的有關規定設立數據安全負責人制度[19]。當然更主要的還是需要重塑基于醫療區塊鏈的價值認知。

3.1 通過軟性規制實現技法共治

區塊鏈技術作為一個分布式的共享數據庫為醫療信息共享提供了技術基礎,但權力的過度分散有時反而會造成分裂或者混亂,應當將法律與區塊鏈加以結合,實現技術與法律的效果均衡[20]。但現階段直接規制區塊鏈技術的法律法規只有國家網信辦發布的《區塊鏈信息服務管理規定》[21],但該規定只作出了籠統的規定,并未對區塊鏈技術的治理作出細致性的規定。除此以外,還可以通過《個人信息保護法》對區塊鏈技術進行規制,但上文提到區塊鏈中的字符串是否屬于個保法所規制的個人信息尚存在爭議。另外,區塊鏈的去中心化以及不可篡改性等特點讓利用區塊鏈技術傳遞的數據可以擺脫地域甚至于國家的限制,并且基于區塊鏈的去中心化情況下將無法找到特定的義務主體。區塊鏈的這些特點與法律的強制性規定是矛盾的,用傳統硬性規范的管理模式來管理區塊鏈已然不合適,而是需要通過協商達成共識的機制,實現代碼治理與法理治理的高度統一、形式法治與實質法治的統一,從而構建智能社會的法律秩序[22]。關于區塊鏈治理模式,美國針對金融科技監管提出了“多原則、少規則”的治理思路。美國商品期貨交易委員會提出針對數字資產的監管應當以原則性規范為主,由企業自行設定滿足原則的內部規范,以行業自律的形式完成自我管理[23],這種監管方法可為大數據時代下產生的新型糾紛提供更加靈活的解決方式。

醫療區塊鏈技術可以借鑒以上治理模式,可以由法學學者、醫療從業人員、保險機構人員、政府部門人員等共同參與起草法律法規,但主要應以原則性規范為主,再由醫療機構以及保險機構等具體制定既滿足原則又滿足需求的內部規范以及行業標準,通過行業自律和行業監管的方式進行自我管理。例如,可在法律法規中規定醫療信息上傳者的使用以及權限需要得到授權,而具體的授權方式以及權限可以由機構自行決定。并且法律法規可以對上傳的原始數據信息確立格式以及內容上的要求,行業規范可以繼續進行更細一步的規定。而在出現監管問題時,政府部門應當及時聯合法學學者、醫療、保險機構人員等多方主體就具體問題的解決進行協商達成共識。這樣的管理模式,既可以應對醫療區塊鏈技術在實際應用中可能產生的多種可能,也促進了醫療區塊鏈技術的不斷發展。

3.2 設立數據安全負責人制度

現階段采用的是找到特定義務主體來承擔法律責任的法律規制模式,但目前尚未有方法確定區塊鏈的義務主體。對此可參照歐盟GDPR那樣規定數據保護官制度,將監管機構對于特定義務主體的監管責任內化為醫療機構等內部數據安全負責人的數據安全保障義務。這樣便可以基于更加靈活的行業規范或者守則來進行自律管理。

歐盟GDPR規定數據保護官是對數據控制者或數據處理者內部的數據處理活動進行監督以及加強數據收集處理環節中的保護力度的人[24]。我國現行法律中并沒有像歐盟GDPR一樣直接規定數據保護官,但是也在相關法律法規中規定了類似個人數據管理職位。例如《中華人民共和國數據安全法》中規定:重要數據的處理者應當明確數據安全負責人和管理機構,落實數據安全保護責任。《中華人民共和國網絡安全法》中規定:制定內部安全管理制度和操作規程,確定網絡安全負責人,落實網絡安全保護責任。除了法律法規外,也有相關的國家標準規定了類似的職位,例如國標《信息安全技術個人信息安全規范》規定:應任命個人信息保護負責人和個人信息保護工作機構[25]。盡管上述法律法規規定的個人數據管理職位的名稱各不相同,但是都表明了應當讓專業人士對數據處理的行為進行監督并確保數據信息安全的意圖。但是上述兩部法律也只是對此類崗位進行了籠統性的規定,只有國標《信息安全技術個人信息安全規范》就個人信息保護工作機構以及相關人員的職責作出了具體的規定。國標僅是國家以及行業標準,且非強制性國家標準,僅僅以國標作為依據不是長久之計。

法律法規應確定設立數據安全負責人制度,并在制定時確定相應的權利以及義務。第一,法律需要規定安全負責人的職責,可以只是比較籠統的職責,主要包括解答提供患者或者其他人員關于該技術的相關問題、確保醫療數據處理行為符合法律規定以及對醫療數據保護影響評估報告提出建議和意見并跟進和監管評估的實施等。第二,可以在法律法規中明確該崗位的任期,例如歐盟Regulation 45/2001中規定:數據保護官的任期是二至五年,可以連任,但最多不可超過十年;當其不再滿足數據保護官的任職條件時,經過歐盟數據監管局的同意可以被解雇[26]。第三,因為醫療區塊鏈技術涉及多個學科,這不僅要求安全負責人對區塊鏈技術的工作原理以及醫療領域有一定了解,也需要了解相關的法律法規,以便于監督數據處理行為。法律法規中可以規定對安全負責人進行定期有關醫療知識、法律知識以及數據安全知識相關的培訓,使與區塊鏈技術相結合的醫療數據處理行為更加具有專業性。第四,法律法規也需要規定安全負責人未完成本職工作的懲罰措施,例如可以按照結果進行相應的罰款,如果行為涉及犯罪應及時報警。當然,法律法規也需要留下空間給予相關機構制定行業標準或者單位標準的自由。醫療以及保險機構等可以根據本單位的需求在法律法規的范圍內對其進行細化,例如負責人的職責以及任期都可以根據需求進行細化,針對安全負責人有關知識的培訓也應該給出更加詳細的計劃與安排。

3.3 創新監管理念,構建沙盒監管制度

2023年1月1日,國家發改委提出要著力建立數據要素治理制度,既要鼓勵企業發揮首創精神,又要建立有效的“數據沙箱”機制防范化解重大風險[27]。區塊鏈技術正是處于蓬勃發展的時期,對區塊鏈技術的運用進行規制要避免傳統法律規制下“一管就死,一亂就放”的零和陷阱,同時也要在法律框架下保留技術創新的空間,給法律法規的不斷完善留下空間。沙盒監管是2015年英國金融監管局率先提出的創新監管理念[28]。該監管模式具體是指面向金融創新產品或服務建立一個受監督的安全測試區,由監管部門按照適度簡化的準入標準和流程,允許金融科技企業在有限業務牌照下,利用真實或模擬的市場環境開展業務測試,以此降低監管的不確定性。在沙盒監管模式下,可以在充分考慮區塊鏈特征的基礎上,制定符合區塊鏈特征的監管方式,并在該模式下進行嘗試并不斷完善監管方式。例如,針對《個人信息保護法》第47條中的“刪除個人信息難以實現”這一點,德國規定可以用限制處理替代刪除數據。除此以外法國的相關規定也提到控制者可以通過使數據難以接觸而達到刪除數據的效果。可以在沙盒監管模式下嘗試不同的規則,在比較中完善法律,也給技術發展留下空間。

與傳統監管模式不同的是,沙盒監管模式下利益相關方被允許進入監管框架,各主體間的協商互動更體現了包容審慎的原則,是對傳統嚴格管控型法律規制的解構,也弱化了政府機關集權治理和以政府為中心的治理理念,本質上也是“去中心化”的過程[15]。

3.4 重塑基于醫療區塊鏈技術的價值認知

在傳統醫療信息傳遞方式下,醫療機構以及衛生監管部門等對于患者個人的醫療數據的掌控相較于患者個人而言處于領導地位,并且患者個人無法掌握電子化可放大的檢查信息,患者在跨區治療以及轉院時很多情況都需要再次進行檢查。但隨著互聯網時代的到來以及區塊鏈技術的發展,平等以及共享成為當前數據傳遞的主要特征。

為了適應當前社會以及醫療行業的發展趨勢,一方面,應當打破傳統數據共享方式下相關部門對于醫療數據信息的壟斷,加強對醫療、保險機構以及患者個人等的價值引領,強調數據信息的參與以及共享應當是平等的且面向未來的,將共享的觀念貫徹落實到實處;另一方面,應當鼓勵醫療、保險等機構的相關人員使用區塊鏈技術,不僅僅要提升與自身行業有關的理論和技術實踐水平,而且要提高在新的技術層出不窮的背景下對新技術和醫療結合的敏感度,最大程度上實現科技改變生活的目的。相關政府機構也應該提供讓相關人員進行系統性培訓使用區塊鏈技術的機會,可以開設區塊鏈技術培訓的課程并確保各單位都接受到了專業且有針對性的培訓。

4 結語

隨著大數據技術在醫療領域的運用與發展,患者醫療數據的傳遞更加便捷是大數據技術的一個重要體現,但是也容易引發數據泄漏問題。區塊鏈技術以其去中心化、不可篡改性等特點被運用于醫療領域,可以在極大程度上解決數據共享的難題,但是區塊鏈技術作為新興技術,與傳統法律規范的適用存在矛盾,故需要創新監管理念、在現有的法律體系之上探索適用于區塊鏈技術的法律規范,不僅需要給新技術留有創新與發展的空間,同時也在技術發展過程中不斷完善法律規范、實現技法共治。