《個人信息保護法》時代的醫療數據保護合規

來源：榕城網時間：2021-10-27 14:20:14

2021年11月1日起，《個人信息保護法》將正式施行，這標志著我國在個人信息保護方面制度更加完備，法律保障更加堅實。而醫療業作為與公眾個人信息密切相關的行業，對數據保護自然有著更高的要求，如何實現醫療行業數據合規，是所有醫療機構都要面對的重要課題。

2021年10月26日下午，由廣東省醫院協會醫院信息化專業委員會與廣東智洋律師事務所聯合舉辦的“醫療個人數據保護合規優化”專題學術沙龍在廣州順利舉辦。廣東省醫院協會副秘書長兼評審評價辦公室主任潘曉雷、廣東智洋律師事務所數據合規法律業務專業委員會主任朱寶石律師、德國認證數據保護官法比安·海恩茨先生等專家學者齊聚一堂，就《個人信息保護法》對醫療行業數據保護的影響、醫療機構實現數據合規的意義、國內外數據保護規則的異同等話題，進行了深入的探討與交流。

醫療大數據建設，數據合規不能缺席

廣東省醫院協會副秘書長兼評審評價辦公室主任潘曉雷在開篇致辭中表示：“《個人信息保護法》《網絡安全法》《數據安全法》共同形成我國數據安全與治理的‘三駕馬車’。我們有必要加強對‘醫療個人信息保護’專題的學習和交流。”

潘曉雷主任認為，智慧醫療、健康醫療大數據建設等都是當今醫療行業關注的重點課題，也是未來醫療行業的發展方向。然而醫療大數據建設越是深入，醫療機構對于患者信息的掌握也就越發詳細，數據合規的重要性就越發凸顯。

潘曉雷主任還對本次沙龍的議程進行了介紹，對參會來賓表示了感謝。

醫療數據合規迫在眉睫，又任重道遠

會上，廣東智洋律師事務所數據合規法律業務專業委員會主任朱寶石律師以“《個人信息保護法》對醫院的影響及應對——責任、風險及合規與防范”為主題進行了專題演講。

演講開始，朱寶石律師以亞馬遜數據庫醫療數據外泄等多個國內外關于醫療數據泄露、盜取的熱點事件為切入點，揭示了醫療行業數據保護存在的大量漏洞，也展示了醫療數據泄露可能導致的嚴重后果。他表示，與一般個人信息相比，醫療數據關乎每位患者的身心健康，因而更加敏感，醫療數據泄露所造成的影響也更大。如果一家醫療機構發生了數據泄露事故，不僅會在經濟上遭受重大損失、相關人員甚至可能被追究刑事責任。因此，對于每個醫療機構而言，醫療數據合規都迫在眉睫。

隨后，朱寶石律師對我國醫療個人數據保護現狀及存在的問題進行了深入分析。朱律師介紹，根據國標委發布的《健康醫療數據安全指南》，醫療數據按照其敏感程度不同，可劃分為5個級別，不同級別的醫療數據的保護要求有所區別。然而在具體的操作與標準層面，國內尚缺乏具體的指引性文件。而目前行業中的HIPPA、JCI等評審都利用了外國標準，可能涉及國家安全問題。不僅如此，我國健康醫療行業App的安全性也十分堪憂，高危漏洞多、惡意程序危害嚴重。此外，我國醫療機構個人數據侵權投訴時或者面對相關糾紛時，缺乏系統性的處理和應對措施，一旦發生爆發式數據泄露將難以應對。因此，我國的醫療數據合規任重而道遠。朱寶石律師認為，醫療機構應當與技術公司以及法律服務機構共同合作，才能真正實現醫療數據合規。

最后，朱寶石律師對我國即將施行的《個人信息保護法》進行了介紹與展望。他認為，我國的《個人信息保護法》對歐盟GDPR的許多內容有所借鑒，同時也有著自身的亮點，比如構建了以“告知-同意”為核心的個人信息處理規則、嚴格保護敏感個人信息、強化個人信息處理者的義務、與營業額掛鉤的處罰規則等等。未來，對于違反我國個人信息保護相關法規的機構或個人，將可能同時承擔民事、行政、刑事方面的責任。

醫療數據保護的歐洲經驗

“中國的數據保護法在數據主體權利或健康數據處理方面與GDPR類似”，法比安先生認為。

來自德國的數據保護專家法比安先生以“歐盟GDPR框架下的醫療個人數據保護”為主題進行了專題演講。

法比安先生介紹到，除了禁止向第三方披露醫療數據這類原則性規定外，GDPR對醫療機構的數據保護會提出較為具體的要求。比如醫療機構在處理患者健康數據時哪些情形下必須告知患者，又比如醫療機構的每位員工所能訪問的數據權限范圍，再比如位于同一醫療網絡下的不同機構數據如何進行內部訪問，這些問題在GDPR中都有所規定。目前，中國的數據保護法在權利主體界定及保護原則等方面都與GDPR類似，對違反數據保護法的處罰力度也大體相當，但對于數據合規的具體要求和標準，仍有進一步完善的空間。在這方面，中國可以借鑒醫療數據保護的歐洲經驗。

智洋助力醫療數據合規優化

專家演講結束后，與會來賓就醫療數據保護的相關法律問題開展了深入討論，現場氣氛熱烈，也有大量觀眾通過在線直播的形式觀看了此次沙龍。在互動環節，朱寶石律師也對智洋數據合規業務進行了詳細介紹。

朱寶石律師介紹到，智洋律所早在2016年GDPR正式通過之日起，就對個人數據合規工作高度關注并投入大量資源。目前，其團隊已開發了完整的個人數據管理合規優化法律服務體系，并與歐洲多家律所、咨詢公司、技術服務公司建立了友好合作關系。智洋律所的法律服務團隊可以通過盡職調查、設計合規手冊、開展員工培訓、與技術團隊共同對醫療機構規章制度、工作流程、信息系統進行優化再造等方式，為不同行業的企業或其他機構量身定做完整的數據合規管理體系。通過購買數據合規法律服務，企業或其他機構不僅可以實現國內與歐盟個人數據保護的雙重合規，也能確保自身的數據權益得到充分保護。