《個人信息保護法》時代的醫(yī)療數(shù)據(jù)保護合規(guī)

來源：榕城網(wǎng)時間：2021-10-27 14:20:14

2021年11月1日起，《個人信息保護法》將正式施行，這標志著我國在個人信息保護方面制度更加完備，法律保障更加堅實。而醫(yī)療業(yè)作為與公眾個人信息密切相關(guān)的行業(yè)，對數(shù)據(jù)保護自然有著更高的要求，如何實現(xiàn)醫(yī)療行業(yè)數(shù)據(jù)合規(guī)，是所有醫(yī)療機構(gòu)都要面對的重要課題。

2021年10月26日下午，由廣東省醫(yī)院協(xié)會醫(yī)院信息化專業(yè)委員會與廣東智洋律師事務(wù)所聯(lián)合舉辦的“醫(yī)療個人數(shù)據(jù)保護合規(guī)優(yōu)化”專題學(xué)術(shù)沙龍在廣州順利舉辦。廣東省醫(yī)院協(xié)會副秘書長兼評審評價辦公室主任潘曉雷、廣東智洋律師事務(wù)所數(shù)據(jù)合規(guī)法律業(yè)務(wù)專業(yè)委員會主任朱寶石律師、德國認證數(shù)據(jù)保護官法比安·海恩茨先生等專家學(xué)者齊聚一堂，就《個人信息保護法》對醫(yī)療行業(yè)數(shù)據(jù)保護的影響、醫(yī)療機構(gòu)實現(xiàn)數(shù)據(jù)合規(guī)的意義、國內(nèi)外數(shù)據(jù)保護規(guī)則的異同等話題，進行了深入的探討與交流。

醫(yī)療大數(shù)據(jù)建設(shè)，數(shù)據(jù)合規(guī)不能缺席

廣東省醫(yī)院協(xié)會副秘書長兼評審評價辦公室主任潘曉雷在開篇致辭中表示：“《個人信息保護法》《網(wǎng)絡(luò)安全法》《數(shù)據(jù)安全法》共同形成我國數(shù)據(jù)安全與治理的‘三駕馬車’。我們有必要加強對‘醫(yī)療個人信息保護’專題的學(xué)習(xí)和交流。”

潘曉雷主任認為，智慧醫(yī)療、健康醫(yī)療大數(shù)據(jù)建設(shè)等都是當今醫(yī)療行業(yè)關(guān)注的重點課題，也是未來醫(yī)療行業(yè)的發(fā)展方向。然而醫(yī)療大數(shù)據(jù)建設(shè)越是深入，醫(yī)療機構(gòu)對于患者信息的掌握也就越發(fā)詳細，數(shù)據(jù)合規(guī)的重要性就越發(fā)凸顯。

潘曉雷主任還對本次沙龍的議程進行了介紹，對參會來賓表示了感謝。

醫(yī)療數(shù)據(jù)合規(guī)迫在眉睫，又任重道遠

會上，廣東智洋律師事務(wù)所數(shù)據(jù)合規(guī)法律業(yè)務(wù)專業(yè)委員會主任朱寶石律師以“《個人信息保護法》對醫(yī)院的影響及應(yīng)對——責(zé)任、風(fēng)險及合規(guī)與防范”為主題進行了專題演講。

演講開始，朱寶石律師以亞馬遜數(shù)據(jù)庫醫(yī)療數(shù)據(jù)外泄等多個國內(nèi)外關(guān)于醫(yī)療數(shù)據(jù)泄露、盜取的熱點事件為切入點，揭示了醫(yī)療行業(yè)數(shù)據(jù)保護存在的大量漏洞，也展示了醫(yī)療數(shù)據(jù)泄露可能導(dǎo)致的嚴重后果。他表示，與一般個人信息相比，醫(yī)療數(shù)據(jù)關(guān)乎每位患者的身心健康，因而更加敏感，醫(yī)療數(shù)據(jù)泄露所造成的影響也更大。如果一家醫(yī)療機構(gòu)發(fā)生了數(shù)據(jù)泄露事故，不僅會在經(jīng)濟上遭受重大損失、相關(guān)人員甚至可能被追究刑事責(zé)任。因此，對于每個醫(yī)療機構(gòu)而言，醫(yī)療數(shù)據(jù)合規(guī)都迫在眉睫。

隨后，朱寶石律師對我國醫(yī)療個人數(shù)據(jù)保護現(xiàn)狀及存在的問題進行了深入分析。朱律師介紹，根據(jù)國標委發(fā)布的《健康醫(yī)療數(shù)據(jù)安全指南》，醫(yī)療數(shù)據(jù)按照其敏感程度不同，可劃分為5個級別，不同級別的醫(yī)療數(shù)據(jù)的保護要求有所區(qū)別。然而在具體的操作與標準層面，國內(nèi)尚缺乏具體的指引性文件。而目前行業(yè)中的HIPPA、JCI等評審都利用了外國標準，可能涉及國家安全問題。不僅如此，我國健康醫(yī)療行業(yè)App的安全性也十分堪憂，高危漏洞多、惡意程序危害嚴重。此外，我國醫(yī)療機構(gòu)個人數(shù)據(jù)侵權(quán)投訴時或者面對相關(guān)糾紛時，缺乏系統(tǒng)性的處理和應(yīng)對措施，一旦發(fā)生爆發(fā)式數(shù)據(jù)泄露將難以應(yīng)對。因此，我國的醫(yī)療數(shù)據(jù)合規(guī)任重而道遠。朱寶石律師認為，醫(yī)療機構(gòu)應(yīng)當與技術(shù)公司以及法律服務(wù)機構(gòu)共同合作，才能真正實現(xiàn)醫(yī)療數(shù)據(jù)合規(guī)。

最后，朱寶石律師對我國即將施行的《個人信息保護法》進行了介紹與展望。他認為，我國的《個人信息保護法》對歐盟GDPR的許多內(nèi)容有所借鑒，同時也有著自身的亮點，比如構(gòu)建了以“告知-同意”為核心的個人信息處理規(guī)則、嚴格保護敏感個人信息、強化個人信息處理者的義務(wù)、與營業(yè)額掛鉤的處罰規(guī)則等等。未來，對于違反我國個人信息保護相關(guān)法規(guī)的機構(gòu)或個人，將可能同時承擔(dān)民事、行政、刑事方面的責(zé)任。

醫(yī)療數(shù)據(jù)保護的歐洲經(jīng)驗

“中國的數(shù)據(jù)保護法在數(shù)據(jù)主體權(quán)利或健康數(shù)據(jù)處理方面與GDPR類似”，法比安先生認為。

來自德國的數(shù)據(jù)保護專家法比安先生以“歐盟GDPR框架下的醫(yī)療個人數(shù)據(jù)保護”為主題進行了專題演講。

法比安先生介紹到，除了禁止向第三方披露醫(yī)療數(shù)據(jù)這類原則性規(guī)定外，GDPR對醫(yī)療機構(gòu)的數(shù)據(jù)保護會提出較為具體的要求。比如醫(yī)療機構(gòu)在處理患者健康數(shù)據(jù)時哪些情形下必須告知患者，又比如醫(yī)療機構(gòu)的每位員工所能訪問的數(shù)據(jù)權(quán)限范圍，再比如位于同一醫(yī)療網(wǎng)絡(luò)下的不同機構(gòu)數(shù)據(jù)如何進行內(nèi)部訪問，這些問題在GDPR中都有所規(guī)定。目前，中國的數(shù)據(jù)保護法在權(quán)利主體界定及保護原則等方面都與GDPR類似，對違反數(shù)據(jù)保護法的處罰力度也大體相當，但對于數(shù)據(jù)合規(guī)的具體要求和標準，仍有進一步完善的空間。在這方面，中國可以借鑒醫(yī)療數(shù)據(jù)保護的歐洲經(jīng)驗。

智洋助力醫(yī)療數(shù)據(jù)合規(guī)優(yōu)化

專家演講結(jié)束后，與會來賓就醫(yī)療數(shù)據(jù)保護的相關(guān)法律問題開展了深入討論，現(xiàn)場氣氛熱烈，也有大量觀眾通過在線直播的形式觀看了此次沙龍。在互動環(huán)節(jié)，朱寶石律師也對智洋數(shù)據(jù)合規(guī)業(yè)務(wù)進行了詳細介紹。

朱寶石律師介紹到，智洋律所早在2016年GDPR正式通過之日起，就對個人數(shù)據(jù)合規(guī)工作高度關(guān)注并投入大量資源。目前，其團隊已開發(fā)了完整的個人數(shù)據(jù)管理合規(guī)優(yōu)化法律服務(wù)體系，并與歐洲多家律所、咨詢公司、技術(shù)服務(wù)公司建立了友好合作關(guān)系。智洋律所的法律服務(wù)團隊可以通過盡職調(diào)查、設(shè)計合規(guī)手冊、開展員工培訓(xùn)、與技術(shù)團隊共同對醫(yī)療機構(gòu)規(guī)章制度、工作流程、信息系統(tǒng)進行優(yōu)化再造等方式，為不同行業(yè)的企業(yè)或其他機構(gòu)量身定做完整的數(shù)據(jù)合規(guī)管理體系。通過購買數(shù)據(jù)合規(guī)法律服務(wù)，企業(yè)或其他機構(gòu)不僅可以實現(xiàn)國內(nèi)與歐盟個人數(shù)據(jù)保護的雙重合規(guī)，也能確保自身的數(shù)據(jù)權(quán)益得到充分保護。