韩作为、李宏芳、赵韡 / 中国数字医学

数据在医疗服务发展中扮演着重要的角色，随着现代医疗技术的高速发展，个人健康医疗数据面临着越来越多的安全挑战，《中华人民共和国个人信息保护法》实施以来，行业对个人信息保护的意识和认识提升到了新的高度。本研究在分析医疗机构个人信息特点及其面临的网络安全威胁的基础上，提出了个人信息保护合规体系建设思路。

医疗健康信息是我国重要的基础性战略资源，其应用与发展将会带来健康医疗模式的深刻变化，是提升医疗服务效率和质量，满足人民群众对健康的需求，实现“健康中国”战略的基础。在医疗服务中，通过对医疗健康信息的共享调阅有助于整合医疗资源，提高医疗服务效率和质量，节省患者医疗费用支出[1]。医疗行业信息化快速发展及医疗数据的深度应用，使得潜在的系统性安全风险及法律风险逐步增大。通过“系统”视角，从组织、制度、资产、技术等方向协同构建医疗机构个人信息保护合规体系满足国家及行业监管要求，筑牢安全发展底线，是医疗机构高质量发展的必经之路。

1.医疗机构的个人信息及其特点

1.1 医疗健康信息与个人信息

医疗健康信息的来源包括病患数据、病历信息、医疗保险信息、健康日志、基因遗传、医学实验、临床数据、体外诊断产品（in vitro diagnostic products，IVD）及第三方检测数据、科研数据等。多数医疗健康信息属于个人信息中的敏感信息，是与国家安全、经济发展以及社会公共利益密切相关的重要数据[2]。因此，除了匿名化处理后的医疗健康信息外，以电子或者其他方式记录的已识别或者可识别的自然人有关的医疗健康信息，均属于个人信息及敏感个人信息，本研究讨论的医疗机构个人信息特指医疗机构活动过程中处理的患者个人医疗健康信息。

1.2 医疗健康信息的特点

1.2.1 兼具隐私特性与高价值性

医疗机构个人信息多数为个人健康信息，相比其他领域的个人信息（个人联系方式、住址、财务信息等）隐私程度更高，医疗健康信息从患者的个人基本信息（姓名、性别、联系方式、地址等）到检查检验结果、诊断结果、治疗信息以及手术信息等，任何泄露均会给患者造成非常不利的影响，除了给个人造成心理损伤外，还会给家庭和社交关系带来伤害，患者也极易被勒索。再者，医疗健康信息应用有助于整合医疗资源，提高医疗服务效率和质量，节省患者医疗费用支出，同时，由于个体的差异，特殊的单体病案数据也具有极高的研究价值[3]。

1.2.2 应用范围广且管理难度大

医疗健康信息应用过程中涉及医疗服务、健康管理、疾病预防与控制、精准医疗与药物研发、管理决策等多个应用场景，不同的应用场景对数据质量、安全的要求不同。除此之外，医疗健康信息涉及角色范围广，医疗机构作为一个受到严格管制的行业，需要和医保、卫生健康委、疾控中心、质控中心等众多机构进行数据交换和汇报。在医疗机构内部，个人信息的业务管理部门、业务部门、信息化部门，在数据全生命周期中，所承担的安全防控责任不同，提升了医疗健康信息保护的管理难度。

2.个人信息面临的网络安全问题

医疗健康信息作为我国重要的基础性战略资源，加之本身具有隐私性与高价值性，使得医疗机构个人信息面临着内外部的双重安全威胁。

2.1 外部威胁组织化

2020年4月，世界卫生组织发表声明称：医疗机构在疫情期间遭受网络攻击数据同比增长5倍。疫情发生后，医疗卫生行业史上首次超过政府、金融、国防、能源、电信等领域，成为全球高级可持续威胁攻击（advanced persistent threat，APT）活动关注的首要目标。与传统黑客攻击相比，APT攻击最显著的特点是其攻击行为组织化，攻击方式从通用攻击转向专门定向攻击。组织化的攻击具有更强的隐蔽性，潜伏时间更长，攻击目标更加明确，攻击与防护方实力严重失衡，给医疗机构现有的安全防护机制带来巨大的压力[4]。

2.2 内部机制有待完善

《医疗行业网络安全白皮书（2020年）》显示大部分医疗信息系统没有完善的数据保护机制，因医疗信息系统被入侵而导致的信息泄露事件多次发生。究其内部原因，未形成职能分工明确的个人信息保护组织以及体系化的个人信息保护规章制度[5]。内部机制及制度不完善，使得在医疗机构个人信息保护工作落地过程中无有效推动力。

3.建立个人信息保护合规体系的意义

3.1 满足国家、行业法规要求 《中华人民共和国个人信息保护法》与《中华人民共和国网络安全法》《中华人民共和国数据安全法》共同构成网络安全的“三驾马车”，三法并行，使我国个人信息保护领域监管更加体系化。对医疗机构来说，鉴于自身独特的行业属性及巨大的社会关注度和影响力，无疑会成为国家个人信息保护的重点监管行业[6]。《中华人民共和国基本医疗卫生与健康促进法》明确规定：“国家保护公民个人健康信息，确保公民个人健康信息安全”，确定了医疗行业保护个人信息的主基调。通过《人口健康信息管理办法（试行）》《远程医疗服务管理规范（试行）》《国家健康医疗大数据标准、安全和服务管理办法（试行）》等行政法规要求，建立了行业个人信息收集、传输、存储、使用等全生命周期的监管要求。鉴于此，建立个人信息保护合规体系保障医疗健康信息安全，是国家及行业的合规要求。

3.2 筑牢医疗机构安全发展底线

近年来，全球范围内针对医疗卫生机构的网络攻击激增，外部威胁组织化使得行业面临的网络安全形势越来越严峻，个人信息泄露将会给医疗机构的安全带来严重的法律问题和社会影响，因此，建立合规体系保障个人信息安全是医疗机构安全发展的基本底线。

3.3 保障医疗服务高质量发展

随着人工智能在医疗行业的广泛应用，发掘医疗数据潜在价值，成为现代医疗发展考虑的重要课题之一。算法、算力及数据作为人工智能的三大支柱，发挥的作用各不相同。但是，各组织利用算法及算力构建人工智能应用，本质上的差别不大，数据将会是人工智能在医疗行业广泛应用的突破口。如何在保障安全合规的基础上更好地利用数据将成为医疗业务发展的重要变量。

4.建立个人信息保护合规系统的思路

鉴于医疗健康信息的隐私性、高价值性以及成熟的监管环境，如何有效落实监管要求，实现医疗机构个人信息保护与数据开发利用之间的平衡，显得尤为迫切。个人信息保护的落地需具备“系统”视角，从组织、制度、资产、技术等方向协同发力。

4.1 建立组织以明确职能分工有效实现部门协同

建立全方位、跨部门、跨层级的个人信息保护组织架构，是实施组织级统一化、专业化个人信息保护的基础，是个人信息保护责任落实的保障。个人信息的保护重在强调个人信息的合法合规利用该过程涵盖医疗业务、信息技术、法律合规等多方面因素，贯穿于整个医疗机构的全部业务流程，并非是某单个部门的责任，需要各部门联合作业，同时各个部门术业有专攻，互为支撑。

依据自身的个人信息管理基础能力与现有的组织架构可以采用集中式管理与联邦式管理两种组织模式[7]。集中式管理对各医疗业务线独立性要求比较低，由组织级统一数据资产管理，对数据的相关性要求较高。联邦式管理对各医疗业务线独立性要求比较高，与业务结合紧密，敏捷性较高，数据能力在各业务模块分布相对均衡。采用集中式管理可以由医疗业务管理部门及信息化部门共同牵头而发挥集中管理优势。采用联邦式管理模式，充分发挥组织各部门业务优势，高效敏捷，由信息化、医政、科研、法务等辅助各业务部门提升个人信息保护的时效性。集中式与联邦式管理组织并无本质上的优劣之分，集中式并不意味着完全的集中管理，联邦式也不是纯分散管理，采用何种模式主要取决于医疗机构自身个人信息管理基础能力与现有的组织架构，也可以采用融合集中式与联邦式的混合模式。重要的着眼点应该是需明确业务部门、业务主管部门、信息化部门在个人信息保护全生命周期的权责，高效协作[8]。

4.2 完善体系以建立系统化的个人信息保护规章制度

在有效组织基础上，制定个人信息相关制度的过程中尽量充分利用已有的网络安全和数据安全相关制度体系。在此基础上，完善个人信息保护相关要求，如：对个人信息收集传输及处理制度、个人用户信息收集及处理制度、个人信息安全保护制度、个人信息保护培训制度、个人信息风险评估制度、审计制度等，使其具有合规性、可行性、完备性，全面覆盖医疗机构各个业务条线[9]。制定个人信息数据全生命周期操作流程，使其与建立的内部制度互相辅助，并在流程中注意严格的权限管理。制度更新是其保持生命力的重要保障，通过建立内外部视角，密切关注监管配套规定、执法尺度，司法裁判倾向以及自身业务模式的变更，及时修正完善制度要求，保持制度的执行力及生力。需要特别强调意识培训在个人信息保护实践中的作用，需要以制度的方式固化下来，加强意识学习和督导，建立医疗卫生机构患者个人信息的保护规则，通过具体的场景落实个人信息保护要求。

4.3 梳理资产以形成个人信息资产清单持续动态更新

摸清家底是建立防护措施的前提与基础，个人信息可能存在医疗信息系统、纸质病历、知情同意书等各个场景中，梳理信息库存，明确业务过程中涉及有哪些医疗健康信息、承载个人信息数据位何处、数据如何流动。利用技术工具从医疗业务系统或者数据平台中梳理数据，识别数据关系，可视化包含元数据、数据字典的数据模式。从医疗业务流程和个人信息应用的视角出发，完善包含业务属性、管理数据的个人信息资产信息，形成个人信息资产地图，并动态更新。以此为基础，对个人信息进行分类分级、处理权限划分等，确定处理个人信息级别及权重。此外，可以从个人信息动、价值、技术等维度对组织的个人信息管理开展全面评估，将评估结果作为评估基线，有助于组织了解自身管理现状，以进一步指导数据战略规划。

4.4 技防落地，采用合适的技术落地安全策略

适宜技术是保障个人信息保护制度体系落地的重要方式，可利用访问控制、审计、匿名化（使个人信息主体无法被识别或者关联，处理后的信息不能被复原）、加密、去标识化（对标识进行处理，处理后的信息无法识别到特定个人信息主体的数据处理方式）等技术对个人信息开展防护，技术的应用需要考虑特定的场景，针对不同的场景投放不同的技术防护措施。

在患者查询场景中，患者通过信息平台查询相关的病历信息、健康档案数据等，需要利用身份识别技术完成个人用户注册、登录验证、查询验证等，通过访问控制，对个人的操作权限进行控制，包括另存、复制、打印、下载等。信息查询阶段，为防止账户遗失造成个人信息大量泄漏，信息平台应对可查询信息进行适当限制，如人类免疫缺陷病毒（human immunodeficiencyvirus，HIV）、肝炎等敏感检查结果不予显示，默认仅可查询3个月内的相关检查检验报告、用药情况等。在移动应用场景中，需要在开发过程中建立三方组件、软件开发工具包（software development kit SDK）准入规范，防止引入非法SDK造成过度收集个人信息。应用上线前，除了常规功能和性能测试、安全测试外，还需额外通过个人信息专项合规测试，确保产品实现满足最新的个人信息保护合规要求[10]。

5.总结与展望

医疗机构构建的个人信息保护合规体系与信息安全和数据安全体系建设密不可分，行业个人信息保护的完善与发展也不能跳出信息安全及数据安全整体网络安全体系独自发展，信息安全是响应国家“健康中国”战略，实现监管合规要求，把握医疗慢病防治及医疗自身业务高质量发展的破局之举、必经之路。数据安全建设需要结合医疗数据本身的特点及组织自身数据的管理阶段等因素，全局谋划，形成战略合力，促进数据安全开放共享，普惠全体人民。个人信息保护体系建设与培育隐私保护文化共进，让新技术赋能个人信息保护落地实施，实现医疗信息化的便利性与保障隐私安全[11]。统筹信息安全、数据安全及个人信息保护相辅相成，协同共进，在“健康中国”战略的大力推动下，在行业政策的有效指导下，医疗机构个人信息保护将稳步前进，促进医疗健康信息价值进一步释放。

参考文献

[1] 琚文胜,訾明杰,张世红,等.电子健康记录共享调阅中个人同意的法规研究[J].中国数字医学,2021,16(11):1-5.

[2] 舒婷."互联网+"时代的患者隐私保护[J].中国数字医学,2016,11(5):41-43,83.

[3] 赵韡.心血管领域大数据的应用与挑战[J].中国卫生人才,2017(4):19-23.

[4] 郑攀,陈臣.网络安全态势感知探索与实践[J].中国数字医学,2021,16(6):5-8,32.

[5] 中国软件评测中心.医疗行业网络安全白皮书[EB/OL].(2020-04-01)[2022-0110].  https://www.cstc.org.cn/info/1202/1612.htm.

[6] 韩作为,李宏芳,赵韡.医疗卫生行业网络安全相关要求梳理与分析[J].中国数字医学,2021,16(6):1-5.

[7] 大数据技术标准推进委员会,中国信息通信研究院.数据资产管理实践白皮书(5.0版)[EB/OL].(2021-12-20)[2022-010].https://max.book118.com/html/2019/0502/8007075110002021.shtm.

[8] 陈竹,陈晓英.大数据时代关于个人信息安全问题的思考[J].辽宁工业大学学报,2022,24(1):20-22.

[9] 刘忠炫.个人信息处理的合理限度:基于必要性原则的场景化分析[J].上海政法学院学报(法治论丛),2021,36(5): 150-160.

[10] 乔喆,白雪,封琳洁.企业APP个人信息安全保护合规风险及保护体系实践[J].电信工程技术与标准

化,2021,12(34):7-11.

[11] 袁靖,卜天,秦晓蕾,等.医院病案数字化转型与应用实践[J].中国数字医学,2021,16(9):11-25.

本文转载自其他网站，不代表中电湘江观点和立场。如有内容和图片的著作权异议，请及时联系我们（邮箱：xieli@cecdat.com）