健康医疗大数据资源管理暂行办法

⑴ 福州如何打造数字中国建设示范城市

在福州，当地市民和外来务工、求学人员如果想要就医，关注“榕医通”微信公众号或下载“榕医通”手机app注册，并绑定自己的身份账户，就可以在手机上进行预约挂号、充值缴费、查看报告单、查询医社保等。

作为福州市区域卫生便民服务平台，“榕医通”由落户福州的国家健康医疗大数据中心、福建海峡银行等多家机构共同参与打造，2018年1月上线，现已覆盖福州市的36家医院。

福州正成为中国数字经济发展的热点区域。藉今年4月首届数字中国建设峰会在福州举办之机，福州引进落地一批数字经济大项目，包括与阿里巴巴、腾讯、京东等中国互联网三大巨头签约合作，为推动福州经济高质量发展注入新动能。

“面向未来，福州将大力发展数字经济，加快构建数字高地，全力打造数字城市，营造最优数字生态。”福建省委副书记、福州市委书记王宁早前表示，出台更多政策，提供更优服务，营造更好环境，让数字经济的“种子”在福州生根发芽、茁壮成长。

今年6月初，福州出台“数字福州”建设三年行动计划，明确了“数字福州”的发展定位：打造成为“数字中国”建设示范城市、“数字中国”建设福建样本的排头兵。

⑵ 贵阳市健康医疗大数据应用发展条例

第一章总 则第一条为了满足人民群众健康医疗需求，加强和规范健康医疗大数据应用发展，整合、扩大健康医疗资源供给，提升健康医疗服务质量和效率，培育健康医疗大数据应用发展新业态，根据有关法律、法规规定，制定本条例。第二条本市行政区域内信息系统接入市级全民健康信息平台（以下简称“市级平台”）的医疗卫生机构、健康医疗服务企业等，从事健康医疗大数据应用发展活动，适用本条例。第三条健康医疗大数据应用发展应当遵循政府主导、便民惠民、改革创新、规范有序、开放融合、共建共享、保障安全的原则。第四条市人民政府统一领导全市健康医疗大数据应用发展工作。区（市、县）人民政府负责本行政区域内健康医疗大数据应用发展工作。

医疗卫生行政主管部门按照职责权限，负责健康医疗大数据应用发展的统筹协调、监督指导和组织实施工作。

大数据、人力资源社会保障、食品药品、公安、医保、发展改革、财政、环境保护、民政、体育、扶贫、旅游、教育等主管部门和乡（镇）人民政府、社区服务管理机构应当按照各自职责和本条例规定，做好健康医疗大数据应用发展的相关工作。第五条医疗卫生行政主管部门应当建立健康医疗大数据应用发展诚信档案，记录医疗卫生机构、健康医疗服务企业及其相关从业人员的违法失信行为，纳入统一的信用信息共享平台管理。第六条各级人民政府及其有关部门、社区服务管理机构、医疗卫生机构和健康医疗服务企业应当加强健康医疗大数据应用发展的宣传教育。第七条任何单位和个人有权投诉举报健康医疗大数据应用发展中的违法行为。

医疗卫生行政主管部门应当建立健康医疗大数据应用发展投诉举报制度，公布投诉举报方式等信息，及时登记、处理和回复投诉举报。第二章采集与汇聚第八条市医疗卫生行政主管部门负责统筹建设、管理、运行和维护市级全民健康信息平台，用于全市健康医疗数据的汇聚、存储和应用，并与省级全民健康信息平台互联互通。

区（市、县）医疗卫生行政主管部门按照职责做好市级平台的管理、运行和维护。

医疗卫生行政主管部门根据需要，可以通过依法委托、购买服务、协议合作等方式建设、管理、运行和维护市级平台。第九条市级及市级以下公办医疗卫生机构、国有健康医疗服务企业应当按照国家和地方相关目录、标准，采集公共卫生、计划生育、健康服务、医疗服务、医疗保障、药品供应、医疗器械、应急指挥、健康管理和综合管理等健康医疗数据，建设、改造、管理和维护自身信息系统，并与市级平台互联互通。

鼓励前款以外的医疗卫生机构和健康医疗服务企业等按照国家和地方标准采集健康医疗数据，建设、改造自身信息系统，接入市级平台。第十条医疗卫生机构和健康医疗服务企业等应当采集服务对象本人或者其监护人居民身份证号，作为电子病历、电子处方等健康医疗数据的标识。没有居民身份证的应当提供其他有效身份证明。服务对象本人或者其监护人应当提供真实有效的身份信息。第十一条医疗卫生等有关主管部门、医疗卫生机构和健康医疗服务企业应当按照有关数据标准、规范，将其依法履行职责、提供服务等业务活动产生的健康医疗数据汇聚、存储到市级平台。

鼓励医疗卫生机构、健康医疗服务企业等按照有关数据标准、规范，利用可穿戴设备、智能健康电子产品、健康医疗移动应用等采集相关健康医疗数据，汇聚、存储到市级平台。

鼓励医疗卫生机构、健康医疗服务企业按照国家和地方标准整理健康医疗存量数据，汇聚、存储到市级平台。第十二条医疗卫生等有关主管部门、医疗卫生机构和健康医疗服务企业应当按照谁主管谁负责、谁提供谁负责、谁运营谁负责的原则，对健康医疗数据进行更新，实行动态管理。第三章应用与发展第十三条市人民政府应当统筹推进智慧医保建设，组织人力资源社会保障、医疗卫生等有关主管部门整合新型农村合作医疗、城镇居民基本医疗保险等信息系统，对居民健康卡、社会保障卡等应用进行集成，实现一卡通用、诊间结算。第十四条医疗卫生行政主管部门应当组织医疗卫生机构通过市级平台协同建立覆盖全人口的居民电子健康档案，明确数据信息使用权限，实现居民电子健康档案个人在线查询、下载、使用和授权医疗卫生机构调阅。

医疗卫生行政主管部门应当规范医疗物联网、视联网、智能卡、健康医疗应用程序等的设置和管理，推进互联网健康咨询、网上预约分诊、移动支付、候诊提醒、费用查询、物流查询、检查检验结果查询、随访跟踪和预警消息即时推送等应用，建立规范、共享、互信的诊疗流程。

⑶ 山东省健康医疗大数据管理办法

第一条为了促进和规范健康医疗大数据应用发展，提升健康医疗服务水平，满足公众健康医疗需求，培育经济发展新动能，根据《中华人民共和国基本医疗卫生与健康促进法》《中华人民共和国网络安全法》等法律、法规，结合本省实际，制定本办法。第二条本省行政区域内健康医疗大数据的采集、汇聚、存储、开发、应用及其监督管理等活动，适用本办法。

本办法所称健康医疗大数据，是指在疾病防治、健康管理等过程中产生的，以容量大、类型多、存取速度快、应用价值高为主要特征的健康医疗数据集合，以及对其开发应用形成的新技术、新业态。第三条健康医疗大数据活动应当坚持政府主导、开放融合、创新驱动、安全可控原则，严格遵守生物安全、网络安全等法律、法规，依法保守国家秘密、商业秘密，保护个人隐私以及维护信息安全。第四条县级以上人民政府应当将健康医疗大数据开发应用纳入国民经济和社会发展规划，组织制定、实施有利于健康医疗大数据创新融合发展和人才培养的政策措施，构建健康医疗大数据产业链，探索“互联网＋医疗健康”服务新模式，推动健康医疗产业规范有序发展。第五条县级以上人民政府大数据主管部门、卫生健康主管部门负责健康医疗大数据的统筹协调、监督指导、组织实施工作，网信、公安、医疗保障、药品监督管理等部门在各自职责范围内做好相关工作。

健康医疗大数据管理机构根据省人民政府的授权，承担健康医疗大数据的日常管理等工作，并可以通过依法委托、购买服务、协议合作等方式建设、运营、维护和使用健康医疗大数据平台。第六条政府有关部门、医疗卫生机构和健康服务企业应当按照健康医疗大数据资源目录和相关标准规范，依法开展数据采集。

健康医疗大数据资源目录由省人民政府卫生健康主管部门会同医疗保障、药品监督管理等部门编制，报省人民政府大数据主管部门备案。

健康医疗大数据资源目录由基础信息、公共卫生、计划生育、医疗服务、医疗保障、药品管理、新型业态等组成。第七条政府举办的医疗卫生机构和国有健康服务企业，应当依法将其提供服务产生的健康医疗相关数据汇聚到健康医疗大数据平台。

鼓励前款规定之外的数据生产单位，将其产生的健康医疗数据汇聚到健康医疗大数据平台。

法律、法规对个人隐私和个人信息保护另有规定的，依照其规定执行。第八条省人民政府大数据主管部门、卫生健康主管部门应当会同有关部门，建立健康医疗大数据共享开放机制，明确共享开放的具体规定和评估机制。

县级以上人民政府卫生健康主管部门应当采取措施，推进健康医疗大数据平台与医疗卫生机构建立共享机制。第九条健康医疗大数据管理机构应当通过政务信息资源交换共享平台为有关行政机关提供数据共享服务。

健康医疗数据属于政府信息和政务数据的，依照《中华人民共和国政府信息公开条例》《山东省电子政务和政务数据管理办法》的规定执行。第十条健康医疗大数据管理机构应当按照下列规定对健康医疗大数据进行分类管理：

（一）对涉及商业秘密、个人隐私或者依据法律、法规规定不得开放的健康医疗数据，列为不予开放数据；

（二）对数据安全和处理能力要求较高、时效性较强或者需要持续获取的健康医疗数据，列为有条件开放数据；

（三）其他健康医疗数据，列为无条件开放数据。

对列为不予开放数据和有条件开放数据的，应当在相应的清单中列明法律、法规等依据。第十一条对无条件开放数据，公民、法人和其他组织可以通过健康医疗大数据平台获取。

对有条件开放数据，由健康医疗大数据管理机构与数据使用单位签订数据使用协议后进行定向开放。协议应当明确数据的使用范围、条件、数据产品、保密责任和安全措施等内容。

对不予开放数据，经相关权利人同意开放或者依法进行脱敏、脱密等技术处理后，可以进行开放，但法律、法规另有规定的除外。第十二条依法获得数据使用权的数据使用单位应当依照法律、法规规定和协议约定进行数据应用与服务技术研发，保证数据安全，其依法获得的数据开发收益受法律保护。第十三条县级以上人民政府卫生健康主管部门应当充分利用健康医疗大数据平台，构建“互联网＋医疗健康”服务模式，推进网上健康咨询、预约诊疗、检查检验结果互认和临床科研数据整合共享，发挥优质医疗资源引领作用，推动覆盖全人口全生命周期的预防、治疗、康复和健康管理一体化电子健康服务。

⑷ 医疗数据合规观察⑩：政策趋严成本抬升，医疗数据跨境应走向何方

编者按：医疗大数据产业作为国家最早布局和推动数据要素市场的行业，正进入飞速发展时期。与此同时，去年以来，《个人信息保护法》《数据安全法》等数据立法框架搭建并落地执行，给医疗 健康 行业的数据处理带来了压力。

跨境会诊、跨境医学研究、国际临床试验、医疗器械出海…… 跨境医疗 近年来发展迅速，而这其中大量敏感个人信息的医疗数据跨境对于相关机构和企业而言，意味着更高的合规要求。

受访专家认为，我国目前医疗数据的跨境流动机制尚未明确， 亟需在《数据安全法》《个人信息保护法》的框架下，结合医药行业的特性设计有针对性的行业规则，既做好个人权益及数据安全的保护，又兼顾药品、医疗器械创新研发的效率 。同时，积极实现本国数据治理规制与国际数据治理规制的融合，将助力我国与境外医药企业、高校和医院更加深度的合作。

2020年以来，全球新冠肺炎疫情一定程度上阻断了跨境寻医之路，持续刺激着跨境远程医疗的需求。

网络将患者与身处异国的医生连接起来，可以通过视频或电话交流，得出诊疗结论。在此过程中，往往涉及到医生对于患者医疗影像等信息和数据的跨境调取。

这是医疗数据跨境传输常见的应用场景之一。事实上，随着全球医学交流日益频繁，医疗数据所面临的跨境需求也愈加迫切。

国家计算机网络应急技术处理协调中心发布的《2020年中国互联网网络安全报告》显示，2020年，共发现境内医学影像数据通过网络出境497万余次，其中， 我国未脱敏医学影像数据出境近40万次，占出境总次数的7.9% 。而医学影像文件在未脱敏的情况下包含大量患者个人信息。

除患者个人信息、 健康 状况数据外，医疗数据还囊括了医疗应用数据及人类遗传资源等，这些数据的大量向外流失可能对我国医疗卫生安全带来隐患。

早在2018年10月， 科技 部官网就曾公布6则处罚信息，涉及华大基因、复旦大学附属华山医院、苏州药明康德、阿斯利康、艾德生物、昆皓睿诚等6家公司。罚单显示，这6家公司均违反了人类遗传资源管理规定，或违规转运接收已获批项目的剩余样本；或违规开展国家合作研究；有的甚至将人血清作为犬血浆违规出境。

北京世辉律师事务所合伙人卢璟介绍， 《个人信息保护法》将“医疗 健康 ”信息视为敏感信息，医疗行业中的大量患者相关信息均会因其“医疗 健康 ”的属性落入敏感个人信息的范畴。例如：诊疗过程中的病历信息、不良反应报告信息、临床试验数据等。

以国际临床试验为例，中伦律师事务所合伙人蔡鹏介绍，在国际临床试验合作中，将会涉及构成敏感个人信息的医疗数据，数据处理者在收集处理敏感个人信息时，应当遵循《个人信息保护法》中关于处理敏感个人信息的合规要求，并按规定事前进行个人信息保护影响评估。同时，涉及跨境提供的，境内数据提供者还需要确保符合《个人信息保护法》中针对个人信息跨境提供的规则。

除了上述监管要求，如果国际合作临床试验所涉数据被认定为“ 健康 医疗大数据”、“人口 健康 信息”或是涉及到基因、基因组等遗传物质或遗传材料，则需按照《国家 健康 医疗大数据标准、安全和服务管理办法（试行）》《人口 健康 信息管理办法（试行）》《中华人民共和国人类遗传资源管理条例》或是《人类遗传资源管理条例实施细则（征求意见稿）》等法规的具体要求进行合规处理。

今年2月，国家卫生 健康 委公布对全国政协委员陈红专《关于加强临床研究受试者个人信息数据保护的提案》答复的函。其中提到，对“ 关于数据不出境但是处理结果出境、境外机构通过代理人在内地临床数据等新的挑战，相关部分应及时出台有效应对办法 ”的建议， 国家卫健委将积极配合相关部门推动出台有关应对办法，并在此基础上推进医疗卫生机构落实相关工作。

对于医疗 健康 企业而言，实现医疗数据跨境合规有何难点？

从医药企业的角度来看，卢璟指出，医药企业需要付出额外的时间成本履行合规义务，药品、医疗器械的研发时间也会相应增加。而部分合规要求（例如：在向境外提供个人信息前，要向自然人告知每一境外接收方的名称和联系方式），在临床试验国际合作的场景下可能难以落地执行。

“ 在规则设计层面过于严格的合规要求，很可能会导致在规则实施层面的普遍性违法，从而影响法规的严肃性 。”卢璟说。

因此，他建议在《数据安全法》《个人信息保护法》的框架下， 结合医药行业的特性，有针对性地设计行业规则，既保护个人权益及数据安全，又兼顾药品、医疗器械创新研发效率。

锘崴 科技 创始人、董事长王爽则认为，目前医疗数据跨境的难点主要在于满足跨境合规性前提下同时满足不同业务场景的需求。在国内，医疗数据可能涉及到多部法律法规，在不同场景下将产生不同的受保护数据分类。而全球各国的法律规制并不相同，因此也将产生不同的分类分级标准。

对此，王爽建议在进行医疗数据跨境前，相关企业和机构应首先确保根据本国法律法规要求进行数据的分类分级。然后，在数据出境时寻找各国要求的共同点，以符合规定。这其中，可通过隐私计算等技术手段处理明确规定无法交换的数据，使其以达到合规要求，实现跨境医疗数据在“可用不可见”模式下“可管、可控、可计量”的合作。此外，建设完备的人员制度同样必不可少，应形成由决策层、管理层、执行层、监督层及协同层构成的组织结构。同时，完善文档制度，应包含与数据安全相关的政策方针、制度流程规范、人员培训材料、数据收集情况等详细内容。

中伦律师事务所认为，企业实施医疗数据信息跨境传输必须明确数据收集、使用、传输发送和接收方，以及为此提供服务的第三方，明确医疗数据内容与属性；明确数据存储地；同时定好数据出境计划等方案，定立涵盖数据处理目的、方式和采取的安全措施等条款的协议；还应完善重要数据处理活动风险自评机制、网络安全等级保护机制、关键信息基础设施（CII）安全保护机制以及非CII运营者网络安全审查应对机制。

对于有上市需求的医疗 健康 企业而言，数据跨境监管趋严所产生的影响或更为直接。 “医疗大数据企业已经将数据跨境的难题作为选择上市地的考虑重点之一。 ”互联网医疗系统与应用国家工程实验室副主任翟运开表示。

近期，医疗大数据龙头零氪 科技 撤回美国IPO计划。其先前披露的招股书显示，该公司有超过250万名患者超过900万次纵向医疗记录。在去年7月该公司突然暂停赴美IPO后，同年9月曾传出或转赴香港上市的消息，零氪并未对此进行回应。

目前，国际上对于个人 健康 医疗数据跨境流动的专门标准并不多，国际标准化组织（ISO）2004年颁布的《 健康 信息学 推动个人 健康 信息跨国流动的数据保护指南》提及，除保护数据主体切身利益所必要的传输之外，个人 健康 数据不应传输，除非得到数据主体明确的同意。澳大利亚则明确禁止与 健康 医疗相关的数据出境。

“ 医疗数据在不同国家的流通对于推动相关领域科学研究和产业发展并进一步推动医疗 健康 服务水平意义重大，但越来越多的国家或地区基于‘重要’‘敏感’数据对国家安全或个人隐私保护，公开呼吁将医疗 健康 数据完全本地化，这不利于促进数据自由流动，更不利于科学研究和产业发展。 ”翟运开表示。

对于我国而言，一方面，可通过完善医疗数据合规跨境的制度体系本身推动面向国际的数据流动。蔡鹏指出，《个人信息保护法》的出台毋庸置疑使得企业面临更高的合规成本，但该法案的问世也是我国在保障人权上的一大进步，促使我国企业在相关领域与国际接轨，并得到国际认可。以GDPR为例，若我国后续的配套立法能够与之接轨，那么对于国内企业与欧洲的企业、高校、医院开展深度科研临床合作，在保障国家安全的情况下促进数据流动，将具有十分积极的意义。

另一方面，我国还多番 探索 数据跨境试点。早在2019年7月，国务院印发《中国（上海）自由贸易试验区临港新片区总体方案》， 明确支持新片区聚焦生物医药等关键领域，试点开展数据跨境流动的安全评估，建立数据保护能力认证、数据流通备份审查、跨境数据流通和交易风险评估等数据安全管理机制。2020年底，北京市又聚焦人工智能、生物医药等关键领域推进数据跨进流动安全管理试点工作。

“医疗数据作为特殊数据，应该建立什么样的跨境流动机制，法律法规和实践的确都还需要进一步明确。”翟运开强调。他建议我国可参考欧盟及其他国家经验，设立符合我国国情需要的多样化合法流动机制，以及指引性的数据跨境流动协议范本。

同时，从国际协调来看，可推动形成数据跨境统一治理体系，由相应的国际组织，如WHO、ITU等，联合制定医疗 健康 数据跨境流动与交易的详细规范，共同协商制定有关国际标准。 面对海量医疗大数据跨境传输保护，形成独立统一的数据保护执法机构，独立实现对数据活动安全的保障，避免不同国家重复执法，提高数据流动效率。

更多内容请下载21 财经 APP