目前就健康医疗数据并没有非常严格的法律规范性概念，2014年国家卫计委发布的《人口健康信息管理办法(试行)》提到“人口健康信息，是指依据国家法律法规和工作职责，各级各类医疗卫生计生服务机构在服务和管理过程中产生的人口基本信息、医疗卫生服务信息等人口健康信息”。而2018年7月12日国家卫健委发布的《国家健康医疗大数据标准、安全和服务管理办法(试行)》(以下简称“健康医疗数据管理办法”)指出“健康医疗大数据，是指在人们疾病防治、健康管理等过程中产生的与健康医疗相关的数据。”随着时间的推演，我国监管机构对于医疗健康数据的定义范围也更加广泛。在商业实践中，医疗健康数据既包括具体到人的微观数据（可能涉及个人信息），又包括统计、分析类型的宏观数据（可能涉及重要数据、人类遗传资源等），换言之，医疗机构、临床研究机构、医疗健康行业企业以及各类政府性质平台拟收集及应用的与健康和医疗相关的数据均属于医疗健康数据。具体来看，包括个人属性数据、健康状况数据、医疗应用数据、医疗支付数据、卫生资源数据、公共卫生数据。具体范围如下表所示：

健康医疗数据从微观层面来看，涉及个人健康医疗数据，应属于个人信息的范畴，对于这部分健康医疗数据应用应尊重当事人的知情权、同意权以及在合理必要的范畴内进行开发利用；从宏观层面而言，对于已经脱敏并不再涉及个人隐私的医疗健康数据，在绝大部分情况下，由医疗机构作为应用管理的责任主体，在部分情况下，可能该等数据并非由医疗机构直接或间接采集，而是由行业相关企业在协助用户进行健康管理的过程中获得授权并收集，那么应由该等社会企业作为相关数据应用管理的责任主体。此外，基于社会公共管理的职能和监管需要，政府部门及授权事业单位也可能成为大量医疗健康数据的使用者。具体规定如下：

健康医疗数据流通的前提为：需将该类数据处理至不含（敏感）个人信息。具体规定来自于《中华人民共和国个人信息保护法》第四条“个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。”而匿名化处理的规定则为第七十三条“匿名化，是指个人信息经过处理无法识别特定自然人且不能复原的过程。”若无法实现匿名化，则需遵照《个保法》第十三条要求“取得个人的同意”，且“该同意应当由个人在充分知情的前提下自愿、明确作出。法律、行政法规规定处理个人信息应当取得个人单独同意或者书面同意的，从其规定。”而对于涉及大规模就医人员的健康医疗数据若想取得所有人同意显然存在巨大的困难，且现实中部分应用场景并不需要含个人敏感信息的数据，因此，目前健康医疗数据的流通困境主要在于个人健康医疗数据匿名化标准，且是否有相关机构可负责认定数据是否达到匿名化标准。

根据《信息安全技术健康医疗数据安全指南》：控制者在没有获得主体的授权时，在以下情况可以使用或披露相应个人健康医疗数据: 1)向主体提供其本人健康医疗数据；2)治疗、支付或保健护理时；3)涉及公共利益或法律法规要求时；4)用于科学研究、医学/健康教育、公共卫生或医疗保健操作目的的受限制数据集（受限制数据集是指经过部分去标识化处理，但仍可识别相应个人并因此需要保护的个人健康医疗数据集）。在上述情况下，控制者可依靠法律法规要求、职业道德、伦理和专业判断来确定哪些个人健康医疗数据允许被使用或披露。因此，目前健康医疗数据在无法匿名化或尚无明确匿名化标准的情况下，可以科研为目的实现数据应用。

总体来看，当前健康医疗数据流通在合规层面仍存在模糊地带，具体为个人健康医疗数据匿名化标准难以界定导致数据流通标准不清晰，数据难以合规地“供出来”，因此，在平衡“发展”与“开放”层面上，相关部门仍在努力，希望随着技术进步，在相关数据基础设施如可信数据空间加持下，通过“原始数据不出域，数据可用不可见”方式破解数据“供出难”问题。