在医疗大数据产业如日中天的今天，数据已成为推动医疗创新、提升服务效率、加速药物研发的关键力量。然而，随着《个人信息保护法》与《数据安全法》等法律法规的相继出台，医疗行业正步入一个数据合规的“高压期”。这一背景下，医疗数据资源的高效、合规运营不仅关乎企业的长远发展，更是构建健康中国不可或缺的一环。众多医疗服务机构、医药研发商、医疗设备制造商及医疗系统技术方等数据处理者，正积极应对挑战，将数据合规理念深植于数据处理的全链条之中。
一、医疗数据的基本认识与处理原则
总体而言，医疗数据包括在疾病防治、健康管理、医疗管理、医学研究等过程中产生的各种数据，包括患者的个人信息、病历记录、药物购买与使用情况、设备数据、系统记录等，这些数据可能来源于与医疗健康相关的医院信息系统（HIS）、电子病历系统（EMR）等信息系统及临床治疗、药物销售等活动。 开展数据处理活动遵守法律、法规，尊重社会公德和伦理，遵守商业道德和职业道德，诚实守信，履行数据安全保护义务，承担社会责任，不得危害国家安全、公共利益，不得损害个人、组织的合法权益。处理个人信息的还应当遵守合法、正当、必要和诚信原则，目的明确和最小化处理原则，公开透明原则、质量原则、责任原则和安全保障原则。 针对医疗数据，《国家健康医疗大数据标准、安全和服务管理办法（试行）》第2条特规定：“国家在保障公民知情权、使用权和个人隐私的基础上，根据国家战略安全和人民群众生命安全需要，加以规范管理和开发利用。”
二、国家政策引领医疗数据安全治理新篇章
近年来，国家层面对医疗数据安全给予了前所未有的重视，通过一系列政策文件明确了数据安全治理的方向与要求。这些政策不仅强化了数据主体的权益保护，还促进了数据流通与利用的有序进行，为医疗行业的数字化转型提供了坚实的法律保障。在此背景下，各医疗机构及数据处理者需紧跟政策步伐，建立健全数据安全管理体系，确保医疗数据在合法、安全、可控的轨道上运行。 2018年4月，国家卫生健康委发布《关于印发全国医院信息化建设标准与规范（试行）的通知》。对二级及以上医院的数据中心安全、终端安全、网络安全及容灾备份提出要求。 2018年9月13日，国家卫生健康委发布《国家健康医疗大数据标准、安全和服务管理办法（试行）》，明确责任单位应当落实网络安全等级保护制度要求，对健康医疗大数据中心、相关信息系统开展定级、备案、测评等工作。 2018年9月14日，国家卫生健康委发布《关于印发互联网诊疗管理办法（试行）等3个文件的通知》，管理办法要求医疗机构开展互联网诊疗活动，应当具备满足互联网技术要求的设施、信息系统、技术人员以及信息安全系统，并实施第三级信息安全等级保护。 2018年12月21日，国家卫生健康委办公厅发文《加快推进电子健康卡普及及应用工作的意见》，对重点工作任务进行部署，要求着力加强电子健康卡应用安全建设及管理，对电子健康卡管理服务系统、识读终端设备、应用密码机、互联网医疗健康服务应用软件等依据国家行业标准实行质量及安全检测，强化个人健康信息安全管理，建立相关安全风险动态评估管理机制，同时要求电子健康卡积极采用国密算法和国产自主可控安全技术，确保居民健康信息的安全。 2019年4月，国家卫生健康委发布《关于印发全国基层医疗卫生机构信息化建设标准与规范（试行）的通知》，明确了基层医疗卫生机构未来 5-10 年信息化建设的基本内容和要求。其中信息安全部分包括身份认证、桌面终端安全、移动终端安全、计算安全、通信安全、数据防泄露、可信组网、数据备份与恢复、应用容灾、安全运维等10个方面。 2019年12月，经第十三届全国人民代表大会常务委员会第十五次会议通过，我国颁布卫生健康领域第一部基础性、综合性法律《中华人民共和国基本医疗卫生与健康促进法》，明确国家采取措施推进医疗卫生机构建立健全信息安全制度，保护公民个人健康信息安全，对医疗信息安全制度、保障措施不健全，导致医疗信息泄露和非法损害公民个人健康信息的行为进行处罚。 2020年2月，国家医疗保障局、国家卫生健康委员会发布《关于推进新冠肺炎疫情防控期间开展“互联网+”医保服务的指导意见》，要求不断提升信息化水平，同步做好互联网医保服务有关数据的网络安全工作，防止数据泄露。 2022年9月，《医疗卫生机构网络安全管理办法》发布，要求基于网络和数据的全生命周期视角，梳理安全策略架构,识别具体业务场景，有针对性的设计安全措施，实现安全防护。
三、医疗数据安全合规存在诸多挑战
尽管政策导向明确，但医疗数据安全合规之路仍面临诸多挑战。 数据分类分级不清：组织可能未能准确识别要对哪些据进行分类和分级，导致关键数据与一般数据的保护措施混为一谈。 风险评估不全面：风险识别过程可能仅关注技术层面，忽视了组织管理、人员意识等非技术因素带来的风险。 技术实施不足：虽然认识到防护需求，但未能按照《数据安全法》要求采用适当的技术手段，如加密、访问控制等。 第三方管理疏忽：对外包服务提供商的数据处理活动监管不严，未要求其达到相应的安全标准。 监控盲点：虽然按照《信息安全技术政务信息共享数据安全技术要求》GB/T39477-2020 要求进行了部署，但监控系统未覆盖所有数据处理环节，如数据流转和使用过程中的异常未被有效监测。 威胁响应迟缓：虽然按照《信息安全技术政务信息共享数据安全技术要求》GB/T39477-2023 建立了检测响应机制，缺乏实时威胁情报和自动化的监测响应机制，对新出现的威胁反应缓慢。 应急计划不完善：虽有应急响应计划，但未针对数据泄露等特定场景制定详细步骤，或未进行定期演练。 信息通报不畅：事件发生后，内部沟通和外部通报流程复杂，延误了响应时间。 恢复措施表面化：仅进行数据和系统的简单恢复，未深入分析事件根源和采取长期改进措施。 持续改进机制缺失：缺乏将事件经验转化为组织学习和改进的机制，问题重复发生。
四、全过程数据安全治理保障医疗数据安全合规
为了应对上述挑战，道普信息风险管控专家建议从风险识别、防护加固、检测监测、应急处置、恢复改进等各阶段过程，采取措施，确保符合数据安全法等相关法律法规。 数据分类分级与保护强化：制定敏感性与价值导向的数据分类分级标准，实施精准分类并差异化保护，同时强化员工培训以提升数据安全意识。 全面动态风险评估：综合非技术因素，采用定性与定量法精准识别风险，并随业务与技术发展定期更新评估，确保全面性与时效性。 强化技术防护与创新能力：依据法规加强数据加密、访问控制等技术防护，同时引入AI等前沿技术，并强化技术培训，提升数据安全防护水平。 严控第三方数据风险：严格筛选外包商，签订保密协议明确责任，并强化监管审计，确保数据安全无虞。 智能监控与日志管理强化：扩展监控范围，引入AI技术提升监控效能，完善日志管理，确保数据处理全程可视可控。 构建智能应急响应体系：建立实时威胁情报系统，引入自动化监测响应，强化应急演练，确保数据安全无忧。 强化应急准备与响应：完善应急计划，定期演练评估，组建专业团队，确保数据泄露等风险高效应对。 优化通报与协作机制：简化流程，建立明确通报机制，强化内部沟通协作，确保信息畅通无阻，应对迅速有力。 深入分析事件原因：深度剖析泄露根源，系统性制定改进方案，持续跟踪评估效果，确保问题根治无复发。
随着政策的不断推进，医疗数据安全合规将成为医疗行业乃至健康中国战略的重要组成部分。只有通过持续关注并积极应对数据安全合规的相关问题，才能促进医疗行业的健康发展，并最终惠及广大人民群众。未来，随着更多创新技术和管理方法的应用，我们期待医疗数据安全合规领域迎来更大的进步和发展。
