随着《关于印发医疗卫生机构数据安全和个人信息保护管理办法（试行）的通知》正式发布，我国医疗健康数据治理迈入以“分类分级”为核心、兼顾安全与应用的新阶段。面对人工智能驱动下的多中心临床研究、医联体协作与数据要素化流通趋势，医疗机构如何将顶层设计转化为可落地的合规实践，成为行业发展的关键命题。本文结合国内外法规与典型案例，梳理医疗健康数据应用的合规路径。
医疗健康数据是医学进步、公共卫生管理和健康产业创新的核心资源。随着《“健康中国2030”规划纲要》的推进与数字技术的深度融合，医疗数据的产生、收集、处理与跨境流动呈指数级增长。然而，数据的巨大价值伴生着严峻的安全与隐私挑战。患者个人信息泄露、人类遗传资源信息违规出境、医院信息系统遭受勒索攻击等事件频发，凸显了传统分散化、被动响应式的“管理”模式已难以为继，医疗机构需要主动在发展中积极响应监管要求、走出传统的“单一专业”发展的话语体系，在数智化浪潮中，正视已经发生以及必然发生的数据流通应用，建立起可用、可控的治理机制。
2021年以来“三驾马车”所构建的数据治理的顶层法律框架不断通过各环节应用细则落地，针对医疗健康领域长久以来的“怕流通”或“盲目流通”两种极端情况，《关于印发医疗卫生机构数据安全和个人信息保护管理办法（试行）的通知》（以下简称《医疗数据管理办法》），进一步落实 “分类分级” 要求，通过场景化合规明确指引整个医疗健康行业要从尽快从单一的、静态的“保密”要求，转向系统的、动态的、基于数据价值和风险的“治理”体系，尽快从“守住数据金矿”加入到“开发”数据金矿”的队伍中来。
系统梳理中国现行医疗健康数据治理的法律规范体系，把《医疗数据管理办法》“放归”法律体系与应用场景，它提出的分类分级并非空洞的形式化建制要求，通过结合国内外实践案例，可以看到，应用流通的合规要点均立足于分类分级。
通过解读这份文件，我们尝试再次回应医疗流通应用实践中反复遇到的核心问题：在鼓励数据流通应用与强化安全保护的双重政策目标下，医疗机构应如何构建一套权责清晰、动态适配、可操作的数据分类分级管理体系？如何将抽象的法律原则转化为门诊、科研、合作、创新等具体场景中的合规实践？
分类分级是数据治理的基石，其本质是对数据资产进行“身份”识别与“风险”定级，从而为后续全生命周期的安全管理与合规利用提供依据。《医疗数据管理办法》明确要求医疗卫生机构建立数据分类分级制度，这并非一项孤立的行政要求，而是对《数据安全法》国家数据分类分级保护制度在行业内的具体落实。
医疗健康数据的“分类”，首先应依据其权属来源和管理属性，确定其适用的核心管理逻辑。当前实践中，主要存在三类交织但性质不同的数据范畴：
（1）公共数据：指医疗卫生机构在履行公共管理职责或提供公共服务过程中收集、产生的数据。例如，区域全民健康信息平台汇聚的居民健康档案摘要、疾病预防控制中心收集的法定传染病数据、医保局持有的医保结算数据等。这类数据的管理，应优先适用国家及地方关于公共数据授权运营的规定。例如，《中共中央 国务院关于构建数据基础制度更好发挥数据要素作用的意见》（“数据二十条”）提出“推进公共数据确权授权机制”，各地如北京、上海、浙江等地已出台公共数据管理办法，明确了“政府授权、市场化运营”的模式。其合规焦点在于授权程序的合法性、运营过程的公益性保障与安全监管。
（2）行业数据/重要数据：指在医疗业务活动中产生，一旦遭篡改、破坏、泄露或非法获取、非法利用，可能危害国家安全、公共利益或公众健康的数据。这是《数据安全法》和《医疗数据管理办法》规制的核心。《数据安全法》要求各地区、各部门制定本地区、本部门以及相关行业、领域的重要数据具体目录。国家卫生健康委员会正在制定的《卫生健康行业数据分类分级指南》（尚未正式公开发布，但在监管实践中已有参照）即是此类。根据相关征求意见稿及实践，重要数据可能包括：反映特定区域、特定人群健康状况的群体性数据（如涉及10万人以上的诊疗数据）、重大疾病流行趋势数据、达到一定规模（如500例以上）的人类遗传资源信息、重要病原微生物数据等。其管理核心是强制性的安全保护义务、出境安全评估以及向主管部门的报告。
（3）机构/企业数据：指医疗机构作为独立法人（无论是事业单位还是企业）在自主经营和临床服务中产生的、不直接归属于上述两类范畴的业务数据。例如，医院内部运营管理数据、非群体性的临床诊疗详细记录、由医院自主研发的专病数据库等。这类数据的权属和管理逻辑更接近于 “企业数据资产” 。其流通与应用，主要受《民法典》（知识产权与商业秘密保护）、《反不正当竞争法》以及医疗机构内部章程和合同的约束。在符合个人信息保护要求的前提下，医疗机构对其享有较大的自主开发利用空间。
一个必须警惕的实践误区是“排他性定性”。部分地方或行业主管部门，为强化自身监管权限，机械地将“公共数据”与“行业数据/重要数据”进行非此即彼的划分。例如，将本应纳入公共数据统一授权运营体系的区域健康数据，仅因其具有行业属性就完全划归行业内部封闭管理，拒绝开放授权。这种逻辑在法理上难以成立，因为数据的属性可以是多重且场景依赖的。在实践中，这极易导致 “数据割据” ：不同部门基于自身管辖权，将数据禁锢在各自的“领地”内，变相规避更高层级的公共数据共享与流通要求，与《“数据二十条”》提出的“建立数据资源持有权、数据加工使用权、数据产品经营权等分置的产权运行机制”的改革方向背道而驰，最终损害数据要素全国统一大市场的建设。
“分级”是在分类基础上，根据数据一旦遭到安全事件影响可能造成的危害程度，确定不同的安全保护等级。《数据安全法》将数据分为一般数据、重要数据、核心数据三级。《网络安全标准实践指南——健康医疗数据安全指南》（GB/T 39725-2020）等行业标准也提供了更细致的分级参考（如1-4级）。分级管理的核心目的是实现安全资源的精准配置。
当前，许多医疗机构的数据安全管理仍停留在初级阶段，存在两大突出问题：
一是“信息安全”替代“数据安全”
二是“数据安全”与“个人信息保护”混同管理
因此，真正的分级管理要求医疗机构：
建立数据资产目录
开展风险影响评估
制定差异化保护策略
必须明确指出，推行分类分级管理，绝非鼓励医疗机构构筑封闭的“数据堡垒”。其根本目的恰恰相反：通过明确数据权属（是公共数据、重要数据还是机构数据）、厘清各方责任（谁持有、谁处理、谁负责安全），为数据在安全可控的前提下进行有序、高效的流通与应用奠定坚实的制度基础。
国家层面的政策导向清晰无误地指向数据的流通与应用：
科研合作
产业创新
服务体系整合
要素市场培育
分类分级管理，正是为了响应这些国家战略。它为数据流通提供了“通行证”和“说明书”：一份被明确分类（例如，属于“去标识化的临床研究数据”）和分级（例如，被定为“一般数据/2级”）的数据集，其流通的合规路径、所需的安全保障措施、各方的权利义务就变得清晰可循。这极大地降低了流通的合规不确定性和法律风险，从而从制度上鼓励而非抑制数据的合规共享与价值挖掘。因此，医疗机构建立动态、精准的分类分级体系，是其在数据驱动时代赢得发展主动权的必然选择。
法律的生命在于实施。分类分级的抽象原则必须融入具体的业务场景才能产生实效。从我们业务实践中常见的四个场景，可以看到目前合规实践中，仍有较多值得优化之处，。
这是医疗数据处理的起点和核心场景，直接关系到患者最根本的知情权与隐私权。合规的核心是贯彻 “最小必要”原则 和实现 “精细化权限控制”。
常见误区与执法镜鉴：
最大的误区莫过于使用 “一揽子”格式化知情同意书。无论是纸质入院告知书还是互联网医院的用户协议，若笼统地要求患者授权医院“为诊疗、科研、医院管理之目的使用其个人信息”，这种授权因不符合《个人信息保护法》要求的“明确、具体”而存在法律瑕疵。GDPR执法对此类行为处罚严厉。例如，2023年，西班牙数据保护局（AEPD）对一家医院处以30万欧元罚款，原因之一就是其同意声明过于宽泛，未将数据处理的不同目的（如诊疗、营销、研究）清晰区分并获取单独同意。
另一个高发风险点是内部权限管理的混乱。欧盟的案例极具警示意义：2022年，法国国家信息与自由委员会（CNIL）对巴黎一家大型医院集团处以40万欧元罚款。调查发现，该医院的医疗信息系统权限设置存在严重缺陷，数以千计的非直接负责该患者治疗的医护人员（包括行政、后勤、其他科室人员）可以随意访问患者的完整医疗记录，且访问行为缺乏正当业务理由和有效日志监控。这直接违反了数据最小化访问原则。
对中国医疗机构的启示与要点提示：
场景隔离，禁止随意迁移
权限隔离，实现动态管控
同意分类，告知清晰
健全内控，超越伦理审查
跨国多中心临床试验是新药研发的常态，数据出境不可避免。此场景的复杂性在于，它同时受到《个人信息保护法》《数据安全法》《人类遗传资源管理条例》以及科技部、药监局等多部门规章的重叠监管。实践中路径混乱的根源，在于对“受试者个人信息”法律性质的认定不一。
核心法律争议：是“一般个人信息”还是“敏感个人信息”？
根据《个人信息保护法》第二十八条，敏感个人信息包括“医疗健康”信息。那么，临床试验中去除直接标识符（姓名、身份证号），仅以“受试者鉴认码”关联的出生日期、病史、检验结果等信息，是否仍属于“敏感个人信息”？
当然，为避免过度限制，匿名化作为一个相对性的标准，参考欧盟EDPB的标准，应当考虑主体还原性在应用场景中的难度和可能性，且兼顾特定类别数据的完整质量管理要求。所以，在临床试验中，受试者鉴认码及关联数据一方面作为执行“可溯源”管理要求进行保留，不能进行简单删除；另一方面，在合规进行字段控制的传输模式下，仅以此单一鉴认码出现，合理地认知是很难获得主体身份指向，应被认定为“去标识化的一般个人信息”。其逻辑在于：敏感个人信息的界定核心是“一旦泄露或非法使用，容易导致特定自然人的人格尊严或人身财产安全受到危害”。由于申办方、CRO等研究方不持有且无法获取能将鉴认码对应到真实身份的“代码表”（该表由临床试验机构独立密封保存），对于研究方而言，这些数据无法关联到特定自然人，因此其泄露难以直接危害到“特定”个体，不符合敏感个人信息的核心要件。这一观点也与国家标准《信息安全技术 个人信息去标识化效果分级评估规范》的精神相符。然而正如上面的分析所述，单一鉴认码毋需升级，但传输中出现代码表传输，或相关鉴认码项下数据集传输字段过分完整、颗粒度极细增大还原指向性风险，则另当别论——这则引出医疗数据流通实践中的另一个问题：大部分数据本身并不在单一数据层面上凸显风险，而数据集则可能造成较大风险。
基于此的跨境合规路径分析矩阵：
基于上述定性，并结合《促进和规范数据跨境流动规定》（以下简称《跨境规定》）及上海、福建等自贸区负面清单，可以构建如下决策逻辑：
必须澄清的关键认知：
科研合规不能替代数据合规
“豁免”的是行政程序，而非实体义务
现代医疗服务的提供离不开复杂的供应链：HIS/LIS/PACS系统供应商、互联网医院平台运营商、云服务商、检验检测外包机构、智能医疗设备制造商、药品配送方等。IBM《年度数据泄露成本报告》连续多年指出，供应链攻击和第三方风险是导致数据泄露的主要原因之一，且修复成本最高。
当前突出的风险点：
共同处理者责任不清
“后门”与过度收集
不规范合作引发的连带风险
强化供应商管理的合规要求：
严格的准入评估
权责清晰的合同条款
持续的全周期监督
高质量、大规模的标注数据是医疗AI模型训练的“燃料”。医院作为数据富矿，正成为AI公司争相合作的对象。然而，无序的数据供给会带来巨大法律与伦理风险。
核心风险：职务成果的非法处置与数据主权丧失
个别科室主任或专家团队，可能将其在履职过程中收集和整理的、属于医院资产的专病数据集，未经机构批准，擅自与外部公司合作，用于产品开发或变现。这不仅侵犯了医院的数据资产权益，也可能因未履行个人信息保护义务而将医院置于违法境地。
构建合规的数据赋能机制：
机构主导，统一出口
权属清晰，利益共享
技术保障，合规处理
完善内部人事制度
在所有医疗数据处理活动中，保护个人信息权益是贯穿始终、不可动摇的红线。即使数据已被分类分级，即使目的是崇高的科研或公益，只要处理的对象是个人信息，就必须严格遵守《个人信息保护法》确立的规则。
误区一：“去掉姓名就是匿名化”：这是最普遍也最危险的误解。《个人信息保护法》严格区分了 “匿名化” 和 “去标识化” 。
匿名化
去标识化
误区二：“有偿提供就是买卖，一律犯罪”：非法买卖公民个人信息确属刑法打击范围。但需要区分“违法违规提供”与“合法的数据产品或服务交易”。关键在于是否有合法的处理依据（如同意、为订立合同所必需等） 和是否超出必要范围。如果医院在未获同意的情况下，将患者名单出售给药企，无疑涉嫌犯罪。但如果医院在获得患者明确授权后，将其去标识化的诊疗数据（作为数据产品）在合规的数据交易所进行交易，并给予患者收益分成，这则是在探索合法的数据要素市场化路径。当然，后者对合规性的要求极高，目前仍处于谨慎探索阶段。值得注意的是，最高人民法院、最高人民检察院的司法解释明确，非法获取、出售或提供健康生理信息等敏感信息，其入罪的数量标准远低于一般个人信息，体现了法律对医疗数据的特殊保护。
个人信息保护不能是静态的、一次性的。它必须是一个嵌入业务流程的、动态的持续过程。医疗机构需要建立一套机制，确保在数据生命周期的每一个环节（收集、传输、分析、共享、销毁），都能实时地：
识别
评估
控制
记录
医保局、卫健委、疾控中心等机构，基于法定职责收集和掌管着海量医疗健康个人信息。它们既是监管者，也是重要的数据处理者。这些机构必须清醒认识到：其处理个人信息的权力，完全来源于公共管理职能的法律授权，而非对数据的“所有权”。 “持有”数据不等于可以“随意使用”数据。
例如，医保局为基金监管之目的分析诊疗数据是合法的，但若将这些数据用于与监管职能无关的商业分析或提供给第三方，则必须重新寻找法律依据——在数据法实践中，确实普遍出现了一种误区：只看数据法，忘记行政法。
涉及依托公权力或法律法规授权、行政机关委托行使职能的机构和其他单位在探索公共数据运营时，必须严格遵循“依法授权、程序正当、公益优先、安全可控”的原则，其操作同样需要接受数据分类分级和个人信息保护规则的约束。它们的行为应当成为全社会合规的典范，而非例外。
医疗健康数据的应用已进入一个波澜壮阔又暗流汹涌的时代。人工智能、精准医疗、跨域研究带来的机遇前所未有，而数据安全与个人隐私面临的挑战也空前复杂，应对这一复杂局面的钥匙，正是《医疗数据管理办法》所倡导的、并与上位法精神一脉相承的 “分类分级、场景适配、动态治理” 体系。
分类分级不是给数据贴上僵化的标签，而是为其进行精准的“数字身份”登记，从而明确其在法律坐标系中的位置和流动规则。它从源头上厘清了公共数据、行业重要数据与机构数据的权责边界，旨在打破“数据割据”，而非加固孤岛。场景化分析揭示了，从最前端的门诊知情同意，到最复杂的跨境科研合作，再到最关键的第三方管理与最前沿的AI赋能，每一个环节都有其独特的合规逻辑和风险要点，无法用“一刀切”的方式应对。
贯穿始终的，是对个人信息保护这一基本人权的坚守。澄清“匿名化”与“去标识化”的谬误，理解敏感信息与重要数据的交叉与区别，是避免系统性法律风险的前提。无论是医疗机构还是监管机构自身，都必须在法律的授权范围内行事，尊重数据背后自然人的权利。
归根结底，安全是发展的前提，合规是创新的保障。一套严谨、系统、可操作的分类分级与个人信息保护体系，不是为了阻遏流通应用，而是为了引导其合规流通、合规应用、行稳致远。
特别声明：智慧医疗网转载其他网站内容，出于传递更多信息而非盈利之目的，同时并不代表赞成其观点或证实其描述，内容仅供参考。版权归原作者所有，若有侵权，请联系我们删除。
凡来源注明智慧医疗网的内容为智慧医疗网原创，转载需获授权。
