行业标准解读

2020年12月14日，国家标准化管理委员会发布《信息安全技术健康医疗数据安全指南》（GB/T 39725-2020，以下简称《安全指南》），该安全指南经多次修订完善、验证试点、修改名称后发布，将于2021年7月1日起正式实施。

1、健康医疗数据定义与分类

健康医疗数据包括个人健康医疗数据以及由个人健康医疗数据加工处理之后得到的健康医疗相关电子数据。其中“个人健康医疗数据”指单独或者与其他信息结合后能够识别特定自然人或者反映特定自然人生理或心理健康的相关电子数据，可以理解为“个人健康医疗数据”是一种特殊的“个人信息”。而“由个人健康医疗数据加工处理之后得到的健康医疗相关电子数据”则包括群体总体分析结果、趋势预测、疾病防治统计数据等。

健康医疗数据具体可分为个人属性数据、健康状况数据、医疗应用数据、医疗支付数据、卫生资源数据、公共卫生数据六大类。根据数据重要程度、风险级别、对个人健康医疗数据主体可能造成的损害和影响对上述“健康医疗数据”分为五个级别，针对不同级别，控制者可使用和披露的范围及采取的安全措施有所不同。

2、适用对象

适用对象为“健康医疗数据控制者”及其他角色，所谓“健康医疗数据控制者”是指“能够决定健康医疗数据处理目的、方式及范围等的组织或个人”，比如提供健康医疗服务的组织、医保机构、政府机构、健康医疗科学研究机构、个体诊所等。除了“健康医疗数据控制者”，《安全指南》中还规定了个别的相关角色，比如“健康医疗数据处理者”（健康医疗信息系统供应商、健康医疗数据分析公司、辅助诊疗解决方案供应商等）及“健康医疗数据使用者”等。

3、数据开放形式

网站公开，属于完全公开共享，统计概要类数据或经匿名处理后的数据，向大众开放，可自行下载分析；
文件共享，属于受控公开共享，由数据系统生成文件并推送之SFTP接口设备或应用吸引，或采用移动介质进行共享；
API接入，属于受控公开共享，系统自检通过请求回应方式提供数据，由数据系统提供实时或准实时面向特定用户的数据服务应用接口，需求方系统发起请求数据系统返回所需数据；
在先查询，属于完全公开共享（匿名查询）、受控公开共享（用户查询），在数据系统提供的功能页面上查询相关数据；
数据分析平台，属于领地公开共享，提供数据分析平台、系统环境、挖掘工具以及不含敏感数据的样本数据或模拟数据。平台用户共享或者专用硬件和数据资源，可以部署自有数据和数据分析算法，可以查询权限内的数据和分析结果。平台所有数据不能导出，分析结果的输出、下载必须经过审核通过后才能对外输出。

4、应遵循的使用披露要求

（1）控制者宜告知主体并获得授权，但存在例外情形

要求控制者在使用和披露个人健康医疗数据时，需要采取通俗易懂的方式对主体就披露使用的数据内容、接收方、用途、使用方式等进行告知，取得主体授权。但在涉及向主体本人提供、涉及公共利益或法律法规要求、涉及科学研究等目的时，控制者可以无需取得主体的授权。同时，控制者不得将个人健康医疗数据用于市场营销活动，即不得用于商业目的，如果需要用于商业目的，需要主体明确知悉，并自主同意。

（2）控制者可以向第三方提供数据，但应受到限制

要求控制者如果向数据处理者提供数据，应首先确保数据处理者的安全能力，并签署数据处理协议，未经控制者允许，严格限制数据处理者转委托，不得引入第三方协助处理。
要求控制者如果向政府授权的第三方提供数据，应首先获得盖有政府公章的文件，数据提供后，数据安全责任等由第三方控制者承担。
要求控制者如果向使用者提供数据，应首先确保使用者的安全能力，并签署数据使用协议，使用者仅限于在协议范围内使用数据，使用完毕后需要按要求返还或销毁。

（3）控制者原则上不得将数据存储在境外

《安全指南》要求控制者不宜将健康医疗数据存储在境外的服务器中，不托管和租赁在境外的服务器，如果确因学术研讨之需要，在一定数量内要向境外提供数据的，需要进行去标识化处理，并经数据安全委员会讨论审批通过。

（4）控制者宜采取去标识化处理

《安全指南》要求对于可唯一识别到个人且披露后对个人产生重大影响的信息需要进行去标识化处理，如姓名、身份证号、病历档案号等；对于可间接关联到个人的信息，宜采取泛化、转换等处理方式，如单位、具体年龄、生日等。