歐盟《一般數(shù)據(jù)保護(hù)條例》對(duì)我國(guó)患者隱私保護(hù)的啟示*

耿 希，顧翠峰，馬俊堅(jiān)

(上海中醫(yī)藥大學(xué)附屬曙光醫(yī)院倫理委員會(huì)，上海 201203，grace932@163.com)

近年來(lái)，“醫(yī)患矛盾”突出，原因方方面面，但其中非常重要卻往往容易被忽視的原因是對(duì)患者的隱私保護(hù)不夠?；颊呋蚴茉囌咴诰驮\或參與臨床研究時(shí)，基于治療或研究目的，往往需要向醫(yī)護(hù)人員或科研人員告知自己的部分隱私[1]。這本是無(wú)可厚非的，但近年來(lái)，隨著個(gè)人隱私意識(shí)的增強(qiáng)以及醫(yī)療衛(wèi)生領(lǐng)域個(gè)人信息濫用事件的曝光，關(guān)于醫(yī)患之間的隱私披露的必要性、尺度和如何保護(hù)等方面都爭(zhēng)議較大，并由此引發(fā)了不少矛盾和糾紛。如何在保障醫(yī)療和研究工作順利開(kāi)展的同時(shí)，充分保護(hù)患者依法享有的隱私權(quán)，已經(jīng)成為一個(gè)不容忽視的問(wèn)題。

1 患者隱私保護(hù)問(wèn)題的凸顯

1.1 隱私和隱私權(quán)

“隱私”這個(gè)詞為現(xiàn)代社會(huì)大眾熟知，但究竟什么是隱私，或者說(shuō)什么是法律意義上的隱私權(quán)，卻不是一個(gè)簡(jiǎn)單的問(wèn)題。首先，隱私的誕生是在物質(zhì)和精神文明不斷豐富的基礎(chǔ)上，逐漸形成的關(guān)注個(gè)人本身自由和存在的基本權(quán)利，屬于西方近現(xiàn)代意義上人格權(quán)的重要組成部分。

相對(duì)于古人以能夠參與公共生活為實(shí)現(xiàn)人的價(jià)值的認(rèn)知，現(xiàn)代人更愿意將私人領(lǐng)域和公共領(lǐng)域分開(kāi)，兩者和諧共處、互不侵犯，從而產(chǎn)生了法律意義上的隱私權(quán)，這種對(duì)隱私利益的法律保護(hù)，是承認(rèn)人的價(jià)值、尊重人性及人格尊嚴(yán)的必然結(jié)果[2]。

1.2 患者隱私泄露事件愈演愈烈

隨著現(xiàn)代信息技術(shù)的發(fā)展，斯皮內(nèi)洛指出：“信息已經(jīng)成為一種商品”，個(gè)人產(chǎn)生的數(shù)據(jù)超出了其控制范圍成為一種交易的商品，這些變化可能對(duì)隱私構(gòu)成了侵害[3]。當(dāng)隱私顯露出它的巨大經(jīng)濟(jì)價(jià)值時(shí)，則開(kāi)始不斷地被泄露與曝光，范圍越來(lái)越大。

這一判斷，在醫(yī)療衛(wèi)生領(lǐng)域也很不幸地成為現(xiàn)實(shí)，患者隱私泄露的新聞屢見(jiàn)不鮮。早在2004年6月12日，《新民晚報(bào)》就報(bào)道了題為《嬰兒未滿月推銷便不斷，誰(shuí)將“騷擾”引進(jìn)家門?》的文章，提到家里的寶寶出生離院回家不足10天，來(lái)自各家保險(xiǎn)公司的電話已經(jīng)打爆，使得坐月子的母親根本無(wú)法靜養(yǎng)，但她只在醫(yī)院登記過(guò)電話、家庭地址等信息[4]。

近年來(lái)，隨著互聯(lián)網(wǎng)的發(fā)展，隱私泄露更是有過(guò)之而無(wú)不及。2016年5月23日，南都網(wǎng)報(bào)道的題為《兩月三起！產(chǎn)婦信息又遭泄露！》的文章，提到繼3月報(bào)道的一份數(shù)量高達(dá)萬(wàn)條、涵蓋深圳近50家醫(yī)院的產(chǎn)婦信息清單流入市場(chǎng)后，又有產(chǎn)婦電話、住址遭泄露，被一家兒童攝影店購(gòu)買，推銷嬰兒拍“滿月照”等業(yè)務(wù)[5]。十年前，可能僅僅是某個(gè)人或某家醫(yī)院的隱私被泄露，如今在移動(dòng)互聯(lián)網(wǎng)的時(shí)代，已經(jīng)發(fā)展到一個(gè)城市的患者隱私被泄露，其涉及的數(shù)據(jù)之大令人咋舌。

此外，由于部分隱私能夠博取眼球、嘩眾取寵，也成為患者隱私泄露事件的重要原因之一。2016年9月，一篇名為《南江婦幼保健院岳護(hù)士竟然到處公布患者隱私》的投訴網(wǎng)帖在“問(wèn)政四川”發(fā)布后引起軒然大波，一名患者進(jìn)行婦科檢查的私密照片被護(hù)士傳到微信群，患者所患隱疾遭到“調(diào)侃”[6]。2018年8月，青年演員林更新在中日友好醫(yī)院看病，其病歷資料被醫(yī)院內(nèi)部人員拍照發(fā)至互聯(lián)網(wǎng)，因婚姻狀況填寫已婚而引起網(wǎng)友的熱烈討論，明星固然是公眾人物，但隱私依然應(yīng)被尊重，這一行為博取了大量群眾的圍觀，對(duì)林更新的個(gè)人生活造成了困擾[7]。

1.3 隱私問(wèn)題已經(jīng)開(kāi)始影響正常醫(yī)療工作

隱私泄露事件的頻發(fā)，為醫(yī)患之間本已脆弱的信任關(guān)系又蒙上了一層陰影，很多患者開(kāi)始不信任醫(yī)療機(jī)構(gòu)，對(duì)于一些私密但又涉及自己病情的問(wèn)題，不愿意放心溝通，從而最終影響了醫(yī)生的正常判斷；參與臨床研究的時(shí)候，顧慮研究者的職業(yè)操守，不配合或者提供虛假的信息。而這當(dāng)中，部分醫(yī)療和科研人員又判斷錯(cuò)誤，該問(wèn)的不該問(wèn)的、該記錄的不該記錄的信息都向患者索取，就更加加劇了這種不信任感的蔓延。

而一旦這種不信任感發(fā)展到一定程度，就會(huì)因?yàn)橐恍┑湫褪录幻襟w和輿論無(wú)限放大，進(jìn)而形成社會(huì)性話題。如上面提到的問(wèn)政四川和林更新事件，都使得相關(guān)醫(yī)療機(jī)構(gòu)進(jìn)行后續(xù)的正常醫(yī)療業(yè)務(wù)時(shí)，產(chǎn)生了不必要的阻力。一段缺乏信任的醫(yī)患關(guān)系，或者互相提防的研究和受試者關(guān)系，造成的可能就是一例本可治愈的疾病被耽誤、或一款新藥的推遲面世，給患者和整個(gè)醫(yī)療衛(wèi)生工作產(chǎn)生重大的不良影響。

2 患者隱私保護(hù)的不足和反思

2.1 現(xiàn)有工作中的種種表現(xiàn)

無(wú)必要/無(wú)意義地公開(kāi)患者隱私：就診環(huán)節(jié)中一些公開(kāi)信息可能成為患者隱私泄露的重要途徑。例如，某些醫(yī)院會(huì)在候診大屏幕上顯示就診人的姓名和科室；住院患者的床頭卡會(huì)詳細(xì)標(biāo)明姓名、病情和用藥信息；或是所有的化驗(yàn)單放在檢驗(yàn)室窗口處，由患者隨意取單……

診療過(guò)程中的隱私泄露：很多醫(yī)院的熱門專家，診室內(nèi)外都站滿候診患者，集體圍觀正在就診的人，令其在口述病情時(shí)感到不安；也有些醫(yī)生在教學(xué)查房時(shí)未事先與患者溝通，在眾多學(xué)生面前講解患者病情、展示患病部位……

被二次利用的隱私：醫(yī)學(xué)研究者在進(jìn)行臨床病例的回顧性研究或利用以往臨床診療中獲得的健康信息和生物標(biāo)本的研究時(shí)，無(wú)法獲得信息擁有者的知情同意，在此情況下，如果數(shù)據(jù)處理不當(dāng)，很可能造成隱私的泄露，引發(fā)不必要的糾紛。此外，在醫(yī)療大數(shù)據(jù)整合的背景下，醫(yī)療決策者為了獲得更全面、更完整的數(shù)據(jù)集，通過(guò)數(shù)據(jù)挖掘和數(shù)據(jù)處理等技術(shù)，從中獲得支持決策的有價(jià)值的信息。由于大數(shù)據(jù)的價(jià)值更多源于它的二次利用，在數(shù)據(jù)的利用過(guò)程中可能導(dǎo)致原本看似不相關(guān)的數(shù)據(jù)通過(guò)挖掘可能發(fā)現(xiàn)個(gè)人隱私的數(shù)據(jù)[8]。

管理機(jī)制的欠缺：在上述深圳產(chǎn)婦隱私泄露的新聞中，醫(yī)院表示2008年后有關(guān)部門已對(duì)全市信息系統(tǒng)進(jìn)行了調(diào)整，然而由于管理欠佳，未對(duì)操作人員進(jìn)行安全教育，導(dǎo)致護(hù)士、保安串通一氣，販賣患者隱私信息。

2.2 不足的原因分析和反思

上述問(wèn)題，從表面上看，其原因或者是醫(yī)療工作者本身隱私保護(hù)意識(shí)的不足、或者是管理機(jī)構(gòu)的管控機(jī)制欠缺、也或者是對(duì)新技術(shù)的應(yīng)用缺乏必要的反思等，原因各不相同，很多研究者也都從意識(shí)不足和管理不善的角度提出了意見(jiàn)和建議。但從筆者所從事的倫理委員會(huì)日常工作來(lái)看，真的是意識(shí)不足、管理不善嗎？答案并非如此。通過(guò)觀察和了解，很少有醫(yī)療工作者認(rèn)為患者隱私保護(hù)工作不重要或者說(shuō)自己尚未考慮過(guò)這個(gè)問(wèn)題，甚至還有人援引《執(zhí)業(yè)醫(yī)師法》的有關(guān)條款，說(shuō)明患者隱私保護(hù)的重要性和必要性；也并非醫(yī)療機(jī)構(gòu)不重視，如筆者所在的倫理委員會(huì)在進(jìn)行臨床科研項(xiàng)目審查或醫(yī)療倫理查房時(shí)，知情同意和患者隱私的保護(hù)都是審查或檢查內(nèi)容的重要關(guān)注點(diǎn)。

所以，隱私保護(hù)成為大家都很重視，但卻無(wú)從下手的事情。隱私意識(shí)的培養(yǎng)和宣貫，醫(yī)護(hù)人員在其進(jìn)行專業(yè)課程、職業(yè)指導(dǎo)、行為規(guī)范的學(xué)習(xí)時(shí)，都從不同程度了解到很多原則性的要求或碎片化的概念。例如，《執(zhí)業(yè)醫(yī)師法》要求醫(yī)生尊重和保護(hù)患者的隱私，但怎樣做才算是尊重和保護(hù)？告訴患者的父母、配偶或子女算是隨意傳播嗎？和非該患者主治醫(yī)生的同事討論算是侵犯其隱私嗎？這些都是知道隱私保護(hù)重要性的醫(yī)護(hù)人員卻無(wú)法回答的問(wèn)題。又比如更專業(yè)的話題如知情同意書中應(yīng)該明確告知哪些內(nèi)容？什么樣的知情同意書是能夠保障患者或受試者權(quán)益的？病歷或科研數(shù)據(jù)是否可以跨研究機(jī)構(gòu)共享？這些不僅僅是隱私保護(hù)意識(shí)的問(wèn)題，更是隱私保護(hù)操作領(lǐng)域的問(wèn)題。

2.3 知易行難，怎么做是關(guān)鍵

從上面的分析，可以看到關(guān)于患者隱私保護(hù)工作，所需要的不僅僅是知道是什么，而更重要的是知道怎么做，甚至知道為什么。如果沒(méi)有系統(tǒng)的培訓(xùn)和宣貫解決怎么做的困擾，就永遠(yuǎn)只能是“雖然知道隱私保護(hù)很重要，但卻往往侵犯患者隱私而不自知?！?/p>

此外，很多時(shí)候患者自身不清楚個(gè)人隱私保護(hù)的邊界在哪里，自己的合法權(quán)益是什么，這造成的后果就是往往會(huì)顧慮于無(wú)法為醫(yī)生提供足夠的診斷信息或者害怕醫(yī)生認(rèn)為其不配合治療，而大量提供不必要的過(guò)多的個(gè)人信息，或者在不清楚自己的個(gè)人隱私被非法收集或合法權(quán)益未得到充分保障的情況下，盲目“同意”某些不合理的研究。

所以，大多數(shù)時(shí)候，我們?nèi)狈Φ牟皇莾H僅告訴醫(yī)護(hù)人員應(yīng)該保護(hù)患者的隱私，而是要告訴他們?cè)趺醋?，更要通過(guò)合理的途徑告訴每一位患者，他們所享有的合法權(quán)利是什么，這些合法權(quán)利如果受到了侵犯，誰(shuí)可以幫助他們。

3 歐盟GDPR帶來(lái)的啟示和思路

3.1 什么是歐盟GDPR

在任何行業(yè)和領(lǐng)域，法律往往是保護(hù)公民合法權(quán)益的最佳手段，所以筆者嘗試分析了國(guó)內(nèi)相關(guān)領(lǐng)域的法律法規(guī)，但遺憾的是國(guó)內(nèi)的相關(guān)法律雖然規(guī)定了醫(yī)務(wù)人員對(duì)患者隱私的保密義務(wù)，但仍缺乏明確的規(guī)范，甚至把隱私權(quán)混同于名譽(yù)權(quán)，對(duì)隱私權(quán)的侵害也缺乏明確的法律責(zé)任規(guī)定[9]。

2018年5月25日，歐盟正式實(shí)施《一般數(shù)據(jù)保護(hù)條例》(GDPR，General Data Protection Regulation)，引起了世界范圍內(nèi)的巨大反響。這一條例被認(rèn)為是隱私保護(hù)領(lǐng)域最權(quán)威和細(xì)致的立法。在實(shí)踐中，GDPR定義了七項(xiàng)隱私保護(hù)的基本原則，并提出了一系列更具操作性的隱私保護(hù)要求和規(guī)范[10]。通過(guò)深入分析這些立法原理和其他行業(yè)的成功經(jīng)驗(yàn)，能夠給患者隱私保護(hù)工作的有效開(kāi)展帶來(lái)巨大的提升。

本文選擇了GDPR中最核心的指導(dǎo)理念，并結(jié)合醫(yī)務(wù)工作的實(shí)際情況，提出了一些切實(shí)可行的解決患者隱私保護(hù)問(wèn)題的指導(dǎo)思路和方法，從而嘗試跳出知易行難的傳統(tǒng)窠臼。

3.2 數(shù)據(jù)主體，明確隱私的權(quán)利主體

提到患者隱私保護(hù)需要做些什么，往往大家都會(huì)覺(jué)得無(wú)從下手，對(duì)于隱私保護(hù)的問(wèn)題，GDPR定義了三個(gè)最基本的概念，稱為數(shù)據(jù)主體、數(shù)據(jù)控制者和數(shù)據(jù)操作者：

3.2.1 數(shù)據(jù)主體

數(shù)據(jù)主體就是隱私信息(數(shù)據(jù))的所有者。隱私信息作為能夠關(guān)聯(lián)到自然人的信息和數(shù)據(jù)，是屬于某個(gè)自然人所有的，無(wú)論這個(gè)信息是直接從他/她那里獲取的，還是通過(guò)其他方式分析和加工形成的。只要不違背法律要求或侵犯公共利益，任何對(duì)此類隱私信息的采集、分析、處理和存儲(chǔ)，都應(yīng)該是基于數(shù)據(jù)主體的同意而進(jìn)行的。

3.2.2 數(shù)據(jù)控制者

數(shù)據(jù)控制者可以是人也可以是機(jī)構(gòu)，指決定隱私信息怎么處理的角色。在醫(yī)療領(lǐng)域，患者的哪些隱私信息可能在診療和研究過(guò)程中需要被采集，以及被如何處理，這些內(nèi)容都不是患者自己能夠確定的，它需要專業(yè)的知識(shí)和技能。數(shù)據(jù)控制者是直接向數(shù)據(jù)主體負(fù)責(zé)的角色，需要決定怎么使用患者隱私、向患者解釋清楚需要提供什么樣的隱私、會(huì)被用于何種用途，并依法獲得患者的知情同意，并在此后負(fù)責(zé)確保本單位和研究團(tuán)隊(duì)按照患者(數(shù)據(jù)主體)同意的范圍處理和使用其隱私信息。

3.2.3 數(shù)據(jù)處理者

數(shù)據(jù)處理者同樣可以是人也可以是機(jī)構(gòu)，不直接面對(duì)患者(數(shù)據(jù)主體)，關(guān)于如何處理和分析患者的隱私信息，只需要執(zhí)行數(shù)據(jù)控制者的要求即可，只要該要求不違法，就按照要求操作，絕對(duì)不可以超范圍處理。

這三個(gè)角色的分類，首先，明確地定義了隱私工作合法性的來(lái)源，即患者(數(shù)據(jù)主體)的授權(quán)；其次，確定了決策管理和確?；颊唠[私得到充分尊重和保護(hù)的責(zé)任主體，即數(shù)據(jù)控制者的全過(guò)程管控；最后，對(duì)于數(shù)據(jù)的處理者，從剝奪其決策權(quán)的角度，也清晰的劃定了責(zé)任邊界，即只對(duì)執(zhí)行負(fù)責(zé)，只要不違法不用考慮任何外部隱私，最大地提高了工作效率。

這當(dāng)中的數(shù)據(jù)控制者和處理者，基于不同的場(chǎng)景，有不同的具體的身份如在就診時(shí)可以是主治醫(yī)生，作為控制者向患者告知醫(yī)院哪些活動(dòng)可能涉及隱私，其他化驗(yàn)、檢查和信息等部門作為處理者，必須不逾越主治醫(yī)生對(duì)患者的承諾；在某個(gè)科研小組內(nèi)，研究負(fù)責(zé)人是控制者，負(fù)責(zé)決定向患者采集哪些信息，以及會(huì)如何進(jìn)行研究，而課題組成員則應(yīng)該嚴(yán)格遵守研究負(fù)責(zé)人的要求，不得有任何超過(guò)其要求的濫用和分享；在多中心的合作治療/研究中，患者所在的醫(yī)院是控制者，而其他醫(yī)院則只能按照該院的明確指示處理患者隱私。

3.3 知情同意，提高信息透明性是關(guān)鍵

對(duì)于知情同意這一患者基本權(quán)利，GDPR同樣能夠提供更具操作性的指導(dǎo)思路，包括：

①對(duì)給出知情告知的人員，要求以最簡(jiǎn)練、清晰和無(wú)歧義的表述，用患者的母語(yǔ)提供詳細(xì)(避免用模糊和泛指誤導(dǎo)受試者)但不冗長(zhǎng)(避免受試者沒(méi)有耐心看)的告知。

②同意不能混淆主要目標(biāo)和次要目標(biāo)，知情同意書中應(yīng)明確區(qū)分哪些是必須的隱私信息，哪些是非必須的，患者拒絕提供非必要的信息不影響其獲得合法權(quán)益。這也應(yīng)是知情同意書審查的重點(diǎn)內(nèi)容，醫(yī)療機(jī)構(gòu)或研究者不能給患者或受試者提供簡(jiǎn)單的選擇題，例如“以下信息有任何一項(xiàng)無(wú)法提供就不能參與新藥研究”的情況，是嚴(yán)格禁止的。

③此外，還特別關(guān)注了患者自由意志的行使，也就是說(shuō)只有患者的同意不是因?yàn)樘囟ǖ睦_突或信息不對(duì)稱而做出的，才是被認(rèn)可的。任何非必要的隱私信息采集，即使基于已簽字的知情同意書，但如果不是出于患者自由意志的同意，也會(huì)被認(rèn)為侵犯了患者的合法權(quán)益[11]。

可以看到，上述要求不僅僅回答了“知情同意”中要做什么的問(wèn)題，更詳細(xì)地規(guī)范了應(yīng)該怎么做的問(wèn)題，使能夠真正指導(dǎo)處理個(gè)人數(shù)據(jù)的研究者，知道應(yīng)該如何準(zhǔn)確、清晰地向患者和受試者傳遞隱私信息采集的知情同意。關(guān)于具體知情同意書的起草，還有一些其他行業(yè)的最佳實(shí)踐指導(dǎo)，如通過(guò)通俗、簡(jiǎn)要解釋和專業(yè)解釋對(duì)照的方式，在知情同意書中讓患者或受試者第一眼就可以快速獲取必要的信息，避免翻閱冗長(zhǎng)的文件，但又可以在看到自己關(guān)注的內(nèi)容時(shí)，隨時(shí)可以看到更詳細(xì)的解釋和說(shuō)明，避免只有概略性說(shuō)明的表達(dá)不準(zhǔn)確的問(wèn)題。

3.4 跨機(jī)構(gòu)研究，誰(shuí)來(lái)把控脫韁的數(shù)據(jù)

很多時(shí)候，一個(gè)科研課題采集的患者隱私，可能在多個(gè)機(jī)構(gòu)之間共享，或者存儲(chǔ)在信息庫(kù)中，被后續(xù)的研究者重新分析，這個(gè)過(guò)程當(dāng)中，就往往會(huì)存在患者隱私信息離開(kāi)最初的研究團(tuán)隊(duì)之后失去管控的問(wèn)題。這也是傳統(tǒng)隱私保護(hù)問(wèn)題中的難點(diǎn)，特別是電子信息，由于是可復(fù)制的內(nèi)容，一旦脫離最初的控制者就會(huì)完全失去控制。

對(duì)于不同的研究機(jī)構(gòu)間應(yīng)該如何合法、安全和有效地共享患者的隱私信息、誰(shuí)來(lái)告知患者這一共享，如何保障研究過(guò)程中、研究完畢后個(gè)人隱私數(shù)據(jù)的安全，GDPR都給出了較為詳細(xì)的規(guī)范?；?.2

節(jié)中數(shù)據(jù)控制者和數(shù)據(jù)處理者的定義，如果是跨機(jī)構(gòu)的合作研究，可以通過(guò)控制者和處理者之間的協(xié)議來(lái)進(jìn)行嚴(yán)格的約束，通過(guò)合同手段向患者隱私數(shù)據(jù)的接收和處理者提出管控的要求，用法律來(lái)約束其行為。任何超出協(xié)議約束的處理，在數(shù)據(jù)控制者明確寫明后合作機(jī)構(gòu)依然一意孤行并造成不良后果的，可以通過(guò)法律手段來(lái)維護(hù)本單位和患者的合法權(quán)利。

另外，對(duì)于很多醫(yī)療和科研人員關(guān)心的過(guò)度隱私保護(hù)是否會(huì)影響科研工作的顧慮，GDPR還給出了相應(yīng)的補(bǔ)充條款，規(guī)范了應(yīng)該如何在這些領(lǐng)域使用個(gè)人隱私信息，通過(guò)采取一系列的管理和技術(shù)措施來(lái)降低對(duì)個(gè)人的不良影響，同時(shí)兼顧醫(yī)學(xué)研究工作的開(kāi)展，如一些重要科研數(shù)據(jù)的積累，在擦除能夠關(guān)聯(lián)到具體人員的信息后，仍可以進(jìn)行存儲(chǔ)和重復(fù)使用。