電子健康檔案信息泄露通知制度的國際經(jīng)驗(yàn)及借鑒

鐘其炎

[摘要]信息泄露通知制度是電子健康檔案信息保護(hù)的重要環(huán)節(jié)，已被世界各國廣泛采用。論文從法律依據(jù)、觸發(fā)條件、通知主體、通知對象、通知時(shí)限、通知內(nèi)容、通知方式和法律責(zé)任等方面，詳細(xì)比較分析了美國、歐盟、澳大利亞和中國的電子健康檔案信息泄露通知制度。通過比較分析發(fā)現(xiàn)，我國電子健康檔案信息泄露通知制度尚不完善，與國際先進(jìn)水平尚有較大差距，可以從完善電子健康檔案信息泄露通知的法律法規(guī)、建立電子健康檔案信息泄露應(yīng)急響應(yīng)計(jì)劃、加大違反電子健康信息泄露通知制度的懲罰力度等方面進(jìn)一步改進(jìn)和提升。

[關(guān)鍵詞]健康信息個(gè)人信息數(shù)據(jù)泄露泄露通報(bào)制度

[分類號]G279

Learning and Shaping Better Data Breaches Scheme for Electronic Health Records from International Experiences——Based on Analysis of Practices in United States， European Union， Australia and China

Zhong Qiyan（School of Information Management of Sun Yat-sen University， Guangzhou， Guangdong， 511436）

Abstract： Data breaches notification scheme is an important instrument to protect the information in electronic health record， which has been widely adopted by countries all over the world through legislation. This paper intends to analyze the provisions， circumstances， entities and individuals involved， response time， content， methods and legal liabilities of data breaches notification for electronic health record in United States， European Union， Australia and China. By comparing and contrasting the practices in the aforementioned countries， this paper finds that the data breaches scheme in our country needs to be improved. There is a great disparity between the practice in China and those in the leading countries. This paper suggests that we could better our data breaches scheme for electronic health record by improving the laws and regulations for data breaches notification； by establishing data breaches emergency response plan and by reinforcing penalties for violations against any data breaches laws and regulations.

Keywords： Health Information； Personal Data； Data Breaches； Data Breaches Notification Scheme

電子健康檔案是人們在健康相關(guān)活動中直接形成的具有保存?zhèn)洳閮r(jià)值的電子化歷史記錄，涵蓋了一個(gè)人從出生到死亡健康狀況發(fā)展變化的信息資料。電子健康檔案利用價(jià)值高、敏感性極強(qiáng)，一旦泄露將可能導(dǎo)致嚴(yán)重的個(gè)人身心健康和經(jīng)濟(jì)損失，因此世界各國都給予重點(diǎn)關(guān)注和嚴(yán)格保護(hù)。個(gè)人信息泄露通知制度，是指當(dāng)個(gè)人信息發(fā)生或者可能發(fā)生泄露事件，并可能對相關(guān)人員造成損害時(shí)，信息控制者以適當(dāng)形式及時(shí)通知相關(guān)部門和個(gè)人，讓各方盡快了解信息泄露情況并采取相應(yīng)的保護(hù)措施的制度[1]。信息泄露通知制度是強(qiáng)化信息保護(hù)必不可少的重要環(huán)節(jié)，已被世界各國立法廣泛采用。本文選取美國、歐盟、澳大利亞、中國為研究對象，比較分析4個(gè)國家電子健康檔案信息泄露通知制度的異同，以期借鑒國際先進(jìn)經(jīng)驗(yàn)，進(jìn)一步完善我國電子健康檔案信息泄露通知制度。

1信息泄露通知制度的比較分析

1.1信息泄露通知的法律依據(jù)

美國沒有制定全國統(tǒng)一的個(gè)人信息保護(hù)法，但針對醫(yī)療、電信、金融等行業(yè)制定了專門的個(gè)人信息保護(hù)法。美國于1996年頒布實(shí)施了《健康保險(xiǎn)攜帶和責(zé)任法》（The Health Insurance Portability and Accountability Act of 1996，以下簡稱HIPAA）[2]，2000年制定了《個(gè)人可識別健康信息的隱私標(biāo)準(zhǔn)》，保障醫(yī)療保健信息的合理流動，保護(hù)個(gè)人健康信息的安全和患者隱私。HIPAA和《隱私標(biāo)準(zhǔn)》建立了強(qiáng)制性的個(gè)人健康信息泄露通知制度，要求相關(guān)機(jī)構(gòu)和個(gè)人必須遵守，并由美國衛(wèi)生和公眾福利部的公民權(quán)利辦公室負(fù)責(zé)監(jiān)督實(shí)施。此外，美國目前還有47個(gè)州制定了地方性的個(gè)人信息泄露通知法案。

歐盟議會于2016年4月14日通過了《通用數(shù)據(jù)保護(hù)條例》（General Data Protection Regulations，以下簡稱GDPR），并于2018年5月25日正式生效實(shí)施[3]。該條例統(tǒng)一了整個(gè)歐盟的數(shù)據(jù)保護(hù)法律，使各國能夠進(jìn)行互動，確保其公民的個(gè)人數(shù)據(jù)不會因不同的監(jiān)管要求而受到損害。該條例的適用范圍極為廣泛，任何收集、傳輸、保留或處理涉及歐盟所有成員國內(nèi)的個(gè)人信息的機(jī)構(gòu)均受該條例的約束，其中個(gè)人信息泄露通知制度也是GDPR的重要內(nèi)容。歐盟沒有單獨(dú)制定電子健康檔案信息保護(hù)法律，個(gè)人健康信息屬于敏感信息，同樣適用于GDPR。

澳大利亞于1988年頒布《隱私權(quán)法》，將個(gè)人健康和醫(yī)療信息列為“敏感信息”，要求嚴(yán)格監(jiān)管，并明確了合法收集、使用及披露健康信息的相關(guān)規(guī)定。2017年通過了《隱私權(quán)修正（數(shù)據(jù)泄露通知）法案》，建立了嚴(yán)格的個(gè)人信息泄露通知制度[4]。為了在全國范圍順利推行“個(gè)人控制的電子健康記錄”系統(tǒng)（2015年更名為“我的健康記錄”系統(tǒng)），澳大利亞于2012年6月頒布了《個(gè)人控制的電子健康記錄法》，2015年正式更名為《我的健康記錄法》[5]。該法案對“我的健康記錄”系統(tǒng)上的健康信息進(jìn)行嚴(yán)格管理，其中包括強(qiáng)制性信息泄露通知義務(wù)。

中國尚未出臺個(gè)人信息保護(hù)法和電子健康檔案信息保護(hù)的專門法律法規(guī)，《中華人民共和國網(wǎng)絡(luò)安全法》于2017年6月1日正式實(shí)施，首次在全國法律層面提出建立個(gè)人信息泄露通知制度?！吨腥A人民共和國網(wǎng)絡(luò)安全法》第四十二條明確提出，網(wǎng)絡(luò)運(yùn)營者應(yīng)當(dāng)采取技術(shù)措施和其他必要措施，確保其收集的個(gè)人信息安全，防止信息泄露、毀損、丟失。在發(fā)生或者可能發(fā)生個(gè)人信息泄露、毀損、丟失的情況時(shí)，應(yīng)當(dāng)立即采取補(bǔ)救措施，按照規(guī)定及時(shí)告知用戶并向有關(guān)主管部門報(bào)告[6]。電子健康檔案信息屬于《中華人民共和國網(wǎng)絡(luò)安全法》規(guī)定的個(gè)人信息范疇，適用個(gè)人信息泄露通知制度。

上述4個(gè)國家（地區(qū)）的個(gè)人健康檔案信息泄露通知法案存在差異，各有特色。美國和澳大利亞制定了電子健康檔案信息保護(hù)專門法律，對于電子健康檔案信息泄露通知制度提出了明確和具體的要求；但澳大利亞《隱私權(quán)法》不適用各州和地區(qū)的政府機(jī)構(gòu)，各州目前尚未制定個(gè)人信息泄露通知法案，《我的健康記錄法》也只是針對全國“我的健康記錄”系統(tǒng)中的健康信息，系統(tǒng)外的個(gè)人健康信息不適用，因此澳大利亞個(gè)人健康信息泄露通知制度在適用范圍方面還存在一定的局限性。歐盟沒有單獨(dú)制定電子健康檔案信息保護(hù)法律，而是將電子健康檔案信息納入全面的個(gè)人信息保護(hù)中，對信息泄露通知制度作出了明確規(guī)定和具體要求，并適用于歐盟所有成員國，統(tǒng)一個(gè)人信息保護(hù)標(biāo)準(zhǔn)，有利于推廣實(shí)施。中國沒有制定全面的個(gè)人信息保護(hù)法和電子健康檔案信息專門法，只針對網(wǎng)絡(luò)個(gè)人信息的泄露通報(bào)進(jìn)行了規(guī)定，內(nèi)容相對比較籠統(tǒng)，但適用于全國范圍。

1.2信息泄露通知的觸發(fā)條件

美國HIPAA規(guī)定，信息泄露是指違反隱私規(guī)則的未授權(quán)的使用或披露，導(dǎo)致信息的機(jī)密性、完整性、可用性受到破壞。不是所有電子健康檔案信息泄露都要履行強(qiáng)制通知義務(wù)，HIPAA規(guī)定超過500人以上的健康信息泄露必須通知，但500人以下的健康信息泄露，需要進(jìn)行一個(gè)風(fēng)險(xiǎn)評估，包括：（1）所涉受保護(hù)健康信息的性質(zhì)和程度，包括識別資料的類型和重新識別的可能性；（2）使用受保護(hù)的健康信息或向其披露信息的未經(jīng)授權(quán)的人；（3）受保護(hù)的健康信息是否實(shí)際獲得或查看；（4）受保護(hù)的健康信息面臨的風(fēng)險(xiǎn)是否得到了緩解。如果經(jīng)過評估分析后，認(rèn)為所保護(hù)的健康信息被泄露的可能性很低或影響很小，可以不需要向相關(guān)機(jī)構(gòu)和個(gè)人通知。

歐盟GDPR規(guī)定，個(gè)人信息泄露的定義為“違反安全規(guī)定導(dǎo)致所傳輸、存儲或以其他方式處理的個(gè)人數(shù)據(jù)遭受意外或非法毀壞、丟失、篡改、未經(jīng)授權(quán)披露或訪問”[7]；并非所有信息泄露行為都需要履行通知義務(wù)，只有對個(gè)人的權(quán)利和自由造成風(fēng)險(xiǎn)時(shí)才需要。因此，信息控制者應(yīng)先評估信息泄露事件對個(gè)人造成的風(fēng)險(xiǎn)，評估時(shí)需要考慮違規(guī)的類型、信息敏感性和所涉及的個(gè)人信息的數(shù)量、從該信息中識別個(gè)人的難易程度、潛在后果等。由于電子健康檔案信息屬于GDPR規(guī)定需嚴(yán)格監(jiān)管的敏感信息，一旦發(fā)生泄露事件，相關(guān)部門會在評估風(fēng)險(xiǎn)時(shí)予以特別重視，因此需要履行通知義務(wù)的概率也比較高。信息專員辦公室設(shè)立了電話熱線，可為信息控制者評估風(fēng)險(xiǎn)時(shí)提供咨詢服務(wù)。

澳大利亞《隱私法》規(guī)定，在未經(jīng)授權(quán)的情況下收集、訪問或披露實(shí)體所持有的個(gè)人信息（或者個(gè)人信息丟失），并很可能對與信息有關(guān)的任何個(gè)人造成嚴(yán)重傷害，以及該實(shí)體未能通過補(bǔ)救行動防止可能存在的嚴(yán)重?fù)p害風(fēng)險(xiǎn)時(shí)，需要強(qiáng)制履行信息泄露通知義務(wù)。如果一個(gè)實(shí)體迅速采取行動補(bǔ)救行為，信息泄露不可能對個(gè)人造成嚴(yán)重?fù)p害，則不需要通知相關(guān)個(gè)人。澳大利亞《隱私權(quán)法》和《我的健康記錄法》沒有對“嚴(yán)重傷害”作出具體定義，各機(jī)構(gòu)應(yīng)全面評估嚴(yán)重?fù)p害的風(fēng)險(xiǎn)，包括信息泄露所涉及的個(gè)人信息類型、信息泄露情況（包括其原因和程度）、對受影響個(gè)人的損害性質(zhì)。

《中華人民共和國網(wǎng)絡(luò)安全法》規(guī)定，在發(fā)生或者可能發(fā)生個(gè)人信息泄露、毀損、丟失的情況時(shí)，網(wǎng)絡(luò)運(yùn)營者應(yīng)當(dāng)立即采取補(bǔ)救措施，按照規(guī)定及時(shí)告知用戶并向有關(guān)主管部門報(bào)告[8]。但該法案沒有進(jìn)一步解釋信息泄露觸發(fā)條件，沒有明確究竟何種程度的信息泄露事件需要及時(shí)通知。

美國、歐盟、澳大利亞和中國對“信息泄露”定義的實(shí)質(zhì)基本相同，都包括信息的泄露、損毀和丟失，但對信息泄露嚴(yán)重程度的判斷標(biāo)準(zhǔn)及觸發(fā)通知的條件有所差異。美國、歐盟和澳大利亞都要求對信息泄露事件進(jìn)行風(fēng)險(xiǎn)評估，并發(fā)布了評估指南或要點(diǎn)，中國則缺少風(fēng)險(xiǎn)評估相關(guān)指引。

1.3信息泄露通知的主體

電子健康檔案信息一旦發(fā)生泄露事件，由誰來負(fù)責(zé)通知相關(guān)機(jī)構(gòu)或人員，各個(gè)國家對此規(guī)定有所差異。美國HIPPA規(guī)定，隱私保護(hù)機(jī)構(gòu)包括健康保健計(jì)劃、健康信息交換中心以及那些以電子方式進(jìn)行某些金融和行政交易的醫(yī)療保健服務(wù)提供者。因此，個(gè)人健康信息發(fā)生泄露，信息的控制者要承擔(dān)信息泄露通知義務(wù)。歐盟GDPR規(guī)定，只要是處理歐盟公民個(gè)人信息的機(jī)構(gòu)（不論該機(jī)構(gòu)辦公地點(diǎn)或注冊地點(diǎn)是否在歐盟境內(nèi)、不論該信息處理行為是否實(shí)際發(fā)生在歐盟境內(nèi)）均適用GDPR，信息的控制者要承擔(dān)信息泄露通知的義務(wù)，信息處理者發(fā)現(xiàn)信息泄露情況后應(yīng)當(dāng)及時(shí)告知信息控制者[9]。澳大利亞《我的健康記錄法》規(guī)定，“我的健康記錄”系統(tǒng)中的信息發(fā)生泄露，系統(tǒng)的參與者（包括系統(tǒng)操作員即澳大利亞數(shù)字衛(wèi)生局、注冊的醫(yī)療保健服務(wù)機(jī)構(gòu)、注冊存儲庫運(yùn)營商、注冊門戶運(yùn)營商或注冊的簽約服務(wù)提供商）必須報(bào)告相關(guān)數(shù)據(jù)泄露情況?！吨腥A人民共和國網(wǎng)絡(luò)安全法》規(guī)定，信息泄露通知主體為網(wǎng)絡(luò)運(yùn)營者，包括網(wǎng)絡(luò)的所有者、管理者和網(wǎng)絡(luò)服務(wù)提供者。從信息泄露通知的主體來看，美國和歐盟的規(guī)定比較類似，主要由信息的控制者負(fù)責(zé)履行通知義務(wù)，但歐盟對信息控制者的定義比較寬泛；澳大利亞則是規(guī)定電子健康檔案系統(tǒng)的所有參與者都是信息泄露報(bào)告主體，但通知受影響的個(gè)人是由澳大利亞數(shù)字衛(wèi)生局所執(zhí)行。中國規(guī)定個(gè)人信息泄露通知主體是網(wǎng)絡(luò)運(yùn)營者，范圍也比較廣泛。

1.4信息泄露通知的對象

美國HIPAA規(guī)定，發(fā)生信息泄露后，信息控制者必須向受影響的個(gè)人、美國衛(wèi)生與公眾服務(wù)部公民權(quán)利辦公室以及在某些情況下（超過500人信息泄露）向媒體進(jìn)行通知。此外，如果是由業(yè)務(wù)伙伴發(fā)生違規(guī)，業(yè)務(wù)伙伴必須通知信息控制者，由信息控制者向相關(guān)人員或機(jī)構(gòu)通知。歐盟GDPR規(guī)定，在個(gè)人數(shù)據(jù)被泄露的情況下，信息控制者將個(gè)人數(shù)據(jù)泄露情況通知主管的監(jiān)督機(jī)構(gòu)；若信息泄露可能對相關(guān)個(gè)人產(chǎn)生負(fù)面影響，還應(yīng)當(dāng)立即通知相關(guān)個(gè)人。澳大利亞《我的健康記錄法》規(guī)定，“我的健康記錄”信息泄露后，醫(yī)療服務(wù)提供商需要將數(shù)據(jù)泄露情況通知澳大利亞數(shù)字衛(wèi)生局和澳大利亞信息專員辦公室（其中州或地區(qū)的機(jī)構(gòu)不強(qiáng)制向澳大利亞信息專員辦公室報(bào)告），澳大利亞數(shù)字衛(wèi)生局必須向澳大利亞信息專員辦公室報(bào)告相關(guān)情況?！吨腥A人民共和國網(wǎng)絡(luò)安全法》規(guī)定，發(fā)生個(gè)人信息泄露后，網(wǎng)絡(luò)運(yùn)營者需及時(shí)告知用戶并向有關(guān)主管部門報(bào)告；該法的第八條規(guī)定，國家網(wǎng)信部門負(fù)責(zé)統(tǒng)籌協(xié)調(diào)網(wǎng)絡(luò)安全工作和相關(guān)監(jiān)督管理工作，國務(wù)院電信主管部門、公安部門和其他有關(guān)機(jī)關(guān)依法在各自職責(zé)范圍內(nèi)負(fù)責(zé)網(wǎng)絡(luò)安全保護(hù)和監(jiān)督管理工作。電子健康檔案信息泄露后，除了向有關(guān)用戶告知外，還需向網(wǎng)信部門和衛(wèi)生行業(yè)主管部門報(bào)告[10]。從電子健康檔案信息泄露通知對象來看，美國、歐盟、澳大利亞、中國都包括政府相關(guān)主管機(jī)構(gòu)和受影響個(gè)人，但美國、歐盟、澳大利亞都成立了專門的個(gè)人信息監(jiān)管機(jī)構(gòu)，而中國則沒有個(gè)人信息（或電子健康檔案信息）專門監(jiān)管機(jī)構(gòu)，電子健康檔案信息泄露需報(bào)告哪些主管機(jī)構(gòu)還不夠明確。

1.5信息泄露通知的時(shí)限

美國HIPAA規(guī)定，影響500人以上的電子健康檔案信息泄露行為，發(fā)現(xiàn)后需立刻向所有受影響的個(gè)人和監(jiān)督機(jī)構(gòu)發(fā)出通知，最遲不得超過發(fā)現(xiàn)后的60天。影響不到500個(gè)人的電子健康檔案信息泄露行為，發(fā)現(xiàn)后需立刻向所有受影響的個(gè)人發(fā)出通知，且必須在第二年開始后60天內(nèi)向美國衛(wèi)生和公眾服務(wù)部公民權(quán)利辦公室報(bào)告（每年集中報(bào)告一次）。歐盟GDPR規(guī)定，如達(dá)到個(gè)人信息泄露通知標(biāo)準(zhǔn)，信息控制者必須在意識到信息泄露后的72小時(shí)內(nèi)通知監(jiān)督機(jī)構(gòu)，并在沒有不當(dāng)拖延的情況下通知受違規(guī)行為影響的個(gè)人，同時(shí)歐盟允許分階段多次通知。澳大利亞規(guī)定，相關(guān)機(jī)構(gòu)應(yīng)在30日內(nèi)完成個(gè)人信息泄露可能性評估，并將信息泄露事件通知相關(guān)各方。中國對于電子健康檔案信息泄露通知時(shí)間沒有作出明確規(guī)定，采用了按照規(guī)定及時(shí)告知的表述[11]。從電子健康檔案信息泄露通知時(shí)限來看，歐盟要求最嚴(yán)格，澳大利亞次之，美國第三，而中國還缺乏相關(guān)規(guī)定。

1.6信息泄露通知的內(nèi)容

美國電子健康檔案信息泄露通知函，必須包括違規(guī)的詳細(xì)信息、可能泄露的信息、針對違規(guī)行為采取的行動說明、為減輕損害所做努力以及個(gè)人可以采取哪些行動來降低風(fēng)險(xiǎn)、聯(lián)系電話（90天內(nèi)必須保持有效）。歐盟GDPR規(guī)定，在向主管機(jī)構(gòu)報(bào)告?zhèn)€人信息泄露情況時(shí)，信息控制者應(yīng)說明發(fā)生了什么事件，受影響的人數(shù)，涉及哪些個(gè)人信息，可能對受影響的人產(chǎn)生什么影響，正在采取或可以采取哪些措施來彌補(bǔ)，以及機(jī)構(gòu)聯(lián)系人和聯(lián)系方式。在向個(gè)人告知時(shí)，應(yīng)當(dāng)用清楚、明了的語言描述個(gè)人信息泄露的性質(zhì)、可能造成的損失，已采取或建議采取的措施、以及機(jī)構(gòu)聯(lián)系人和聯(lián)系方式。澳大利亞信息專員辦公室提供了強(qiáng)制性信息泄露通知表，內(nèi)容包括信息泄露的說明、泄露時(shí)間、泄露原因、信息類型、受影響人數(shù)、已經(jīng)采取或正在采取哪些行動來減輕信息泄露的影響、信息泄露是否源于系統(tǒng)性問題或孤立的觸發(fā)因素、過去是否經(jīng)歷過類似的信息泄露事件、是否有信息泄露應(yīng)急計(jì)劃及是否激活、該機(jī)構(gòu)數(shù)據(jù)保護(hù)官員的姓名和聯(lián)系方式、任何其他相關(guān)信息。中國對電子健康檔案信息的泄露內(nèi)容沒有作出明確具體的要求。綜合來看，美國、歐盟、澳大利亞對于電子健康檔案信息泄露的通知內(nèi)容有規(guī)范明確的要求，并有詳細(xì)的操作指引，而中國則缺少相關(guān)規(guī)定，不利于實(shí)踐操作。

1.7信息泄露通知方式

根據(jù)美國HIPAA規(guī)定，發(fā)生電子健康檔案信息泄露事件后，可通過快遞或電子郵件方式將違規(guī)通知函發(fā)送給受影響的個(gè)人。如果因聯(lián)系信息不完整而無法聯(lián)系到10人以上的個(gè)人，相關(guān)機(jī)構(gòu)可將違規(guī)詳情發(fā)布在其官方網(wǎng)站上且至少保留90天，或在受影響的個(gè)人可能會留意的主要印刷物或廣播媒體上發(fā)布公告。如果泄露的電子健康檔案信息涉及超過500人，除了通知受影響的個(gè)人外，還必須在知名的媒體上發(fā)布公告，以便讓社會公眾及時(shí)了解。相關(guān)機(jī)構(gòu)還必須通過瀏覽美國衛(wèi)生和公眾服務(wù)部公民權(quán)利辦公室的網(wǎng)站，在線填寫并以電子方式提交信息泄露報(bào)告。歐盟要求信息控制者采取有效方式通知主管機(jī)構(gòu)和個(gè)人，并且優(yōu)先采用直接的通訊方式（如短信、電子郵件等）。澳大利亞規(guī)定，相關(guān)機(jī)構(gòu)可以使用任何方法通知個(gè)人（例如電話、短信、郵件、社交媒體帖子或面對面對話等形式，可以多種通知方式并存）。如果無法直接通知到受影響的個(gè)人，相關(guān)機(jī)構(gòu)必須在其網(wǎng)站上對信息泄露相關(guān)情況進(jìn)行公告。澳大利亞信息專員辦公室在網(wǎng)站上提供信息泄露通知表格，相關(guān)機(jī)構(gòu)須按要求填寫表格內(nèi)容，然后通過電子郵件方式報(bào)送。澳大利亞數(shù)字衛(wèi)生局也在網(wǎng)上提供了聯(lián)系電話和電子郵箱地址，相關(guān)機(jī)構(gòu)可以通過電子郵件方式發(fā)送信息泄露報(bào)告。中國對于電子健康檔案信息泄露通知方式?jīng)]有作出明確規(guī)定?？傮w而言，美國、歐盟、澳大利亞對于個(gè)人的電子健康檔案信息泄露通知一般靈活采取多種方式，確保及時(shí)通知到位；對于主管機(jī)構(gòu)的通知方式，一般都是采取書面方式報(bào)送。相對來說，中國對于電子健康檔案信息泄露通知方式還不夠完善，缺乏明確的操作指引。

1.8未履行信息泄露通知制度的處罰

美國HIPAA規(guī)定，違反電子健康檔案信息泄露通知規(guī)則，可給予相關(guān)單位最高每年每次150萬美元的罰款。歐盟GDPR規(guī)定，不遵守個(gè)人信息泄露通知義務(wù)可能面臨高達(dá)1000萬歐元或相當(dāng)于全球年?duì)I業(yè)總額2%的罰款（以其中較高者為準(zhǔn)）[12]。澳大利亞《我的健康記錄法》規(guī)定，對于不遵守電子健康檔案信息泄露通知義務(wù)的個(gè)人，最高可給予36萬美元罰款；對于違反規(guī)定機(jī)構(gòu)，可最多給予180萬美元罰款，并注銷或暫停相關(guān)醫(yī)療服務(wù)機(jī)構(gòu)在電子健康檔案系統(tǒng)的使用資格?！吨腥A人民共和國網(wǎng)絡(luò)安全法》第五十九條規(guī)定，未將網(wǎng)絡(luò)安全風(fēng)險(xiǎn)、網(wǎng)絡(luò)安全事件向有關(guān)主管部門報(bào)告的，由有關(guān)主管部門責(zé)令改正；拒不改正或者情節(jié)嚴(yán)重的，處5萬元以上50萬元以下罰款；對直接負(fù)責(zé)的主管人員和其他直接責(zé)任人員，處1萬元以上10萬元以下罰款[13]。從法律責(zé)任來看，歐盟要求最嚴(yán)格，處罰金額高，具有很強(qiáng)的威懾力，但不支持集體訴訟。美國對于違反電子健康檔案信息泄露規(guī)則的也給予嚴(yán)厲處罰，并且支持集體訴訟。澳大利亞的處罰金額也相對比較高，但不支持集體訴訟。中國對于電子健康檔案信息泄露通知的法律責(zé)任相對較輕，且不支持集體訴訟。

2完善我國電子健康檔案信息泄露通知制度的建議

從以上比較分析可以看出，我國電子健康檔案信息泄露通知制度尚不完善，仍處于初級階段，與國際先進(jìn)水平尚有較大差距，需要進(jìn)一步加以改進(jìn)和提升。

2.1完善電子健康檔案信息泄露通知的法律法規(guī)

我國目前尚未制定全面的個(gè)人信息保護(hù)法和電子健康檔案信息的專門法，《中華人民共和國網(wǎng)絡(luò)安全法》對于個(gè)人信息泄露的通知觸發(fā)條件、通知時(shí)限、通知內(nèi)容、通知方式規(guī)定不明確，缺乏具體的實(shí)施細(xì)則或操作指南，直接影響實(shí)踐效果。我國可以借鑒學(xué)習(xí)美國、歐盟、澳大利亞的做法，結(jié)合國內(nèi)實(shí)際情況，進(jìn)一步完善電子健康檔案信息泄露通知的相關(guān)法律法規(guī)，制定相關(guān)操作指南，明確信息泄露通知標(biāo)準(zhǔn)和實(shí)施細(xì)節(jié)，提高制度的可操作性。

2.2建立電子健康檔案信息泄露應(yīng)急響應(yīng)計(jì)劃

電子健康檔案信息屬于高度敏感信息，一旦泄露，容易對個(gè)人造成嚴(yán)重傷害，因此需要區(qū)別對待、嚴(yán)格監(jiān)管。我國可以借鑒歐盟和澳大利亞的做法，要求電子健康檔案信息的保管機(jī)構(gòu)制定信息泄露應(yīng)急響應(yīng)計(jì)劃，并報(bào)政府主管部門備案。通過制定應(yīng)急響應(yīng)計(jì)劃，相關(guān)單位可以進(jìn)一步完善信息處理的內(nèi)部流程，降低信息泄露風(fēng)險(xiǎn)，同時(shí)一旦發(fā)生信息泄露事件，可以快速處置，盡可能減少對相關(guān)個(gè)人的影響。

2.3加大違反電子健康信息泄露通知制度的懲罰力度

電子健康檔案信息泄露通知制度要取得實(shí)效，必須加大法律懲罰力度。從上述比較分析來看，我國電子健康檔案信息泄露通知制度的違法成本相對較低，罰款金額偏少，威懾力較小，可以進(jìn)一步加大違法處罰力度。此外，我國沒有明確違反信息泄露通知制度的執(zhí)法機(jī)構(gòu)，目前的監(jiān)管部門比較分散，不利于實(shí)踐執(zhí)法。建議參考美國、歐盟、澳大利亞的做法，設(shè)立統(tǒng)一的監(jiān)管機(jī)構(gòu)，加大執(zhí)法監(jiān)管力度，提高監(jiān)管執(zhí)法的威懾力和實(shí)效性。

參考文獻(xiàn)

[1][7]何波.數(shù)據(jù)泄露通知法律制度研究[J].中國信息安全，2017（12）：40-43.

[2]美國衛(wèi)生與公眾服務(wù)部網(wǎng)站.健康保險(xiǎn)攜帶和責(zé)任法[EB/OL].[2018-11-02]. https：//www.hhs.gov/hipaa/index.html.

[3][9][12]英國信息專員辦公室網(wǎng)站.通用數(shù)據(jù)保護(hù)條例[EB/OL].[2018-11-03]. https：//ico.org.uk/.

[4]澳大利亞信息專員辦公室網(wǎng)站.隱私權(quán)修正（數(shù)據(jù)泄露通知）法案[EB/OL].[2018-11-03].https：//www.oaic.gov.au/privacy-law/privacy-act/notifiable-data-breachesscheme.

[5]澳大利亞我的健康記錄網(wǎng)站.我的健康記錄法[EB/OL].[2018-11-02].https：// www.myhealthrecord.gov.au/.

[6][8][10][13]宜春市教育局信息公開網(wǎng).中華人民共和國網(wǎng)絡(luò)安全法[EB/OL].[2018-11-02].http：//xxgk.yichun.gov.cn/ycsjyj/xxgk/fgwj/201802/t20180226_535815.html.

[11]趙淑鈺，倫一.數(shù)據(jù)泄露通知制度的國際經(jīng)驗(yàn)與啟示[J].中國信息安全，2018（3）：74-75.