論《個人信息保護(hù)法》視角下醫(yī)療衛(wèi)生機(jī)構(gòu)的數(shù)據(jù)合規(guī)義務(wù)*

邵華

人工智能時代的到來，移動智能終端的普及，各種電子病歷系統(tǒng)、醫(yī)保智能健康平臺、疫苗服務(wù)平臺等應(yīng)用系統(tǒng)的出現(xiàn)，使得收集個人健康醫(yī)療信息變得極為便利；這些信息集中形成健康醫(yī)療大數(shù)據(jù)后，被廣泛應(yīng)用于疾病管理、藥物研究、公衛(wèi)治理、疫情防控等方面，為維護(hù)公民健康提供了更精準(zhǔn)的信息支持，但數(shù)據(jù)安全所面臨的風(fēng)險也為醫(yī)療糾紛、倫理爭議的暴發(fā)埋下了隱患。2019年德國一家漏洞分析和管理公司發(fā)現(xiàn)，近28萬條涉及中國患者的個人信息及醫(yī)療情況的醫(yī)療放射圖像數(shù)據(jù)暴露在公共互聯(lián)網(wǎng)中。[1]

2021年是我國數(shù)據(jù)保護(hù)立法發(fā)展大年，《數(shù)據(jù)安全法》《個人信息保護(hù)法》出臺并施行。以保護(hù)個人信息為主旨的《個人信息保護(hù)法》，是數(shù)字社會治理與數(shù)字經(jīng)濟(jì)發(fā)展的基本法。[2]相較于《網(wǎng)絡(luò)安全法》《數(shù)據(jù)安全法》《民法典》，《個人信息保護(hù)法》的出臺，為個人信息權(quán)益保護(hù)、信息處理者的義務(wù)以及主管機(jī)關(guān)的職權(quán)范圍提供了全面的、體系化的法律依據(jù)。[3]鑒于《個人信息保護(hù)法》對個人信息處理者明確提出了數(shù)據(jù)合規(guī)的各項義務(wù)，本文據(jù)此從患者個人信息保護(hù)的角度，分析我國醫(yī)療衛(wèi)生機(jī)構(gòu)有哪些具體的數(shù)據(jù)合規(guī)義務(wù)，又面臨哪些風(fēng)險和困難，以及該如何提高數(shù)據(jù)合規(guī)管理水平，以實現(xiàn)對患者數(shù)據(jù)安全的保障。

目前圍繞健康醫(yī)療大數(shù)據(jù)安全的研究，多數(shù)是從患者隱私權(quán)保護(hù)的角度展開。有研究指出，大數(shù)據(jù)背景下健康醫(yī)療信息的結(jié)構(gòu)性變化，使現(xiàn)行健康醫(yī)療隱私規(guī)則所提供的個體隱私保護(hù)機(jī)制幾近失效[4]；因此，如何解決數(shù)據(jù)共享與隱私保護(hù)之間的緊張關(guān)系并釋放數(shù)據(jù)的潛在價值，是中國立法亟需解決的問題[5]。鑒于健康醫(yī)療大數(shù)據(jù)產(chǎn)業(yè)經(jīng)濟(jì)是形成于互聯(lián)網(wǎng)技術(shù)發(fā)展基礎(chǔ)上的新型經(jīng)濟(jì)模式，要考慮對數(shù)據(jù)應(yīng)用的不同階段、不同情況而適用不同的規(guī)制方式。[6]此外，從防范健康醫(yī)療大數(shù)據(jù)濫用風(fēng)險的視角，有研究指出，提高醫(yī)療大數(shù)據(jù)應(yīng)用的透明度，改善問責(zé)制，是阻止大數(shù)據(jù)濫用風(fēng)險并提高患者信任度的方案。[7]還有研究建議，通過技術(shù)中介機(jī)構(gòu)來進(jìn)行非傳統(tǒng)的監(jiān)管；這些中介機(jī)構(gòu)可以補(bǔ)充而不是取代FDA這種傳統(tǒng)監(jiān)管機(jī)構(gòu)。[8]這些研究為本文思路的拓展提供了有益的借鑒。對醫(yī)療衛(wèi)生機(jī)構(gòu)來說，醫(yī)療健康大數(shù)據(jù)既是為患者提供服務(wù)的根據(jù)，也是含金量巨大的資產(chǎn)。在考慮合規(guī)義務(wù)時，要充分考慮數(shù)據(jù)處理的各種風(fēng)險以及健康醫(yī)療數(shù)據(jù)本身所具有的多面性、多層性，進(jìn)而通過合規(guī)建設(shè)防范風(fēng)險于未然。

一、規(guī)章和法律：醫(yī)療衛(wèi)生機(jī)構(gòu)數(shù)據(jù)合規(guī)義務(wù)的不斷更新

“數(shù)據(jù)合規(guī)義務(wù)”，就是指法律對相關(guān)主體提出明確的建立合規(guī)管理體系的要求，并據(jù)此對不履行合規(guī)管理義務(wù)的主體進(jìn)可行行政處罰。可見，數(shù)據(jù)合規(guī)義務(wù)對“規(guī)”的理解掌握十分重要。2016年至今，國家相繼出臺了不少政策法規(guī)用于規(guī)范醫(yī)療健康數(shù)據(jù)的安全，包括《關(guān)于促進(jìn)和規(guī)范健康醫(yī)療大數(shù)據(jù)應(yīng)用發(fā)展的指導(dǎo)意見》《互聯(lián)網(wǎng)診療管理辦法》《互聯(lián)網(wǎng)醫(yī)院管理辦法》《遠(yuǎn)程醫(yī)療服務(wù)管理規(guī)范》《國家健康醫(yī)療大數(shù)據(jù)標(biāo)準(zhǔn)、安全和服務(wù)管理辦法（試行）》《人類遺傳資源管理條例》《關(guān)于進(jìn)一步推進(jìn)以電子病歷為核心的醫(yī)療機(jī)構(gòu)信息化建設(shè)通知》《國家醫(yī)療保障局關(guān)于加強(qiáng)網(wǎng)絡(luò)安全和數(shù)據(jù)保護(hù)工作的指導(dǎo)意見》，等等。2021年7月施行的《信息安全技術(shù)健康醫(yī)療數(shù)據(jù)安全指南》，更是從標(biāo)準(zhǔn)上指導(dǎo)醫(yī)療健康數(shù)據(jù)的處理主體對數(shù)據(jù)安全進(jìn)行管理。除了這種全局性的指導(dǎo)，考慮到醫(yī)療衛(wèi)生事業(yè)發(fā)展不均衡的現(xiàn)狀，針對不同類型的機(jī)構(gòu)也有不同的標(biāo)準(zhǔn)。例如，《全國基層醫(yī)療衛(wèi)生機(jī)構(gòu)信息化建設(shè)標(biāo)準(zhǔn)與規(guī)范（試行）》（國衛(wèi)規(guī)劃函〔2019〕87號）第192項指標(biāo)，就對基層醫(yī)療衛(wèi)生機(jī)構(gòu)的患者數(shù)據(jù)保護(hù)的硬件不作強(qiáng)制要求。①

除了國家層面的規(guī)范，地方也出臺了不少地方性規(guī)章對醫(yī)療衛(wèi)生機(jī)構(gòu)的數(shù)據(jù)處理行為進(jìn)行規(guī)范。例如，《貴陽市健康醫(yī)療大數(shù)據(jù)應(yīng)用條例》《山東省健康醫(yī)療大數(shù)據(jù)管理辦法》是地方率先在各自行政區(qū)域內(nèi)對健康醫(yī)療大數(shù)據(jù)的采集、匯聚、存儲、開發(fā)、應(yīng)用及其監(jiān)督管理等活動進(jìn)行約束的規(guī)范。②貴陽市和山東省的醫(yī)療衛(wèi)生機(jī)構(gòu)在考慮合規(guī)義務(wù)的時候，這些地方性規(guī)章也應(yīng)該納入“規(guī)”的范疇。

在法律層面，《基本醫(yī)療衛(wèi)生與健康促進(jìn)法》（第一百零九條）、《數(shù)據(jù)安全法》（第四十五條）都確立了且對違反數(shù)據(jù)保護(hù)行為該如何進(jìn)行行政處罰的規(guī)范，對醫(yī)療衛(wèi)生機(jī)構(gòu)來說，前者的針對性更明確?！秱€人信息保護(hù)法》在上述基礎(chǔ)上又有新的推進(jìn)，明確提出了個人信息處理主體的合規(guī)義務(wù)、違反合規(guī)義務(wù)會受到的行政處罰，這把合規(guī)義務(wù)與行政處罰聯(lián)系在一起，是之前的法律法規(guī)沒有明確的。③《個人信息保護(hù)法》將“醫(yī)療健康信息”明確定義為“敏感信息”；醫(yī)療衛(wèi)生機(jī)構(gòu)作為此類信息的處理主體，負(fù)有保護(hù)患者個人信息的當(dāng)然義務(wù)；這些義務(wù)，體現(xiàn)在醫(yī)療衛(wèi)生機(jī)構(gòu)的日常工作中，是其數(shù)據(jù)合規(guī)義務(wù)的核心內(nèi)容。在《個人信息保護(hù)法》所規(guī)定的各類義務(wù)中，有的義務(wù)明確為義務(wù)，例如第五章“個人信息處理者的義務(wù)”；而有的義務(wù)則是對應(yīng)于個人所享有的權(quán)利，例如第四章“個人在個人信息處理活動中的權(quán)利”，這些權(quán)利對應(yīng)了處理者的義務(wù)。因此，從患者個人信息保護(hù)的視角，可以將醫(yī)療衛(wèi)生機(jī)構(gòu)數(shù)據(jù)合規(guī)義務(wù)分為三個層次：一般性義務(wù)、針對性義務(wù)和特殊義務(wù)。一般性義務(wù)是為滿足當(dāng)事人的權(quán)利而要遵循的義務(wù)，針對性義務(wù)是為滿足當(dāng)事人的權(quán)利需要采取相應(yīng)保護(hù)性措施的義務(wù)，特殊義務(wù)是圍繞敏感度不同的信息而獲得患者單獨(dú)同意的義務(wù)。具體來說，這三個層次的義務(wù)體現(xiàn)在：

一般性義務(wù)，是滿足患者對其個人信息處理享有的知情權(quán)、決定權(quán)、查閱權(quán)、復(fù)制權(quán)、遷移權(quán)、刪除權(quán)的義務(wù)；滿足患者請求更正、補(bǔ)充個人信息的義務(wù)；滿足患者請求醫(yī)療衛(wèi)生機(jī)構(gòu)對個人信息處理規(guī)則進(jìn)行解釋說明的義務(wù)；滿足患者近親屬對死者的相關(guān)個人信息進(jìn)行查閱、復(fù)制、更正、刪除的義務(wù)；為患者行使權(quán)利提供受理申請和處理機(jī)制的義務(wù)。④

針對性義務(wù)，是確保合規(guī)的義務(wù)，具體措施包括制定內(nèi)部管理制度和操作規(guī)程，對個人信息實行分類管理，采取相應(yīng)的加密、去標(biāo)識化等安全技術(shù)措施，合理確定個人信息處理的操作權(quán)限，并定期對從業(yè)人員進(jìn)行安全教育和培訓(xùn)；制定并組織實施個人信息安全事件應(yīng)急預(yù)案；設(shè)立個人信息保護(hù)負(fù)責(zé)人；進(jìn)行合規(guī)審計；采取補(bǔ)救措施。⑤

特殊義務(wù)，是根據(jù)敏感程度不同，醫(yī)療衛(wèi)生機(jī)構(gòu)在處理患者的醫(yī)療健康信息時，應(yīng)有義務(wù)取得患者單獨(dú)同意或者書面同意；有在事前進(jìn)行敏感信息保護(hù)、對影響作評估和記錄的義務(wù)；處理不滿十四周歲未成年人個人信息的，應(yīng)有取得未成年人的父母或者其他監(jiān)護(hù)人的同意并制定專門處理規(guī)則的義務(wù)；法律、行政法規(guī)對處理敏感個人信息規(guī)定時，應(yīng)取得相關(guān)行政許可或者作出其他限制的，有從其規(guī)定的義務(wù)。

從這些義務(wù)的內(nèi)容看，不僅包括為滿足權(quán)利而履行的義務(wù)、為保護(hù)權(quán)利實現(xiàn)要設(shè)置相應(yīng)維權(quán)機(jī)制的義務(wù)，還包括明確的合規(guī)義務(wù)?！秱€人信息保護(hù)法》所確立的這些義務(wù)，將曾經(jīng)以規(guī)章為表征的對醫(yī)療衛(wèi)生機(jī)構(gòu)的軟約束轉(zhuǎn)向以法律為外在的硬約束，故使醫(yī)療衛(wèi)生機(jī)構(gòu)的合規(guī)義務(wù)得以面臨新的法律環(huán)境。

二、安全和信任：醫(yī)療衛(wèi)生機(jī)構(gòu)數(shù)據(jù)合規(guī)義務(wù)的風(fēng)險點

隨著大數(shù)據(jù)進(jìn)入人們的日常生活，醫(yī)療衛(wèi)生機(jī)構(gòu)在發(fā)展過程中，不論從控制成本的角度，還是從科技創(chuàng)新的角度，都必然要通過挖掘數(shù)據(jù)資產(chǎn)的價值來融入數(shù)字時代潮流，數(shù)據(jù)部門將會成為醫(yī)療衛(wèi)生機(jī)構(gòu)新的增長點。在此背景下，提前考慮和布局?jǐn)?shù)據(jù)安全保護(hù)，盡早進(jìn)行合規(guī)評估，是驅(qū)動醫(yī)療衛(wèi)生機(jī)構(gòu)下一步發(fā)展的引擎。

截至2020年的數(shù)據(jù)，我國醫(yī)療衛(wèi)生機(jī)構(gòu)一共有100多萬家；其中醫(yī)院有3.5萬多家，只占總數(shù)的3.5%；其余以基層醫(yī)療衛(wèi)生機(jī)構(gòu)為主。醫(yī)院中有60%左右是非營利性的公立醫(yī)院，40%左右的營利性醫(yī)院則較多是?？菩袠I(yè)醫(yī)院、中西醫(yī)結(jié)合醫(yī)院和小型私人診所等。[9]整體上我國醫(yī)療衛(wèi)生機(jī)構(gòu)對數(shù)據(jù)安全的認(rèn)識還處于萌發(fā)階段，即使是醫(yī)院，其數(shù)據(jù)安全風(fēng)險意識也比較薄弱。例如，2020年4月13日，青島市發(fā)生了一起大量公民信息被泄露的事件，一份涉及到共計6000多人的新冠肺炎密切接觸者之姓名、住址、聯(lián)系方式、身份證號碼等個人身份信息的名單在網(wǎng)絡(luò)上傳播。調(diào)查后發(fā)現(xiàn)名單是由某醫(yī)院工作人員葉某轉(zhuǎn)發(fā)泄露的，另外還有姜某、張某兩人以同樣的方式把名單發(fā)到了家人群，造成了不良的社會影響，當(dāng)?shù)鼐揭馈吨伟补芾硖幜P法》對這3人予以行政拘留。[10]要反思的是，對這樣的信息泄漏事件，除了這3名工作人員外，涉事的某醫(yī)院在風(fēng)險防范、數(shù)據(jù)合規(guī)方面是否盡到了應(yīng)盡的義務(wù)？

合規(guī)的目標(biāo)是防控風(fēng)險，醫(yī)療衛(wèi)生機(jī)構(gòu)的數(shù)據(jù)保護(hù)風(fēng)險來自三個方面：其一，行業(yè)自身的風(fēng)險。2020年疫情暴發(fā)后，醫(yī)療衛(wèi)生行業(yè)所面臨的數(shù)據(jù)風(fēng)險較之從前加劇，史上首次超過政府、金融、國防、能源、電信等領(lǐng)域，成為全球APT（黑客以竊取核心資料為目的，針對客戶所發(fā)動的網(wǎng)絡(luò)攻擊和侵襲行為）活動所關(guān)注的首要目標(biāo)。[11]其二，因違反義務(wù)受罰的風(fēng)險。根據(jù)《個人信息保護(hù)法》的規(guī)定，新的行政處罰標(biāo)準(zhǔn)最高可以達(dá)到5000萬元人民幣或者上一年度營業(yè)額的5%。一旦面臨行政處罰或刑事追訴，是否履行合規(guī)義務(wù)可能影響處罰的結(jié)果，某些國家和地區(qū)已有先例，如美國《聯(lián)邦量刑指南》在其第八章“對組織的量刑”（“Federal Sentencing Guidelines for Organizations”）中，就提出了企業(yè)建立有效合規(guī)體系可以減輕處罰的原則。[12]其三，未知風(fēng)險。除了可以預(yù)測的風(fēng)險，還有未知風(fēng)險。例如，根據(jù)《個人信息保護(hù)法》第二十條，如果共同處理信息的合作方選擇不當(dāng)，即使不是由自己失職造成的，也要承擔(dān)連帶責(zé)任。只要是合作，這種不受控于當(dāng)事人自己的風(fēng)險，也可能隨時發(fā)生，具有很大不確定性。因此，是否重視合規(guī)，與涉事機(jī)構(gòu)的風(fēng)險意識有密切關(guān)聯(lián)。

如果醫(yī)療衛(wèi)生機(jī)構(gòu)對數(shù)據(jù)處理不當(dāng)所導(dǎo)致的風(fēng)險沒有清晰的認(rèn)識，就不會真正重視數(shù)據(jù)合規(guī)。而且，由于其要處理的個人信息相對更為特殊，更是增加了其履行數(shù)據(jù)合規(guī)義務(wù)的復(fù)雜度。具體來說，這些信息的特殊性體現(xiàn)在：

第一，信息敏感豐富、種類繁多、市場價值巨大。醫(yī)療衛(wèi)生機(jī)構(gòu)所要處理的信息品種繁多，包括患者個人的基本信息及生物信息、遺傳信息、疾病信息等等。這些信息一旦得到開發(fā)利用，對醫(yī)療、藥品、器械、新產(chǎn)品研發(fā)等都有巨大的商業(yè)價值。例如，谷歌的子公司DeepMind為開發(fā)新的健康應(yīng)用服務(wù)，利用了從英國國民健康服務(wù)體系（NHS）獲取的160萬條患者健康數(shù)據(jù)，但卻因不合規(guī)而陷入糾紛。[13]

第二，信息處理場景多元，利益相關(guān)主體復(fù)雜。醫(yī)療衛(wèi)生機(jī)構(gòu)處理信息的場景復(fù)雜多樣，電子病歷系統(tǒng)、在線問診系統(tǒng)（互聯(lián)網(wǎng)醫(yī)院）、上下級醫(yī)院醫(yī)聯(lián)體之間的信息傳送，醫(yī)療衛(wèi)生服務(wù)均等化之下的為基層醫(yī)療機(jī)構(gòu)進(jìn)行的遠(yuǎn)程診療信息傳送，等等。這些健康醫(yī)療信息在傳遞過程中，任何一個節(jié)點有差池，都可能造成信息泄露，涉及多方利益主體。以天津市津南區(qū)的健康醫(yī)療信息處理傳送為例，可以窺見其復(fù)雜性：截至2021年4月，該區(qū)全民健康信息平臺已采集業(yè)務(wù)數(shù)據(jù)2000萬條，健康檔案信息111萬份，村衛(wèi)生室、鎮(zhèn)（街）衛(wèi)生院、區(qū)級醫(yī)院之間的醫(yī)療信息建立了共享渠道；依托區(qū)級醫(yī)療衛(wèi)生單位開展遠(yuǎn)程醫(yī)學(xué)教育培訓(xùn)、遠(yuǎn)程會診中心、分級診療等服務(wù)，還建立了津南區(qū)影像存儲傳輸系統(tǒng)，實現(xiàn)影像信息互認(rèn)。[14]這些共享渠道和業(yè)務(wù)平臺，如果其處理主體合規(guī)建設(shè)不到位，一旦發(fā)生信息泄露，所帶來的后果將非常嚴(yán)重。

第三，基層醫(yī)療衛(wèi)生機(jī)構(gòu)處理的數(shù)據(jù)質(zhì)量堪憂。醫(yī)療衛(wèi)生機(jī)構(gòu)有準(zhǔn)確收集患者個人信息的義務(wù)，但實際情況是，即使在并不復(fù)雜的場景下，也可能出現(xiàn)信息收集的錯誤。例如重慶市開州區(qū)某藥品超市在原告購藥時，錯誤輸入了代碼，將原告購買感冒藥記錄成急性化膿性甲狀腺炎和復(fù)發(fā)性甲狀腺癌，而且多次發(fā)生。當(dāng)原告發(fā)現(xiàn)該錯誤申請修改時，醫(yī)保中心認(rèn)為數(shù)據(jù)是第三方組織形成，不能更改，從而引發(fā)訴訟。⑥這起案件一方面提醒人們，現(xiàn)實生活中所引發(fā)的數(shù)據(jù)糾紛，可能是由很微小的原因造成的；另一方面，該案如果發(fā)生在《個人信息保護(hù)法》施行之后，解決糾紛時還將面臨的一個矛盾，是醫(yī)保中心提出數(shù)據(jù)來自第三方所以無法修改，但《個人信息保護(hù)法》第四十六條明確應(yīng)當(dāng)保護(hù)個人的修改權(quán)。該如何解決這類爭議，同樣是醫(yī)療衛(wèi)生機(jī)構(gòu)數(shù)據(jù)合規(guī)面臨的新問題。

面臨這樣的困難，要規(guī)避上述風(fēng)險，醫(yī)療衛(wèi)生機(jī)構(gòu)數(shù)據(jù)合規(guī)的價值目標(biāo)應(yīng)該是患者安全和醫(yī)患信任二位一體，相互倚重。要維系醫(yī)患之間的信任，核心是保護(hù)患者安全。當(dāng)某位患者的數(shù)據(jù)匯總到電子健康檔案系統(tǒng)，系統(tǒng)又利用所收集到的這些數(shù)據(jù)驅(qū)動提供更深入的服務(wù)，形成循環(huán)。系統(tǒng)如果不能保證數(shù)據(jù)的質(zhì)量和安全，不能保證有瑕疵的數(shù)據(jù)可以很快被發(fā)現(xiàn)并糾正的話，那么就可能發(fā)生更大的糾紛和醫(yī)療錯誤。這個系統(tǒng)不能只是記錄、存儲，還應(yīng)該可以協(xié)調(diào)、調(diào)配、指導(dǎo)、提醒和建議。這是醫(yī)療健康數(shù)據(jù)與別的數(shù)據(jù)處理最大的不同之處。如果醫(yī)療機(jī)構(gòu)不能確保這項安全，就會失去患者信任；缺乏信任，授權(quán)數(shù)據(jù)處理的知情同意將會變得非常復(fù)雜低效，醫(yī)療衛(wèi)生機(jī)構(gòu)履行合規(guī)義務(wù)的成本將大大增加。我國醫(yī)療衛(wèi)生機(jī)構(gòu)雖然以公立為主，但并非全部經(jīng)費(fèi)都來自財政撥款，醫(yī)療機(jī)構(gòu)仍然有創(chuàng)收的任務(wù)，新增的合規(guī)成本不可避免的會通過價格機(jī)制反饋到患者身上；而這必然會影響甚至破壞醫(yī)患關(guān)系，導(dǎo)致醫(yī)患信任流失，又更加提升合規(guī)成本。

因此，保持對合規(guī)風(fēng)險的警惕，應(yīng)當(dāng)重視患者安全維持醫(yī)患信任，而不是躺在既定的風(fēng)險清單上機(jī)械地運(yùn)行所謂的合規(guī)管理控制。

三、自律和監(jiān)管：促進(jìn)醫(yī)療衛(wèi)生機(jī)構(gòu)履行數(shù)據(jù)合規(guī)義務(wù)

當(dāng)下，數(shù)據(jù)合規(guī)審查已經(jīng)成為國內(nèi)外行政監(jiān)管的重點。⑦立法雖然明確規(guī)定了個人信息保護(hù)的各項義務(wù)，但要做到數(shù)據(jù)合規(guī)，僅僅是建章立制，顯然還遠(yuǎn)遠(yuǎn)不夠。例如，艾滋病屬于患者個人隱私信息，應(yīng)該受到嚴(yán)格保護(hù)。但是2016年7月，全國30多個省份發(fā)生至少275名艾滋病患者的個人信息泄露而導(dǎo)致的詐騙事件，這必然不是因為當(dāng)時沒有《個人信息保護(hù)法》?；颊邆€人信息安全要得到切實保護(hù)，通過立法確立患者權(quán)利是一個維度，強(qiáng)調(diào)國家對個人信息保護(hù)的義務(wù)則是另一個維度。⑧這種義務(wù)進(jìn)一步分解，則落實成為個人信息處理主體的自律及行政機(jī)關(guān)對個人信息處理主體的監(jiān)管。雖然醫(yī)療衛(wèi)生機(jī)構(gòu)的行為合規(guī)不必然等于患者信息安全，但不履行數(shù)據(jù)合規(guī)義務(wù)，患者信息安全肯定難以得到保障。

（一）醫(yī)療衛(wèi)生機(jī)構(gòu)應(yīng)當(dāng)建立自律性的數(shù)據(jù)合規(guī)體系

醫(yī)療衛(wèi)生機(jī)構(gòu)在收集和使用患者個人信息方面，有著慣性思維，認(rèn)為患者向醫(yī)生提供個人信息理所當(dāng)然。例如，在科室對典型病例的討論會上，未將病案匿名化即分享資料并不少見。又如，“醫(yī)療衛(wèi)生機(jī)構(gòu)”已經(jīng)被定義為公共場所，那么在安裝視頻監(jiān)控設(shè)備的地方應(yīng)該提醒就診者注意，但是很多機(jī)構(gòu)沒有恰當(dāng)?shù)母嬷崾尽Ｔ趥鹘y(tǒng)觀點看來，提供醫(yī)療衛(wèi)生服務(wù)才是醫(yī)療衛(wèi)生機(jī)構(gòu)的核心業(yè)務(wù)，而其他工作如保護(hù)患者個人信息安全是非主流工作任務(wù)。對待這種非主流工作，常見的狀態(tài)是：基層被動等待上級提出要求，要求下達(dá)后對任務(wù)進(jìn)行分解，再采用命令方式下壓到每一位基層員工。在這種情況下，具體負(fù)責(zé)處理患者信息的醫(yī)生護(hù)士們只會認(rèn)為合規(guī)任務(wù)增加了他們的工作負(fù)擔(dān)，執(zhí)行效率大打折扣。因此，自律的前提是提升保護(hù)意識，堅定患者個人信息保護(hù)是核心工作任務(wù)。不論是管理層還是執(zhí)行層，都需要充分提升這項意識。如果僅有管理層意識到合規(guī)的重要性，只能是事倍功半。提升意識的同時是改變工作方式，為避免合規(guī)任務(wù)淪為與眾多日常行政管理命令等同的工作要求，建立數(shù)據(jù)合規(guī)體系需要與醫(yī)療衛(wèi)生機(jī)構(gòu)日常質(zhì)量管理緊密結(jié)合。

合規(guī)體系可以分為日常合規(guī)體系和危機(jī)應(yīng)對體系。日常合規(guī)體系的建設(shè)是日常工作狀態(tài)下確保合規(guī)、減少違規(guī)事件發(fā)生的基礎(chǔ)，包括四個方面內(nèi)容：其一，針對不同工作崗位的風(fēng)險指數(shù)提出具體的合規(guī)指標(biāo)要求。例如，對日常問診崗位和醫(yī)技影像崗位的合規(guī)有哪些具體要求，他們處理的數(shù)據(jù)分別歸入哪一類哪一級進(jìn)行處理和保護(hù)，對無需個人同意即可以處理的患者個人信息作明確且嚴(yán)格列舉。其二，配備獨(dú)立和充分的資源，對各崗位落實合規(guī)的效果進(jìn)行內(nèi)部監(jiān)督和考評。例如，設(shè)立專門的數(shù)據(jù)合規(guī)工作崗位，對日常合規(guī)進(jìn)行檢查、糾正、培訓(xùn)，同時有資金支持對機(jī)構(gòu)日常合規(guī)情況進(jìn)行年度或者月度審計等。其三，梳理本機(jī)構(gòu)哪些具體業(yè)務(wù)可能涉及數(shù)據(jù)安全違規(guī)的刑事罪名或行政處罰，聘請第三方機(jī)構(gòu)進(jìn)行定期審查。例如，對在本機(jī)構(gòu)舉辦的臨床試驗合同進(jìn)行審查，對申辦者、控制人數(shù)據(jù)合規(guī)義務(wù)要有詳細(xì)的規(guī)范，落實具體責(zé)任人，提升責(zé)任意識；對第三方系統(tǒng)供應(yīng)商合同的審查。目前各醫(yī)療衛(wèi)生機(jī)構(gòu)都有數(shù)量眾多的第三方系統(tǒng)供應(yīng)商為其提供服務(wù)，如果因為對第三方系統(tǒng)供應(yīng)商的監(jiān)管不足導(dǎo)致對患者個人信息安全造成損害，聘任他們的醫(yī)療機(jī)構(gòu)難辭其咎，法律責(zé)任也不可避免。其四，對違反數(shù)據(jù)合規(guī)義務(wù)進(jìn)行處理的機(jī)制。例如，對相關(guān)信息輸入代碼錯誤，對信息分級錯誤等要建立識別機(jī)制、修改機(jī)制、糾正機(jī)制。對患者提出的請求有投訴接待機(jī)制和反饋機(jī)制。

危機(jī)應(yīng)對體系是數(shù)據(jù)泄露或者其他安全事件發(fā)生之后，如何應(yīng)對危機(jī)，降低損失，盡可能維護(hù)患者數(shù)據(jù)安全的基礎(chǔ)。健全的危機(jī)應(yīng)對體系，是能夠及時阻止了損失擴(kuò)大的體系，是在反思之后能夠及時填補(bǔ)制度漏洞的體系，是在事件發(fā)生之后主動配合檢察機(jī)關(guān)或者行政機(jī)關(guān)進(jìn)行整改的體系。該體系的建設(shè)分成涉嫌刑事追訴以及涉嫌行政處罰兩個等級的預(yù)案，不論是發(fā)生哪個級別的違規(guī)行為，都需要立即采取補(bǔ)救措施，通知行政主管部門和可能受影響的患者。例如，萬豪國際集團(tuán)的數(shù)據(jù)泄露事件，在他們意識到存在危險后，行動非常迅速，三天內(nèi)便聘請第三方專業(yè)安全團(tuán)隊協(xié)助調(diào)查取證和及時止損，最后獲得了英國信息專員辦公室的減輕處罰。[16]

（二）衛(wèi)生行政機(jī)關(guān)應(yīng)當(dāng)建立高效的數(shù)據(jù)合規(guī)監(jiān)管體系

自2018年起，我國行政機(jī)關(guān)體系發(fā)起了一系列的合規(guī)監(jiān)管行動，發(fā)布合規(guī)指引是主要的行動內(nèi)容之一，國資委發(fā)布《中央企業(yè)合規(guī)管理指引（試行）》，發(fā)改委會同六大部門發(fā)布《企業(yè)境外經(jīng)營合規(guī)管理指引》，確立了我國企業(yè)開展合規(guī)管理的基本理念、原則和制度框架。⑨到2020年，最高人民檢察院開始在地方推動合規(guī)不起訴的改革試點。行政合規(guī)指導(dǎo)既是行政監(jiān)管的方式，也成為公訴機(jī)關(guān)對被告單位進(jìn)行合規(guī)不起訴審查的銜接程序。2021年6月，最高人民檢察院發(fā)布企業(yè)合規(guī)改革試點的典型案例，把企業(yè)合規(guī)、行政監(jiān)管、刑事訴訟相銜接。從典型案例可以看到，在違規(guī)事件中，合規(guī)義務(wù)的適當(dāng)履行作為減輕或者免除責(zé)任的抗辯事由出現(xiàn)。[17]因此，被監(jiān)管主體是否建立充分有效的合規(guī)體系，是否積極配合監(jiān)管部門對合規(guī)進(jìn)行監(jiān)督，直接關(guān)系著機(jī)構(gòu)在違規(guī)事件發(fā)生后的處罰后果。

對醫(yī)療衛(wèi)生機(jī)構(gòu)數(shù)據(jù)合規(guī)義務(wù)行政監(jiān)管的重心應(yīng)該在如下幾個方面：

1.強(qiáng)調(diào)以行政合規(guī)指導(dǎo)為基礎(chǔ)。

相對強(qiáng)制性行政行為，行政指導(dǎo)是一種較為柔和的監(jiān)督方式，不產(chǎn)生直接的法律后果，具有較大的靈活性。2021年1月，中共中央發(fā)布的《法治中國建設(shè)規(guī)劃（2020-2025）》中提出，為改進(jìn)和創(chuàng)新執(zhí)法方式，要加強(qiáng)行政指導(dǎo)、行政獎勵和行政和解等非強(qiáng)制性行政手段的運(yùn)用，這充分體現(xiàn)了行政監(jiān)管方式的變革。根據(jù)《行政處罰法》堅持處罰與教育相結(jié)合的原則，行政機(jī)關(guān)在進(jìn)行重大行政處罰的同期，也可能會同時輔以行政指導(dǎo)。行政指導(dǎo)的方式比較靈活，有發(fā)布合規(guī)指引、建議、約談、公示，等等。⑩例如，國家市場監(jiān)督總局針對著名的互聯(lián)網(wǎng)企業(yè)美團(tuán)，作出反壟斷處罰的同時發(fā)出《行政指導(dǎo)書》，這就是行政指導(dǎo)的具體方式。在醫(yī)療衛(wèi)生領(lǐng)域，為限制過度診療、節(jié)約醫(yī)?；穑瑖倚l(wèi)健委等數(shù)家行政機(jī)關(guān)聯(lián)合發(fā)布的《關(guān)于加強(qiáng)醫(yī)療機(jī)構(gòu)藥事管理促進(jìn)合理用藥的意見》《關(guān)于進(jìn)一步規(guī)范醫(yī)療行為促進(jìn)合理醫(yī)療檢查的意見》就是以行政指導(dǎo)的方式，對醫(yī)療衛(wèi)生機(jī)構(gòu)用藥和檢查行為宏觀性的規(guī)范指導(dǎo)。此外，行政機(jī)關(guān)還可以向被監(jiān)督主體發(fā)出行政建議書，要求遵守數(shù)據(jù)合規(guī)義務(wù)，保護(hù)患者個人信息安全。?對數(shù)據(jù)合規(guī)尚處于起步階段的醫(yī)療衛(wèi)生機(jī)構(gòu)來說，不論采取哪種類型的行政指導(dǎo)方式，只要能夠提供有效的合規(guī)指導(dǎo)，就有利于幫助提升數(shù)據(jù)安全意識，促進(jìn)數(shù)據(jù)合規(guī)義務(wù)履行。

以《信息安全技術(shù)健康醫(yī)療數(shù)據(jù)安全指南》（以下簡作《指南》）為例，其由國家市場監(jiān)督管理總局和國家標(biāo)準(zhǔn)化管理委員會聯(lián)合發(fā)布，操作性較強(qiáng)，屬于典型的行政指導(dǎo)。對數(shù)據(jù)合規(guī)管理中重要的分類問題，指南根據(jù)數(shù)據(jù)內(nèi)容、重要性、風(fēng)險等要素將健康醫(yī)療數(shù)據(jù)分成六類五級?；《指南》建議根據(jù)不同級別的數(shù)據(jù)采取授權(quán)管理、身份鑒別、訪問控制管理等保護(hù)措施?；《指南》還對典型場景下應(yīng)用分級保護(hù)進(jìn)行了描述，例如，醫(yī)生調(diào)閱場景下數(shù)據(jù)可分為默認(rèn)級、告知級和授權(quán)級，分別對應(yīng)數(shù)據(jù)分級中的第二級、第三級和第四級??？傮w上看，《指南》詳細(xì)規(guī)定了醫(yī)療數(shù)據(jù)的分類體系、使用披露原則、安全措施、安全管理指南、安全技術(shù)指南等，為醫(yī)療衛(wèi)生機(jī)構(gòu)的應(yīng)用解決了具體問題。但是，指南是在《個人信息保護(hù)法》出臺之前頒行的，某些細(xì)節(jié)與該法的內(nèi)容有不盡一致的地方。?相關(guān)行政主管部門，例如國家衛(wèi)健委對此有義務(wù)對各級醫(yī)療衛(wèi)生機(jī)構(gòu)作進(jìn)一步的指導(dǎo)。

2.建立激勵機(jī)制。

當(dāng)代行政法確立了協(xié)商性的行政監(jiān)管理念，對于相對人配合行政調(diào)查、采取補(bǔ)救挽損措施、披露違規(guī)事實和違規(guī)責(zé)任人或者采取制度整改措施的，監(jiān)管部門通?？梢越o予寬大的行政處理。[18]2021年修訂后的《行政處罰法》就體現(xiàn)了這項理念。因此，建立恰當(dāng)?shù)募顧C(jī)制，有利于促使被監(jiān)管主體以合規(guī)為目標(biāo)進(jìn)行整改。在對美團(tuán)的反壟斷調(diào)查中，國家市場監(jiān)管總局發(fā)布的公告中提出，美團(tuán)有主動承認(rèn)、主動提供證據(jù)、主動全面自查整改行為，總局考慮了美團(tuán)在調(diào)查過程中主動提供了執(zhí)法機(jī)關(guān)尚未掌握的重要證據(jù)、停止“二選一”行為并全面自查整改、積極退還已收取的獨(dú)家合作保證金等因素，最終作出相應(yīng)的處理意見。處罰結(jié)果沒有市場預(yù)期的嚴(yán)厲，顯然是美團(tuán)積極主動的行動使之獲得“以整改換取寬大”的激勵。因此，在對醫(yī)療衛(wèi)生機(jī)構(gòu)進(jìn)行數(shù)據(jù)合規(guī)監(jiān)管時，可以考慮類似國家市場監(jiān)督總局的監(jiān)管思路，對建立了較為完善的合規(guī)管理體系的醫(yī)療衛(wèi)生機(jī)構(gòu)，納入“首違不罰”的適用對象?，將醫(yī)療衛(wèi)生機(jī)構(gòu)已經(jīng)建立合規(guī)機(jī)制作為普遍的減輕處罰情節(jié)?？傊?，衛(wèi)生行政執(zhí)法部門有必要總結(jié)相關(guān)法律實施的效果，在衛(wèi)生行政執(zhí)法領(lǐng)域確立合規(guī)寬大處理的激勵機(jī)制。

3.建立數(shù)據(jù)安全評價制度。

數(shù)據(jù)安全評價制度是由衛(wèi)生行政機(jī)關(guān)對醫(yī)療衛(wèi)生機(jī)構(gòu)是否達(dá)到法律法規(guī)規(guī)定的標(biāo)準(zhǔn)，符合數(shù)據(jù)安全要求的合規(guī)認(rèn)證。數(shù)據(jù)安全評價制度應(yīng)該要求未經(jīng)過數(shù)據(jù)安全評價的醫(yī)療衛(wèi)生機(jī)構(gòu)不得接入公共衛(wèi)生網(wǎng)絡(luò)，不得設(shè)立互聯(lián)網(wǎng)醫(yī)院，不得與其他醫(yī)療服務(wù)機(jī)構(gòu)實現(xiàn)電子病歷、檢驗結(jié)果報告等實時互通，以保護(hù)患者個人信息安全。建立數(shù)據(jù)安全合規(guī)認(rèn)證制度，有助于醫(yī)療衛(wèi)生機(jī)構(gòu)在建好合規(guī)體系之后生成對合規(guī)的認(rèn)同感，也能夠?qū)ζ渌悪C(jī)構(gòu)產(chǎn)生正面導(dǎo)向，使之受到激勵機(jī)制的約束。數(shù)據(jù)安全評價的結(jié)果應(yīng)該作為醫(yī)療衛(wèi)生機(jī)構(gòu)向社會公示的一項內(nèi)容，使之既受到行政部門的監(jiān)督，也受到公眾的監(jiān)督。

4.用技術(shù)輔助監(jiān)管。

針對新技術(shù)運(yùn)用可能帶來的問題，采用新技術(shù)進(jìn)行監(jiān)管是提高效率的王道?！痘ヂ?lián)網(wǎng)醫(yī)院管理辦法（試行）》第六條明確規(guī)定，互聯(lián)網(wǎng)醫(yī)院準(zhǔn)入之前，應(yīng)該先建立省一級的互聯(lián)網(wǎng)醫(yī)院醫(yī)療服務(wù)的監(jiān)管平臺，通過平臺進(jìn)行實時監(jiān)管。沒有監(jiān)管平臺則不允許審批互聯(lián)網(wǎng)醫(yī)院。在這項規(guī)定的指導(dǎo)下，目前全國已有30個省份建立起互聯(lián)網(wǎng)醫(yī)療監(jiān)管平臺。[19]以北京地區(qū)互聯(lián)網(wǎng)診療監(jiān)管平臺為例，其建成的功能不僅僅是對互聯(lián)網(wǎng)醫(yī)院進(jìn)行審批和監(jiān)管，還包括建設(shè)醫(yī)療服務(wù)、診療行為等信息的采集系統(tǒng)及數(shù)據(jù)展示系統(tǒng)，實現(xiàn)對實體醫(yī)療機(jī)構(gòu)醫(yī)療資源與醫(yī)療服務(wù)的監(jiān)管。[20]

（三）引入第三方組織補(bǔ)充監(jiān)督

在我國醫(yī)療衛(wèi)生體制改革中，在談到建立綜合監(jiān)管制度時，有提出“發(fā)揮專業(yè)機(jī)構(gòu)和中介組織的技術(shù)支撐和社會監(jiān)督作用”，?將中介組織定性為對醫(yī)療衛(wèi)生行業(yè)的社會監(jiān)督力量。不僅是醫(yī)療衛(wèi)生領(lǐng)域借助第三方中介組織補(bǔ)充監(jiān)督力量，在別的行政監(jiān)管領(lǐng)域也有同樣的做法，例如上海海關(guān)引入社會中介機(jī)構(gòu)輔助開展中國（上海）自由貿(mào)易試驗區(qū)保稅監(jiān)管和企業(yè)稽查工作”。

有可能成為輔助監(jiān)督主體的中介組織，一般指向具有評估、審計或者具有提供法律服務(wù)能力的各種組織，這些組織在特定領(lǐng)域具有一定技術(shù)控制能力，地位處于行政機(jī)關(guān)和被監(jiān)督主體中間，具有獨(dú)立性和專業(yè)性，他們的加入是對行政機(jī)關(guān)監(jiān)管工作的有益補(bǔ)充。在醫(yī)療衛(wèi)生領(lǐng)域的第三方組織的補(bǔ)充監(jiān)督，除了上述具有技術(shù)控制能力的中介組織，還可以考慮引入患者組織加入監(jiān)督的行列?；颊呓M織作為保護(hù)患者權(quán)益的代表，利用《個人信息保護(hù)法》施行的契機(jī)，主動參與到醫(yī)療衛(wèi)生機(jī)構(gòu)的合規(guī)監(jiān)督活動中來，可以最大限度地為爭取和保護(hù)患者利益。

那么，補(bǔ)充監(jiān)督該如何進(jìn)行？對于大型的個人信息處理主體，《個人信息保護(hù)法》第五十八條第一項要求其有義務(wù)成立主要由外部成員組成的獨(dú)立機(jī)構(gòu)，對個人信息保護(hù)情況進(jìn)行監(jiān)督。患者組織即可以參與到此類獨(dú)立機(jī)構(gòu)中，參與監(jiān)督大型醫(yī)療衛(wèi)生機(jī)構(gòu)的患者個人信息保護(hù)活動。對于普通的個人信息處理主體，可以借鑒侵害未成年人案件強(qiáng)制報告制度，建立由中介組織在開展數(shù)據(jù)合規(guī)審計或者其他活動中發(fā)現(xiàn)違規(guī)行為，應(yīng)當(dāng)主動向行政機(jī)關(guān)強(qiáng)制報告的制度。例如，醫(yī)療衛(wèi)生機(jī)構(gòu)利用掌握的患者有關(guān)信息進(jìn)行自動化決策，由于雙方在數(shù)據(jù)運(yùn)用能力方面的巨大差異，自動化決策的算法不透明造成針對不同患者的健康歧視，患者組織在獲取相關(guān)情況之后，可以代表患者與醫(yī)療衛(wèi)生機(jī)構(gòu)先行溝通，就算法歧視給患者帶來的各種問題事先提醒和告知，要求整改，然后再報告行政機(jī)關(guān)?？傊?，期待第三方組織補(bǔ)充監(jiān)督能夠避免因為較小的問題而釀成大的不利后果。

四、結(jié)語

對普通人來說，既需要應(yīng)用健康醫(yī)療大數(shù)據(jù)以幫助他們獲取更好的服務(wù)，也需要對個人健康信息進(jìn)行必要的保護(hù)，這就要求數(shù)據(jù)處理主體能夠在數(shù)據(jù)開發(fā)應(yīng)用和個人信息與隱私保護(hù)之間達(dá)致平衡。醫(yī)療衛(wèi)生機(jī)構(gòu)作為個人健康醫(yī)療信息的主要處理主體，隨著其處理的健康醫(yī)療數(shù)據(jù)數(shù)量的高速增長和各種復(fù)雜場景的出現(xiàn)，迫切需要提升其數(shù)據(jù)保護(hù)能力，需要建構(gòu)一套有用且靈活的合規(guī)體系來解決與患者個人信息保護(hù)相關(guān)的倫理或法律問題。經(jīng)過對數(shù)據(jù)合規(guī)義務(wù)發(fā)展的歷史梳理和現(xiàn)實考察，通過機(jī)構(gòu)自律和行政監(jiān)管的緊密結(jié)合，實現(xiàn)對患者個人信息的保護(hù)，以提升患者安全，促進(jìn)醫(yī)患信任。

注釋

①第192項具體內(nèi)容是“患者隱私數(shù)據(jù)存儲于數(shù)據(jù)庫，具備隱私數(shù)據(jù)（敏感）數(shù)據(jù)防泄露能力。具備健康檔案數(shù)據(jù)授權(quán)訪問控制、隱私數(shù)據(jù)字段級加密保護(hù)功能、支持第三方服務(wù)接口、支持動態(tài)脫敏和動態(tài)加密數(shù)據(jù)保護(hù)等4項功能”，這是推薦而非必備要求。

②《貴陽市健康醫(yī)療大數(shù)據(jù)應(yīng)用條例》2019年施行，2021年修訂；其中第二十六條對醫(yī)療衛(wèi)生機(jī)構(gòu)保障數(shù)據(jù)安全的義務(wù)進(jìn)行了規(guī)定?！渡綎|省健康醫(yī)療大數(shù)據(jù)管理辦法》2020年施行。

③《個人信息保護(hù)法》第六十六條。

④綜合《個人信息保護(hù)法》第四章內(nèi)容表述。

⑤重慶市開州區(qū)人民法院案號（2020）渝0154民初5576號判決書。

⑥綜合《個人信息保護(hù)法》第五章內(nèi)容表述。

⑦近年來，隨著大數(shù)據(jù)、云計算、移動互聯(lián)網(wǎng)的不斷發(fā)展，特別是大數(shù)據(jù)與5G、人工智能、區(qū)塊鏈等新一代信息技術(shù)的融合發(fā)展日益緊密，數(shù)據(jù)種類日益增多，數(shù)據(jù)規(guī)模急劇增長，數(shù)據(jù)合規(guī)越來越受到社會各界的普遍關(guān)注和立法部門的普遍重視。參見蔣安杰，《數(shù)據(jù)合規(guī)高端論壇在京舉行》，《法治日報》2021年9月29日，第009版。

⑧張新寶指出，面對強(qiáng)大的個人信息處理者，抽象的民事權(quán)利規(guī)定容易被虛化，淪為“紙面上的權(quán)利”；個人信息保護(hù)的有效性必然有賴于國家規(guī)制，實踐中站在維權(quán)第一線的其實往往是監(jiān)管者而非個人。對個人信息保護(hù)國家義務(wù)更詳細(xì)的論述，可參見王錫鋅：《個人信息保護(hù)的國家義務(wù)及展開》，載《中國法學(xué)》2021年第1期。

⑨2018年被稱為我國的“合規(guī)元年”，其標(biāo)志性合規(guī)管理事件是兩個綜合性合規(guī)管理指引的發(fā)布。參見陳瑞華：《論企業(yè)合規(guī)在行政監(jiān)管機(jī)制中的地位》，載《上海政法學(xué)院學(xué)報（法治論叢）》2021年第3期。

⑩2013年《工商行政指導(dǎo)規(guī)則》第九條。

?檢察機(jī)關(guān)在針對醫(yī)療機(jī)構(gòu)個人信息保護(hù)不力的行為已經(jīng)有發(fā)出社會治理建議的先例。在2021年最高人民檢察院發(fā)布《檢察機(jī)關(guān)個人信息保護(hù)公益訴訟典型案例》中溫州市鹿城區(qū)人民檢察院在辦理一起個人信息保護(hù)行政公益訴訟案中，向泄露患者個人信息的兩家醫(yī)院發(fā)出社會治理檢察建議，建議加強(qiáng)就診者個人信息保護(hù)。參見最高人民檢察院.檢察機(jī)關(guān)個人信息保護(hù)公益訴訟典型案例[EB/OL].（2021-04-22）[2021-10-15].https://www.spp.gov.cn/spp/xwfbh/wsfbt/202104/t20210422_516357.shtml#2.

?指南第6.1和6.2條。

?指南第 8條。

?指南第11.1條。

?例如，指南第7條第i項處理者沒有獲得授權(quán)也可以披露個人醫(yī)療數(shù)據(jù)，這與《個人信息保護(hù)法》第二十九條規(guī)定不盡一致。

?2021年修訂后《行政處罰法》第三十三條確立了“首違不罰”的規(guī)定，被視為該法的重大突破。

?《國務(wù)院辦公廳關(guān)于改革完善醫(yī)療衛(wèi)生行業(yè)綜合監(jiān)管制度的指導(dǎo)意見》（國辦發(fā)〔2018〕63號）第（八）項內(nèi)容。