1. 医疗健康数据合规全景

医疗健康数据合规不是“把数据锁起来”这么简单。它要同时满足三件事：患者权益得到保护、医疗业务能够正常运转、机构在监管检查与纠纷中拿得出证据。本课程围绕这三条主线展开，帮助你把法律条文转化为可落地的流程、字段、权限和记录。

一、课程目标：从“知道规定”到“能交付证据”

学完本课程，你应当能够独立完成以下任务：识别一份医疗数据中哪些属于敏感个人信息、哪些属于重要数据；判断一次数据使用行为需要什么合法性基础；为一次科研或AI训练设计最小必要的字段集；在数据泄露事件中按法定时限完成内部上报与外部通知；并能够输出一份可被审计的合规证据包。课程不追求背诵法条，而是训练“看到数据流就能判断风险点”的能力。

二、核心概念：先把边界划清楚

个人健康信息指与自然人身体、心理状态及医疗服务相关的信息，包括病历、检验报告、影像、基因、用药、可穿戴设备采集的心率与睡眠等。敏感个人信息在《个人信息保护法》中被明确列举，医疗健康信息属于典型敏感个人信息，处理时需取得单独同意，并具备特定目的和充分必要性。去标识化与匿名化是两条不同路径：去标识化后仍可能通过重识别恢复身份，仍属个人信息；匿名化后无法识别且不能复原，才不再属于个人信息。数据出境、重要数据、受托处理、共同处理等概念，则决定了谁承担主要合规责任。

三、法律体系：三层结构，逐层落地

我国医疗健康数据合规的法律体系可概括为“上位法—专门法—部门规章与标准”三层。上位法包括《个人信息保护法》《数据安全法》《网络安全法》《基本医疗卫生与健康促进法》；专门法包括《医师法》《传染病防治法》《人类遗传资源管理条例》等；部门规章与标准包括《医疗卫生机构网络安全管理办法》《国家健康医疗大数据标准、安全和服务管理办法（试行）》《信息安全技术 健康医疗数据安全指南》（GB/T 39725）等。此外，医院还需关注《民法典》人格权编对隐私权的规定，以及《刑法》第253条之一侵犯公民个人信息罪的刑事红线。

四、实务框架：把法律要求翻译成日常动作

医疗机构落地合规，通常按“识别—定级—授权—留痕—审计”五步闭环推进。第一步数据识别：梳理院内系统清单，标出HIS、LIS、PACS、EMR、随访平台、科研数据库各自存储哪些字段。第二步分类分级：按GB/T 39725将数据分为公开、内部、敏感、重要等层级，例如“姓名+身份证号+诊断”属于敏感级，“群体流行病学统计结果”可能属于重要数据。第三步授权与同意：门诊诊疗依据《基本医疗卫生与健康促进法》可基于诊疗目的处理，但科研、AI训练、对外合作必须取得单独同意或通过伦理审查。第四步操作留痕：对数据的查询、导出、修改、删除均记录操作人、时间、IP、字段范围。第五步审计复盘：每季度抽查日志，核对授权范围与实际访问是否一致。

五、一个可参考的最小必要字段示例

假设某医院要开展“糖尿病随访依从性研究”，需要从EMR中提取数据。合规做法不是直接导出全病历，而是先定义研究问题，再反推字段。示例字段集如下：

该字段集去掉了姓名、身份证号、住址、联系电话、具体就诊日期和自由文本病程记录。若研究确实需要罕见病亚型，则需重新评估重识别风险，并考虑签署数据使用协议、设置访问白名单和导出水印。

六、常见责任主体与判断要点

医院作为个人信息处理者，对数据安全承担主要责任；若委托第三方做系统运维或数据分析，则第三方是受托处理者，需签订数据处理协议，明确处理目的、期限、安全措施和返还删除义务。若两家医院共同决定处理目的和方式，则构成共同处理，需约定各自责任。判断一次数据使用是否合规，可以问四个问题：目的是否具体、必要？是否取得对应合法性基础？是否只用了最小必要字段？是否留下了可追溯的记录？四个问题中任何一个答“否”，就应暂停并补充合规动作。