2. 医疗健康数据的界定与分类

在医疗健康数据合规实务中，第一步永远不是“怎么合规”，而是“我手里到底有哪些数据、它们分别属于什么类别、对应什么保护强度”。分类错了，后续的告知同意、存储期限、跨境判断、脱敏要求都会跟着错。本节围绕四类最常被混淆的对象——个人健康信息、医疗记录、基因数据、生物识别数据——讲清它们的识别边界与分级逻辑。

一、四类对象的界定与识别要点

个人健康信息是最宽的一层。它指与自然人身体状况、健康状况、医疗行为、健康管理相关的信息，既包括客观的生理指标（血压、血糖、心率、体重），也包括主观描述（主诉、过敏史、家族病史），还包括健康服务过程中产生的信息（就诊时间、科室、用药、随访记录）。识别要点是“与健康相关且能关联到个人”。例如“某用户连续 7 天步数低于 2000 且心率异常升高”属于个人健康信息；而“某城市 2024 年糖尿病患病率 11.2%”是统计信息，不指向个人，不属于个人健康信息。

医疗记录是个人健康信息中由医疗机构在诊疗活动中形成、具有证据和业务属性的一类。典型对象包括门诊病历、住院病案首页、医嘱单、检验检查报告、手术记录、护理记录、出院小结。识别要点是“由医疗行为产生、有机构与时间戳、可追溯”。医疗记录通常同时受《医疗机构病历管理规定》《电子病历应用管理规范》以及个人信息保护法约束，属于高敏感、强留痕的数据。

基因数据指通过测序、芯片、PCR 等技术获得的个体遗传信息，包括全基因组、外显子、SNP 位点、线粒体序列、肿瘤突变谱等。它的特殊性在于：一是唯一性极高，几乎可视为生物身份证；二是具有家族牵连性，一个人的基因信息会部分暴露其亲属；三是不可更改，泄露后无法“重置”。因此基因数据在多数合规体系中被列为最高敏感级别。

生物识别数据指用于识别自然人身份的身体、生理或行为特征，如指纹、人脸、虹膜、声纹、步态、静脉。医疗场景中常见于人脸识别挂号、指纹签署知情同意、声纹病历录入。识别要点是“用于身份比对或验证”。需要特别区分：一张用于诊断的皮肤照片属于医疗影像，不是生物识别数据；但同一张照片若进入人脸比对库，就同时具备生物识别属性。

二、分级逻辑：从敏感程度到处理约束

四类对象并非互斥，而是存在交叉与叠加。基因数据可同时是个人健康信息；人脸数据可同时是医疗记录中的身份核验凭证。实务中建议按“敏感级别 + 处理场景”双维度分级：

分级不是贴标签，而是直接决定操作。例如，同样是“存储”，一般健康信息可采用加密数据库；基因数据则要求原始序列与表型数据分离存储，并限制导出权限；人脸模板应优先在终端完成比对，只上传比对结果而非原始图像。

三、识别与分级的实操判断路径

面对一条具体数据，可按以下顺序判断：先问“能否关联到特定个人”，不能则退出个人健康信息范围；再问“是否由诊疗行为产生”，是则归入医疗记录；再问“是否包含遗传信息”，是则升级为基因数据；最后问“是否用于身份识别”，是则叠加生物识别属性。四步走完，取最高敏感级别作为最终处理等级。

四、常见误判与纠正

误判一：把“匿名化后的健康数据”仍当作个人健康信息。若已无法通过任何合理方式重新识别到个人，则不再属于个人信息，但需注意基因数据因唯一性极强，匿名化难度远高于一般健康信息，实务中应默认其仍具可识别性。

误判二：把“人脸照片”一律当作生物识别数据。若仅用于医学诊断（如皮肤科影像），且未进入身份比对流程，应按医疗影像管理；一旦用于门禁、挂号核验，则叠加生物识别属性，须单独同意并优先本地比对。

误判三：把“医疗记录”与“个人健康信息”混为一谈。医疗记录是个人健康信息的子集，但因其证据属性，在留存期限、修改权限、调阅审计上有更严格要求。例如电子病历的修改必须留痕，而一般健康 App 中的步数记录通常不涉及此类审计。

五、分级后的处理动作对照

分级结果应直接映射到处理动作。一般个人健康信息：告知同意 + 加密存储 + 最小必要采集；医疗记录：单独同意 + 访问审计 + 机构授权调阅 + 留存期限管理；基因数据：单独同意 + 伦理审查 + 去标识化 + 禁止默认共享 + 跨境特别评估；生物识别数据：单独同意 + 本地比对优先 + 不可逆模板 + 禁止随意留存原始图像。四类数据的处理动作不是并列关系，而是随敏感级别递增而叠加。

最后需要强调：分类与分级不是一次性工作。当数据用途发生变化（如健康数据被用于保险定价）、当技术手段变化（如匿名数据被重新识别）、当法规更新时，都应重新评估类别与级别。合规的起点是“知道自己有什么”，而这一步的准确性，直接决定后续所有控制措施是否有效。