3. 核心法律依据精讲
医疗健康数据的合规工作，几乎都绕不开三部基础法律：《网络安全法》《数据安全法》和《个人信息保护法》。它们不是三套彼此独立的规则，而是分别从网络运行安全、数据全生命周期安全、个人信息权益保护三个层面共同约束同一批医疗数据。理解它们的关系，比逐条背诵条文更重要。
可以先用一句话建立整体框架：《网络安全法》管的是“系统能不能安全地跑”，《数据安全法》管的是“数据作为资源如何被安全利用”，《个人信息保护法》管的是“涉及人的信息如何合法处理”。在医疗场景中，一份电子病历同时落入三部法律的适用范围：它存在于医院信息系统（网络安全）、作为重要数据或一般数据被存储流转（数据安全）、并且包含患者姓名、身份证号、诊断、基因等个人信息甚至敏感个人信息（个人信息保护）。
一、《网络安全法》：医疗信息系统的运行底座
《网络安全法》于2017年6月1日施行，是三部法律中最早生效的。它对医疗行业最直接的要求集中在网络运行安全和网络信息安全两个层面。
在运行安全层面，医院的核心业务系统——HIS（医院信息系统）、LIS（实验室信息系统）、PACS（影像归档与通信系统）、EMR（电子病历系统）——通常被定为等级保护三级。这意味着需要完成定级备案、每年至少一次等级测评、部署边界防火墙与入侵检测、对关键网络设备与安全设备进行日志留存，且日志保存时间不少于六个月。很多医院在等保测评中失分，不是因为没买设备，而是因为日志留存不完整、账号权限未定期复核、离职人员账号未及时回收。
在网络信息安全层面，法律要求网络运营者收集、使用个人信息必须公开收集、使用规则，明示目的、方式和范围，并经被收集者同意。医疗场景中，这意味着挂号、住院、体检、互联网诊疗等环节，都需要有清晰的隐私告知，而不能默认患者“来了就同意”。
二、《数据安全法》：从“数据”而非“系统”出发
《数据安全法》于2021年9月1日施行，它的核心是数据分类分级保护制度。对医疗机构而言，最重要的动作是建立数据分类分级清单，并识别其中的“重要数据”。
医疗数据分类分级通常按以下维度展开：
- 按数据主体：患者数据、员工数据、科研数据、运营数据；
- 按敏感程度：一般数据、重要数据、核心数据；
- 按业务场景：临床诊疗、健康管理、医学研究、公共卫生上报、保险结算。
举例来说，某三甲医院将“去标识化后的群体统计病案数据”定为一般数据，将“包含患者身份标识的完整电子病历”定为重要数据，将“大规模人群基因数据”定为更高级别。不同级别对应不同的访问审批、加密存储、传输通道和审计要求。
《数据安全法》还规定了数据出境的安全评估义务。如果医院与境外机构开展科研合作，将包含患者信息的医疗数据传至境外，需要走数据出境安全评估或标准合同备案路径，不能仅凭一份合作协议就传输。
三、《个人信息保护法》：医疗场景中最细密的约束
《个人信息保护法》于2021年11月1日施行，对医疗健康数据的影响最为直接。医疗健康信息属于敏感个人信息，一旦泄露或非法使用，容易导致人格尊严受到侵害或人身、财产安全受到危害。
处理敏感个人信息，必须满足三个核心条件：
- 具有特定目的和充分必要性：例如，为完成诊疗必须采集病史，属于必要；但为推送广告而采集病史，不属于必要。
- 取得个人的单独同意：不能把敏感个人信息处理同意藏在冗长的隐私政策里，需要单独弹窗、单独勾选、单独告知。
- 进行个人信息保护影响评估（PIA）：在处理敏感个人信息、向他人提供、公开、出境等场景下，需要事前进行影响评估并留存记录。
医疗场景中常见的合规缺口包括：互联网医院问诊时未单独告知敏感信息处理规则；科研使用病历时仅做去标识化但未评估重识别风险；第三方检验机构、影像云平台、可穿戴设备厂商作为受托处理者时，未签订数据处理协议；患者要求查阅、复制、更正病历时，缺乏明确响应流程。
四、三法叠加时的判断顺序
面对一个具体的医疗数据处理行为，建议按以下顺序判断：
第一步，看系统。该行为发生在哪个系统？系统是否已完成等保定级备案？日志、权限、边界防护是否满足《网络安全法》要求？
第二步，看数据。涉及的数据属于什么级别？是否属于重要数据？是否需要出境？是否满足《数据安全法》的分类分级、风险评估和出境评估要求？
第三步，看个人信息。数据是否涉及患者个人？是否属于敏感个人信息？处理目的是否必要？是否取得单独同意？是否完成PIA？是否保障了患者的查阅、复制、更正、删除等权利？
这三步不是三选一，而是层层叠加。一个合规的医疗数据项目，必须同时通过三关。
五、一个简化的合规检查表示例
以下检查表可用于医疗数据项目上线前的快速自查，字段和判断依据均围绕三部法律在医疗场景中的核心义务设计：
| 检查项 | 法律依据 | 判断标准 | 常见证据 |
|---|---|---|---|
| 系统等保定级备案 | 网络安全法 | 核心业务系统定级≥三级并完成备案 | 备案证明、测评报告 |
| 网络日志留存 | 网络安全法 | 日志保存≥6个月且不可篡改 | 日志平台截图、审计记录 |
| 数据分类分级清单 | 数据安全法 | 覆盖全部医疗数据资产并标注级别 | 数据资产台账 |
| 重要数据识别与备案 | 数据安全法 | 重要数据目录已编制并按要求备案 | 重要数据目录、备案回执 |
| 敏感个人信息单独同意 | 个人信息保护法 | 诊疗、科研、互联网医疗等场景有单独同意记录 | 同意页面截图、授权日志 |
| 个人信息保护影响评估 | 个人信息保护法 | 敏感信息处理、对外提供、出境前完成PIA | PIA报告、整改记录 |
| 患者权利响应流程 | 个人信息保护法 | 查阅、复制、更正、删除请求有受理与反馈时限 | 工单记录、响应SOP |
这张表的价值不在于“打勾”，而在于让信息科、医务科、科研管理部门和法务在同一张表上对齐语言。医疗数据合规不是某一个部门的事：系统安全归信息科，诊疗必要性归医务科，科研使用归科研管理部门，个人信息权利响应往往需要门诊、病案室和法务协同。
最后需要强调，三部法律在医疗场景中的适用不是静态的。随着《个人信息保护法》配套细则、数据出境规定、医疗数据分类分级指南的陆续出台，合规要求会持续细化。建立“系统—数据—个人信息”三层判断习惯，比记住某一条具体罚则更有长期价值。