3. 医疗敏感数据识别相关法规与标准
医疗敏感数据识别不是单纯的技术分类问题，它首先是一个合规问题。同一份病历数据，在《个人信息保护法》下可能属于“敏感个人信息”，在《数据安全法》下可能被纳入“重要数据”管理，在 HIPAA 下则可能同时涉及 PHI（受保护健康信息）与 ePHI（电子受保护健康信息），在 GDPR 下又可能落入“特殊类别个人数据”并触发第 9 条限制。识别与分级工程的第一步，就是把这些法规的“触发条件”翻译成可执行的判定规则。
一、四部法规/标准的核心要求拆解
《个人信息保护法》（PIPL）的核心在于“敏感个人信息”的界定与单独同意。第 28 条明确，一旦泄露或非法使用容易导致人格尊严受侵害或人身财产安全受危害的个人信息，即属敏感个人信息，其中明确列举了医疗健康信息。这意味着：只要数据能关联到具体自然人，且内容涉及疾病、诊疗、生理或心理健康状态，就应进入敏感个人信息通道。合规动作包括：取得单独同意、进行个人信息保护影响评估（PIA）、告知处理目的与必要性。
《数据安全法》不直接定义“医疗数据”，而是通过“重要数据”目录制度施加更严格义务。医疗领域的重要数据通常指向：区域人口健康信息平台汇总数据、大规模基因数据、重大疾病监测数据、涉及国家生物安全的数据。其合规动作是：建立数据分类分级制度、明确重要数据目录、落实风险评估与出境安全评估。
HIPAA 的识别逻辑围绕“受保护健康信息”展开。PHI 指由 covered entity 或 business associate 创建或接收的、可识别个人身份的健康信息。HIPAA 提供了 18 类标识符（姓名、日期、电话、邮箱、社保号、病历号、设备标识、生物识别等），只要健康信息与其中任一标识符组合，即构成 PHI。ePHI 则强调电子形态，触发安全规则中的管理、物理、技术三类保障措施。
GDPR 第 9 条将“与自然人健康相关的数据”列为特殊类别个人数据，原则上禁止处理，除非满足明示同意、医疗诊断、公共卫生等例外。GDPR 还强调数据最小化、目的限制、存储限制，以及数据保护影响评估（DPIA）。对于跨境传输，需依赖充分性认定或标准合同条款。
医疗健康数据分级指南（以国内行业实践为例）通常将数据分为四级：一级为公开健康科普数据；二级为一般个人健康数据；三级为敏感医疗数据（如诊断、用药、检验、影像）；四级为高敏感数据（如基因、精神疾病、传染病、生殖健康、成瘾治疗）。分级越高，访问控制、加密、审计、脱敏要求越严。
二、合规映射：从法规条款到识别规则
把上述要求落到工程上，关键是建立一张“法规—数据特征—识别规则—分级结果”的映射表。下面给出一个可操作的示例映射，参数为教学假设，实际项目需结合机构数据目录调整。
| 法规/标准 | 触发条件 | 识别规则示例 | 建议分级 |
|---|---|---|---|
| PIPL | 可识别自然人 + 医疗健康 | 字段含“诊断”“用药”“检验”且存在姓名/身份证/手机号 | 三级 |
| 数据安全法 | 区域汇总、基因、重大疾病 | 记录数≥10万且含区域编码、基因位点、传染病病种 | 四级 |
| HIPAA | PHI 18类标识符 + 健康信息 | 病历号、设备序列号、日期与检验结果同现 | 三级 |
| GDPR | 特殊类别数据 | 健康状态、性取向、种族、生物识别数据 | 三级/四级 |
| 分级指南 | 敏感度与影响面 | 基因、精神、传染、生殖、成瘾 | 四级 |
这张表的价值在于：它把“合规要求”变成了“字段组合判断”。例如，单独一个“血糖值”字段，若没有患者标识，可能只是二级；一旦与姓名、身份证、就诊号组合，就升级为三级；若再叠加“糖尿病并发症”诊断和区域汇总属性，则可能触及四级。
三、识别流程中的关键判断点
实际识别时，建议按以下顺序判断，避免漏判或过度分级：
- 是否可识别到人：直接标识（姓名、身份证、手机号、病历号）或准标识（出生日期+性别+邮编）组合。
- 是否涉及健康状态：诊断、症状、检验、影像、用药、手术、过敏、家族史、基因、心理、成瘾、生殖。
- 是否属于特殊类别：GDPR 第 9 条与国内分级指南中的高敏感类别。
- 是否达到规模或重要数据门槛：记录数、覆盖区域、是否涉及国家生物安全。
- 是否电子化并跨境/共享：ePHI、出境、第三方研究。
这五步判断可以固化为规则引擎中的决策链。下面用一张信号链式 SVG 展示从原始数据到分级输出的合规映射路径，图中同时标注了各法规的触发点。
四、落地时的常见偏差与修正
第一个偏差是“只看字段名，不看组合”。例如“科室”字段单独看是二级，但与“HIV 抗体阳性”检验结果同现时，必须升级为四级。修正方法是建立字段共现规则，而不是逐字段打标。
第二个偏差是“把匿名化等同于去标识化”。HIPAA 的 Safe Harbor 要求移除 18 类标识符，GDPR 的匿名化要求不可逆，而国内去标识化后仍可能通过准标识符重识别。工程上应区分“去标识化（可重识别，仍属个人信息）”与“匿名化（不可重识别，脱离个人信息范围）”，并在分级时分别处理。
第三个偏差是“忽略跨境与共享场景”。一份三级数据在院内使用可能只需加密与审计，一旦要传给境外研究机构，就触发 GDPR 出境机制与数据安全法出境评估，合规动作显著增加。识别规则中应加入“接收方位置”和“传输方式”两个维度。
最后需要强调，法规映射不是一次性工作。PIPL 的配套标准、数据安全法的行业目录、HIPAA 的隐私与安全规则更新、GDPR 的 EDPB 指南，都会改变识别边界。建议把映射表作为版本化资产维护，每次法规更新后重新跑一遍规则引擎的回归测试，确保分级结果与最新合规要求一致。