3. 医疗App隐私合规基础
医疗App的隐私合规不是“加一份隐私政策”就能解决的问题。它同时受到多套规则的约束：美国的HIPAA、欧盟的GDPR、中国的《个人信息保护法》《数据安全法》，以及针对医疗健康数据的专项规定。这些规则在适用范围、数据分类、同意机制、跨境传输和处罚力度上差异明显。理解它们的核心要求，并据此判断自身产品处于什么合规水平，是隐私工程的第一步。
一、四套主要规则的定位与核心要求
HIPAA适用于美国境内的“受保护实体”（医疗机构、保险方、清算所）及其“商业伙伴”。医疗App若为医院开发患者管理工具，或替保险方处理理赔数据，通常以商业伙伴身份受约束。HIPAA的核心是隐私规则、安全规则和违规通知规则：它要求对受保护健康信息（PHI）实施行政、物理和技术保障，例如访问控制、审计日志、传输加密，并在数据泄露时按影响人数分级通知。HIPAA不要求每次采集都取得患者同意，而是以“允许但需保障”为基本逻辑。
GDPR适用于在欧盟境内提供服务或监控欧盟居民行为的任何组织，不论服务器位于何处。医疗健康数据属于GDPR第9条“特殊类别数据”，原则上禁止处理，除非取得明确同意或满足医疗保健、公共卫生等例外。GDPR强调数据主体权利：访问、更正、删除、可携带、反对自动化决策。对医疗App而言，最直接的压力来自“同意必须自由给出、具体、知情且不捆绑”以及“数据保护影响评估（DPIA）”义务。
《个人信息保护法》将医疗健康信息列为敏感个人信息。处理敏感个人信息必须取得单独同意，并向个人告知处理目的、方式、必要性及对个人权益的影响。此外，PIPL要求处理敏感个人信息前开展个人信息保护影响评估（PIA），并保存评估报告至少三年。对于医疗App，这意味着不能把“同意隐私政策”当作一揽子授权，必须为健康数据采集、上传、共享等环节设计独立的同意入口。
《数据安全法》从数据安全角度提出分类分级保护要求。医疗健康数据通常被归入较高风险级别，需要建立数据安全管理制度、开展风险评估、对重要数据实施更严格保护。它与PIPL形成互补：PIPL管“个人信息权益”，数据安全法管“数据本身的安全”。
此外，国家卫健委、国家药监局等部门发布的医疗健康数据专项规定，对电子病历、健康档案、互联网诊疗数据提出了更细的要求，例如病历数据不得随意出境、互联网诊疗必须留存诊疗记录、患者信息查询需身份核验等。这些规定往往比上位法更具体，是医疗App落地时最直接的检查依据。
二、合规差距分析：从规则到差距的映射方法
合规差距分析的本质，是把“法规要求”翻译成“可检查的控制项”，再对照产品现状逐项判断。建议按以下四步推进。
第一步：确定适用法域与角色。先回答三个问题：App面向哪些地区用户？数据在哪些地区存储和处理？自身是数据控制者、处理者，还是HIPAA下的商业伙伴？例如，一款面向中国用户、服务器在境内、与三甲医院合作的在线复诊App，主要受PIPL、数据安全法和互联网诊疗规定约束；若它同时向美国用户开放，则HIPAA和州级隐私法也可能适用。
第二步：建立控制项清单。把每部法规拆成可验证的控制点。以PIPL敏感个人信息为例，可拆为：是否有单独同意入口、是否告知必要性和影响、是否开展PIA、是否保存评估报告、是否提供撤回同意方式、是否提供查阅复制和删除渠道。每个控制点都要有明确的“通过/不通过/部分通过”判断标准。
第三步：采集证据并评分。证据可以来自隐私政策文本、App界面截图、后端数据流图、数据库字段清单、第三方SDK清单、日志配置、合同条款等。评分建议采用三级：符合（有制度且有执行证据）、部分符合（有制度但执行不完整或证据缺失）、不符合（无制度或无执行）。对“部分符合”和“不符合”项，记录具体缺口和影响范围。
第四步：排定整改优先级。优先级由“风险严重度×发生可能性”决定。涉及敏感健康数据未单独同意、数据出境未评估、第三方SDK私自上传IMEI等，属于高风险项，应优先整改。整改动作要落到具体责任人和时间点，而不是停留在“加强管理”。
三、用一张图看清规则与差距分析的关系
下图把四类规则的核心约束、医疗App的典型数据流，以及差距分析的四个步骤放在同一视图中。左侧是规则来源，中间是App内健康数据的采集、存储、使用、共享、出境五个环节，右侧是差距分析的控制项映射与优先级判断。阅读时可以先沿数据流找到每个环节对应的规则，再判断当前控制是否成立。
四、差距分析中的常见判断误区
第一，把“有隐私政策”等同于“合规”。隐私政策只是告知手段，不能替代单独同意、PIA和出境评估。第二，忽略第三方SDK。很多医疗App自身代码合规，但嵌入的统计、推送、地图SDK会在后台采集设备标识和位置，形成事实上的数据共享。差距分析必须把SDK清单纳入证据范围。第三，把“用户同意”当作万能钥匙。PIPL下敏感个人信息即使取得同意，仍需满足必要性和影响告知；GDPR下同意不能捆绑于服务条款。第四，只做一次分析。法规、监管口径和App版本都在变化，差距分析应形成版本化记录，便于追溯和复核。
合规差距分析的最终产出，不是一份“合规/不合规”的结论，而是一张按风险排序的整改清单：哪些控制项已经成立，哪些存在缺口，缺口影响哪些数据流环节，由谁在什么时间完成修复，修复后用什么证据验证。只有把规则、数据流和控制项三者对齐，医疗App的隐私合规才具备可执行、可验证的基础。