發(fā)文機(jī)關(guān)國家衛(wèi)生健康委員會
發(fā)文日期2018年09月21日
時效性現(xiàn)行有效
施行日期2018年09月21日
效力級別部門規(guī)范性文件
委員：
您提出的關(guān)于建立個人醫(yī)療健康信息隱私權(quán)保護(hù)立法體系的提案收悉。經(jīng)商中央網(wǎng)信辦、公安部、工業(yè)和信息化部，現(xiàn)答復(fù)如下：
健康醫(yī)療大數(shù)據(jù)是國家重要的基礎(chǔ)性戰(zhàn)略資源，隨著全球新一輪互聯(lián)網(wǎng)浪潮的迅速發(fā)展，傳統(tǒng)醫(yī)療衛(wèi)生信息網(wǎng)絡(luò)防護(hù)邊界正在發(fā)生重大變化，防護(hù)能力和效率正經(jīng)受嚴(yán)峻挑戰(zhàn)。個人醫(yī)療健康信息是個人信息的重要組成部分，國家將其納入個人信息保護(hù)立法統(tǒng)籌考慮。
一、 關(guān)于加強(qiáng)醫(yī)療健康信息保護(hù)的法律法規(guī)建設(shè)
國家高度重視個人信息保護(hù)工作，多部法律法規(guī)對個人信息、健康醫(yī)療大數(shù)據(jù)保護(hù)作出相關(guān)規(guī)定。《網(wǎng)絡(luò)安全法》進(jìn)一步完善了個人信息保護(hù)制度，對個人信息的收集保護(hù)規(guī)則、網(wǎng)絡(luò)運營者的責(zé)任義務(wù)等內(nèi)容作了專門規(guī)定?！缎谭ㄐ拚福ň牛沸抻喠恕扒址腹駛€人信息罪”，將犯罪主體由特殊主體修改為一般主體；同時新增“拒不履行信息網(wǎng)絡(luò)安全管理義務(wù)罪”“非法利用信息網(wǎng)絡(luò)罪”和“幫助信息網(wǎng)絡(luò)犯罪活動罪”等3個罪名，加大對侵犯公民個人信息犯罪上游行為的打擊力度。《關(guān)于辦理侵犯公民個人信息刑事案件適用法律若干問題的解釋》對侵犯公民個人信息犯罪的定罪量刑標(biāo)準(zhǔn)和有關(guān)法律適用問題作了全面、系統(tǒng)的規(guī)定。全國人大常委會《關(guān)于加強(qiáng)網(wǎng)絡(luò)信息保護(hù)的決定》規(guī)范了網(wǎng)絡(luò)服務(wù)提供者對公民個人電子信息的保護(hù)義務(wù)，明確禁止非法獲取、出售或非法提供公民個人電子信息，并規(guī)定了公民個人信息受到侵害以及受到垃圾信息侵?jǐn)_的法律救濟(jì)?！秷?zhí)業(yè)醫(yī)師法》《醫(yī)療機(jī)構(gòu)管理條例》等都明確規(guī)定，醫(yī)療機(jī)構(gòu)、醫(yī)務(wù)人員應(yīng)當(dāng)保護(hù)患者隱私。已經(jīng)全國人大常委會首次審議的《基本醫(yī)療衛(wèi)生與健康促進(jìn)法》（草案）提出，國家保護(hù)與公民健康有關(guān)的個人隱私，確保個人健康信息安全；除法律法規(guī)規(guī)定或本人同意外，任何組織和個人不得獲取、利用或公開公民個人健康信息。
二、 關(guān)于健全醫(yī)療健康信息保護(hù)的政策制度和標(biāo)準(zhǔn)規(guī)范
我委制定出臺《醫(yī)療機(jī)構(gòu)病歷管理規(guī)定》《電子病歷應(yīng)用管理規(guī)范（試行）》，規(guī)定電子病歷系統(tǒng)應(yīng)當(dāng)為操作人員提供專有的身份標(biāo)識和識別手段，并設(shè)置相應(yīng)權(quán)限。電子病歷系統(tǒng)應(yīng)當(dāng)對操作人員進(jìn)行身份識別，并保存歷次操作印痕，標(biāo)記操作時間和操作人員信息，并保證歷次操作印痕、標(biāo)記操作時間和操作人員信息可查詢、可追溯。電子病歷系統(tǒng)應(yīng)當(dāng)設(shè)置病歷查閱權(quán)限，并保證醫(yī)務(wù)人員查閱病歷的需要?！度丝诮】敌畔⒐芾磙k法（試行）》，進(jìn)一步加強(qiáng)全民健康信息采集、管理、利用、安全和隱私保護(hù)等工作，要求各級各類醫(yī)療衛(wèi)生健康服務(wù)機(jī)構(gòu)應(yīng)當(dāng)按照法律法規(guī)規(guī)定，保證信息安全，保護(hù)個人隱私。2018年4月，國務(wù)院辦公廳印發(fā)《關(guān)于促進(jìn)“互聯(lián)網(wǎng)+醫(yī)療健康”發(fā)展的意見》，明確指出保障數(shù)據(jù)信息安全，嚴(yán)格執(zhí)行信息安全和健康醫(yī)療數(shù)據(jù)保密制度，建立個人隱私信息保護(hù)體系，妥善保管用戶資料和交易信息，對非法買賣、泄露個人信息的行為依法予以懲處。我委出臺了《國家健康醫(yī)療大數(shù)據(jù)標(biāo)準(zhǔn)、安全和服務(wù)管理辦法（試行）》，規(guī)范推動健康醫(yī)療大數(shù)據(jù)安全保障和應(yīng)用發(fā)展?！缎畔踩夹g(shù)個人信息安全規(guī)范》明確個人信息控制者開展個人信息處理活動應(yīng)遵循權(quán)責(zé)一致、目的明確等基本原則，提出個人信息收集、保存、使用、共享、轉(zhuǎn)讓、公開披露等行為應(yīng)遵循的安全要求；將個人生物識別信息、健康生理信息等納入個人敏感信息范圍，對個人敏感信息的收集、傳輸和存儲提出安全要求，對大量接觸個人敏感信息的人員進(jìn)行背景調(diào)查等。我委正在研究《醫(yī)療電子文檔數(shù)字認(rèn)證及數(shù)據(jù)加密技術(shù)規(guī)范》，目前已完成會審。
三、 關(guān)于加強(qiáng)執(zhí)法和監(jiān)督檢查
近年來，國家圍繞數(shù)據(jù)安全和用戶個人信息保護(hù)對重點電信和互聯(lián)網(wǎng)企業(yè)業(yè)務(wù)系統(tǒng)連續(xù)開展檢查。2016年以來，全國公安機(jī)關(guān)持續(xù)開展打擊整治網(wǎng)絡(luò)侵犯公民個人信息犯罪專項行動，依法嚴(yán)厲打擊非法獲取信息的源頭、非法倒賣公民個人信息的中間商以及使用公民個人信息實施詐騙、盜竊、敲詐勒索等犯罪的人員，偵破一批案件，有力遏制了侵犯個人信息的違法犯罪活動。我委認(rèn)真貫徹《網(wǎng)絡(luò)安全法》等一系列法律法規(guī)要求，落實國家網(wǎng)絡(luò)安全等級保護(hù)制度、分級保護(hù)制度和信息安全審查制度，建立完善全民健康網(wǎng)絡(luò)與信息安全相關(guān)制度。我委每年開展全民健康網(wǎng)絡(luò)與信息安全檢查和督導(dǎo)工作，落實全民健康網(wǎng)絡(luò)與信息安全的主體責(zé)任，通過檢查深入分析安全風(fēng)險，排查安全隱患，查找網(wǎng)絡(luò)與信息安全短板，并認(rèn)真落實整改措施，堅決防止發(fā)生重大網(wǎng)絡(luò)安全事故，不斷增強(qiáng)全行業(yè)網(wǎng)絡(luò)安全和個人隱私信息保護(hù)意識及能力。我委還根據(jù)國家電子政務(wù)安全建設(shè)的相關(guān)規(guī)范，結(jié)合行業(yè)現(xiàn)狀，從網(wǎng)絡(luò)結(jié)構(gòu)優(yōu)化、安全域劃分、邏輯隔離、病毒防護(hù)、安全監(jiān)控和設(shè)備冗余等多方面進(jìn)行安全規(guī)劃建設(shè)，己初步形成了合理規(guī)范的安全體系框架，基本實現(xiàn)信息系統(tǒng)穩(wěn)定、可靠和可控運行的設(shè)計目標(biāo)，為今后信息資源整合、業(yè)務(wù)擴(kuò)容和可持續(xù)發(fā)展奠定了堅實基礎(chǔ)。繼續(xù)推進(jìn)電子認(rèn)證服務(wù)體系建設(shè)，已有23家經(jīng)過符合性測試的CA認(rèn)證公司為全國衛(wèi)生健康行業(yè)提供60萬份電子認(rèn)證服務(wù)證書，并為醫(yī)療機(jī)構(gòu)開展HIS集成認(rèn)證服務(wù)，確保醫(yī)務(wù)人員在行業(yè)內(nèi)部不同信息系統(tǒng)之間的身份信息唯一性，保障信息數(shù)據(jù)安全。
下一步，一是積極做好健康醫(yī)療大數(shù)據(jù)立法立標(biāo)立規(guī)工作。爭取將《居民健康信息服務(wù)管理條例（草案）》納入立法計劃。配合做好《個人信息保護(hù)法（草案）》《個人信息和重要數(shù)據(jù)出境評估辦法》《數(shù)據(jù)出境安全評估指南》《個人信息去標(biāo)識化指南》《個人信息安全影響評估》等研究制定工作。出臺《關(guān)于促進(jìn)“互聯(lián)網(wǎng)+醫(yī)療健康”發(fā)展的意見》配套監(jiān)管措施，加強(qiáng)健康醫(yī)療數(shù)據(jù)安全管理，尤其是對第三方使用數(shù)據(jù)的監(jiān)管，完善個人信息的隱私保護(hù)措施。二是按照“十三五”國家網(wǎng)絡(luò)安全規(guī)劃等部署和要求，加強(qiáng)全民健康網(wǎng)絡(luò)與信息安全防護(hù)體系建設(shè)，加大國產(chǎn)化產(chǎn)品應(yīng)用推進(jìn)力度，定期組織開展檢查督導(dǎo)，積極防范和應(yīng)對網(wǎng)絡(luò)與信息安全事件，確保系統(tǒng)運行和數(shù)據(jù)信息安全。研究制定標(biāo)識賦碼、科學(xué)分類、風(fēng)險分級、安全審查規(guī)則，落實安全審查制度，強(qiáng)化健康醫(yī)療信息工程技術(shù)能力建設(shè)。三是加大衛(wèi)生健康行業(yè)的網(wǎng)絡(luò)安全檢查督查力度。通過全行業(yè)自查，建設(shè)行業(yè)網(wǎng)絡(luò)安全監(jiān)控平臺，結(jié)合獨立第三方檢測機(jī)構(gòu)進(jìn)行監(jiān)測排查，建立網(wǎng)絡(luò)安全預(yù)警監(jiān)測通報機(jī)制，盡早發(fā)現(xiàn)隱患，及時整改，提高全行業(yè)網(wǎng)絡(luò)安全意識和防護(hù)能力。
感謝您對衛(wèi)生健康工作的關(guān)心和支持。
國家衛(wèi)生健康委員會
2018年9月21日
