一、引言

如果说新型冠状病毒在2019年年末的爆发还毫无征兆,大家在2020年年初对新型冠状病毒的肆虐已经全力应对。因突发、新型、危重等特点,新型冠状病毒肺炎已经被纳入法定乙类传染病管理,采取甲类传染病预防、控制措施,且迅速升级引发全国绝大部分省区市启动重大突发公共卫生事件一级响应。举国上下不仅各级卫生疾控部门、医疗机构为疫情防治前赴后继,各民生部门、研究机构、各类企业、组织和个人都在竭尽所能的出谋划策。我们作为法律服务工作者,和大家同舟共济,希望通过对数据共享合规机制的探讨,与大家一起厘清在抗击疫情的大背景下如何通过数据的合规共享、调配、处理为打赢疫情防治阻击战提供支持。

科技部近日就在通知中提出,“加强有关实验数据、临床病例、流行病学统计等数据、成果的开放共享,共同做好防控新型冠状病毒肺炎科技应对工作”,而国家卫生健康委员会也同样在通知中指出,“强化与工信、公安、交通运输等部门的信息联动,形成公路、铁路、民航、通讯、医疗等疫情相关方多源数据监测、交换、汇聚、反馈机制,利用大数据技术对疫情发展进行实时跟踪、重点筛查、有效预测,为科学防治、精准施策提供数据支撑”[1]

如前述不同部委的通知中所强调的,最大可能有效识别病毒携带者、统筹公众预防也是目前传染病防治关键,都离不开健康医疗数据的共享。而健康医疗数据如何在现有法律严格要求下,不仅在医疗机构之间,也在交通、地图、电信等主要相关行业中合规地共享、处理和披露是当前和未来都需要关注的重要问题。为此,本文将以与疫情防控最相关的“健康医疗数据”为切入口,开始逐步探讨公共安全事件下数据的共享思路。

二、无形的帮手——数据资源调配

  1. 常规的健康医疗数据体系

通常健康医疗数据涉及的主体多为各级各类医疗卫生计生服务机构、相关科研机构、高等学校、医疗行业企业等。健康医疗数据主要包括以下四类:

  1. 特殊时期健康医疗数据范围和控制主体的拓展

在传染病疫情防控的特殊时期,除了医疗行业主体和疾病防控主管机构以外,更多行业和领域的多种类型主体需要加入到疫情应对的队伍之中,例如交通运输行业主管部门与企业、电信行业企业、地图与数据服务行业企业等。这些主体不仅不得不成为健康医疗数据的接收主体,还会在提供服务中产生、收集、衍生出更多种类的数据,不排除在一定程度上扩展了通常大家认定的健康医疗数据范围。例如,为确保追踪风险人群的迁移情况,这些人群的行踪轨迹、出行情况就成为了疫情下重要的健康医疗数据资源,需要将风险人群的身份信息与非医疗机构进行共享,然后从特定的主体(如电信运营商)获得上述数据资源。同样为了筛查和管理密切接触者、疑似病例,具有武汉旅居史的个人所乘坐公共交通工具的记录,虽然通常属于个人出行记录而非医疗相关数据,但在疫情下就可能因公共卫生的考量而发生本质变化,成为的重要健康医疗数据资源。

然而,疫情防控下参与主体的业务、能力和资源各有不同,可能掌握的健康医疗数据也千变万化,同时也不可避免地面临各行业的具体监管规则限制。为了“化零为整”、共同抗击疫情,主体之间实体物资、人员的调配十万火急,类似的,虚拟的健康医疗数据资源调配虽不易被感知,也占据了同等重要的地位。通常而言,疫情下可能发生的数据资源调配和共享需求可参见下表:

相应的,在此次新型冠状病毒疫情下,国务院应对新型冠状病毒感染的肺炎疫情联防联控机制及各部委也在不同的文件通知中对相关健康医疗数据的共享提出了新的要求:

然而,现有法律体系下,健康医疗数据可能受到不同角度规则体系的交叉监管,这些监管要求往往在对外共享的规制上采取了较为审慎和严格的态度。以主要的健康医疗数据类别为例,通常与数据共享相关的限制有:

  • 人口健康信息:以授权利用为原则,以提高医学研究、科学决策和便民服务水平为目的,分类管理,逐步互联共享。
  • 病历:《医疗机构病历管理规定》(以下简称“《病历管理规定》”)中对于病历的保管、复制、查阅进行了严格的限制规定,除为患者提供诊疗服务的医务人员,以及经卫生计生行政部门、中医药管理部门或者医疗机构授权的负责病案管理、医疗管理的部门或者人员外,原则上,其他任何机构和个人不得擅自查阅患者病历。
  • 人类遗传资源:符合伦理原则,通过伦理审查,不得危害中国公众健康、国家安全和社会公共利益;尊重提供者隐私,取得事先知情同意,并保护其合法权益;特别的,境外主体仅在经批准后,通过与中方单位合作的方式开展涉及人类遗传资源的国际合作科学研究。
  • 健康医疗大数据:国家卫生健康委员会(以下简称“国家卫健委”)负责按照国家信息资源开放共享有关规定,建立健康医疗大数据开放共享的工作机制,统筹建设健康医疗大数据上报系统平台、信息资源目录体系和共享交换体系;体系内,不同等级用户按权限共享,并确保在授权范围内使用相关数据。除此之外,任何单位和个人不得擅自利用和发布未经授权或超出授权范围的健康医疗大数据,不得使用非法手段获取数据。

基于以上,一方面传染病疫情的应对,很大程度上需要对健康医疗数据进行合理的流转和调配,引发数据共享的需求;而现行法律体系下,健康医疗数据的共享往往受到较为严格的限制或需要履行相应的行政审批程序,在主体范围和使用目的上也存在不同程度的要求,这为疫情下掌握各类健康医疗数据的机构、企业和组织提出了难题。

三、场景分析:健康医疗数据的共享思路

为更加具体地分析健康医疗数据如何顺利在不同主体之间流转,我们结合传染病防治的不同阶段,选取了疫情下具有典型意义的数据共享实践进行如下场景化分析。

场景1:传染病发现

除卫生行政主管部门主动开展传染病预防和预警外,通常传染病疫情会在不同的地区,被不同机构或个人处首次发现,此时,需要向适当的主体报告和提供可能与该等传染病相关的数据,因此将至少涉及医疗机构向疾病预防控制机构和卫生行政部门的数据共享行为。

该报告行为是《传染病防治法》中明确的法定义务要求。一方面,除疾病预防控制机构外,医疗机构和采供血机构及其执行职务的人员发现符合报告条件的传染病及疫情时,均应当根据属地化原则履行报告义务。任何单位和个人发现传染病病人或者疑似传染病病人时,应及时向附近的疾病预防控制机构或者医疗机构报告。从报告的内容看,根据《传染病信息报告管理规范(2015年版)》,医疗机构应按规定填写或通过电子病历、电子健康档案自动抽取《传染病报告卡》上报,其中至少包含姓名(家长姓名)、身份证件号码、性别、生日年龄、职业与单位、联系电话、住址、病程进展(发病、诊断、死亡等日期)、报告单位与报告人信息等。

虽然报告内容与病历记录之间可能具有较高的重合度或者根据电子病历形成,而医疗机构原则上禁止对外提供患者病历记录,但考虑到发现传染病时的数据上报是根据《传染病防治法》的法定义务,目前的法律体系已经为医疗机构在该场景下对外共享健康医疗数据提供了明确的例外规定。

为此,在该场景下,对健康医疗数据的主要输出方(医疗机构)而言,医疗机构应当严格按照《传染病防治法》及相关配套措施的具体要求履行报告义务,确保报告对象、报告渠道的准确、完备,同时严格落实《传染病信息报告管理规范(2015年版)》中对于信息系统安全和资料保存等方面提出的相关要求,保护患者个人隐私,避免传染病数据泄露或被不当利用。

场景2:传染病研究

在发现传染病后,为及时指导传染病的医疗救治和防控工作,通常医疗机构、疾病预防控制部门和卫生行政主管部门等需要迅速地对传染病进行流行病学、病因病机、诊断治疗、预防控制的全面研究。但如此次疫情所呈现的,医疗机构由于处在医疗救治活动的一线阵地,研究力量有限,官方授权的研究机构和其他第三方研究机构的研究力量将成为重要的补充。

根据《传染病防治法》规定,官方授权研究机构,即指疾病预防控制机构和卫生行政部门指派的、与传染病有关的专业技术机构,“可以进入传染病疫点、疫区进行调查、采集样本、技术分析和检验”[7]。而与官方授权研究机构不同的是,其他第三方研究机构无法进入疫点、疫区,因此其研究的数据来源将只能依靠医疗机构的分享。然而,虽然部分类型健康医疗数据具有可行的共享路径,但《病历管理规定》原则上禁止除为患者提供诊疗服务的医务人员以外的其他机构和个人擅自查阅患者病历。为此,医疗机构虽可能在疫情下需要第三方研究力量提供支持,但在目前的法律规则下仍难以在未经患者充分授权的情况下,直接向第三方研究机构共享完整的病历记录等健康医疗数据。

我国现行立法高度强调了对患者个人隐私的尊重和保护,但实践中也容易对疫情下医疗机构向第三方研究机构求援形成限制。从域外的立法经验来看,美国《1996年健康保险流通与责任法案》(下称“HIPPA”)体系下的数据分类规则方式可能有一定的借鉴意义。HIPPA及随后发布的隐私规则、安全规则区分了不同层次的健康医疗数据类型,含受保护的健康信息(Protected Health Information,PHI)、可识别个人的健康信息(Individually Identifiable Health Information)、受限制数据集(limited data sets)、脱敏信息(De-Identified Information)。其中,某些类型的健康医疗数据可能在无需患者个人授权时,即可使用或向其他主体提供,例如基于传染病通知与疾病防控的目的使用和共享PHI的数据,以及基于医学研究目的使用和共享受限制数据集。

对于健康医疗数据如何共享挖掘更大的价值是当前我国医疗行业监管立法的重点之一,一定程度上也吸收了其他司法辖区的先进经验。2019年4月公布的《信息安全技术 健康医疗数据安全指南》(征求意见稿,下称“《指南》”)已经采纳了受限制数据集[8]的概念,并提供部分数据共享和披露相关的例外规定,例如,基于科学研究、医学/健康教育、公共卫生或医疗保健操作目的,使用或对第三方披露受限制数据集时,无需患者授权[9]

考虑到目前《指南》仍未生效,对于抗击疫情一线的医疗机构和急切希望贡献力量的第三方研究机构而言,涉及健康医疗数据的共享虽以疫情应对优先,但也应当切实做好必要、合理的合规应对措施。具体而言,医疗机构为疫情研究确有必要向第三方研究机构提供健康医疗数据(如病例数据、临床检验和诊断情况、生物样本数据等)的,除在可行的情况下以授权同意书等方式取得患者授权以外,我们也建议数据共享各方尽量采取多方面的保障措施,包括但不限于:

  • 确保订立必要的书面协议,明确数据共享各方的权利义务,要求数据接收方严格建立隔离环境,限制该等健康医疗数据的使用和留存范围,以避免发生泄漏和不当利用;
  • 可行时适当引入卫生行政主管部门和疾病预防控制机构作为授权主体,以确保合法性基础;
  • 合理参照HIPPA和《指南》中的受限制数据集等概念,切实进行疫情下病例数据的去标识化和匿名化,保护患者个人隐私等基本权利。

此外,仍值得一提的是,由于健康医疗数据的敏感性,前述分析并不针对境外研究机构。换言之,即便在疫情下,中国境内医疗机构向境外研究机构共享传染病例相关的健康医疗数据,仍可能受到人口健康信息、人类遗传资源等监管体系的严格规制,需要事先履行相应的审批、申报等法定程序;同时,该数据共享行为还将不可避免地构成健康医疗数据的跨境传输行为,而考虑到健康医疗数据(尤其是疫情下的健康医疗数据)还可能构成重要数据,医疗机构本身也可能落入关键信息基础设施的范围中,有关数据跨境传输的监管要求(包括但不限于安全评估与审批要求)也同样值得该等场景下的医疗机构及其合作伙伴关注。

场景3:传染病疫情控制

在疫情控制措施中,隔离措施被认为是阻断传染病传播扩散的最有效手段之一,也同时是传染病防治中最困难、涉及主体类型和数据共享最复杂的任务。而为了切实完成隔离措施,如前所述,在疫情隔离措施的大背景下,风险人群的行踪轨迹、出行情况可能是重要的健康医疗数据资源类别之一,但不同行业和企业对外共享该等健康医疗数据时的可行性和合规性问题,却可能需要视情况具体分析。以下我们选取交通运输行业和电信行业作为代表进行对比。

首先,交通运输企业基于在购票、用户管理等方面的实名制要求,天然地对于人口流动情况(含出行记录、位置定位等)具有精确统计和分析的便利。该等实名认证信息以及相应的人口流动情况在疫情下可能被扩展纳入健康医疗数据的范畴内,但目前《传染病防治法》《网络安全法》《突发事件应对法》等相关法律中仅对于实物物资和人员等的紧急调集做出了授权性规定,并未明确涉及数据资源的调配。

好在此次新型冠状病毒疫情下,交通运输主���部门所发布的《关于统筹做好疫情防控和交通运输保障工作的紧急通知》(下称“《交通部紧急通知》”)从行业主管部门层面向客运、出租车、网约车等交通运输企业提出了要求,即向卫生行政主管部门报送病例密切接触人员信息;同时,《交通部紧急通知》也一定程度上为交通运输企业为抗击疫情提供数据资源的支持提供了行政监管执法层面的依据和支持。为此,基于《交通部紧急通知》,相较于共享数据的合法性基础外,交通运输企业更需要关注涉及的数据类型(字段范围)、准确程度、共享方式(主动报送或依请求提供)、数据接收对象(直接向卫生行政主管部门提供或向其指定的机构提供)等。

而相对应的,基础电信运营商等电信企业基于其对移动基站接入信号、移动设备漫游情况等技术资源的掌握,也对于特定设备持有人的具体行踪轨迹、位置信息拥有及时的了解,理论上同样可以为疫情下的人口迁移分析提供准确、实时的数据基础。不过,如前所述,目前传染病和公共卫生事件相关法律法规中并未明确对于疫情下健康医疗数据的调用进行明确规定,同时《电信条例》和《电信和互联网用户个人信息保护规定》要求,“电信业务经营者及其工作人员不得擅自向他人提供电信用户使用电信网络所传输信息的内容”[10],“电信业务经营者、互联网信息服务提供者及其工作人员对在提供服务过程中收集、使用的用户个人信息应当严格保密,不得泄露、篡改或者毁损,不得出售或者非法向他人提供”[11]

在此前提下,目前工信部门同样紧密安排、为疫情提供大数据支撑服务[12],但也更为强调“疫情态势研判、疫情防控部署以及对流动人员的疫情监测、精准施策”,并未要求电信企业进行数据对外共享或报送。因此,相较于交通运输企业,电信企业所掌握的行踪轨迹、位置信息等数据虽然也同样可能被扩展纳入疫情下的健康医疗数据概念范围中,但由于通信行业直接涉及通信自由等更为基本的公民权利,同时也缺乏明确的法律和行政执法要求作为基础,其对外共享相关数据将面临更为实质的合规限制。

为此,虽然疫情的爆发引发了健康医疗数据在各类主体之间的流转需求,但不同行业和企业对外共享相关数据时的可行性仍然需要根据自身所处的行业特性和法律监管要求进行相应判断。我们将在随后的文章中对于政府机关如何合法合规获取并在政府机构内部以及市场主体中共享上述数据进一步深入探讨。

场景4:医疗救治

对于确诊和疑似患者,入院诊断和治疗是当务之急。目前传染病的疾控防治多以条线垂直管理,如本次新型冠状病毒肺炎作为单一条线,在应急指挥部的要求下,从国家到省、地区、县市、乡镇的进行纵向统筹和汇报。但同时,传染病“条强块弱”的管理方式在面对新型冠状病毒肺炎这种突发的公共卫生事件时,不论是从诊疗方式的互通有无、床位或医疗物资的统一调配、还是在满足医疗资源紧缺下患者入院、转院的需求,区域内、跨区域医疗机构间的合作显得尤为迫切和重要。

从诊疗角度出发,医疗机构间具有共享需求的信息多为患者的病历信息和传染病病程及治疗方案信息。传染病防治要求设立指定医院,并且“医疗机构不具备相应救治能力的,应当将患者及其病历记录复印件一并转至具备相应救治能力的医疗机构。”[13]然而在目前医疗资源紧张的情况下,并非所有患者均可入住指定医院,这样非就诊医院专家一并参与新型冠状病毒肺炎的救治成为切实需求。

非就诊医院专家参与救治需要在医疗机构间共享患者的原始病历。然而《病历管理规定》对病历借阅、复制有着严格要求,并未明确非就诊医院的医务人员出于诊疗目的是否可以不受限地查阅患者病历,我们注意到即使出于科研目的,其他医疗机构对于病历查阅也需提出申请获得同意,且查阅的病历资料不得带离患者就诊医疗机构。当前,面对传染病隔离要求的大环境,多方、远程会诊和研讨治疗方案都是必要做法。应对病历共享的不确定性,鉴于卫生行政主管部门和疾病预防控制机构在疫情下基于汇报要求获得大量患者病历信息,就诊的医疗机构可考虑(1)申请卫生行政主管部门和疾病预防控制机构统筹医疗机构间病历信息共享工作;同时(2)通过获得患者授权的方式,为诊疗目的在医疗机构间共享病历信息。此外,《传染病信息报告管理规范(2015年版)》要求区域信息平台或医疗机构的电子健康档案、电子病历系统应当具备传染病信息报告管理功能,并要逐步实现与传染病报告信息管理系统的数据自动交换功能,这也为医疗机构间与疾病预防控制机构间的信息共享提供了可能路径。

对于医疗机构间病历信息的共享,医疗机构也需做好数据传输、存储、使用的安全措施,注重其中的隐私保护和数据分级分类,应通过身份鉴别和授权控制加强用户管理,做到行为可管理、可控制、可追溯。医疗机构可参考《国家健康医疗大数据标准、安全和服务管理办法(试行)》中的要求,严格规范不同等级用户的数据接入和使用权限,并确保数据在授权范围内使用。对于在此过程中,涉及的数据存储、运维、信息技术产品和服务提供的第三方也应保证其在授权范围内提供服务。此外,鉴于病历信息中可能存在被认定为人类遗传资源的信息,在选择共享数据的医疗机构和服务提供商时,医疗机构还应注意可能发生的数据出境问题。

场景5:疫情后的应对

如上所述,疫情防控期间,由于当前突发公共卫生事件的性质,很多应对措施出于应急的目的具有特殊性,也可能打破常态化下健康医疗信息可被获得的主体范围,诸如交通、住宿、旅行社等企业主体都参与到疫情防治中,并获得大量的疫情或患者信息。

当疫情褪去,这些其他企业主体应妥善处理获得的疫情、患者相关信息。在没有患者或有权主管机构、医疗机构等明确授权的情况下,各组织、主体对这些数据的处理应以疫情防治目的为限,且注意保护患者隐私。此外,为控制疫情,大量个人信息也成集合式地被收集,例如同一家庭人员、与确诊患者乘同一高铁车厢的人员、同一办公室人员,相关主体之后应遵守个人信息的规则处理这些信息,如需进一步传染病追踪研究,需单独获得相关人员的同意。

此外,对于治愈患者的追踪治疗和医学帮助也切实需要各医疗机构间健康医疗信息的共享。从治愈患者需求出发,例如多家医院间的横向病历共享需要健康医疗大数据平台的进一步完善,可考量患者是否有权授权打通本人在多家医院间的诊疗记录;当援助武汉的医生回到原地方,患者的远程医疗、甚至智能医疗穿戴设备等方面的科研跟踪均有待仅一步完善。这里都离不开目前患者就诊医院对外的数据提供。

在没有突发公共卫生应急的前提后,前文所述的一些打破原健康医疗信息共享限制的例外将不再存在。此时,基于上述进一步处理健康医疗数据的需求,在中国现行法律法规基础上,健康医疗数据相关应用过程通常由政府或授权机构所主导,且现行有效的监管规定中未能明确医疗数据的商业化使用规则。

治愈患者和后续就诊医疗机构之外的第三方,需从人口健康信息、人类遗传资源、病历、健康医疗大数据等行业规制下,甄别其所处的场景和环节,分情况评估。第三方的数据共享可考虑不同的路径。1)第三方以数据处理者的身份,以合作医疗机构的名义进行处理;2)第三方以数据控制者身份,与合作医疗机构开展合作。两种方式下,第三方在数据处理、留存、目的把控、合规义务程度上均有不同。为此,第三方为合法取得健康医疗数据,通常需要进行合理的商业模式设计,例如引入患者授权,构建三方关系进而主张相关数据来源于患者本人授权,进而降低合作中可能面临的合规风险。此外,健康医疗数据对外方的利用限制较为严格,尤其是在涉及中国人类遗传资源的合作上,要求外方不得在中国境内采集、保藏中国人类遗传资源,不得向境外提供中国人类遗传资源,利用中国人类遗传资源的国际合作也仅可以通过与中方合作的方式进行,且需经国务院科技部批准。

四、结论与建议

健康医疗数据一直在医学发展和传染病防控中扮演着重要的角色,随着信息技术的发展,健康医疗大数据成为行业新的驱动力。在本次疫情下暴露出的数据资源调配问题仅仅是冰山一角,健康医疗数据在各类主体之间的流转如何兼顾不同的数据类别和法律体系的交叉监管,合理管控常态下的法律规则底线和疫情防控等特殊情况中的必要例外,是需要长时间探讨但同时亟需解决的问题。

目前我国应对疫情的响应机制下,政府部门的中心化作用提供了极高的应对效率,但也一定程度上掩盖了目前健康医疗数据共享路径中的一些值得研究和澄清的问题,例如健康医疗数据的跨境传输性质认定、合规路径,例如疫情状态下的研究成果归属等。

在这样的法律背景下,企业主体,尤其是医疗机构、相关研究机构和掌握大量可能潜在构成健康医疗数据的其他企业主体,除常规经营下的数据合规措施以外,还应当更加重视公共卫生事件、网络安全事件等特殊状态下的应对措施,重点关注:

  • 提前规划,切实建立公共卫生事件、网络安全事件等特殊状态下的响应预案,确保机构内部及时响应与行动;
  • 区分常态化经营和特殊状态下的数据对外共享通道,重点关注特殊情况下向主管部门的必要数据报送机制;
  • 及时、全面梳理自身掌握且可用的健康医疗数据等数据资产,合理构建必要的数据资产分级分类体系,提前拟定不同类别数据和场景下的配套细则,为启动应急响应预案后提供实践指引。

后记

在疫情紧急的情形下谈个人信息保护以及健康医疗数据的共享限制,总有“拖后腿”之嫌。但作为法律服务工作者,我们希望看到即使在应急事件背景下,健康医疗数据在疫情下的共享研究不仅能够帮助高效但有序的完成“无形武器”数据的调配,避免事后可能存在的争议,也能够促进健康医疗数据能够在未来迎来一个更为流畅、便捷的共享规则体系。

只要大家同舟共济,一定能够战胜疫情。我们相信2020年初春留给我们的除了疫情带来的切身之痛,还会有更多你我携手共进,团结温暖的印记。