發(fā)文機關國家衛(wèi)生健康委員會
發(fā)文日期2018年09月21日
時效性現(xiàn)行有效
施行日期2018年09月21日
效力級別部門規(guī)范性文件
委員：
您提出的關于建立個人醫(yī)療健康信息隱私權保護立法體系的提案收悉。經商中央網(wǎng)信辦、公安部、工業(yè)和信息化部，現(xiàn)答復如下：
健康醫(yī)療大數(shù)據(jù)是國家重要的基礎性戰(zhàn)略資源，隨著全球新一輪互聯(lián)網(wǎng)浪潮的迅速發(fā)展，傳統(tǒng)醫(yī)療衛(wèi)生信息網(wǎng)絡防護邊界正在發(fā)生重大變化，防護能力和效率正經受嚴峻挑戰(zhàn)。個人醫(yī)療健康信息是個人信息的重要組成部分，國家將其納入個人信息保護立法統(tǒng)籌考慮。
一、 關于加強醫(yī)療健康信息保護的法律法規(guī)建設
國家高度重視個人信息保護工作，多部法律法規(guī)對個人信息、健康醫(yī)療大數(shù)據(jù)保護作出相關規(guī)定。《網(wǎng)絡安全法》進一步完善了個人信息保護制度，對個人信息的收集保護規(guī)則、網(wǎng)絡運營者的責任義務等內容作了專門規(guī)定。《刑法修正案（九）》修訂了“侵犯公民個人信息罪”，將犯罪主體由特殊主體修改為一般主體；同時新增“拒不履行信息網(wǎng)絡安全管理義務罪”“非法利用信息網(wǎng)絡罪”和“幫助信息網(wǎng)絡犯罪活動罪”等3個罪名，加大對侵犯公民個人信息犯罪上游行為的打擊力度?！蛾P于辦理侵犯公民個人信息刑事案件適用法律若干問題的解釋》對侵犯公民個人信息犯罪的定罪量刑標準和有關法律適用問題作了全面、系統(tǒng)的規(guī)定。全國人大常委會《關于加強網(wǎng)絡信息保護的決定》規(guī)范了網(wǎng)絡服務提供者對公民個人電子信息的保護義務，明確禁止非法獲取、出售或非法提供公民個人電子信息，并規(guī)定了公民個人信息受到侵害以及受到垃圾信息侵擾的法律救濟。《執(zhí)業(yè)醫(yī)師法》《醫(yī)療機構管理條例》等都明確規(guī)定，醫(yī)療機構、醫(yī)務人員應當保護患者隱私。已經全國人大常委會首次審議的《基本醫(yī)療衛(wèi)生與健康促進法》（草案）提出，國家保護與公民健康有關的個人隱私，確保個人健康信息安全；除法律法規(guī)規(guī)定或本人同意外，任何組織和個人不得獲取、利用或公開公民個人健康信息。
二、 關于健全醫(yī)療健康信息保護的政策制度和標準規(guī)范
我委制定出臺《醫(yī)療機構病歷管理規(guī)定》《電子病歷應用管理規(guī)范（試行）》，規(guī)定電子病歷系統(tǒng)應當為操作人員提供專有的身份標識和識別手段，并設置相應權限。電子病歷系統(tǒng)應當對操作人員進行身份識別，并保存歷次操作印痕，標記操作時間和操作人員信息，并保證歷次操作印痕、標記操作時間和操作人員信息可查詢、可追溯。電子病歷系統(tǒng)應當設置病歷查閱權限，并保證醫(yī)務人員查閱病歷的需要?！度丝诮】敌畔⒐芾磙k法（試行）》，進一步加強全民健康信息采集、管理、利用、安全和隱私保護等工作，要求各級各類醫(yī)療衛(wèi)生健康服務機構應當按照法律法規(guī)規(guī)定，保證信息安全，保護個人隱私。2018年4月，國務院辦公廳印發(fā)《關于促進“互聯(lián)網(wǎng)+醫(yī)療健康”發(fā)展的意見》，明確指出保障數(shù)據(jù)信息安全，嚴格執(zhí)行信息安全和健康醫(yī)療數(shù)據(jù)保密制度，建立個人隱私信息保護體系，妥善保管用戶資料和交易信息，對非法買賣、泄露個人信息的行為依法予以懲處。我委出臺了《國家健康醫(yī)療大數(shù)據(jù)標準、安全和服務管理辦法（試行）》，規(guī)范推動健康醫(yī)療大數(shù)據(jù)安全保障和應用發(fā)展。《信息安全技術個人信息安全規(guī)范》明確個人信息控制者開展個人信息處理活動應遵循權責一致、目的明確等基本原則，提出個人信息收集、保存、使用、共享、轉讓、公開披露等行為應遵循的安全要求；將個人生物識別信息、健康生理信息等納入個人敏感信息范圍，對個人敏感信息的收集、傳輸和存儲提出安全要求，對大量接觸個人敏感信息的人員進行背景調查等。我委正在研究《醫(yī)療電子文檔數(shù)字認證及數(shù)據(jù)加密技術規(guī)范》，目前已完成會審。
三、 關于加強執(zhí)法和監(jiān)督檢查
近年來，國家圍繞數(shù)據(jù)安全和用戶個人信息保護對重點電信和互聯(lián)網(wǎng)企業(yè)業(yè)務系統(tǒng)連續(xù)開展檢查。2016年以來，全國公安機關持續(xù)開展打擊整治網(wǎng)絡侵犯公民個人信息犯罪專項行動，依法嚴厲打擊非法獲取信息的源頭、非法倒賣公民個人信息的中間商以及使用公民個人信息實施詐騙、盜竊、敲詐勒索等犯罪的人員，偵破一批案件，有力遏制了侵犯個人信息的違法犯罪活動。我委認真貫徹《網(wǎng)絡安全法》等一系列法律法規(guī)要求，落實國家網(wǎng)絡安全等級保護制度、分級保護制度和信息安全審查制度，建立完善全民健康網(wǎng)絡與信息安全相關制度。我委每年開展全民健康網(wǎng)絡與信息安全檢查和督導工作，落實全民健康網(wǎng)絡與信息安全的主體責任，通過檢查深入分析安全風險，排查安全隱患，查找網(wǎng)絡與信息安全短板，并認真落實整改措施，堅決防止發(fā)生重大網(wǎng)絡安全事故，不斷增強全行業(yè)網(wǎng)絡安全和個人隱私信息保護意識及能力。我委還根據(jù)國家電子政務安全建設的相關規(guī)范，結合行業(yè)現(xiàn)狀，從網(wǎng)絡結構優(yōu)化、安全域劃分、邏輯隔離、病毒防護、安全監(jiān)控和設備冗余等多方面進行安全規(guī)劃建設，己初步形成了合理規(guī)范的安全體系框架，基本實現(xiàn)信息系統(tǒng)穩(wěn)定、可靠和可控運行的設計目標，為今后信息資源整合、業(yè)務擴容和可持續(xù)發(fā)展奠定了堅實基礎。繼續(xù)推進電子認證服務體系建設，已有23家經過符合性測試的CA認證公司為全國衛(wèi)生健康行業(yè)提供60萬份電子認證服務證書，并為醫(yī)療機構開展HIS集成認證服務，確保醫(yī)務人員在行業(yè)內部不同信息系統(tǒng)之間的身份信息唯一性，保障信息數(shù)據(jù)安全。
下一步，一是積極做好健康醫(yī)療大數(shù)據(jù)立法立標立規(guī)工作。爭取將《居民健康信息服務管理條例（草案）》納入立法計劃。配合做好《個人信息保護法（草案）》《個人信息和重要數(shù)據(jù)出境評估辦法》《數(shù)據(jù)出境安全評估指南》《個人信息去標識化指南》《個人信息安全影響評估》等研究制定工作。出臺《關于促進“互聯(lián)網(wǎng)+醫(yī)療健康”發(fā)展的意見》配套監(jiān)管措施，加強健康醫(yī)療數(shù)據(jù)安全管理，尤其是對第三方使用數(shù)據(jù)的監(jiān)管，完善個人信息的隱私保護措施。二是按照“十三五”國家網(wǎng)絡安全規(guī)劃等部署和要求，加強全民健康網(wǎng)絡與信息安全防護體系建設，加大國產化產品應用推進力度，定期組織開展檢查督導，積極防范和應對網(wǎng)絡與信息安全事件，確保系統(tǒng)運行和數(shù)據(jù)信息安全。研究制定標識賦碼、科學分類、風險分級、安全審查規(guī)則，落實安全審查制度，強化健康醫(yī)療信息工程技術能力建設。三是加大衛(wèi)生健康行業(yè)的網(wǎng)絡安全檢查督查力度。通過全行業(yè)自查，建設行業(yè)網(wǎng)絡安全監(jiān)控平臺，結合獨立第三方檢測機構進行監(jiān)測排查，建立網(wǎng)絡安全預警監(jiān)測通報機制，盡早發(fā)現(xiàn)隱患，及時整改，提高全行業(yè)網(wǎng)絡安全意識和防護能力。
感謝您對衛(wèi)生健康工作的關心和支持。
國家衛(wèi)生健康委員會
2018年9月21日
