说法 信息化、大数据…越来越丰富的医疗数据，安全如何保证？

关注和完善健康医疗大数据的规范管理，建立数据安全管理制度，保护好相关各方合法权益。...





案情回顾

某县人民医院使用温州医科大学某附属医院的医疗信息系统，虞某作为县人民医院信息科工作人员参与新系统的安装、调试工作，并获取进入数据库的用户名及密码。

虞某利用用户名及密码进入数据库，并将本院医生每月在局域网开具处方数据进行统计并导出，通过匿名的电话、QQ方式将统方数据出售给药商。

之后，温州医科大学某附属医院信息科工作人员发现该县人民医院的数据库有异常，将数据库的密码进行修改。

虞某便通过密码复制器复制了数据库的密码，再次进入数据库进行统方，并出售给相关药商，共获利107万余元。

案发后虞某退赃，并以非法获取计算机信息系统数据罪，被判处有期徒刑四年六个月，并处罚金5万元。

健康医疗大数据是指在人们疾病防治、健康管理等过程中产生的与健康医疗相关的数据，包括医院医疗大数据、人群疾病监测大数据、生物信息大数据等，能为疾病诊断治疗、健康因素评估、疾病预防、健康管理等提供科学依据。

《基本医疗卫生与健康促进法》第四十九条规定，“国家推进全民健康信息化，推动健康医疗大数据、人工智能等的应用发展，加快医疗卫生信息基础设施建设，制定健康医疗数据采集、存储、分析和应用的技术标准，运用信息技术促进优质医疗卫生资源的普及与共享。”这是首次把健康医疗大数据的应用和发展纳入法律框架进行调整。

由于健康医疗大数据涉及个人隐私信息、诊疗方案、影像记录、用药记录、保险记录、医院管理等信息，因此保护健康医疗大数据涉及的个人隐私、商业秘密，甚至于国家利益和公共安全领域的重要信息等尤为重要。

在全面推进健康医疗大数据开发应用的同时，应该关注和完善健康医疗大数据的规范管理，建立数据安全管理制度，保护好相关各方合法权益。

《基本医疗卫生与健康促进法》第四十九条、第九十二条明确,要保障健康医疗信息的安全，要求国家采取措施，推进医疗卫生机构建立健全医疗卫生信息交流和信息安全制度；国家保护公民个人健康信息，确保公民个人健康信息安全，任何组织或者个人不得非法收集、使用、加工、传输公民个人健康信息，不得非法买卖、提供或者公开公民个人健康信息。

因此，国家在推动健康医疗大数据数据共享、开放和应用的同时，应保障其规范有序、安全可控；医疗机构等提供数据机构应建立健全信息安全管理制度，明确责任；相关从业人员不非法收集、提供、买卖健康医疗数据信息是最低底线。随着信息化社会的到来，侵犯信息安全、个人隐私来获取经济利益的现象逐渐增多，其中医疗机构、疾病预防控制机构、医疗保障机构等机构工作人员利用职务便利非法获取健康医疗信息的案件带来恶劣的社会影响。

医疗卫生机构有义务保障医疗信息安全。如果医疗卫生机构因医疗信息安全制度、保障措施不健全，导致医疗信息泄露，根据《基本医疗卫生与健康促进法》第一百零一条规定，由县级以上人民政府卫生健康等主管部门责令改正，给予警告，并处一万元以上五万元以下的罚款；情节严重的，可以责令停止相应执业活动，对直接负责的主管人员和其他直接责任人员依法追究法律责任。

同时根据《基本医疗卫生与健康促进法》第一百零二条规定，医疗卫生人员利用职务之便索要、非法收受财物或者牟取其他不正当利益，泄露公民个人健康信息的，由县级以上人民政府卫生健康主管部门依照有关执业医师、护士管理和医疗纠纷预防处理等法律、行政法规的规定给予行政处罚。

根据《基本医疗卫生与健康促进法》第一百零五条、一百零六条规定，存在非法收集、使用、加工、传输公民个人健康信息，非法买卖、提供或者公开公民个人健康信息等，构成违反治安管理行为的，依法给予治安管理处罚；构成犯罪的，依法追究刑事责任。

对于严重的非法入侵、买卖、提供健康医疗数据，破坏健康医疗数据安全性的行为，视具体行为特征，可根据《刑法》侵犯公民个人信息罪、非法侵入计算机信息系统罪、拒不履行信息网络安全管理义务罪、帮助信息网络犯罪活动罪等追究刑事责任。

司法实践中有很多这类涉及健康医疗数据安全的刑事案件，例如医疗机构、疾病预防控制中心工作人员，利用职务便利，窃取新生婴儿信息、医疗诊治信息、处方用药信息等出售给公司获利。

2014年~2016年，上海市某疾病预防控制中心工作人员韩某等人，利用工作之便进入他人账户获取全市新生儿信息约30万余条出售，进行非法谋利。

根据《刑法》第二百五十三条规定，韩某等人属于向他人出售或者提供公民个人信息，情节严重；同时韩某等人是在履行职责或者提供服务过程中获得的公民个人信息，出售或者提供给他人的，属于从重处罚情节，最终法院以侵犯公民个人信息罪定罪处罚。

文：上海交通大学公共卫生学院 李恒

编辑制作：胡彬

审核：方彤

    关注 健康报医生频道