您好，感谢阅读！?

关注回复【1】，即可领取《2025医疗数据合规白皮书》PDF原文。

导语：在数字经济浪潮中，医疗数据被公认为最具挖掘潜力的“钻石矿”。然而，由于其高度的敏感性、隐私性以及关乎国家安全的战略属性，医疗数据也是全球监管最为严格的领域之一。

“没有合规，就没有资产；无法流通，就无法变现。”

近期，由湖北数据集团、中部数据流通服务中心、北京市京师律师事务所等多家权威机构联合参编的《医疗数据合规白皮书》（以下简称“白皮书”）正式发布。这份详实的白皮书，为医疗机构、科研院所、医药企业、保险机构及AI科技公司提供了一份全景式的“避坑指南”与“操作手册”。

为了帮助行业从业者深刻理解医疗数据如何从“沉睡的档案”合法、合规地转化为“高价值的资产”，本文将紧紧围绕“医疗数据资产化”这一核心主线，对白皮书进行全景式、无死角的深度拆解。

第一部分 资产盘点：医疗数据的“家底”与“三重法律属性”

要将医疗数据资产化，首先要搞清楚手里拿的是什么牌。白皮书对医疗数据的范围进行了明确界定，并深刻剖析了其复杂的法律属性。

一、医疗数据的全景图谱

根据国家标准《信息安全技术-健康医疗数据安全指南》（GB/T 39725-2020），医疗数据涵盖从个人诊疗到公共卫生管理的多种类型，具体分为六大类：

个人属性数据：

人口统计信息：姓名、出生日期、性别、民族、国籍、职业、住址、婚姻状态等。

个人身份信息：身份证、社保卡、可识别个人的影像图像、住院号、各类检查检验单号等。

个人通讯信息：电话号码、邮箱、账号等。

个人生物识别信息：基因、指纹、声纹、掌纹、耳廓、虹膜、面部特征等。

健康监测设备信息：传感设备ID等。

健康状况数据：

主诉、现病史、既往病史、体征、家族史、检验检查数据、遗传咨询数据、可穿戴设备采集数据、生活方式、基因测序、蛋白质分析测定、代谢小分子检测等。

医疗应用数据：

门急诊病历、住院医嘱、用药信息、手术记录、麻醉记录、护理记录、出院小结、知情告知信息等。

医疗支付数据：

医保支付信息、交易金额、保险状态、保险金额等。

卫生资源数据：

医院基本数据、医院运营数据等。

公共卫生数据：

环境卫生数据、传染病疫情数据、疾病监测与预防数据、出生死亡数据等。

二、医疗数据的“三重法律属性”（资产化的核心羁绊）

医疗数据之所以难以轻易变现，是因为它同时背负着三重法律属性，这决定了其资产化路径的复杂性：

个人信息与隐私权属性（不可逾越的底线）

法律定性：根据《个人信息保护法》第28条，医疗健康信息属于敏感个人信息。

合规要求：处理此类信息必须取得患者的单独同意（书面）。患者对诊疗数据的收集、使用享有共同控制权。基因、遗传咨询数据等还属于《人类遗传资源管理条例》管辖的遗传资源信息，受更严格保护。

公共数据与国家战略资源属性（资产化的基础）

法律定性：医疗机构在履行公共服务职能中产生的数据（如疾病监测、疫苗接种等）属于公共数据。

合规要求：医疗数据是评估“健康中国”战略实施效果的重要依据。其权属涉及公民、数据处理者和政府部门三方。政府有权为了公共卫生决策合理调配和使用这些数据。

重要数据与国家安全属性（不可触碰的红线）

法律定性：医疗数据一旦达到一定规模或精度，泄露后可能危害国家安全、公共健康，即构成“重要数据”或“核心数据”。

量化标准：依据卫健委《卫生健康行业数据分类分级指南》，涉及100万人及以上个人信息或10万人及以上敏感个人信息；或涉及10万人的群体健康生理状况数据、1万人的族群生物特征数据等，原则上纳入重要数据。涉及1000万人以上则可能构成核心数据。

合规要求：必须符合重要数据或核心数据的相关规定（如定期风险评估、出境安全评估）才能进行流通。

? 资产化启示：医疗数据资产化绝不是简单的“打包售卖原始数据”，而是要在保护个人隐私、维护国家安全的前提下，通过脱敏、匿名化、联邦学习等技术手段，实现“数据可用不可见”，交易的是“数据处理权益”而非数据本身。

第二部分 资产加工：医疗数据全生命周期的“合规护城河”

数据要成为资产，必须经过采集、存储、共享、销毁的完整加工链条。白皮书为数据处理者（尤其是医疗机构和科技企业）制定了详尽的合规标准。

一、基础设施与制度保障（打铁还需自身硬）

安全认证要求：

三级等保：医疗数据系统通常需满足网络安全等级保护三级认证。要求机房物理隔离（配备门禁、气体灭火）、网络Vlan逻辑隔离、主机双机热备、应用端防SQL注入及网页防篡改、数据异地备份等。

ISO体系认证：推荐取得ISO 27001（信息安全管理）、ISO 27799（医疗健康信息安全管理）等国际认证。

组织与制度建设：

成立网络安全和信息化工作领导小组，设立专职网络数据安全负责人（由管理层担任）。

建立五大核心制度：数据分类分级制度（按GB/T 39725-2020分为1至5级）、访问控制与权限控制制度（RBAC权限分级、日志留存）、数据安全评估与审计制度、应急预案与事件响应制度、数据安全培训制度。

二、数据采集与授权合规（资产的源头活水）

采集原则：

合法正当与最小必要：仅收集与诊疗直接相关的必要数据（如血糖仪仅收集血糖值，不强制绑定身份证）。

统一标准：采用WHO发布的国际疾病分类（ICD-10/ICD-11）系统，确保数据在全球范围内的可比性和一致性。

个人授权规则（极其重要）：

首次授权：采集敏感个人信息需获得单独同意，明确告知收集目的、方式、范围、期限及患者权利。

新增授权（动态同意）：一旦处理目的变更（例如：原本用于诊疗的数据，现在要用于商业药物研发），必须重新取得个人的明确同意（可通过短信、弹窗或补充协议）。不得“概括同意”或“一揽子授权”。

撤回机制：必须提供线上/线下撤回授权的渠道。撤回后需完成数据链路清除（但已经过匿名化处理且无法关联个人身份的科研数据除外）。

豁免情形：应对突发公共卫生事件或紧急保护生命健康时，可豁免同意（如疾控机构调取轨迹数据）。

第三方数据来源审查：

获取第三方数据时，必须查验其合法资质（如医疗机构执业许可证、增值电信业务许可证）。

要求第三方提供数据来源合法性承诺，并签署严格的数据处理协议，明确数据质量、数量及双方权利义务。

三、数据存储合规（资产的保险箱）

存储地点：原则上健康医疗数据应当存储在境内安全可信的服务器上。确需出境的，必须通过安全评估。

存储期限（法定底线）：

互联网诊疗病历：不少于15年；图文/音视频记录不少于3年。

处方数据：普通处方1年；医疗用毒性/二类精神药品2年；麻醉/一类精神药品3年。

药品网络销售记录：不少于5年，且不少于药品有效期满后1年。

医疗器械销售记录：有效期后2年；无有效期的不少于5年；植入类器械永久保存。

实体医院病历：门急诊病历不少于15年；住院病历不少于30年。

加密与介质管控：

静态存储推荐使用AES-256或国密SM4全盘加密，密钥必须通过硬件安全模块（HSM）或KMS独立托管，实现密钥与数据的物理分离。

传输过程启用TLS 1.3或IPSec强加密协议。

四、数据共享与匿名化合规（资产流通的关键）

数据匿名化处理：

医疗数据对外共享前，必须进行匿名化（无法识别特定自然人且不能复原）。

处理步骤：第一步处理直接标识符（姓名、身份证号）进行假名化、加密或屏蔽；第二步处理间接标识符（年龄、性别、罕见病症）进行泛化、随机化。

案例：睡眠研究数据，原始数据“张三，20岁，女，连续7晚心率”，匿名化后变为“，大于18岁，，心率平均值”。

前沿加密传输技术应用：

白皮书推荐在数据共享中使用以下前沿技术保障“数据可用不可见”：

量子加密传输：利用量子态不可克隆特性，保障密钥传输绝对安全。

全同态加密（FHE）：支持在密文状态下进行数据运算（检索、分析），实现“可算不可见”。

区块链融合加密：采用零知识证明技术，在不泄露内容情况下验证数据真实性。

安全多方计算（MPC）：保证多个参与方在不泄露各自数据前提下进行协同计算和联合机器学习。

共享协议必备条款：

与第三方订立数据权属合作协议时，必须包含：双方信息、交付方式、处理权限范围、数据三权归属、安全保障义务、后续衍生数据产品的权属、合约追踪及应急预案条款。

五、数据销毁合规（资产的终结）

当保存期满或目的达成时，必须进行“无法还原”的销毁。

审批机制：采取三级审批（数据管理员初审 -> 部门负责人/合规审核 -> 法务/信息安全部门最终批准），销毁需两人在场监督并签字。

销毁方式：

物理销毁：粉碎、熔毁、强酸腐蚀硬盘。

电子销毁：格式化擦除、数据覆写（如DoD5220.22-M标准要求7次覆写）、特定算法擦除、逻辑销毁（多次写入0或1）。

密钥销毁：针对云端密文数据，通过销毁密钥实现数据不可访问。

同等方式安全处理：若法律规定保存期未满或技术上难以删除，处理者必须停止除存储和必要安全保护之外的一切处理行为（包括使用、共享）。

第三部分 资产流通的“深水区”：五大特殊场景合规指南

在医疗数据的实际应用中，有几个场景由于涉及国家安全、伦理或新技术，属于监管的“深水区”，白皮书对此进行了重点剖析。

场景一：人类遗传资源信息处理（最严监管红线）

定义：包含人体基因组、基因等遗传物质的材料及产生的数据。注意：一般临床影像（B超、CT）、常规血尿检、肝肾功能等不属于此列。

特殊告知：采集前必须全面、真实地告知采集目的、用途、对健康影响、隐私保护措施及随时退出的权利，并征得书面同意。

外方合作审批：外方单位需要利用我国人类遗传资源开展科研，必须与中方机构合作，并经国务院卫生健康主管部门批准。需满足7大条件，包括：对国家安全无害、通过双方伦理审查、中方实质性参与并掌握备份、结束后6个月内提交报告等。

场景二：伦理安全审查

医疗数据处理（尤其是AI诊疗、基因分析）高度交织伦理问题。

依据《科技伦理审查办法（试行）》，涉及人的生物医学研究（包括新技术人体试验、流行病学研究）必须通过相关医学研究机构的伦理委员会审查，遵循保护隐私原则，如实告知受试者。

场景三：公共数据授权运营（官方主导的资产化路径）

这是目前医疗数据走向市场最正规的途径。依据《公共数据资源授权运营实施规范（试行）》，路径如下：

方案编制：省数据局牵头，省卫健委编制方案，需包含可行性论证、数据安全及隐私保护措施，报省政府审议。

方案实施：通过公开招标、谈判等公平竞争方式选择具备技术与合规能力的运营机构，签订授权运营协议（原则上不超过5年）。

实施运营：运营机构必须在安全可控的开发利用环境（如隐私计算）中进行加工。严格管控未公开的原始公共数据直接进入市场。

定价与监督：数据产品价格按国家政策执行，接受社会监督和内控审计。

场景四：医疗领域人工智能（AI大模型）

AI是医疗数据最大的消耗者，也是价值的放大器。2023年中国AI医疗市场规模达973亿元。

大模型合规要素：

资质：需具备ICP/EDI证、医疗器械生产经营许可、互联网药品信息服务资格等。

备案与评估：必须履行算法备案、大模型备案（《生成式人工智能服务管理暂行办法》）及安全评估。

内容治理：严禁生成违法有害信息；对可能导致混淆的生成内容进行显著标识。

知识产权与数据质量：确保训练数据来源合法，制定清晰的数据标注规则。

医疗机构本地化部署大模型：

利用历史病历进行训练时，需关注是否超出患者初始授权用途。若超出，需重新征得同意，或将病例数据进行严格的脱敏、清洗、匿名化处理后再生成训练样本。

红线：大模型用于辅助决策时，必须由医疗人员独立审核人工校验；严禁人工智能自动生成处方。

AI医疗器械合规：

用于辅助决策（如病灶识别、治疗计划）的AI软件，按第三类医疗器械管理。

用于非辅助决策（如数据处理测量）的，按第二类医疗器械管理。

算法需提供详细的风险管理、需求规范、数据质控（清洗/标注规范）、训练/验证集分布情况及可追溯性分析报告。

场景五：医疗数据出境（跨国药企与多中心研究必看）

如“COLORIV国际多中心临床研究项目”是首个通过数据出境安全评估的医疗项目。

三大合规路径：

安全评估（强制）：关键信息基础设施运营者；或自当年1月1日起累计向境外提供100万人以上个人信息，或1万人以上敏感个人信息；或涉及重要数据（如人类遗传资源信息）。

标准合同 / 个人信息保护认证：适用于未达到上述数量标准的普通数据处理者（如累计提供10万人以上、不满100万人个人信息）。

自由传输（豁免）：累计不满10万人个人信息（不含敏感信息）；或为履行跨境购物、机票酒店预订等合同必需；或紧急保护生命健康必需。

自贸区负面清单红利：

如上海临港新片区发布了生物医药领域数据跨境一般数据清单，明确在临床试验、药物警戒、医学问询等场景下，经过去标识化技术处理的受试者信息，不再一概纳入敏感个人信息监管，极大降低了出境门槛。

第四部分 典型场景实操：八大业务场景的安全管控细节

白皮书针对医疗机构和企业的日常业务，梳理了8个典型场景的实操管控标准：

医生调阅数据：建立三级数据分级（默认级、告知级、授权级）。实行基于科室、职称、诊疗组的RBAC动态权限分配。采用多因素身份鉴别，限制院内IP访问，无操作10分钟锁屏，日志留存≥6个月。

患者查询数据：强制实名制与复杂密码。默认隐藏高敏感数据（如HIV、肝炎结果，需线下获取）。高风险操作（下载、打印）需二次授权并添加水印警示。

临床研究数据：必须经过伦理审查与知情同意。数据分为PUF（公用）、LDS（受限制）、RIF（可标识）三级。采用双人录入或EDC系统。离线数据加密与密钥分离。研究结束5年后需匿名化或删除。

二次利用数据（非营利科研）：建立审批专家库，严格评估申请者资质与数据使用价值。遵循最小计数原则（如某病患少于5人则需泛化处理）。采用虚拟桌面远程分析或数据沙箱，禁止数据转售。

健康传感数据（可穿戴设备）：首次使用需明确告知并授权。设备端采用生物识别或数字证书认证。本地存储AES-256加密，云端分布式加密。支持设备丢失时的远程擦除功能。

移动应用数据（APP/小程序）：严格执行最小必要原则，禁止索要通讯录等无关权限。敏感操作实时弹窗授权。生物特征信息仅传输摘要值。支付数据符合PCI DSS标准。

商业保险对接：互验主体合规性。接口上线前完成渗透测试。商保公司需按字段用途提交申请（如仅限理赔相关字段）。设置数据丢失重传机制，通过中间库隔离，限制查询频次（如每秒≤5次）。

医疗器械数据：厂商需在研发阶段内置安全能力（白名单、数字证书、防篡改日志）。维护人员仅可访问设备日志，无权调阅患者病历；导出数据必须自动去标识化。

第五部分 价值变现：医疗数据资产化的五大商业应用

合规的最终目的是为了应用与创造价值。随着大数据和AI技术的成熟，医疗数据已从传统的临床决策，扩展到广阔的商业创新领域：

市场调研与行业分析（精准赋能产业）：

通过对海量匿名化医疗数据的深度挖掘，预测疾病流行趋势。例如某集团研发的“呼吸道病原体检测阳性率分析报告”，不仅助力政府防控，更为药企预测细分市场需求、研发针对性抗病毒药物和检测试剂盒提供了精准的“导航仪”。

疾病筛查与防控服务（早发现早干预）：

广州金域医学携手疾控中心及医院，基于超1亿例宫颈癌数据，搭建了宫颈癌数据分析平台。通过严格的知情同意和数据清洗质控，提供全国多中心的筛查一站式数据服务。

医疗器械不良事件监测（保障安全有效）：

江门市人民医院研发的“医疗器械不良事件报告”数据产品，通过分析患者及器械使用情况，帮助监管机构和制造商掌握产品实际表现，为产品迭代和风险管理提供数据支撑。

医检数据治理与应用（提升数据价值）：

金域医学对神经免疫和感染性疾病检测数据进行治理，成功完成数据产品资产登记。其“结核分枝杆菌耐药地图”直观呈现耐药地域分布，为政府监控和精准治疗提供强大支撑。

AI辅助医疗健康服务（智能化升级）：

深圳罗湖“AI+医疗健康”项目搭建“眼底人工诊断平台”，利用AI定量技术进行糖尿病视网膜病变筛查。在确保患者授权和隐私保护的前提下，极大提升了基层筛查覆盖率，推动了分级诊疗体系建设。

第六部分 落地实操：交易合同与授权协议的核心条款解析

为了让资产化真正落地，白皮书极其务实地提供了两份示范文本。这是打通数据交易“最后一公里”的关键。

附件一：《医疗数据使用授权协议》核心要点

这是医疗机构向患者获取数据处理合法性基础的“护身符”。

基础授权：明确用于医学研究和临床诊断参考。

扩展授权（需患者勾选同意）：细分为第三方合作研究、商业用途开发（如研发新药/器械）、公共卫生统计、AI辅助诊断系统训练、专业人员培训、商业保险定价及理赔等6大具体场景。拒绝“一揽子授权”。

儿童特别授权：14周岁以下需双重身份核验（监护人活体人脸+户口簿/出生证明上传）。

患者七大权利：明确赋予患者知情权、选择权、撤销权（72小时内清除链路）、更正权、数据可携权（30日内加密传输原始数据包）、限制处理权（对AI结论存疑可要求人工复核）及删除权。

附件二：《医疗数据交易合同示范文本》核心要点

这是数据供方（如医院/数据集团）与需方（如药企/AI公司）进行资产交易的法律准绳。

界定交易标的与方式：明确是“数据转让”（供方不再保留处理权）还是“数据共享”（双方独立享有处理权）。明确需方的处理权限（概括处理、独占处理、加工、传输等）。

质量与合规双重保证：供方需保证数据精确度及合规来源；需方需承诺不将数据用于危害国家安全、侵犯隐私等负面清单行为。

安全审查与交付：涉及重要数据的必须通过安全风险评估或行政审批。交付前供方需出具《分级分类安全保护说明》，需方出具《响应承诺书》。支持数据包或API接口交付。

衍生数据权属：明确需方加工产生的“衍生数据”的权利归属，防止资产流失或权属纠纷。

合约追踪与应急处置：赋予供方对需方数据使用情况的审计、抽查权。明确发生数据泄露时的应急预案及违约赔偿责任（包括质量保证金扣除机制）。

结语：合规是医疗数据资产化的“唯一通行证”

医疗数据的资产化之路，是一场在“数据价值极致挖掘”与“隐私安全绝对保护”之间走钢丝的艺术。

《医疗数据合规白皮书》的发布，标志着我国医疗数据流通正在从“理论探讨”迈向“标准化、规范化的实操阶段”。它清晰地划定了红线，也指明了路径。

对于医疗机构、科研院所和相关科技企业而言，合规不再是业务的绊脚石，而是核心竞争力。尽早建立完善的数据分类分级制度、确立全生命周期的合规管理体系、熟练运用隐私计算等前沿技术，不仅是规避法律风险的坚固防线，更是抢占数字医疗新蓝海、将海量数据真正转化为真金白银的“唯一通行证”。

(注：本文内容深度提炼自《医疗数据合规白皮书》，旨在为行业提供交流参考。具体业务开展中的合规操作，请务必以国家最新法律法规及专业法律顾问意见为准。)