【互联网医疗案例篇】案例化解析医疗机构场景下的数据合规和个人信息保护要点（下）

作者：i医法律服务团队 | 2022.08.23

随着医疗的快速发展、互联互通建设的不断深入、临床科研等需求的不断增加，内外网数据交互日益频繁等，网络安全、数据安全、个人信息安全风险持续增加，系统性风险持续增大。这些因素给医疗机构网络及信息安全建设带来了更大的挑战。构建完善的信息安全保障体系，对于提升整体信息安全保障能力、推动医疗机构高质量发展，具有重要的研究价值和现实意义。

本文承续《案例化解析医疗机构场景下的数据合规和个人信息保护要点（中）-医疗机构案例篇》的宗旨，从实际案例出发，具体探讨新兴的互联网医疗中可能出现的数据风险及管理漏洞，并结合法律、法规、规章、其他规范性文件等的相关规定探讨互联网医疗安全技术建设和安全管理体系建设，以期促进数据合规和个人信息保护的完善。

2022年7月21日，国家互联网信息办公室依据《网络安全法》《数据安全法》《个人信息保护法》《行政处罚法》等法律法规，对滴滴全球股份有限公司处人民币80.26亿元罚款。自此，由滴滴公司触发的全国首例网络安全审查程序终于重锤落下，盖棺定论。

对滴滴公司进行的高额罚款，彰显了国家执法部门严格监管的态度与决心，这不仅是为所有的互联网企业敲响合规发展的警钟，更同时提醒了所有与网络安全、数据安全、信息安全有关的企事业单位提高对相关合规问题的重视程度。

对于医疗机构而言，其长期以来承载着治病救人、救死扶伤的诊疗职能，因此国家相关部门出台了大量的医学诊疗规范和法律、行政法规以定义、规范、保护医疗机构的诊疗职能，使其能更好的为广大人民群众提供诊疗服务，维护人民群众的生命健康，提高生命质量，构建健康中国。

医疗机构的上述主要职能是由其固有属性所决定的，主要归口管理部门是国家和地方卫健委。因此即便2018年《互联网诊疗管理办法（试行）》《互联网医院管理办法（试行）》和《远程医疗服务管理规范（试行）》等互联网医疗领域专门性法规文件的颁布，后遭逢新冠疫情影响，事实上快速推进了我国互联网医疗的发展，但我国对于互联网医疗的发展定位还是重在医疗。据国家卫健委统计，截至2021年6月，我国互联网医院超1600家，初步形成了线上线下一体化医疗服务模式，但2022年最新颁布的《互联网诊疗监管细则（试行）》，依然将重点监管对象定义为诊疗行为的合法合规问题，也即互联网医疗视为线下诊疗行为的线上延伸，强调贯彻“线上线下相一致”原则。

但事实上，由于互联网医疗的医疗安全和数据信息双重属性，在互联网医疗的语境下，医疗机构不仅需要注意来自卫生行政部门对医疗安全的监管，同样也应遵守《网络安全法》《数据安全法》《个人信息保护法》等有关数据与信息安全保护法规的要求。

互联网医疗依托前文提及的各类载体，不断获取和处理患者信息。对于数据和信息而言，其采集、存储、传输、应用和销毁等数据及信息生命周期活动属于重点关注对象，也即医疗机构应当在以上的全部阶段均对数据和信息保有高度的注意义务，而这些注意义务往往来自于非医疗属性问题。

事实上，医疗机构因非医疗属性问题而导致的处罚案例也屡见不鲜，如广东云医院APP曾因侵害用户权益被处罚。广东云医院APP是由广东省医院协会牵头打造的平台，以广东省大型公立医院联盟为核心，整合了医疗管理机构、医院、医生、药企、保险、物流等资源，打通了线上诊疗、电子处方、网上购药、诊中支付以及送药到家的环节，据称曾为国内首个省级云医院平台。

但2021年1月，广东云医院APP因存在“侵害用户权益”、“安全隐患”等问题被广东省通信管理局责令整改，具体问题包括：

1.在申请打开可收集个人信息的权限，未同步告知用户其目的，且隐私政策也未明示收集使用个人信息的目的、方式和范围；

2.APP首次运行未经用户阅读并同意隐私政策前行为监控发现GET_TASK检索了应用程序、Android ID、MAC地址、IP地址、IMEI、IMSI；

3.明确拒绝非必要权限后再次打开APP会再次索要权限；

4.未在隐私政策等公示文本中逐一列明APP所集成第三方SDK收集使用个人信息的目的、方式和范围。

医师朋友或许会对上述问题觉得陌生，因为这些问题并非是常见的、因医学诊疗行为不当而导致的，而是主要来源于有关建设方对数据与个人信息保护合规问题的不熟悉、不重视，其主管部门也并非医疗机构所熟悉的卫健委系统，而是来自信息与通信管理部门，医疗领域的相关案件同样屡见不鲜。

2019年，“健康天津”APP因涉嫌无隐私协议收集用户位置信息等违法违规行为，被天津市公安局武清分局网安支队处以行政警告并责令限期整改。

2021年1月，“康爱多掌上药店”APP被广东省通信管理局查出在侵害用户权益方面存在三方面问题：一是APP首次运行未经用户阅读并同意隐私政策，申请获取电话权限和储存权限；二是APP隐私政策难以阅读，文字过小过密；三是未在隐私政策等公示文本中逐一列明APP所集成第三方SDK收集使用个人信息的目的、方式和范围。

从以上案例中，我们可以看到，医疗机构或医疗领域存在的问题具有相当程度的共性，也即均是由于有关建设方缺乏对数据安全、个人信息收集等非医疗属性的相应政策法规的了解或注意不当而导致的，鲜少出现因故意而为的情况。针对APP收集使用个人信息的合规监管同样一直也是网信办、公安部、工信部等部门整治个人信息收集使用违规行为的前沿阵地。有关问题同样存在于本文开头提及的滴滴公司案件中。

在对滴滴公司进行处罚时，有关部门经查明，滴滴公司共存在16项违法事实，归纳起来主要是8个方面：一是违法收集用户手机相册中的截图信息1196.39万条；二是过度收集用户剪切板信息、应用列表信息83.23亿条；三是过度收集乘客人脸识别信息1.07亿条、年龄段信息5350.92万条、职业信息1633.56万条、亲情关系信息138.29万条、“家”和“公司”打车地址信息1.53亿条；四是过度收集乘客评价代驾服务时、APP后台运行时、手机连接桔视记录仪设备时的精准位置（经纬度）信息1.67亿条；五是过度收集司机学历信息14.29万条，以明文形式存储司机身份证号信息5780.26万条；六是在未明确告知乘客情况下分析乘客出行意图信息539.76亿条、常驻城市信息15.38亿条、异地商务/异地旅游信息3.04亿条；七是在乘客使用顺风车服务时频繁索取无关的“电话权限”；八是未准确、清晰说明用户设备信息等19项个人信息处理目的。

以上问题简单而言，是由于APP在收集使用个人信息时，没有完善知情告知、处理流程不具备合规、合理性等，而有关这些问题的约定，通常体现在APP或小程序的《隐私政策》、《用户协议》中。

实践中，随着有关部门的查处力度加大，倒逼越来越多的运营商在软件上架阶段就需完善相应内容，否则将不予上架。因此医疗机构在通过不同载体开展互联网医疗时，应格外注意对隐私等个人信息的保护，特别是互联网医疗过程中会涉及大量的敏感个人信息，需要医疗机构结合自身建设需求和功能特征，对隐私政策内容进行量体裁衣、量身定位，方能避免因此种非医疗因素导致处罚。

医疗机构主要应注意对知情告知完整性、索取授权的范围和合理性、最小必要原则贯彻性、敏感个人信息处理的特定性和充分必要性、用户信息全周期保护的权利要求性，具体隐私政策的编纂方式、方法不在本文赘述，本文仅对该问题进行特别提示。医疗机构可结合国家互联网信息办公室等部门出台的《App违法违规收集使用个人信息行为认定方法》等有关指导方案，加以审定完善。

互联网医疗逐渐被千家万户所熟悉，逐渐成为医疗机构传统线下业态之外的新生业态，但仍处于不断更新规制的状态。在医疗机构开展互联网医疗的场景下，对非医疗属性的数据与信息保护问题不仅是时代发展的必要要求，同时也能使得医疗机构通过完善相应程序，实现保护数据安全和个人信息安全的程序正义。因此，医疗机构应对相关问题保持高度的注意义务，及时自查，及时修正。