2017年6月1日《中華人民共和國網絡安全法》正式實施；同年12月29日，《信息安全技術 個人信息安全規范》（“2017版《規范》”）正式發布；2020年3月7日，新版《信息安全技術 個人信息安全規范》GB/T35273-2020（以下簡稱“2020版《規范》”）正式發布。從頒布的頻率之高來看，可見國家在當前數字經濟環境下，對于個人信息安全和隱私保護工作非常重視。與此同時，國家工信部為有效提升互聯網行業網絡數據安全保護能力，充分發揮標準在保障網絡數據安全、推動行業健康有序發展，助力數字經濟高質量發展，也編制完成了《網絡數據安全標準體系建設指南》（以下簡稱建設指南），并即將于近期正式發布。
2020版《規范》和“建設指南”參考了近幾年國外立法趨勢和執法經驗，反映了在應用新技術與商業模式創新的同時，對信息安全和個人信息保護的高度關切。所以可以預言在不久的將來，將對我國個人信息保護領域起到重要的指導和引領作用。本文將嘗試把“規范”和“指南”中的主要內容做一個參照和融合，結合當前風起涌云的“互聯網+醫療健康”領域的信息化建設，希望將來無論是自建的醫療機構還是參與合作共建的互聯網企業，在其產品設計之初時就能夠更多地參照該規范和指南來進一步指導項目的建設和實施。“建設指南”中包括了建設思路及目標、建設內容、組織實施三個部分。其中第一部分是建設思路及目標，明確了標準體系建設的總體思路、基本原則、建設目標。第二部分是建設內容，提出了網絡數據安全標準體系框架、重點標準化領域及方向，具體為基礎共性、關鍵技術、安全管理、重點領域四大類標準。其中基礎共性標準還包括術語定義、數據安全框架、數據分類分級，可為各類標準制定提供基礎性支撐。關鍵技術標準從數據采集、傳輸、存儲、處理、交換、銷毀等數據全生命周期維度對數據安全技術進行規范。其中核心的關鍵技術標準體系如下圖所示。
以下將從全生命周期數據安全的六個環節展開個人信息保護的論述：（1）數據采集環節的個人信息保護：“最少夠用”原則在技術層面，數據采集標準用于規范數據采集格式、數據標簽、數據審查校驗等方面相關技術要求，有效提升數據質量，主要包括數據清洗比對、數據質量監控等標準。在數據采集應用層面，隨著互聯網服務日益平臺化和集成化，包括互聯網醫療應用場景，無論是單一APP還是公眾號、小程序、業務網站等應用通常都集成了多項業務功能。首先關于在“用戶告之”環節，通常情況下最為常見的授權做法是將全部業務功能所需要的個人信息授權，全部打包在一份隱私政策內，在用戶明示同意隱私政策后即可一勞永逸解決授權問題。另一方面，這些業務功能往往名目繁多，某些互聯網企業還有意地使用“改善體驗”、“產品研發”等似是而非、模棱兩可的描述，而讓用戶無法感知其具體內容的表述。在這種情況下，用戶往往處于“被動授權”狀態，某些場景下為了其不需要使用的某些功能而無意中額外地提供了使用個人信息的授權，這也違背了規范里積極倡導的“最少夠用”原則——對個人信息控制者的要求包括：a) 收集的個人信息的類型應與實現產品或服務的業務功能有直接關聯；直接關聯是指沒有上述個人信息的參與，產品或服務的功能無法實現；b) 自動采集個人信息的頻率應是實現產品或服務的業務功能所必需的最低頻率；c) 間接獲取個人信息的數量應是實現產品或服務的業務功能所必需的最少數量。目前國際上對移動APP的個人隱私信息保護主要存在兩種模式：以歐盟為代表的立法模式和以美國為代表的企業自律模式。我國則采用軟件運營者自律為主、政府監管為輔的模式。其實在2019年底出臺的《APP違法違規收集使用個人信息行為認定方法》，就是運營者自律結合政府監管模式的重要體現。此外在“最少夠用”原則的整體要求外，當個人信息控制者在收集個人信息時，還應該遵循以下授權同意的要求：a) 收集個人信息，應向個人信息主體告知收集、使用個人信息的目的、方式和范圍等規則，并獲得個人信息主體的授權同意；b) 收集個人敏感信息前，應征得個人信息主體的明示同意，并應確保個人信息主體的明示同意是其在完全知情的基礎上自主給出的、具體的、清晰明確的意愿表示；c) 收集個人生物識別信息前，應單獨向個人信息主體告知收集、使用個人生物識別信息的目的、方式和范圍，以及存儲時間等規則，并征得個人信息主體的明示同意；d) 收集年滿14周歲未成年人的個人信息前，應征得未成年人或其監護人的明示同意；不滿14周歲的，應征得其監護人的明示同意；- 應要求個人信息提供方說明個人信息來源，并對其個人信息來源的合法性進行確認；
- 應了解個人信息提供方已獲得的個人信息處理的授權同意范圍，包括使用目的，個人信息主體是否授權同意轉讓、共享、公開披露、刪除等；
- 如開展業務所需進行的個人信息處理活動超出已獲得的授權同意范圍的，應在獲取個人信息后的合理期限內或處理個人信息前，征得個人信息主體的明示同意，或通過個人信息提供方征得個人信息主體的明示同意。
所以針對上述情形，在用戶告知環節，對提供多項業務功能自主選擇，也向個人信息控制者提出了以下一系列要求：- 不應通過捆綁產品或服務各項業務功能的方式，要求個人信息主體一次性接受并授權同意各項業務功能收集個人信息的請求；
- 應把個人信息主體主動作出的肯定性動作，如主動點擊、勾選、填寫等，作為產品或服務的業務功能開啟條件，個人信息控制者應僅在個人信息主體開啟該業務功能后，開始收集個人信息；
- 關閉或退出業務功能的途徑或方式應與個人信息主體選擇使用業務功能的途徑或方式同樣方便。個人信息主體選擇關閉或退出特定業務功能后，個人信息控制者應停止該業務功能的個人信息收集活動；
- 個人信息主體不授權同意使用、關閉或退出特定業務功能的，不應頻繁征求個人信息主體的授權同意；
- 如個人信息主體不授權同意使用、關閉或退出特定業務功能的，不應暫停個人信息主體自主選擇使用的其他業務功能，或降低業務功能的服務質量；
- 不得僅以改善服務質量、提升使用體驗、研發新產品、增強安全性等為由，強制要求要求個人信息主體同意收集個人信息。
因此，按以上這些采集環節的原則和規定進行認真自查和合規整改，是目前各家互聯網醫療運營企業內在要求和主要任務。
數據傳輸標準用于規范數據傳輸過程中可以標準化的功能架構、安全協議及其他安全相關技術要求，主要包括數據完整性保護、數據加密傳輸等標準。其中：- 數據加密傳輸：是指在數據傳輸過程當中如果涉及到密碼等很重要的隱私數據，需要對該數據進行加密傳輸，不應該進行明文傳輸。因為在傳輸過程當中，你的數據可能會被劫持，如果是明文傳輸的密碼等隱私數據，劫持者就知道你的密碼了。而大部分用戶的很多賬號往往都是使用相同的密碼，這樣就會存在被非法撞庫的風險。數據加密還需要前、后端進行密切配合，約定相關條件，這樣前、后端才能正確地對數據進行加解密。所以這個約定條件就比較重要，前端不能輕易暴露。此外由于前端不是編譯運行的，代碼存在被破解的風險；所以還需要增加加密流程的復雜度，提高破解者解密的成本，不要讓非法解密者輕易識別出加密流程。
- 數據完整性：是指數據沒有遭受以未授權方式所作的更改或破壞的特性，往往通過數據驗證來保證數據的完整性和一致性。數據驗證主要是用于權限管理要求比較高的web應用，防止劫持者對請求數據進行篡改，從而達到越權目的。
數據存儲標準用于規范存儲平臺安全機制、數據安全存儲方法、安全審計、安全防護技術等相關技術要求，主要包括數據庫安全、云存儲安全、數據安全審計、數據防泄漏等標準。個人信息控制者對于個人敏感信息的傳輸和存儲的要求包括：a) 傳輸和存儲個人敏感信息時，應采用加密等安全措施；（采用密碼技術時宜遵循密碼管理相關國家標準。）c) 原則上不應存儲原始個人生物識別信息（如樣本、圖像等），可采取的措施包括但不限于：- 僅存儲不可逆的摘要信息，而且是無法回溯到原始信息的摘要信息；
- 在采集終端中直接使用個人生物識別信息實現身份識別、認證等功能，這也意味著采集和認證兩個環節均通過手機等終端完成，并由終端將識別和認證結果回傳，并不需要將個人生物識別信息回傳至企業服務器；
- 在使用面部識別特征、指紋、掌紋、虹膜等實現識別身份、認證功能后刪除可提取個人生物識別信息的原始圖像。也就是說，在互聯網企業使用個人生物識別信息完成識別和認證后應立即刪除，避免用于其他用途。
大家知道在互聯網醫療健康領域，會經常碰到此種數據采集的場景，無論是用于身份識別還是生命體征數據的采集環節。大家知道與常規的個人信息不同，個人生物識別信息在人的一生中幾乎不會發生變化，或是變化緩慢，在短期內保持恒定，因此個人生物識別信息和個人身份緊密綁定的效果非常好。另一方面，個人生物識別信息一旦被泄露和不法利用，將給個人帶來嚴重的財產安全和信息安全隱患。所以2020版《規范》進一步對這些個人生物識別信息在收集、存儲和共享方面都提出了特殊要求，回應了社會公眾對個人生物識別信息泄露愈發的擔憂。從上述三種路徑來看，2020版《規范》并非一刀切完全禁止存儲和使用個人生物識別信息，而是限制將原始個人生物識別信息回傳至企業服務器。但是即使如此，仍然會給現有的個人信息收集模式帶來挑戰。
此外還設立了專門的退出路徑，當個人信息控制者停止運營其產品或服務時，應：b) 將停止運營的通知以逐一送達或公告的形式通知個人信息主體；數據處理標準用于規范敏感數據、個人信息的保護機制及相關技術要求，明確敏感數據保護的場景、規則、技術方法，主要包括匿名化/去標識化、數據脫敏等標準。在數據經濟時代，精細化運營成為互聯網企業的標配，當然也包括互聯網醫療領域運營企業。他們通常會通過對用戶診療個案數據進行挖掘、清洗、分類，使得海量復雜的數據被抽象成“標簽”，并利用這些“標簽”將患者的基礎疾病、醫療行為、健康預期等內容具象化，使得其醫療產品和健康服務更加具有精準性和針對性，這種運營手法被稱為“患者畫像”。2020版《規范》新增了關于用戶畫像的描述限制和使用限制，對個人信息控制者的要求包括：
b) 在業務運營或對外業務合作中使用用戶畫像的，不應：- 危害國家安全、榮譽和利益，煽動顛覆國家政權、推翻社會主義制度，煽動分裂國家、破壞國家統一，宣揚恐怖主義、極端主義，宣揚民族仇恨、民族歧視，傳播暴力、淫穢色情信息，編造、傳播虛假信息擾亂經濟秩序和社會秩序。
同時，2020版《規范》還建議，盡可能避免使用具有明確身份指向性、可以精確定位到特定個人的直接用戶畫像，而盡可能使用“間接用戶畫像”。2020版《規范》對數據的“個性化展示”提出了較為細致的操作規范，核心在于保障用戶的知情權和選擇權。2020版《規范》要求，在向用戶提供業務功能的過程中使用個性化展示的，應當以標注等形式將其與非個性化展示的內容進行顯著區分。參考《違法認定辦法》的有關規定，建議如果APP運營者將個人信息用于個性化信息展示，那么個人信息保護政策也需要描述具體應用的場景和功能模塊，更進一步保護用戶的知情權。2020版《規范》建議建立個人信息主體對個性化展示所依賴的個人信息的自主控制機制。數據交換標準用于規范數據安全交換模型、角色權責定義、安全管控技術框架，并明確數據溯源模型、過程和方法，支撐數據安全共享、審計和監管，主要包括多方安全計算、透明加密、數據溯源等標準。數據交互就以當前炙手可熱的“數據中臺”戰略為例，特別是對于擁有多個業務條線的平臺型互聯網企業而言。作為以互聯網運營為核心的主體，他們的愿景是通過“數據中臺”，將不同縱向垂直業務條線所收集、整理的個人信息進行橫向的匯聚與融合，也就是傳統意義上上的“條塊結合”。最后再將匯聚融合塊上的成果反哺到條上的各業務條線中。從運營的角度來看，這樣既可以極大地提升各個業務條線所收集數據的使用效率，其次也可以更大程度地實現潛在的數據變現的價值。但是這種數據的匯聚融合也可能存在未經授權使用或是超出授權范圍使用的可能性。因此對于個人信息的匯聚融合，2020版《規范》在定義層面對“個人信息”的范圍進行更細化的界定，即個人信息控制者通過個人信息或者其他信息加工處理后形成的信息，例如用戶畫像或者特征標簽，能夠單獨或者與其他信息結合識別特定自然人身份或者反映特定自然人活動情況的，屬于個人信息。也就是說，即使個人信息經過加工處理，如果依然通過處理后的數據能夠識別到具體個人，其授權使用的范圍仍應視同個人信息進行規制。在使用個人信息進行匯聚融合時，同樣應當符合在收集個人信息時所生成的目的，否則應當重新獲得個人信息主體的授權同意。此外，2020版《規范》也建議，應當根據匯聚融合后個人信息所用于的目的，開展個人信息安全影響評估，采取有效的個人信息保護措施，主要包括：a) 應建立個人信息安全影響評估制度，評估并處置個人信息處理活動存在的安全風險；b) 個人信息安全影響評估應主要評估處理活動遵循個人信息安全基本原則的情況，以及個人信息處理活動對個人信息主體合法權益的影響，內容包括但不限于：- 個人信息收集環節是否遵循目的明確、選擇同意、最小必要等原則；
- 個人信息處理是否可能對個人信息主體合法權益造成不利影響，包括是否會危害人身和財產安全、損害個人名譽和身心健康、導致差別性待遇等；
- 匿名化或去標識化處理后的數據集重新識別出個人信息主體或與其他數據集匯聚后重新識別出個人信息主體的風險；
- 共享、轉讓、公開披露個人信息對個人信息主體合法權益可能產生的不利影響；
- 發生安全事件時，對個人信息主體合法權益可能產生的不利影響。
c) 在產品或服務發布前，或業務功能發生重大變化時，應進行個人信息安全影響評估；d) 在法律法規有新的要求時，或在業務模式、信息系統、運行環境發生重大變更時，或發生重大個人信息安全事件時，應進行個人信息安全影響評估；e) 形成個人信息安全影響評估報告，并以此采取保護個人信息主體的措施，使風險降低到可接受的水平；f) 妥善留存個人信息安全影響評估報告，確?？晒┫嚓P方查閱，并以適宜的形式對外公開。最后關于數據的審計以及可追溯，也提出了明確的要求：a) 應對個人信息保護政策、相關規程和安全措施的有效性進行審計；b) 應建立自動化審計系統，監測記錄個人信息處理活動；c) 審計過程形成的記錄應能對安全事件的處置、應急響應和事后調查提供支撐；e) 應及時處理審計過程中發現的個人信息違規使用、濫用等情況；上述要求對于平臺型醫療互聯網企業是不小的挑戰，所以建議在這類平臺型企業應當在各個業務條線的個人信息保護政策中對匯聚融合其他條線的個人信息的目的和使用范圍進行充分告知。同時，在匯聚融合的信息性質和使用范圍超出原有授權時，應當重新獲得個人信息主體的明示同意。數據銷毀標準用于規范數據銷毀和介質銷毀的安全機制和技術要求，確保存儲數據永久刪除、不可恢復，主要包括數據銷毀、介質銷毀等標準。原先這個環節并不被大家所關注，但作為全生命周期個人信息隨時可中止的“終末”一環。個人信息主體注銷賬戶：a) 通過注冊賬戶提供產品或服務的個人信息控制者，應向個人信息主體提供注銷賬戶的方法，且方法簡便易操作；b) 受理注銷賬戶請求后，需要人工處理的，應在承諾時限內（不超過15個工作日）完成核查和處理；c) 注銷過程如需進行身份核驗，要求個人信息主體再次提供的個人信息類型不應多于注冊、使用等服務環節收集的個人信息類型；d) 注銷過程不應設置不合理的條件或提出額外要求增加個人信息主體義務，如注銷單個賬戶視同注銷多個產品或服務，要求個人信息主體填寫精確的歷史操作記錄作為注銷的必要條件等；e) 注銷賬戶的過程需收集個人敏感信息核驗身份時，應明確對收集個人敏感信息后的處理措施，如達成目的后立即刪除或匿名化處理等；f) 個人信息主體注銷賬戶后，應及時刪除其個人信息或匿名化處理。因法律規規定需要留存個人信息的，不能再次將其用于日常業務活動中。這些要求在APP違法違規收集使用個人信息專項整治行動中已有體現。同時，注銷期限、注銷后個人敏感信息處理等要求也明確為《違法認定辦法》所規定，成為強制性規范。在互聯網醫院和互聯網診療拓展過程中，特別是線下醫療機構和第三方合作的運營模式中，數據的受托處理和共享轉讓是往往是數據流轉的常見形式，對此2020版《規范》對于個人信息流轉過程中的法律責任分配也提出了新的要求。例如，個人信息控制者在知曉受委托者未按照委托要求處理個人信息，或未能有效履行個人信息安全保護責任的，應當立即要求受托方停止相關行為，或通過更改口令、收回權限、斷開網絡鏈接等方式予以補救，并在必要時終止委托關系。類似的要求也出現在共享轉讓環節中，在數據接收方處理個人信息存在違法或違約行為時，個人信息控制者應當采取有效行動降低風險和損失。
上述要求為互聯網主體責任方在涉及數據流轉的對外合作的合同起草和談判提供了很有價值的參考。個人信息控制者應當在涉及數據流轉的對外合作時，注意審閱、補充相關合同條款，以使得自身在對方涉及個人信息處理的履約出現違法和違約問題時，能夠具有充分的自我救濟和風險控制手段，并在此基礎上避免己方的違約和被訴可能性。2020版《規范》也提出了一系列的管理要求和風險控制建議，包括：內部管理流程上，建立第三方產品或服務接入管理機制和流程，妥善留存第三方接入的有關合同和管理記錄；
- 針對第三方的管理上，與第三方簽署合同，明確雙方的安全責任及個人信息安全措施，要求第三方向個人信息主體收集個人信息時需要征得用戶授權同意，并核查實現方式。同時，要求第三方產品建立響應個人信息主體請求和投訴機制。此外，還應當監督第三方加強個人信息安全管理，對于第三方自動化工具開展技術檢測，并對其手機個人信息的行為進行審計，在違約時及時切斷接入；
- 對于個人信息主體的管理上，應當向個人信息主體明確標識產品或服務由第三方提供，避免在出現個人信息安全糾紛時責任不明。
個人信息安全與隱私信息的保護不止是制定隱私條款，還需要落實條款中承諾的具體內容。但目前針對健康產業的各類APP、公眾號及小程序應用，目前尚缺乏統一的評價標準和監管機制。而相對于其他行業應用，醫療衛生健康行業面臨著相對更高的信息安全風險。醫療服務存在信息不對稱情況，醫療服務提供者及運營商可能在診療過程中收集了患者過多的隱私信息，其過程不容易被察覺。因此，必須遵循“包容謹慎”的原則，加強各類大健康移動應用的質量和數據安全監管，切實防范風險，守住底線。針對大健康產業隱私信息的特殊性，有關部門應構建互聯網醫療健康各類移動應用的隱私保護政策評價體系和監管機制：
- 定期對隱私政策的規范性和可操作性做出評價，利用技術標準檢測其安全性和穩定性，對不符合要求的APP進行下架處理；
- 督促運營商落實企業主體責任，設立個人信息安全專職部門和專員，以應對信息安全事件的發生；
- 加強內部管理，定期審核內部工作人員的操作權限，注重離職保密協議的簽訂以及信息安全的培訓與考核，防止個別工作人員因經濟利益驅使、出于好奇心理等原因泄露用戶醫療健康數據。
在網絡安全和個人信息保護合規越來越被重視的當下，自2020年10月1日起正式生效的新版《個人信息安全規范》將為互聯網醫療如何完善個人信息保護制度提供了切實可行的實踐指引。從過往的實踐中不難看出，我國《網絡安全法》初步搭建了網絡安全治理基本法律框架。在此背景下《網絡數據安全標準體系建設指南》以及《個人信息安全規范》文件的出臺，已成為政府和行業網絡信息安全監管部門在落實監管舉措和制定監管細則的重要參考依據。正所謂“無規矩不成方圓”，在依法治國的基本理念的指導下，“互聯網醫療”信息便民、信息惠民的道路也將越走越寬、越走越穩。
https://chcsc.chima.org.cn
首 頁
