可穿戴设备就健康大数据的合规分析

本文拟从国家卫生健康委员会于2018年7月12日发布的《国家健康医疗大数据标准、安全和服务管理办法（试行）》规定中就智能可穿戴设备服务商的合规途径进行初步探讨。

——摘要

北京时间2018年9月13日，苹果公司在2018苹果秋季新品发布会上推出了三款新手机和第四代苹果手表Apple Watch Series 4。苹果公司表示，该款最新一代的智能手表背面内置了一个电子式心脏传感器，用户将手指放置在数码表冠上30 秒，与背面的传感器相配合，Apple Watch上就会显示出用户的实时心电图，联动iOS设备心电图会完整地记录到iPhone或iPad中，便于用户自查或提供给医生用于诊断。这是第一款直接面向消费者提供的非处方心电图产品，并且已经通过了美国食品和药品监督管理局（FDA）的认证。该款智能手表已于2018年9月21日在中国正式开售。

就在苹果推出最新一代手表之前不久，国家卫生健康委员会于2018年7月12日发布了国卫规划发[2018]23号《国家健康医疗大数据标准、安全和服务管理办法（试行）》（下称《大数据办法》）。该《大数据办法》是根据《中华人民共和国网络安全法》等法律法规以及《国务院办公厅关于促进和规范健康医疗大数据应用发展的指导意见》（国办发〔2016〕47号）和《国务院办公厅关于促进“互联网+医疗健康”发展的意见》（国办发〔2018〕26号）等文件精神制定出台的，是我国针对健康医疗大数据的第一部部门规章，首次对健康医疗大数据的标准、安全和服务管理进行了规定。

一、智能可穿戴设备服务商将成为健康医疗大数据的责任主体

相对智能手机而言，智能可穿戴设备更能迎合当今时代人们对医疗健康的日常监测需求，让身体的生理体征监测变得更加便捷。对比传统的医疗检测设备，智能可穿戴设备可实时采集用户大量的健康医疗数据信息及行为习惯，在与智能手机或平板电脑等智能终端联动后还可以通过大数据、云计算等技术应用，成为医疗诊断获取信息的重要途径。正是基于这种市场需要，目前市面上已经出现了多款针对体温、心率、睡眠、血压、血糖、胎心等指标进行监测的智能可穿戴产品，而以运动手环、智能手表、智能体脂秤为代表的智能可穿戴设备已渐成气候，上文提及的最新一代苹果手表更是已经具备绘制心电图的准医疗检查功能。

《大数据办法》第四条将健康医疗大数据定义为“是指在人们疾病防治、健康管理等过程中产生的与健康医疗相关的数据。”，并在第六条第二款规定“各级各类医疗卫生机构和相关企事业单位是健康医疗大数据安全和应用管理的责任单位”。根据上述规定，只要智能可穿戴设备具备可采集用户健康医疗数据的功能，则智能可穿戴设服务商将成为健康医疗大数据的责任单位。

二、智能可穿戴设备服务商作为责任主体可能面临的风险

1

非法采集数据的风险

采集用户的健康数据是智能可穿戴设备的核心功能。《大数据办法》第二十二条规定“责任单位应当按照《中华人民共和国网络安全法》的要求，严格规范不同等级用户的数据接入和使用权限，并确保数据在授权范围内使用。任何单位和个人不得擅自利用和发布未经授权或超出授权范围的健康医疗大数据，不得使用非法手段获取数据”；第二十九条规定“责任单位采集健康医疗大数据，应当严格执行国家和行业相关标准和程序，符合业务应用技术标准和管理规范，做到标准统一、术语规范、内容准确，保证服务和管理对象在本单位信息系统中身份标识唯一、基本数据项一致，所采集的信息应当严格实行信息复核终审程序，做好数据质量管理。”。我国《网络安全法》的第四十一[1]和四十二条[2]对采集包括用户健康数据在内的个人信息进行了严格规定，未经用户同意采集个人信息是明显违法的。假如一旦就采集用户健康数据事宜发生纠纷，智能可穿戴设备服务商有责任证明其采集数据的行为是获得了用户的许可的，否则将面临删除所采集的不法信息且不能继续采集等不利后果。

2

违法管理数据的风险

《大数据办法》第二十三条规定“责任单位应当建立严格的电子实名认证和数据访问控制，规范数据接入、使用和销毁过程的痕迹管理，确保健康医疗大数据访问行为可管、可控及服务管理全程留痕，可查询、可追溯，对任何数据泄密泄露事故及风险可追溯到相关责任单位和责任人。”，这一条对于管理健康医疗数据的责任单位提出了较高的技术要求和制度要求，规定智能可穿戴设备服务商要对健康医疗数据实施留痕管理；而第三十条关于“责任单位应当具备符合国家有关规定要求的数据存储、容灾备份和安全管理条件，加强对健康医疗大数据的存储管理。健康医疗大数据应当存储在境内安全可信的服务器上，因业务需要确需向境外提供的，应当按照相关法律法规及有关要求进行安全评估审核”的规定则更加明确，这一条也是顺应《网络安全法》第三十七条的规定[3]。从2018年2月28日起，苹果公司在中国内地的iCloud服务将由云上贵州大数据产业发展有限公司负责运营，大陆所有苹果用户的iCloud数据都将迁移到云上贵州存储，这一数据迁移也是苹果公司的合规之举。相信苹果公司在大陆发售具备监测用户心电图功能的最新一代苹果手表时，也会慎重考虑《大数据办法》的上述规定。

3

非法使用数据的风险

《大数据办法》第十七条规定“责任单位应当建立健全相关安全管理制度、操作规程和技术规范，落实“一把手”责任制，加强安全保障体系建设，强化统筹管理和协调监督，保障健康医疗大数据安全。涉及国家秘密的健康医疗大数据的安全、管理和使用等，按照国家有关保密规定执行。责任单位应当建立健全涉及国家秘密的健康医疗大数据管理与使用制度，对制作、审核、登记、拷贝、传输、销毁等环节进行严格管理。”。《大数据办法》并未对“一把手”及“一把手”所需承担的责任作出明确规定，但根据基本法理，此处的“一把手”通常是指企业的法定代表人；如果参考《网络安全法》的相关表述，也可推测“一把手”或可等同于《网络安全法》所规定“直接负责的主管人员”。我国《刑法》第二百五十三条规定了“非法获取公民个人信息罪”的犯罪行为，对于“直接负责的主管人员和其他直接责任人员”将与单位一同承担刑事责任。据此，《大数据办法》所规定的健康医疗数据责任单位的“一把手”责任制，将给责任单位的直接主管人员带来极大的责任风险，“一把手”亟需积极贯彻严格的管理制度，确保健康医疗大数据的安全。

4

数据非法泄露的风险

《大数据办法》第二十三、三十四条和三十五条对健康医疗大数据的泄露进行了明确规定，智能可穿戴设备服务商作为大数据的控制者，有义务确保大数据的存储、使用及管理安全，确保不得非法泄露。

三、智能可穿戴设备服务商的合规路径

结合上述可能的风险分析，有以下合规路径可参考：

1

贯彻落实法定代表人或实际控制人责任制

《大数据办法》所规定的“一把手”责任制是贯彻实施所有管理制度的核心，只有让责任单位的法定代表人或实际控制人能够真正成为大数据安全管理制度的最终承担者，才有可能有效唤醒决策层的管理意识，才有可能真正提高实际管理者的管理水平，从而确保管理制度的真正落实。

2

依法构建并落实数据管理机制

从法理上看，健康医疗大数据属于个人隐私范畴，所以在构建数据管理机制时需要以保护个人隐私为最高原则，应当将从客户处采集的隐私数据根据不同的数据类别设置不同的隐私查看及使用权限。而健康医疗数据的管理会包括但不限于采集、存储、复制、传输、迁移、使用、销毁等多个环节，建立建立医疗数据流动管理体系对健康医疗数据责任单位健全数据管理制度，完善数据授权体系具有重要意义。另外关于健康医疗数据的保密审查机制也应当成为医疗数据内部管理制度的重要组成部分。

3

选择有资质有实力可信赖的合作伙伴

《大数据办法》第三十一、三十二条均对责任单位选择健康医疗大数据的合作方进行了明确规定，并强调“责任单位委托有关机构存储、运营健康医疗大数据，委托单位与受托单位共同承担健康医疗大数据的管理和安全责任”。故责任单位在选择相关数据服务商合作时，需要提前尽到审核义务，确保该合作方符合国家和行业规定的数据运营服务的条件，具备相应的服务资质、可建立健全的数据控制管理制度、符合国家安全标准的网络安全等级标准、个人隐私保护制度等。

[1]《网络安全法》第四十一条“网络运营者收集、使用个人信息，应当遵循合法、正当、必要的原则，公开收集、使用规则，明示收集、使用信息的目的、方式和范围，并经被收集者同意。网络运营者不得收集与其提供的服务无关的个人信息，不得违反法律、行政法规的规定和双方的约定收集、使用个人信息，并应当依照法律、行政法规的规定和与用户的约定，处理其保存的个人信息。”

[2]《网络安全法》第四十二条“网络运营者不得泄露、篡改、毁损其收集的个人信息；未经被收集者同意，不得向他人提供个人信息。但是，经过处理无法识别特定个人且不能复原的除外。网络运营者应当采取技术措施和其他必要措施，确保其收集的个人信息安全，防止信息泄露、毁损、丢失。在发生或者可能发生个人信息泄露、毁损、丢失的情况时，应当立即采取补救措施，按照规定及时告知用户并向有关主管部门报告。”

[3]《网络安全法》第三十七条“关键信息基础设施的运营者在中华人民共和国境内运营中收集和产生的个人信息和重要数据应当在境内存储。因业务需要，确需向境外提供的，应当按照国家网信部门会同国务院有关部门制定的办法进行安全评估；法律、行政法规另有规定的，依照其规定。”

达晓为您带来有价值的阅读

投稿或与主编君交流请联系：yixinnsh