本文系《健康医疗taptap点点官方网站的法律与合规问题探析（上）》（作者吴卫明）一文的后半部分。在《健康医疗taptap点点官方网站的法律与合规问题探析（上）》部分中，作者系统论述了：一、健康医疗taptap点点官方网站的定义与内涵；二、健康医疗taptap点点官方网站合规的难点；三、健康医疗taptap点点官方网站的共享问题；四、健康医疗taptap点点官方网站的分级分类管理问题。

本部分主要包括：健康医疗taptap点点官方网站的出境问题、医学教学中的隐私保护，及健康医疗领域公共taptap点点官方网站开放问题。具体见下文：

1、重要taptap点点官方网站出境

健康医疗领域所涉及的重要taptap点点官方网站出境问题，涉及到两方面的法律规则，其一是《taptap点点官方网站安全法》的规制，其二是健康医疗行业的法规监管。

按照《taptap点点官方网站安全法》（2021年9约月1日即将生效并施行）的规定，重要taptap点点官方网站出境应经过安全评估，重要taptap点点官方网站目录由各部门、各地方制定。健康医疗taptap点点官方网站领域的重要taptap点点官方网站范围，原则上应由国家卫生行政管理机关制定。根据这一原则，对于涉及健康医疗taptap点点官方网站处理的机构而言，其重要taptap点点官方网站范围，应由卫生行政管理机关，即国家卫健委制定相应的规范或指引。在确定重要taptap点点官方网站范围后，再依据重要taptap点点官方网站出境的规则进行安全评估。

对于健康医疗领域的taptap点点官方网站分类分级，虽然国家卫健委进行原则性的规定，但并未对健康医疗领域“重要taptap点点官方网站”的内涵与外延进行界定。

如，国家卫健委2018年颁布的《国家健康医疗大taptap点点官方网站标准、安全和服务管理办法（试行）》（国卫规划发(2018)23号）第十八条规定了，“责任单位应当采取taptap点点官方网站分类、重要taptap点点官方网站备份、加密认证等措施保障健康医疗大taptap点点官方网站安全。”但并未涉及重要taptap点点官方网站的范围与定义。

国家标准化委员会发布的《信息安全技术-健康医疗taptap点点官方网站安全指南》（简称《指南》）虽然也提出了重要taptap点点官方网站应按照依规进行评估审批，但也同样没有重要taptap点点官方网站的内涵与定义做出界定。

当然，在指南中，提到了“涉及人类遗传资源taptap点点官方网站（是指利用人类遗传资源材料产生的taptap点点官方网站，人类遗传资源材料是指含有人体基因组、基因等遗传物质的器官、组织、细胞等遗传材料）等重要taptap点点官方网站的，按照相关部门要求执行。”按照这一表述，人类遗产资源所涉及的taptap点点官方网站，可以归入重要taptap点点官方网站的范围（可参见吴卫明：《健康医疗taptap点点官方网站的法律与合规问题探析（上）》）。

2、非重要医疗taptap点点官方网站出境问题

在健康医疗taptap点点官方网站的处理领域，还会涉及到其他非重要taptap点点官方网站的出境管理问题，这是与普通taptap点点官方网站出境管理所不同的。对于普通taptap点点官方网站而言，出境主要是针对重要taptap点点官方网站，以及在境外执法、司法机关调取证据过程中涉及中国境内taptap点点官方网站的。一般意义上理解，普通的诊疗机构并不属于关键信息基础设施运营者，与一般taptap点点官方网站出境不同，健康医疗taptap点点官方网站的出境涉及更多规则。除了重要taptap点点官方网站需要评估外，一般taptap点点官方网站也面临特殊的规制。

其一，出境评估问题。按照《指南》的规定，“涉及出境的应依规进行安全评估”，当然，对于如何评估，相关法律法规及监管部门尚未给出明确的界定。对此，应关注监管机构或行业主管部门给出进一步的细化解释。

其二，出境的数量限制问题。按照《指南》的规定，因学术研讨需要，向境外提供相应taptap点点官方网站的，在进行必要的去标识化处理后，经过taptap点点官方网站安全委员会讨论审批同意，数量在250条以内的非涉密、非重要taptap点点官方网站可以提供，否则应提请相关部门审批。不涉及国家秘密、重要taptap点点官方网站或者其他禁止或限制向境外提供的taptap点点官方网站，经主体授权同意，并经taptap点点官方网站安全委员会讨论审批同意，控制者可向境外目的地提供个人健康医疗taptap点点官方网站，累计taptap点点官方网站量应控制在250条以内，否则应提请相关部门审批。

3、人类遗传资源出境问题

健康医疗taptap点点官方网站中，还涉及到人类遗传资源的管理问题。虽然国家通过《生物安全法》和《中华人民共和国人类遗传资源管理条例》（2019年3月20日国务院第41次常务会议通过简称《遗传资源管理条例》）对于人类遗传资源单行立法规制。但是，人类遗传资源管理和出境，依然是健康医疗taptap点点官方网站中非常重要的内容。

人类遗传资源包括人类遗传资源材料和人类遗传资源信息。人类遗传资源材料是指含有人体基因组、基因等遗传物质的器官、组织、细胞等遗传材料。人类遗传资源信息是指利用人类遗传资源材料产生的taptap点点官方网站等信息资料。

无论是遗传资源本身，还是遗传资料信息，都会包含着与个体或群体遗传信息。遗传资源信息的分析，对于疾病诊疗、生物医药开发、健康干预、基因工程应用都有重要的价值。当然，与此对应的是，人类遗传资源一旦被滥用，则可能对特定自然人或人群造成不可挽回的健康或安全风险。因此，我国对于遗传资源信息的出境采取了严格的管控措施。

（1）境外机构获取我国人类遗传资源的限制

按照《遗传资源管理条例》，外国组织、个人及其设立或者实际控制的机构不得在我国境内采集、保藏我国人类遗传资源，不得向境外提供我国人类遗传资源。

（2）外方单位利用境内遗传应与境内机构合作

外国组织及外国组织、个人设立或者实际控制的机构（以下称外方单位）需要利用我国人类遗传资源开展科学研究活动的，应当遵守我国法律、行政法规和国家有关规定，并采取与我国科研机构、高等学校、医疗机构、企业（以下称中方单位）合作的方式进行。

（3）出境的特别审批

人类遗传资源出境，涉及两方面的管理措施，一是人类遗传资源材料出境，二是人类遗传资源信息出境。

对于人类遗传资源材料，我国《遗传资源管理条例》并未禁止出境，但是设置了必要条件。即，利用我国人类遗传资源开展国际合作科学研究，或者因其他特殊情况确需将我国人类遗传资源材料运送、邮寄、携带出境的，应当对我国公众健康、国家安全和社会公共利益没有危害，且采集合法或来自合法的保藏单位，并且出境用途合理，并取得国务院科学技术行政部门出具的人类遗传资源材料出境证明。与此对应，需要将人类遗传资源材料运送、邮寄、携带出境的，也同样需要国务院科学技术行政部门审批。

（4）视同出境的管理规则

除了出境的情况外，将人类遗传资源提供给外国组织、个人在中国境内设立或控制的机构，也需要进行安全审查。

即，如果将人类遗传资源信息向外国组织、个人及其设立或者实际控制的机构提供或者开放使用，可能影响我国公众健康、国家安全和社会公共利益的，应当通过国务院科学技术行政部门组织的安全审查。同时，应当向国务院科学技术行政部门备案并提交信息备份。

1、隐私的定义

按照我国《民法典》的定义，隐私是自然人的私人生活安宁和不愿为他人知晓的私密空间、私密活动、私密信息。隐私权在民法典中，与个人信息共同组成人格权篇中的“隐私权与个人信息保护”一章。在很多场景下，隐私与个人信息具有很强的相关性，但隐私并不同于个人信息。隐私包括私密活动、私密空间、私密信息。

其中，私密信息属于个人信息范畴，属于个人信息中私密属性较强的一类。对于私密信息的保护，可以直接使用个人信息保护的规则。

2、隐私与个人信息的关系

而对于个人隐私中的私密空间、私密活动，则并不必然适用个人信息保护规则。根据与个人信息的关系，侵犯隐私通常有以下几种情形：

（1）侵犯隐私权，但并不侵犯个人信息

如：入他人住宅、窥视他人住宅、窥视他人私密活动、窥视他人身体私密部位等。此类侵犯公民个人信息的行为，导致公民的生活安宁状态受到破坏，私密空间和私密状态受到打扰，但是，并不构成对于个人信息的收集、存储、使用、加工、传输、提供、公开等信息处理行为（可参见吴卫明：《健康医疗taptap点点官方网站的法律与合规问题探析（上）》）。

（2）打扰他人生活的安宁，但并未处理私密信息

比如在精准营销过程中，通过电话、短信、电子邮箱等方式，发送营销信息，给公民造成骚扰和生活安宁状态的影响。此种情况，可能既构成对公民个人信息的不当利用，也会同时侵犯隐私权。

（3）侵犯隐私的同时，同时非法处理个人私密信息

比如偷拍他人住宅与宾馆房间等私密空间、偷拍他人身体、窥视他人身体私密部位、偷录私密信息等。

2、医疗场景下的隐私问题

医疗活动是一个可以密切和频繁涉及个人隐私的典型场景，患者在接受诊疗服务过程中，隐私权是一个无法回避的问题。常见的涉及隐私的情况主要包括：

（1）患者身体私密部位的检查或治疗

针对特定疾病的检查或治疗措施，有时会对隐私部位观察或检查，在对隐私部位采取诊疗措施、手术措施过程中，也会涉及到观察、记录。这一过程中，与诊疗有关的医疗人员之外的人员如果对患者私密部位、诊疗过程窥视或观察，将会构成对隐私的侵犯。

（2）健康状况问询和记录

健康状况的问询，主要发生在医生与患者的对话交流过程中，部分疾病涉及社会对于患者名誉的评价，如艾滋病、乙肝、性传播疾病等。因此，诊疗过程应属于患者的私密活动。如果他人听取了问询和诊断过程，则将会构成对隐私的侵犯。

（3）健康状况taptap点点官方网站和医疗应用taptap点点官方网站

这两类taptap点点官方网站包括患者自身的信息，如主诉、现病史、既往病史、体格检查（体征）、家族史等，以及医疗活动带来的新的信息，如门（急）诊病历、住院医嘱、检查检验报告、用药信息、病程记录、手术记录、出院小结等。此类taptap点点官方网站属于个人私密信息。

综上，对于医疗场景下的隐私问题，可以分为两大类，一类是诊疗过程中，对于他人私密活动和私密部位的窥视、听取；一类是对于私密信息的获取。

3、医疗教学中的隐私保护

在医疗机构的诊疗实践中，诊疗与医疗科研、医疗教学往往会紧密结合，特别是对于一些具有医疗教学功能的医疗机构而言，教学是其重要的职能。

然而，教学过程中，医学学员不可避免会接触到健康状况的问询、患者身体的检查、手术过程的观摩，以及对健康状况taptap点点官方网站和医疗应用taptap点点官方网站的阅读及分析。

在诊疗活动中，可以视为患者与医院之间就疾病诊疗、个人隐私及信息获取达成了合同，按照《民法典》及《网络安全法》的相关规定，诊疗机构可以在明确告知患者同意的情况下，处理与疾病诊疗相关的个人信息。按照必要性原则，医院可以为诊疗疾病获得必要信息，同时，出于保护个人隐私的需要，诊疗机构应严格控制个人隐私及信息在诊疗机构内部的知情范围（可参见吴卫明：《健康医疗taptap点点官方网站的法律与合规问题探析（上）》）。

而医疗教学过程，势必需要让部分必要诊疗人员之外的学员接触到诊疗过程，通过听取问询患者、观察患者的检查过程和手术过程、阅读相关资料，以达到对医学理论知识的实践认知，从容提升医疗教学的实际效果。从医学教学的目的来看，学员接触个人隐私及个人信息具有正当性，但这一过程同样需要遵守法律关于个人隐私和个人信息处理的基本原则，即，仍需取得患者的知情同意，除非相关信息做到脱敏。

基于上述原因，医学教学过程中的隐私保护，我们有三项建议：

（1）签署知情同意

如果在患者诊疗环节需要安排医学院学员或实习医生参与教学活动，应事先征得患者或其亲属的知情同意，并签署知情同意书。如果其中涉及身体私密部位，或者特定疾病的，还需以醒目的方式特别告知，并取得书面同意。

（2）签署保密协议

考虑到上述参与教学的学员并未取得执业医师资格且并未在相关专业诊疗机构就业，为了防止隐私信息或个人信息的不当扩散，需要就上述特定事项的保密签署专门的保密协议。

（3）采取脱敏或去标识化的措施

所谓脱敏，就是让相关个人信息无法识别到个人，且无法被复原。如针对某些类别疾病的书面教学过程中，如果仅需用到一定人群的特征分析，则建议对健康状况taptap点点官方网站和医疗应用taptap点点官方网站进行脱敏化处理，提取必要的疾病特征和诊疗措施即可。

所谓去标识化处理，即对于标识taptap点点官方网站做删除或钝化处理，如案例教学中，对于健康状况taptap点点官方网站和医疗应用taptap点点官方网站中的患者姓名、身份证号、电话、家庭地址、职业、工作单位以及其他可以标识身份的信息予以去标识化处理，但保留诊断结果、理化参数、处方、医嘱、诊疗记录等必要的颗粒度。

此外，在现场教学中，可以考虑由主治医生或护士在核实患者身份后，对病房、病床、手术资料上的患者身份信息做必要的遮挡处理，避免被学员接触。

从我国当前taptap点点官方网站安全立法来看，对于依法实施公共taptap点点官方网站开放，总体上是采取支持态度。除了《taptap点点官方网站安全法》做了相应规定外，一些地方立法中，也针对公共taptap点点官方网站开放进行了规制。

《taptap点点官方网站安全法》第四十一条规定，国家机关应当遵循公正、公平、便民的原则，按照规定及时、准确地公开政务taptap点点官方网站。依法不予公开的除外。并在第四十二条规定，国家制定政务taptap点点官方网站开放目录，构建统一规范、互联互通、安全可控的政务taptap点点官方网站开放平台，推动政务taptap点点官方网站开放利用。

而深圳经济特区作为我国较早出台地方性taptap点点官方网站法规的地区，在《深圳经济特区taptap点点官方网站条例》中，对于公共taptap点点官方网站开放的定义、原则、开放程度、实施机构等均做了明确的规定。

医疗健康taptap点点官方网站中的健康状况taptap点点官方网站、医疗应用taptap点点官方网站、医疗支付记录、卫生资源taptap点点官方网站、公共卫生taptap点点官方网站都有可能构成该领域的公共taptap点点官方网站。

其中卫生资源taptap点点官方网站、公共卫生taptap点点官方网站由于直接被卫生行政主管部门掌握，而当然成为公共taptap点点官方网站。而健康状况taptap点点官方网站、医疗应用taptap点点官方网站、医疗支付记录则直接被诊疗机构和金融支付机构掌握。但是，由于国家医保制度的施行，各地的医保中心、医疗行政主管部门无论从医保费用报销、拨付角度，还是从医院医保控费、医保反欺诈角度，都可能通过医院间接获取患者的健康状况taptap点点官方网站、医疗应用taptap点点官方网站、医疗支付记录，从而使这些taptap点点官方网站进入到公共taptap点点官方网站领域（可参见吴卫明：《健康医疗taptap点点官方网站的法律与合规问题探析（上）》）。

与一般的公共taptap点点官方网站不同的是，健康状况taptap点点官方网站、医疗应用taptap点点官方网站属于个人的敏感信息，因而，平衡个人隐私与公共taptap点点官方网站开放之间，需要考量的价值判断，比一般领域的数更为复杂。此外，公共卫生taptap点点官方网站中的部分taptap点点官方网站，也可能会构成重要taptap点点官方网站甚至是国家核心taptap点点官方网站，如何平衡其开放与安全之间的关系，也是需要予以关注的。

对于医疗健康领域的公共taptap点点官方网站开放利用问题，我们认为可以从以下几方面予以规范：

1、以分级分类为基础，确定taptap点点官方网站开放的范围

掌握或控制医疗健康领域公共taptap点点官方网站的机构，可对医疗健康taptap点点官方网站进行颗粒度更细的分类。将其中的个人信息、个人敏感信息、重要taptap点点官方网站、核心taptap点点官方网站等实施分类保护。对于脱敏后的个人信息，综合其对社会公共利益及国家安全的影响，判断是否应予开放。

2、合理划定国家机关之间的taptap点点官方网站开放范围

不同国家机关之间，所掌握的公共taptap点点官方网站范围也不同。而国家机关掌握公共taptap点点官方网站的权力来自于相应的法律或行政法规，这意味着不同机关之间的taptap点点官方网站开放也存在一定的边界。相关国家机关从其他国家机关获取公共taptap点点官方网站，应以履行行政执法职责的必要性为原则。这一原则，在健康医疗taptap点点官方网站的开放领域更需要得到遵守，从而可以更好地保护患者的隐私权。

总体而言，健康医疗taptap点点官方网站属于所有taptap点点官方网站中较为复杂的一种。其多主体融合、多场景交叉、创新应用丰富、监管环境严格等特点，决定了健康医疗taptap点点官方网站的治理与合规也会较为复杂。对于该行业的企业、医院和其他机构而言，应密切关注行业的立法及监管动向，建立自身良好的taptap点点官方网站安全与合规运营体系，从而更好的维护患者隐私和自身的taptap点点官方网站相关权益，降低自身法律风险。