1、GDPR解读及国内医疗数据安全管理借鉴CHIMA 2019GDPR基本情况欧盟通用数据保护条例（General Data Protection Regulation，简称GDPR）最初于2012年提出，于2015年12月通过欧盟理事会审议，并于2018年5月25日正式生效。GDPR作为统一的数据保护法，其前身是1995年的数据保护指令95/46/EC。为应对数字技术带来的各项挑战，全面提升了对个人数据的保护力度，GDPR对1995年的欧盟数据保护指令进行了大刀阔斧的改革，旨在将个人数据保护深度嵌入组织运营。GDPR共有99个条文，全文共263页。GDPR的保护对象是个人数据处理和流通过程中所涉

2、及到的自然人的基本权利与自由，并强化个人对其相关个人数据的自决权。同时，GDPR的立法者也希望通过欧盟统一立法，促进个人数据在欧盟境内（28个成员国）的自由流通，达到保护与促进的价值平衡。主旨和目标条例旨在实现在个人数据处理方面对个人的保护，以及保障个人数据的自由流动。在欧盟境内，个人数据的自由流动，不应因为个人数据保护方面的原因，而受到限制和禁止。CHIMA 2019GDPR以风险为基础保护框架Risk-based approach:the GDPR avoids a burdensome,one-size-fits-all obligation and instead tailors ob

3、ligations to the respective risks.CHIMA 2019GDPR中的基本概念个人数据：与已识别出（identified）或可被识别（identifiable）的自然人相关的任何信息；可被识别的自然人指，借助标识符，例如姓名、识别号码、位置数据、网上标识符，或借助与该个人生理、心理、基因、精神、经济、文化或社会身份特定相关的一个或多个因素，可被直接或间接识别出的个人。手机号码属于典型的personal identifiable information 单纯的PII几乎无商业价值，没有太多值得分析的价值，只是一个连接到个人的路径。Link Path乘车记录，如乘车的

4、路径、品牌、时间等属于personal information，或个人活动信息单条乘车记录或一个路径并不能够关联到个人，但多条信息可以将该信息所关联的个人从人群中独立出来，至于这个人是谁并不是最重要的。个人活动信息体现了更多的商业价值（如晚上经常打车就是加班族、打车档次高属于高级白领等）More business opportunityPIIPICHIMA 2019GDPR中的基本概念处理processing：任何对个人数据的操作，无论是否用自动化的方式，具体包括收集、记录、组织、结构化处理、存储、调整或变更、取回、咨询、使用、传输公开、散发或以其他方式提供、对齐或合并、限定、清除或销毁。数字

5、画像profiling：任何形式的自动化个人数据处理，以评估与自然人相关的个人方面的属性，特别是对自然人在工作、经济、健康、个人偏好、兴趣、可靠程度、行为、位置或行动方面的分析或预测。CHIMA 2019GDPR中的基本概念数据控制者controller：能决定个人数据处理的目的和方式的自然人或法人、公权力部门、机构或其他组织。数据处理者processor：代表数据控制者处理个人数据的自然人或法人、公权力部门、机构或其他组织。接收者：获得个人数据的自然人或法人、公权力部门、机构或其他组织，无论其是否为第三方。第三方：除数据主体、数据控制者、数据处理者之外的自然人或法人、公权力部门、机构或其他组

6、织。CHIMA 2019Article5-个人数据处理的原则个人数据处理必须遵守合法、公平、透明原则。（合法、公平、透明原则）仅仅处理目的所必需的足够（adequate）、相关的（relevant）的个人数据。避免处理额外的数据。（数据最小化原则）个人数据收集必须符合明确、明示、正当的目的，处理个人数据时应与这些目的相匹配；出于公共利益、科学或历史研究目的、统计目的而对个人数据做后续处理时，在满足第89条第一款的前提下，可不受“目的限制原则”的约束。（目的限制原则）123确保个人数据的准确，在有必要的情况下，确保数据时时更新；采取所有可能的、合理的措施，确保就目的来说不准确的个人数据，能够及时

7、清除或修正。（准确性原则）4CHIMA 2019Article5-个人数据处理的原则仅确保实现目的所必须的时间限度内，存储个人数据；存储个人数据可不受上述限制而超时处理，仅当的唯一目的是出于公共利益、科学或历史研究目的、统计目的，且满足第89条第一款的要求。（存储限制原则）数据控制者负有遵循上述原则的责任，同时负有向外界表明其已经遵守上述原则的责任。（课责原则）处理个人数据时应保障合适的安全水平，包括采取合适的技术或组织方面的措施避免数据遭受被授权或非法处理、意外丢失、销毁或受损。（完整性和保密原则）567CHIMA 2019Article6-数据处理的合法正当性事由 数据主体对出于单个或多个

8、特定目的而处理其个人数据表示同意；处理是为向身为合同当事人之数据主体履行合同所必须的，或在缔约前，应数据主体的要求所必须采取的步骤；因履行数据控制者承担的法律义务而必须处理个人数据的；为保护数据主体重大利益或其他自然人重大利益而必须处理个人数据的；为公共利益而执行任务，或数据控制者履行赋予的公共职能时，必须处理个人数据的；因数据处理者正当利益或第三方正当利益而必须处理个人数据的，但当数据主体的利益或基本权利和自由（特别当数据主体尚未成年时）高于上述正当利益时，不得使用该事由。CHIMA 2019Article7-同意的条件 对基于同意的数据处理，数据控制方应能够表明数据主体同意对其个人数据的处

9、理；如果数据控制方呈现给数据主体的声明中，除数据处理要求之外还包含其他事项，则对数据处理的要求应当与其他事项明确、明显地区别开，同时使用清晰、直白的语言，以可理解的、易于接触（accessible）的形式呈现。声明如包含与该规定不符的内容，则该部分无效。数据主体有权在任何事后撤回其同意。撤回同意不影响同意撤回前数据处理的合法性。在表达同意前，数据主体应被告知其有权随时撤回同意。撤回同意应与表达同意同样方便。当评价数据主体的同意是否系自由表达时，首要考虑应是，是否用户必须同意数据控制者对履行合同（包括提供服务）所必须的数据之外的数据处理要求。CHIMA 2019Article8、9-特殊类别个人

10、信息和儿童个人信息当未成年人未满16周岁时，处理其个人数据只有在获得其监护人的许可后，才为合法。对同意是否由其监护人给出，数据控制者应尽到合理验证义务，同时考虑到现有的技术。特殊类别（敏感）个人数据，是指揭示种族或民族出身，政治观点、宗教或哲学信仰以及工会成员的个人数据，以及唯一识别自然人为目的的基因数据、生物特征数据、自然人的健康、性生活或性取向数据，还包括刑事定罪和犯罪相关的个人资料等。合法性事由：（1）明确（explicit）同意；（2）在人事、社会保障领域履行义务；（3）保护数据主体重大利益；（4）涉及政治、哲学、宗教、工会等目的的有关规定；（5）数据主体明确公开的个人数据；（6）司法

11、程序需要处理的情况；（7）显著的公共利益；（8）出于预防疾病和职业疾病、评估雇员工作能力、医疗诊断、提供医疗和社会服务、医疗或社会服务体系运转的；（9）出于公共卫生领域中的公共利益；（10）出于公共利益、科学或历史研究目的、统计目的，在遵守89条第一款的条件下；对基因数据、生物识别数据、健康数据，成员国可以做额外的规定。CHIMA 2019透明化机制Article12&Article 13&14数据主体权利知情权12 数据控制者向数据主体提供信息时，应采取简洁、透明、可理解、易于寻获的形式，采用清楚、直白的语言。数据控制者应及时提供其采取的行动的有关信息，自收到请求起最迟不超过一个月。如延长时

12、间需要告知原因。从数据主体收集个人数据时应提供的信息 不是从数据主体直接收集个人数据时应提供的信息访问并获取个人数据Article 15数据主体有权从控制者处获得关于其个人数据是否被处理的确认回复，如确定个人数据正被处理，则数据主体有权获得相关信息访问权Right of Personal data subjectCHIMA 201913纠正错误个人数据Article 16纠正权数据主体有权要求数据控制者及时修正错误的个人数据信息。考虑到数据处理的目的，数据主体有权要求数据控制者补全不完整的个人数据信息。数据主体消除数据（被遗忘权）Article 17对收集或以其他方式处理个人数据所服务于的目的

13、来说不再是必需的；数据主体撤回其同意的；数据主体反对根据第21条第1款的处理；个人数据被非法处理；根据欧盟、成员国法律要求，需要删除个人数据的；出于对未成年人保护的；删除权限制数据处理的权利Article 18限制处理数据主体对数据的准确性提出异议；数据处理为非法，而数据主体反对清除其数据而是要求限制对数据的使用的；数据控制者出于特定目的不再需要数据主体的个人数据，但数据主体需要这些数据以建立、行使和保护自己的法律诉求的.CHIMA 201914数据主体携带数据Article 20可携带权1)存在以下情形的，数据主体有权从数据控制者获得关于其个人数据（仅限其向数据控制者提供的）的副本；副本应以

14、结构化、普遍使用、可机读的形式；数据主体有权要求数据控制者将其个人数据向其他数据控制者提供：a)数据处理是基于第6条第一款a）项或第9条第2款a）项，或基于第6条第一款b）项所指涉的合同【同意】b)数据处理以自动化的形式进行。2)如技术上可行的话，数据主体有权要求数据控制者将其个人数据直接传输给另一数据控制者。反对数据处理的权利Article211)基于其特定的情况，数据主体有权在任何时候反对基于第6条第一款e）或f）【公共利益和正当利益】项的个人数据处理，包括基于上述项的个人“数字画像”。数据控制者应停止处理，除非数据控制者能表明其有显著的正当事由，该正当事由大于数据主体的利益、权利、自由，

15、或大于法律诉求的建立、行使和保护。2)当数据处理是基于直接的市场营销目的，数据主体有权在任何时候反对因营销目的对其个人数据的处理，包括数字画像。反对权CHIMA 201915对个人有显著影响的、以自动化方式做出的决定，包括数字画像Article 221)当决定能对数据主体产生法律效果，或对其有显著影响时，数据主体有权不受仅仅根据自动化数据处理而作出的决定，包括数字画像。2)当有以下情形时，上述权利不适用：a)数据处理是数据主体和控制者签署、执行合同所必需的；b)欧盟、成员国法律许可、且明确了保护数据主体权利、自由、正当利益的措施的；c)基于数据主体明确的同意。3)对本条第二款a）【同意】和c）

16、【法定义务】,数据控制者应采用合适的措施，保护数据主体权利、自由、正当利益；措施至少包括数据主体有权要求控制者人工干预自动化处理，以及表达个人意见、对决定提出抗辩的权利。4)对第9条1）款列出的特别类别的个人数据，自动化决定不应根据上述数据而作出；例外情况是第9条第2款的(a)【同意】或(g)【公共利益】。影响自动化决定权利限制Article 23a)国家安全b)国防c)公共安全d)预防犯罪、刑事侦查和起诉、处罚执行e)其他公共利益的重要目标，特别是欧盟或成员国的重要经济、金融利益，包括财政、预算、税收、公共卫生、社保f)保护司法独立和庭审程序g)对受管制的行业，调查、起诉违背职业道德h)实现

17、上述目标时所需的监测、检查、规制i)保护数据主体，或其他人的权利和自由j)执行民事诉求CHIMA 2019控制者Article24 数据控制方的责任 考虑到数据处理的性质、范围、情境、目的，以及对自然人权利和自由的不同程度和大小的风险，数据控制者应采取合适的技术和组织方面的措施，以保证数据处理符合条例的规定。这些措施应经常评估和更新。措施应与数据处理的风险合乎比例，应包括在内部建立合适的数据保护政策。遵守第40条建立的行为准则，或遵守第42条经认证后的机制，这两点可被数据控制者用于证明其遵守了条例的要求。Article26 联合的数据控制方 当两个或多个数据控制者共同决定数据处理的目的和方式，

18、它们将被认定为联合数据控制者。他们应以透明的方式，决定各自遵守条例应承担的责任和义务，特别是在数据主体行使权利方面，以及在向数据主体提供信息方面的各自分工。上述分工应与合同的形式予以固定，合同中还应明确可供数据主体的联系的渠道和人员。上述分工应恰当地反映联合数据控制者各自与数据主体的关系及角色。联合数据控制者内部的关系应向数据主体公开。CHIMA 2019控制者和处理者-privacy by designArticle 25.通过设计实现数据保护和通过默认设置实现数据保护 考虑到最新发展、执行的成本、数据处理的性质、范围、情境、目的，以及对自然人权利和自由的不同程度和大小的风险，数据控制者应在

19、一开始决定数据处理方式时，及开始数据处理时，采用合适的技术和组织方面的措施，例如假名化；这些措施的目的在于有效地落实数据保护原则，例如数据最小化原则，及将必需的保护措施整合进数据处理流程中，以满足条例提出的要求，并保护数据主体的权利。数据控制者应采用合适的技术和组织方面的措施，以实现默认的情况下，仅仅处理为实现目的而最少必需的个人数据。此义务适用于收集到的个人数据，数据处理的范围，数据存储周期，以及数据被访问的程度。特别是，这些措施应保障在默认情况下，在个人没有作出同意时，个人数据不会被不限定的自然人访问。CHIMA 2019Article28-处理者的义务服务结束删除或返回数据签署有效力的合

20、同或基于法定义务未得到许可，不应再与另外的数据处理者合作协助数据控制者回应数据主体权利数据控制者仅应选择采取了合适的技术和组织方面措施的数据处理者，以确保数据处理符合条例的要求，保障数据主体的权利。CHIMA 20506控制者（包括联合控制者）、其代表、数据保护官的名字、联系方式处理的目的对数据主体类别、个人数据类别的描述不同类别数据删除的预期时间技术和组织方面措施的一般性描述数据接收者的类别，包括位于第三国的数据接收者或国际组织Article 30 记录数据处理活动CHIMA 2019Article32-34 个人信息处理安全一、数据控制者、处理者应采用合适的技术和管理

21、方面的措施，以保证以风险相称的安全水平。对个人数据进行假名化和加密处理 应具备能力保障处理系统和服务持续的保密性、完整性、可及性、韧性 应具备能力在物理或技术事故发生后，及时恢复个人数据的可访问性 应建立机制，经常性第测试、评估、评价技术和组织方面措施的有效性，以保证处理过程的安全度二、在数据安全事故发生之后，数据控制方应当及时向监督机构报告，在可行时，应当在72小时内报告，除非数据安全事故不太可能导致数据主体权益受损。如可能，应描述数据安全事故的性质，涉及的数据主体类别和大致人数，涉及的个人数据类别和大概数量 数据保护官的名字和联系方式，以及需更多信息的时可联系的人 描述数据安全事故可能带来

22、的后果 描述数据控制者已经采取的、或将要采取的处置数据安全事故的措施，包括降低其不利影响的措施三、当安全事件对个人权利和自由造成损害的可能性较高时，则数据控制方应当及时通知受影响的数据主体。应适用清晰、直白的语言描述数据安全事故。CHIMA 2019Article35 数据保护影响评估（DPIA）在考虑数据处理性质、范围、情境、目的后，数据控制者如认为数据处理，特别是采用新技术的处理，可能导致个人权益有较高的风险被侵害的，应在处理前，进行数据保护影响评估。在以下场景中，数据保护影响评估被特别要求：a)基于自动化数据处理，包括数字画像，对数据主体个人方面开展系统和广泛的评估，且评估对个人能产生法

23、律效力，或类似重大的影响；b)对特定类别的数据进行大规模处理，或处理与刑事犯罪和刑事起诉相关的个人数据的；c)公共领域大规模的系统性监控；CHIMA 2019Article37 数据保护官（DPO）在以下情形中，数据控制者和数据处理者应任命一名数据安全保护官 公权力机构处理数据的 数据控制者或处理者数据处理的主要活动，其范围、目的要求经常性、系统性、大范围地监测数据主体 数据控制者或处理者数据处理的主要活动，包括大规模处理特定类别的个人数据，或处理与刑事犯罪和起诉相关的数据包括不同企业的联合体可共同任命一名数据保护官CHIMA 201923232成员国、监管机构、数据保护委员会（the Boa

24、rd）、欧盟委员会应鼓励，为条例的落实而编撰数据保护行为准则，考虑到不同数据处理行业的特点及微、小、中型企业的特殊需求。成员国、监管机构、数据保护委员会（the Board）、欧盟委员会应鼓励，特别是在欧盟层面，建立数据保护认证制度，以及数据保护的认证标识。认证旨在表明数据控制者和处理者遵守了条例的规定。认证应关注微小中型企业的特殊需求。认证为自愿性质，认证机制应该公开透明。路径1路径2Article40-43 行为准则和认证行为准则认证CHIMA 20192424义务豁免适当保障充分性认定BCR在欧盟委员会判定第三国、第三国某个地区或行业、国际组织能够保障足够的保护水平后，个人数据可以传输至

25、该第三国或国际组织。此种情形的传输不需要获得特别的授权。Article 44-50第三国或国际组织传输个人数据公权力部门之间法律文件有约束力的公司准则欧盟委员会采用的标准数据保护条款监管机构采用的、经欧盟委员会许可的标准数据保护条款行为准则及承诺认证及承诺监管机构应批准有约束力的公司准则：具有法律效力，同时覆盖全面，包括所有涉及的集团、企业及其雇员明确赋予数据主体可执行的权利在数据主体充分认识到风险后，数据主体明示同意传输履行合同所必须；公共利益法律诉求的建立、行使和保护保护数据主体重大利益正当利益（已评估和采取了措施）CHIMA 2019总结一：价值平衡设计公平合理的个人信息保护制度和机制，

26、核心是在以下四项价值中寻求平衡：个人隐私权和信息自决权：包括在一定程度上控制个人信息的收集、使用、流转，以及控制基于数据作出的各项决定对个人的影响；发展利益：企业和产业充分利用个人信息，提供、改进、创新产品和服务的合理诉求；公共利益：政府部门利用个人信息完成公共管理，以及社会发展所必须的信息自由流动；国家利益：个人信息跨境流动对国家主权、国家安全、国家竞争力等方面造成的正面、负面影响。CHIMA 2019总结二：增强个人的信息自决权 随着移动互联网的普及和智能穿戴等物联网设备的应用，大数据和个人信息的收集日益密集和隐蔽；多重来源的个人信息进行合并、比对，能够形成完整的个人画像和实时追踪；大数据

27、技术能通过特定算法从既有信息中挖掘出新结论，不仅显著增加隐私（敏感信息）暴露的风险，还将大量用于影响个人权益的决策；在数据开发价值的驱使下，大数据和个人信息的流转、交易形成链条，信息处理主体多元，流转方式纷繁复杂，个人信息处理流程的透明度急剧降低；云计算的普及使得大数据和个人信息跨境流动成为常态。CHIMA 20192727CHIMA 2019数据安全管理办法（征求意见稿）第六条 网络运营者应当按照有关法律、行政法规的规定，参照国家网络安全标准，履行数据安全保护义务，建立数据安全管理责任和评价考核制度，制定数据安全计划，实施数据安全技术防护，开展数据安全风险评估，制定网络安全事件应急预案，及时

28、处置安全事件，组织数据安全教育、培训。第三十四条 国家鼓励网络运营者自愿通过数据安全管理认证和应用程序安全认证，鼓励搜索引擎、应用商店等明确标识并优先推荐通过认证的应用程序。国家网信部门会同国务院市场监督管理部门，指导国家网络安全审查与认证机构，组织数据安全管理认证和应用程序安全认证工作。CHIMA 20192929个人信息保护国家标准GB/Z 28828-2012 公共及商用服务信息系统个人信息保护指南GB/T 35273-2017个人信息安全规范（已发布）2017年立项个人信息去标识化指南（报批稿）2017年立项个人信息安全影响评估指南（PIA）(报批稿)0年立项数据

29、出境安全评估指南(征求意见稿)05CHIMA 201930目的明确原则具有合法、正当、必要、明确的个人信息处理目的。选择同意原则向个人信息主体明示个人信息处理目的、方式、范围、规则等，征求其授权同意。最少够用原则只处理满足用户授权同意的目的所需的最少信息类型和数量。公开透明原则以明确、易懂和合理的方式公开处理个人信息的范围、目的、规则等。确保安全原则采取足够的管理措施和技术手段，保护个人信息的保密性、完整性、可用性。主体参与原则向个人信息主体提供能够访问、更正、删除其个人信息，以及撤回同意、注销账户等方法。三四六二七五权责一致原则对其个人信息处理活动对个人信息主体合法权益造成的损害承担责任。一

30、个人信息安全基本原则CHIMA 20193131使用保存收集对外提供Collection of PI合法性要求和最小化要求授权同意和例外敏感信息明示同意隐私政策的内容和发布个人信息处理过程的安全要求Retention of PI保存时间最小化去标识化处理敏感信息传输和存储个人信息控制者停止运营Use of PI访问控制措施使用和展示限制访问、更正、删除、撤回同意、注销账户、获取副本等机制响应个人信息主体的请求和申诉管理External providing of PI委托处理要求共享、转让要求收购、兼并、重组要求公开披露要求共同的个人信息控制者要求跨境传输要求CHIMA 201932安全事件处置

31、建立安全事件应急处置和报告机制安全事件发生时应及时向个人信息主体告知明确责任部门与人员应任命个人信息保护负责人和个人信息保护工作机构应建立、维护和更新组织所持有的个人信息清单开展个人信息安全影响评估定期（至少每年一次）开展个人信息安全影响评估评估个人信息处理活动对个人信息主体合法权益的影响数据安全能力个人信息控制者应根据有关国家标准的要求，建立适当的数据安全能力，落实必要的管理和技术措施，防止个人信息的泄漏、损毁、丢失。人员管理与培训与从事个人信息处理岗位上的相关人员签署保密协议对个人信息处理岗位上的相关人员开展个人信息安全专业化培训和考核安全审计应对隐私政策和相关规程，以及安全措施的有效性进

32、行审计应及时处理审计过程中发现的个人信息违规使用、滥用等情况个人信息的安全管理要求Security Requirements CHIMA 2019概念、角色、模型、框架安全技术机制平台系统安全安全运维个人信息安全重要数据安全跨境数据安全安全要求类实施指南类检测评估类基础类服务安全能力交换共享安全安全应用政务大数据安全健康医疗大数据安全数据安全治理基础平台和技术数据安全服务安全应用v个人信息安全规范v大数据服务安全能力要求v公共及商用服务信息系统个人信息保护指南v个人信息去标识化指南v个人信息安全工程指南v数据交易服务安全要求v数据安全能力成熟度模型v数据出境安全评估指南v个人信息安全影响评估指

33、南 个人信息告知同意指南 大数据业务安全风险控制实施指南 数据安全分类分级实施指南其它领域大数据安全智慧城市安全人工智能安全v大数据安全管理指南v云计算服务安全能力要求 v桌面云安全技术要求v网站安全云防护平台技术要求 大数据基础软件安全技术要求 混合云安全技术要求v云计算服务安全指南v政府网站云计算服务安全指南v云计算服务运行监管框架 云服务数据安全指南 政务云网络安全服务接口指南v云计算安全参考架构v云计算服务安全能力评估方法 云计算服务运行监管指标及接口要求v智慧城市建设信息安全保障指南v智慧城市安全体系框架 智慧城市网络安全评价方法 区块链安全技术标准研究 区块链安全标准体系研究v健康

34、医疗信息安全指南v工业互联网平台安全要求及评估规范v政务信息共享 数据安全技术要求 人工智能安全标准研究 网络安全态势感知数据规范 重要数据业务运营安全规范 大数据安全参考框架 大数据服务安全可控评价指标 能源企业大数据应用安全防护指南 政务信息资源安全分级指南健康医疗数据安全指南CHIMA 2019标准是前提，安全是保障，服务是目的安全是发展的前提，发展是安全的保障安全为先、保护隐私CHIMA 2019网络安全法要求第四十二条 网络运营者不得泄露、篡改、毁损其收集的个人信息；未经被收集者同意，不得向他人提供个人信息。但是，经过处理无法识别特定个人且不能复原的除外。第十八条 国家鼓励开发网络数

35、据安全保护和利用技术，促进公共数据资源开放，推动技术创新和经济社会发展。CHIMA 2019赫尔辛基宣言1.世界医学会制订了赫尔辛基宣言，作为涉及人类受试者的医学研究的伦理原则，包括利用可鉴定身份的人体材料和数据所进行的研究。9.在医学研究中，医生有责任保护研究受试者的生命、健康、尊严、完整性、自我决定权、隐私，并为研究受试者的个人信息保密。保护研究受试者的责任必须始终由医生或其他健康保健专业人员承担，而绝不是由研究受试者承担，即使他们给予了同意。32.针对使用可识别身份的人体材料或数据进行的医学研究，例如针对生物样本库或类似储存库中的材料或数据进行的研究，医生必须征得材料或数据采集、储存和/

36、或再使用的知情同意。可能存在特殊情况使得获取这类研究同意不可能或不现实，在这种情形下，只有经过研究伦理委员会考量和批准后研究才可进行。第64届世界医学协会联合大会，福塔莱萨，巴西，2013年10月CHIMA 2019涉及人的生物医学研究伦理审查办法 在研究中尊重受试者的自主意愿，同时遵守有益、不伤害以及公正的原则。下列四种情况时需要再次获得知情同意书，（1）研究方案、范围、内容发生变化的；（2）利用过去用于诊断、治疗的有身份标识的样本进行研究的；（3）生物样本数据库中有身份标识的人体生物学样本或者相关临床病史资料，再次使用进行研究的；（4）研究过程中发生其他变化的。两种情形经伦理委员会审查批准

37、后，可以免除签署知情同意书：（1）利用可识别身份信息的人体材料或者数据进行研究，已无法找到该受试者，且研究项目不涉及个人隐私和商业利益的；（2）生物样本捐献者已经签署了知情同意书，同意所捐献样本及相关信息可用于所有医学研究的。2016年9月30日经国家卫生计生委委主任会议讨论通过，2016年12月1日起施行CHIMA 2019健康医疗数据特点生命健康强相关 安全保护程度要高高度敏感隐私保护力度要大专业性强使用披露方面差异公共福祉 并不完全“私”国家安全相关“不得将人口健康信息在境外的服务器中存储，不得托管、租赁在境外的服务器”个人公众国家SecuritySafetyPrivacyCHIMA 2

38、019个人信息安全原则的适配权责一致原则目的明确原则：探索性选择同意原则：专业性最少够用原则：难界定公开透明原则确保安全原则主体参与原则：不能随意删除健康医疗领域业务复杂有时治愈，常常帮助，总是安慰信息高度不对称CHIMA 2019健康医疗数据安全指南标准定位等级保护信息安全控制实践指南云安全个人信息安全规范、大数据服务安全能力要求、信息安全管理体系要求健康医疗数据安全指南重要数据管理数据出境评估涉密分级保护CHIMA 2019使用披露要求 医疗目的 vs 市场营销目的 不能识别个人身份的数据 能识别个人身份的数据 主体授权同意 广泛授权同意 授权例外 伦理委员会审批CHIMA 2019健康医

39、疗数据安全指南标准内容附录A 个人健康医疗数据范围附录B 卫生信息相关标准附录C 数据使用管理办法示例附录D 数据申请审批示例附录E 数据处理使用协议模板附录F 健康医疗数据安全检查表附录G 数据元去标识化示例5 安全目标 保密性、完整性、可用性 个人隐私、公众利益、国家安全 满足业务需求6 分类体系6.1 数据类别6.4 场景分类6.2 数据分级6.5 开放分类6.3 角色分类11.1 医生调阅数据安全11.2 患者查询数据安全概述11.3 临床研究数据安全涉及的相关方11.4 二次利用数据安全11.7 商保对接数据安全涉及的数据11.5 健康传感数据安全11.8 医疗器械数据安全重点安全措施11.6 移动应用数据安全补充参考安全目标分类体系典型场景数据安全7 使用披露要求8 安全措施要点9 安全管理指南10 安全技术指南安全指南CHIMA 2019CHIMA 2019谢谢！敬请各位领导和专家批评指正！CHIMA 2019