如何保护个人健康医疗信息？_46页_15mb

报告摘要

OMAHA白皮书聚焦于个人健康医疗信息的保护，探讨了大数据、互联网、人工智能等技术对健康医疗数据应用带来的价值与挑战。白皮书强调，在大数据时代，个人健康医疗信息具有巨大的应用价值，但同时也面临前所未有的保护难题。因此，提出了一系列针对政府、医疗机构、商业机构和个人的保护建议。

健康医疗信息的应用价值：随着技术的发展，健康医疗信息成为推动医疗行业管理、公共卫生监测、医学研究和临床诊疗的重要资源，尤其在“健康医疗+互联网”背景下，其价值日益凸显。
健康医疗信息的保护挑战：由于数据的互联网化、信息量的激增、接触者增多以及数据身份还原技术的提升，健康医疗信息的保护面临前所未有的困难。
个人健康医疗信息的定义：个人健康医疗信息包括可识别个人身份的所有健康相关数据，涵盖院内与院外数据，如电子病历、可穿戴设备数据等。
国际保护经验：美国和欧盟均对个人健康医疗信息进行了立法保护，强调个人对信息的支配权、决定权和控制权，但两国在立法体制、覆盖主体、保护范围等方面存在差异。
保护建议：OMAHA呼吁各方共同努力，推动健康医疗数据的开放与共享，同时加强法律和制度建设，确保数据安全与个人权益。

数据利用价值：
- 政府：提升公共卫生监测与决策能力。
- 临床：辅助诊疗决策、提升医学研究质量。
- 个人：增强健康管理能力。
- 产业：促进精准医疗、药物研发和新商业模式的形成。
保护挑战：
- 互联网化：健康数据在互联网上流通，增加了泄露风险。
- 信息量增长：数据量迅速增加，数据来源多样化。
- 接触者复杂化：数据由多个主体接触和使用，增加了泄露的可能性。
- 数据身份还原技术增强：大数据技术使得即使经过脱敏，仍可能被重新识别。

个人信息定义：能够识别个人身份的计算机数据，包括敏感信息和一般信息。
隐私与个人信息的区别：
- 属性：隐私注重“私密性”，个人信息注重“识别性”。
- 权利内容：个人信息权强调支配和自主决定，隐私权更侧重于防御性。
- 违反：未经许可使用个人信息为侵权，非法披露隐私为侵权。
个人健康医疗信息的定义：所有能够识别个人身份的健康相关信息，包括院内和院外数据。

主要法律法规：
- HIPAA：2003年生效，确立了PHI的保护机制，包括隐私规则和安全规则。
- HITECH：2009年通过，强化了PHI的保护，并引入了“相关商业伙伴”（BA）概念。
- GINA：2008年生效，保护基因信息不受歧视。
关键概念：
- PHI（受保护的健康信息）：包含18项身份识别信息。
- BA（相关商业伙伴）：与CE（适用主体）签订合同，受HIPAA约束。
- 脱敏机制：分为专家决定原则和避风港原则。
- PHI交易：禁止未经患者授权的PHI交易和市场推广行为。
- 数据可携带权：允许患者将数据转移至其他机构。

主要法律法规：
- GDPR：2018年实施，取代1995年《指令》，强化个人数据保护。
- NIS指令：2016年通过，提升网络安全保护，适用于关键服务运营商和数字服务提供商。
- 隐私盾协议：2016年通过，替代无效的“安全港协议”，加强数据跨境流动的保护。
GDPR赋予的数据主体权利：
- 删除权（被遗忘权）：在特定情况下有权要求删除数据。
- 知情权：有权了解数据处理目的、方式及接收者。
- 访问权：有权获取、修改或删除个人数据。
- 反对权：有权拒绝数据处理，除非有合法理由。
- 数据可携带权：有权将数据转移至其他信息服务提供商。
NIS指令适用范围：
- 关键服务运营商（OES）：包括医疗设施、能源、交通、金融等。
- 数字服务提供商（DSP）：包括在线交易平台、云服务、搜索引擎等。
隐私盾协议：
- 强化数据主体权利，落实数据控制者的义务。
- 包括七项原则，如知情原则、选择原则等。
- 增强对数据跨境流动的监管。