摘要: 在互联网快速发展的大数据时代，智慧医疗产业蓬勃发展。个人医疗信息作为敏感个人信息的一种，具有极高的个人关联性和隐私性，在大数据时代更容易面临信息泄露的风险，会对患者人格尊严、人身权益及财产权益带来威胁。且面对知情同意原则的适用情况不够理想，信用监管体系的尚不完善，刑法的定量忽略了不同信息的敏感度，现行法律对于其保护面临着多重挑战。文章对现行的法律保护途径进行了梳理与反思，并提出《个人信息保护法》的立法思考，希望实现个人医疗信息数据助力医疗事业的发展与个人生活安宁不受侵犯的双赢。
Abstract:
In the era of big data with the rapid development of the Internet, the smart medical industry is booming. As a kind of sensitive personal information, personal medical information has high personal relevance and privacy. In the era of big data, it is more likely to face the risk of information disclosure, which will pose a threat to patients’ personal dignity, personal rights and property rights. In the face of the gradual failure of the principle of informed consent, the credit supervision system is not perfect, the quantitative criminal law ignores the sensitivity of different information, and the current law is facing multiple challenges to its protection. Therefore, this paper combs and reflects on the current legal protection methods, and proposes the legislative consideration of “Personal Information Protection Law”, hoping to realize the win-win situation that personal medical information data can help the development of medical career and personal life is safe and uninfringed.
1. 对敏感个人信息中医疗信息保护的必要性
(一) 概念界定
敏感个人信息是一种特殊个人信息，具有个人识别特征,包括生物识别、个人财产状况、金融账户、基因信息等与人格尊严及财产安全有着极强关联性的信息 [1] 。而医疗信息属于敏感个人信息范畴，我国《个人信息保护法》第28条对其有明确规定。具体内容是，医疗健康属于敏感个人信息，信息处理者只有在具有充分必要性，并在严格的保护措施下才能对其信息进行处理。个人医疗信息包括患者就诊时使用的姓名与年龄、诊断记录、患病及用药情况、家族遗传病史等电子存储的病历或电子就诊记录。
(二) 个人医疗信息的敏感性
医疗信息与患者个人的生命、健康信息高度关联，依附于人体生物特征，且涉及到患者的个人身体隐私信息或特殊疾病信息，其中包括基因信息等。有学者主张，将个人医疗信息根据信息敏感度及泄露后的危害结果进行进一步的分级，以方便法律对其进行保护的层级 [2] 。
将个人医疗信息分为一般信息及特殊信息两个部分：一般信息是指反映个人基本健康情况，常见疾病及治疗与诊断记录等；特殊信息则是指例如过敏史、重大疾病诊断记录或家族遗传病史、基因信息以及传染病史等。通过此分类在大数据背景下，一方面可以通过信息互通为互联网医院的发展提供最大程度的保障，另一方面也可以充分保护患者的人格尊严及人身权利。
按照此分类，个人医疗信息中的一般信息可以在法律的规定下用于大数据背景下的电子医疗，例如网络问诊APP或药店使用的问诊买药等健康APP可以通过合法手段获取患者的常见病史对其进行初步的预诊，减轻医院的就诊负担并通过互联网的发展更好的服务社会中的基础医疗措施 [3] 。特殊信息则属于应受到法律严格保护并充分尊重个人意愿的信息，其属于纯粹的个人信息，若被泄露或流通，则会对其本人的生活及工作甚至消费、投资等行为产生极大的不利影响。例如在抗击新冠疫情期间曾出现因患者的阳性感染记录，或因曾患乙肝具有携带病史的员工而被企业拒绝录用的情况；有些保险公司或用人单位通过获取个人的基因信息，而损害其合法权益的情况。我们认为，对于这种特殊信息的保护，即使患者在为了达到治疗目的时不得不向医疗机构提供这些信息，也不能认定为患者对其进行了公开的意思表示。在《中华人民共和国传染病防治法》中也明确指出，疾病预防控制机构、医疗机构不得泄露涉及个人隐私的有关信息、资料。这种个人医疗信息同样属于我国《民法典》第1043条中的个人信息中的私密信息，适用有关隐私权的规定。
2. 我国对个人医疗信息法律保护的现状及反思
(一) 以知情同意为中心原则的监管规则困境
在我国目前的《个人信息保护法》中，对个人信息的保护多采取知情同意原则，即信息的收集处理者要告知信息主体，信息采集的目的及用途，并取得信息主体的授权同意后，才能进行信息处理的原则 [4] 。知情同意本就起源于医疗领域，是指在手术前医生需要将详细的治疗方案及手术后果告知患者，并由患者本人做出意思表示。知情同意原则的前提是告知义务，而告知义务中的“充分知情”是本人做出真实意思表示的保证。在个人医疗信息的实践中，对于个人的医疗信息往往储存在第三方的数据处理机构中 [5] 。在大数据背景下智慧医疗迅速发展的过程中，患者个人信息通常仅在第一次被收集时，告知其使用途径。而在二次提取应用甚至传播的过程中，这些数据处理机构很难或者根本没有意识到需要与患者本人取得联系，获取其本人的同意。这种二次利用往往会忽略个人医疗信息保护的主体性，这也充分说明，在首次告知义务中，机构往往并没有充分的向患者说明信息的用途。虽然有时某一类型下的信息被放置在群体性患者进行数据研究时，是为了医疗信息共享或进行医疗探讨提供其研究价值，但当数条信息整合在一起时，由于个人医疗信息的高度关联性，会对患者的个人隐私泄露带来威胁 [6] 。
我国目前仅规定了知情同意原则的告知义务，但并没有在司法实践中给出具体的实施细则，这使得知情同意原则很容易变成某些行业的免责条款。患者在做出其个人信息知情同意的意思表示时，出于对医疗机构的信任和其患病时对医生的依赖心理，无法充分了解信息数据处理机构的授权风险。且在知情同意原则下，“同意”的意思表示必须由患者本人做出，与此同时，第三方数据处理机构通常会出具冗长繁杂的告知条款，对于信息收集者，患者本人处于一个相对弱势的地位，对于一些不具备基本法律知识和相关医疗信息的患者，或因患病意识不够清晰的患者来说，即使让他们仔细阅读往往也很难意识到其中隐含的风险。尤其是在面对复杂或不熟悉的情形时，患者会对具有引导性的条款进行服从，这使得知情同意原则中的“同意”大打折扣，很难达到法律规定时预期的目的 [7] 。
(二) 对于个人医疗信息的司法救济不够完善
目前我国对于个人基本信息泄露的不法行为，主要是从国家法益的角度对侵害个人信息的行为进行法律层面的谴责，却很难真正达到遏制或制止其违法行为的发生。
1) 民法的司法救济
在民法的司法救济方面，其法律救济依据主要有《民法典》第1043条对于隐私权的规定以及《公司法》第5条所规定的企业社会责任，以及《个人信息保护法》第5条和第6条对于处理个人信息的规定 [8] 。这些法律条文主要通过法律依据赋予信息主体通过民事诉讼向法院主张自己合法权益的权利，并获得相应的经济补偿，然而，在个人医疗信息泄露方面，由于信息与个人的高度关联，很可能侵犯患者的人格尊严及人格权益，在信息泄露后所造成的损失是不可逆的，很难通过金钱来进行衡量，诸如堕胎、传染病史等对名誉或工作产生重大影响的个人医疗信息，以及因为基因检测而引发的就业歧视，就很难通过经济补偿的角度来进行弥补 [9] 。此外，对于个人信息的权利在诉讼时存在着取证难、损害程度难以界定等问题，信息主体往往在庞大的数据处理机构面前属于弱势地位，很难有充足的时间与精力通过长时间的诉讼来维护自己的权益，且在民事诉讼后很难获得有效赔偿，这些原因会很大程度上促使权利人放弃通过司法途径来进行解决问题，同时也助长了企业更加肆意妄为使用数据的心理 [10] 。
2) 行政法的执法救济
在行政法层面的救济手段来说，一般是通过专项的执法活动对公司企业进行检查，并对发现的不法行为进行整改或惩罚，这种突击式的短期检查往往很难达到遏制企业不法行为的效果；其次行政手段对于不法行为的处罚较轻，例如《行政处罚法》中对于非法处理他人医疗信息的行为最多予以15日行政拘留的处罚措施，与其所非法处理医疗信息的社会危害性或获利的经济利益相匹配 [11] 。
3) 刑法的司法救济
在刑法层面，目前对于个人信息保护的手段主要是通过对上游非法获取与提供个人信息的行为，与下游通过滥用个人医疗信息而侵害具体法益的行为进行刑法处罚 [12] 。在2017年最高人民法院与最高人民检察院颁布的《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》(以下简称《解释》)中，对于个人信息的违法行为进行了详细的规定与定罪量刑建议，但对于医疗领域的敏感个人信息的医疗信息并未详尽说明，只是对侵犯公民个人信息的认定情节进行了数量上的明确。我们推测其本意可能是通过对个人信息进行不同层级的隐私保护，规定入刑的起点数量，但在实际的司法实践中，仅靠笼统的规定500条或5000条的数量来对医疗信息使用的不法行为进行刑罚处罚，并不能够很好的与罪责刑相适应原则相匹配。例如对于性病的个人信息的泄露，很容易引起患者在生活中的被歧视的风险，以及其正常进行社会生活的权利。且对于非法获取或提供个人医疗信息以获取经济利益的公司企业或个人来说，个人信息与主体的关联性与针对性越强，其提供的经济价值也就越广泛，根据《解释》仅靠侵权信息的数量来进行情节严重与刑罚的划分，这对于被害人来说是不公平的 [13] 。
3. 大数据背景下对医疗信息法律保护的完善与思考
(一) 立法层面的思考与完善
通过前文的梳理，可以发现目前我国对于个人信息保护的法条分散在《民法典》《公司法》《刑法》甚至是《传染病防治法》等各个部门法中，且每部法律对于其领域内的个人信息保护各有侧重，这种笼统的法律规定无法高效的对公民的个人信息安全提供保护。
随着互联网经济以及大数据算法的广泛应用，我国公民及企业的保密意识也不断提高，我国亟需一部具有针对性的法律对于个人信息进行全面保护，全国人大常委会在2020年度的立法工作计划中明确了对《个人信息保护法》的起草制定。从目前《个人信息保护法(草案)》的内容上来看，该部法律将有效的做到侵害个人信息的具体处理标准，其主要是加强了信息主体的救济途径与主张赔偿的权利，同时加大了对通过公民个人信息获得不法利益的刑罚处罚，并加强了侵害个人信息行为造成其他具体法益侵害行为结果这一情形与《刑法》的衔接1。同时，应当注意区分公民个人信息的敏感度，设置不同的入刑起点。一方面如若入刑起点的设置太低，会导致违法行为犯罪化，使得《个人信息保护法》的适用空间被压缩；另一方面。如果入刑起点的设置过高，则会导致敏感个人信息得不到充分的保护。
(二) 告知义务的个性化完善
我国目前对于知情同意原则中的告知义务，仅是概括的统一标准，并没有针对于医疗领域中个人信息使用的详细规定，使得知情同意原则仅停留于原则性规定。个人信息的类型种类繁多，既包括一般个人信息也包括敏感个人信息，其中还有例如个人医疗信息这种具有一定专业性以及敏感度极高的信息，这些种类的信息在个人信息保护方面有着不同的要求。
在医疗领域中，对于个人健康状况及常见的流行疾病的用药记录、治疗方案等，医疗机构及第三方的电子医疗信息存储的数据处理机构，应当有义务告知患者信息使用和公开的范围，以及未来可能会用于哪些用途，保证其以合法途径应用于医疗领域内。而对于诸如传染病史、性病史、家族遗传病史、基因信息等敏感度相对较高的医疗信息，除应遵循《中国传染病防治法》的相关要求规定予以使用，还应充分尊重信息主体即患者的个人意愿。在对数据进行收集时，医疗机构应向患者明确第三方数据储存机构的信用基础，并告知患者其信息将在何种范围内具体应用。值得特别注意的是，患者自愿的出于治疗目的向医疗机构出示相关个人信息及病情，并不等于承诺将其信息公开，这是一种有目的、有范围的同意许可。医疗机构也应该明确哪些科室的医生可以对患者的特殊敏感信息进行下载、传输、复制等，对于其权限和操作规范应当设立明确的标准，并签署相应的保密协议，以及制定严格的惩罚措施。
在第三方数据处理机构对于存储的个人医疗信息进行二次使用时，可以采取动态告知模式，即将其出于何种目的提取个人信息并用于何种用途生成记录，以动态的方式推送至患者本人，保证其充分知情，并明确患者本人在个人的敏感医疗信息在被使用时有随时撤回许可的权利 [14] 。即使是在突发公共安全卫生事件时，也应当注意在法律明确的授权范围内对患者的个人医疗信息进行收集及使用，不得在未经本人允许的情况下公开，或用于获取非医疗领域的经济利益 [15] 。
(三) 对于第三方信息处理机构的信用监管
法律在面对快速发展的科技时具有一定的滞后性，这是不可避免的。在这种情况下，可以充分发挥政府主导作用，利用市场经济主体以及区块链的技术，建立完善的企业信用监管制度。注重在大数据背景下，对第三方数据处理机构建立信用监管制度，即利用信用信息对公司主体的违法风险进行判断，并对其加以针对性的监管和风险防范。建立完善的信用监管制度，可以在大数据时代下对于企业信用监管的数据使用进行记录，对违法使用个人信息的行为进行警告和整改，情节严重的可以列入信用监管体系中的“失信黑名单”，并对其进行社会面的曝光；对于长期守信主体则可以加入“红名单”，以提高企业对于个人信息数据、隐私安全的保护意识，维护市场诚实守信的良好氛围，并促进大数据背景下的信息互通使得行业不断发展 [16] 。
在充分建立信用监管机制的情况下，患者在授权个人医疗信息时，即可以通过企业的信用评分等级，决定是否选择将个人信息授权给此机构。这种模式有效的改善了格式条款前患者作为信息主体的弱势地位，并增强了“同意”的有效性以及“告知”的充分性。同时，这种动态的监管及信用评分制度，弥补了行政抽查程序的漏洞，有利于其转化为事前防御，减少信息泄露的不利后果发生，充分保护信息主体的个人信息安全。
4. 小结
患者的个人医疗信息属于敏感个人信息范畴，在大数据背景下数据保护面临着多重挑战，应通过完善立法层面的《个人信息保护法》，规范医疗数据的使用，并将知情同意原则进行完善，引入健全的信用监管制度等。在个人医疗信息泄露事件发生时，设置完善的事前防御机制以及事后处罚制度，使得患者能在保证个人医疗信息隐私安全的前提下，充分享受互联网及大数据发展带来的时代医疗基础措施的便利，并能通过大数据背景下为医疗事业的发展贡献数据的力量。
NOTES
1参照《个人信息保护法(草案)》http://www.npc.gov.cn/flcaw/flca/ff80808175265dd401754405c03f154c/attachment.pdf。