“互联网+”视域下美国健康医疗信息安全管理对我国的启示*

徐文轩，刘博言，张 雪

(哈尔滨医科大学人文社会科学学院，黑龙江 哈尔滨 150081，moonbear119@163.com)

在互联网科技产业及大数据技术迅猛发展的背景下，互联网企业利用手机、可穿戴设备和健康设备等通过互联网连接，可方便迅速地获取公众个人健康医疗信息。因此，现代化健康医疗信息安全管理并不仅限于对患者病例的安全保护，而应当是对能够识别、反映特定自然人生理或心理健康相关信息进行保护，包括个人身份信息，诊疗标识号码，检查、检验结果，可穿戴设备信息，接受的健康医疗服务信息，提供健康医疗服务者身份信息，个人支付或医保信息等[1]。有鉴于此，美国等发达国家和地区开始不断完善对于健康医疗信息安全的管理与保护。

1 我国“互联网+”视域下健康医疗信息安全管理的困境

1.1 健康医疗信息价值与法律保护不对等

据统计，美国每年由于健康医疗信息的丢失或被盗，会造成医疗保健行业每年高达70亿美元的损失[2]。在中国，媒体暗访发现，一万条个人信息售价约800～1000元，却可能创造出数十倍的利润价值[3]。据报道，福州多家三甲医院被黑客窃取了医院的“统方”(医生或部门一定时期内临床用药量信息统计)数据，被形成1325份药品销量报告，而后被高价盗卖[4]。然而更多地被盗窃健康信息并不仅限于获得医疗服务或药物，更涉及勒索、诈骗等恶性刑事案件。我国个人信息泄露之所以严重，是因为与发达国家相比，我国对健康医疗信息隐私保护政策法规的制定略显滞后，目前我国《中华人民共和国刑法》中虽然规定了侵害公众个人信息罪，但由于盗取健康医疗信息非法利润高、违法成本低，健康医疗信息价值与保护不对等的现状，让盗取者心存侥幸。

1.2 公民个人保护意识缺失与信息收集监管缺位

根据中国消费者协会关于APP个人信息泄露问题的调查，超八成受访者曾遭遇个人信息泄露问题，约86.5%的受访者曾收到推销电话或短信的骚扰，约75.0%的受访者接到诈骗电话[5]。一方面是由于公众个人信息保护意识薄弱，信息安全思维欠缺导致；另一方面是由于移动互联网应用程序毫无底线地收集和使用用户个人信息，并在隐私条款中制造法律漏洞所致。在公众健康观念逐渐提升和政府支持力度不断增强的时代背景下，一系列互联网健康管理平台，互联网健康咨询平台，甚至互联网医疗平台应运而生，手机和电脑成为记录健康状况、填写电子病历、进行远程互联网医疗最主要的设备。近年来，互联网软件行业发展势头迅猛，但与此同时，国内第三方应用市场缺乏监管，特别是Android应用开发、部署模式及权限管控相对粗放，导致隐私泄露、恶意软件等安全问题难以管控和遏制[6]，使得用户的个人信息在端口、传播途中、接口等处都有可能被收集，收集信息的除了有合法企业，还有非法组织，信息收集的无门槛导致了收集主体的随意性[7]。而大多数用户在安装健康医疗APP时并不会阅读隐私条款，盲目接受各种附加条件，甚至有部分人为了互联网平台给予的优惠，宁愿选择披露更多的个人信息。由于APP个人信息收集的监管不到位及公众不重视对个人健康医疗信息的保护，也是造成健康医疗信息泄露的重要原因。

1.3 医护人员信息安全意识不深刻

“互联网+”医疗服务的兴起，让健康医疗服务逐步向“患者·互联网·医院(医生)”[8]的数字化模式发展，与此同时，个别医务人员淡薄的信息安全意识也必然会导致患者健康信息泄露风险。研究表明，24.0%的数据丢失事件是由医院内部员工引起的，而绝大部分信息泄露的根本原因是医院内部员工行为不当[9]。据统计，1/5的医护人员仍在纸上写下电子病历系统等互联网软件的用户名和密码[10]，医护人员共用电子病历系统的现象也极为常见。在一项对湖北省某三甲医院的调研中，仅有27.6%的医护人员具有较强的健康医疗信息安全意识，大多数医护人员在使用新技术手段时对潜在的风险认识不足[11]。健康医疗信息数据的泄露将可能引发严重的医患冲突。

1.4 医疗机构对互联网接入风险防范不牢固

2019年7月，国家互联网应急中心发布《2018年中国互联网网络安全报告》，报告中指出，医疗卫生行业作为国家的基础保障性行业[12]，已逐渐成为互联网勒索软件攻击的重点目标之一。同年9月，Security affairs纰漏，漏洞分析和管理公司Greenbone Networks的专家发现，全球约有600个未受保护的服务器暴露于互联网中，这些服务器包含大量医疗影像。泄露医疗影像超过7.37亿个，涉及2000多万人，影响52个国家和地区的患者，其中也包括数十万条中国患者的医疗影像数据记录[13]。与国防、政府、金融等传统易受黑客攻击的领域相比，医疗领域作为国家基础保障性行业，其数据库建立较为落后，“互联网+”医疗服务系统仍缺乏统一的安全标准。而大多数健康医疗信息数据库不对存储数据进行加密，也是让黑客有可乘之机的重要原因之一，因此，目前我国健康医疗行业难以对用户数据实施比较有效的保护。

2 美国“互联网+”视域下健康医疗信息安全管理经验

2.1 提供健康医疗信息安全立法保障

美国作为隐私权及互联网健康医疗信息安全保护立法方面起步较早的国家，近年来相继颁布几十部互联网安全相关的联邦法律。但由于公众健康医疗信息的特殊性与复杂性，需要专门性法律保护互联网健康信息的安全，因此1996年颁布HIPAA法案，用以保障相关健康医疗信息网络交换中的标准性和安全性。经多次修改完善，HIPAA法案至今仍然是美国互联网健康医疗信息安全方面最重要的法案。虽然HIPAA法案是美国颁布的第一个系统性保障公众健康医疗信息安全的联邦法规，但该法案所规定的健康医疗信息保护仅为最低程度的安全保障[14]，远远不能应对健康医疗信息技术的广泛普及，因此美国先后在《HITECH》法案[15-16]、《美国联邦法规》[17]中，增加侵权的强制措施及赔偿的金额，以求更好地规范公众健康医疗信息管理，保证公众健康信息安全。近些年，互联网几乎全方位渗透到我们的个人和经济生活中，而健康类APP却严重侵犯使用者个人信息权。美国国会已提出了包括《停止销售和披露可穿戴设备、追踪器中消费者健康数据法案》[18]《信息透明与个人数据控制法案》[19]《保护个人健康数据法案》[20]等多项关于公民个人健康信息安全的综合性立法建议，以构建健康信息传输、出售、共享的监管框架。据统计仅2019年，美国至少有31个州颁布或通过了80多项与网络安全相关的法案[21]。而伴随美国商业化征信巨头Equifax公司的大规模数据泄露事件，美国各州立法者试图进一步加强对消费者个人信息安全的保护。至亚拉巴马州《数据泄露通知法》(SB318)的通过，美国51个州颁布相继法律，要求企业、医疗机构在发现数据泄露的48小时至60日内将所泄露信息的内容通知到主管部门及公众本人[22-23]，用于迅速应对信息泄露所带来的风险。目前，美国互联网健康医疗信息安全已形成了一整套较为完善的法律法规体系，为互联网健康医疗信息安全管理的改革奠定了坚实的基础。

2.2 推进健康医疗信息安全行业监管政策指导

美国的互联网健康医疗信息安全管理是一项系统工程，虽然内容复杂，但条理十分清晰。美国政府在不断完善立法的同时推进行业监管政策指南的制定，用以促进信息安全管理的实施。美国卫生与公共服务部(HHS)修订《个人健康信息隐私保护标准和实施指南》《安全规则指南》，为保护受保护的互联网健康医疗信息的机密性、完整性和可用性制定国家标准[24]。2015年美国公民权利办公室(OCR)发布《关于根据健康保险携带性和责任法案(HIPAA)隐私规则取消识别受保护健康信息方法的指南》，规定取消个人受保护健康信息识别标志以保护公众健康医疗信息安全[25]。2016年美国联邦贸易委员会(FTC)发布《FTC针对移动健康应用程序开发人员的最佳实践指南》，规定应用程序仅能获取必要的最小化数据、限制权限，采取多手段保护消费者个人健康医疗信息[26]。美国食品药物管理局器械与放射卫生中心于2018年发布《医疗器械网络安全管理上市前提交内容指南草案》，旨在通过健康医疗信息安全管理规避网络安全事件中攻击造成的延迟诊疗，避免导致患者受伤[27]。由此，美国从医药、信息等方面多角度对公众健康信息安全进行监督。作为当今世界保护公众健康医疗信息管理比较完善的国家，美国行业监管政策指南与美国政府的立法统筹兼顾，为政府对患者隐私权的保护提供了具有强有力的可操作性依据。通过政策指南的指引，互联网健康信息安全法律规则才能真正得以实施。

2.3 注重健康医疗信息安全意识培养

隐私权保护意识起源于美国，1787年美国便将隐私权保护写入宪法中。1890年“隐私权”在美国正式成为明确的法律概念[14]。隐私权保护在美国深入人心，作为专业化程度较高的健康医疗行业，其信息安全至关重要。为了防止因健康医疗信息泄露而造成的医患矛盾，HIPAA要求医疗服务提供者应当根据其医院员工有关患者隐私知识储备、安全策略及程序知识情况制定每年不少于一次的健康医疗信息安全培训计划[28]。2019年，由美国国家卫生信息技术协调员办公室(ONC)、卫生部和人类服务部(HHS)、民权办公室(OCR)等机构组织联合发布《健康医疗供应商IT技术隐私和安全培训资源》，通过试听和游戏相结合的模式，为健康医疗供应商、医护人员提供隐私和安全教育培训[29]。经过实验，游戏化培训体系可以锻炼员工对隐私侵入、网络钓鱼行为的敏感度反应，使员工更愿意参与健康医疗信息安全培训[30]。此外，美国医学行业协会也致力于医生职业道德及信息安全意识的培养，《美国医疗协会规章守则》《美国医院协会病人原理条例》[31]中都明确规定医生负有保障患者健康医疗信息安全的义务。

2.4 强化健康医疗信息安全技术研发

近几十年来，美国著名的科研机构与互联网安全企业强强联手，在互联网通信、大数据、云计算及虚拟现实等多个核心领域处于主导地位。美国政府大力推动互联网核心技术发展，鼓励自主研发与应用研发，特别鼓励互联网健康医疗信息安全技术开发，运用云储存、云共享等多元手段，使得美国在健康医疗安全管理方面取得了重大成就。在各种政策法规的指引下，互联网健康医疗信息安全新企业、新技术蓬勃发展，逐渐成为美国健康信息安全产业有力的保障力量。在互联网安全人才队伍建设方面，美国标准技术研究院推出了《国家网络安全教育计划》和《网络空间安全人才队伍框架(草案)》，加快互联网健康医疗信息安全人才培养，各医院也开始配备专业人才管理健康医疗信息。

3 完善我国“互联网+”视域下健康医疗信息安全管理的对策

健康医疗信息安全管理的构建与运行需要有完备的互联网监管体系支撑。虽然近年来我国信息产业发展迅猛，建立起世界第二大立体通信网，但与发达国家相比我国健康医疗信息安全管理能力仍然薄弱。在现今形势下,将我国的发展实际与美国信息安全管理经验相结合，将对我国健康医疗信息安全管理整治工作起到推动作用。

3.1 完善健康医疗信息安全立法保障

一直以来，《中华人民共和国侵权责任法》《刑法》等法律中，将公众个人信息安全纳入公民隐私权范围内进行调整。直至2017年实施的《中华人民共和国网络安全法》才将隐私权与公众个人信息安全分开。目前，《中华人民共和国基本医疗卫生与健康促进法》《关于促进“互联网+医疗健康”发展的意见》《关于做好个人信息保护利用大数据支撑联防联控工作的通知》等相关法律文件中，虽然明确规定医疗机构必须保障患者健康医疗信息安全，但仍然未建立明确的处罚机制。目前我国法律法规中仅针对非法获取、出售公民个人信息作出了相应的规定，但针对国家机关和金融、电信、交通、教育、医疗等单位的工作人员收集、泄露个人健康医疗信息的犯罪成本依然很低，法律震慑力不足[21，32]。在泄露通知方面，我国虽然在《网络安全法》等相关法律中确立了“数据泄露通知制度”，但对于通知的时间、对象、程序及内容等实施规定尚不明确。鉴于个人健康信息的特殊性质与内在价值，我国仍然亟待完善健康医疗信息安全保障的专门性、常态性立法，除规范实体医疗机构和医护人员行为外，还要规范互联网健康平台上个人医疗健康信息的收集、使用和存储、共享及信息泄露通知等。同时，提高健康医疗安全及通知制度法律的效力，明确信息泄露处罚，为保障医疗健康隐私提供良好的法律环境基础。

3.2 健全健康医疗信息安全监管政策

与美国行业监管政策不同，我国行业监管政策指南虽不具有法律强制性，但其能够为政府进行公众健康医疗信息安全管理工作提供精准指导，为国家制定健康医疗信息保护立法提供决策依据。中国国家市场监督管理总局和国家标准化管理委员会于2020年3月6日发布新版《信息安全技术个人信息安全规范》国家标准，对个人信息收集、储存、使用作出了明确规定。作为行业监管的指导依据，该技术规范中仍然需要完善专门化的指导性实施细则并制定相关风险评判工具。在此基础上，我国应当构建覆盖全流程的数据泄露通知制度立法，以形成多方参与、及时处置的保障机制。借鉴美国HIPAA法案中安全规则指南部分内容，将健康医疗信息的收集、保存、使用、公开、再循环等各个阶段分别管控，特别是针对健康医疗信息收集进行严格限制，制定统一标准，采取选择加入模式代替现有选择退出模式，用以加强互联网健康医疗信息安全的管理。

3.3 培养医务人员及公众个人健康医疗信息安全保护意识

自2019年中央电视台“3·15晚会”将个人隐私信息数据泄露产业推入公众视线，我国公众个人信息隐私意识逐渐加强。近几年，公众对于个人健康医疗信息安全保护意识也在逐步提升。因此，为防止因患者隐私泄露而产生的医患纠纷，医护人员更须以尊重患者健康医疗信息隐私为前提，医疗机构内部应当定期开展信息系统应用安全理论和健康医疗信息安全常态化应急技能培训，并将其纳入医护人员继续教育课程中，教授医护人员使用和维护健康医疗信息的方法，以此提高医护人员信息安全防范意识；建立专门性互联网健康医疗信息安全与隐私保护培训网站。开发互动游戏，在培训之余通过游戏化手段使患者隐私和信息安全深入医护人员内心；邀请专业网络信息安全管理公司配合，提高医护人员的警惕性，使医护人员养成重视安全管理的良好习惯。在加强移动互联网应用程序个人信息收集使用监管的同时，开展公众健康医疗信息安全普及教育，特别应当普及软件安装阶段阅读互联网健康、医疗平台隐私条款、拒绝附加条款的重要性，加强对APP用户自身医疗健康隐私的保护与重视；并定期应用政府及医疗机构门户网站、微信、短信等多种形式向公众推送保障个人健康医疗信息安全的相关知识，促使公众形成个人信息安全保护意识。

3.4 优化健康医疗信息安全技术手段

目前中国医院网络安全攻守失衡，绝大部分医院仍然仅靠防火墙保障公众健康信息安全，对网闸、放入侵、防毒墙等设备的应用率小于50.0%[33]。因此建立高校防护免疫系统，提升健康医疗信息化行业安全水平成为各医疗机构的首要任务。建立个人健康医疗信息转码储存库，将已转码后的个人基本信息与健康医疗信息相关联，对个人基本信息进行隐匿，并对转码算法与转换内容进行加密保护。对个人身份识别信息、敏感信息或者患者个人隐私等信息采用数据脱敏技术进行脱敏，以防止非法访问篡改或者窃取医疗信息。针对健康医疗信息进行分级保护，制定科学的信息保护等级，针对不同等级信息采取不同防护措施。运用多种存储方式，采用电子病历与纸质病历并行模式，与专业信息存储软件运营商合作，做好病历的保存与加密工作。将医疗网络与互联网有机隔离，定期巡查，加强健康医疗信息保护，确保数据安全。