和醫生談談臨床數據安全

原標題:和醫生談談臨床數據安全

數據安全？那不是你們信息科管的事么！關我們醫生什麼事？！經常我們會聽到這樣的質疑。大家傳統談到信息安全，網路安全，數據安全，本能的都會想到信息科。的確在這個問題上信息科確實承擔了主要的管理和運維工作。但在當前大數據時代，數據安全卻也是我們每個人必須關注和了解的。

臨床數據安全更是我們每個醫療行業從業人員應該去維護的。臨床數據因其所具有的巨大價值，已經成為大數據產業鏈上的一顆璀璨的鑽石，而針對醫療數據的網路犯罪，近年來正向利益化、產業化、集團化轉變，已經形成完整的利益鏈條和產業，給國家和個人安全帶來很大威脅。因此有必要和大家聊聊臨床數據安全的一些事。

與往昔不同的是，國家層面加強了網路安全建設，提出了網路邊界和互聯網主權的概念，強調在網路這個虛擬的環境下網路空間主權的概念。2017年6月1日實施的《網路安全法》、《最高人民法院、最高人民檢察院關於辦理侵犯公民個人信息刑事案件適用法律若干問題的解釋》以及2016年12月1日衛計委頒布的《涉及人的生物醫學研究倫理審查辦法》。都對數據安全提出了要求。

《網路安全法》是第一部全面規範網路空間安全管理方面問題的基礎性法律，是依法治網、化解網路風險的法律重器，是讓互聯網在法治軌道上健康運行的重要保障。《網路安全法》第3條明確規定，國家堅持網路安全與信息化並重，遵循積極利用、科學發展、依法管理、確保安全的方針；既要推進網路基礎設施建設，鼓勵網路技術創新和應用，又要建立健全網路安全保障體系，提高網路安全保護能力，做到「雙輪驅動、兩翼齊飛」。

《網安法》堅持共同治理原則，要求採取措施鼓勵全社會共同參與，政府部門、網路建設者、網路運營者、網路服務提供者、網路行業相關組織、高等院校、職業學校、社會公眾等都應根據各自的角色參與網路安全治理工作。簡單的說就是網路安全人人有責。

《網安法》確認了個人對其網路信息的刪除權和更正權。該法規定，個人發現網路運營者違反法律、行政法規的規定或者雙方的約定收集、使用其個人信息的，有權要求網路運營者刪除其個人信息；發現網路運營者收集、存儲的其個人信息有錯誤的，有權要求網路運營者予以更正。網路運營者應當採取措施予以刪除或者更正。為嚴打出售販賣個人信息行為，《網安法》第六十四條更是明確規定：對沒有保護好個人信息安全，非法出售的情況，責令改正、罰款，情節嚴重的暫停業務或關閉網站。

《涉及人的生物醫學研究倫理審查辦法》適用於各級各類醫療衛生機構開展涉及人的生物醫學研究倫理審查工作。辦法指出，在開展臨床研究時，需要關注七項內容：分別是知情同意；控制風險；免費和補償；保護隱私原則，未經授權不得將受試者個人信息向第三方透露；依法賠償；針對兒童、孕婦、智力低下、精神障礙患者的特殊保護原則；利益衝突；輿論風險。規定出現下列三種情況時需要再次獲得知情同意書，①研究內容反思變化；②利用過去用於診斷、治療的有身份識別的樣本進行研究的；③生物樣本庫中有身份識別的人體生物樣本或者相關臨床病史資料，再次使用進行研究的。當然辦法也對下列兩種情況允許免簽署知情同意書的：①無法再找到受試者，切不涉及個人隱私和商業利益的；②捐獻者簽署了知情同意書，同意樣本和信息用於所有醫學研究的。簡單說就是需要告知受試者，與其有關的生物數據的使用，並徵得同意。

最高法、最高檢關於「打擊辦理侵犯公民個人信息刑事案件的司法解釋」（下稱司法解釋）首次針對侵犯個人信息犯罪的定罪量刑明確標準。明確規定姓名、身份證件號碼、通訊聯繫方式、住址、賬號密碼、財產狀況、行蹤軌跡等，這些都屬於受法律保護的公民個人信息。根據司法解釋，公民個人信息是指以電子或者其他方式記錄的能夠單獨或者與其他信息結合識別特定自然人身份或者反映特定自然人活動情況的各種信息。且司法解釋就「情節嚴重」，明確了「違法所得5000元以上」等10項認定標準。同時根據不同類型公民個人信息的重要程度，設置了不同的數量標準。「情節特別嚴重」的數量和數額標準，是「情節嚴重」的10倍，即500條、5000條、5萬條。此外，造成被害人死亡、重傷、精神失常或者被綁架等嚴重後果以及造成重大經濟損失或者惡劣社會影響等，都屬於「情節特別嚴重」的範疇。

來自工信部的消息顯示，將建立網路數據安全管理體系，強化用戶個人信息保護，建立完善數據與個人信息泄露公告和報告機制。從創新防範攔截技術、突破網路安全核心關鍵技術等方面加強信息安全保護。

既然國家的法律法規已經有明確規定，而信息化和安全管理又是發展的一體兩翼，那麼我們如何在日常工作中去把握臨床數據安全呢。我認為至少需要關注一下幾項內容。

1.作為醫療機構的管理者首先應該明確安全架構和安全組織，制定數據安全的相關制度，並將網路安全建設經費納入醫療機構的日常經費預算，將臨床數據安全的理念納入醫院文化建設，使得員工能夠重視數據安全，做到人人知安全才能實現臨床數據安全。

2.醫務人員是臨床數據的採集者和使用人。因此也是保障臨床數據安全的重要一環。尤其是近年來，大數據項目宣傳的絢爛奪目，也確實可以讓臨床數據去支撐臨床科研、精準醫療等業務工作，需要注意的是：我們在與第三方機構合作時，需要明確幾個問題。

1）合作時，數據安全條款簽署沒有？其內容應該涉及第三方不得將相關數據用於商業用途，承諾保護患者隱私，數據不得存放在國外的雲伺服器中，機構自建的存儲設備或者機房應該滿足等保要求等等。

2）利用數據時脫敏工作做了沒有？在發表文章，學術交流時應做好數據脫敏處理。在設計臨床試驗時，應做好醫學倫理審查。

3）在臨床試驗時數據安全有沒有保障？尤其是在利用互聯網進行多中心臨床試驗時，應有措施有手段確保收集的數據不被泄漏，做好數據安全保護工作。

4）數據共享時有沒有利益交換？非法交易數據是犯罪行為，這點必須深入我們每個醫務人員的腦海。《刑法司法解釋》規定，非法販賣50條以上個人信息可入罪，並對於不同信息區別對待，如對於行蹤軌跡信息、通信內容、徵信信息、財產信息，非法獲取、出售或者提供50條以上即算「情節嚴重」；對於住宿信息、通信記錄、健康生理信息、交易信息等其他可能影響人身、財產安全的公民個人信息，標準則是500條以上；對於其他公民個人信息，標準為5000條以上。而量刑可達7年。因此數據交換時需要想想清楚。

5）知情同意書籤署沒有？其實所有的法律法規都是希望在合法合規下有效利用數據，而不是禁止數據的利用。因此醫療機構可以在挂號時、入院時等採集患者信息處明確告知患者，醫療數據將被利用於科研和管理之用，並承諾做好數據保護和數據脫敏利用。

3.大數據和基因診斷公司的隱憂，近年來隨著相關領域的火爆這兩類公司迅速崛起，很多公司都只關注業務，而忽視了安全。尤其互聯網模式一般都是以吸收用戶數據為價值的增長點，公司在聚集用戶大量數據的同時，其承擔的數據安全風險也成指數倍增長。如果不關注數據安全，不及時進行必要的投入，可能老闆還沒有享受到IPO，就會因數據保管不善而遭受牢獄之災，畢竟500條健康數據的案子就能入刑呀。公司內部員工監守自盜，將個人信息非法販賣給第三方的案例也是經常發生的，所以各位老闆別忽視了數據安全。

6月1日，兩高的司法解釋生效后的首例判決，在浙江省溫州市永嘉縣人民法院誕生。該案被告人樊某從2015年11月開始，利用QQ聊天軟體購買、交換和收集公民個人信息，並進行售賣。據樊某交待，到案發為止，他共售賣信息20萬條，涉及公民姓名、身份證號碼、車牌號、地址、職業等，獲利約2萬元。經公開審理，樊某以侵犯公民個人信息罪被判處有期徒刑3年4個月，並處罰金5萬元。

4.醫院管理者需要加強對醫院保潔外包等後勤服務人員的教育及管理。有調查發現這類人群是數據外泄的重要一環，大家可能都有這種體會，親人住院，很快就有相關的產品及服務推銷電話進行聯繫。曾經有機構進行過暗訪發現，科室的工勤人員利用工作之便，能夠輕易獲取臨床數據。比如查看護士站白板，通過與家屬交流，聽到醫護人員討論病情等等途徑。再通過黑市進行交易，從而獲得利益上回報。隨著智能手機的普及，咔嚓一下，信息就能傳遞出去。而這些人法律觀念淡漠，生活較為拮据。根本沒有意識到販賣信息是犯罪。因此醫院管理部門有必要在簽訂勞務合同時，給予告知。並不斷利用相關案例教育大家。形成一種保護臨時數據安全的文化氛圍。

在大數據時代，每個人都不可避免地留下「數據腳印」，尤其是在醫療過程中產生的臨床數據。一旦將它們彙集整合，不但能產生巨大的價值，也會使得我們的人隱私無所遁形，因此在數據流轉的各個環節都應該去做好數據保護，才能發揮出臨床大數據的正能量。就算我們還沒有很好的技術手段去解決安全問題時，每個從業人也應心中都懷有對臨床數據的敬畏和對生命的尊重。