7月11日，世界生命科学大会暨健康医疗大数据创新论坛在北京成功举行。会上，世界中医药学会联合会知识产权保护工作委员会副秘书长、北京观韬中茂律师事务所数字法律与网络合规委员会秘书长杨旭律师从法律规范的角度分析了当前电子病历和患者个人隐私保护的现状，总结了目前电子病历系统建设中存在的问题，并给出了一系列合规建议。

以下文字根据杨旭演讲内容整理：

《电子病历应用管理规范（试行）》中明确：电子病历是指医务人员在医疗活动过程中，使用信息系统生成的文字、符号、图表、图形、数字、影像等数字化信息，并能实现存储、管理、传输和重现的医疗记录。电子病历是信息技术和网络技术在医疗领域的必然产物，是医院病历现代化管理的必然趋势。

杨旭介绍，医疗卫生信息与管理系统协会（HIMSS）将电子病历的功能特征概括为八个方面：

1.当医疗需要时，随时随地提供安全、可靠、实时地访问病人健康记录的能力；

2.采集和管理就诊和长期的健康记录信息；

3.起到医疗服务过程中医生的主要信息源作用；

4.辅助为病人或病人组制订诊疗计划和提供循证医疗；

5.采集用于持续质量改进、利用率调查、风险管理、资源计划和业绩管理的数据；

6.采集用于病案和医疗支付的病人健康相关信息；

7.提供纵向、适当过滤的信息以支持医疗研究、公共卫生报告和流行病学活动；

8.支持临床试验和循证研究。

电子病历包括了临床诊疗信息的全要素记录，高度融合了患者在就诊过程中所有的检查、检验等有价值的临床诊疗信息。其中的隐私内容可以概括为两个方面：

一是患者的个人信息。包括姓名、性别、年龄等基本身份信息，父母、配偶、子女等家庭生活与社会关系的信息，教育程度、职业、政治面貌等社会政治信息，家族史、病史、过敏史等基本健康信息，新农合、商业保险、公费等参保信息。

二是医护人员记录的诊疗信息。包括入院记录、病程记录、手术记录、出院记录、医嘱记录、耗材记录、生命征象记录、会诊记录、相关的检查资料与报告、医生对患者的诊断结果以及治疗的方案、知情告知书等方面的资料。

电子病历涉及大量患者的个人信息，保护患者的隐私权尤为重要。

当前电子病历和患者个人隐私保护的现状呈现出以下几个问题：

第一，法律规定不明晰。电子病历的隐私保护建设最为关键的是要建立适用于本国的隐私权法，明确个人对病历档案的控制权和知情权，并对相关的条文作出具体详细的说明，使法律的实施具有可操作性。

第二，标准缺失，无操作性，亟需确立电子病历个人隐私保护标准规范。

第三，从业人员亟需培训。医护人员是电子病历档案的首批接触者，良好的执业素养是做好电子病历档案隐私保护工作的首要条件。

第四，技术措施不完善。医疗机构可以对患者的信息进行加密储存，这样即便数据被不法分子截获或下载了，他们得到的信息也无法正常打开阅读，毫无利用价值。

第五，不能互联互通。在电子病历共享平台完善后，电子病历中不只是门急诊信息和出院患者信息，还会加入住院患者病历的信息，甚至放射影像信息等，单纯以是否为接诊医生加以区分，不利于患者个人信息的保护。另一方面，电子病历互联互通建设处于初级阶段，医护人员缺乏对患者信息保护的关注度，个人识别账号存在交叉互用的现象，也会给电子病历中的个人信息安全带来隐患。

目前国内电子病历系统的建设主要存在两大问题：

一是医疗数据共享问题，在医疗大数据共享系统下，患者每次就诊便自动将个人所有疾病信息共享给主治医生，甚至是特殊敏感的疾病信息，如性病、艾滋病等。那么是否有必要如此共享？患者是否有权决定共享的范围？某些医院在给第三方机构调取患者数据时，并没有对患者个人的敏感信息进行脱敏处理，这就违反了《网络安全法》、《数据安全法》等相关法律。

二是有关数据处理问题，医院是患者个人信息处理的主要机构。当前，医院尚未形成体系性的个人信息保护的管理制度，个人隐私保护措施主要体现在各个具体的信息系统管理制度中。患者电子病例数据的保存、利用、共享、删除、保密机制是否完善，这是一个全生命周期数据合规体系的搭建问题。是否对数据安全、数据出境进行评估，以及患者的个人信息安全如何影响评估机制，医院是否对防火墙机制进行了评估等，从这些角度来看，目前仍有所缺乏。

国内亟需依法对患者隐私信息进行严格管控保护，设立脱敏、去标识化的具体标准和规定，这样才能在促进健康医疗大数据应用发展过程中保护个人隐私和维护信息安全。

针对电子病历与患者个人隐私保护之间涌现的问题，杨旭给出了一系列合规建议。

首先，医院或医生在使用数据系统里的电子病历信息时，自己应当注意不要泄露患者的个人信息。

对于不同的健康医疗机构而言，其所遵循的合规义务可能因其主体身份、业务或所收集数据的类型而异。在我国目前的监管框架下，健康医疗行业所处理数据不仅涉及到《个人信息保护法》中的个人信息和敏感信息，还可能涉及与健康医疗有关的其他数据类型，在处理这些数据时应当在遵循《个人信息保护法》的同时参照原有要求对健康医疗数据进行全生命周期的合规处理，可能涉及对健康数据的收集、存储、加工、使用和传输等环节。

其次，对于医疗机构而言，质量控制是十分重要的，电子病历是质量安全控制的重要内容和环节。建立“事前预防，事中控制和事后评价”三位一体的数据合规管理体系，医疗机构需要在整个过程中的每一个环节都加强质量控制。

最重要的是，医院需要搭建的数据合规管理体系，进行医疗健康数据全生命周期的管理，才能避免信息泄露等安全问题。目前，数据合规管理体系已经有了国际化的认证，包括ISO37301:2021《合规管理体系 要求及使用指南》及《GB/T35770-2022 合规管理体系要求及使用指南》，这两个标准体系要求任何组织、任何机构都要搭建自己的合规管理体系，通过合规管理体系，医院就能规避信息安全方面的问题，保障好数据全生命周期的重点领域、重点环节，以保护患者的隐私安全。

未来，健康医疗大数据的会朝着互通、互享、共治、共享的方向发展，数据流通会更加顺畅，防止数据泄露也是很重要的议题。

因此，医院医生尤其注意对医疗健康数据的处理，建立全生命周期的数据合规管理体系，并进行认证，才能更好地规避信息安全的问题。