來源：網(wǎng)絡(luò)安全應(yīng)急技術(shù)國家工程研究中心 作者：深圳華大基因股份有限公司 肖棉文、許四虎、晉向前，國家互聯(lián)網(wǎng)應(yīng)急中心 張奕欣

政策背景

數(shù)據(jù)作為現(xiàn)代社會的核心發(fā)展要素，是科技進步的源頭。新冠疫情的爆發(fā)，使得以核酸檢測為代表的生命健康產(chǎn)業(yè)蓬勃發(fā)展，產(chǎn)業(yè)數(shù)據(jù)隨之快速增長。安全是發(fā)展的前提，發(fā)展是安全的保障，當今我國的健康醫(yī)療產(chǎn)業(yè)已進入蓬勃發(fā)展期，加強數(shù)據(jù)合規(guī)建設(shè)是數(shù)字時代確保產(chǎn)業(yè)持續(xù)發(fā)展的重中之重。

根據(jù)《個人信息保護法》《數(shù)據(jù)安全法》《網(wǎng)絡(luò)安全法》《數(shù)據(jù)出境安全評估辦法》（以下簡稱《評估辦法》）等法律法規(guī)規(guī)定，重要數(shù)據(jù)出境需經(jīng)國家網(wǎng)信部門批準，個人信息出境可通過安全評估、個人信息保護認證、簽訂國家網(wǎng)信部門制定的標準合同等3種路徑提供。特別是2022年9月1日《數(shù)據(jù)出境安全評估辦法》的正式實施，是穩(wěn)步推進《個人信息保護法》《數(shù)據(jù)安全法》《網(wǎng)絡(luò)安全法》等法律落地的有力舉措。

醫(yī)療數(shù)據(jù)的重要性與跨境流動的實際訴求

眾所周知，健康醫(yī)療數(shù)據(jù)的科研和應(yīng)用價值非常高，對生命健康影響重大。醫(yī)療數(shù)據(jù)具有廣泛的真實性，屬于隱私、敏感個人信息。在健康醫(yī)療數(shù)據(jù)量爆發(fā)增長和各種復雜場景出現(xiàn)的背景下，大規(guī)模的數(shù)據(jù)資源匯聚共享模式將不斷被開啟，比如匯聚我國百萬人以上的全基因組數(shù)據(jù)等。需要特別說明的是，這種大規(guī)模的數(shù)據(jù)匯聚活動已將個人敏感信息轉(zhuǎn)變成重要數(shù)據(jù)。因此，醫(yī)療健康數(shù)據(jù)不僅事關(guān)患者生命安全、個人信息權(quán)益，還關(guān)乎社會公共利益和國家安全。

數(shù)據(jù)價值的體現(xiàn)關(guān)鍵在于數(shù)據(jù)的使用，數(shù)據(jù)流動可以有效促進數(shù)據(jù)的使用，發(fā)揮數(shù)據(jù)效能。健康醫(yī)療數(shù)據(jù)的跨境流動有其合理的業(yè)務(wù)需求，既有科研的現(xiàn)實需求，又有業(yè)務(wù)全球化的商業(yè)合作需求等?？鐕目蒲泻献饔兄诳蒲幸曇暗拈_拓、知識的共享，有利于加強科研能力建設(shè)，提升科研水平。對于跨國企業(yè)來講，業(yè)務(wù)全球化有利于優(yōu)化資源配置，開拓發(fā)展空間，增強自主創(chuàng)新能力，引領(lǐng)全球產(chǎn)業(yè)發(fā)展。

從安全治理入手，科技向善造福人類

科技創(chuàng)新是當今社會發(fā)展的重要引擎，醫(yī)療健康從業(yè)者共同的愿景和目標是能夠?qū)崿F(xiàn)科技造福人類。在當今數(shù)字社會的背景下，科技創(chuàng)新的根源是數(shù)據(jù)，做好數(shù)據(jù)安全治理工作，有利于提高科技創(chuàng)新的能力。數(shù)據(jù)安全治理工作的原則是如何提高數(shù)據(jù)合規(guī)管理水平，確保數(shù)據(jù)安全有序流動，不斷推進數(shù)據(jù)安全治理與業(yè)務(wù)發(fā)展的融合，堅定科技創(chuàng)新的理念，最終實現(xiàn)造福人類的目標。

建立數(shù)據(jù)安全治理體系時，應(yīng)與管理組織架構(gòu)、制度建設(shè)及數(shù)據(jù)安全技術(shù)保障等方面緊密結(jié)合，綜合做好頂層設(shè)計：一是在管理組織架構(gòu)上，設(shè)立相關(guān)部門責權(quán)負責人，為落實監(jiān)管政策的基本要求和開展數(shù)據(jù)出境工作奠定良好的合規(guī)基礎(chǔ)。二是在制度建設(shè)上，數(shù)據(jù)處理者根據(jù)當前法律法規(guī)，并結(jié)合數(shù)據(jù)處理者在實際工作中各個數(shù)據(jù)處理環(huán)節(jié)的要求，制定符合自身行為規(guī)范和法律要求的規(guī)章制度。三是在數(shù)據(jù)安全技術(shù)保障上，圍繞數(shù)據(jù)全生命周期的安全防護要求，不斷提高安全技術(shù)保障措施，確保數(shù)據(jù)在傳輸過程中有與之相匹配的數(shù)據(jù)安全保障能力。

總之，構(gòu)建數(shù)據(jù)安全治理體系是促進管理制度的落地和技術(shù)措施的有效應(yīng)用，精準實施對數(shù)據(jù)差異化的管理和保護，在合規(guī)前提下，實現(xiàn)數(shù)據(jù)價值利用最大化。

做好健康醫(yī)療數(shù)據(jù)跨境合規(guī)的工作要點

1.清晰適用范圍，明確出境場景

《評估辦法》是數(shù)據(jù)處理者開展數(shù)據(jù)跨境活動應(yīng)遵循的規(guī)定，在出境數(shù)據(jù)涉及重要數(shù)據(jù)的情況下，安全評估是強制性要求；在出境數(shù)據(jù)僅涉及個人信息的情況下，達到一定要求才需進行安全評估。為防止未被明確的出境場景出現(xiàn)數(shù)據(jù)安全風險，《評估辦法》還提出國家網(wǎng)信部門規(guī)定的其他需要申報數(shù)據(jù)出境安全評估的情形，作為兜底條款。

根據(jù)《評估辦法》第二條規(guī)定的適用范圍，數(shù)據(jù)處理者向境外提供在我國境內(nèi)運營中收集和產(chǎn)生的重要數(shù)據(jù)和個人信息，包括兩種數(shù)據(jù)跨境行為：第一類場景是數(shù)據(jù)處理者將數(shù)據(jù)轉(zhuǎn)移至中國境外的地方，也即我們通常理解的數(shù)據(jù)跨越國界的傳輸、轉(zhuǎn)移行為；第二類場景是數(shù)據(jù)依舊存儲在境內(nèi)，數(shù)據(jù)處理者將境內(nèi)數(shù)據(jù)庫的訪問登錄信息或接口提供給境外主體，境外主體可以遠程訪問查看。

第一類場景存在容易被忽略的情況，如在境內(nèi)開展相關(guān)的商業(yè)合作項目時，將數(shù)據(jù)傳輸至境外的云環(huán)境，此時適用《評估辦法》的規(guī)定。鑒于健康醫(yī)療數(shù)據(jù)的重要性，數(shù)據(jù)處理者應(yīng)避免此情況發(fā)生，數(shù)據(jù)需上傳至云端時，應(yīng)首選將數(shù)據(jù)傳輸至境內(nèi)云環(huán)境。

第二類場景也存在容易被忽略的情況，如出于科研合作的目的，確需向境外開放基因數(shù)據(jù)庫平臺的訪問權(quán)限，基因數(shù)據(jù)庫存儲個人信息的規(guī)模達到了需要評估的情形，且數(shù)據(jù)庫中也可能包含重要數(shù)據(jù)，此時數(shù)據(jù)處理者除做好網(wǎng)站安全保障外，也需做好申報數(shù)據(jù)出境安全評估的相關(guān)準備。

2.優(yōu)先做好自評估工作

做好自評估工作，是《評估辦法》中數(shù)據(jù)處理者開展數(shù)據(jù)出境安全評估的第一步。根據(jù)《評估辦法》第五條的評估內(nèi)容，自評估工作可以歸納為三個方面：數(shù)據(jù)出境活動評估、數(shù)據(jù)安全保障能力評估、法律文件評估。

數(shù)據(jù)出境活動評估，即是對數(shù)據(jù)出境可能對國家安全、公共利益、個人或組織合法權(quán)益帶來的風險評估。評估時應(yīng)闡述數(shù)據(jù)處理者和境外接收方的基本情況、數(shù)據(jù)出境目的、范圍、方式等的合法性、正當性。必要性，出境數(shù)據(jù)的數(shù)量、范圍、種類、敏感程度等。

數(shù)據(jù)安全保障能力評估，是指境外接收方需和境內(nèi)數(shù)據(jù)處理者一樣具備一定的數(shù)據(jù)安全保障能力。數(shù)據(jù)跨境傳輸時，必然需要經(jīng)過數(shù)據(jù)接收方所在國家境內(nèi)，再到接收方。這意味著需要關(guān)注數(shù)據(jù)接收方所在國家及接收方兩方的數(shù)據(jù)保護水平。評估時應(yīng)關(guān)注接收方所在國家或地區(qū)在數(shù)據(jù)合規(guī)方面的法律法規(guī)健全度及對網(wǎng)絡(luò)安全的重視程度。數(shù)據(jù)接收方是否具備數(shù)據(jù)識別、防護、監(jiān)測、審計等保護能力。在應(yīng)對數(shù)據(jù)保護負面事件發(fā)生時，是否有相關(guān)經(jīng)驗和預案。在很多健康醫(yī)療數(shù)據(jù)安全事件發(fā)生時，往往可以看到由于缺乏預警機制或者重視程度不高，導致束手無策。

法律文件評估，是指與境外接收方擬訂立的數(shù)據(jù)出境相關(guān)合同或者其他具有法律效力的文件等，與境外接收方簽訂的合同應(yīng)至少包括《評估辦法》中第九條全部內(nèi)容，在數(shù)據(jù)安全保護責任義務(wù)方面，應(yīng)保障個人維護個人信息權(quán)益的渠道及承諾保證出境數(shù)據(jù)安全的責任義務(wù)。

數(shù)據(jù)的流動可能在數(shù)據(jù)采集、使用、共享、存儲等不同階段發(fā)生。數(shù)據(jù)處理者與合作方、監(jiān)管方、客戶等不同維度交流涉及的書面內(nèi)容，如涉及數(shù)據(jù)跨境，需闡述清晰，明確目的、范圍、方式等，包括但不限于開展檢查檢測時的知情同意書告知、互聯(lián)網(wǎng)業(yè)務(wù)的隱私政策告知、跨境機構(gòu)合作中的合作協(xié)議告知、跨國企業(yè)的員工協(xié)議告知等，均需履行“告知+同意”的要求。

總體上看，健康醫(yī)療數(shù)據(jù)傳輸關(guān)系業(yè)務(wù)流程的每個環(huán)節(jié)。如果涉及跨境安全評估的，在設(shè)計業(yè)務(wù)流程時應(yīng)提前開展安全自評估，避免由于跨境中的不合規(guī)事項影響到業(yè)務(wù)的正常運轉(zhuǎn)。

另外，根據(jù)《生物安全法》相關(guān)規(guī)定，將我國人類遺傳資源信息向境外組織、個人及其設(shè)立或者實際控制的機構(gòu)提供或者開放使用的，應(yīng)當向國務(wù)院科學技術(shù)主管部門事先報告并提交信息備份；可能影響我國公眾健康、國家安全和社會公共利益的，應(yīng)當通過國務(wù)院科學技術(shù)行政部門組織的安全審查。這與《評估辦法》不相沖突，兩者各自側(cè)重不同，均是協(xié)同推進國家安全總體治理的有力保障。

【責任編輯：秦勉】