GDPR解读及国内医疗数据安全管理

1、GDPR解读及国内医疗数据安全管理技术创新，变革未来GDPR基本情况欧盟通用数据保护条例（General Data ProtectionRegulation，简称GDPR）最初于2012年提出，于2015 年12月通过欧盟理事会审议，并于2018年5月25日正式 生效。GDPR作为统一的数据保护法，其前身是1995年的数据保护指令95/46/EC。为应对数字技术带来的各 项挑战，全面提升了对个人数据的保护力度，GDPR对 1995年的欧盟数据保护指令进行了大刀阔斧的改革， 旨在将个人数据保护深度嵌入组织运营。GDPR共有99个条文，全文共263页。GDPR的保护 对象是个人数据处理和流通过程中

2、所涉及到的自然人的 基本权利与自由，并强化个人对其相关个人数据的自决 权。同时，GDPR的立法者也希望通过欧盟统一立法， 促进个人数据在欧盟境内（28个成员国）的自由流通， 达到保护与促进的价值平衡。主旨和目标条例旨在实现在 个人数据处理方面对个人 的保护，以及保障个人数 据的自由流动。在欧盟境内，个人数 据的自由流动，不应因为 个人数据保护方面的原因， 而受到限制和禁止。GDPR以风险为基础保护框架Risk-based approach: the GDPR avoids a burdensome, one-size-fits-all obligation and instead tailor

3、s obligations to the respective risks.手机号码属于典型的 personal identifiable information单纯的PII几乎无商业价 值，没有太多值得分析 的价值，只是一个连接 到个人的路径。Link PathGDPR中的基本概念个人数据：与已识别出（identified）或可被识别（identifiable）的自然人相关的任何信息；可被识别的自然人指， 借助标识符，例如姓名、识别号码、位置数据、网上标识符，或借助与该个人生理、心理、基因、精神、经济、文化或社 会身份特定相关的一个或多个因素，可被直接或间接识别出的个人。乘车记录，如乘车的路

4、径、品牌、时间等属于personalinformation，或个人活动信息单条乘车记录或一个路径并不能 够关联到个人，但多条信息可以 将该信息所关联的个人从人群中 独立出来，至于这个人是谁并不 是最重要的。个人活动信息体现了更多的商业 价值（如晚上经常打车就是加班 族、打车档次高属于高级白领等）More business opportunityPIIPIGDPR中的基本概念处理processing：任何对个人数据的操作， 无论是否用自动化的方式，具体包括收集、 记录、组织、结构化处理、存储、调整或变 更、取回、咨询、使用、传输公开、散发或 以其他方式提供、对齐或合并、限定、清除 或销毁。数字画

5、像profiling：任何形式的自动化个人 数据处理，以评估与自然人相关的个人方面 的属性，特别是对自然人在工作、经济、健 康、个人偏好、兴趣、可靠程度、行为、位 置或行动方面的分析或预测。GDPR中的基本概念数据控制者controller：能决定个人数据处理 的目的和方式的自然人或法人、公权力部门、 机构或其他组织。数据处理者processor：代表数据控制者处理个人数据的自然人或法人、公权力部门、机构或其他组织。接收者：获得个人数据的自然人或法人、公 权力部门、机构或其他组织，无论其是否为 第三方。第三方：除数据主体、数据控制者、数据处 理者之外的自然人或法人、公权力部门、机 构或其他组织

6、。Article5-个人数据处理的原则个人数据处理必须遵守合法、公平、透明原则。（合法、公平、透明原则）仅仅处理目的所必需的足够（adequate）、相关的（relevant）的个人数据。 避免处理额外的数据。（数据最小化原则）个人数据收集必须符合明确、明示、正当的目的，处理个人数据时应与这些目的相 匹配；出于公共利益、科学或历史研究目的、统计目的而对个人数据做后续处理时， 在满足第89条第一款的前提下，可不受“目的限制原则”的约束。（目的限制原则）123确保个人数据的准确，在有必要的情况下，确保数据时时更新；采取所有可能的、合理的 措施，确保就目的来说不准确的个人数据，能够及时清除或修正。（

7、准确性原则）4Article5-个人数据处理的原则仅确保实现目的所必须的时间限度内，存储个人数据；存储个人数据可不受上述限制而超 时处理，仅当的唯一目的是出于公共利益、科学或历史研究目的、统计目的，且满足第89 条第一款的要求。（存储限制原则）数据控制者负有遵循上述原则的责任，同时负有向外界表明其已经遵守上述原则的责任。（课责原则）处理个人数据时应保障合适的安全水平，包括采取合适的技术或组织方面的措施避免数 据遭受被授权或非法处理、意外丢失、销毁或受损。（完整性和保密原则）567Article6-数据处理的合法正当性事由数据主体对出于单个或多个特定目的而处理其个人数据表示同意；处理是为向身为合

8、同当事人之数据主体履行合同所必须的，或在缔约前，应数据 主体的要求所必须采取的步骤；因履行数据控制者承担的法律义务而必须处理个人数据的；为保护数据主体重大利益或其他自然人重大利益而必须处理个人数据的；为公共利益而执行任务，或数据控制者履行赋予的公共职能时，必须处理个人数据的；因数据处理者正当利益或第三方正当利益而必须处理个人数据的，但当数据主体 的利益或基本权利和自由（特别当数据主体尚未成年时）高于上述正当利益时， 不得使用该事由。Article7-同意的条件对基于同意的数据处理，数据控制方应能够表明数据主体同意对其个人数据的处理；如果数据控制方呈现给数据主体的声明中，除数据处理要求之外还包含

9、其他事项， 则对数据处理的要求应当与其他事项明确、明显地区别开，同时使用清晰、直白的 语言，以可理解的、易于接触（accessible）的形式呈现。声明如包含与该规定不 符的内容，则该部分无效。数据主体有权在任何事后撤回其同意。撤回同意不影响同意撤回前数据处理的合法 性。在表达同意前，数据主体应被告知其有权随时撤回同意。撤回同意应与表达同 意同样方便。当评价数据主体的同意是否系自由表达时，首要考虑应是，是否用户必须同意数据 控制者对履行合同（包括提供服务）所必须的数据之外的数据处理要求。Article8、9-特殊类别个人信息和儿童个人信息当未成年人未满16周岁时，处理其个人数据只有在获得其监护

10、人的许可后，才为合法。对同意是否由其监护人给出，数据控制者应尽到合理验证义务，同时考虑到现有的技术。特殊类别（敏感）个人数据，是指揭示种族或民族出身，政治观点、宗教或哲学信仰以 及工会成员的个人数据，以及唯一识别自然人为目的的基因数据、生物特征数据、自然 人的健康、性生活或性取向数据，还包括刑事定罪和犯罪相关的个人资料等。合法性事由：（1）明确（explicit）同意；（2）在人事、社会保障领域履行义务；（3）保护数据主 体重大利益；（4）涉及政治、哲学、宗教、工会等目的的有关规定；（5）数据主体明确公开的个人数 据；（6）司法程序需要处理的情况；（7）显著的公共利益；（8）出于预防疾病和职业

11、疾病、评估雇员 工作能力、医疗诊断、提供医疗和社会服务、医疗或社会服务体系运转的；（9）出于公共卫生领域中的 公共利益；（10）出于公共利益、科学或历史研究目的、统计目的，在遵守89条第一款的条件下；对基 因数据、生物识别数据、健康数据，成员国可以做额外的规定。透明化机制Article12 & Article 13 & 14知情权12数据控制者向数据主体提供信息时， 应采取简洁、透明、可理解、易于寻 获的形式，采用清楚、直白的语言。数据控制者应及时提供其采取的行动 的有关信息，自收到请求起最迟不超 过一个月。如延长时间需要告知原因。从数据主体收集个人数据时应提供的 信息不是从数据主体直接收集个

12、人数据时应提供的信息访问并获取个人数据Article 15数据主体有权从控制者处获得关于其个人数据是否 被处理的确认回复，如确定个人数据正被处理，则 数据主体有权获得相关信息访问权数据主体权利Right of Personal data subject13纠正错误个人数据Article 16纠正权数据主体有权要求数据控制者及时修正 错误的个人数据信息。考虑到数据处理 的目的，数据主体有权要求数据控制者 补全不完整的个人数据信息。数据主体消除数据（被遗忘权）Article 17对收集或以其他方式处理个人数据所服务于的目的来说不再是必需的；数据主体撤回其同意的；数据主体反对根据第21条第1款的处

13、理；个人数据被非法处理；根据欧盟、成员国法律要求，需要删除个人数据的；出于对未成年人保护的；删除权限制数据处理的权利Article 18限制 处理数据主体对数据的准确性提出异议；数据处理为非 法，而数据主体反对清除其数据而是要求限制对数 据的使用的；数据控制者出于特定目的不再需要数 据主体的个人数据，但数据主体需要这些数据以建 立、行使和保护自己的法律诉求的.14数据主体携带数据Article 20可携带权存在以下情形的，数据主体有权从数据 控制者获得关于其个人数据（仅限其向数据 控制者提供的）的副本；副本应以结构化、 普遍使用、可机读的形式；数据主体有权要 求数据控制者将其个人数据向其他数据

14、控制 者提供：数据处理是基于第6条第一款a）项或 第9条第2款a）项，或基于第6条第一款b） 项所指涉的合同【同意】b)数据处理以自动化的形式进行。2)如技术上可行的话，数据主体有权要求数 据控制者将其个人数据直接传输给另一数据 控制者。反对数据处理的权利Article21基于其特定的情况，数据主体有权在任何时候反 对基于第6条第一款e）或f）【公共利益和正当利益】 项的个人数据处理，包括基于上述项的个人“数字画像”。数据控制者应停止处理，除非数据控制者能 表明其有显著的正当事由，该正当事由大于数据主 体的利益、权利、自由，或大于法律诉求的建立、行 使和保护。当数据处理是基于直接的市场营销目的

15、，数据主 体有权在任何时候反对因营销目的对其个人数据的 处理，包括数字画像。反对权15对个人有显著影响的、以自动化 方式做出的决定，包括数字画像 Article 22当决定能对数据主体产生法律效果，或对其 有显著影响时，数据主体有权不受仅仅根据自 动化数据处理而作出的决定，包括数字画像。当有以下情形时，上述权利不适用：数据处理是数据主体和控制者签署、执行合同所必需的；欧盟、成员国法律许可、且明确了保护数据主体权利、自由、正当利益的措施的；基于数据主体明确的同意。对本条第二款a）【同意】和c）【法定义 务】,数据控制者应采用合适的措施，保护数据 主体权利、自由、正当利益；措施至少包括数 据主体有

16、权要求控制者人工干预自动化处理， 以及表达个人意见、对决定提出抗辩的权利。对第9条1）款列出的特别类别的个人数据， 自动化决定不应根据上述数据而作出；例外情 况是第9条第2款的(a) 【同意】 或 (g) 【公共利 益】。影响自动化决定权利限制Article 23国家安全国防公共安全预防犯罪、刑事侦查和起诉、处罚执行其他公共利益的重要目标，特别是欧盟或成员国 的重要经济、金融利益，包括财政、预算、税收、 公共卫生、社保保护司法独立和庭审程序对受管制的行业，调查、起诉违背职业道德实现上述目标时所需的监测、检查、规制保护数据主体，或其他人的权利和自由执行民事诉求控制者Article24 数据控制方

17、的责任考虑到数据处理的性质、范围、情 境、目的，以及对自然人权利和自 由的不同程度和大小的风险，数据 控制者应采取合适的技术和组织方 面的措施，以保证数据处理符合条例的规定。这些措施应经常评估和更新。措施应与数据处理的风险合乎比例， 应包括在内部建立合适的数据保护 政策。遵守第40条建立的行为准则，或 遵守第42条经认证后的机制，这 两点可被数据控制者用于证明其遵 守了条例的要求。Article26 联合的数据控制方当两个或多个数据控制者共同决定数据处理 的目的和方式，它们将被认定为联合数据控 制者。他们应以透明的方式，决定各自遵守条例应承担的责任和义务，特别是在数 据主体行使权利方面，以及在

18、向数据主体提 供信息方面的各自分工。上述分工应与合同 的形式予以固定，合同中还应明确可供数据 主体的联系的渠道和人员。上述分工应恰当地反映联合数据控制者各自 与数据主体的关系及角色。联合数据控制者 内部的关系应向数据主体公开。控制者和处理者-privacy by designArticle 25. 通过设计实现数据保护和通过默认设置实现数据保护考虑到最新发展、执行的成本、数据处理的性质、范 围、情境、目的，以及对自然人权利和自由的不同程 度和大小的风险，数据控制者应在一开始决定数据处 理方式时，及开始数据处理时，采用合适的技术和组 织方面的措施，例如假名化；这些措施的目的在于有 效地落实数据保

19、护原则，例如数据最小化原则，及将 必需的保护措施整合进数据处理流程中，以满足条 例提出的要求，并保护数据主体的权利。数据控制者应采用合适的技术和组织方面的措施，以 实现默认的情况下，仅仅处理为实现目的而最少必需 的个人数据。此义务适用于收集到的个人数据，数据 处理的范围，数据存储周期，以及数据被访问的程度。 特别是，这些措施应保障在默认情况下，在个人没有 作出同意时，个人数据不会被不限定的自然人访问。Article28-处理者的义务服务结束删除或返回数据签署有效力的合同或基于法定义务未得到许可，不应再与另外的数据处理者合作协助数据控制者回应数据主体权利数据控制者仅应选择采取了合适的技术和组织方

20、面措施的数据处理者，以确保数据处理符合条例的要求，保障数据主体的权利。010203040506控制者（包括联合控制者）、其代表、数据保护官的名字、联系方式处理的目的对数据主体类别、个人数据类别的描述数据接收者的类别，包括位于第三 国的数据接收者或国际组织不同类别数据删除的预期时间技术和组织方面措施的一般性描述Article 30 记录数据处理活动Article32-34 个人信息处理安全一、数据控制者、处理者应采用合适的技术和管理方面的措施，以保证以风险相称的安全水平。对个人数据进行假名化和加密处理应具备能力保障处理系统和服务持续的保密性、完整性、可及性、韧性应具备能力在物理或技术事故发生后，

21、及时恢复个人数据的可访问性应建立机制，经常性第测试、评估、评价技术和组织方面措施的有效性，以保证处理过程的安全度二、在数据安全事故发生之后，数据控制方应当及时向监督机构报告，在可行时，应当在72小时内报告，除非数据安全事故不太可能导致数据主体权益受损。如可能，应描述数据安全事故的性质，涉及的数据主体类别和大致人数，涉及的个人数据类别和大概数量数据保护官的名字和联系方式，以及需更多信息的时可联系的人描述数据安全事故可能带来的后果描述数据控制者已经采取的、或将要采取的处置数据安全事故的措施，包括降低其不利影响的措施三、当安全事件对个人权利和自由造成损害的可能性较高时，则数据控制方应当及时通知受影响

22、的数据主体。应适用清晰、直白的语言描述数据安全事故。Article35 数据保护影响评估（DPIA）在考虑数据处理性质、范围、情境、目的后， 数据控制者如认为数据处理，特别是采用新技 术的处理，可能导致个人权益有较高的风险被 侵害的，应在处理前，进行数据保护影响评估。在以下场景中，数据保护影响评估被特别要求：基于自动化数据处理，包括数字画像，对数 据主体个人方面开展系统和广泛的评估，且评 估对个人能产生法律效力，或类似重大的影响；对特定类别的数据进行大规模处理，或处理与刑事犯罪和刑事起诉相关的个人数据的；c)公共领域大规模的系统性监控；Article37 数据保护官（DPO）在以下情形中，数据

23、控制者和数据处理者应任命一名数据安全保护官公权力机构处理数据的数据控制者或处理者数据处理的主要活动， 其范围、目的要求经常性、系统性、大范围 地监测数据主体数据控制者或处理者数据处理的主要活动， 包括大规模处理特定类别的个人数据，或处 理与刑事犯罪和起诉相关的数据包括不同企业的联合体可共同任命一名数据保护官23成员国、监管机构、数据保 护委员会（the Board）、 欧盟委员会应鼓励，为条 例的落实而编撰数据保护 行为准则，考虑到不同数据 处理行业的特点及微、小、 中型企业的特殊需求。成员国、监管机构、数据保护委员会（the Board）、 欧盟委员会应鼓励，特别是在欧盟层面，建立数据 保护

24、认证制度，以及数据 保护的认证标识。认证旨 在表明数据控制者和处理 者遵守了条例的规定。 认证应关注微小中型企业 的特殊需求。认证为自愿性质，认证机制应该公开透明。路径1路径2Article40-43 行为准则和认证行为准则认证24义务 豁免适当 保障充分 性认 定BCR在欧盟委员会判定第三国、第三国某 个地区或行业、国际组织能够保障足 够的保护水平后，个人数据可以传输 至该第三国或国际组织。此种情形的 传输不需要获得特别的授权。Article 44-50第三国或国际组织传输个人数据公权力部门之间法律文件有约束力的公司准则欧盟委员会采用的标准数据保护条款监管机构采用的、经欧盟委员会许可的标准数

25、据保护条款行为准则及承诺认证及承诺监管机构应批准有约束力的公司准则：具有法律效力，同时覆盖全面， 包括所有涉及的集团、企业及其 雇员明确赋予数据主体可执行的权利在数据主体充分认识到风险后，数据主体明示同意传输履行合同所必须；公共利益法律诉求的建立、行使和保护保护数据主体重大利益正当利益（已评估和采取了措施）总结一：价值平衡设计公平合理的个人信息保护制度和机制，核心是在以下四项 价值中寻求平衡：个人隐私权和信息自决权：包括在一定程度上控制个人信息 的收集、使用、流转，以及控制基于数据作出的各项决定对 个人的影响；发展利益：企业和产业充分利用个人信息，提供、改进、创新产品和服务的合理诉求；公共利益

26、：政府部门利用个人信息完成公共管理，以及社会发展所必须的信息自由流动；国家利益：个人信息跨境流动对国家主权、国家安全、国家竞争力等方面造成的正面、负面影响。总结二：增强个人的信息自决权随着移动互联网的普及和智能穿戴等物联网设备的应用，大数据和个人信息的收集日益密集和隐蔽；多重来源的个人信息进行合并、比对，能够形成完整的个人画像和实时追踪；大数据技术能通过特定算法从既有信息中挖掘出新结论，不 仅显著增加隐私（敏感信息）暴露的风险，还将大量用于影 响个人权益的决策；在数据开发价值的驱使下，大数据和个人信息的流转、交易 形成链条，信息处理主体多元，流转方式纷繁复杂，个人信 息处理流程的透明度急剧降低

27、；云计算的普及使得大数据和个人信息跨境流动成为常态。27数据安全管理办法（征求意见稿）第六条 网络运营者应当按照有关法律、行政法规的规定，参 照国家网络安全标准，履行数据安全保护义务，建立数据安全 管理责任和评价考核制度，制定数据安全计划，实施数据安全 技术防护，开展数据安全风险评估，制定网络安全事件应急预 案，及时处置安全事件，组织数据安全教育、培训。第三十四条 国家鼓励网络运营者自愿通过数据安全管理认证 和应用程序安全认证，鼓励搜索引擎、应用商店等明确标识并 优先推荐通过认证的应用程序。国家网信部门会同国务院市场监督管理部门，指导国家网络安 全审查与认证机构，组织数据安全管理认证和应用程序

28、安全认 证工作。29个人信息保护国家标准GB/Z 28828-2012公共及商用服务信 息系统个人信息保 护指南GB/T 35273-2017个人信息安全规范（已发布）2017年立项个人信息去标识化指南（报批稿）2017年立项个人信息安全影响 评估指南（PIA）(报批稿)010203042016年立项 数据出境安全评估指南(征求意见稿)0530目的明确原则具有合法、正当、必要、明确的个人信息 处理目的。选择同意原则向个人信息主体明示个人信息处理目的、方式、范围、规则等，征求其授权同意。最少够用原则只处理满足用户授权同意的目的所需的最 少信息类型和数量。公开透明原则以明确、易懂和合理的方式公开处

29、理个人信息的范围、目的、规则等。确保安全原则采取足够的管理措施和技术手段，保护个人信息的保密性、完整性、可用性。主体参与原则向个人信息主体提供能够访问、更正、删除其个人信息，以及撤回同意、注销账户等方法。三四六二七五权责一致原则对其个人信息处理活动对个人信息主体合法权 益造成的损害承担责任。一个人信息安全基本原则31使用保存收集对外 提供Collection of PI合法性要求和最小化要求授权同意和例外敏感信息明示同意隐私政策的内容和发布个人信息处理过程的安全要求Retention of PI保存时间最小化去标识化处理敏感信息传输和存储个人信息控制者停止运营Use of PI访问控制措施使用

30、和展示限制访问、更正、删除、撤回 同意、注销账户、获取副 本等机制响应个人信息主体的请求和申诉管理External providing of PI委托处理要求共享、转让要求收购、兼并、重组要求公开披露要求共同的个人信息控制者要求跨境传输要求32安全事件处置建立安全事件应急处置和报告机制 安全事件发生时应及时向个人信息主体告知明确责任部门与人员 应任命个人信息保护负责人和个人信息保护工作机构 应建立、维护和更新组织所持有的个人信息清单开展个人信息安全影响评估定期（至少每年一次）开展个人信息安全影响评估评估个人信息处理活动对个人信息主体合法权益的影响数据安全能力个人信息控制者应根据有关国家标准的要

31、求，建立适当的数据安全能力， 落实必要的管理和技术措施，防止个人信息的泄漏、损毁、丢失。人员管理与培训与从事个人信息处理岗位上的相关人员签署保密协议 对个人信息处理岗位上的相关人员开展个人信息安全专业化培训和考核安全审计 应对隐私政策和相关规程，以及安全措施的有效性进行审计应 及时处理审计过程中发现的个人信息违规使用、滥用等情况个人信息的安全管理要求Security Requirements概念、角 色、模 型、框架安全技 术机制平台系 统安全安全运 维个人信 息安全重要数 据安全跨境数 据安全安 全 要 求 类实 施 指 南 类检 测 评 估 类基 础 类服务安 全能力交换共 享安全安全应用

32、政务大 数据 安全数据安 全治理基础平台和技术数据安全服务安全应用范大数据服务安全能力要求公共及商用服务 信息系统个人信息保护指南个人信息去标识化指南个人信息安全工程指南数据交易服务安 全要求数据安全能力成 熟度模型数据出境安全评 估指南个人信息安全影 响评估指南个人信息告知同意指南大数据业务安全风险控制实施指南数据安全分类分级实施指南健康医疗 大数据安 全其它领域 大数据安 全智慧城 市安全人工智 能安全大数据安全管理指南云计算服务安全能力要求桌面云安全技术 要求网站安全云防护 平台技术要求大数据基础软件安全技术要求混合云安全技术要求云计算服务安全 指南政府网站云计算 服务安全指南云计算服务

33、运行监管框架云服务数据安全指南政务云网络安全服务接口指南云计算安全参考架构云计算服务安全 能力评估方法云计算服务运行 监管指标及接口 要求智慧城市建设信息安全保障指南智慧城市安全体系框架智慧城市网络安全评价方法区块链安全技术标准研究区块链安全标准体系研究健康医疗信息安 全指南工业互联网平台 安全要求及评估 规范政务信息共享 数据安全技术要求人工智能安全标 网络安全态势感准研究知数据规范个人信息安全规 重要数据业务运营安全规范大数据安全参考框架大数据服务安全可控评价指标能源企业大数据应用安全防护指南政务信息资源安全分级指南健康医疗数据安全指南标准是前提，安全是保障，服务是目的安全是发展的前提，发

34、展是安全的保障安全为先、保护隐私网络安全法要求第四十二条网络运营者不得泄露、篡改、毁损其收集 的个人信息；未经被收集者同意，不得向他人提供个 人信息。但是，经过处理无法识别特定个人且不能复 原的除外。第十八条国家鼓励开发网络数据安 全保护和利用技术，促进公共数据 资源开放，推动技术创新和经济社 会发展。1. 世界医学会制订了赫尔辛基宣言，作为涉及人类受试者的医 学研究的伦理原则，包括利用可鉴定身份的人体材料和数据所进行 的研究。9. 在医学研究中，医生有责任保护研究受试者的生命、健康、尊严、 完整性、自我决定权、隐私，并为研究受试者的个人信息保密。保 护研究受试者的责任必须始终由医生或其他健康保健专业人员承担， 而绝不是由研究受试者承担，即使他们给予了同意。32. 针对使用可识别身份的人体材料或数据进行的医学研究，例如针 对生物样本库或类似储存库中的材料或数据进行的研究，医生必须 征得材料或数据采集、储存和/或再使用的知情同意。可能存在特殊 情况使得获取这类研究同意不可能或不现实，在这种情形下，只有 经过研究伦理委员会考量和批准后研究才可进行。赫尔辛基宣言第