《个人信息保护法》来了！患者个人信息处理应合法合规

导读

患者个人信息大多属于敏感个人信息（如个人生物识别信息、医疗健康数据），医疗机构在处理这些患者个人信息时，除了遵循个人信息保护的一般义务，还应当按照敏感个人信息的相关规定从严进行合规管理。

2021年8月20日，十三届全国人大常委会第三十次会议表决通过《中华人民共和国个人信息保护法》，自2021年11月1日起施行。

2021年8月17日，《个人信息保护法（草案）》第三次提交全国人大常委会审议，与2021年4月提交审议的二次审议稿相比，作出六处主要修改，涉及个人信息处理规则、未成年人信息保护、个人信息跨境提供规则和个人信息可携带权等内容，对App过度收集个人信息、“大数据杀熟”、算法自动推送、数据信息归属等公众关注点作出积极回应，数据主体对个人信息处理的自主权得到进一步凸显。

《个人信息保护法》明确要求：

• 通过自动化决策方式向个人进行信息推送、商业营销，应提供不针对其个人特征的选项或提供便捷的拒绝方式；

• 处理生物识别、医疗健康、金融账户、行踪轨迹等敏感个人信息，应取得个人的单独同意；

• 对违法处理个人信息的应用程序，责令暂停或者终止提供服务。

根据《个人信息保护法》对于敏感个人信息的定义，是指一旦泄露或者非法使用，可能导致个人受到歧视或者人身、财产安全受到严重危害的个人信息，包括种族、民族、宗教信仰、个人生物特征、医疗健康、金融账户、个人行踪等信息。

对于医疗机构而言，患者个人信息大多属于敏感个人信息（如个人生物识别信息、医疗健康数据），因此在处理这些患者个人信息时，除了遵循个人信息保护的一般义务，还应当按照敏感个人信息的相关规定从严进行合规管理。包括：个人信息处理者具有特定的目的和充分的必要性，方可处理敏感个人信息；基于个人同意处理敏感个人信息的，个人信息处理者应当取得个人的“单独同意”；应当向个人告知处理敏感个人信息的必要性以及对个人的影响等。

《数据安全法》《个人信息保护法》等法律法规的相继出台，为各行各业带来了日益紧迫的数据合规压力。医疗行业作为关系国计民生的重要领域，在强监管的政策背景下，医疗机构的数据合规体系建设已刻不容缓。

立法经过

2019年12月20日，全国人大常委会法工委发言人岳仲明在介绍2020年立法工作安排时透露，计划制定个人信息保护法。

2020年10月13日，《个人信息保护法（草案）》在全国人大常委会会议上首次亮相。草案共分为八章、70条，明确了适用范围，确立“告知—同意”为核心的个人信息处理一系列规则，其中设专节明确“敏感个人信息”处理规则，明确国家机关对个人信息的保护义务，全面加强个人信息的法律保护。

2021年4月26日， 《个人信息保护法（草案）》提交二审。 草案的二次审议稿针对当前个人信息过度收集使用等突出问题，进一步完善了个人信息处理应遵循的原则；完善、充实了合法处理个人信息的情形、撤回同意、自动化决策、跨境提供个人信息等方面的规则。

2021年8月17日，《个人信息保护法（草案）》第三次提交审议；8月20日，获十三届全国人大常委会第三十次会议表决通过，将于2021年11月1日起施行。

近期热文

HIT专家网∣致力推进中国卫生信息化长按二维码可申请加入HIT专家网专业交流群投稿：[e-mail]

商务合作：[phone]