汇业评论 | 健康管理类可穿戴设备的主要法律问题

文 | 黄春林、尹剑梅、刘月莹

近期以来，随着5G与物联网技术快速发展，以及人们对自身健康的日渐重视，越来越多的可穿戴设备切入健康管理市场，利用可穿戴设备适时、动态采集用户健康数据，向用户提供全生命周期的健康数据管理服务。但与此同时，行业快速发展过程中也暴露出来很多法律合规问题，例如行业准入、监管尺度、数据合规、隐私保护等等。

汇业律师事务所黄春林团队结合最新立法政策、监管实践以及类似项目经验，简要梳理健康管理类可穿戴设备的主要法律问题如下：

第一部分 

健康管理类可穿戴设备的业务及数据流向

 第二部分 

健康管理类可穿戴设备的个人信息保护合规

1.采集的数据是否属于个人敏感信息

《信息安全技术 健康医疗信息安全指南（征求意见稿）》等明确规定，可穿戴设备采集的与个人健康相关的下列信息，属于“个人健康医疗信息”：

（1）本身或者明显为健康医疗相关信息，例如血压、心电、脉搏、血氧、体温等信息；

（2）或是由传感器采集的，并且可以单独或者与其他数据结合用来对可穿戴设备的用户的健康状况或者疾病风险进行判断的信息，例如体重、摄食等信息；

（3）或是可穿戴设备采集的信息并且为对用户的健康状况或者疾病风险进行判断后的结论，例如监测或分析报告；

（4）或是通过可穿戴设备相连的APP或者系统进行传送的，并非可穿戴设备使用者另行提供的。

同时，根据《信息安全技术 个人信息安全规范》（GB-T 35273-2020，下同）等规定，上述信息还可能属于“个人敏感信息”，例如：

（1）个人健康生理信息；

（2）个人生物识别信息：如可穿戴设备认证或监测过程中采集的指纹、声纹、面部识别特征等；

（3）个人身份信息：如可穿戴设备健康管理中采集的社保卡、身份证信息等；

（4）其他信息：如手环、手表等可穿戴设备采集的行踪轨迹、精准定位信息等。

2.哪些采集活动不会被认定为

个人信息收集行为

根据《信息安全技术 个人信息安全规范》等规定，如果产品或服务的提供者提供工具供个人信息主体使用, 提供者不对个人信息进行访问的, 则不属于法律意义上的收集行为。因此，如果采集的个人信息仅在用户可穿戴设备或智能终端本地存储/处理，不会上传/同步至平台的，则不属于法律意义上的个人信息收集行为，进而无需遵从收集有关的合规要求。

3.收集个人信息如何获得用户同意

根据《信息安全技术 个人信息告知同意指南（征求意见稿）》等规定，可穿戴设备多为没有屏幕或屏幕尺寸受限的设备，因此应当在收集个人信息前，通过与可穿戴设备绑定的智能终端等形式，实现告知并获得用户的明示同意，告知的内容包括但不限于：

（1）应告知用户的运动数据、健康数据等个人信息同步到云端平台的情况，包括收集、使用个人信息的目的、方式和范围；

（2）若存在设备间数据同步，则应告知用户在设备间分享的数据类型，并告知用户解除绑定方式；

（3）告知用户查询、更正、删除个人信息、注销账户、撤回授权的方法；等等。

同时，考虑到健康管理类可穿戴设备采集的个人信息敏感度较高，因此应当以显著有效的方式告知用户，例如在设备首次激活，智能终端APP首次注册、登录，首次数据同步，新增业务功能等场景，均应显著告知用户，并应当获得用户的明示同意，必要时还应当通过邮件、短信等方式发送完整隐私政策的访问、查阅链接等。

此外，若可穿戴设备无绑定的智能设备的，还可以通过语音播放等形式履行告知义务。

4.用户如何查询个人健康医疗信息

保障用户的个人健康医疗信息的便捷查询、复制权，是健康管理类可穿戴设备合规的重点之一。《信息安全技术 健康医疗信息安全指南（征求意见稿）》等明确重申，个人健康医疗信息主体有权复查并获得其个人健康医疗信息的副本；而《国家健康医疗大数据标准、安全和服务管理办法（试行）》也规定，责任单位应当提供安全的信息查询和复制渠道。

实践中，考虑到可能存在可穿戴设备使用主体与其绑定终端持有主体不一致，或者一个终端绑定多台可穿戴设备等情况，为了避免个人敏感信息泄露，相关APP应采取严格的用户身份验证机制，并遵守个人信息展示限制的相关规定。

5.对外提供个人信息应注意哪些合规问题

考虑到健康管理类可穿戴设备经常会与第三方医疗机构、研究机构、保险机构等分享用户的健康医疗信息，因此数据对外提供的合规管理尤其重要。汇业黄春林律师团队提示，《信息安全技术 健康医疗信息安全指南（征求意见稿）》等详细规定了业务伙伴管理安全指引，同时结合《信息安全技术 个人信息安全规范》等规定，可穿戴设备对外提供个人信息的，应当注意包括但不限于以下合规要点：

（1）开展个人信息安全影响评估；

（2）数据对外提供应告知用户对外提供个人信息的目的、涉及的个人信息类型、接收个人信息的第三方类型，以及各自的安全和法律责任；

（3）考虑到医疗健康数据的敏感性，不宜通过隐私政策等形式概括告知，而应当单独告知用户，并经用户的明示同意；

（4）合作前应对数据接收方进行相应尽职调查，确定其资质、能力、合规性等符合项目要求，并与其签署数据安全协议，规定其责任和义务；

（5）应采用校验技术或密码技术保证个人信息在传输过程中的保密性、完整性；

（6）应每半年一次核对数据接收方信息，发现其违法或违约的，应及时采取补救措施；

（7）准确记录数据对外提供情况，并保留记录至少六年；等等。

 第三部分

健康管理类可穿戴设备是否属于

移动医疗器械

参照《医疗器械注册管理办法》、《移动医疗器械注册技术审查指导原则》及汇业黄春林律师团队相关项目经验，移动医疗器械与移动健康电子产品不存在清晰的划分界线，凡符合医疗器械定义的可穿戴设备属于移动医疗器械。因此，实践中应当依据可穿戴设备的预期用途判定其是否符合医疗器械定义，必要时还应当申请医疗器械分类界定。

实践中，判断是否属于移动医疗器械的标准包括但不限于：

根据我们类似项目经验，实践中，穿戴式连续温度监测仪、穿戴式动态心电记录仪、可穿戴关节活动度测量仪、穿戴式血氧监测仪、穿戴式低频脉冲止吐仪等，通常会按照移动医疗器械（第二类）认定。例如荷清柔电的心电监测仪、体温监测仪，华米科技的手环，等等。

而普通的健康管理类可穿戴设备，仅记录用户体重、心率、步数、运动情况、能量消耗值、睡眠状况等数据，主要致力于用户健康状况分析、日常生活监护等管理的，不属于移动医疗器械。该类可穿戴设备一般仅需通过3C认证，若具有通信功能的，还应当办理入网许可证，例如苹果公司Apple Watch、华为智能手表、三星智能手表等。

但需注意的是，企业应当确保此类健康管理类可穿戴设备不具备疾病诊断或治疗目的，且不得在宣传推广中声称具有慢性疾病诊断功能，否则存在被实质性认定属于移动医疗器械的法律风险。一旦被认定为移动医疗器械，企业应当依法申请医疗器械分类界定，办理医疗器械产品注册或备案，从事生产经营活动的，还应当依法办理医疗器械生产/经营许可证等。

 第四部分 

健康类可穿戴设备的云端数据平台

电信业务准入合规

健康管理类可穿戴设备往往通过云端数据平台实现数据分析、存储、处理。运营模式主要有两种：（1）自建数据平台；（2）第三方数据平台。根据工信部及各地通管局近期审批、监管实践及类似项目服务经验，汇业黄春林律师团队总结健康类可穿戴设备的数据平台应当取得的许可及备案情况如下：

黄春林

汇业律师事务所高级合伙人

[e-mail]

黄春林律师，现为上海市律协互联网与信息技术专业委员会副主任，主要执业领域为网络与数据合规、高新技术及泛娱乐领域综合法律服务，常年为数十家境内外企业提供前瞻性法律服务解决方案，2019年在人民法院出版社出版专著《网络与数据法律实务：法律适用及合规落地》，多次被LegalBand、知产力等评为中国顶级律师之一。

作者往期文章推荐：