【医学合规指南】案例解析：医疗设备（如影像设备）等所涉及的数据合规（上）

前言

本期干货，我们邀请到了北京金诚同达律师事务所高级合伙人赵晔律师，专门针对医疗设备（如影像设备）等所涉及的数据合规，结合案例进行分析。

本文主要由数据采集、数据存储、自动化决策三部分组成，将涉及体检中心和设备厂家相互之间的关系问题，希望能为企业数据合规建设提供参考。

数据采集（以体检中心场景为例）

首先设备商会研发医学影像产品，把具体的产品销售给体检中心，体检中心使用设备进行体检，并且采集用户数据，上传到体检中心的云端，这个云端可能是私有云、也可能是公有云，然后对数据进行存储、加工等各种处理，最终有可能会在体检中心和设备厂商合作的过程当中去分享、转让、转移部分或者全部的数据，使得设备商能够通过数据去训练和提高自己原先的产品，做出更多的智能化诊断，或者提供更多的智能化治疗服务。这是现在比较通用的数据流的大体场景。基于这个场景中所涉及到的数据流，谈一下每一步当中，尤其是采集、知情同意、存储安全、网络安全、跨境、自动化决策等涉及到的风险。

1、告知内容及方式

从个保法的核心或者从个保法的黄金原则来讲，处理个人信息必须遵循公开、透明的原则。因此告知是所有数据流开始的前提，尤其是医疗场景下获取的个人信息大多数还是敏感信息，法律对于敏感信息的告知要求会更加严格。我们日常接触最多的可能是互联网场景下的告知，比如可以看到各家的网站、APP隐私政策，对于一些法律要求明确告知的内容，通常都采取了加粗、画线或者是特殊颜色的方式，给予显著和醒目的标识，这已经成为了业内的通用做法。

但是试想一下，医疗场景大多都基于线下，尤其是体检中心，必须是以线下的方式来提供服务。在这种场景下，该如何做好告知，是用采取店堂张贴告示，还是打印纸质告知书的形式？

我个人觉得，这些方式可能都不是特别的方便。对于告知，法律要求对于告知内容本身要强调完整性，因此按照目前个保法要求，必须要载明的事项的内容还是很多的。如果说采用了纸质的方式，可能页数会比较多，类似保险公司保险条款的印刷方式，字体很小而且密密麻麻的，上面对于相应重点条文的提示会加粗加深，但是这种效果和方式可能对于用户来说不是特别能够接受的，或者需要花很长的时间由服务人员去引导解释，我觉得相对来说是不太实用的。个人建议，可以去参考互联网的模式，尤其现在当下电子屏的使用是非常普遍的。比如说在体检中心的场景下，通过引导给到用户一个 ipad，或者说引导其登录相应健康中心的网页，或者是下载相应的APP或微信小程序。因为用户现在在互联网上看相应的隐私政策和点击同意的方式已经是比较，而且接受度是非常强的，所以我认为在一个线下的场景采用这种融合了线上和线下的方式，用电子送达触达的方式做告知，以及让用户来做同意，包括后续的单独同意、重新同意，这种可能更容易让用户去接受、去配合、去点击同意，也会更好推动服务。

2、有效同意存在争议之处理

《网络数据安全管理条例》要求数据处理者要保存数据主体同意的证明，发生争议时体检中心要拿出患者同意的凭证来证明同意的做出，否则要承担相应的不利后果。纸质的文档保管其实是非常占地方的，而且也不容易保存，比较容易损坏和丢失，需要的时候查找也不方便。电子化的告知和同意过程相对来说比较经济，也便捷许多。

同样道理，去做一些单独同意的时候，比如说像收集人脸的时候，个保法明确要求需要单独同意。如果是纸质方式可能就非常困难或者麻烦，但是通过电子化勾选的方式，会让相应的用户主体比较容易做出同意和接受。

3、撤回同意

在告知同意的问题上，关于撤回和撤销的事情。个保法上对于同意的撤回不等于民法典上的撤回或者是撤销。根据民法典第141条关于撤回意思表示规定和147条关于撤销民事行为，撤回是意思表示未生效之前的撤回，撤销是民事行为生效之后的撤销，而且撤销的效力是具有溯及力的，相当于撤销了之后，之前做出的行为就无效。但是，个人信息主体在个保法上的撤回，是不等同于民法典上撤回的，因为它是发生在已经同意的行为生效之后，因为现在的同意基本上都是以电子的方式做出，都是即时生效的，所以很难在意思表达未生效之前做出撤回，而且根据个保法文意表示，确实也已经生效了，可以参考 Iso27001附表当中关于用户访问管理的规定。这种对同意的撤回可以理解为对于订阅的改变，或者是对授权的收回。比如说去撤销原有的一个订阅同意，或者是对于原有允许cookie跟踪的，现在就不允许cookie跟踪的问题。

所以立法上从个保法角度来讲，更加强调的是撤回和撤销的后果，撤回的后果是对已经做出行为确认是有效的，撤回后会影响继续提供产品和服务。如果是撤销的话，后果应该是对于已经采集数据的删除。具体到体检中心的场景下，如果采用的是非电子化的方式来做告知和同意，对于客户需要行使撤回、撤销都是比较复杂的，因为个保法明确要求了数据处理者对于用户的撤回和撤销的方式都必须是明确和便捷的，很显然以电子的方式进行撤回和撤销同意是最方便的。

数据存储

1、数据存储－期限

       体检中心通过医疗设备采集到了用户相应的个人信息和数据之后，直接面临的一个问题就是存储的问题。个保法上对于存储的要求和现在医疗机构对于影像资料和医疗档案存储的要求，是有比较大的差别。个保法上对于个人信息的保存期限应当是以最短、必要为原则的，但是根据卫计委医疗机构病历管理规定的相关规定来说，住院病历医院保管的时间不可以小于30年，而且丢失或损坏均为医院方面责任，相应的门诊、急诊的病例保管的时间不可以小于15年。另外，关于医学影像诊断中心管理规范试行的要求当中，影像资料保存需要10年以上，而且至少要3年在线，可供快速调阅浏览和诊断使用，并且还要按照卫计委部门的要求，及时上传影音数据资料的信息。

       通过这几个规定来看，最少影像资料要保证到10年以上，对于一个机构来说，数据存储是非常耗成本且需要巨大投入的事情。

2、数据存储－安全

       对于一个企业来说，手中掌握着巨量的数据，尤其这些数据又是医疗信息，是敏感信息，而且还可能是重要数据的时候，法律对于数据安全的要求是非常高的。企业都是要算投入和产出的经济账，不是说掌握了全部数据就等同于马上可以拿去变现。从这个角度来讲，体检中心作为法律要求的医疗影像资料保管机构，首先应该要保管、保存至少10年以上相关的影音资料，还要提供快速调阅浏览的途径，这个必然带来高昂的存储和网络安全成本。体检中心就有了相应的动力希望通过更多的数据分享和使用，或者说数据合法交易等其他的方式去获得一部分的收益来冲抵相应的成本。

3、数据出境－评估

       对于存储来说，有一个非常显著的风险点，就是有可能涉及到数据跨境的问题。根据国家互联网中心于2021年7月23日在官网上发布的相关网络安全报告来看，2020年共发现境内的医学影像数据通过网络出境是497万次，涉及到境内的3000多个IP地址。另外，医学影像文件在未脱敏的情况下，包含着大量的患者信息，在去年出境了近40万次，占出境总次数的7.9%，这都属于违规出境。这个情况目前是普遍存在的，而且可以说统计数据是远远低于实际发生的情况，因为相应的数据出境的隐蔽性是非常强的，实操当中实际上也是很难控制的。但是滴滴事件发生之后，国家对于数据跨境方面的关注趋势，一定会收的越来越紧，一定会在近几年当中把出境的审批方式制定明确，逐步规范相应的出境行为，对非法出境的后果进行严加控制。

       2021年颁布的上海市数据条例就明确上海临港新区将探索制定低风险的跨境流动数据目录，促进数据跨境安全和自由流动。对应还设立一个平台公司，叫做上海临港新片区跨境数据科技有限公司，专门对数据出境提供服务。目前正在做行业调研，包括医疗数据出境在内的几个常见领域，做数据出境规范流程和模板协议。目前实操来说，尽可能的还是建议将数据存储于境内或者本地，使用国内的云服务商服务，减少源数据的直接出境，出境尽可能的使用脱敏数据，做到匿名化来减少相关的风险。

自动化决策

1

第一种模式：共同处理

共同处理是指两个以上的信息处理者共同决定对于个人信息的处理目的和处理方式，而各自约定相应的权利和义务，任何一方不影响其他方对于个人信息依据个保法要求所承担的义务和享有的权利。从共同处理来讲，如果说体检中心和设备厂商是以这样的方式来共同面对终端用户的，那么体检中心和设备厂商都可以取得第一手的原数据，而且都可以各自独立的面对数据主体用户，共同承担责任。在这种模式下，双方之间是承担连带责任的，而且相互之间必须都要共同的告知，履行所有的告知以及取得各自的同意。

举个例子，眼科的影像设备目前应该是比较高端前沿的，odos应该是德国的一款设备，类似于像这样的设备，假设用户就是为了使用这款设备去的，其他地方没有，这个检查也是专门针对眼科的检查，那么有可能在这种情况下，设备商希望通过推广这款设备，或者说利用采集的数据去做一些临床或者一些临床后期的数据采集活动，就有可能会和体检中心合作采用共同处理的模式。

还有一种可能性，未来比如说有更多的设备会变成便携式可穿戴的小型设备，设备厂商通过用户体检中心直接或者说是作为推荐、销售给了用户的这种场景下，也可能会有这样的合作模式。但是影像设备相对来说，体积目前来看都会比较大一点，场景可能也比较少见。在这种模式下，设备商和体检中心都需要去遵守所有的告知同意的规则，考虑到数据的安全和存储，还有跨境的问题。，这个对于数据处理者的法律责任承担和风险相对来说是比较高的。

2

第二种模式：共享

个人认为数据共享是比较好的一种方式。简单来说，就是体检中心可以向设备厂商提供其采集的全部或者是部分的个人信息，但是在提供之前，体检中心应当取得用户主体的明确同意，而且要告知比如设备厂商具体的身份是什么样的，使用目的和范围是什么样，主要是可以由体检中心主动去处理，用更人性化的方式取得同意，这是比较现实的一种方式。如果设备厂商需要去变更处理目的和处理方式的时候，还需要重新取得同意。好处在于设备厂商也可以获得源数据，而且可以按照同意的使用范围和使用目的去使用，这个相对来说自由度是比较高的。比如明确告知用户说这个数据可以用来提升产品作为AI训练、更新迭代，这个现在相对来说用户也比较能够接受用于科研的目的，也是比较能够同意给到这一部分数据的，这种方式相对来说更容易建立信任感和安全感。

但是在这种情况下，设备商基于体检中心的共享去处理数据，相互之间的关系是有连带性的，因为从用户的角度来讲，首先是基于对体检中心的信任，但是这一块的连带属性目前法律上没有非常明确，只能说通过传统的侵权责任法角度去看，因为取得的场景是基于体检中心去获取的。虽然体检中心明确是与第三方去共享，去转让数据，但是我认为目前以立法比较严的趋势角度来讲，会被认定为去承担一部分的连带责任是有可能的，但是这个问题目前确实是存在一定的争议的。

3

第三种模式：委托处理

委托处理相当于是说体检中心作为委托人，而设备厂商作为受托人去处理相应的数据，在这种合作模式下是非常明确的，因为设备厂商只是作为体检中心的受托处理人，所有行为的结果和责任的承担均由委托方也就是体检中心去对外承担责任。具体过程当中是需要告知的，用户需要知道受委托处理方是谁，但是不需要就此作单独同意，而且这个同意是不能转委托的，所有受托的设备商都基于委托合同的约定去处理相应数据的目的、方式、范围。当然在这种情况下，设备厂商也还是可以获得源数据的，但这些数据本身并不存储或者由设备厂商来控制，这种情况下设备厂商就很难自己去拿着数据做额外的工作。目前通常的做法，举个例子来说，医院去开放一些API接口，或者像CT核磁共振这些，需要对设备和系统进行联网维护的情况下，更常见于设备厂商是受托维护设备本身需要去获取设备的一些日志和管理数据，这个角度具有更加常见的获取数据的可能性。

这种合作的方式下，通常来说因为这个合作基于的是委托，所以如果说设备厂商以这个名义拿了体检中心源数据去训练自己的AI的话，我认为做这个事情最大的风险在于智力成果的归属问题即知识产权的问题，很有可能训练出来的AI会由体检中心作为委托人，假设双方约定不是那么明确，或者说是存在一定瑕疵，体检中心有可能向设备厂商主张知识产权，还有可能哪怕即便是双方没有约定或约定不明的话，体检中心也是可以免费使用最终形成的智力成果，比如说专利。所以我认为对于设备厂商来说，这是一个比较大的问题。

关于三个模式，简单的说委托处理关系相对应用范围应该是目前最普遍，但是也是最窄的。如果体检中心和设备厂商相互之间能够去共享数据，能够在取得患者或者是体检个人主体同意的情况下，共享应该是比较可持续，而且自由度会比较好的。但是如果是共同处理，相对来说风险可能会更加大一点。尤其是对于设备厂商来说，我相信设备厂商也不希望跟医院一样，尤其在数据处理上需要保存医疗影像存10年以上，甚至15年，这其实是非常重的成本。如果选择了数据共享，首先这一块成本至少是可以减轻掉，因为对企业来说只要使用完数据，就可以把源数据删除或者部分删除，只要去保留训练出来的 AI结果没有必要一定要去保存数据，尤其是一旦出现了网络安全问题的话，后果是非常严重的。而且通常对于互联网医院的要求都是要建立等保3.0，对于这一块的法律规制要求是非常高的，所以尽可能的不一定要采用比如共同处理的方式，增加自己对于数据存储和网络安全方面的投入以及成本。

总结

展望一下未来，本文讲到数据流，讲到体检中心和设备厂家相互之间的关系的问题，都是为了去考虑数据只有流动起来让更多的人去获得更多的使用，或者说是顺畅交易的前提下，才能产生更大的价值。国家现在也是非常的明确，对于这一块的认识也是很到位的，包括在上海设立了数据交易所，并且颁布了相应的法条，设立了数据跨境的平台公司去做一些工作。我觉得从未来来讲，数据第一个是进交易所交易，这是非常明确的方向。第二个是通过隐私计算，就是匿名化数据，通过比如说像沙盒、沙箱或者是其他的隐私计算方法，使得数据本身可以在受保护的情况下去共享，这也是现在国家大力推的隐私计算的方向。另外是通过建立数商，现在可以看到这方面的赛道也是属于投资领域非常热门的，专门处理做数据交易，包括提供隐私计算服务的一些数商，包括在上海交易所去建立平台的时候，同时给好几家数商公司发了相应的证书，所以这也是未来的大趋势。

【免责声明】以上信息仅供分享交流，不构成任何形式的法律意见或建议，也不代表律师所在律所的任何意见。

律师简介

赵 晔

■ 北京金诚同达律师事务所

■ 高级合伙人

赵晔律师具有近20年律师执业经验，专注于公司治理与合规、私募与风险投资和知识产权领域，具有丰富的知识面和综合处理重大、疑难问题的实力，擅长利用商业思维为客户提供系统性解决方案。赵晔律师带领其团队不仅为国有企事业单位，还为高科技公司，尤其是医药和器械创新创业公司提供全流程法律服务。同时也为多家私募股权基金/母基金提供咨询服务。近年来，赵晔律师针对网络安全、数据治理和隐私保护方面进行了深度研究，对数字医疗等多个前瞻细分行业具有独到见解。