个人健康医疗数据可携权的本土化_林婧.pdf

DOI:10.19979/ki.issn10082689.2022100087法学个人健康医疗数据可携权的本土化林婧1连钰婷2（1.福州大学法学院，福州350116；2.福建省南安市人民法院，泉州362300）摘要 数据可携权的提法源自欧盟 2016 年通用数据保护条例，出于健康医疗领域数据来源者权利保护与数据资源共享的需求，我国也存在设立个人健康医疗数据可携权的现实必要性，但该权利设立面临立法、司法与数据安全方面的障碍。我国个人信息保护法第四十五条第三款首次规定了个人信息携带权，但仅作原则性规定，为个人健康医疗数据适用该条款留下了解释空间。信息与数据虽然存在内容与形式的区别，但根据有关理论与实践，将个人健康医疗数据归入可携权的客体范畴具有一定合理性与可行性。因此，建议参照适用个人信息保护法个人信息携带权的规定，并通过部门规章和司法解释明晰个人健康医疗数据可携权的行使条件和健康医疗数据安全保障义务，从而推进我国个人健康医疗数据可携权的设立及保障。关键词 健康医疗数据；数据可携权；个人信息携带权；数据共享中图分类号 D922.16文献标识码 A文章编号 10082689(2023)04046609促进健康医疗数据的流通共享，既是推动数字经济发展的现实需要，也是实现我国健康医疗发展战略目标的关键。国务院 2015 年发布全国医疗卫生服务体系规划纲要（20152020 年），提出要推动健康大数据应用，实现各级健康医疗信息共享；2016 年关于促进和规范健康医疗大数据应用发展的指导意见中进一步明确要推动健康医疗大数据融合共享、开放应用，形成跨部门健康医疗数据资源共享共用格局。2022 年 11 月 7 日，国家卫生健康委、国家中医药局、国家疾控局联合发布“十四五”全民健康信息化规划再次强调要积极构建健康医疗大数据资源要素体系、推进健康医疗大数据应用发展、充分释放数据价值。虽然我国在政策层面鼓励健康医疗数据流通共享，但实践中，个人健康医疗数据基本上仍由健康医疗机构各自存储、分开管理。多数健康医疗机构往往仅支持健康医疗数据的内部共享，即使机构间存有零星的数据共享，规模也十分有限。与此同时，为了增强用户粘性，健康医疗机构通常不会主动向个人开放健康医疗数据的访问途径，也未赋予个人管理、复制、修改与携转数据等权限。由于健康医疗机构没有向个人提供健康医疗数据的法定义务，作为数据来源的个人往往难以获得自己的健康医疗数据。个人健康医疗数据可携权不仅是保障个人自主控制自己健康医疗数据的应有权利，而且是打破“数据孤岛”、破解数据共享僵局的一剂良方。然而，我国至今尚未在法律层面明确数据可携权。放眼全球，自欧盟2016 年通用数据保护条例（GeneralDataProtectionRegulation，GDPR）首次通过规范性法律文件正式确立数据可携权之后，其他国家和地区也纷纷跟进。例如美国 2018 年加州消费者隐私法（CaliforniaConsumerPrivacyAct，收稿时间20221018基金项目国家社会科学基金青年项目“网络安全国际合作法律制度研究”（编号：17CFX047）。作者简介林婧（1986）女，福州大学法学院副教授，硕士生导师，法学博士，中国政法大学博士后流动站研究人员。连钰婷（1997）女，法律硕士，福建省南安市人民法院法官助理。2023年8月第39卷第4期北京科技大学学报（社会科学版）JournalofUniversityofScienceandTechnologyBeijing（SocialSciencesEdition）Aug.2023Vol.39No.4CCPA）、印度 2019 年个人数据保护法（TheNewIndianPersonalDataProtectionBill，PDPB）、新加坡 2020 年个人数据保护法（PersonalDataProtectionAct，PDPA）。健康医疗作为国外数据可携权的重点实施领域之一，国外学界也进行了较多的讨论，不少学者肯定了个人享有健康医疗数据移植权利14。例如，有学者认为个人健康医疗数据携转在技术层面具有可操作性，健康医疗场景下个人数据可携权与访问权、删除权等其他权利之间具有紧密联系56。有学者7提出在健康医疗领域进一步完善落实个人数据可携权的规则，以期更好地实现个人健康医疗数据的自由流通与开放共享。还有学者8强调要尽快制定健康医疗数据传输标准，为医疗机构人员提供操作规范，以保证健康医疗数据的流通安全。可见，国外学界对设立个人健康医疗数据可携权的必要性及可行性已进行了一定的研究。考虑到我国互联网行业的发展现状及现有的个人数据保护法律体系，国内学者对我国设立数据可携权多持审慎态度912，但仍有个别学者肯定了赋予患者对医疗数据控制权的必要性，支持患者享有个人医疗数据的移植权利13，认为设立数据可携权可以对我国医疗数据的利用产生巨大影响14。总体而言，我国相关研究稍显薄弱与滞后，表现在：第一，关于数据可携权的研究多以欧盟为考察起点，对我国立法现状和司法实践的研究不够丰富；第二，研究内容主要聚焦在数据可携权的理论基础、权利构造、属性定位等理论方面，对于我国具体该如何设立数据可携权的实务研究不够丰富；第三，学者普遍认同设立数据可携权应当结合产业调研和实践经验，但针对某一行业领域讨论数据可携权应用的法学研究不多，与健康医疗有关的个人数据可携权研究更为稀缺。与国外不同，我国个人信息保护法第四十五条第三款规定的“个人信息携带权”采用“个人信息”概念。“个人健康医疗数据”能否参照适用该条款，首先涉及信息与数据两个概念之间的关系厘定。事实上，鉴于我国立法中“个人信息携带权”条款仅为原则性规定，具有拓展解释与适用的空间，可以借此将个人健康医疗数据纳入个人信息携带权的范围。在此基础上，国家网信部门及司法机关需要配套有关规定，合力保障个人健康医疗数据可携权的行使。一、我国设立个人健康医疗数据可携权的必要性（一）赋予个人健康医疗数据控制权根据 2020 年 12 月 14 日发布的国家标准信息安全技术健康医疗数据安全指南（GB/T397252020，以下简称健康医疗数据安全指南），个人健康医疗数据包括医疗服务过程中采集的有关个人的现病史、既往病史及社会史等能够反映或与个人健康情况密切相关的病历记载数据，以及关于个人门诊、住院和其他医疗服务情况的数据等。此类数据经过加工、处理后，都会存储在以医院为主的医疗卫生机构和以健康体检公司为主的健康管理服务公司等企业组织（以下统称为“健康医疗机构”）的系统中。基于习惯和公众的普遍共识，这些数据一般会被认为属于健康医疗机构，机构可以随时查阅，而作为数据原始来源的个人通常未被赋予有关操作权限，同时也缺少主张自由控制、支配、访问、传输的权利意识。近年来多起个人健康医疗数据泄露案件，反映出健康医疗机构在数据风险防范问题上存在疏漏，个人健康医疗数据安全问题日益凸显。健康医疗机构负责个人健康医疗数据的处理与存储，但未能采取有效的措施防范数据风险，导致数据来源者人身权益和精神利益遭受损害，仅能在事后寻求隐私权、人格权等方面的权利救济。除此之外，在新冠肺炎疫情防控期间，个人核酸检测数据、旅居史、接触史及身体健康情况等健康医疗数据实时更新反映在各地健康码系统中。随着疫情趋于平稳可控，健康码出现常态化和延展化的应用趋势15，相关数据安全问题更是各级机构工作的重中之重。作为一项新型权利，数据可携权能够使数据来源者自由访问、控制与支配其个人数据，从数据收集到利用、流转等多过程，都有数据来源者自主决定的意思表示参与其中。在诸多的数据纠纷中，数据可携权也越来越多地被当事人提起。例如在杭州互联网法院 2019年审理的深圳市腾讯计算机系统有限公司等与浙江搜道网络技术有限公司等不正当竞争纠纷一案中，被告以用户具有个人数据可携权为抗辩理由，主张原告对其控制的用户数据不具有数据权益。赋予个人对其健康医疗数据的可携权，可以将处于被动选择地位的数据来源者转变为有权自主决定其数据流向的一方，由数据来源者主动选择信赖的数据接收第39卷第4期林婧连钰婷：个人健康医疗数据可携权的本土化467方，一定程度上能够限制健康医疗机构对个人健康医疗数据的排他性控制。因此，应当赋予数据来源者自主决定获取与移转其个人健康医疗数据的权利，尊重个人数据权利，实现数据来源者和数据处理者之间权利关系的新平衡。（二）促进健康医疗数据资源共享个人往往会选择多家不同的健康医疗机构寻求服务，但由于个人健康医疗数据无法携带移转，每次到不同机构都需要重复提供相关数据。这不仅使得个人需要耗费大量时间、金钱成本，同时健康医疗机构也需要花费较多时间和精力获取个人健康状况和服务需求，导致服务效率无法有效提高。因此，不仅个人希望能够在不同的健康医疗机构间自由移转健康医疗数据，机构基于获取数据资源的需求，也期待数据的流通共享。随着信息技术的发展，“数据可携”这一理念开始出现。由于美国 Google 和 Facebook 等许多互联网巨头涉及大量个人数据收集、处理，因此“数据可携”问题最先在美国得到关注。早在 2007 年，国外一些非营利性行业组织共同成立“数据可携项目”（TheDataPortabilityProject），并于 2009 年在美国完成注册。该项目旨在研究数据可携的法律和技术解决方案，推进不同平台和应用程序的互操作性，以促进数据流动与共享16。此外，诸多数据移转平台和数据携转应用程序也应运而生。但“数据可携”仅存在市场和行业组织活动间，并未上升为法律权利。直至 2016 年，欧盟 GDPR 首次将“数据可携”正式确立为一项法律权利。其立法目的主要有两点：一是为了增强数据来源者对其个人数据获取和移转的控制力和支配力，加强对数据来源者权利的保护。二是为了促进个人数据的流动共享和数据市场的自由竞争，消除“数据锁定”效应，以此推动企业不断进行技术革新，提高创新型数字服务。作为全球最为严格的数据保护条例，GDPR 赋予数据来源者知情权、同意权及数据可携权等广泛的数据权利的同时，也强调不能因权利保护而限制或禁止个人数据的自由流通1756。2022 年欧盟发布“欧洲数据战略”（EuropeanDataStrategy），再次强调要在对健康医疗数据进行高水平保护的基础上，加强健康医疗数据的流动共享和开发利用。我国设立个人信息携带权的立法目的，亦可以归结为两点。一方面，加强个人对其信息转移与再利用行为的把控，赋予个人主动在企业间流转个人信息的权利。将该权利置于个人信息权利保护法律体系之下，也体现出法律对个人信息权利的尊重。另一方面则同样是基于破除优势企业“数据锁定”效应，提高数据资源流动性的目的18344，以此促进市场公平竞争和数据资源共享。作为数字经济和信息社会的核心资源和重要生产要素之一，数据的价值正是通过流动共享而得到体现。大量数据的流动共享，正是促进数字经济发展，实现数据红利的关键。设立个人健康医疗数据可携权，对个人而言，一方面能够促进个人健康医疗数据的互联互通，个人能够享受更为便捷高效的健康医疗服务。另一方面，也为个人提供了参与数据经济发展，分享数据红利的新路径。对于健康医疗机构而言，一定程度上能够破除大型健康医疗机构的数据垄断现象，增加中小型机构运用健康医疗数据资源的机会，引领企业实现数字化转型。二、我国设立个人健康医疗数据可携权的障碍（一）立法尚未明确规定个人健康医疗数据可携权作为我国网络空间治理、数据开发治理和个人信息的“三驾马车”，网络安全法数据安全法都未规定个人数据可携权，而个人信息保护法第四十五条第三款规定了“个人信息携带权”的有关内容。该权利是指信息主体有权获取其个人信息副本并请求信息控制者将其个人信息传输给指定方。个人信息携带权的确立，为我国设立个人健康医疗数据可携权提供了法律先导。但个人信息保护法仅对个人信息可携权作出原则性阐述，将“可携权”的客体表述限定为个人信息，也并未明确“个人信息”所包含的内容，导致个人信息携带权的权利范围尚不明确，有待法律规范进一步明确。另外，该法采取了授权国家网信部门立法的形式，由国家网