health-data-dpia

评估健康数据处理

概述

根据 GDPR 第 9(1) 条，健康数据被归类为特殊类别数据，处理此类数据既需要符合第 6(1) 条的合法依据，也需要适用第 9(2) 条的豁免。大规模处理健康数据会触发第 35(3)(b) 条规定的强制性 DPIA。本技能针对健康数据处理场景提供 DPIA 方法：电子健康记录、临床试验、健康研究、远程医疗、健康应用、医疗器械和遗传数据分析。

法律框架

第 9(1) 条 — 健康数据的定义

GDPR 第 4(15) 条将与健康有关的数据定义为“与自然人的身体或精神健康相关的个人数据，包括提供医疗保健服务过程中产生的数据，且这些数据能够揭示其健康状况的信息”。

这包括：

• 医疗记录和诊断
• 处方和用药数据
• 实验室结果和影像资料
• 心理健康评估
• 残疾信息
• 遗传数据（第 4(13) 条）
• 为健康目的处理的生物识别数据
• 健康保险理赔
• 能够揭示健康状况的健身和健康数据
• 从非健康数据推断出的、能够揭示健康状况的数据

第 9(2) 条对健康数据的豁免

豁免	依据	适用情形
明确同意	第 9(2)(a) 条	患者同意特定的健康数据处理。必须与治疗同意分开。
就业义务	第 9(2)(b) 条	就业法律要求进行的职业健康评估。
重大利益	第 9(2)(c) 条	患者无法表示同意时的紧急医疗救治。
提供医疗保健	第 9(2)(h) 条	为预防医学或职业医学、医学诊断、提供健康或社会照护，或管理健康系统所必需的处理。必须由受医疗保密义务约束的专业人员处理，或在其责任下处理。
公共卫生	第 9(2)(i) 条	为公共卫生目的所必需的处理，包括防范严重的跨境健康威胁，以及确保医疗保健、药品或医疗器械达到高质量和安全标准。
科学研究	第 9(2)(j) 条	为科学研究目的（包括临床试验）所必需的处理，并须遵守第 89(1) 条规定的保障措施：数据最小化，并在可能的情况下进行假名化处理。

欧盟《临床试验条例》536/2014

• 第 28 条：受试者保护和知情同意。
• 第 28(2) 条：知情同意必须与 GDPR 项下的数据处理同意分开。
• 第 56 条：通过欧盟临床试验信息系统确保透明度。
• 第 61 条：场所要求，包括对临床试验材料实行受控访问。

健康数据 DPIA 方法

阶段 1：健康数据分类（第 1 周）

1. 列出所有正在处理的健康数据要素。
2. 对每个要素进行分类：
   • 直接健康数据（诊断、检测结果、处方）
   • 间接健康数据（保险理赔、预约记录）
   • 推断出的健康数据（健康应用数据、遗传风险评分）
   • 遗传数据（DNA 序列、基因型数据、药物基因组学数据）
3. 为每项处理活动确定适用的第 9(2) 条豁免。
4. 核实处理是否由受职业保密义务约束的卫生专业人员负责或在其责任下进行（第 9(2)(h) 条和第 9(3) 条）。

阶段 2：合法依据与豁免分析（第 2 周）

针对每项健康数据处理活动，记录：

要求	文档记录
第 6(1) 条合法依据	适用第 6(1)(a)-(f) 条中的哪项依据
第 9(2) 条豁免	适用第 9(2)(a)-(j) 条中的哪项豁免
成员国减损规定	国家法律是否规定了额外条件（第 9(4) 条）
职业保密义务	处理是否由负有保密义务的专业人员进行（第 9(3) 条）
数据主体同意	如果依据第 9(2)(a) 条，则需提供明确同意的证明，且该同意应与治疗同意分开

阶段 3：临床试验专项评估（如适用）

评估领域	要求
知情同意	CTR 第 28 条规定的同意应与 GDPR 同意分开；使用通俗语言；撤回权不得影响治疗
假名化	临床试验数据应进行假名化，密钥由主要研究者保管；申办方不应持有重新识别密钥
数据最小化	仅收集临床试验方案规定的数据；不得推测性收集数据
国际传输	多中心试验涉及数据传输；每次传输都需要符合第五章要求的机制
保留期限	CTR 第 58 条：申办方将试验主文件保留 25 年；需与 GDPR 的存储期限限制要求协调
二次使用	将临床试验数据重新用于未来研究，需要额外的伦理审批和 GDPR 合法依据

阶段 4：HIPAA 对照表（适用于跨大西洋业务）

HIPAA 条款	GDPR 对应条款	差距评估
HIPAA 隐私规则（45 CFR 164.500-534）	GDPR 第 5 条原则 + 第 9 条特殊类别	GDPR 限制更严格：健康数据的定义更宽泛；明确同意的标准更高；没有治疗、付款和医疗服务运营（TPO）例外
HIPAA 安全规则（45 CFR 164.302-318）	GDPR 第 32 条处理安全	大体一致：两者都要求进行风险评估、加密、访问控制和审计日志记录
HIPAA 违规通知（45 CFR 164.400-414）	GDPR 第 33-34 条	GDPR 要求更严格：须在 72 小时内通知 SA；HIPAA 允许 60 天
HIPAA 最低必要原则	GDPR 第 5(1)(c) 条数据最小化	原则上相符；GDPR 的适用范围更广
HIPAA 业务伙伴协议	GDPR 第 28 条 DPA	两者都要求与处理者签订书面协议；GDPR DPA 的规定更具体
HIPAA 患者权利	GDPR 第 15-22 条	GDPR 提供更广泛的权利（可携带权、删除权、限制处理权、反对权）
HIPAA 去标识化（安全港 / 专家认定）	GDPR 序言第 26 条匿名化	标准不同：HIPAA 安全港列出 18 项具体标识符；GDPR 要求评估是否不可逆

阶段 5：风险评估（第 3-4 周）

风险	描述	典型等级
HD-R1	健康数据泄露，暴露敏感诊断结果、病症或遗传信息	极高
HD-R2	通过关联其他数据集重新识别假名化健康数据	高
HD-R3	遗传数据遭歧视性使用（拒绝承保、就业歧视）	高
HD-R4	医疗保健人员超出临床知情必要范围的未授权访问	高
HD-R5	参与者不知情的情况下二次使用临床试验数据	中
HD-R6	将健康数据跨境传输至保护力度较弱的司法管辖区	高
HD-R7	通过汇总健身 / 健康应用数据重新识别患者	中

第 6 阶段：遗传数据的具体要求

遗传数据具有独特的隐私特征：

• 永久敏感：遗传信息终生不会改变，还会揭示有关生物学亲属的信息。
• 涉及家人：个人的遗传数据会揭示有关其父母、兄弟姐妹和子女的信息，而这些人并未同意处理该数据。
• 预测能力：遗传数据可以预测未来的健康状况，从而带来保险和就业歧视风险。
• 不可逆性：遗传数据一旦披露，就无法“忘记”或重置。

遗传数据的其他要求：

• 第 9(4) 条允许成员国对遗传数据处理施加更多条件。
• 德国：《遗传诊断法》（Gendiagnostikgesetz，GenDG）对就业和保险场景中的遗传检测施加严格限制。
• 法国：《公共卫生法典》第 L1131-1 条将遗传检测限制在医疗和科学目的范围内。

执法先例

• 芬兰数据保护局诉 Pihlajalinna（2021）：一家医疗服务公司被罚款 608,000 欧元，原因是员工在没有临床依据的情况下访问患者记录，且访问控制和日志记录不足。
• 葡萄牙数据保护局诉 Hospital do Barreiro（2018）：一家医院被罚款 400,000 欧元，原因是未实施基于角色的访问控制，导致非临床人员能够访问患者记录。
• 荷兰数据保护局诉 OLVG Hospital（2021）：因电子患者记录的访问控制不足而被罚款 440,000 欧元，具体问题包括双因素身份验证和访问日志记录不足。
• 瑞典数据保护局诉 Capio St. Goran（2020）：一家医院因未对患者记录系统进行数据保护影响评估（DPIA），且未实施充分的访问控制，被罚款 3,000 万瑞典克朗。
• 英国信息专员办公室诉 Pharmacy2U（2015）：该公司未经同意将患者数据出售给营销公司，被罚款 130,000 英镑。