促进健康医疗大数据规范化应用.pptx

OMAHA白皮书

WHITEPAPER;内容摘要

前 言

一、健康医疗数据开放与隐私安全概述

（一）健康医疗数据开放与隐私安全的关系

（二）健康医疗数据隐私安全基础框架

（三）不同数据开放场景下的隐私安全分析

二、国外开放数据的隐私安全现状

（一）国外隐私安全法律法规要求

（二）美国数据开放平台隐私安全实践;;;;;图1健康医疗大数据应用隐私安全技术框架;数据的需求关键在于“流动”，在数据汇聚的前提下让个人数据在服务网络中流动起来，个人健康医疗数据能随个人流动，数据的访问不受时间空间的限制，从而在医疗服务中提高个体急诊诊疗效率、提升个体疾病治疗质量，降低个体重复检查检验次数，改善个体的医疗服务连续性，形成便捷、高效、规范、共享、互信的诊疗流程。这类数据应用中个人隐私安全的关键在于如何确保个人对数据使用的控制权，数据在流动过程中的信息安全，数据使用流程的规范性等。此类应用是本期探讨的重点，我们参考了美国协调卫生信息安全与隐私的合作组织（HealthInformationSecurityPrivacyCollaboration，HISPC[7]）项目工具包中数据交换场景与隐私安全问题讨论框架[8]，重点分析了健康医疗数据在“以个体为中心”的健康医疗服务领域的应用场景（见表2），具体的隐私安全要求和实践在后续章节中深入阐述。;表2健康医疗服务领域数据开放场景隐私安全分析;;18项身份识别信息如下：

姓名；

小于省级的地址，包括街道，城市，地区和三位以后的邮编；

除年份以外与个人相关的日期，包括

（生日、进院日、出院日、死亡日期、超过89岁的年龄）；

电话号码；

车辆登记号码、车牌号码；

医疗器械标识号和序列号；

传真号码；

电子邮件；

统一资源定位符（UniformResourceLocator，URL）；

社保号码；

IP地址；

病历编号；

指纹等生物标记信息；

医疗保险号码；

正面全脸照片；

银行账户号码；

证件号码（身份证、驾照等）；

任何其他可用于识别的编码或特征。;集中在安全规则（SecurityRule）中，安全规则是针对以电子形式存储和传输的PHI，HIPAA将其定义为“受保护的电子健康信息”

（ElectronicProtectedHealthInformation，ePHI）。HIPAA的安全规则分为必选规则和推荐规则，其中必选规则是CE和BA必须遵循的安全规则，共13条；推荐规则则是CE和BA可以根据自身的情况决定是否采纳，其中不采纳的规则需要说明理由和采取其他的保障措施。安全保护措施具体可以分为管理保护（AdministrativeSafeguards）、物理保护（PhysicalSafeguards）、技术保护

（TechnicalSafeguards）三个方面。;信息的活动；

完整性：建议以电子机制，来确认受保护信息没有被以未授权的方法修改或销毁。

个人和机构认证：应有相关程序，以确认接触信息的个人和机构确实为本人；

传输安全：CE应采取相关安全措施，以避免未经授权的人，透过电子传输网络，而接触电子受保护健康信息。此条包括两条建议，包括采取相关措施确认传输时未被修改和必要时传输时采取加密机制。;的信息，包括控制者身份和联系方式，个人信息处理的目的和法律基础，个人信息的种类等。;HIPAA和GDPR对其保护的数据类型都做出

表3美国与欧盟隐私安全法规比较;;15;保护均直接引用了法案中的内容。;17;有些平台甚至细化到每个数据条目的授权使用控制。;;（3）未能清楚界定健康医疗信息的权属问题，限制患者获取个人健康医疗信息并掣肘健康医疗大数据的发展。;构（含中医药服务机构，下同）负责人口健康信息的采集、利用、管理、安全和隐私保护，是人口健康信息管理中的责任单位；（3）规定了责任单位采集、利用、管理人口健康信息时应遵循的相关规则。;信息。;;表8国内外隐私安全法规中信息主体权利比较;25;26;;;披露者知晓有关此类法律运作的存在以及使用边界，允许披露者有权提出反对，确保信息在二次使用中权责明确。;