医疗健康大数据安全与隐私保护手册（执行版）.docxVIP

医疗健康大数据安全与隐私保护手册（执行版）

第1章总则与合规框架

1.1法律法规体系解读

首先需明确《中华人民共和国网络安全法》是指导医疗健康数据治理的基石，该法明确规定了网络运营者必须采取技术措施保障数据安全，并规定了因泄露、篡改、丢失数据造成损害的法律责任，要求医疗机构建立专门的数据保护制度。《个人信息保护法》（PIPL）作为专门针对个人信息保护的法规，确立了“最小必要”原则，禁止过度收集患者隐私数据，并要求在收集、使用、存储过程中进行加密处理，确保个人信息权益不受侵犯。

针对医疗行业特殊性，必须依据《数据安全法》中关于重要数据分类分级保护的规定，将患者的电子病历、影像资料等划分为核心数据、重要数据和一般数据，实施差异化的保护策略。国家卫健委发布的《医疗数据安全管理规范》进一步细化了医疗机构数据全生命周期管理要求，强调数据在采集、传输、共享、销毁各环节的合规性，禁止未经授权的跨境传输。同时，需关注《数据安全法》第二十一条关于“安全评估”的规定，医疗机构在开展大数据应用前，必须根据数据风险等级申请开展相应的数据安全保护水平评估，以证明已建立有效防护体系。

应结合《个人信息保护法》第二十二条关于“告知同意”的要求，在获取患者授权前，必须通过电子签名、短信确认等方式明确告知数据用途，并取得患者的书面或电子同意。

1.2数据安全基本原则

安全保护必须遵循“默认不