现行基准： 个人信息保护法（2021）+ 人类遗传资源管理条例（2023修订）+ 医疗卫生机构数据安全管理规范
健康医疗数据合规
最后更新：2026-04-06 | 由 LLM 基于知识库原始资料编译
关联概念：个人信息保护 | 敏感个人信息处理规则 | 生物识别信息保护
核心法条
- 《个人信息保护法》第 28—32 条——医疗健康信息属于敏感个人信息的明确分类 [现行有效]
- 第 28 条：医疗健康信息一旦泄露容易导致人格尊严受到侵害或人身、财产安全受到危害
- 第 29 条：处理医疗健康敏感个人信息应取得个人的单独同意
- 第 30 条：应告知处理医疗健康信息的必要性以及对个人权益的影响
- 《个人信息保护法》第 55 条：处理医疗健康敏感个人信息前应进行个人信息保护影响评估（PIA） [现行有效]
- 《人类遗传资源管理条例》（国务院令第 717 号，2019 年施行；2023 年修订）——基因等人类遗传资源的采集、保藏、利用和出境管理 [现行有效]
- 《基本医疗卫生与健康促进法》第 92 条：国家采取措施，保障公民健康信息安全 [现行有效]
- 《医疗卫生机构网络安全管理办法》（国家卫健委，2022 年 12 月施行）——医疗卫生机构数据安全管理的具体规则 [现行有效]
- 《全国医院信息化建设标准与规范》——医院信息系统的数据安全要求 [现行有效]
规则沿革
| 时间节点 |
变化内容 |
依据 |
| 2019-07-01 |
《人类遗传资源管理条例》施行 |
现行有效（2023 修订） |
| 2021-11-01 |
《个人信息保护法》明确医疗健康信息为敏感个人信息 |
现行有效 |
| 2022-12-01 |
《医疗卫生机构网络安全管理办法》施行 |
现行有效 |
| 2023-07-01 |
《人类遗传资源管理条例》修订，优化人类遗传资源监管 |
现行有效 |
| 2025-01-01 |
个保条例进一步细化医疗健康信息处理规范 |
现行有效 |
一、健康医疗数据的范围与分类
法定分类框架
| 类别 |
具体类型 |
敏感度等级 |
| 个人健康信息 |
电子病历、体检报告、用药记录 |
敏感个人信息 |
| 医疗卫生数据 |
医疗统计数据、流行病学数据 |
视情况而定（部分为重要数据） |
| 人类遗传资源 |
基因数据、遗传家系数据、生物样本 |
高度敏感 / 重要数据 |
| 穿戴设备数据 |
心率、睡眠、运动数据 |
视关联程度（可识别个体时属于敏感个人信息） |
| 基因测序数据 |
全基因组测序、外显子组测序、SNP 数据 |
感 / 重要数据 |
| 心理健康数据 |
心理咨询记录、心理测评结果 |
敏感个人信息 |
特殊分类：重要数据
某些健康医疗数据可能同时属于重要数据（DSL 语境下的重要性分类），例如：
| 数据类型 |
成为重要数据的原因 |
| 大规模人群健康统计 |
涉及公共卫生安全和国家安全 |
| 遗传资源数据 |
涉及国家生物安全 |
| 传染病监测数据 |
涉及公共卫生安全 |
二、医疗机构的合规义务
电子病历管理
| 要求 |
具体内容 |
| 访问控制 |
医务人员按岗位授权访问，禁止越权查阅 |
| 审计追踪 |
记录对电子病历的查阅、复制、修改等操作 |
| 保存期限 |
门诊病历不少于 15 年，住院病历不少于 30 年 |
| 患者权利保障 |
患者有权查阅、复制自己的病历资料 |
| 去标识化 |
用于科研、教学的病历应进行去标识化处理 |
个人信息处理合规
| 环节 |
合规要求 |
| 收集 |
仅在诊疗必需范围内收集，不得过度收集 |
| 同意 |
超出诊疗目的的其他利用应征得患者单独同意 |
| 委托处理 |
委托第三方处理患者信息的，应签订数据处理协议 |
| 存储 |
医疗数据应在境内存储，确需出境的应通过安全评估 |
| 删除 |
患者请求删除的（超出病历保存期限的），应当删除 |
三、人类遗传资源管理
采集与保藏
| 活动 |
审批要求 |
| 采集重要遗传家系的人类遗传资源 |
需经科技部批准 |
| 采集特定地区、特定民族的人类遗传资源 |
需经科技部批准 |
| 保藏人类遗传资源 |
需取得保藏许可证 |
| 利用中国人类遗传资源开展国际合作 |
需经科技部备案或审批 |
国际合作研究
| 要求 |
内容 |
| 审批/备案 |
与外方合作利用人类遗传资源的，应通过科技部审批或备案 |
| 中方参与 |
中方单位及其研究人员应实质性参与 |
| 伦理审查 |
应通过中方伦理审查委员会审查 |
| 成果共享 |
研究成果由双方共享 |
出境限制
| 活动 |
管制要求 |
| 人类遗传资源材料出境 |
需经科技部审批并取得出口许可 |
| 人类遗传资源信息出境 |
需备案并提供备份，重大影响的需审批 |
四、互联网医疗和远程医疗
互联网医院数据合规
| 合规要求 |
说明 |
| 患者身份验证 |
确保就诊人身份信息真实 |
| 处方管理 |
电子处方需加密存储，防止篡改 |
| 数据本地化 |
互联网医疗数据应存储于境内服务器 |
| 第三方平台责任 |
第三方平台不得超范围收集、使用患者数据 |
远程医疗的跨境问题
| 场景 |
合规路径 |
| 跨境远程会诊 |
需确保患者数据（特别是敏感个人信息和遗传数据）出境合法 |
| 境外专家参与会诊 |
应进行数据出境风险评估并采取安全措施 |
五、可穿戴设备与健康 App
主要合规问题
| 问题 |
合规要点 |
| 数据采集范围 |
仅采集服务功能必需的数据 |
| 用户同意 |
首次使用时明确告知并获得同意 |
| 敏感信息处理 |
心率、血糖等健康数据属于敏感个人信息，需单独同意 |
| 数据共享 |
与第三方共享健康数据需另行取得同意 |
| 数据删除 |
用户注销账号时应删除相关数据 |
执法关注点
- APP 是否存在超范围收集健康信息
- 是否存在默认勾选/捆绑同意
- 是否向用户提供便捷的撤回同意和删除机制
六、AI 医疗与训练数据
医疗 AI 训练数据的特殊要求
| 要求 |
说明 |
| 数据去标识化 |
训练前必须完成充分的去标识化处理 |
| 伦理审查 |
使用患者数据进行算法训练需通过伦理审查 |
| 数据来源 |
确保数据来源合法、取得充分授权 |
| 偏差控制 |
避免训练数据中的群体偏差导致诊断歧视 |
七、法律责任
行政处罚
| 法律依据 |
处罚 |
| PIPL 第 66 条（违规处理敏感个人信息） |
一般：100万元以下罚款；严重：5000万元或营业额5%以下罚款 |
| DSL 第 45 条（未履行数据安全保护义务） |
10—100万元罚款；严重：100—1000万元 |
| 《人类遗传资源管理条例》第 36—40 条 |
没收违法所得、50—500万元罚款 |
刑事责任
| 罪名 |
适用情形 |
| 侵犯公民个人信息罪（《刑法》第 253 条之一） |
非法买卖、泄露患者信息 |
| 非法采集人类遗传资源罪 |
违反条例非法采集、保藏、出境 |
八、合规实务清单
- 建立医疗数据分类分级制度
- 取得患者单独同意（超出诊疗目的的使用）
- 完成伦理审查和 PIA 评估（科研用数据利用）
- 电子病历访问控制和审计
- 去标识化处理（科研、教学使用的病历）
- 数据本地化存储
- 建立数据出境评估机制
- 人类遗传资源的采集和出境审批
- 可穿戴设备和 APP 合规整改
- 与第三方签订数据处理协议
知识库原始资料索引
法律法规