近年来，国际数据交易已呈现高速发展态势，数据出境一直是数据合规领域的重要话题，而关系国计民生的健康医疗行业，更被认为是数据出境合规高风险领域之一。

数据跨境流动不仅有利于人类命运共同体的建设，也有助于促进国际投资贸易的往来合作，是经济全球化的必然要求。目前，我国已紧密结合数据贸易潮流，大力鼓励并促进相关行业的发展。但健康医疗数据出境事关我国经济开放大局，与国家安全和数据主权紧密相关，在数据流通自由的情况下，更应严格规范数据出境活动，加强对个人信息的保护，重视企业数据安全保护能力，以保障数据出境合规有序且高质量流转。

本文聚焦健康医疗数据出境安全标准，结合我们在医疗健康领域积累的业务经验，主要对健康医疗数据出境涉及的安全评估及合规要点进行梳理和建议。

一、关于健康医疗数据

出境法律沿革及监管

为了规范数据出境活动，近五年来，我国针对健康医疗数据安全及数据出境方面已出台一系列相关法规政策，对数据保护及数据贸易都提出了更高的要求，我们将现阶段法规政策归纳如下：

根据上述法规政策要求，可见我国对健康医疗数据出境监管重点要求事前评估和持续监督相结合，严格要求企业进行数据出境风险自评估。当数据处理者向境外提供数据符合法定情形时，需通过省级网信部门向国家网信部门申报数据出境安全评估，如涉及健康状况、个人属性等重要数据出境，还应征求相关行业主管部门意见，其主要监管原则和特点包括 ：

1、数据出境目的合法正当原则

2、数据出境风险可控原则

3、健康医疗企业数据处理权责一致原则

4、保障公民知情同意权，强化隐私安全保护

5、平衡数据流动及数据保护关系

二、国际法律环境下

数据跨境流动的** **规制及价值取向

正值《通用数据保护条例》（简称GDPR）出台四周年之际，现观全球数据保护格局已发生变化，更多国家侧重于构建实质上的数据保护跨境传输规则。

对于欧盟国家，数据跨境传输的监管一直是数据保护立法框架下的重点，其数据跨境传输保障机制主要包括：充分性决定、具有约束力的公司规则和标准合同条款。2021年6月欧盟最新版跨境传输SCCs，进一步加强了对数据处理的规制，详细划分了四类数据跨境传输场景，对当前国际数据流动的多样性以及日趋复杂的数据跨境流动场景做了标准规定，为各方主体之间全类型的数据交互提供了法律基础。

美国作为健康医疗药械产业发达的国家，拥有庞大的产业和较强监管措施，尤其在医疗健康行业大数据实践布局方面，其清单标准、安全管理及限制政策相对成熟，可为我国数据发展道路探索提供新的思路。

我们可以看到，数据真正的价值在于使用，数据安全评估以及数据出境合规管理的核心不是避免数据使用，而是要实现数据开放与国家安全及个人隐私风险之间的平衡。

现阶段我国健康医疗的部分数据流动应用场景已实现商业化，但仍有大量健康医疗数据出境应用场景处于探索阶段，仅满足中国法律下的单向合规已成为过去式，作为为公司保驾护航的法律工作者，有义务和责任帮助公司规范数据出境活动，促进数据跨境流动双向合规，实现框架下的自由。

三、关于健康医疗数据出境安全评估

对于健康医疗数据出境业务，我国医药公司及机构的数据跨境流通与共享面临着境外与境内法律法规的双重监管挑战，我国目前尚未对健康医疗数据出境进行专项的法律规制，但对企业的责任要求已散见于各类法规政策之中。根据《数据安全法》、《个人信息保护法》、《数据出境安全评估办法》、国家标准《健康医疗数据安全指南》、《数据出境安全评估指南》等一系列政策文件要求，当数据处理者向境外提供数据符合以下情形之一时，即应通过省级网信部门向国家网信部门申报数据出境安全评估 ：

Ø 关键信息基础设施的运营者收集和产生的个人信息和重要数据；

Ø 出境数据中包含重要数据；

Ø 处理个人信息达到一百万人的个人信息处理者向境外提供个人信息；

Ø 累计向境外提供超过十万人以上个人信息或一万人以上敏感个人信息。

由此可见，我国非常重视数据出境安全问题，虽然数据安全评估是数据出境的路径之一，而非唯一，但对于医药健康企业来说，其收集、存储、共享等数据大部分是被定义为重要数据的，因此，对于医药行业应主动履行自评估义务并严格遵守国家网信部门数据出境评估要求，对此我们提示以下重点评估项目：

（一）关于企业健康医疗数据出境风险自评估重点内容

1、健康医疗数据出境及境外接收方处理数据的目的、范围、方式等的合法性、正当性和必要性；

2、健康医疗数据的分级分类及数据权利归属，是否征得权利人知情同意；

3、出境数据的数量、范围、敏感程度及风险评估；

4、数据转移环节管理及技术措施能力，是否可以防范数据泄露、毁损等风险；

5、与境外接收方订立的数据出境合同中是否约定数据安全保护责任义务；

6、境外健康医疗数据接收方的主体资格审查及其履行责任义务的技术措施及能力；

7、关于数据出境后再转移的风险评估以及个人维权渠道是否通畅；

8、关于健康医疗数据出境合同内容的评估，包括出境目的、数据范围、接收方式、处理用途、保存地点期限、再转移约束条款、合同终止后数据处理、违约责任及争议解决条款等。

（二）关于国家网信部门进行数据出境风险评估重点内容

1、企业申报数据出境安全评估提交文件包括：申请书、数据出境风险自评估报告、与境外接收方订立的合同或其他具有法律效力的文件；

2、数据出境的目的、范围、方式等的合法性、正当性和必要性；

3、境外接收方所在国家或地区的数据安全保护政策法规及网络安全环境对出境数据安全的影响；

4、出境数据的数量、范围、种类及敏感程度；

5、出境中和出境后泄露、篡改、丢失、破坏、转移或被非法获取、非法利用的风险；

6、数据处理者与境外数据接收方订立的合同是否充分约定了数据安全保护责任义务。

关于健康医疗数据出境风险自评估与安全评估相结合的模式，虽然是对相关企业提出了更高更严的要求，但对国家安全和企业安全有着更有利的保障。上述关于数据出境安全评估的重点提示意在为企业提供指引，规范企业履行数据出境评估义务。

四、关于健康医疗数据

出境合规管理建议

可以看出，数据安全评估不等于数据出境管理的全部，并非全部数据出境行为都要受制于安全评估，但数据跨境流动的合规管理确是医药企业进入国际贸易的必要前提。对于健康医疗数据出境的合规管理，建议企业从以下几个方面着手建立或完善数据合规体系：

（一）健康医疗数据分类分级管理

数据分类分级既是《数据安全法》、《个人信息保护法》下的合规要求，也是数据出境安全评估的重要基础。健康医疗行业发展至今，涉及诸多重要数据并且掌握大量个人敏感信息，关于健康医疗数据分类，可参考国家标准《健康医疗数据安全指南》分为以下六类：

根据数据重要程度和风险级别以及对健康医疗数据主体可能造成损害及影响，可将数据分为五个级别，其相应合规安全要点如下：

Ø 第1级

（可完全公开使用）：如医院名称地址等，属于公开信息，可直接在互联网公开。

Ø 第2级

（可在较大范围供访问使用）：如不能识别个人信息的数据，可用于临床研究、医学教育及药械研发等。需进行去标识化处理，通过协议或共享模式管控，并且需确保数据的完整性和真实性。

Ø 第3级

（可在中等范围供访问使用）：经部分去标识处理的数据，例如体检排号通知等。需隐蔽个人信息部分，不可对患者和工作人员造成生活影响。

Ø 第4级

（在较小范围内供访问使用）：可准确识别的个人信息，例如基因测序、传染病管控等，该部分数据可用于远程医疗等方面。因涉及个人标识信息，且属于重要数据，对于该部分数据出境，应严格履行安全评估义务，数据处理者应严格管控，高标准的保证数据的完整性和可用性。

Ø 第5级

（仅在极小范围且严格限制条件下访问使用）：涉及特殊病种详情数据，因疾病极其敏感且属于重要数据，除严格遵守安全评估义务外，还应严格进行访问权限控制，以保障个人健康隐私数据安全。

健康医疗企业有关国民生计，涉及诸多重要数据并掌握大量个人敏感信息，因此对于健康医疗数据出境，企业必须建立严格的分类分级合规保护体系，设置不同的跨境流动管理和技术措施，有助于企业在落实合规要求和高效开展业务之间寻求平衡。

（二）结合数据出境合规管理安全产品，定期进行数据安全“体检”

健康医疗数据在国际间流转的过程中有着巨大的科研价值并将赋能给企业，对于企业来说，应将科研数据研究与信息技术安全放在同等重要的位置，建议企业强化技术赋能，量身定做数据安全合规管理产品，善用技术手段处理合规难题。

一方面，企业可以联合数据安全公司共同设置跨境数据识别及预警系统；另一方面，企业也可以用技术加密、去标识化等手段将合规成本较高的数据类型转换为风险较小的数据类型。此外，企业可建立数据内部评估清单，定期开展数据安全体检，以保障数据商业化在合规管理中有序进行。健康医疗数据出境的合规方案设计应与信息技术协同前行，用科学技术降低数据合规风险。

（三）根据不同数据流通场景调整合规方案

数据经济时代，数据跨境流转场景较为复杂，仍有大量应用场景处于探索阶段。因此，企业应对数据出境传输场景保持高度敏感，对于数据控制者、处理者和使用者等多方关系，需快速确认角色合规义务，准确识别数据类型，明确数据流转模式，灵活调整数据出境传输的合规方案。

（四）关于数据出境接收方面的合规审查

对于涉及海外业务的企业，数据跨境流通面临着双重合规监管。企业不仅要保证自身数据安全且符合我国监管要求，而且需要考虑数据出境接收方信用资质、技术能力、处理方案以及当地的数据安全法律环境，企业应主动审视数据在国际间流转的合规风险。

（五）坚持国家安全及个人隐私保护

数据的安全与国家主权的安全日益密切，个人数据隐私保护及数据跨境传输已关乎政治博弈。其中，健康医疗数据更不同于其他行业，事关患者生命安全、个人信息安全、社会公共利益以及国家安全。不仅具有国际贸易经济价值，更具有全球科研医学价值。我国企业应牢守数据安全红线，重视数据权利人的知情同意与选择权，建立相应的权利救济措施，以充分保障个人信息安全。

综上我们可以看出，我国在保护健康医疗数据安全的同时，积极推动数据的融合共享和开放应用。从全球范围看，数据流动对于经济增长已做出重要贡献，数据跨境流动已成为经济全球化的必然趋势。因此，本法律服务团队希望通过以上分享，协助企业推动数据跨境合规有序，加强数据跨境流动制度建设，以实现数据跨境流动与风险防控的最佳平衡。