医生诊疗时调阅电子健康记录，是否需要患者的“单独同意”？ | 琚文胜专栏

来源：HIT专家网 作者：北京市卫生健康委信息中心主任 琚文胜

2021年8月20日，《中华人民共和国个人信息保护法》表决通过，并将于2021年11月1日施行。

有人认为，该法严苛程度堪比《欧盟通用数据保护条例》。《华尔街日报》也称其为“全球最严格的数据保护法案之一”。

“单独同意”有待进一步的权威解释

在该法通过当天，“处理生物识别、医疗健康、金融账户、行踪轨迹等敏感个人信息，应取得个人的单独同意”成为媒体突出报道的法规条款之一，显示出这项条款在该法中的特殊地位。

就医疗健康领域的相关实践而言，结合该法对个人信息处理的规定，可以理解为：对个人健康信息的收集、存储、使用、加工、传输、提供、公开、删除等，都应取得个人的单独同意。

在数字化较为发达的今天，在医疗卫生领域，对个人健康信息的处理是一项日常性、基础性的工作，发生频率很高，该法中“单独同意”的具体内涵是什么，如何施行“单独同意”才是具有法律效力的行为过程，需要权威部门做出更具体细致的解释说明。而这个“释法”，对于在保护个人信息与推进数字医疗、提升医疗质量、方便患者之间取得“最大公约数”，无疑将起着非常重要的作用。

除现场“单独同意”外，是否还可以有其他方式？

现实中，医生为了提供诊疗服务，需要从医生工作站调阅患者的电子健康记录。该电子健康记录大多存储于区域卫生信息平台上，往往同时包含了患者在其他医院的就诊资料，有的甚至汇集了患者从出生以来所有的医疗保健信息。在这种情况下，如何履行患者的“单独同意”非常重要。

一方面，过去信息化水平低，患者从一家医院到另一家医院就诊，往往带着纸质病历，有的还有医学影像胶片，当患者主动把这些材料递给医生时，实际就包含了“单独同意”。

而现在，医生通过信息系统就可以查看患者在其他医院的诊疗信息，而且很可能医生能看到的信息比患者能看到还要多，患者对此还未必知情。在这种情况下，就需要取得患者的“单独同意”。

有的医院在患者在手机上预约挂号时，履行患者的同意授权过程；而有的地方是医生在医生工作站发起调阅电子健康记录时，患者会收到系统发送的短信验证码，患者告知医生该短信验证码之后，才能正常调阅患者的电子健康档案信息。

国家发布的推荐性标准《信息安全技术 健康医疗数据安全指南》（GB/T 39725-2020）中也提出：数据调阅时，宜考虑患者知情同意，例如调阅患者在其他机构的数据时，通过患者手机扫码授权。

但是，另一方面，这种现场的“单独同意”不仅增加了医生与患者的沟通环节，也增加了操作环节和诊疗时间，必将降低医生主动发起调阅的意愿，削弱电子健康记录系统的使用效果，不利于医疗卫生信息系统的互通共享，更难以实现减少重复检查、减少医疗差错、降低费用等目标，这种做法的负作用在实践中也得到了印证。

那么，除上述现场的“单独同意”之外，是否还可以有其他可行的“单独同意”的方式？

以落实《个人信息保护法》为契机，进一步优化健康信息利用的法律环境

在《个人信息保护法》出台之前，有关个人信息处理的规定散布在不同的法规、政策或标准之中，这些规定有的笼统宽泛，有的相对具体但相互之间的衔接并不一致，给具体工作带来困扰。

笼统宽泛的如《数据安全法》，其在第三十八条规定：（国家机关）对在履行职责中知悉的个人隐私、个人信息、商业秘密、保密商务信息等数据应当依法予以保密，不得泄露或者非法向他人提供；《基本医疗卫生与健康促进法》第三十三条规定：医疗卫生机构、医疗卫生人员应当关心爱护、平等对待患者，尊重患者人格尊严，保护患者隐私；新近发布的《医师法》规定，“依法保护患者隐私和个人信息”是医师在执业活动中需要履行的义务，如果“泄露患者隐私或者个人信息”，将会给予警告或没收违法所得、罚款、暂停执业活动直至吊销医师执业证书等处罚。

有的法规政策对个人信息处理的规定相对具体，但它们之间的不一致反而更加突显。如《民法典》第1035条规定处理个人信息的，应当征得该自然人或者其监护人同意；第1036条又规定了除外的情况，即“为维护公共利益或者该自然人合法权益，合理实施的其他行为”，“行为人不承担民事责任”。如果将医护人员在提供医疗服务时共享调阅电子健康记录的行为理解成为了维护患者的合法权益而合理实施的其他行为，那么医护人员可以不用征得同意。

但是2020年3月发布的国家推荐标准《信息安全技术 个人信息安全规范》（GB/T35273-2020）规定，在“出于维护个人信息主体或其他个人的生命、财产等重大合法权益但又很难得到本人授权同意的”情况下，个人信息控制者收集、使用个人信息不必征得个人信息主体的授权同意。该标准的原则是只要能够得到本人授权同意，就需要有“授权同意”。这意味着，在医疗服务中共享调阅电子健康记录需要患者的同意，因为在大多数的诊疗活动中，医务人员得到患者本人同意并不属于“很难”。

原国家卫生计生委《医疗机构病历管理规定（2013）》中第十五条规定，“除为患者提供诊疗服务的医务人员”，其他任何机构和个人不得擅自查阅患者病历。这条规定也可以理解为医务人员如果是为了提供诊疗服务，查阅病历时并不需要患者的同意。但是这条规定是针对病历而言，病历通常被认为是患者在同一家医院内的诊疗资料，并不适用于调阅来自不同医疗机构的患者电子健康记录。

《个人信息保护法》规定，对个人信息的处理包括“收集、存储、使用、加工、传输、提供、公开、删除等”，“调阅”仅是其中“使用”的一种方式。从上述列举的规定可以看出，仅针对其中的一种方式，不同的文件就有不同的规定，那么对于其它的信息处理方式也很可能存在不同文件“众说纷纭”的情况，这将导致具体的执行者无可适从。此外，不同的文件分属法律、政策、标准等不同层级，有不同效力，对于广大基层工作者来说，如果没有专业的指导，很难理解到位并规范执行。

《个人信息保护法》专门针对个人信息的处理与保护，内容全面系统，对实践有很强的指导作用。但仔细研读其中条文，再结合健康信息利用的实际，仍感觉有一些条款需要进一步的阐释明确，如本文着重讨论的“单独同意”就需要专业、权威的部门更进一步地解释其所涉及的具体内涵、是否可以有不同的实现的路径，或者附有相应的条件等。

此外，也可以在《个人信息保护法》之下，出台相应行政法规，进一步细化的个人健康信息的应用与保护规则。有一些国家或地区就采取了类似的做法，如加拿大在联邦层面有《个人信息保护和电子文档法》的基础上，安大略、阿尔伯塔等省有专门针对健康信息处理与保护的法规；澳大利亚有《隐私法》，为在全国范围内推广应用“我的健康记录”信息系统，专门出台了《我的健康记录法》；香港有《个人资料（私隐）条例》，专门出台了《香港电子健康纪录互通系统条例》等。完善的法律法规为规范处理健康信息并充分发挥其价值营造了良好的法律环境。

【作者简介】

琚文胜，北京市卫生健康委信息中心主任，北京市卫生健康委政策研究中心主任，中国医院协会信息专业委员会副主任委员。首都医科大学管理学硕士，美国明尼苏达大学公共管理学访问学者。

主持制定《北京市公共卫生信息系统建设规划》、《北京市“十三五”时期全民健康信息化发展规划》等。主持电子病历共享工程、社区卫生服务管理信息系统、计划免疫管理信息系统、妇幼保健管理信息系统等二十多项北京卫生行业重大信息系统建设。《数字医学概论》、《医院管理学——信息管理分册》编委，《医院电子病历数字签名实施指南》主编。

【责任编辑：晓青】