高子云 李健

北京工業(yè)大學(xué)計(jì)算機(jī)學(xué)院 北京 100124

0 前言

近年來醫(yī)療健康檔案信息資源開放利用的力度逐漸加大，醫(yī)療健康檔案利用中的問題也日漸突出，其中公民的隱私保護(hù)問題更是醫(yī)療衛(wèi)生界和法律界共同關(guān)注的課題。醫(yī)療健康檔案的開放既要維護(hù)每一個(gè)社會(huì)利用者的利用權(quán)，又要保護(hù)健康檔案形成者和隱私關(guān)聯(lián)人的隱私權(quán)。唯有協(xié)調(diào)醫(yī)療健康檔案利用者與形成者之間的權(quán)利沖突，才能使醫(yī)療健康檔案開放利用工作順利進(jìn)行。同時(shí)，醫(yī)療健康檔案所記錄的內(nèi)容具有隱私性，它是記錄隱私的載體。因此，如何妥善處理好利用醫(yī)療健康檔案為醫(yī)療衛(wèi)生服務(wù)和保護(hù)醫(yī)療健康檔案主體的隱私權(quán)的這一組矛盾，是區(qū)域衛(wèi)生信息系統(tǒng)中開展檔案信息服務(wù)工作的主要任務(wù)之一。

1 醫(yī)療健康檔案的概念

1.1 基本概念

醫(yī)療健康檔案是居民健康管理(疾病防治、健康保護(hù)、健康促進(jìn)等)過程的規(guī)范、科學(xué)記錄。是以居民個(gè)人健康為核心，貫穿整個(gè)生命過程，涵蓋各種健康相關(guān)因素、實(shí)現(xiàn)多渠道信息動(dòng)態(tài)收集，滿足居民自我保健和健康管理、健康決策需要的信息資源。

“病歷”是醫(yī)療機(jī)構(gòu)對門診、住院患者(或保健對象)臨床診療、指導(dǎo)干預(yù)的衛(wèi)生服務(wù)工作記錄。醫(yī)療健康檔案與“病歷”既有區(qū)別、更有聯(lián)系?！安v”是醫(yī)療健康檔案的主要信息來源和重要組成部分，醫(yī)療健康檔案對“病歷”的信息需求并非“病歷”的全部，具有高度的目的性和抽象性。

1.2 基本內(nèi)容

根據(jù)國家 2009年發(fā)布的《健康檔案基本架構(gòu)與數(shù)據(jù)標(biāo)準(zhǔn)(試行)》，醫(yī)療健康檔案的基本內(nèi)容主要由個(gè)人基本信息和主要衛(wèi)生服務(wù)記錄兩部分組成，如圖1所示。

1.2.1 個(gè)人基本信息

包括人口學(xué)和社會(huì)經(jīng)濟(jì)學(xué)等基礎(chǔ)信息以及基本健康信息。其中一些基本信息反映了個(gè)人固有特征，貫穿整個(gè)生命過程，內(nèi)容相對穩(wěn)定、客觀性強(qiáng)。主要有：

（1）人口學(xué)信息：如姓名、性別、出生日期、出生地、國籍、民族、身份證件、文化程度、婚姻狀況等。

（2）社會(huì)經(jīng)濟(jì)學(xué)信息：如戶籍性質(zhì)、聯(lián)系地址、聯(lián)系方式、職業(yè)類別、工作單位等。

（3）親屬信息：如子女?dāng)?shù)、父母親姓名等。

（4）社會(huì)保障信息：如醫(yī)療保險(xiǎn)類別、醫(yī)療保險(xiǎn)號碼、殘疾證號碼等。

（5）基本健康信息：如血型、過敏史、預(yù)防接種史、既往疾病史、家族遺傳病史、健康危險(xiǎn)因素、殘疾情況、親屬健康情況等。

（6）建檔信息：如建檔日期、檔案管理機(jī)構(gòu)等。

1.2.2 主要衛(wèi)生服務(wù)記錄

醫(yī)療健康檔案與衛(wèi)生服務(wù)活動(dòng)的記錄內(nèi)容密切關(guān)聯(lián)。主要衛(wèi)生服務(wù)記錄是從居民個(gè)人一生中所發(fā)生的重要衛(wèi)生事件的詳細(xì)記錄中動(dòng)態(tài)抽取的重要信息。按照業(yè)務(wù)領(lǐng)域劃分，與醫(yī)療健康檔案相關(guān)的主要衛(wèi)生服務(wù)記錄有：

（1）兒童保?。撼錾t(yī)學(xué)證明信息、新生兒疾病篩查信息、兒童健康體檢信息、體弱兒童管理信息等。

（2）婦女保健：婚前保健服務(wù)信息、婦女病普查信息、計(jì)劃生育技術(shù)服務(wù)信息、孕產(chǎn)期保健服務(wù)與高危管理信息、產(chǎn)前篩查與診斷信息、出生缺陷監(jiān)測信息等。

（3）疾病預(yù)防：預(yù)防接種信息、傳染病報(bào)告信息、結(jié)核病防治信息、艾滋病防治信息、寄生蟲病信息、職業(yè)病信息、傷害中毒信息、行為危險(xiǎn)因素監(jiān)測信息、死亡醫(yī)學(xué)證明信息等。

（4）疾病管理：高血壓、糖尿病、腫瘤、重癥精神疾病等病例管理信息，老年人健康管理信息等。

（5）醫(yī)療服務(wù)：門診診療信息、住院診療信息、住院病案首頁信息、成人健康體檢信息等。

1.3 系統(tǒng)架構(gòu)

健康檔案的系統(tǒng)架構(gòu)是以人的健康為中心，以生命階段、健康和疾病問題、衛(wèi)生服務(wù)活動(dòng)(或干預(yù)措施)作為三個(gè)緯度構(gòu)建的一個(gè)邏輯架構(gòu)，用于全面、有效、多視角地描述健康檔案的組成結(jié)構(gòu)以及復(fù)雜信息間的內(nèi)在聯(lián)系。通過一定的時(shí)序性、層次性和邏輯性，將人一生中面臨的健康和疾病問題、針對性的衛(wèi)生服務(wù)活動(dòng)(或干預(yù)措施)以及所記錄的相關(guān)信息有機(jī)地關(guān)聯(lián)起來，并對所記錄的海量信息進(jìn)行科學(xué)分類和抽象描述，使之系統(tǒng)化、條理化和結(jié)構(gòu)化。

健康檔案的三維系統(tǒng)架構(gòu)如圖2所示。

圖2 健康檔案的三維系統(tǒng)模型

2 醫(yī)療健康檔案的特點(diǎn)

由醫(yī)療健康檔案所包含的基本內(nèi)容可以看出，它包含的信息遠(yuǎn)大于傳統(tǒng)的健康檔案，并且是一個(gè)連續(xù)的動(dòng)態(tài)過程記錄。它主要記錄人一生的生理健康、精神健康或與健康狀況相關(guān)的信息。其內(nèi)容主要包括每個(gè)人的生活習(xí)慣、既往病史、疾病診療情況、家族病史、歷次體檢結(jié)果等。由此可見醫(yī)療健康檔案的信息具有特殊性，主要表現(xiàn)在：(1)人身專屬性。健康檔案中記錄、儲存的信息與特定的個(gè)人不可分割，其記錄的是一個(gè)人成長過程中所有健康衛(wèi)生信息；(2)敏感性。健康檔案中的信息包含既往病史、生理狀況等，特別是涉及有傳染、艾滋、精神等特殊疾病的，關(guān)乎人最私密的東西，極具敏感性；(3)安全保密性。健康檔案中的信息具有個(gè)人標(biāo)識，隱私性強(qiáng)，一旦泄露將對個(gè)人生活發(fā)展造成巨大影響，需要加強(qiáng)保密。

3 醫(yī)療健康檔案中的隱私保護(hù)

3.1 醫(yī)療健康檔案所涉及的隱私保護(hù)問題

在區(qū)域衛(wèi)生信息系統(tǒng)中，醫(yī)療健康檔案通過互聯(lián)網(wǎng)以電子數(shù)據(jù)形式加以儲存和利用。然而從醫(yī)療健康檔案的基本內(nèi)容及特點(diǎn)可以看出，其中記錄的健康衛(wèi)生數(shù)據(jù)信息在被利用的同時(shí)，其隱私權(quán)很容易受到網(wǎng)絡(luò)上其他主體的侵犯，表現(xiàn)為：(1)健康信息征集中侵權(quán)。如政府部門的相關(guān)機(jī)構(gòu)為收集公民健康信息進(jìn)行公共健康分析和科學(xué)研究，未經(jīng)當(dāng)事人同意，且收集的信息可能片面、錯(cuò)誤，產(chǎn)生與當(dāng)事人真實(shí)情況不符的現(xiàn)象；(2)健康信息管理中的侵權(quán)。表現(xiàn)為信息機(jī)構(gòu)工作人員不當(dāng)泄密，擅自在網(wǎng)上公布、宣揚(yáng)當(dāng)事人的健康信息隱私；網(wǎng)絡(luò)傳輸系統(tǒng)安全措施有漏洞而泄密，不及時(shí)更新信息，錯(cuò)誤信息不更正，不良信息經(jīng)過法定期限不刪除，使健康信息主體受到不必要的傷害等；(3)健康信息使用中的侵權(quán)。對個(gè)人信息使用超出原定目的，尤其是商業(yè)機(jī)構(gòu)對個(gè)人信息的濫用。

3.2 醫(yī)療健康檔案中隱私保護(hù)的主要措施

醫(yī)療健康檔案中涉及的健康信息是應(yīng)當(dāng)作為個(gè)人隱私權(quán)加以保護(hù)的。“按照美國有關(guān)法律的規(guī)定，凡與任何私人有關(guān)的，對其所有的群體而言并沒有必然的實(shí)質(zhì)性利害關(guān)系的所有數(shù)據(jù)資料都屬于個(gè)人隱私權(quán)的對象。為此，任何利用計(jì)算機(jī)系統(tǒng)收集、存儲、控制及使用與私人有關(guān)數(shù)據(jù)資料者，都有可能構(gòu)成對私人隱私權(quán)的侵害”。隱私首先是指可以有所隱瞞，即個(gè)人可以在不妨害社會(huì)公共利益和他人合法權(quán)益的前提下，依照自己的意愿決定隱瞞某些信息；其次，隱私權(quán)所指隱瞞的內(nèi)容是私人信息、私人事務(wù)、私人領(lǐng)域。在信息技術(shù)高度發(fā)達(dá)的今天，消極被動(dòng)地隱瞞已經(jīng)難以抵御侵犯，隱私權(quán)應(yīng)當(dāng)具有積極的權(quán)能，即對私人信息、私人事務(wù)、私人生活領(lǐng)域的支配和控制。個(gè)人醫(yī)療信息的公開與隱私保護(hù)的沖突，歸根結(jié)底是私人生活與社會(huì)生活之間界限的劃分和個(gè)人利益與公共利益的協(xié)調(diào)。公與私的聯(lián)系、區(qū)分、協(xié)調(diào)、平衡涉及到一系列微妙而復(fù)雜的問題。要解決這些問題，可以通過法律手段和技術(shù)手段來實(shí)現(xiàn)。

3.2.1 通過法律手段實(shí)現(xiàn)醫(yī)療健康檔案中的隱私保護(hù)

目前，我國保護(hù)患者隱私的法律、法規(guī)還存在著以下問題：(1)內(nèi)容缺乏系統(tǒng)性，規(guī)定十分抽象，缺乏可操作性；如醫(yī)患關(guān)系中隱私的概念不清楚，對患者所具有的隱私范圍也沒有立法解釋。實(shí)踐中也存在著對隱私范圍的理解過于狹窄的問題，如只把與性有關(guān)的病情視為隱私信息；(2)對隱私權(quán)的侵害缺乏明確和嚴(yán)厲的法律責(zé)任的規(guī)定；(3)把隱私權(quán)混同于名譽(yù)權(quán)等，這些都弱化了對患者隱私權(quán)的保護(hù)。我國立法也沒有界定公共利益的具體范圍，使醫(yī)療機(jī)構(gòu)有機(jī)會(huì)假借公共利益之名，行侵害患者隱私而為自己謀取私利之實(shí)。如實(shí)踐中便發(fā)生以宣傳計(jì)劃生育為名披露患者結(jié)扎手術(shù)過程的侵權(quán)行為，以宣傳防止近親結(jié)婚而披露患者肖像的行為，還有為宣傳性病、艾滋病防治而侵犯患者隱私的案例。由此可見，我國的這種隱私保護(hù)只是概括、宣言式的，缺少具體、可操作的規(guī)定，并不能有效的起到保護(hù)個(gè)人信息資料隱私的作用。因此對于醫(yī)療健康檔案中信息隱私的保護(hù)很難尋找到相關(guān)的法律依據(jù)。雖然我國信息化進(jìn)程落后于歐美發(fā)達(dá)國家，但在科技高速發(fā)展的今天，各種個(gè)人信息資料正在被廣泛的收集和使用，特別是以個(gè)人健康信息為內(nèi)容的醫(yī)療健康檔案正在建立中。對此，我國在確立隱私權(quán)的獨(dú)立人格權(quán)法律地位之后，還應(yīng)當(dāng)積極制定個(gè)人信息保護(hù)專門立法。

國外設(shè)有專門的電子健康檔案數(shù)據(jù)保護(hù)的立法規(guī)范，有關(guān)電子健康檔案的數(shù)據(jù)保護(hù)被納入數(shù)據(jù)保護(hù)的法令中。如《歐盟數(shù)據(jù)保護(hù)指令》中特別提出了敏感信息資料的概念，其第8條規(guī)定：有關(guān)種族、血緣、政治傾向、宗教或哲學(xué)信仰、工會(huì)員工、健康或性生活等敏感信息原則上禁止處理。信息的處理必須經(jīng)主體的明示同意。主體為合同一方的，為履行合同或依申請可以對信息進(jìn)行處理。信息資料的管理者為了履行法定義務(wù)，保護(hù)當(dāng)事人的重大權(quán)益或?yàn)槁男泄怖嫘允聞?wù)可以對信息作以處理，但這些處理都不得危害當(dāng)事人自由與基本人權(quán)。美國《健康保險(xiǎn)移轉(zhuǎn)和責(zé)任法》，及其隨后公布的隱私規(guī)則規(guī)定了對個(gè)人健康信息隱私的保護(hù)。規(guī)則指出，所謂受保護(hù)的健康信息主要指以任何形式和介質(zhì)保存或傳遞的可識別的個(gè)人健康信息。對此信息，病人有權(quán)取得信息記錄，而且可以對此記錄檢查和復(fù)制。如果記錄有錯(cuò)誤，病人還可以對其進(jìn)行修正。健康服務(wù)者或健康計(jì)劃組織對這些健康信息采取任何措施時(shí)都必須書面通知病人，若要公布這些信息則還要征得病人同意，病人有權(quán)對公布信息的行為作出限制。但是，在法律有特別要求，為病人健康治療考慮或在緊急情況下使用健康信息可以不經(jīng)病人同意。英國的《數(shù)據(jù)保護(hù)法》中對健康衛(wèi)生信息保護(hù)也有所涉及。其規(guī)定，宗教信仰、政治傾向、種族、血緣、健康、基因、性生活等資料往往直接關(guān)乎個(gè)人最隱秘的領(lǐng)域，皆屬于敏感信息，這些信息明顯涉及到個(gè)人極其私密的領(lǐng)域，而且往往與就業(yè)、個(gè)人評價(jià)密切聯(lián)系，非常敏感，故應(yīng)當(dāng)給予嚴(yán)格保護(hù)。

鑒于我國隱私權(quán)保護(hù)現(xiàn)狀的不完善，應(yīng)參照國外的做法，出臺對個(gè)人數(shù)據(jù)信息保護(hù)的相關(guān)立法，在合理利用個(gè)人信息和信息隱私權(quán)保護(hù)之間尋求適當(dāng)平衡。特別是對醫(yī)療健康檔案中較為敏感的個(gè)人信息在保護(hù)時(shí)更應(yīng)予以注意。對個(gè)人健康這類敏感信息應(yīng)予以特別規(guī)范，原則上禁止數(shù)據(jù)管理人處理。對數(shù)據(jù)信息當(dāng)事人賦予特定的權(quán)利；如查詢的權(quán)利；更正、刪除或封存?zhèn)€人信息資料的權(quán)利，拒絕的權(quán)利等，以區(qū)別于其他信息隱私的保護(hù)。在發(fā)揮健康檔案高效、便捷作用的同時(shí)，合理保護(hù)患者個(gè)人信息，達(dá)到既注重個(gè)人對其健康信息資料的自由意志，又強(qiáng)調(diào)對隱私的保護(hù)不應(yīng)當(dāng)成為阻礙個(gè)人信息合理流動(dòng)的障礙。

3.2.2 通過技術(shù)手段實(shí)現(xiàn)醫(yī)療健康檔案中的隱私保護(hù)

在信息化時(shí)代，醫(yī)療健康檔案中健康信息的機(jī)密性不僅受到不正當(dāng)?shù)亟佑|、儲存信息的威脅，也面臨在信息傳輸過程中被截取、篡改的危險(xiǎn)。信息安全是有效保護(hù)隱私權(quán)的技術(shù)前提和保障。為保守國家，醫(yī)院和用戶秘密，維護(hù)用戶的合法權(quán)益，實(shí)現(xiàn)健康檔案的醫(yī)療系統(tǒng)平臺的網(wǎng)絡(luò)，主機(jī)，存儲備份設(shè)備，系統(tǒng)軟件，應(yīng)用軟件等各部分都應(yīng)該具有極高的可靠性。數(shù)據(jù)中心應(yīng)通過一定技術(shù)手段來實(shí)現(xiàn)良好的安全策略，安全手段，安全環(huán)境及安全管理措施。

為從技術(shù)上實(shí)現(xiàn)醫(yī)療健康檔案中的隱私保護(hù)，可采取以下服務(wù)來提供保護(hù)患者隱私和各區(qū)域衛(wèi)生管理機(jī)構(gòu)實(shí)施安全與隱私政策所需的功能。

（1）匿名化服務(wù)：這些服務(wù)保護(hù)患者的隱私和安全，確保在信息平臺中以及提供正常醫(yī)療服務(wù)以外的(例如醫(yī)療保險(xiǎn)、管理、以及某種形式的研究)傳遞中使用的患者資料不向非授權(quán)用戶透露患者的身份。

（2）許可指令管理服務(wù)：許可指令管理服務(wù)轉(zhuǎn)換由立法、政策和個(gè)人特定許可指令帶來的隱私要求，并將這些需求應(yīng)用到區(qū)域衛(wèi)生信息平臺環(huán)境中。在提供訪問健康檔案或經(jīng)過區(qū)域衛(wèi)生信息平臺傳輸健康檔案之前，這些服務(wù)應(yīng)用于健康檔案以確定患者或個(gè)人的許可指令是否允許或限制健康檔案的公開。這些服務(wù)還允許信息平臺用戶管理患者/居民的特定許可指示，例如根據(jù)法律法規(guī)的需要和允許，阻止和屏蔽某一醫(yī)療服務(wù)提供者訪問健康檔案或者在緊急治療情況下不經(jīng)許可直接開放健康檔案。

（3）身份保護(hù)服務(wù)：這項(xiàng)服務(wù)將一個(gè)患者或居民的身份解釋為一個(gè)健康檔案標(biāo)識符?；颊呋蚩蛻敉ǔＳ梢粋€(gè)如社?？ㄌ柎a的通用標(biāo)識碼來標(biāo)識，這樣的卡號關(guān)聯(lián)到每個(gè)包含健康檔案標(biāo)識域中的健康檔案標(biāo)識符。健康檔案標(biāo)識符是一個(gè)受保護(hù)信息，只有交換層之上平臺系統(tǒng)才能知道。

（4）數(shù)字簽名服務(wù)：數(shù)字簽名由醫(yī)療衛(wèi)生應(yīng)用程序的用戶創(chuàng)建，以確保臨床數(shù)據(jù)的不可否認(rèn)性，這樣的臨床數(shù)據(jù)如：數(shù)據(jù)文件、報(bào)告、記錄中的字段域、安全聲明、XML文檔，包括被轉(zhuǎn)換為XML文檔的HL7消息或?qū)ο笾械脑亍＿@項(xiàng)服務(wù)在生成簽名之前先驗(yàn)證數(shù)字證書沒有被撤銷。

（5）加密服務(wù)包括：密鑰管理服務(wù)：創(chuàng)建和管理數(shù)據(jù)存儲的加密密鑰；數(shù)據(jù)庫加密服務(wù)：加密和解密數(shù)據(jù)庫表中的數(shù)據(jù)字段(列)和記錄(行)以保護(hù)健康檔案以及信息平臺中處于使用狀態(tài)的其它保密的關(guān)鍵系統(tǒng)數(shù)據(jù)；數(shù)據(jù)存儲加密服務(wù)：加密和解密文件和其它數(shù)據(jù)塊，用于保護(hù)在聯(lián)機(jī)存儲、備份或長期歸檔中的數(shù)據(jù)。

（6）一般性安全服務(wù)包括：掃描惡意程序，保護(hù)免受侵害；安全備份/恢復(fù)數(shù)據(jù)；資料歸檔；數(shù)據(jù)安全銷毀。

（7）身份管理服務(wù)：這些是面向更高層次服務(wù)提供的基礎(chǔ)服務(wù)，例如用戶注冊、認(rèn)證、授權(quán)，其中包括用戶的惟一標(biāo)識、查找用戶的標(biāo)識，掛起/取消用戶訪問權(quán)。

（8）訪問控制服務(wù)：這些服務(wù)確定對信息平臺應(yīng)用功能的基于角色的訪問權(quán)限。這些服務(wù)還提供配置和管理用戶及角色訪問功能和數(shù)據(jù)的授權(quán)。

（9）安全審計(jì)服務(wù)：這些服務(wù)提供對每個(gè)事務(wù)所涉及到的系統(tǒng)、用戶、醫(yī)護(hù)工作者、患者/居民、健康數(shù)據(jù)等等的報(bào)告功能。這些服務(wù)對于滿足其他業(yè)務(wù)需求，如系統(tǒng)管理、事務(wù)監(jiān)控、記錄重要的與隱私和安全有關(guān)的事件等，也是至關(guān)重要的。

（10）用戶認(rèn)證服務(wù)：這項(xiàng)服務(wù)驗(yàn)證用戶的身份。這項(xiàng)服務(wù)是在執(zhí)行醫(yī)療衛(wèi)生應(yīng)用與區(qū)域衛(wèi)生信息平臺之間的事務(wù)的場景下被調(diào)用，以驗(yàn)證參與事務(wù)用戶的合法性。

4 結(jié)束語

我國的醫(yī)療健康檔案在信息技術(shù)支持下，伴隨社區(qū)衛(wèi)生服務(wù)的發(fā)展會(huì)被予以更多關(guān)注。然而，我們更應(yīng)對由健康檔案所產(chǎn)生的隱私保護(hù)方面的問題予以重視。醫(yī)療信息行業(yè)需要在這些方面繼續(xù)努力，政府應(yīng)加強(qiáng)信息安全技術(shù)開發(fā)的投入，并且應(yīng)該逐漸建立和完善針對醫(yī)療健康檔案的相關(guān)制度，使得健康信息主體的隱私權(quán)得到更好的保護(hù)。

[1]朱瑩,金凌紫.醫(yī)院信息系統(tǒng)安全性需求分析與總體設(shè)計(jì)初探[J].算機(jī)系統(tǒng)應(yīng)用.1998.

[2]衛(wèi)生部.《健康檔案基本架構(gòu)和標(biāo)準(zhǔn)》(試行).2009.

[3]田侃.關(guān)于醫(yī)療活動(dòng)中患者的隱私權(quán)[J].上海市政法管理干部學(xué)報(bào).1999.