(網(wǎng)經(jīng)社訊)隨著《數(shù)據(jù)安全法》的出臺，以及近期各種網(wǎng)絡(luò)安全審查活動的開展，數(shù)據(jù)安全成為企業(yè)關(guān)注的法律風(fēng)險點。近期筆者將以企業(yè)為主要視角，分別從企業(yè)與政府機構(gòu)合作、企業(yè)自身經(jīng)營以及信息主體維權(quán)三種不同情景，從醫(yī)藥行業(yè)、關(guān)鍵信息基礎(chǔ)設(shè)施（CII）、個人信息的收集等方面對企業(yè)經(jīng)營的數(shù)據(jù)合規(guī)問題進行數(shù)據(jù)安全法與刑事法律的雙重解讀。
以互聯(lián)網(wǎng)醫(yī)療領(lǐng)域為例，某科技公司想和國家衛(wèi)生健康委員會進行合作，可能被要求或者自愿開發(fā)，或與政府部門合作開發(fā)接觸者追蹤APP，通過對醫(yī)院收集的病人病歷進行分析，獲取該病人的特定地域、所在行業(yè)，來判斷哪些地區(qū)哪個行業(yè)的人群容易患病的類型。根據(jù)這些大數(shù)據(jù)分析對特定地區(qū)和行業(yè)的用戶定制化推薦醫(yī)院的診療服務(wù)。
這種政府與企業(yè)合作的情境下，政府應(yīng)當(dāng)如何協(xié)調(diào)和處理與企業(yè)之間的數(shù)據(jù)共享關(guān)系，并且保證數(shù)據(jù)工作安全合法？
一、數(shù)據(jù)安全方面
1.共享數(shù)據(jù)的內(nèi)容及性質(zhì)
應(yīng)當(dāng)明確的是政府與企業(yè)之間共享的數(shù)據(jù)內(nèi)容是病人病歷，屬于患者個人信息并無爭議，但是否屬于政務(wù)數(shù)據(jù)？根據(jù)《數(shù)安法》第40條，如果政府以履職為目的委托科技公司建設(shè)數(shù)據(jù)收集系統(tǒng)、存儲加工數(shù)據(jù)，這種數(shù)據(jù)才屬于政務(wù)數(shù)據(jù)，且要經(jīng)過嚴格批準程序，受托方也不得擅自留存、使用或向他人提供政務(wù)數(shù)據(jù)。而本例中數(shù)據(jù)收集主體是科技公司，且目的并非受政府委托、為政府服務(wù)，而是便于科技公司日后為用戶提供定制化診療服務(wù)，因此，科技公司收集到的數(shù)據(jù)不屬于政務(wù)數(shù)據(jù)?？萍脊緦κ占瘮?shù)據(jù)的處理不依照政務(wù)數(shù)據(jù)的處理規(guī)范進行規(guī)制，而要以個人信息保護的規(guī)定來判斷科技公司的數(shù)據(jù)收集和處理行為。
2.數(shù)據(jù)共享方式的合法性
科技公司與衛(wèi)健委的合作方式可能是以第三方信息系統(tǒng)接入衛(wèi)健委系統(tǒng)，對病人病歷、地理位置和行業(yè)等個人信息進行采集，則需要考察這是否滿足合規(guī)要求。
《數(shù)安法》第32條規(guī)定，“任何組織、個人收集數(shù)據(jù)，應(yīng)當(dāng)采取合法、正當(dāng)?shù)姆绞?，不得竊取或者以其他非法方式獲取數(shù)據(jù)。法律、行政法規(guī)對收集、使用數(shù)據(jù)的目的、范圍有規(guī)定的，應(yīng)當(dāng)在法律、行政法規(guī)規(guī)定的目的和范圍內(nèi)收集、使用數(shù)據(jù)?！薄痘ヂ?lián)網(wǎng)醫(yī)療健康信息安全管理規(guī)范》也要求互聯(lián)網(wǎng)醫(yī)療健康信息安全管理應(yīng)確保互聯(lián)網(wǎng)醫(yī)療健康信息系統(tǒng)的合規(guī)性、可用性和安全性；確保互聯(lián)網(wǎng)醫(yī)療健康信息采集、存儲、傳輸、應(yīng)用、銷毀等全生命周期的信息處理合法、正當(dāng)、必要的原則，不得過度處理，保障信息完整、保密，保護個人信息安全、公眾利益和國家安全。
從海外經(jīng)驗來看，以英國為例，智慧醫(yī)療科技公司TPP與英國國家醫(yī)療服務(wù)體系NHS在醫(yī)療數(shù)據(jù)方面有緊密合作，TPP醫(yī)療系統(tǒng)儲存著英國2/3以上人口的電子病歷，托管5000萬名患者的健康檔案，而對于患者信息的隱私安全，則需要國家監(jiān)管到企業(yè)合規(guī)都形成完善機制。例如國家監(jiān)管層面，確定嚴格的數(shù)據(jù)安全保護法規(guī)和信息技術(shù)服務(wù)提供許可標準，同時設(shè)立專門數(shù)據(jù)監(jiān)管機構(gòu)和配套監(jiān)管懲罰措施；行業(yè)監(jiān)管層面，應(yīng)當(dāng)設(shè)置一系列行業(yè)認證和國家標準，以確保充分的數(shù)據(jù)安全和保護能力；企業(yè)層面，在用戶端主動采取避免意外數(shù)據(jù)泄露的程序設(shè)計，等等。
在我國，2018年國務(wù)院辦公廳出臺了關(guān)于《促進“互聯(lián)網(wǎng)+醫(yī)療健康”發(fā)展的意見》，確定了互聯(lián)網(wǎng)醫(yī)療的發(fā)展方向，支持醫(yī)療健康信息互通共享。針對個人醫(yī)療健康信息的保護問題，國家也通過《網(wǎng)絡(luò)安全法》、《電子病歷應(yīng)用規(guī)范（試行）》、《國務(wù)院辦公廳關(guān)于促進和規(guī)范健康醫(yī)療大數(shù)據(jù)應(yīng)用發(fā)展的指導(dǎo)意見》等法律和行政文件的形式作出了相關(guān)規(guī)定，加上2020年6月生效的《基本醫(yī)療衛(wèi)生與健康促進法》（簡稱《衛(wèi)健法》）第92條規(guī)定“任何組織或者個人不得非法收集、使用、加工、傳輸公民個人健康信息，不得非法買賣、提供或者公開公民個人健康信息。”進一步為個人醫(yī)療健康信息保護提供法律支撐。同時，我國也相繼頒發(fā)了《電子病歷共享文檔規(guī)范》《電子病歷與醫(yī)院信息平臺標準符合性測試規(guī)范》《電子健康檔案與區(qū)域衛(wèi)生信息平臺標準符合性測試規(guī)范》（總共包含57項衛(wèi)生行業(yè)標準）等一系列衛(wèi)生信息標準，各級醫(yī)療機構(gòu)和企業(yè)在設(shè)計開發(fā)和采購醫(yī)療信息系統(tǒng)時均應(yīng)嚴格執(zhí)行上述標準。
結(jié)合《數(shù)安法》第32條規(guī)定，并無法律明確禁止第三方信息系統(tǒng)接入政府系統(tǒng)，尤其《國家健康醫(yī)療大數(shù)據(jù)標準、安全和服務(wù)管理辦法（試行）》對于衛(wèi)健委建立健康醫(yī)療大數(shù)據(jù)開放共享的工作機制的共享和交換對象，除醫(yī)療衛(wèi)生機構(gòu)外，還包括“相關(guān)企事業(yè)單位”，所以法律并不禁止（國有）企業(yè)作為健康醫(yī)療大數(shù)據(jù)的共享對象。以互聯(lián)網(wǎng)醫(yī)療產(chǎn)業(yè)發(fā)展為背景，第三方信息系統(tǒng)對醫(yī)療信息的使用、處理、管理均符合法律法規(guī)及相關(guān)標準，則不具有違法性。
3.互聯(lián)網(wǎng)醫(yī)療中個人信息保護
不可否認，這種依托互聯(lián)網(wǎng)作為載體和手段的健康醫(yī)療服務(wù)模式不僅得到了來自政策的肯定和引導(dǎo)，也受到了防疫需求的推動，但公民個人醫(yī)療、健康信息的安全和隱私保護問題也隨之出現(xiàn)，甚至有不法人員破解及下載醫(yī)院信息系統(tǒng)數(shù)據(jù)并牟取暴利的案例。涉及到病人的敏感個人信息，企業(yè)應(yīng)當(dāng)征得病人或監(jiān)護人、委托代理人的授權(quán)許可，許可是不可缺少的前提，同時對于個人信息的采集利用應(yīng)當(dāng)遵守最小必要原則，收集的信息以達到目標為界限，不可過度收集。
根據(jù)《網(wǎng)絡(luò)安全法》第40條規(guī)定“網(wǎng)絡(luò)運營者應(yīng)當(dāng)對其收集的用戶信息嚴格保密，并建立健全用戶信息保護制度”，第41條規(guī)定“收集、使用個人信息需要征求被收集者的同意，未經(jīng)被收集者同意，不得向他人提供個人信息。但是，經(jīng)過處理無法識別特定個人且不能復(fù)原的除外”。作為第三方的科技公司利用衛(wèi)健委系統(tǒng)中的健康醫(yī)療數(shù)據(jù)進行分析并形成模型，屬于數(shù)據(jù)處理行為，將模型用于商業(yè)化的行為實質(zhì)上是一種使用行為。《網(wǎng)絡(luò)安全法》規(guī)定收集、使用個人信息需要征得被收集人的同意，第三方機構(gòu)在衛(wèi)健委的系統(tǒng)中進行處理、使用的行為當(dāng)然需要經(jīng)過患者的同意，并且對醫(yī)療機構(gòu)與第三方機構(gòu)之間的合作行為也需要向患者披露。但是，以上也僅限于未經(jīng)處理，能識別特定個人且能復(fù)原的數(shù)據(jù)，經(jīng)過處理不能識別特定主體，且不能復(fù)原的數(shù)據(jù)利用屬于法定允許的范圍內(nèi)。其實，對醫(yī)療健康信息的保護和妥善利用并不相悖，通過合理的機制進行數(shù)據(jù)脫敏，則可以找到并規(guī)范對醫(yī)療健康數(shù)據(jù)的合理利用途徑。
二、刑事風(fēng)險解讀
在這種合作關(guān)系下，企業(yè)與政府主體（國家工作人員）都存在著一定的刑事風(fēng)險。以下根據(jù)現(xiàn)行《刑法》及相關(guān)司法解釋進行列舉：
1.如果科技公司存在非法獲取公民個人信息的行為，則可能構(gòu)成侵犯公民個人信息罪
《刑法》第253條之一【侵犯公民個人信息罪】違反國家有關(guān)規(guī)定，向他人出售或者提供公民個人信息，情節(jié)嚴重的，處三年以下有期徒刑或者拘役，并處或者單處罰金；情節(jié)特別嚴重的，處三年以上七年以下有期徒刑，并處罰金。
違反國家有關(guān)規(guī)定，將在履行職責(zé)或者提供服務(wù)過程中獲得的公民個人信息，出售或者提供給他人的，依照前款的規(guī)定從重處罰。
竊取或者以其他方法非法獲取公民個人信息的，依照第一款的規(guī)定處罰。
單位犯前三款罪的，對單位判處罰金，并對其直接負責(zé)的主管人員和其他直接責(zé)任人員，依照各條款的規(guī)定處罰。
結(jié)合《最高人民法院、最高人民檢察院關(guān)于辦理侵犯公民個人信息刑事案件適用法律若干問題的解釋》解讀如下：
（1）“違反國家規(guī)定”，可以包括《網(wǎng)絡(luò)安全法》《衛(wèi)健法》，以及即將生效的《數(shù)安法》等，有關(guān)公民個人信息收集、使用、存儲、處理等法律規(guī)定。
（2）行為方式包括：①向特定人提供公民個人信息，以及通過信息網(wǎng)絡(luò)或者其他途徑發(fā)布公民個人信息的；②未經(jīng)被收集者同意，將合法收集的公民個人信息向他人提供的，但是經(jīng)過處理無法識別特定個人且不能復(fù)原的除外；③通過購買、收受、交換等方式獲取公民個人信息，或者在履行職責(zé)、提供服務(wù)過程中收集公民個人信息的。
不論獲取公民個人信息的途徑是非法的還是合法的，只要對公民個人信息進行轉(zhuǎn)售或未經(jīng)信息主體同意而提供給他人，都可以滿足該罪的行為要件。
（3）“情節(jié)嚴重”包括：①出售或者提供行蹤軌跡信息，被他人用于犯罪的；
②知道或者應(yīng)當(dāng)知道他人利用公民個人信息實施犯罪，向其出售或者提供的；
③非法獲取、出售或者提供行蹤軌跡信息、通信內(nèi)容、征信信息、財產(chǎn)信息五十條以上的；
④非法獲取、出售或者提供住宿信息、通信記錄、健康生理信息、交易信息等其他可能影響人身、財產(chǎn)安全的公民個人信息五百條以上的；
⑤非法獲取、出售或者提供第③、④項規(guī)定以外的公民個人信息五千條以上的；
⑥數(shù)量未達到第③至⑤項規(guī)定標準，但是按相應(yīng)比例合計達到有關(guān)數(shù)量標準的；
⑦違法所得五千元以上的；
⑧將在履行職責(zé)或者提供服務(wù)過程中獲得的公民個人信息出售或者提供給他人，數(shù)量或者數(shù)額達到第③至⑦項規(guī)定標準一半以上的；
⑨曾因侵犯公民個人信息受過刑事處罰或者二年內(nèi)受過行政處罰，又非法獲取、出售或者提供公民個人信息的。
⑩為合法經(jīng)營活動而非法購買、收受第③、④項以外的信息：利用非法購買、收受的公民個人信息獲利五萬元以上的；曾因侵犯公民個人信息受過刑事處罰或者二年內(nèi)受過行政處罰，又非法購買、收受公民個人信息的。
2.如果科技公司通過非法手段接入衛(wèi)健委系統(tǒng)獲取公民的病歷信息，則還可能構(gòu)成非法獲取計算機信息系統(tǒng)數(shù)據(jù)罪
《刑法》第285條第二款【非法獲取計算機信息系統(tǒng)數(shù)據(jù)、非法控制計算機信息系統(tǒng)罪】違反國家規(guī)定，侵入前款規(guī)定以外的計算機信息系統(tǒng)或者采用其他技術(shù)手段，獲取該計算機信息系統(tǒng)中存儲、處理或者傳輸?shù)臄?shù)據(jù)，或者對該計算機信息系統(tǒng)實施非法控制，情節(jié)嚴重的，處三年以下有期徒刑或者拘役，并處或者單處罰金；情節(jié)特別嚴重的，處三年以上七年以下有期徒刑，并處罰金。
結(jié)合《最高人民法院、最高人民檢察院關(guān)于辦理危害計算機信息系統(tǒng)安全刑事案件應(yīng)用法律若干問題的解釋》解讀如下：
（1）“計算機信息系統(tǒng)”：國家事務(wù)、國防建設(shè)、尖端科學(xué)技術(shù)領(lǐng)域以外的計算機信息系統(tǒng)。
（2）“情節(jié)嚴重”：①獲取支付結(jié)算、證券交易、期貨交易等網(wǎng)絡(luò)金融服務(wù)的身份認證信息十組以上的；
②獲取第①項以外的身份認證信息五百組以上的；
③非法控制計算機信息系統(tǒng)二十臺以上的；
④違法所得五千元以上或者造成經(jīng)濟損失一萬元以上的。
3.如果科技公司非法獲取醫(yī)療機構(gòu)病患的電子病歷信息，可能構(gòu)成侵犯商業(yè)秘密罪
《刑法》第219條【侵犯商業(yè)秘密罪】有下列侵犯商業(yè)秘密行為之一，情節(jié)嚴重的，處三年以下有期徒刑，并處或者單處罰金；情節(jié)特別嚴重的，處三年以上十年以下有期徒刑，并處罰金：
（一）以盜竊、賄賂、欺詐、脅迫、電子侵入或者其他不正當(dāng)手段獲取權(quán)利人的商業(yè)秘密的；
（二）披露、使用或者允許他人使用以前項手段獲取的權(quán)利人的商業(yè)秘密的；
（三）違反保密義務(wù)或者違反權(quán)利人有關(guān)保守商業(yè)秘密的要求，披露、使用或者允許他人使用其所掌握的商業(yè)秘密的。
明知前款所列行為，獲取、披露、使用或者允許他人使用該商業(yè)秘密的，以侵犯商業(yè)秘密論。
本條所稱權(quán)利人，是指商業(yè)秘密的所有人和經(jīng)商業(yè)秘密所有人許可的商業(yè)秘密使用人。
首先，《刑法修正案（十一）》刪除了對“商業(yè)秘密”的定義，而參考《反不正當(dāng)競爭法》第9條第三款規(guī)定，商業(yè)秘密是指不為公眾所知悉、具有商業(yè)價值并經(jīng)權(quán)利人采取相應(yīng)保密措施的技術(shù)信息和經(jīng)營信息。患者信息具備秘密性、法律強制保護的特殊性以及對醫(yī)療行業(yè)的商業(yè)價值屬性，在性質(zhì)上認定為醫(yī)療機構(gòu)的商業(yè)秘密并無不妥。
其次，病歷資料不僅有患者的個人信息，還包括醫(yī)生的診療內(nèi)容，而一般認為病歷上診療信息是醫(yī)生智力活動成果的結(jié)晶，受到知識產(chǎn)權(quán)保護，科技公司若收集的是病歷資料，那么也包含了醫(yī)生履職過程中形成的智力成果。
因此，根據(jù)科技公司使用病歷資料的行為，如果未經(jīng)醫(yī)療機構(gòu)和患者本人同意或授權(quán)，通過電子侵入或其他不正當(dāng)手段獲取患者病歷資料則可能構(gòu)成侵犯商業(yè)秘密罪或其他侵犯知識產(chǎn)權(quán)類犯罪。
4.如果科技公司合法收集公民個人信息后，不履行信息網(wǎng)絡(luò)安全管理義務(wù)導(dǎo)致用戶病歷信息泄露，則可能構(gòu)成拒不履行信息網(wǎng)絡(luò)安全管理義務(wù)罪
《刑法》第286條之一【拒不履行信息網(wǎng)絡(luò)安全管理義務(wù)罪】網(wǎng)絡(luò)服務(wù)提供者不履行法律、行政法規(guī)規(guī)定的信息網(wǎng)絡(luò)安全管理義務(wù)，經(jīng)監(jiān)管部門責(zé)令采取改正措施而拒不改正，有下列情形之一的，處三年以下有期徒刑、拘役或者管制，并處或者單處罰金：
（一）致使違法信息大量傳播的；
（二）致使用戶信息泄露，造成嚴重后果的；
（三）致使刑事案件證據(jù)滅失，情節(jié)嚴重的；
（四）有其他嚴重情節(jié)的。
單位犯前款罪的，對單位判處罰金，并對其直接負責(zé)的主管人員和其他直接責(zé)任人員，依照前款的規(guī)定處罰。
有前兩款行為，同時構(gòu)成其他犯罪的，依照處罰較重的規(guī)定定罪處罰。
結(jié)合《最高人民法院、最高人民檢察院關(guān)于辦理非法利用信息網(wǎng)絡(luò)、幫助信息網(wǎng)絡(luò)犯罪活動等刑事案件適用法律若干問題的解釋》解讀如下：
（1）“造成嚴重后果”：①致使泄露行蹤軌跡信息、通信內(nèi)容、征信信息、財產(chǎn)信息五百條以上的；
②致使泄露住宿信息、通信記錄、健康生理信息、交易信息等其他可能影響人身、財產(chǎn)安全的用戶信息五千條以上的；
③致使泄露第①、②項規(guī)定以外的用戶信息五萬條以上的；
④數(shù)量雖未達到前三項規(guī)定標準，但是按相應(yīng)比例折算合計達到有關(guān)數(shù)量標準的；
⑤造成他人死亡、重傷、精神失?；蛘弑唤壖艿葒乐睾蠊?；
⑥造成重大經(jīng)濟損失的；
⑦嚴重擾亂社會秩序的。
（2）“其他嚴重情節(jié)”：①對絕大多數(shù)用戶日志未留存或者未落實真實身份信息認證義務(wù)的；
②二年內(nèi)經(jīng)多次責(zé)令改正拒不改正的；
③致使信息網(wǎng)絡(luò)服務(wù)被主要用于違法犯罪的；
④致使信息網(wǎng)絡(luò)服務(wù)、網(wǎng)絡(luò)設(shè)施被用于實施網(wǎng)絡(luò)攻擊，嚴重影響生產(chǎn)、生活的；
⑤致使信息網(wǎng)絡(luò)服務(wù)被用于實施危害國家安全犯罪、恐怖活動犯罪、黑社會性質(zhì)組織犯罪、貪污賄賂犯罪或者其他重大犯罪的；
⑥致使國家機關(guān)或者通信、能源、交通、水利、金融、教育、醫(yī)療等領(lǐng)域提供公共服務(wù)的信息網(wǎng)絡(luò)受到破壞，嚴重影響生產(chǎn)、生活的。
5.對于允許第三方信息系統(tǒng)接入衛(wèi)健委系統(tǒng)的行為，衛(wèi)健委及政府機構(gòu)工作人員可能面臨一定的法律風(fēng)險
衛(wèi)健委作為利用信息網(wǎng)絡(luò)提供給醫(yī)療公共服務(wù)的單位，也屬于《刑法》第286條之一第一款規(guī)定的“網(wǎng)絡(luò)服務(wù)提供者”，因此，如果因衛(wèi)健委醫(yī)療信息共享不規(guī)范導(dǎo)致患者病歷信息泄露，經(jīng)監(jiān)管部門責(zé)令采取改正措施而拒不改正，造成嚴重后果的，衛(wèi)健委或其工作人員也可能構(gòu)成拒不履行信息網(wǎng)絡(luò)安全管理義務(wù)罪。衛(wèi)健委工作人員屬于國家工作人員，也可能構(gòu)成瀆職類犯罪。
由此看來，允許第三方信息系統(tǒng)接入國家掌握的醫(yī)療信息系統(tǒng)，對于具體單位和工作人員而言都存在法律風(fēng)險，這也一定程度上導(dǎo)致第三方信息系統(tǒng)在實踐中難以通過接入官方信息系統(tǒng)的方式獲取個人信息，而往往是本身作為醫(yī)療機構(gòu)，對其單位經(jīng)營過程中獲取的個人信息加以利用。
