一方面，医疗APP收集个人信息的规模和范围，从用户的个人基础信息如姓名、年龄、性别，到更为敏感的健康状况、病历记录、用药情况等，医疗APP几乎涵盖了用户健康管理的方方面面。用户对于这些信息被收集的过程往往缺乏明确的感知，导致许多用户在不完全了解的情况下便轻易授权了个人信息的使用权限。

总得来看，医院涉及的个人信息数量庞大，在管理和保护方面面临着巨大的挑战，且缺乏有效的数据安全防护手段，随着技术的不断进步，黑客攻击和信息泄露的风险也在不断增加，这些因素共同导致了个人信息保护地难以落实。

自2025年1月1日起施行的《网络数据安全管理条例》（以下简称《管理条例》），《管理条例》的第二十八条规定“网络数据处理者处理1000万人以上个人信息的，还应当遵守本条例第三十条、第三十二条对处理重要数据的网络数据处理者（以下简称重要数据的处理者）作出的规定。”因此，存储1000万人及以上个人信息的医院，多数医疗健康信息也属于个人信息中的敏感信息，是与国家安全、经济发展以及社会公共利益密切相关的重要数据，应参照国家重要数据的标准来加强安全管理。另外，《管理条例》的第五章设专章规定了网络数据跨境安全管理，在全球化背景下，医院可能涉及跨国医疗合作、学术交流等活动，这就涉及到个人信息的跨境传输，根据《管理条例》的规定，医院在进行个人信息出境时必须满足合规要求，确保个人信息的安全性和合法性。

为有效防范个人信息保护合规风险，将审计嵌入个人信息保护合规管理的评价和监督中，就形成了个人信息保护合规审计。个人信息保护合规审计是指审计机构和审计人员以个人信息保护的相关法律、规则及准则为依据，对被审计单位及其员工的个人信息保护行为是否合规所实施的一种监督活动。由于个人信息兼具私有属性和公共属性的特征，个人信息保护合规审计要实现双重目标：从个人信息的私有属性出发，个人信息保护合规审计要实现监管型目标，规范个人信息处理活动，防范侵害个人信息权益事件的发生；从个人信息的公共属性出发，个人信息保护合规审计要实现服务型目标，促进个人信息社会价值和使用价值的发挥。

《个人信息保护法》将合规审计的触发情形区分为“定期自主审计”与监管部门认为个人信息处理活动存在较大风险或者发生个人信息安全事件时要求的“不定期强制审计”两类。《管理办法》根据个人信息处理者的处理活动规模，进一步要求处理超过100万人个人信息的个人信息处理者，应当每年至少开展一次合规审计；其他个人信息处理者，应当每两年至少开展一次合规审计。同时，对审计机构的推荐和选择也明确了要求，以及个人信息处理者在专业机构开展合规审计工作时的协助配合。

《参考要点》则将使用自动化决策、参与网络暴力、处理敏感信息等相关情况纳入审计范畴，首次针对外部独立监督机构职能和个人信息保护社会责任报告内容作出具体要求，详细列举了个人信息处理者或其委托的专业机构在开展合规审计时的审查事项，与《个人信息保护法》中各章规定相对应，同时纳入了GB/T 35273-2020《信息安全技术 个人信息安全规范》等行政法规和国家标准的要求，基本囊括了个人信息处理全流程各环节。

在个人信息处理者基本义务的合规审计，应明确个人信息保护合规的主体责任，《参考要点》明确了个人信息处理者对个人信息保护承担主体责任的主要审查要点：一是重点对个人信息保护制度的建设情况的审计，重点关注个人信息处理者是否按照法律法规的要求建立个人信息保护的内部管理制度和操作流程。二是重点审计个人信息保护合规制度的遵守情况，重点关注个人信息处理者是否按照法规要求并结合自身业务特点进行个人信息的分类管理，是否采取网络安全等基础安全控制措施和加密等安全技术措施，是否定期对员工开展个人信息保护安全培训，是否制定个人信息安全事件应急预案并定期进行应急演练。三是如果对提供重要互联网平台服务、用户数量巨大、业务类型复杂的个人信息处理者进行个人信息保护合规审计，还应关注其是否成立主要由外部成员组成的独立机构对个人信息保护情况进行监督，是否按照公开、公平、公正的原则明确平台的个人信息保护规范和义务，是否定期发布个人信息保护社会责任报告等。

图1 医院个人信息处理活动

2.参考《个人信息保护法》第六条，限于实现处理目的的最小范围，不得过度收集和第十三条，取得个人的同意。

• 应采用合同协议等方式，明确双方在数据安全方面的责任及义务；

• 告知授权、明示同意、隐私协议、留存时间、采集内容最小化；

• 采集未成年人信息的知情同意、防护措施；

• 制定数据采集的操作规程，规范采集数据的目的和用途等。

3.安全技术要求

• 身份鉴别、终端控制、设备物理位置、网络接入方式；

• 采集过程的日志记录；

• 访问控制、数据加密。

1.场景描述

数据传输分为院内传输和院外传输。重点关注是否对个人信息传输进行分级管控，是否进行传输前的授权批准，是否对个人信息进行校验，是否采用入侵检测等安全技术进行传输安全保障。

2.参考《个人信息保护法》第十条　任何组织、个人不得非法收集、使用、加工、传输他人个人信息，不得非法买卖、提供或者公开他人个人信息；不得从事危害国家安全、公共利益的个人信息处理活动。

• 不同部门、区域间、不同级别数据传输安全策略；
• 外部机构的审批流程。

3.安全技术要求

• 数据传输选择技术，传输采用的密码技术，通信双方身份认证，加密协议；

• 加密传输。

1.场景描述

数据存储安全主要涉及两方面的内容，一个是存储环境的安全性，另一个是数据内容的安全性。除此之外，还需要考虑数据备份与恢复的安全。重点关注存储期限是否为所必要的最短时间，存储地点是否存在境内存储的要求，存储技术是否采用加密和去标识化等安全措施，存储设置是否具有备份和恢复策略。按照《医疗机构病例管理规定》《电子病历应用管理规范》，门急诊病历，由医疗机构保管的，保存时间不少于15年，住院病历保存时间不少于30年。

2.参考《个人信息保护法》第十九条 除法律、行政法规另有规定外，个人信息的保存期限应当为实现处理目的所必要的最短时间。第三十六条 国家机关处理的个人信息应当在中华人民共和国境内存储。

• 数据存储位置；

• 院外存储的要求；

• 数据跨境要求；

• 备份恢复演练。

3.安全技术要求

• 用户身份认证和权限控制；
• 数据存储应采用加密；
• 备份策略，明确备份周期、频率、范围等。

1.场景描述

对于诊疗过程的数据访问，前端医护患诊疗过程、后端业务数据交互过程中，要确保数据的安全传输、数据的合理展示、数据的可控访问；特权账号的数据访问场景；医疗数据导出场景下，通过对数据导出的安全管理，降低可能存在的数据安全风险；在医院客户端、自助终端的展示环节，规范终端及信息展示管理，采取医疗数据去标识化处理措施；以及服务对象告知、医疗数据集成平台和医生查阅数据等场景的数据使用安全。重点关注是否超范围使用个人信息，是否对个人敏感信息进行脱敏展示，是否对个人信息查询进行授权管理，是否对个人信息加工处理过程进行防泄露管控。

2. 参考《个人信息保护法》第五十一条 （二）对个人信息实行分类管理。（三）采取相应的加密、去标识化等安全技术措施。

• 不同级别数据访问控制过程中的相关安全措施；

• 最小化原则权限访问控制；

• 使用流程审批、使用场景、使用规则、授权机制等；

• 详细记录访问过程和操作日志记录；

• 数据导出时，最小化原则，导出场景，导出范围；

• 数据水印、脱敏、匿名化技术、加密；
• 数据存储应采用加密；

• 身份鉴别、多因素认证。

1.场景描述

个人信息提供和公开方面，包括机构内部交换、外部共享、数据公开披露等活动，主要有公开披露、医联体数据共享、医保报销核算、商保查询分析和科研机构研究等场景。重点关注个人信息提供活动是否向信息主体尽到告知义务，提供范围是否超出个人同意范畴，是否和信息接收方签署责任协议并约束接收方行为。数据公开时重点关注公开披露是否得到信息主体的单独同意、是否存在适当的信息保护措施、是否存在披露规则并进行准确记录。

2.参考《个人信息保护法》第十条 不得非法买卖、提供或公开他人个人信息；第二十三条 向其他个人信息处理者提供其处理的个人信息的，应当向个人告知接收方的名称或者姓名、联系方式、处理目的、处理方式和个人信息的种类，并取得个人的单独同意。接收方变更原先的处理目的、处理方式的，应当依照本法规定重新取得个人同意。第二十五条 个人信息处理者不得公开其处理的个人信息，取得个人单独同意的除外。

• 敏感数据去标识化；

• 数据交换的认证和记录，个人授权同意；

• 相关协议或承诺，明确数据使用用途、不出境、访问审计和销毁承诺等；

• 跨机构数据使用的管理审批要求。

3.安全技术要求

• 数据传输加密；

• 上报、共享数据的审计和监测。

1.场景描述

个人信息删除或销毁方面，重点关注是否具有受理个人信息删除诉求的途径，是否按照法规要求主动删除个人信息或按照信息主体要求删除个人信息等。

2.参考《个人信息保护法》第四十七条 有下列情形之一的，个人信息处理者应当主动删除个人信息；个人信息处理者未删除的，个人有权请求删除：（一）处理目的已实现、无法实现或者为实现处理目的不再必要；（二）个人信息处理者停止提供产品或者服务，或者保存期限已届满；（三）个人撤回同意；（四）个人信息处理者违反法律、行政法规或者违反约定处理个人信息；（五）法律、行政法规规定的其他情形。

• 数据保存期限、删除机制、删除流程、数据删除的场景；
• 测试数据的清理。

3.安全技术要求

• 数据存储介质的销毁管理办法，销毁技术措施。

图2 个人信息保护合规审计工具用例图

个保合规审计过程的自动化包括数据资产梳理和敏感个人信息识别，需要有自动化手段梳理数据资产，从应用系统、数据库等网络流量中识别出个人信息，并根据数据特征判断；采集个人信息保护合规的证据，比如：个人信息处理活动，包括个人信息的收集、存储、使用、加工、传输、提供、公开、删除等，每个阶段使用的个保技术手段（如：审计、脱敏、加密）的网络日志和安全策略；为审计员提供不同行业个人信息保护政策和审计要点参考知识库，随着各行业的个保合规审计项目的增加，通过不断完善的法律法规和审计要点知识库，更大范围的适应不同行业的个人信息保护，提升审计的自动化程度和准确率。

1.持续关注个人信息保护合规要求

在合规方面，也就是监管侧在推动个人信息保护合规审计的过程中，应当充分考虑不同医院的特点和需求，灵活调整审计策略，以达到既保护个人信息权益，又促进医院发展的双重目标。

2.合规建议的转化落地

合规审计完成之后，不应局限于形成的合规审计报告，而是需要对合规审计报告中存在的合规风险和漏洞进行整改加固。

3.个人信息保护策略

在运营体系方面，展开数据安全风险评估个人信息保护评估，形成常态化、集中化、规范化的个人信息保护安全运营，实现事前预防、事中管控、事后审计溯源的持续、全面的安全防护。

本文从个人信息保护面临严峻形势和医院实施个人信息保护的必要性开始，分析了国内外医院个人信息保护法律法规要求，个人信息保护合规审计是一个有效解决方法，针对医院个人信息使用的处理过程，进行合规审计的几个典型场景、关键点，并在此基础上提出基于个人信息全生命周期合规管理的工作思路和技术手段，对加强医院个人信息保护合规审计起到了推动的作用。

(本文作者：北京安华金和科技有限公司 谭峻楠）