健康医疗数据权利归属制度构建:现状、必要性与关注点

王 哲,邓 勇

(北京中医药大学人文学院,北京 100029)

随着健康医疗数据在我国医疗卫生事业中的广泛应用,其临床价值、科研价值以及经济价值也不断增长,探讨健康医疗数据的权利归属制度对于维护参与者的正当利益具有重要意义。由于数据并非传统的物权客体,传统的物权观念对于权能的有限划分与数据上所存在的诸多权利主张的并不契合[1],为防止表达上的偏颇,本文将采用“权利归属”而非“所有权”的表述以方便更加弹性地描述不同的权益主张。为促进健康医疗数据的合理应用和数据主体权益的保护,本文将从现状出发,分析健康医疗数据权利归属制度建立的必要性,并结合健康医疗数据的特征对健康医疗数据权利归属制度建立的关键要点进行探究,为推动健康医疗数据权利归属制度的落地提供参考。

1 健康医疗数据概述

健康医疗数据是人们在疾病防治、健康管理等过程中产生的与健康医疗相关的数据[2]。具体而言,健康医疗数据包括诊疗数据、生物数据、医学文献数据、运营管理数据和行业发展数据等内容[3]。健康医疗数据在优化医疗决策、促进科学研究、支持公共卫生决策、优化医疗资源配置以及个体健康管理与疾病预防等方面都已展示出了巨大潜力。

2 健康医疗数据现状

2.1 市场利用方面

在电子病历、健康监测设备等技术发展驱动及政策、市场需求等因素的影响下,健康医疗数据的规模不断扩大,以此为基础的健康医疗行业信息化建设也得以持续推进,相关市场也日益繁荣。2017年,我国互联网医院还不足百家,但到2021年底,全国互联网医院已超过1700家,远程医疗服务平台已覆盖31个省份及新疆生产建设兵团,县级远程医疗覆盖率90%以上[4]。前瞻产业研究院相关数据显示[5],2012-2021年,我国医疗信息化行业市场规模逐年保持10%以上的增速,2021年我国医疗行业信息化市场规模约为728亿元。可见,在未来健康医疗数据的价值大有可观。

2.2 法规政策方面

在政府政策方面,2016年国务院办公厅印发的《关于促进和规范健康医疗大数据应用发展的指导意见》(国办发〔2016〕47号)中就已经明确鼓励政府与社会力量合作进行健康医疗数据应用秩序建立以及“充分释放数据红利”等要点内容。2020年中共中央 国务院《关于构建更加完善的要素市场化配置体制机制的意见》(中发〔2020〕9号)发布,明确了“研究根据数据性质完善产权性质”的要求。2022年中央深改委第二十六次会议审议通过《关于构建数据基础制度更好发挥数据要素作用的意见》(以下简称《意见》),要求“统筹推进数据产权、流通交易、收益分配、安全治理,加快构建数据基础制度体系”。总结主要政策内容可以看出,与法律规范重“安全”的基调不同,政府政策更加重视“利用”,并且明确根据数据性质建立相应的数据权利归属制度是数据利用秩序构建工作的首要问题。

法律规范层面,我国目前针对医疗数据领域的法律规范体系主要是由《数据安全法》《网络安全法》《个人信息保护法》《关键信息基础设施安全保护条例》等以保障信息安全为主旨的法律规范,以及《基本卫生与健康促进法》《人口健康信息管理办法(试行)》《国家健康医疗大数据标准、安全和服务管理办法(试行)》《全国公共卫生信息化建设标准与规范(试行)》等以保障健康医疗数据安全为主旨的法律规范组成。虽然以“信息”“数据”“健康医疗数据”作为规制对象的各级法律规范数量众多,但这些法律规范的内容还是以数据安全为主,通过数据收集、存储、传输、利用等各环节的责任划分以及技术层面安全要求的明确,规避目前数据使用过程中存在的风险。

2.3 学术理论方面

2016年以来,针对“数据”“健康医疗数据”的学术研究日趋火热,并成为近些年的学术热点。学者们从不同层面对数据权利归属问题进行了探讨:第一,数据权利归属的可行性,即数据能否作为民事权利的客体,数据的权利配置应当包括哪些内容。高富平、胡凌[6-8]等学者从数据的生产、流通以及经济基础发展等角度论证了数据权利配置必要性与可行性。第二,数据权利归属制度的构建。沈健州[9]提出通过在数据分类的前提下协调企业数据财产权、个人信息权益及公开数据合理使用的权利架构模式,冯晓青[10]提出在现行法律框架的基础上通过权利法和行为法2个层面的体系构建实现数据财产化保护,龙卫球[11]提出将个人信息和数据资产加以区分,并在此基础上分别配置相应的数据权利,实现数据财产权化的构建。

可见,学者们的研究或从基本法律关系出发论证制度建立的可行性,或从主体权益出发论证制度所应秉持的价值倾向,具有很强的宏观指导意义,但这些研究大多处于宏观的“数据”层面。对于健康医疗数据权利归属制度而言,这些研究成果解决了能否建立归属制度、制度建立所需基本理论、主体权益等基本问题,但在制度落地上尚需继续研究。

3 权利归属制度建立的必要性

3.1 权利归属制度缺失导致的问题

从市场利用、法规政策、学术理论3个方面的现状不难看出,由于健康医疗数据权利归属制度的缺失,健康医疗数据日益发展的经济基础与上层制度建设之间的矛盾已逐渐凸显。现行法律规范虽对数据安全义务作出了系统的规定,但现行规范的出发点多是从公共利益及公民人格利益保护的角度出发,对于数据所蕴含的经济利益考虑不足。人格利益、经济利益、公共利益三者于健康医疗数据之上密不可分,导致目前虽有初步的规范体系,但市场利用方面所涉及的患者、医疗机构、企业等利益主体,依然难以确定己方的权利客体及应承担的义务,各利益主体的数据利用行为缺乏有效的规范指引。这一状况导致数据利益分配以权利主体间的实力差距为依据,权利归属制度的缺失导致处于弱势地位的其他利益主体只能依据人格权益或公共利益维护自身合法权益,举证难度大大增加,难以有效维护自身权益。从政府政策也不难看出,“数据产权”问题被多次提及,建立数据权利归属制度已成为政府工作的重点内容,而梳理健康医疗数据有关的法律规范,目前法律规范的规制重点依然是健康医疗数据的安全问题,健康医疗数据权利归属制度始终没有建立起来,政策的前瞻导向尚未得到法律规范层面的落实。

权利归属制度在民法体系中具有基础地位,不仅关系到民事法律关系的确定和民事法律行为的有效性,还是监管制度的重要依据,监管本身便受限于法律,任何监管策略的应用都应当以法律为准绳,在法律制度尚未明确的情况下的监管不仅在效果上会抑制数据的合理利用和创新、影响数据的公平流动和价值的最大化,而且还会违反“法无授权不可为”的行政法原则。同时,数据的高技术门槛要求更全面、更高效的技术解决方案,但技术的属性又是服务于目的,权利归属制度的缺失直接导致技术解决实现数据合理使用的方案成为无源之水,缺少制度指引的技术方案存在极大的滥用风险,如线上诊疗平台的精准推送便属此例。

3.2 权利归属制度的作用

健康医疗数据作为一种特殊的财产形式,其权利归属的落实直接影响到数据主体财产权益和人格权益的保护。现实基础的变化推动着健康医疗数据权利归属制度建设工作的开展。医疗信息化市场的繁荣证明了健康医疗数据的巨大经济价值,但相关市场的持续健康发展必然需要稳定的市场秩序,稳定的市场秩序的构建则需要以明确健康医疗数据的权利归属为前提[12]。当下若想充分实现健康医疗数据的经济价值,以法律规范的形式建立健康医疗数据的权利归属制度是必由之路。

3.3 小结

可见,健康医疗数据权利归属制度的缺失在“数据经济”的背景下难以公平保障相关利益主体的合法权益,并且权利归属制度作为规范体系的基础,与其配套的监管、技术路径等策略也难有所为。健康医疗数据的有序利用,涉及医疗机构、患者、研究机构等多方利益主体。在各方合理权益得到公平保障的前提下,权利归属制度的明确可以实现各方合理权益的公平保障,为促进各方合作、发挥数据价值的过程保驾护航,成为数字经济发展的压舱石。这也是该问题如此吸引政策关注的重要原因,学界的探讨也为构建符合我国国情的健康医疗数据权利归属制度提供了科学性保障。总之,当下推动健康医疗数据权利归属制度的建立具有必要性与可行性。

4 健康医疗数据权利归属制度建设的关注要点

4.1 健康医疗数据的特征

数据权利是数据主体依法对特定数据享有的支配和控制的权利[13]。但需要承认的是,不同类型的数据具有其独有的特征,数据特殊性的存在导致我们在对数据进行权利归属相关问题的研究时难免失当。因此,对不同类型数据进行权利归属研究时,不仅要遵从数据的一般性,也要对具体数据类型的特殊性进行具体分析,根据不同数据类型的特点提取具体类型权利归属制度构建的关键要素。而健康医疗数据作为健康医疗行业的信息化产物,也被该行业赋予了自身的特殊性。

4.1.1 强敏感性与隐私性

健康医疗数据内涵丰富,不过其原始数据通常包含如病历、诊断结果和治疗方案等个人私密信息。《民法典》第一千零三十四条第三款规定“个人信息中的私密信息,适用有关隐私权的规定”。相比之下,其他类型的数据并不具备如此强的敏感性和隐私性。因此,在建立健康医疗数据权利归属制度时,通过隐私保护和数据安全措施确保个人健康隐私的安全和保密是重中之重。

4.1.2 法律及伦理要求的特殊性

由于健康医疗数据的敏感性与隐私性特征,健康医疗数据的收集、使用和共享将受到更加严格的法律和伦理要求限制。如《基本医疗卫生与健康促进法》第一百零一条、一百零二条对医疗机构、医护人员泄露医疗信息等行为都规定了相关的法律责任。总之,与健康医疗数据有关的各参与者需要遵守包括知情同意、数据保护和隐私、机密性和匿名性,以及道德责任等严格的法律规定和伦理标准,这些特殊要求应当在权利归属制度建设的过程中进行充分考量,建立透明和可信的数据使用机制,确保合规性和保护各参与方的正当权益,促进可持续、负责任的健康医疗数据应用与研究。

4.1.3 参与者身份特定

患者、医疗机构、医护人员、研究人员和第三方服务提供商等参与者在健康医疗数据处理过程中都有着特定的角色和责任,他们在数据的收集、使用、共享和保护方面承担着各自的义务。相比其他类型数据,健康医疗数据的分布状况与其所联系的医疗健康行业有着同样明显的马太效应,集中化程度高,大部分的数据为少数头部主体所掌握。这一数据特征可缩小数据权利归属与控制的主体范围,但同样也需要更加谨慎地平衡相关方的利益诉求,确保各方权益得到平衡和保护。

4.1.4 数据排他性

应敏感性与隐私性及参与者身份特定特征的要求,健康医疗数据只得在特定主体之间流转,作为健康医疗系统内部的非公开数据及受控网络平台的个人数据,健康医疗数据具有天然的封闭性[14]。除业务相关单位与个人外,其他主体获取数据的难度大、成本高,故相较于其他类型数据,健康医疗数据具有天然的排他优势。另外,由于健康医疗数据所具有的高价值特征,使其具有显著的资产属性,相关利益主体会采用如保密协议、内部局域网、多重验证准入等制度和技术主动构建健康医疗数据的安全壁垒,强化排他性特征,进一步满足成就健康医疗数据权利归属的排他性要求。被动封闭的内在特性与主动构建的外在壁垒,使健康医疗数据具有了较其他类型数据更加显著的排他性特征,这也赋予其较其他类型数据建立权利归属制度有着得天独厚的优势条件。

制度建设应当充分考虑权利客体的特征,通过对健康医疗数据特征的总结不难得出其权利归属制度构建的要点。健康医疗数据的排他性是该类型数据实现权利归属制度构建的前提条件;其次,由于其内容的隐私性与敏感性,权利归属制度应当保障健康医疗数据所承载的隐私信息安全;再次,由于法律及伦理的特殊要求,在权利归属制度应当为实现透明和可信的数据使用机制打好基础;最后,由于参与者身份特定,在制度构建中应当关注相关方的利益所在,明确数据归属的原则,同时促进利益相关方的合作与协商。

4.2 隐私与敏感信息保护

敏感性与隐私性是健康医疗数据的内在特征,健康医疗数据权利归属制度的构建应当注重健康医疗数据所承载的敏感与隐私信息保护以及数据利用之间的平衡。目前我国立法在《个人信息保护法》《民法典》等法律规范中作了概括规定,如《个人信息保护法》第二十八条的列举中明确医疗健康信息作为敏感个人信息的属性。不过伴随数据开发程度的深化,健康医疗数据的内涵已不再局限于具有高度敏感性与隐私性个体数据、原始数据,经处理后不涉隐私的聚合数据也在不断发展。有学者根据健康医疗数据来源将其分为提供型数据、观察型数据以及派生型数据[15],伴随数据处理程度的不断加深,健康医疗数据一般性特征逐渐显现,至派生型数据阶段则无法再识别到个人。

在制度构建过程中,应充分考虑此类情况,防止对数据合理利用造成不利影响,故在制度建设中要通过明确权利客体范围与违法责任两方面入手实现隐私与敏感信息保护和数据利用的平衡。

在明确权利客体范围方面,可根据数据内容,通过法律规范明确包括个人身份信息、个人医疗记录、生物识别信息、关乎公共利益的生物数据、科研数据等各类个人隐私信息及敏感信息的范围;通过技术规范明确如数据去标识化等隐私处理标准及存储、传输和处理过程中符合严格的数据安全标准,根据隐私与敏感程度对不同健康医疗数据进行分级分类管理并进行定期审查与更新,及时调整规范以适应新的形势和要求。明确的范围和技术标准可以为开发利用活动提供明确的指导,进一步加强隐私与敏感数据的保护,建立公众信任,促进更多个体数据持有者参与数据活动,为数据利用提供更广泛的数据来源。

在明确违法责任方面,通过法律规范对不同类型健康医疗数据流通利用的条件、主体权限及责任进行明确,提供司法保护路径,完善民事赔偿、行政处罚、刑事追责的法律责任体系。同时,依法建立健全有效的监管机制,为执法活动加强技术保障,加强对违反隐私保护法律法规行为的审查能力。借助法律责任的设立与监管有效性的提高,划定数据利用活动的红线,可有效促进相关活动合法有序进行。

4.3 数据归属原则设计

建立包括个人患者、医疗机构、企业等其他可能主体在内的健康医疗数据权利归属制度,有助于确定数据的控制者和使用者,不仅可为数据的合法使用提供基础保障,还可为监管工作提供方向。但健康医疗数据不仅所涉权益广泛,实践中数据表现形式也呈现多样化特点,在制度设计中要充分考量参与主体的利益关注重点,促进利益相关方的合作与协商。在此背景下,明确数据归属原则这一首要任务就显得至关重要。

个体劳动是财产归个体所有的依据[16]。健康医疗数据作为由个人、医疗机构、企业等不同主体提供或处理,单独或协同形成的劳动成果,其权利归属制度的构建也不仅要体现数据形成的贡献程度,还应当体现“数据来源者”与“数据处理者”的主体类型所联系非经济权益。具体而言,在“数据来源者”与“数据处理者”的角色定位下,梳理健康医疗数据的要素范畴,考虑数据所承载角色的权益情况,若涉及隐私与敏感信息,则相关数据权利归属数据来源者或政府为宜;若数据已完成去标识化,可依照资金、技术、劳动(如数据的生产、处理)等贡献要素进行权利归属的确认,实现“谁投入、谁贡献、谁受益”,保障各相关主体的贡献能够获得合理收益的权利,体现兼顾促进数据要素利用和平衡数据收益分配的理念。

由于技术的不断发展以及健康医疗数据与临床、科研、商业行为的密切关系,健康医疗数据的具体类型已然非常丰富,以主体角色为基础、以贡献要素为标准的归属原则的落地还需要更多来自法律及技术层面的研究和实践经验证,保障未来数据利用公平与效益的平衡。

4.4 数据利用机制建设

马克思说:“法的利益只有当它是利益的法时才能说话”[17]。健康医疗数据价值巨大,但其价值往往是由企业等单位通过市场经营、科研共享等活动来实现,高准入门槛是这些“数据变现活动”的普遍特征。以贵阳大数据交易所推出的《贵阳大数据交易所702公约》交易规则为例,其所允许参与数据交易的主体被限制为法人,且在注册资金、组织形式、技术风险等方面均作出了限制。如此限制诚然是出于对数据安全的考量,但却使个人、中小型的医疗机构及企业等主体难以参与其中。健康医疗数据归属制度的目的就是通过权属的明确建立正向激励、健康稳定的市场秩序,而健康医疗数据收益获取机制欠缺导致即使明确了健康医疗数据权利归属问题,权利主体也会因无法获利而忽视其所拥有数据权利。所以要真正实现健康医疗数据归属机制的目的,必须完善与之配套的数据使用机制,形成有效的利益指引。

可参考各地大数据交易所的数据交易平台模式,健康医疗数据各主体通过交易实现收益。首先,政府主导搭建以全国为范围、去中心化的健康医疗数据市场交易平台,个人、医疗机构、企业等主体在该平台拥有平等地位,交易客体限定为健康医疗数据。其次,借鉴上海数据交易所的成功经验,确立“无场景不交易”的原则,通过固定场景固定价格解决数据定价难的问题,交易平台厘清诊疗、科研、商业应用等典型应用场景,在综合评估市场价值和社会风险的基础上依场景进行分级分类管理,探索标准明确、风险可控的数据交易秩序。最后,平台及政府监管要做好交易“守夜人”的角色,做好技术升级提高监管能力,如北京国际大数据交易所提出探索央行法定数字货币在该交易所支付结算体系的做法[18],将数据交易与数字人民币结合实现对数据流通、数据收益进行明确溯源。平台还可发挥区块链、人工智能等技术在增强数据隐私保护、防止内容篡改、固定违规证据、提高监管效率等方面的作用,探索新时代的数据监管体系,达到健康医疗数据交易的安全有序以及防止数据垄断的监管效果,为开发健康医疗数据价值使其成为新的经济增长点而努力。

5 结论

健康医疗数据权利归属制度的建设有其现实必要性所在,考虑到健康医疗数据的复杂内涵及多专业结合之特性,本文仅从法律制度的角度,根据其法律特征对其权利归属制度构建在隐私保护、制度原则设计以及配套利用机制3个方面的关注重点提出看法,为该领域的学术研究抛砖引玉。对于具体的制度构建,还有赖于学界结合实践经验,从法律、医学、计算机科学等多个学科在数据去标识化、数据类别划分、数据形成要素、数据追溯技术等方面继续探索,共同推动健康医疗数据权利归属制度的建设和完善。