医药企业机构日常运营涉及医疗数据及数据合规要点

来源：法律安全管理总部 | 发布时间：2022-03-21

近年来，国家药品监督管理局(“国家药监局”)、国家卫生和健康委员会(“国家卫健委”)、国家医疗保障局(“国家医保局”)、国家市场监督管理总局(“国家市监局”)、国家发展和改革委员会(“国家发改委”)、中共中央网络安全和信息化委员会办公室(“网信办”)等监管部门不断出台新政，进行单独及联合执法，从医疗/医药/医保、数据合规及网络安全、互联网反不正当竞争与反垄断等领域对大健康行业内的企业机构及其相关负责人进行全面规范，对大健康行业企业机构医疗数据合规管理提出了更加细致的要求。 本文从监管法律法规的现状以及法律法规中对于涉及医疗数据的分类和要求进行总结，为下一步医药企业的医疗数据合规应对方法提供初步的事实依据和分析基础。

医药企业的数据来源

根据下图，医药企业主要会从临床/非临床/上市后临床试验和研发中获取数据，同时会从医疗服务、健康管理平台等获取部分医疗数据，即研发试验和药品上市后的数据和来自于医保机构等的保险支付数据。在特殊的情形下，也可能从健康管理企业获取患者的健康监测数据以实现药品的定制化开发、或在疫情的背景下从政府机构获取的传染病监测等数据。

（注：本图根据《信息安全技术-医疗健康数据安全指南》进行整理）

二、医药企业医疗数据规制法律文件概述

由于目前国内还未出台一部统一性的法律，来对各类医疗数据进行准确划分和明确定义，关于医疗数据的分类和定义散见在《 数据安全法》《 网络安全法》《国家健康医疗大数据标准、安全和服务管理办法(试行)》《医疗机构病历管理规定(2013年版)》《人类遗传资源管理条例》《信息安全技术 个人信息安全规范(2020年版)》《 生物安全法》等法律法规文件中，主要包括医疗健康大数据、病历资料、健康医疗数据、人类遗传资源、人口健康信息、临床试验数据等；因此，需要大健康行业企业机构根据业务情况具体分析相关医疗数据是否属于前述数据的范围。前述文件对不同类型的医疗数据的监管要求和尺度有所不同，但从法律合规角度，其规制的基本原则为就高不就低(以下为重要法律文件的部分列举)。

三、医疗数据合规处理建议

由于现行法规庞杂且令出多头，同时法规在不适更新，故对现有的法规进行初步梳理，整理如下合规要点供参考。