国产视频一区三区_久久久精品性_在线精品一区_欧美在线视频二区_国产精品一区在线观看_精品不卡视频_欧美亚洲免费高清在线观看_欧美视频久久_国产精品一区毛片_国产日韩一区

前言

早在1999年，我國即開始倡導醫(yī)療信息化建設，到2014年，互聯(lián)網(wǎng)醫(yī)療開始出現(xiàn)，雖歷經(jīng)波折，但隨著國家數(shù)字化轉型戰(zhàn)略發(fā)展，以及我國信息化技術的高速發(fā)展，近年來智慧醫(yī)療也迎來了更加穩(wěn)健快速的發(fā)展。數(shù)字化在為百姓就醫(yī)、醫(yī)療診治、醫(yī)療數(shù)據(jù)應用等方面帶來了極大的便利。但與此同時，醫(yī)療數(shù)據(jù)的安全問題也逐漸凸顯。醫(yī)療機構掌握了大量的患者個人信息，且大部分是敏感個人信息，而不少醫(yī)療機構的數(shù)據(jù)安全意識和保護措施不足，數(shù)據(jù)合規(guī)組織架構混亂，導致很多醫(yī)療數(shù)據(jù)都處于“裸奔”狀態(tài)，這也是這些年醫(yī)療健康數(shù)據(jù)頻頻出現(xiàn)泄露的主要原因。

隨著《網(wǎng)絡安全法》《民法典》《數(shù)據(jù)安全法》《個人信息保護法》等法律法規(guī)的陸續(xù)出臺生效，數(shù)據(jù)安全保護的責任主體、法定義務和處罰標準都已逐步明確。面對復雜、龐大且分散的醫(yī)療數(shù)據(jù)資源，醫(yī)療單位需要建立一套行之有效的數(shù)據(jù)安全合規(guī)管理體系，才能形成對醫(yī)療數(shù)據(jù)的有效管理，而這套管理體系的有效運轉，需要人來建立、維護、管理和落地實施，也就是我們所說的，首先應當建立一個數(shù)據(jù)合規(guī)管理組織。

本文將從我國的立法要求、國際相關經(jīng)驗，結合我國醫(yī)療機構組織架構的現(xiàn)狀，從一般企業(yè)構建數(shù)據(jù)合規(guī)組織架構的思路著手，初步探討國內(nèi)醫(yī)療機構的數(shù)據(jù)合規(guī)組織架構的構建思路，希望給相關單位和從業(yè)人員在數(shù)據(jù)合規(guī)體系下的組織建設工作帶來一些建議和思考。

一、我國相關法律對設置數(shù)據(jù)合規(guī)組織的相關要求

我國在《網(wǎng)絡安全法》《數(shù)據(jù)安全法》《個人信息保護法》中，均將在滿足相關條件的情形下設置相關數(shù)據(jù)安全管理機構及負責人作為運營者的法定義務。

醫(yī)療數(shù)據(jù)包含大量的一般個人信息和敏感個人信息，并可能包含大量的重要數(shù)據(jù)，一些大型的醫(yī)療數(shù)據(jù)平臺還有可能被認定為關鍵信息基礎設施。從上述各法律規(guī)定可以看出，醫(yī)療單位應當設置專門的數(shù)據(jù)合規(guī)管理組織，并確定數(shù)據(jù)安全負責人。

二、國際相關經(jīng)驗借鑒

我國雖然從法律層面上對設置相關數(shù)據(jù)安全管理機構及負責人做出了規(guī)定，但并未對其在行為、權責等方面給出更為具體的指引、規(guī)范等。這方面可以參考國外的相關指引和實踐，例如歐洲數(shù)據(jù)保護委員會（EDPB）關于DPO職位的指引（Guidelines on Data Protection Officers ['DPOs'] [wp243rev.01]），以及國際標準ISO/IEC 27001中的“附錄A 6.1內(nèi)部組織”。

根據(jù)上述指引和標準，結合我國的立法和實踐，我們認為可以對相關數(shù)據(jù)安全管理機構及負責人的職責做出如下安排：

（一） 向服務的機構和機構員工提供數(shù)據(jù)保護方面的信息和建議；

（二）對機構在數(shù)據(jù)安全與合規(guī)方面所做的工作進行監(jiān)管；

（三）參與和管理對機構數(shù)據(jù)安全風險及個人信息保護影響方面的評估工作；

（四） 與監(jiān)管部門建立通暢的溝通渠道，以確保在發(fā)生數(shù)據(jù)安全事故時及時向監(jiān)管部門匯報；

（五） 負責同數(shù)據(jù)主體溝通和聯(lián)系，協(xié)助實現(xiàn)數(shù)據(jù)主體的數(shù)據(jù)權利；

（六） 客觀獨立的履行職責，不應因受雇單位的要求而影響對客觀事實和結論的判斷；

（七） 直接向機構最高管理決策層匯報工作；

（八） 承擔網(wǎng)絡安全、數(shù)據(jù)安全和個人信息保護的管理責任。

三、關于醫(yī)療機構構建數(shù)據(jù)合規(guī)組織架構思路的探討

（一）醫(yī)療機構組織架構的復雜性

醫(yī)療領域的主體單位類型較多，原有的組織結構和經(jīng)營模式也可能有較大差異，有企業(yè)制運營的，如私立醫(yī)院、藥房、體檢中心、線上醫(yī)藥平臺等，也有事業(yè)制運營的，如公立醫(yī)院、醫(yī)保服務平臺等，主體類型不同導致其自身組織架構差異較大，那么相對地，各主體在數(shù)據(jù)合規(guī)組織架構設計上的差異也會相差較大。

（二）目前我國企業(yè)構建數(shù)據(jù)合規(guī)組織架構的基本思路

目前我國企業(yè)在構建數(shù)據(jù)合規(guī)組織架構時，直接組建數(shù)據(jù)合規(guī)的管理委員會，在管理委員會的基礎上，根據(jù)公司的發(fā)展戰(zhàn)略和基本目標，直接任命管理委員會的負責人，也即數(shù)據(jù)合規(guī)安全負責人，一般負責人可直接由風控部門負責人擔任。

在管理委員會之下設數(shù)據(jù)管理小組，并將相關執(zhí)行部門納入管理委員會的管轄范圍內(nèi)，如IT部門、風控部門、行政部門、人事部門等。在數(shù)據(jù)合規(guī)相關事項執(zhí)行時，數(shù)據(jù)管理小組來負責承擔企業(yè)數(shù)據(jù)合規(guī)管理事務的執(zhí)行責任，并與各業(yè)務部門的部門代表之間做好溝通的橋梁，協(xié)助單位內(nèi)部遵循數(shù)據(jù)合規(guī)的相關要求。

（三）對醫(yī)療機構構建數(shù)據(jù)合規(guī)組織架構的思路

如上文所述，醫(yī)療機構各主體在數(shù)據(jù)合規(guī)組織架構設計上的差異會相差較大，本文初步提出以下幾個要點。

１、“集團式”單位，即擁有總部單元和多個分支單元的企事業(yè)單位，例如連鎖醫(yī)院，連鎖藥房，醫(yī)療集團等。為更好的將數(shù)據(jù)安全與合規(guī)管理政策落地到各個分支單元并得到有效執(zhí)行，應當建立全方位、跨單位、跨層級的數(shù)據(jù)合規(guī)組織架構，我們認為在組織管理形式上采取“集中式管理+聯(lián)盟式管理”是一種比較有效的模式。

（１）所謂集中式管理，是指以“總部”為核心搭建數(shù)據(jù)合規(guī)組織架構，并將各分支單元的相關職能負責人納入到管理小組中。

（２）所謂聯(lián)盟式管理，是指各分支單元的相關職能負責人在“總部”管理小組的管理框架下，結合各自單位的實際情況，分別設置符合自身特點和需求的下級數(shù)據(jù)安全與合規(guī)管理機構（以下簡稱“下級管理機構”），各下級管理機構相互獨立但均受“總部”管理小組的整體管理。下級管理機構負責體系內(nèi)各管理政策的落地實施，并向“總部”管理小組反饋意見和建議。

（３）在“集中式管理+聯(lián)盟式管理”相結合的管理結構中，各分支單位的相關職能負責人將承擔“承上啟下”的重要作用，因此在該角色人員的選擇任用上，應當慎重。

２、醫(yī)院類單位與一般企業(yè)有所不同，直接大量接觸患者個人信息的主要是各科室醫(yī)護人員，而這類人員的工作特點是高專業(yè)性、高強度，很難分出精力參與數(shù)據(jù)安全與合規(guī)管理工作。因此，醫(yī)院類單位數(shù)據(jù)安全與合規(guī)管理的落地實施方面需要更倚重于信息化系統(tǒng)的數(shù)據(jù)和隱私保護策略設計，盡可能減輕各科室醫(yī)護人員負擔。但這項工作的難度與投入都非常大，非常具有挑戰(zhàn)性。

３、醫(yī)療數(shù)據(jù)價值最大且風險最高的部分是患者個人信息，因此在管理組織的資源配置上，應當向保護患者個人信息安全方向傾斜。

４、在“智慧醫(yī)療”的背景下，各醫(yī)療單位的醫(yī)療數(shù)據(jù)存在大量的共享、提供等需求，因此在管理組織中，還應當配備專門的職能人員進行供應商和合作伙伴的評估、審核、監(jiān)督管理等。

結語

我們希望醫(yī)療單位建立數(shù)據(jù)合規(guī)組織，不應當僅是出于完成合規(guī)義務而采取的形式主義，而是為了使數(shù)據(jù)安全與合規(guī)管理體系能夠有效運轉，不斷完善，進而實現(xiàn)有效保護患者和用戶的個人信息安全，且實現(xiàn)醫(yī)療數(shù)據(jù)在合法基礎上的價值最大化；我們亦希望醫(yī)療單位不要將合規(guī)投入僅僅看做一項成本，而應當將合規(guī)視為單位未來核心競爭力的一部分，讓合規(guī)投入為單位帶來更大價值。