《紫荆论坛》专稿/转载请标明出处

黄哲瑞 I 澳门科技大学法学院学生
冯泽华 I 广东财经大学法学院博士后
 

个人健康信息规则是指个人在医疗服务、健康体检、疾病控制、医学研究等过程中涉及个体特征、健康状况、遗传基因信息、既往病史、医疗信息等信息相关的准则、标准和章程。如今内地已相继实施《数据安全法》、《个人信息保护法》等法律法规，为内地的个人健康信息跨境流动奠定坚实的法律基础。在粤港澳共同建设健康湾区和协同防控新冠疫情的背景下，个人健康信息的跨境流动和共享起到了巨大作用，既有利于大湾区居民了解疫情的即时事态，也有利于政府引导公众和企业参与到应急管理体系中。因此，有必要尽快推动个人健康信息规则衔接，有助于促进优质医疗卫生资源紧密合作，鼓励医疗卫生领域的技术创新。然而，大湾区个人健康信息规则衔接既受制于技术问题，又牵涉法治互信、政治认同等问题，需要创造条件，为问题的解决营造良好的制度环境。当前，大湾区个人健康信息规则衔接面临著法律供给不足、污名化以及隐私保护意识差异大等多重困境。为此，应确立大湾区个人健康信息规则衔接的规范基础，逐步建立跨区域的行政监管体系和明确湾区居民对个人健康信息的跨境携带权益，并构建多元主体参与的个人健康信息管理模式。
 

一、推动大湾区个人健康信息规则衔接的重要价值

（一）推动大湾区生产要素高效便捷流动
 

生产要素高效便捷流动是粤港澳大湾区建设的重要要求。显然，个人健康信息规则的有效衔接也符合《粤港澳大湾区发展规划纲要》的共塑健康湾区的政策方向。具体表现为以下两个方面。
 

第一，契合数据作为生产要素的逻辑定位。数据已被我国确立为新型的生产要素，加快培育数据要素市场是当前「双循环」新发展格局的重要方向。数据要素的流动性影响资源的有效配置，为了深化「双循环」工作，数据的流动机制尤为重要。个人健康信息属于重要的数据类型，其实现跨境流动，对推动大湾区的生产要素流动至关重要。
 

第二，激发湾区居民跨境流动的内生动力。推动社会福利跨境可携是粤港澳三地的重要施政著力点。以香港为例，香港如今人口持续老龄化，养老资源短缺，然而根据社会福利署的数据显示，参加综援广东计划、综援福建计划的长者从2007年的3,308人减少到2017年的1,399人，10年间减少了57.71%。而福利跨境可携程度较低是香港长者跨境养老率下降的根本原因，所以解决社会福利跨境问题是重要的切入口。通过提高个人健康信息的流动性，可以有效解决如跨境养老等社会福利问题，缩小港澳长者在内地养老和港澳养老所享受到的福利差异，提高港澳居民对内地的认同感，有助于推动三地居民跨境流动。个人健康信息是社会福利的重要载体和电子凭证，而实现个人健康信息跨境流动是社会福利跨境可携的逻辑前提。
 

（二）带动大湾区新兴产业发展
 

个人健康信息跨境流动背后的产业链蕴含巨大发展空间，需要多元主体共同参与方能实现。首先，数据安全业务。产学研同向发力，研发出世界领先的数据安全技术，通过在跨境数据传输和存储过程中的数据访问进行有效的加密技术控制，以保障个人健康信息跨境流动的安全性。同时加以脱敏技术的研发创新，通过数据置换、数据失真等方法对个人敏感信息加以保护。数据安全技术的创新能够为数据安全治理提供保障，这是大湾区打造国际科技创新中心的重要抓手。其次，数据跨境业务。需要开放跨境数据业务，放宽市场准入，为跨境医疗合作、跨境保险业、医疗旅游等产业提供发展空间，促进粤港澳三地紧密合作，推动大湾区供给侧结构性改革。最后，远程医疗业务。当个人健康信息充分利用于医学研究，将有助于减少重复检查，提升湾区的远程医疗水平。远程医疗业务的发展，将促进粤港澳三地先进医疗技术、优质医疗资源的融合，更好地攻克重大疾病，提升大湾区整体医疗健康服务水平，为差异化医疗需求提供路径。
 

（三）先行先试个人健康信息跨境流动的中国方案
 

个人健康信息属于敏感个人信息，一旦被泄露或被非法使用，会容易导致人身或财产安全的侵害，因而许多国家和地区将个人健康信息列入不宜跨境流动的数据，但显而易见的是，共享个人健康信息有助于促进医学研究，增进人类福祉。国际标准化组织一直在推进健康信息的跨境流动与相关规则的制定。如今，个人数据跨境流动规则已形成欧盟和美国两大体系，而我国在一些规则和标准制定等方面影响力有待提高，但可在个人健康信息跨境流动上实现弯道超车。大湾区有著「一国两制、三关税区、三法域」的特殊性，个人健康信息规则各异，具有模拟「国际合作」的空间优势，在香港国安法的加持下，可作为个人健康信息跨境流动的试点区域，既积累治理经验又降低国家安全风险。当个人健康信息跨境流动规则衔接工作运作成熟时，我国可以此为样本积极参与国际合作，推广至中国与其他国家和地区之间的跨境数据流动治理，提高个人健康信息跨境流动规则和标准制定的话语权。

二、大湾区个人健康信息规则衔接面临的主要问题

（一）大湾区个人健康信息规则衔接的法律供给不足
 

个人健康信息作为一种敏感个人信息，在跨境流动过程中将遭遇形形色色的障碍。其中，最为关键的是大湾区存在三套个人健康信息规则，彼此之间尚未衔接。
 

第一，缺乏规则衔接的规范依据。大湾区建设自被提升为国家战略后，在国家法律这一位阶上长期缺乏直接规范依据，与海南自由贸易港建设即将具备「基本法」——《海南自由贸易港法》形成鲜明对比。目前内地公布的《个人信息保护法》虽有明确个人信息跨境提供的规则，但未明确预留内地与港澳个人数据跨境流动的制度空间，即法条一概将港澳与外国一并视作「境外」，从法律形式上强化港澳与内地的差异性，增强了港澳法律秩序与全国性法律秩序的离心效应，不利于港澳融入国家发展大局。在数据流动领域，香港具有较为完备的数据流动体系，主要以《个人隐私条例》《跨境资料转移条例》为规范依据；澳门则对个人信息的跨境转移中一般与例外情形在《个人资料保护法》中有所体现，该法为澳门的数据流动提供了基本的规范依据；我国如今虽然有《网络安全法》《电子商务法》《数据安全法》《个人信息保护法》等法律法规对数据流动进行规定，但显而易见的是，粤港澳三地都有其独立的，具有本土性质的数据流动领域的法律规范，三地法律的适用范围、适用主体、对数据的界定等均各有异同，法治环境也不尽相同。如今大湾区却缺乏一套规则衔接制度以应对港澳和内地之间数据流动的制度差异，这是未来粤港澳三地协同发展，个人健康信息自由流动的一大阻碍。
 

第二，粤港澳三地关于个人健康信息规则差异较大。港澳具有较为完备的信息保护法律制度，如香港隐私权保护是集基本法、国际公约、人权法案、条例及普通法判例为一体的法律体系；澳门也将隐私权视作一项独立的人格权，在《澳门基本法》和《澳门民法典》中均有独立的规定。与港澳已形成相对成熟的个人健康信息保护规则不同，内地个人信息保护法草案将个人医疗信息定位为敏感个人信息，未明确具体范围和保护措施，对于个人健康信息受到侵害时适用的规则等等也未有进一步的解释说明，并且立法零散。以医疗领域为例，我国仅在《执业医师法》《精神卫生法》《民法典》等对个人健康医疗信息的隐私保护有零散的规定。《民法典》虽然把隐私权列为该法保护的民事权益之一等，但在立法上没有明确界定隐私权的内涵、外延及保护范围、出现冲突时应适用的原则和措施义务主体等等，这些问题均亟需解决。《个人信息保护法》也尚未有效解决这些问题。因此，内地涉及个人信息的立法仍然过粗，条文过于抽象，对实务操作的指导有限。个人健康信息不仅涉及个人的基因等，还涉及国家安全。对个人健康信息的保护是双刃剑，过度限制个人健康信息的处理确实能在一定程度上保证安全问题，但另一方面会影响医疗科技的进步，而放宽对个人健康信息的限制则会导致各类敏感信息的泄露，侵蚀湾区居民个人利益等。所以如何把握规则限制的界限是值得研究的问题，内地应对个人健康信息进行专门细化、专门立法。
 

（二）香港本土医药界利益集团和少数激进势力的污名化行径
 

香港第五波疫情来势汹汹，社会防疫压力巨大。在奋战控制疫情的同时，有必要反思香港反复爆发疫情的制度根源。我们认为，个人健康信息规则难以衔接是制约香港控制疫情的重要原因。
 

在中央支援香港实施全民核酸检测计划中，少数激进人士妄言这是「大规模收集港人DNA数据」，甚至污蔑「健康码」系统是所谓「以科技全面监控的系统」。 在香港疫情中病床严重不足的情况下，对待中央的支援，少数乱港人士仍「坚定」立场，以「内地所用普通话与香港所用英语、粤语不通，来港的内地医护会造成香港混乱」此类毫无逻辑的理由严词拒绝。如此荒谬的现象除了政治因素外，还与香港本土的医药界利益集团对于香港的医疗资源垄断息息相关，从而污名化内地支援香港抗疫。
 

香港的污名化行径不仅与中央伸出援手的初衷相悖，更与国际社会共同抗击疫情的努力与期待背道而驰。2020年中央支援香港进行全民核酸检测，在污名化言论的蛊惑下，有不少香港居民担心带有基因的检测样本泄露，无法保障他们的隐私，以致最终仅完成170万余份核酸检测，不到香港总人口的三分之一。香港第五波疫情确诊呈几何级数增长时，本土首剂疫苗接种率才刚达到八成，而与此同时，内地完成全程新冠疫苗接种的总人数近九成，无论是样本数量还是普及率，香港与内地均有著明显的差距。香港特区政府实施的全民核酸检测与接种疫苗计划收效甚微，加上防疫措施过软，又有激进势力的阻挠，导致疫情反复，始终未能「清零」，甚至还出现了愈发严重的趋势，这不仅妨碍香港防疫工作的进行，为香港人民的生活造成不便，更严重削弱了特区政府公信力，对「一国两制」行稳致远产生诸多负面影响。
 

（三）粤港澳三地隐私保护意识差异大
 

与内地不同，港澳长期受个人隐私文化洗礼，居民普遍具备较强的隐私保护意识（尤其是个人健康信息）。而内地侵犯隐私的违法成本低，缺乏注重个人隐私文化土壤，由此造成包括珠三角九市居民在内的内地居民隐私保护意识弱的现象。在新冠疫情期间，内地不少居民隐私信息被泄露，如2020年渝北法院受理并审结的「首例涉新冠肺炎疫情侵犯公民隐私权纠纷案」中，被告便是以「非常时期，没有什么比安全和生命更重要」等借口在明知自身行为已经侵犯了他人隐私权的情况下，仍将原告的个人隐私信息，包括家庭住址、身份证号等等公开于互联网公众平台，给原告带来了巨大的社会压力与名誉影响。类似的案件不止一起，同时泄露隐私带来的「网络暴力」等现象也层出不穷，这不仅对患者个人生活造成了困难，更会造成社会恐慌，但对于如此严重的后果，大部分相关行为人仅受到行政处罚或者事件不了了之，这足以说明内地居民对隐私权的重视仍有不足。而港澳虽然隐私保护意识强，但保护意识过强会使港澳与内地的信息衔接步步维艰。内地已成熟完备、功能齐全并且应用了两年多之久的「健康码」，在香港才初露苗头，且并不具备与内地「健康码」相当的功能，因其隐私保护意识过于强烈，不愿意泄露个人健康信息。香港「健康码」既不实名制，也不绑定手机，失去了与大数据进行交互功能的「健康码」在新冠疫情来临时形同虚设，导致了香港疫情的反复不断，全民核酸检测长期受阻。如果内地居民的隐私保护意识无法加强，而港澳隐私保护又过于刚硬，居民过于抵抗有关隐私类政策与措施，在隐私保护的社会生态上的差异无法弥补，长此以往，粤港澳三地的隐私权邻域将很难衔接，直接导致个人健康信息规则衔接受阻。

三、大湾区个人健康规则衔接的立法协同之道

（一）确立大湾区个人健康信息跨境流动的法律依据
 

与海南自贸港建设依托统一立法模式不同，大湾区存在三套法律制度，各自的法律体系不尽相同，如果强行融合会存在法律冲突，为了克服制度的障碍，通过分散式立法模式推动信息规则衔接势在必行。
 

第一，建立规范基础。内地个人信息保护处于起步阶段，不宜在法条上将港澳与外国等量齐观，避免在立法上强化港澳与内地的相斥性。《个人信息保护法》应更具开放性，为日后内地与港澳信息（数据）规则衔接「留口子」，即在个人信息跨境提供的规则中增设法条明确内地与港澳的个人信息跨境流动问题，包括可在特定区域如粤港澳大湾区率先试点推动敏感个人信息的跨境流动。
 

第二，扩大落地效应。依据《个人信息保护法》关于内地与港澳信息规则衔接的条款，国务院及相关部门可邀请港澳法律界人士、港澳个人信息保护工作者共同参与大湾区个人健康信息规则衔接的法律文件制定工作，群策群力，从三地数据流动领域立法入手，汲取各地立法长处，寻求一条融合之道，增强港澳人士在国家法律文件制定的参与感和获得感的同时，制定更符合大湾区发展实际的个人健康信息衔接规则。同时也可以进行信息公开，对粤港澳三地社会征求公众意见，不仅在专业人士层面获得支持，更能在社会大众层面取得信任，从而提高大湾区规则衔接工作的社会认受性。
 

第三，进行专门立法。我国《个人信息保护法》刚出台，但因个人健康信息的特殊性，仍可以进行专门立法，制定专门的个人健康信息保护法，作为《个人信息保护法》的下位法进行规则的细化指导，并不与上位法抽象性的规则相冲突。根据我国《立法法》第13条规定：「全国人民代表大会及其常务委员会可以根据改革发展的需要，决定就行政管理等领域的特定事项授权在一定期限内在部分地方暂时调整或者暂时停止适用法律的部分规定。」由全国人大常务委员会授权广东省制定有关个人健康信息跨境流动的地方性法规，广东省在一定期限内实施该暂时性的地方性法规，作为大湾区数据跨境阶段性的立法试验区，通过法规实践中积累的正面及负面经验，为将来大湾区建立个人健康信息规则衔接制度的立法规范提供实践依据。该暂时性的地方性法规可以从针对个人健康信息研究邻域特别规则的制定以及对科研中利用个人健康信息的合规性规定等入手，确立指导性规范，为解决如今《个人信息保护法》实务指导方面局限性的问题提供先行先试作用。因《个人信息保护法》在条文方面更侧重规范条文，所以在此次专门立法上可以著眼于强制性条文，对个人健康信息隐私安全方面进行强制约束。在专门立法方面，可以参考美国的HIPPA综合性个人健康信息保护的立法，该法案适用主体包括健康计划，健康服务数据交易中心等等，通过行政简化规定以形成详尽的标准和实施细则，相比我国的《个人信息保护法》具有更高的可操作性和实践性。可以为湾区的个人健康信息专门立法起一定的借鉴作用。
 

（二）建立个人健康信息的跨区域行政监管体系
 

在如今互联网+时代，数据的跨境流动固然可以促进经济的发展，但同时也会带来对国家安全、个人隐私权保护等方面的挑战，监管部门的执法监管面临明显的困难，为了防止监管阵地失守，需要对信息监管体系进行改革创新。如今英美国家、我国港澳地区都已建立了相应的个人信息监管模式，国务院及其相关部门应对大湾区个人健康信息规则衔接工作提供指引，逐步建立跨区域的行政监管体系。
 

第一，共建大湾区个人健康信息监管部门。国家发展改革委、国家网信部门与粤港澳三地政府共建设在广州的大湾区个人健康信息监管部门，可以学习借鉴我国港澳地区的统一立法、专门监管的模式，以广州作为统一和独立的大湾区个人健康信息监管部门，既可以避免多头监管所导致的效率低下，又可以促进粤港澳三地监管体系的衔接，进行统一领导，提高监管效率。同时可以由港澳医学界人士在监管部门中担任重要职务，提供专业领域指导，增强他们对内地个人信息保护工作的信心。
 

第二，对个人健康信息实施分类管理。细化管理标准、管理程序等，可将个人健康信息划分为弱保密程度（如身高、体重、视力状况等）与强保密程度（如基因信息、生物识别信息等），根据不同保密程度，采取差异化的监管措施。
 

第三，建立配套处理规则。包括健康信息跨境流动的处理。建立个人健康信息跨区域流动的安全评估体系，利用大湾区制度优势对跨境的个人健康信息进行安全试点。同时要覆盖个人健康信息保护的各个阶段，通过事先防范、事中监督、事后追踪的手段，为行政监管提供具体规则。协调好个人信息保护监管与行政、刑事处罚，行政、民事申诉之间的关系并明确数据提供方和数据接收方应当承担责任的处理规则。具体方面，可以通过建立个人健康信息处理风险评估制度、制定行政法规明确处罚种类、健全信息调查处理制度等，在完备的监管体系下辅之行之有效的具体措施，才能全方位的对个人健康信息进行监管。
 

（三）确立湾区居民对个人健康信息的跨境携带权益
 

由于我国政府部门和企业、事业单位之间的数据可携带性十分薄弱，同时又缺乏相关立法的配套，「信息孤岛」现象已经成为了亟需解决的一大问题，尤其是在个人健康信息领域，「信息孤岛」已经严重影响医疗的连续性和系统性。而当前在国家法律层面完全确立数据携带权的条件并不成熟，我国的立法尝试主要体现在《信息安全技术个人信息安全规范》的规定中，有关数据携带权的规定较少且不完备，且缺乏具体应用的研究。但在欧盟已有先例。欧盟于2018年5月25日正式实施的《一般数据保护条例》中对数据可携权进行了专门规定，可以在立法层面借鉴欧盟的经验，但也不能盲目引入。为消除湾区「信息孤岛」，促进个人健康信息的共享与便民化，国务院及相关部门可先行明确湾区居民享有个人健康信息的跨境携带权益。
 

第一，湾区居民可在有资质的跨境企业平台之间转移个人健康信息。在这过程中要对企业和个人隐私权之间进行平衡，在个人健康信息跨境流动过程中不仅要为个人数据的流动进行监管，也要依情况对跨境企业平台提供保护和一些政策补贴。
 

第二，湾区居民可在粤港澳三地的政府部门间直接转移个人健康信息，在条件尚未成熟前，可先在大湾区内地城市的政府部门间实现个人健康信息转移的尝试。通过政府的主导，推动政府与个人、企业与个人之间的个人健康信息共享，既有利于提高政府的办事效率、节省成本，也有利于在任何时间、地点访问健康相关数据，对个人健康进行及时管理，保证医疗的连续性和系统性。
 

（四）构建多元主体参与的个人健康信息管理模式
 

个人健康信息来源于卫生行政部门、医疗机构、用人单位、保险公司等机构，亟需各方实现共治，各方以平等地位参与信息共享并相互监督，建立法制化和契约化的信息管理模式，促进市场竞争，实现合作共赢。当然，如果卫生行政部门、医疗机构等机构各自为政，信息各自维护，必然会造成资源的浪费以及短期内的信息不一致，所以有必要统一个人健康信息管理模式以避免因各自为政而导致的信息相互衔接困难等问题。
 

第一，提升市场信任度，鼓励港澳地区的第三方机构对大湾区提供个人健康信息服务的企业进行定期性安全信用评级，同时明确使用个人健康信息的企业或机构的独立责任，在个人健康信息流动于各医疗机构、健康管理机构及数据分析机构的过程中，应当通过信息管理模式及时的向居民披露其个人信息的被使用现状与去向，形成透明公开的管理模式，督促企业合理合法地使用居民的个人信息，增强港澳居民对跨境携带个人健康信息的信任度以及积极性。
 

第二，允许个人与企业建立个人健康信息的共有制，可以先从提供个人敏感度较低的健康信息开始，激发企业建立跨境健康信息库的内生动力，条件成熟后可以逐步提高对个人较敏感信息的收集，提升个人健康信息的使用效率，节省政府行政成本。
 

第三，共建大湾区个人健康信息管理协会，由粤港澳三地的医学界和科技界人士担任重要职务，联合粤港澳三地的从事健康管理、健康服务和健康产业的医疗机构、涉老机构、公益机构、企事业单位及相关人员自愿组成的全国性、专业性、非营利性社会组织并定期举办交流会，交流会可由内地主导，在粤港澳三地轮流承办，提高各地参与积极性，增进社会互信。个人健康信息管理协会可以为大湾区的健康管理提供指导方向，对 「实施全面健康管理，建设全面健康中国」目标的实现起到推动作用。

四、结语

个人健康信息规则衔接在作为改革开放的前沿的大湾区中，有著天然的优势与优良的环境，但同时也面临著诸多阻碍，在法治环境和社会生态等层面均存在差异亟需解决，为此大湾区需要对内立法完善制度缺陷，对外建立统一的监管体系以维持法律规范的实施，以政府为主、第三方机构为辅，为个人健康信息规则的衔接提供协同道路。推动个人健康信息规则的衔接有利于完善我国数据流动领域的规则，为粤港澳三地居民建立文化认同、制度认同，推动我国法治建设。从更深层价值而言，有利于从根源上稳定包括香港在内的湾区疫情，促进大湾区医疗领域乃至科技邻域的创新发展，提高人民的生活幸福感与归属感，实现粤港澳三地政府治理能力现代化，提高我国经济质量效益和核心竞争力，推动建设国际一流湾区和世界级城市群。

本文发表于《紫荆论坛》2022年5-6月号第58-65页