《紫荊論壇》專稿/轉載請標明出處

黃哲瑞 I 澳門科技大學法學院學生
馮澤華 I 廣東財經大學法學院博士後
 

個人健康信息規則是指個人在醫療服務、健康體檢、疾病控制、醫學研究等過程中涉及個體特徵、健康狀況、遺傳基因信息、既往病史、醫療信息等信息相關的準則、標準和章程。如今內地已相繼實施《數據安全法》、《個人信息保護法》等法律法規，為內地的個人健康信息跨境流動奠定堅實的法律基礎。在粵港澳共同建設健康灣區和協同防控新冠疫情的背景下，個人健康信息的跨境流動和共享起到了巨大作用，既有利於大灣區居民了解疫情的即時事態，也有利於政府引導公眾和企業參與到應急管理體系中。因此，有必要儘快推動個人健康信息規則銜接，有助於促進優質醫療衞生資源緊密合作，鼓勵醫療衞生領域的技術創新。然而，大灣區個人健康信息規則銜接既受制於技術問題，又牽涉法治互信、政治認同等問題，需要創造條件，為問題的解決營造良好的制度環境。當前，大灣區個人健康信息規則銜接面臨著法律供給不足、污名化以及隱私保護意識差異大等多重困境。為此，應確立大灣區個人健康信息規則銜接的規範基礎，逐步建立跨區域的行政監管體系和明確灣區居民對個人健康信息的跨境攜帶權益，並構建多元主體參與的個人健康信息管理模式。
 

一、推動大灣區個人健康信息規則銜接的重要價值

（一）推動大灣區生產要素高效便捷流動
 

生產要素高效便捷流動是粵港澳大灣區建設的重要要求。顯然，個人健康信息規則的有效銜接也符合《粵港澳大灣區發展規劃綱要》的共塑健康灣區的政策方向。具體表現為以下兩個方面。
 

第一，契合數據作為生產要素的邏輯定位。數據已被我國確立為新型的生產要素，加快培育數據要素市場是當前「雙循環」新發展格局的重要方向。數據要素的流動性影響資源的有效配置，為了深化「雙循環」工作，數據的流動機制尤為重要。個人健康信息屬於重要的數據類型，其實現跨境流動，對推動大灣區的生產要素流動至關重要。
 

第二，激發灣區居民跨境流動的內生動力。推動社會福利跨境可攜是粵港澳三地的重要施政著力點。以香港為例，香港如今人口持續老齡化，養老資源短缺，然而根據社會福利署的數據顯示，參加綜援廣東計劃、綜援福建計劃的長者從2007年的3,308人減少到2017年的1,399人，10年間減少了57.71%。而福利跨境可攜程度較低是香港長者跨境養老率下降的根本原因，所以解決社會福利跨境問題是重要的切入口。通過提高個人健康信息的流動性，可以有效解決如跨境養老等社會福利問題，縮小港澳長者在內地養老和港澳養老所享受到的福利差異，提高港澳居民對內地的認同感，有助於推動三地居民跨境流動。個人健康信息是社會福利的重要載體和電子憑證，而實現個人健康信息跨境流動是社會福利跨境可攜的邏輯前提。
 

（二）帶動大灣區新興產業發展
 

個人健康信息跨境流動背後的產業鏈蘊含巨大發展空間，需要多元主體共同參與方能實現。首先，數據安全業務。產學研同向發力，研發出世界領先的數據安全技術，通過在跨境數據傳輸和存儲過程中的數據訪問進行有效的加密技術控制，以保障個人健康信息跨境流動的安全性。同時加以脫敏技術的研發創新，通過數據置換、數據失真等方法對個人敏感信息加以保護。數據安全技術的創新能夠為數據安全治理提供保障，這是大灣區打造國際科技創新中心的重要抓手。其次，數據跨境業務。需要開放跨境數據業務，放寬市場准入，為跨境醫療合作、跨境保險業、醫療旅遊等產業提供發展空間，促進粵港澳三地緊密合作，推動大灣區供給側結構性改革。最後，遠程醫療業務。當個人健康信息充分利用於醫學研究，將有助於減少重複檢查，提升灣區的遠程醫療水平。遠程醫療業務的發展，將促進粵港澳三地先進醫療技術、優質醫療資源的融合，更好地攻克重大疾病，提升大灣區整體醫療健康服務水平，為差異化醫療需求提供路徑。
 

（三）先行先試個人健康信息跨境流動的中國方案
 

個人健康信息屬於敏感個人信息，一旦被泄露或被非法使用，會容易導致人身或財產安全的侵害，因而許多國家和地區將個人健康信息列入不宜跨境流動的數據，但顯而易見的是，共享個人健康信息有助於促進醫學研究，增進人類福祉。國際標準化組織一直在推進健康信息的跨境流動與相關規則的制定。如今，個人數據跨境流動規則已形成歐盟和美國兩大體系，而我國在一些規則和標準制定等方面影響力有待提高，但可在個人健康信息跨境流動上實現彎道超車。大灣區有著「一國兩制、三關稅區、三法域」的特殊性，個人健康信息規則各異，具有模擬「國際合作」的空間優勢，在香港國安法的加持下，可作為個人健康信息跨境流動的試點區域，既積累治理經驗又降低國家安全風險。當個人健康信息跨境流動規則銜接工作運作成熟時，我國可以此為樣本積極參與國際合作，推廣至中國與其他國家和地區之間的跨境數據流動治理，提高個人健康信息跨境流動規則和標準制定的話語權。

二、大灣區個人健康信息規則銜接面臨的主要問題

（一）大灣區個人健康信息規則銜接的法律供給不足
 

個人健康信息作為一種敏感個人信息，在跨境流動過程中將遭遇形形色色的障礙。其中，最為關鍵的是大灣區存在三套個人健康信息規則，彼此之間尚未銜接。
 

第一，缺乏規則銜接的規範依據。大灣區建設自被提升為國家戰略後，在國家法律這一位階上長期缺乏直接規範依據，與海南自由貿易港建設即將具備「基本法」——《海南自由貿易港法》形成鮮明對比。目前內地公布的《個人信息保護法》雖有明確個人信息跨境提供的規則，但未明確預留內地與港澳個人數據跨境流動的制度空間，即法條一概將港澳與外國一並視作「境外」，從法律形式上強化港澳與內地的差異性，增強了港澳法律秩序與全國性法律秩序的離心效應，不利於港澳融入國家發展大局。在數據流動領域，香港具有較為完備的數據流動體系，主要以《個人隱私條例》《跨境資料轉移條例》為規範依據；澳門則對個人信息的跨境轉移中一般與例外情形在《個人資料保護法》中有所體現，該法為澳門的數據流動提供了基本的規範依據；我國如今雖然有《網絡安全法》《電子商務法》《數據安全法》《個人信息保護法》等法律法規對數據流動進行規定，但顯而易見的是，粵港澳三地都有其獨立的，具有本土性質的數據流動領域的法律規範，三地法律的適用範圍、適用主體、對數據的界定等均各有異同，法治環境也不盡相同。如今大灣區卻缺乏一套規則銜接制度以應對港澳和內地之間數據流動的制度差異，這是未來粵港澳三地協同發展，個人健康信息自由流動的一大阻礙。
 

第二，粵港澳三地關於個人健康信息規則差異較大。港澳具有較為完備的信息保護法律制度，如香港隱私權保護是集基本法、國際公約、人權法案、條例及普通法判例為一體的法律體系；澳門也將隱私權視作一項獨立的人格權，在《澳門基本法》和《澳門民法典》中均有獨立的規定。與港澳已形成相對成熟的個人健康信息保護規則不同，內地個人信息保護法草案將個人醫療信息定位為敏感個人信息，未明確具體範圍和保護措施，對於個人健康信息受到侵害時適用的規則等等也未有進一步的解釋說明，並且立法零散。以醫療領域為例，我國僅在《執業醫師法》《精神衞生法》《民法典》等對個人健康醫療信息的隱私保護有零散的規定。《民法典》雖然把隱私權列為該法保護的民事權益之一等，但在立法上沒有明確界定隱私權的內涵、外延及保護範圍、出現衝突時應適用的原則和措施義務主體等等，這些問題均亟需解決。《個人信息保護法》也尚未有效解決這些問題。因此，內地涉及個人信息的立法仍然過粗，條文過於抽象，對實務操作的指導有限。個人健康信息不僅涉及個人的基因等，還涉及國家安全。對個人健康信息的保護是雙刃劍，過度限制個人健康信息的處理確實能在一定程度上保證安全問題，但另一方面會影響醫療科技的進步，而放寬對個人健康信息的限制則會導致各類敏感信息的泄露，侵蝕灣區居民個人利益等。所以如何把握規則限制的界限是值得研究的問題，內地應對個人健康信息進行專門細化、專門立法。
 

（二）香港本土醫藥界利益集團和少數激進勢力的污名化行徑
 

香港第五波疫情來勢洶洶，社會防疫壓力巨大。在奮戰控制疫情的同時，有必要反思香港反復爆發疫情的制度根源。我們認為，個人健康信息規則難以銜接是制約香港控制疫情的重要原因。
 

在中央支援香港實施全民核酸檢測計劃中，少數激進人士妄言這是「大規模收集港人DNA數據」，甚至污蔑「健康碼」系統是所謂「以科技全面監控的系統」。 在香港疫情中病床嚴重不足的情況下，對待中央的支援，少數亂港人士仍「堅定」立場，以「內地所用普通話與香港所用英語、粵語不通，來港的內地醫護會造成香港混亂」此類毫無邏輯的理由嚴詞拒絕。如此荒謬的現象除了政治因素外，還與香港本土的醫藥界利益集團對於香港的醫療資源壟斷息息相關，從而污名化內地支援香港抗疫。
 

香港的污名化行徑不僅與中央伸出援手的初衷相悖，更與國際社會共同抗擊疫情的努力與期待背道而馳。2020年中央支援香港進行全民核酸檢測，在污名化言論的蠱惑下，有不少香港居民擔心帶有基因的檢測樣本泄露，無法保障他們的隱私，以致最終僅完成170萬餘份核酸檢測，不到香港總人口的三分之一。香港第五波疫情確診呈幾何級數增長時，本土首劑疫苗接種率才剛達到八成，而與此同時，內地完成全程新冠疫苗接種的總人數近九成，無論是樣本數量還是普及率，香港與內地均有著明顯的差距。香港特區政府實施的全民核酸檢測與接種疫苗計劃收效甚微，加上防疫措施過軟，又有激進勢力的阻撓，導致疫情反復，始終未能「清零」，甚至還出現了愈發嚴重的趨勢，這不僅妨礙香港防疫工作的進行，為香港人民的生活造成不便，更嚴重削弱了特區政府公信力，對「一國兩制」行穩致遠產生諸多負面影響。
 

（三）粵港澳三地隱私保護意識差異大
 

與內地不同，港澳長期受個人隱私文化洗禮，居民普遍具備較強的隱私保護意識（尤其是個人健康信息）。而內地侵犯隱私的違法成本低，缺乏注重個人隱私文化土壤，由此造成包括珠三角九市居民在內的內地居民隱私保護意識弱的現象。在新冠疫情期間，內地不少居民隱私信息被泄露，如2020年渝北法院受理並審結的「首例涉新冠肺炎疫情侵犯公民隱私權糾紛案」中，被告便是以「非常時期，沒有什麼比安全和生命更重要」等借口在明知自身行為已經侵犯了他人隱私權的情況下，仍將原告的個人隱私信息，包括家庭住址、身份證號等等公開於互聯網公眾平台，給原告帶來了巨大的社會壓力與名譽影響。類似的案件不止一起，同時泄露隱私帶來的「網絡暴力」等現象也層出不窮，這不僅對患者個人生活造成了困難，更會造成社會恐慌，但對於如此嚴重的後果，大部分相關行為人僅受到行政處罰或者事件不了了之，這足以說明內地居民對隱私權的重視仍有不足。而港澳雖然隱私保護意識強，但保護意識過強會使港澳與內地的信息銜接步步維艱。內地已成熟完備、功能齊全並且應用了兩年多之久的「健康碼」，在香港才初露苗頭，且並不具備與內地「健康碼」相當的功能，因其隱私保護意識過於強烈，不願意泄露個人健康信息。香港「健康碼」既不實名制，也不綁定手機，失去了與大數據進行交互功能的「健康碼」在新冠疫情來臨時形同虛設，導致了香港疫情的反復不斷，全民核酸檢測長期受阻。如果內地居民的隱私保護意識無法加強，而港澳隱私保護又過於剛硬，居民過於抵抗有關隱私類政策與措施，在隱私保護的社會生態上的差異無法彌補，長此以往，粵港澳三地的隱私權鄰域將很難銜接，直接導致個人健康信息規則銜接受阻。

三、大灣區個人健康規則銜接的立法協同之道

（一）確立大灣區個人健康信息跨境流動的法律依據
 

與海南自貿港建設依托統一立法模式不同，大灣區存在三套法律制度，各自的法律體系不盡相同，如果強行融合會存在法律衝突，為了克服制度的障礙，通過分散式立法模式推動信息規則銜接勢在必行。
 

第一，建立規範基礎。內地個人信息保護處於起步階段，不宜在法條上將港澳與外國等量齊觀，避免在立法上強化港澳與內地的相斥性。《個人信息保護法》應更具開放性，為日後內地與港澳信息（數據）規則銜接「留口子」，即在個人信息跨境提供的規則中增設法條明確內地與港澳的個人信息跨境流動問題，包括可在特定區域如粵港澳大灣區率先試點推動敏感個人信息的跨境流動。
 

第二，擴大落地效應。依據《個人信息保護法》關於內地與港澳信息規則銜接的條款，國務院及相關部門可邀請港澳法律界人士、港澳個人信息保護工作者共同參與大灣區個人健康信息規則銜接的法律文件制定工作，群策群力，從三地數據流動領域立法入手，汲取各地立法長處，尋求一條融合之道，增強港澳人士在國家法律文件制定的參與感和獲得感的同時，制定更符合大灣區發展實際的個人健康信息銜接規則。同時也可以進行信息公開，對粵港澳三地社會徵求公眾意見，不僅在專業人士層面獲得支持，更能在社會大眾層面取得信任，從而提高大灣區規則銜接工作的社會認受性。
 

第三，進行專門立法。我國《個人信息保護法》剛出台，但因個人健康信息的特殊性，仍可以進行專門立法，制定專門的個人健康信息保護法，作為《個人信息保護法》的下位法進行規則的細化指導，並不與上位法抽象性的規則相衝突。根據我國《立法法》第13條規定：「全國人民代表大會及其常務委員會可以根據改革發展的需要，決定就行政管理等領域的特定事項授權在一定期限內在部分地方暫時調整或者暫時停止適用法律的部分規定。」由全國人大常務委員會授權廣東省制定有關個人健康信息跨境流動的地方性法規，廣東省在一定期限內實施該暫時性的地方性法規，作為大灣區數據跨境階段性的立法試驗區，通過法規實踐中積累的正面及負面經驗，為將來大灣區建立個人健康信息規則銜接制度的立法規範提供實踐依據。該暫時性的地方性法規可以從針對個人健康信息研究鄰域特別規則的制定以及對科研中利用個人健康信息的合規性規定等入手，確立指導性規範，為解決如今《個人信息保護法》實務指導方面局限性的問題提供先行先試作用。因《個人信息保護法》在條文方面更側重規範條文，所以在此次專門立法上可以著眼於強制性條文，對個人健康信息隱私安全方面進行強制約束。在專門立法方面，可以參考美國的HIPPA綜合性個人健康信息保護的立法，該法案適用主體包括健康計劃，健康服務數據交易中心等等，通過行政簡化規定以形成詳盡的標準和實施細則，相比我國的《個人信息保護法》具有更高的可操作性和實踐性。可以為灣區的個人健康信息專門立法起一定的借鑒作用。
 

（二）建立個人健康信息的跨區域行政監管體系
 

在如今互聯網+時代，數據的跨境流動固然可以促進經濟的發展，但同時也會帶來對國家安全、個人隱私權保護等方面的挑戰，監管部門的執法監管面臨明顯的困難，為了防止監管陣地失守，需要對信息監管體系進行改革創新。如今英美國家、我國港澳地區都已建立了相應的個人信息監管模式，國務院及其相關部門應對大灣區個人健康信息規則銜接工作提供指引，逐步建立跨區域的行政監管體系。
 

第一，共建大灣區個人健康信息監管部門。國家發展改革委、國家網信部門與粵港澳三地政府共建設在廣州的大灣區個人健康信息監管部門，可以學習借鑒我國港澳地區的統一立法、專門監管的模式，以廣州作為統一和獨立的大灣區個人健康信息監管部門，既可以避免多頭監管所導致的效率低下，又可以促進粵港澳三地監管體系的銜接，進行統一領導，提高監管效率。同時可以由港澳醫學界人士在監管部門中擔任重要職務，提供專業領域指導，增強他們對內地個人信息保護工作的信心。
 

第二，對個人健康信息實施分類管理。細化管理標準、管理程序等，可將個人健康信息劃分為弱保密程度（如身高、體重、視力狀況等）與強保密程度（如基因信息、生物識別信息等），根據不同保密程度，採取差異化的監管措施。
 

第三，建立配套處理規則。包括健康信息跨境流動的處理。建立個人健康信息跨區域流動的安全評估體系，利用大灣區制度優勢對跨境的個人健康信息進行安全試點。同時要覆蓋個人健康信息保護的各個階段，通過事先防範、事中監督、事後追蹤的手段，為行政監管提供具體規則。協調好個人信息保護監管與行政、刑事處罰，行政、民事申訴之間的關係並明確數據提供方和數據接收方應當承擔責任的處理規則。具體方面，可以通過建立個人健康信息處理風險評估制度、制定行政法規明確處罰種類、健全信息調查處理制度等，在完備的監管體系下輔之行之有效的具體措施，才能全方位的對個人健康信息進行監管。
 

（三）確立灣區居民對個人健康信息的跨境攜帶權益
 

由於我國政府部門和企業、事業單位之間的數據可攜帶性十分薄弱，同時又缺乏相關立法的配套，「信息孤島」現象已經成為了亟需解決的一大問題，尤其是在個人健康信息領域，「信息孤島」已經嚴重影響醫療的連續性和系統性。而當前在國家法律層面完全確立數據攜帶權的條件並不成熟，我國的立法嘗試主要體現在《信息安全技術個人信息安全規範》的規定中，有關數據攜帶權的規定較少且不完備，且缺乏具體應用的研究。但在歐盟已有先例。歐盟於2018年5月25日正式實施的《一般數據保護條例》中對數據可攜權進行了專門規定，可以在立法層面借鑒歐盟的經驗，但也不能盲目引入。為消除灣區「信息孤島」，促進個人健康信息的共享與便民化，國務院及相關部門可先行明確灣區居民享有個人健康信息的跨境攜帶權益。
 

第一，灣區居民可在有資質的跨境企業平台之間轉移個人健康信息。在這過程中要對企業和個人隱私權之間進行平衡，在個人健康信息跨境流動過程中不僅要為個人數據的流動進行監管，也要依情況對跨境企業平台提供保護和一些政策補貼。
 

第二，灣區居民可在粵港澳三地的政府部門間直接轉移個人健康信息，在條件尚未成熟前，可先在大灣區內地城市的政府部門間實現個人健康信息轉移的嘗試。通過政府的主導，推動政府與個人、企業與個人之間的個人健康信息共享，既有利於提高政府的辦事效率、節省成本，也有利於在任何時間、地點訪問健康相關數據，對個人健康進行及時管理，保證醫療的連續性和系統性。
 

（四）構建多元主體參與的個人健康信息管理模式
 

個人健康信息來源於衞生行政部門、醫療機構、用人單位、保險公司等機構，亟需各方實現共治，各方以平等地位參與信息共享並相互監督，建立法制化和契約化的信息管理模式，促進市場競爭，實現合作共贏。當然，如果衞生行政部門、醫療機構等機構各自為政，信息各自維護，必然會造成資源的浪費以及短期內的信息不一致，所以有必要統一個人健康信息管理模式以避免因各自為政而導致的信息相互銜接困難等問題。
 

第一，提升市場信任度，鼓勵港澳地區的第三方機構對大灣區提供個人健康信息服務的企業進行定期性安全信用評級，同時明確使用個人健康信息的企業或機構的獨立責任，在個人健康信息流動於各醫療機構、健康管理機構及數據分析機構的過程中，應當通過信息管理模式及時的向居民披露其個人信息的被使用現狀與去向，形成透明公開的管理模式，督促企業合理合法地使用居民的個人信息，增強港澳居民對跨境攜帶個人健康信息的信任度以及積極性。
 

第二，允許個人與企業建立個人健康信息的共有制，可以先從提供個人敏感度較低的健康信息開始，激發企業建立跨境健康信息庫的內生動力，條件成熟後可以逐步提高對個人較敏感信息的收集，提升個人健康信息的使用效率，節省政府行政成本。
 

第三，共建大灣區個人健康信息管理協會，由粵港澳三地的醫學界和科技界人士擔任重要職務，聯合粵港澳三地的從事健康管理、健康服務和健康產業的醫療機構、涉老機構、公益機構、企事業單位及相關人員自願組成的全國性、專業性、非營利性社會組織並定期舉辦交流會，交流會可由內地主導，在粵港澳三地輪流承辦，提高各地參與積極性，增進社會互信。個人健康信息管理協會可以為大灣區的健康管理提供指導方向，對 「實施全面健康管理，建設全面健康中國」目標的實現起到推動作用。

四、結語

個人健康信息規則銜接在作為改革開放的前沿的大灣區中，有著天然的優勢與優良的環境，但同時也面臨著諸多阻礙，在法治環境和社會生態等層面均存在差異亟需解決，為此大灣區需要對內立法完善制度缺陷，對外建立統一的監管體系以維持法律規範的實施，以政府為主、第三方機構為輔，為個人健康信息規則的銜接提供協同道路。推動個人健康信息規則的銜接有利於完善我國數據流動領域的規則，為粵港澳三地居民建立文化認同、制度認同，推動我國法治建設。從更深層價值而言，有利於從根源上穩定包括香港在內的灣區疫情，促進大灣區醫療領域乃至科技鄰域的創新發展，提高人民的生活幸福感與歸屬感，實現粵港澳三地政府治理能力現代化，提高我國經濟質量效益和核心競爭力，推動建設國際一流灣區和世界級城市群。

本文發表於《紫荊論壇》2022年5-6月號第58-65頁