外商投资中国医疗大数据之合规要点

本文从投资准入、投资方式、业务开展三个主要方面，对外商投资中国医疗大数据的合规问题进行了简洁但全面的分析。

投资准入的合规。根据现行中国法律，医疗大数据分析产业对外商投资在总体上是开放的。该产业并未列在2018年版的《外商投资准入特别管理措施（负面清单）》中，因而除非另有禁止性规定，外商投资医疗大数据领域并不存在明显的制度障碍。事实上，在当前的中国法律框架下，并没有任何立法明确禁止外商投资医疗大数据分析产业。

投资方式的合规。尽管在法律层面上具有可行性，国内政策制定者在合作伙伴的选择上一直采取相对保守的立场。外商投资企业和具有外国背景的企业在实践中可能会被排除在与公立医院的合作之外。但是，外国资本可以采用间接方式实现对中国医疗大数据产业的投资。通过公开信息可以了解到，国内一些肿瘤数据平台通过采用VIE结构，实现了外商对从事肿瘤大数据采集和处理的在线平台的投资。

业务开展过程中获取、管理、应用医疗大数据之合规。2016年国务院发布《“健康中国2030”规划纲要》，对加强医疗大数据相关法规和标准体系建设提出总体要求。与《规划纲要》一致，目前涉及医疗大数据的相关立法也旨在从国家利益、公共安全、患者隐私与个人信息保护、商业秘密保护这几个重要维度为医疗大数据的获取和使用建立规则体系。

这些法律法规或政策文件包括《网络安全法》《国务院办公厅关于促进和规范健康医疗大数据应用发展的指导意见》《人口健康信息管理办法（试行）》《医疗机构病历管理规定（2013版）》《电子病历应用管理规范（试行）》《电子病历系统功能规范（试行）》《处方管理办法》《互联网信息服务管理办法（2011修订）》《卫生行业信息安全等级保护工作的指导意见》《互联网诊疗管理办法（试行）（征求意见稿）》《民法总则》《刑法》《侵权责任法》等。

根据这些法律法规或政策指引，外商投资医疗大数据领域并开展业务时应当满足以下基本要求：

首先，医疗大数据分析产业作为经营性互联网信息服务，应具备业务发展计划及相关安全技术支撑能力，采取健全的网络与信息安全保障措施，包括网站安全保障措施、信息安全保密管理制度、用户信息安全管理制度，从而应对监管部门对医疗大数据平台及服务商可靠性、可控性和安全性方面的测评和审查。

其次，医疗大数据涉及全国性或区域性人口健康信息安全，外商投资该领域时应当按照国家信息安全等级保护制度要求，加强建设人口健康信息相关系统安全保障体系，制定安全管理制度、操作规程和技术规范，并且建立痕迹管理制度，任何建立、修改和访问人口健康信息的用户，都应当通过严格的实名身份鉴别和授权控制，做到其行为可管理、可控制、可追溯。

第三，已经掌握医疗大数据的企业，既有权利也有义务有效保护其数据资产。中国现行法律尚未厘清医疗大数据的所有权问题，但投资医疗大数据的企业仍可考虑通过现有的三条主要路径来保护其数据资产，即根据数据库著作权、商业秘密和不正当竞争相关法律规定来维权。

第四，外商投资医疗大数据可能受到一些现有的针对互联网经营模式的限制，例如，有关增值电信业务许可证的限制。

最后，由于非医疗机构不得查阅或借用医疗记录（包括电子病历），外商投资企业要获取医疗数据可能需要与医疗机构合作。考虑到医疗机构提供的必须是经过处理并无法识别特定个人且不能复原的医疗数据，外商投资该领域时还应当积极参与医疗大数据的去识别化和匿名化的工作。

另外需要注意，虽然根据《信息安全技术个人信息安全规范》，经“匿名化”处理过的信息不属于“个人信息”，但是鉴于该规范的效力位阶，该等信息仍可能面临中国法律对该类数据在境外传输方面的限制。且中方与外方合作收集人类遗传资源(含相关信息)，或者向境外传播人类遗传资源(含相关信息)，还须经中国人类遗传资源管理办公室批准才可进行。

作为突破数据跨境传输的可能路径之一，可考虑不对数据本身进行传输，而是允许远程发送查询指令，在境内数据库完成检索后将检索结果反馈到境外。在国外的医疗大数据公司中已有此类实践的成熟案例。