促进健康医疗数据的流通共享，既是推动数字经济发展的现实需要，也是实现我国健康医疗发展战略目标的关键。国务院2015年发布《全国医疗卫生服务体系规划纲要（2015—2020年）》，提出要推动健康大数据应用，实现各级健康医疗信息共享；2016年《关于促进和规范健康医疗大数据应用发展的指导意见》中进一步明确要推动健康医疗大数据融合共享、开放应用，形成跨部门健康医疗数据资源共享共用格局。2022年11月7日，国家卫生健康委、国家中医药局、国家疾控局联合发布《“十四五”全民健康信息化规划》再次强调要积极构建健康医疗大数据资源要素体系、推进健康医疗大数据应用发展、充分释放数据价值。

虽然我国在政策层面鼓励健康医疗数据流通共享，但实践中，个人健康医疗数据基本上仍由健康医疗机构各自存储、分开管理。多数健康医疗机构往往仅支持健康医疗数据的内部共享，即使机构间存有零星的数据共享，规模也十分有限。与此同时，为了增强用户粘性，健康医疗机构通常不会主动向个人开放健康医疗数据的访问途径，也未赋予个人管理、复制、修改与携转数据等权限。由于健康医疗机构没有向个人提供健康医疗数据的法定义务，作为数据来源的个人往往难以获得自己的健康医疗数据。个人健康医疗数据可携权不仅是保障个人自主控制自己健康医疗数据的应有权利，而且是打破“数据孤岛”、破解数据共享僵局的一剂良方。然而，我国至今尚未在法律层面明确数据可携权。

放眼全球，自欧盟2016年《通用数据保护条例》（General Data Protection Regulation，GDPR）首次通过规范性法律文件正式确立数据可携权之后，其他国家和地区也纷纷跟进。例如美国2018年《加州消费者隐私法》（California Consumer Privacy Act，CCPA）、印度2019年《个人数据保护法》（The New Indian Personal Data Protection Bill，PDPB）、新加坡2020年《个人数据保护法》（Personal Data Protection Act，PDPA）。健康医疗作为国外数据可携权的重点实施领域之一，国外学界也进行了较多的讨论，不少学者肯定了个人享有健康医疗数据移植权利^[1-4]。例如，有学者认为个人健康医疗数据携转在技术层面具有可操作性，健康医疗场景下个人数据可携权与访问权、删除权等其他权利之间具有紧密联系 ^[5-6]。有学者^[7]提出在健康医疗领域进一步完善落实个人数据可携权的规则，以期更好地实现个人健康医疗数据的自由流通与开放共享。还有学者^[8]强调要尽快制定健康医疗数据传输标准，为医疗机构人员提供操作规范，以保证健康医疗数据的流通安全。可见，国外学界对设立个人健康医疗数据可携权的必要性及可行性已进行了一定的研究。

考虑到我国互联网行业的发展现状及现有的个人数据保护法律体系，国内学者对我国设立数据可携权多持审慎态度^[9-12]，但仍有个别学者肯定了赋予患者对医疗数据控制权的必要性，支持患者享有个人医疗数据的移植权利^[13]，认为设立数据可携权可以对我国医疗数据的利用产生巨大影响^[14]。总体而言，我国相关研究稍显薄弱与滞后，表现在：第一，关于数据可携权的研究多以欧盟为考察起点，对我国立法现状和司法实践的研究不够丰富；第二，研究内容主要聚焦在数据可携权的理论基础、权利构造、属性定位等理论方面，对于我国具体该如何设立数据可携权的实务研究不够丰富；第三，学者普遍认同设立数据可携权应当结合产业调研和实践经验，但针对某一行业领域讨论数据可携权应用的法学研究不多，与健康医疗有关的个人数据可携权研究更为稀缺。

与国外不同，我国《个人信息保护法》第四十五条第三款规定的“个人信息携带权”采用“个人信息”概念。“个人健康医疗数据”能否参照适用该条款，首先涉及信息与数据两个概念之间的关系厘定。事实上，鉴于我国立法中“个人信息携带权”条款仅为原则性规定，具有拓展解释与适用的空间，可以借此将个人健康医疗数据纳入个人信息携带权的范围。在此基础上，国家网信部门及司法机关需要配套有关规定，合力保障个人健康医疗数据可携权的行使。

一.   我国设立个人健康医疗数据可携权的必要性

一   赋予个人健康医疗数据控制权

根据2020年12月14日发布的国家标准《信息安全技术 健康医疗数据安全指南》（GB/T 39725—2020，以下简称《健康医疗数据安全指南》），个人健康医疗数据包括医疗服务过程中采集的有关个人的现病史、既往病史及社会史等能够反映或与个人健康情况密切相关的病历记载数据，以及关于个人门诊、住院和其他医疗服务情况的数据等。此类数据经过加工、处理后，都会存储在以医院为主的医疗卫生机构和以健康体检公司为主的健康管理服务公司等企业组织（以下统称为“健康医疗机构”）的系统中。基于习惯和公众的普遍共识，这些数据一般会被认为属于健康医疗机构，机构可以随时查阅，而作为数据原始来源的个人通常未被赋予有关操作权限，同时也缺少主张自由控制、支配、访问、传输的权利意识。

近年来多起个人健康医疗数据泄露案件，反映出健康医疗机构在数据风险防范问题上存在疏漏，个人健康医疗数据安全问题日益凸显。健康医疗机构负责个人健康医疗数据的处理与存储，但未能采取有效的措施防范数据风险，导致数据来源者人身权益和精神利益遭受损害，仅能在事后寻求隐私权、人格权等方面的权利救济。除此之外，在新冠肺炎疫情防控期间，个人核酸检测数据、旅居史、接触史及身体健康情况等健康医疗数据实时更新反映在各地健康码系统中。随着疫情趋于平稳可控，健康码出现常态化和延展化的应用趋势^[15]，相关数据安全问题更是各级机构工作的重中之重。作为一项新型权利，数据可携权能够使数据来源者自由访问、控制与支配其个人数据，从数据收集到利用、流转等多过程，都有数据来源者自主决定的意思表示参与其中。在诸多的数据纠纷中，数据可携权也越来越多地被当事人提起。例如在杭州互联网法院2019年审理的深圳市腾讯计算机系统有限公司等与浙江搜道网络技术有限公司等不正当竞争纠纷一案中，被告以用户具有个人数据可携权为抗辩理由，主张原告对其控制的用户数据不具有数据权益。赋予个人对其健康医疗数据的可携权，可以将处于被动选择地位的数据来源者转变为有权自主决定其数据流向的一方，由数据来源者主动选择信赖的数据接收方，一定程度上能够限制健康医疗机构对个人健康医疗数据的排他性控制。因此，应当赋予数据来源者自主决定获取与移转其个人健康医疗数据的权利，尊重个人数据权利，实现数据来源者和数据处理者之间权利关系的新平衡。

二   促进健康医疗数据资源共享

个人往往会选择多家不同的健康医疗机构寻求服务，但由于个人健康医疗数据无法携带移转，每次到不同机构都需要重复提供相关数据。这不仅使得个人需要耗费大量时间、金钱成本，同时健康医疗机构也需要花费较多时间和精力获取个人健康状况和服务需求，导致服务效率无法有效提高。因此，不仅个人希望能够在不同的健康医疗机构间自由移转健康医疗数据，机构基于获取数据资源的需求，也期待数据的流通共享。

随着信息技术的发展，“数据可携”这一理念开始出现。由于美国Google和Facebook等许多互联网巨头涉及大量个人数据收集、处理，因此“数据可携”问题最先在美国得到关注。早在2007年，国外一些非营利性行业组织共同成立“数据可携项目”（The Data Portability Project），并于2009年在美国完成注册 ¹。该项目旨在研究数据可携的法律和技术解决方案，推进不同平台和应用程序的互操作性，以促进数据流动与共享 ^[16] 。此外，诸多数据移转平台和数据携转应用程序也应运而生。但“数据可携”仅存在市场和行业组织活动间，并未上升为法律权利。直至2016年，欧盟GDPR首次将“数据可携”正式确立为一项法律权利。其立法目的主要有两点：一是为了增强数据来源者对其个人数据获取和移转的控制力和支配力，加强对数据来源者权利的保护。二是为了促进个人数据的流动共享和数据市场的自由竞争，消除“数据锁定”效应，以此推动企业不断进行技术革新，提高创新型数字服务。作为全球最为严格的数据保护条例，GDPR赋予数据来源者知情权、同意权及数据可携权等广泛的数据权利的同时，也强调不能因权利保护而限制或禁止个人数据的自由流通^[17]56。2022年欧盟发布“欧洲数据战略”（European Data Strategy），再次强调要在对健康医疗数据进行高水平保护的基础上，加强健康医疗数据的流动共享和开发利用。

我国设立个人信息携带权的立法目的，亦可以归结为两点。一方面，加强个人对其信息转移与再利用行为的把控，赋予个人主动在企业间流转个人信息的权利。将该权利置于个人信息权利保护法律体系之下，也体现出法律对个人信息权利的尊重。另一方面则同样是基于破除优势企业“数据锁定”效应，提高数据资源流动性的目的^[18]344，以此促进市场公平竞争和数据资源共享。作为数字经济和信息社会的核心资源和重要生产要素之一，数据的价值正是通过流动共享而得到体现。大量数据的流动共享，正是促进数字经济发展，实现数据红利的关键。设立个人健康医疗数据可携权，对个人而言，一方面能够促进个人健康医疗数据的互联互通，个人能够享受更为便捷高效的健康医疗服务。另一方面，也为个人提供了参与数据经济发展，分享数据红利的新路径。对于健康医疗机构而言，一定程度上能够破除大型健康医疗机构的数据垄断现象，增加中小型机构运用健康医疗数据资源的机会，引领企业实现数字化转型。

二.   我国设立个人健康医疗数据可携权的障碍

一   立法尚未明确规定个人健康医疗数据可携权

作为我国网络空间治理、数据开发治理和个人信息的“三驾马车”，《网络安全法》《数据安全法》都未规定个人数据可携权，而《个人信息保护法》第四十五条第三款规定了“个人信息携带权”的有关内容。该权利是指信息主体有权获取其个人信息副本并请求信息控制者将其个人信息传输给指定方。个人信息携带权的确立，为我国设立个人健康医疗数据可携权提供了法律先导。但《个人信息保护法》仅对个人信息可携权作出原则性阐述，将“可携权”的客体表述限定为个人信息，也并未明确“个人信息”所包含的内容，导致个人信息携带权的权利范围尚不明确，有待法律规范进一步明确。另外，该法采取了授权国家网信部门立法的形式，由国家网信部门规定信息转移的条件，由于相关细则尚未发布，权利的具体实施也欠缺有效的指引规范。

二   缺乏个人健康医疗数据携转义务的司法判定规则

个人健康医疗数据资料在司法审判过程中常被作为还原医疗过程、评判医疗行为是否存在过错的关键性证据，最常应用于医疗损害责任纠纷案件中。根据医事法律团队医法汇《2021年全国医疗纠纷案件大数据报告》显示，全国法院系统2021年审理的医疗损害责任纠纷案件二审判决书共1924件，主要可分为医疗损害责任纠纷、侵害患者知情同意权责任纠纷和医疗产品责任纠纷。而包括个人健康医疗数据在内的病历资料是医疗损害责任纠纷案件中最重要的证据，也是医患双方在诉讼中争议的焦点之一。该争议焦点一般集中在医院是否存在隐匿、篡改或伪造病历的行为以及对医疗损害责任承担比例的影响。实践中，健康医疗机构隐匿、篡改或伪造个人健康医疗数据的现象时有发生，而个人因缺乏对其健康医疗数据的控制力，在举证过程中往往处于弱势地位。设立个人健康医疗数据可携权，为健康医疗机构设定健康医疗数据携转义务，一定程度上能够削弱健康医疗机构对个人健康医疗数据的过分控制。但对于个人健康医疗数据携转义务，我国司法层面仍缺乏明确的判定规则。一方面，在义务履行时限问题上，《民法典》第一千二百二十五条第二款赋予患者查阅、复制客观性病历资料的权利，以平衡医患双方在举证责任与能力上的悬殊，但未对医疗机构“及时”做出进一步解释说明。在实践中，一些健康医疗机构以各种借口拖延向患者提供病历资料，导致患者举证困难。而《个人信息保护法》第四十五条第三款规定了“个人信息处理者应当提供转移的途径”，对数据携转义务履行时限的判断关涉数据处理者义务履行的认定，但立法未规定移转数据的时限，司法机关也未对时限进行解释说明。另一方面，数据处理者履行义务的范围和程度是个人健康医疗数据可携权纠纷裁判的关键，但我国司法层面尚未对其进行考量，不利于相关纠纷的解决。

三   现有规范对健康医疗数据安全的保障力度不够

我国立法层面仅对数据安全保障义务作了原则性规定，并未针对个人健康医疗数据作出专门、明确的数据安全保障规定。《数据安全法》第八条明确规定了数据处理者在数据处理活动过程中负有数据安全保障义务，但并未对义务内容作出具体规定。国家互联网信息办公室2019年5月28日起草了《数据安全管理办法（征求意见稿）》，针对网络运营者的数据安全管理内容进行了设计，其中第六条也指出网络运营者需履行数据安全保障义务，建立数据安全管理责任制度，实施数据安全技术防护。该管理办法目前尚在研究起草阶段，尚未正式实施。即便正式发布实施，该管理办法主要针对的是网络运营者在数据收集与处理使用过程中的数据安全保障义务，而非针对数据处理者。《数据安全管理办法（征求意见稿）》将网络运营者界定为网络的所有者、管理者和网络服务提供者，但这三者具体内涵如何，是否包括健康医疗机构这类数据处理者尚未可知。《健康医疗数据安全指南》为健康医疗数据处理者安全保障义务制定了较为详细的方案，但仅是推荐性国家标准，并非规范性法律文件，不具有法律效力。总体来看，就数据处理者的数据安全保障义务而言，我国仍对缺少效力层级较高且具有可操作性的法律规范，对数据的安全保障力度不够。

我国尚未设立数据可携权时，个人健康医疗数据安全已经存在不少隐患，发生多起健康医疗数据泄露的案例。如果设立个人健康医疗数据可携权，那么数据安全风险将成倍增加，主要包括两种风险情形：一是冒充数据来源者或者盗用、非法侵入他人账号获取其所携带的个人健康医疗数据。基于数据可携权的要求，个人能够一次性批量下载和移转其所有的健康医疗数据，一旦他人成功冒充某个数据来源者或者盗用、侵入其账户，瞬间就能获取和移转其所有健康医疗数据^[19]。二是个人健康医疗数据在传输过程中的风险。例如原先的数据处理者或者新的数据接收者在传输全过程未采取充分有效的安全保障措施，致使个人健康医疗数据面临泄露、滥用等风险。此种情况下，一旦发生数据风险事件，可能造成更大范围的负面影响。因此，设立个人健康医疗数据可携权必须制定更具有可操作性、保障力度更强的安全保障义务规定。

三.   我国设立个人健康医疗数据可携权的障碍成因

一   数据来源者与数据处理者存在数据利益冲突

在健康医疗领域，个人健康医疗数据基本上由健康医疗机构管理和控制，个人如果需要获得其健康医疗数据，还需要向健康医疗机构提出请求。健康医疗机构对个人健康医疗数据享有访问、管理、复制、修改与内部共享等权利，倾向于主动的积极性权利，而个人对其健康医疗数据的权利则更偏向被动的消极性权利，机构对健康医疗数据的控制力实际上远大于个人。个人健康医疗数据与个人隐私等信息关联度极高，其数据价值对每个人来说都不容忽视。数据来源者若缺乏对其个人健康医疗数据的自主控制能力，对数据处理者的权利行使就无法知情、监督，其个人健康医疗数据很可能面临被数据处理者肆意滥用、伪造、篡改及泄露的风险，数据安全性和隐私性难以保障，同时也可能造成数据垄断的不良现象，加剧数据权属纠纷冲突。实质上，个人健康医疗数据利益冲突是一个分配正义的问题，如何在相关法律主体之间合理配置有关个人健康医疗数据的各项权益的问题。在二者权利地位失衡的情况下，有必要给弱势一方增加权利的砝码，以限制强势一方的权利行使，最终实现制度上的“纳什均衡”^[20]。赋予个人健康医疗数据可携权，使其可以根据健康医疗机构的服务情况与效果，自行挑选服务更好、更符合自身需求的健康医疗机构，轻松将其个人健康医疗数据转移至其他机构。

但是，赋予个人健康医疗数据可携权相应也会对健康医疗机构的利益产生一定的冲击，尤其对中小型机构的影响更为强烈。一方面，为了满足个人携转数据的要求，中小型机构需要实现与其他服务机构的数据或技术互通。原本在技术与规模上都不如大型机构的中小型机构，还需要花费更多的成本来提升数据联通技术、开发新的数据接口，发展压力大大增加。另一方面，数据是数字企业重要的生产要素之一，甚至是企业核心竞争力所在。健康医疗机构为了履行数据携转义务，不得不将其存储的个人健康医疗数据拱手让给其他竞争对手，必然会对原有机构的利益造成一定损害。基于利益冲突，健康医疗机构往往不愿意自己所控制的健康医疗数据能够被携转。

二   健康医疗数据的权利归属尚难界分

个人健康医疗数据可携权的行使范围问题，本质上是数据权属及其分配问题 ^[21]。个人健康医疗数据不但具有人格属性，还具有财产属性，且可能涉及多类法律主体。因此，在同一项个人健康医疗数据上可能同时存在多方主体的数据权利，出现“一数多权”的情形，导致个人健康医疗数据携转权利义务内容、安全保障义务范围等不够明晰。

在个人健康医疗数据的权利归属问题上，我国学界尚未形成共识。具体而言，个人健康医疗数据可能存在以下几类权属冲突：第一，数据来源者的所有权争议。有学者指出健康医疗数据涉及多方主体，很难被明确定义或划分，难以证明其排他性，因此在没有广泛数据特定规则体系的情况下难以明确其所有权归属 ^[22]。但也有学者认为，数据来源者作为数据最初提供者，应当享有对自身健康医疗数据的最初产权，对健康医疗数据具有所有权，并基于此所有权，衍生出访问权、使用权、修改权等其他权利^[23]61。第二，个人健康医疗数据可能涉及第三人权利。例如，健康医疗机构可能会收集个人的家族史或其他非家庭成员的数据，可能包括有关心理健康、基因遗传和其他有助医疗诊断的敏感数据。如果行使个人健康医疗数据可携权，可能会涉及第三人的隐私权或人格权益保护问题。第三，个人健康医疗数据可能涉及机构著作权。主观性病历资料是不同健康医疗服务人员运用自身专业知识，对个人情况进行分析后得出的判断或意见，具有一定的独创性，属于作品。而且，主观性病历资料一般是健康医疗服务人员为完成诊疗工作任务而产生的智力成果，符合职务作品的特征，机构对该资料享有著作权^[24]。第四，公权力与私权利的冲突。当个人健康医疗数据涉及公众生命、健康、财产安全等公共利益或国家利益时，政府采取相关数据安全措施后，可以公开有关数据。例如根据我国《传染病防治法》和《突发公共卫生事件应急条例》，政府有职责公布疫情信息。新冠肺炎疫情期间，为维护公共卫生安全等重大公共利益，政府对涉疫患者的核酸检测数据、行程轨迹具有控制权和管理权。但在公开数据的过程中，可能会侵犯数据来源者的隐私权等个人权利。

我国立法尚未对个人健康医疗数据权属作出明确规定，但数据暗含了个人信息的内涵，因此可以从个人信息的有关法律规范考察我国的立法倾向。我国通过《个人信息保护法》《民法典》《网络安全法》等法律规范，赋予信息主体对其个人信息享有知情权、同意权、查阅权、可携带权等广泛的信息权利，并且形成了以知情同意原则为基础的个人信息处理规则体系。上述法律规范并非为了保护信息主体对其个人信息所享有某种经济利益，而是旨在保护信息主体对其个人信息在收集、处理过程中的控制权和自主决定权。参考立法者对个人信息权利保护的立法意旨，也有必要保障数据来源者在个人健康医疗数据处理过程中的控制权和自主决定权。而个人健康医疗数据可携权恰恰能够实现这一目的，缓解不同主体间的数据权属冲突。

四.   我国个人健康医疗数据可携权的制度设计

一   参照适用“个人信息携带权”的规定

对于个人健康医疗数据能否参照适用该条款的问题，涉及信息与数据两个概念的关系。在我国司法实践中，信息与数据两个词汇存在混用现象，例如脉脉与新浪微博不正当竞争纠纷案 ²中，法院使用用户数据信息、个人信息、用户数据等说法表述职业教育信息、用户发表的微博内容等数据内容，浙江同花顺诉灯塔财经信息案 ³将用户的评论信息称为用户数据，上海钢联诉纵横今日案 ⁴将汇编的钢铁价格数据称为数据信息。实际上，数据一词所带来的只是个人信息表现形式上的变化，说法不同仅反映法院在不同立场、阶段对信息、数据的习惯性称谓选择，而本质上的法学权利客体始终只有一个^[25]。对于二者应否区分，学界存在不同观点^[26-29]。就数据可携权而言，不少学者支持数据可以构成可携权的客体^[30]，在数据成为生产要素的背景下，构建更为广义的数据可携权制度具有现实必要性^[31]。

从保护法益上看，《个人信息保护法》第一条明确了“保护个人信息权益，规范个人信息处理活动，促进个人信息合理利用”的立法目的。而个人健康医疗数据可携权的设立正是为了赋予数据来源者在数据开发利用过程中对其健康医疗数据的控制权，保护数据来源者权利，同时规范数据处理者对个人健康医疗数据的开发利用行为，以实现数据流动共享与有效利用的目的。个人健康医疗数据可携权的设立目的符合《个人信息保护法》的立法意旨，参照适用该法既有规定，具有目的上的一致性。

从概念界定上看，我国现有的法律规范主要采取“概括加列举”的模式对个人信息进行类型化限定，多数规范都将个人健康相关信息纳入个人信息范畴，例如《网络安全法》第七十六条第五项的“个人生物识别信息”，《民法典》第一千零三十四条第二款的“健康信息”，2014年10月10日施行的《最高人民法院关于审理利用信息网络侵害人身权益民事纠纷案件适用法律若干问题的规定》的“基因信息、病历资料、健康检查记录”，2020年10月1日实施的《信息安全技术 个人信息安全规范》（GB/T 35273—2020）“健康生理信息”等。个人信息的具体类型并不局限于以上列举内容，以上列举内容也不当然属于个人信息，仍需结合个人信息概念要素进行判断^[17]51-52，《民法典》采用“识别”的认定标准，《个人信息保护法》则采取了“识别加关联”的认定标准^[32]。不论采取何种认定标准，从立法层面上可以看出个人健康医疗数据多数情况下都是被纳入“个人信息”范畴的。可见，将个人健康医疗数据归入个人信息携带权的客体范畴之下，具有一定的正当性。

建议针对《个人信息保护法》“个人信息携带权”条款的范围作出相应的立法解释，明确将个人健康医疗数据纳入个人信息携带权的适用范围，使数据来源者可以参照适用个人信息携带权的相关规定，行使个人健康医疗数据可携权。

二   通过部门规章设定权利行使条件

由于《个人信息保护法》第四十五条第三款授权国家网信部门规定信息转移的条件，个人健康医疗数据可携权的权利行使条件可以由国家网信部门通过部门规章来设定。国家网信部门可以结合我国当前已有的数据分类分级制度，明确不同类别、级别健康医疗数据的定义、使用范围、使用条件等内容，并根据不同的数据流通场景，制定不同要求的传输规定和技术标准。

《健康医疗数据安全指南》将健康医疗数据具体划分为个人属性数据、健康状况数据、医疗应用数据、医疗支付数据、卫生资源数据与公共卫生数据六类。根据文义解释，后两类卫生资源数据与公共卫生数据更多的是以个人属性数据或个人健康状况数据为基础，进行加工、处理、分析等活动后得到的整体性数据，其关注重点在于群体性或区域性的健康医疗数据而非强调个体性的私主体数据。这两类数据一般也会经过健康医疗服务机构或政府卫生管理有关部门的匿名化处理，通常基于管理或维护公共利益的目的而使用。而匿名数据不属于数据可携权的数据范围，因此这两类数据不纳入个人健康医疗数据可携权范围，仅对前四类数据设置数据携转规则，即个人属性数据、健康状况数据、医疗应用数据、医疗支付数据。

具体来说，对于一般性的个人健康医疗数据，在保障数据安全的基础上应尽可能地为数据来源者携转有关数据提供便利。而对于敏感性较强的数据，则应当设置更为严格的权利行使条件和携转标准。《健康医疗数据安全指南》根据数据重要程度、风险级别及对个人可能造成的损害和影响，将个人健康医疗数据划分为1~5级，分别是可完全公开使用，可在较大范围、中等范围、较小范围使用以及仅在极小范围内且严格限制条件下供访问使用的数据。2023年4月19日广东省计算机信息网络安全协会发布的团体标准《健康医疗数据合规流通标准》（T/GDNS 002—2023）同样也对健康医疗数据进行了级别划分，并进一步界定了各级数据的限制使用范围。对于可完全公开使用的数据，数据来源者可以自行在网络上获取，无需行使数据可携权。对于后4级对数据来源者可能造成一定损害和影响的数据，应当为数据处理者设定说明、提醒义务。数据处理者可以在数据携转页面设置数据携转风险隐患告知书，向数据来源者说明行使数据可携权可能招致的损害和不良影响，提醒数据来源者注意。关于数据来源者知情同意的标准要求也应进行划分，具体而言，对于可在较大范围和中等范围内供访问使用的数据，数据来源者可以采取明示同意或者默示同意；对于在较小范围内可供访问使用的数据，必须经过数据来源者明示同意；而对于仅在极小范围内且严格限制条件下才供访问使用的数据，必须经由数据来源者提供书面的明示同意声明后，数据处理者才能向其提供数据携转服务。

此外，由于各类健康医疗服务机构的数据系统传输口径各不相同，难以形成高效的数据携转局面。美国国家卫生信息技术协调办公室（The Office of the National Coordinator for Health Information Technology，ONC）于2018年1月发布了可信交换框架与通用协议（Trusted Exchange Framework and Common Agreement，TEFCA）草案初稿^[33]，该框架旨在为健康医疗服务机构、州或区域健康信息交换机构以及联邦机构之间交换患者病历与健康医疗数据提供必需的政策、程序和技术标准，以促进健康医疗信息网络之间的数据共享。我国网信部门也可以设定统一的个人健康医疗数据传输规范或接收的存储标准，使不同的健康医疗服务机构之间能够有效建立数据平台的连接，实现数据平台的互联互通。通过统一数据传输口径，降低数据处理者自行探索开发数据平台接口的成本，化解不同机构间因数据系统互通标准不一致而难以进行数据携转的窘境，使个人健康医疗数据能够更加高效地在不同数据处理者间流动。

三   通过部门规章和司法解释明晰数据携转安全保障义务

设立个人健康医疗数据可携权，国家网信部门有必要在后续发布的部门规章中详细规定数据处理者在个人健康医疗数据携转过程中相应的数据安全保障义务。考虑到数据处理者履行数据携转义务的积极性，个人健康医疗数据可携权的义务主体范围不应设置过于宽泛。国家网信部门通过部门规章设定数据携转条件时，不应设置过低的门槛标准，应考虑保护中小型健康医疗机构生存与发展的需要，尽可能免除中小型机构的健康医疗数据携转义务，将义务主体范围集中在规模较大、发展模式较为成熟、收益较为稳定的健康医疗机构。

在个人健康医疗数据携转前，数据处理者需设置身份验证的前置程序。GDPR要求数据处理者应当进行风险评估并采取适当的风险防范措施，包括设定身份验证程序、强制身份验证措施、暂缓或冻结数据传输等。其中，设置身份验证的前置程序，对我国个人健康医疗数据可携权的安全保障很有必要。不论在任何情形下，数据处理者进行数据携转前，必须执行身份验证程序。当数据处理者可以识别数据来源者时，应当配合其进行数据携转；当数据处理者无法识别数据来源者时，可以要求其提供合法身份证明进行辅助认证；当数据处理者对数据来源者身份存在合理怀疑或者需转移的健康医疗数据风险程度和影响级别较高时，必须采取双重认证措施对数据来源者身份进行认证。

在个人健康医疗数据携转过程中，数据处理者还需采取必要的数据加密措施，例如使用验证密码或其他附加的数据接收者身份认证信息。数据处理者不能通过额外征收费用等方式妨碍数据来源者行使个人健康医疗数据可携权。同时，数据处理者要设置一段期间内的数据携转动态监测，以保证当次数据携转过程中的数据安全。当数据携转至新的数据处理者后，由新数据处理者对数据安全负责，原数据处理者仅在原先保管的个人健康医疗数据范围内承担数据安全保障义务。

另外，我国目前还没有具体规范个人健康医疗数据携转行为的法条，法官只能参照《个人信息保护法》第四十五条第三款即原则性条款进行裁判，因而当法官运用原则性条款进行裁量时，必须继续进行充分的说理和论证，在此过程中应注意采用利益衡量方法 ^[34] 。在判定数据处理者履行数据携转义务的程度时，司法机关可以发布相关司法解释，结合不同的数据流通场景，着重考量数据来源者与数据处理者利益、公共利益与私人利益的界分与补强，尽量在平衡利益冲突时，促进数据可携权的合规使用^[35]。同时，在合法合规的条件下，建议采取相对宽松的裁判标准，尽可能减轻数据处理者的责任承担，以提高健康医疗机构配合履行数据携转义务的积极性。例如，数据处理者如果有证据能证明其在数据携转前，已尽到相应的说明、提醒义务，进行数据携转所造成的损害后果则应判定由数据来源者自行承担；如果有证据能证明其在数据携转过程中，已采取适当的、能有效起到风险控制和防范作用的措施，则判定由数据来源者自行承担行使数据可携权所造成的损害后果。

五.   结论

不论是基于数据权利保护目的抑或是数据资源共享目标，我国与许多外国先行者一样，存在设立数据可携权的现实需要，但这在立法与司法层面皆面临一定障碍。考察国外的立法实践，美国将健康医疗领域作为数据可携权的实践起点，以1996年《健康保险携带和安全法》（Health Insurance Portability and Accountability Act，HIPAA）为依托、结合其他补充规则，构建了一套较为完整的个人健康医疗数据携转与交换规则体系，之后逐步在金融、消费等其他领域继续探索、推广个人数据可携权规则。而欧盟首次在2016年GDPR中将“数据可携权”作为一项法律权利确立下来，2020年又进一步提出以健康医疗为核心实施领域之一的“欧洲数据战略”，并在2022年4月通过了《数据治理法》（Data Governance Act），鼓励建立有助于数据来源者有效行使个人健康医疗数据可携权的相应机制，兼顾数据保护与数据共享。美国和欧盟都没有选择直接全面铺开数据可携权，而是先在个别领域进行试点，取得一定成效后再行推广。我国在设立数据可携权时也不宜操之过急，尽可能在已有立法的框架下，以制定部门规章与发布司法解释的方式予以逐步完善。