医疗健康信息二次利用中安全隐私保护研究
李亚子① 李艳玲①
①中国医学科学院医学信息研究所，10020，北京
摘 要 医疗健康信息的二次利用从可以提高卫生系统工作的效率和准确性，二次利用的过程中涉及信息的收集、使用和个人隐私保护等备受关注的问题。本文通过对国外医疗健康信息二次利用现状进行研究，从管理体系、规章制度、信息共享和保护等方面提出我国医疗健康信息二次利用的若干建议。
关键词 医疗健康信息 二次利用 隐私保护
1 引言
在提供医疗卫生服务和进行卫生领域的研究时，常常需要处理大量的健康信息。很多国家注重医疗健康信息的电子化和对医疗健康信息进行二次利用。实现医疗健康信息电子化，建立健康信息数据库，对健康信息进行二次利用，卫生部门通过对电子信息进行二次利用可以从宏观角度掌握全民健康状况，预测国家未来卫生走向，为卫生领域的科学研究提供准确可靠的数据[1、2]。英美等发达国家已经建立了医疗健康信息电子记录系统，并形成了了不同的健康信息服务系对医疗健康信息的收集和二次利用进行管理，本文着重研究国外对医疗健康信息的二次利用进行管理，分析讨论从，为我国建立健康信息库和进行个人健康信息利用提供建议。
2 资料与方法
2.1 定义
2.1.1 个人健康医疗信息 个人健康医疗信息是个人信息的组成部分，主要是指在体检、诊断、治疗、疾病控制、医学研究过程中涉及到的个人肌体特征、健康状况、人际接触、遗传基因、病史病历等方面的信息[3]。
2.1.2 医疗健康信息的初次使用 医疗健康信息的初次利用是指将个人健康信息直接用于为个体提供直接的医疗服务，通常包括两种情况，一是将个人健康信息直接用于个体疾病的诊断和治疗，二是利用个人健康信息对健康服务提供者的工作质量进行审核评价[4]。
2.1.3 医疗健康信息的二次利用 医疗健康信息的二次利用是将个人健康信息用于为个体提供直接医疗服务之外的领域，包括对疾病的研究分析，公共卫生领域，卫生服务质量测评，卫生政策研究和商业性质的活动等[5,6]。
2.2 医疗健康信息的二次利用 近年来，越来越多的国家建立了医疗健康信息数据库，很多研究者也更倾向于通过对医疗健康信息的二次利用来获得所需数据。在前瞻性的卫生研究，收集数据将会是需要耗费巨大的时间和金钱，而通过对健康信息数据库中的信息进行二次利用而开展的回顾性研究，则可以高效快速准确的完成研究[7--8健康信息进行二次利用，从个体角度来说，可以增强个人卫生服务体验，加强对疾病和治疗手段的认知，并且对医疗卫生系统的效用和效力有更好的理解，从整体角度来说，可以为实现公共卫生和公共安全目标提供支持，控制医疗卫生研究中的成本效益和成本效用，有效降低研究中的人群偏倚，节省人力、物力和财力[9,10]。
但是，对医疗健康信息的收集和二次利用过程中也涉及到信息准确性和信息安全的问题。
美国进行的调查研究结果表明，关于医疗健康信息的二次利用，对于健康信息的主体个人来说关心的问题主要有两个，一是在信息二次利用过程中个人隐私是否得到了保护，信息二次利用过程中个人信息是否被泄漏，二是信息获得者获取信息的目的，是否为获取利益而进行的商业活动[11,12]。而对于研究者来说，在对来自健康信息平台的信息在使用过程中首要关心的问题则是所获取的健康信息是否准确可靠及时，是否会对研究造成偏倚[13,14]。此外，在信息的收集和使用过程之中，信息的规范性和完整性也将会影响信息库的可靠新，从而对依靠信息进行二次利用而获得的研究结果的可信度[15-18]。
2.3 材料来源 本文所引用材料主要来源于英国国家卫生服务体系官方网站、加拿大
Population data官方网站、Pubmed数据库以及互联网。
| 表 1 材料来源 | 表 2 相关法律 |
 |  |
2.4 方法 查询官方网站和阅读研究文献，分析对比欧美等发达国家对医疗健康信息的收集使用现状和在信息使用过程中对信息的保护情况。
3 研究发现
对医疗健康信息进行二次利用可以提高卫生系统的工作效率，降低研究数据的偏倚，节省时间和精力。本文仅以英国和加拿大为例介绍国外对医疗健康信息二次利用的现状
3.1 信息二次利用体系的管理和运行 加拿大的全民数据库（Population data，简称 Pop data）和英国的二次利用服务体系（Secondary Use Service,简称 SUS）是目前发展较为完善的二次利用服务体系。在对系统的管理和运行上，加拿大和英国都成立的独立的机构对其进行管理，为保证其客观中立性，加拿大还规定全民数据库的管理部门不能进行与卫生健康有关的研究。信息二次利用体系收集来自地方医疗机构的可信的个人健康信息，对信息进行收集整理保存。全国范围内进行的有关健康卫生的研究，在经过了审核之后，都可以从信息二次利用系统中获得所需要的数据[20,21]。
英国政府重视建立个人健康信息电子平台，从 2003 年开始用超过十年的时间，投入超过124亿英镑来建设国家信息化项目（ National Programme For Information Technology） ，其中二次利用服务体系便是建设项目之一[22,23]。在国家政府的大力支持下，英国的二次利用服务体系发展较为完善，目前已存储了大量的医疗健康信息，提高了卫生研究和医疗工作的效率。
3.2 信息二次利用体系中信息保护 医疗健康信息的二次利用涉及到个人和医疗卫生机构的相关利益，在运行过程中既要保证个人信息不被泄露，又要保证医疗机构所获得的数据可靠。因此，信息二次利用体系制定了相关的措施保证各方利益。
加拿大的全民数据库在中所包含的信息或者链接来自不同的研究机构，为了保证信息的可靠性，负责向全民数据库传输信息的学术机构需要经过一定程序获得专业认证之后才可以持续地为全民数据库提供数据或者链接。全民数据库运行过程中严格遵守加拿大对个人信息 的保护原则，需要从全民数据库获取信息的研究人员在获取信息之前，必须可以证明他们所进行研究并非易盈利为目的，有关人类卫生健康与发展，符合国家卫生领域的政策导向，并且该研究有利于建设一个更利于公民健康的氛围。全民数据库管理机构设有专门的个人隐私保护工作室负责，全民数据库运行过程中所制定的规定必须与加拿大的隐私保护法律保持一致，并要随着法律的发展不断完善相关规定，以便能够更好地保护个人信息。 英国的二次利用服务体系中所包含的信息来自国家卫生机构和社保中心，信息来源可靠。
研究者想要从二次利用服务体系中获取所需信息，通常需要经过三个步骤。第一，国家卫生体系之内的人员需要通过认证了的国家体系链接才能登陆二次利用服务体系获取信息，而非国家卫生工作人员则需首先递交申请书表明研究兴趣；第二，向当地信息登记机关查询如何申请登陆二次利用服务体系，当地登记机关在核实之后会通过电子化的方式授予申请人登陆的权利；第三，根据不同研究的需要，当地登记机关会给不同的研究授予不同的登陆二次利用服务体系的权利。英国二次利用服务体系设立并遵守严格的信息管理制度，目的就是为了防止公民的个人健康信息被非法盗用，最大程度的保护公民的信息隐私[24]。
3.3 信息二次利用的法律保护 英国和加拿大设有专门的法律对公民的个人隐私进行保护，个人健康信息是个人信息的重要部分，也受到法律的保护。加拿大 1985 年颁布的隐私法（Privacy Act）和英国 1984年颁布的个人信息保护法（Data Protection Act 1984）中都对个人信息进行了具体明确的定义，并详细规定了如何对个人信息进行收集和二次使用，隐私保护法律明确规定，公民对个人信息拥有知情同意权，在收集、使用和披露个人信息时需要得到当事人的同意。对于非法获得个人信息或者擅自将个人信息泄露者进行严厉的处罚。
3.4 医疗健康数据二次利用中信息共享与隐私保护之间的平衡 隐私保护和信息共享之间的博弈是医疗健康数据利用实践和研究的焦点问题。美国的 HIPAA法通过两种方式达到二次利用时强化隐私保护的目的[25]，第一种方式采取匿名的手段，将姓名、传真号、社会保险号等18个描述项移除；第二种方式是原始数据向二次利用转移拷贝的过程中选择18个描述项的部分内容进行编码转换，使患者身份不被计算机或人为手段识别。英国国家卫生信息化项目NPFIT中信息二次利用的方法偏向于采取HIPAA法第二种隐私保护手段，并认为保留经过转换的个人身份信息，更容易关联患者相关的信息，便于公共卫生监管和流行病学专家的研究[26]。
4 建议
我国作为世界上的人口大国，建立医疗健康信息库可以减轻医生工作负担，通过对信息的二次利用可以实现对全民健康状况进行管理和实时分析，并对国家的未来卫生走向进行有效预测。随着国家的发展，居民对医疗健康服务的需求越来越高，建立电子健康档案，完善个人健康信息，进行医疗健康信息有效合理的二次利用是利国利民的大事。
4.1 界定医疗健康数据二次利用隐私保护的内容 医疗健康数据包括个人身份信息、诊断信息、治疗信息、财务信息等内容，明确界定医疗健康数据保护的内容、年限等，将纸质和电子两种载体综合考虑，对医疗健康不同类型的数据采取不同的保护措施，例如个人身份信息等可加密转换，信用卡等财务信息禁止披露，不同年龄段的健康信息也应区别保护与利用，如HIPAA法允许公共卫生机构使用儿童免疫信息等。
4.2 需明确的管理机构制定、维护、监督医疗健康数据的二次利用 通过对国外医疗电子信息现状的研究发现，大多数国家都设有专门的医疗健康信息管理组织机构，该机构往往独立 运行，不受其他部门的控制和管辖，这样可以保证个人信息被最大限度的保护和有效利用。目前我国掌握居民健康信息最多的地方是社区卫生服务中心和各级疾病预防控制中心， 因此要成立一个专门的机构来对个人信息进行收集和保存。
4.3 平衡医疗健康信息二次利用和安全隐私保护之间的关系 共享医疗健康信息是目的，安全隐私保护是手段，研究探讨二次利用的框架，如豁免权、例外等，以最小化的原则披露信息，以最大化的原则研究利用信息。充分利用信息技术手段保护个人身份信息不被泄露或被逆向识别，尤其是在大数据环境下，个人的行踪可通过社交媒体、GPS、电子商务网站等采集，患者本人、医疗机构、药房、行政当局等应提高安全意识，以避免患者身份信息被逆向识别。
4.4 规范医疗健康信息二次利用的流程，完善法律法规 建立规范的医疗健康信息二次利用业务操作与管理，严格利用身份认证、流程的审批授权、患者知情权等相关规章制度，促进符合制度与伦理的二次利用文化氛围的形成。我国在建立电子健康信息平台时，应当同时制定详细的个人健康信息保护相关条例和法规，加快制定相关法律，实现对个人隐私权的保护。
参考文献
[1]Jha A, Doolan D, Grandt D, Scott T, Bates D. The use of health information technology in seven nations[J].Int J Med Inform 2008;77 (12): 848–854.
[2]Bisbal J, Berry D. An Analysis Framework for Electronic Health Record Systems[J].. Methods Inf Med 2011; 50 (2): 180–189.
[3]汤啸天，个人健康医疗信息和隐私权保护[J].同济大学学报（社会科学版）， 2006.17 （3）
[4]NHS Connecting for Health.Pseudonymisation Implementation Project (PIP).Final Summary of Pseudonymisation Implementation Guidance.FV1.3 - 15 June 2010
[5]Safran C, Bloomrosen M, Toward a national framework for the secondary use of health data: an American Medical Informatics Association White Paper. [J] Am Med Inform Assoc 2007;14:1–9.
[6]K. Holzer; W. Gall,Utilizing IHE-based Electronic Health Record Systems for Secondary Use[J],Schattauer 2011
[7]Hersh WR. Adding value to the electronic health record through secondary use of data for quality assurance, research, and surveillance. [J]. Am J Manag Care2007;13:277–8.
[8]Nicole G. Weiskopf，Defining and measuring completeness of electronic health records for secondary use[J].Journal of Biomedical Informatics，2013,46
[9]Garrett, Daniel,Tapping into the value of health data through secondary use,[J],Healthcare Financial Management 2010,: 76-83
[10]Marianne Tolar, Ellen Balka,Caring for individual patients and beyond: Enhancing care through secondary use of data in a general practice setting,[J],international journal of medical informatics,2012,81
[11]Mary.J.Culnan."How did they get my name?": an exploratory investigation of consumer attitudes toward secondary information use[J]MIS Quarterly,17(3),341-363
[12]H. U. Prokosch; T. Ganslandt.Perspectives for Medical InformaticsReusing the Electronic Medical Record for Clinical Research.[J]Methods Inf Med ,2009(1)
[13]David Grande,MD, MPA; Nandita Mitra, PhD.Public Preferences About Secondary Uses of Electronic Health Information.[J]JAMA Intern Med. 2013;173(19):1798-1806
[14]Thiru K, Hassey A, Sullivan F. Systematic review of scope and quality of electronic patient record data in primary care. BMJ 2003;326:1070
[15]Hogan WR, Wagner MM. Accuracy of data in computer-based patient records. [J]Am Med Inform Assoc 1997;4:342–55
[16]Chan KS, Fowles JB, Weiner JP. Review: electronic health records and the reliability and validity of quality measures: a review of the literature. [J].Med Care Res Rev 2010;67:503–27
[17]Weiskopf NG, Weng C. Methods and dimensions of electronic health record data quality assessment: enabling reuse for clinical research. [J].Am Med Inform Assoc 2013;20:144–51
[18]Charles Sarfran.Toward a National Framework for the Secondary Use of Health Data: An American Medical Informatics Association White Pape[J.]merican Medical Informatics Association. 2007,14(1)
[19]Caitlin Pencarrick Hertzman,1 Nancy Meagher,1 Kimberlyn M McGrail2Privacy by Design at Population Data BC: a case study describing the technical, administrative, and physical controls for privacy-sensitive secondary use of personal information for research in the public interest[J].J Am Med Inform Assoc 2013;20:25–28.
[20]https://www.popdata.bc.ca/privacy/policies/overview
[21]Enrico W Coiera，Lessons from the NHS National Programme for IT.[J].EDITORIALS，2007,18（1）
[22]Brennan S. NHS IT project: the biggest computer programme in the world ever! Oxford: Radcliffe Medical Press, 2005.
[23] Secondary Uses Service (SUS).http://www.connectingforhealth.nhs.uk/ systemsandservices/sus/delivery/pseudo
[24]HIPAA法，http://hipaa.wisc.edu/ResearchGuide/deidentification.html
[25]NHS Connecting for Health. Pseudonymisation Implementation Project. http://www.heartofengland.nhs.uk/wp-content/uploads/FOI-2299-PIP_Imp_Plan_RR1__0909_v3_0.pdf
[26]张聚兴，刘俊芳.谈建立我国公民医疗健康信息档案的意义及方法， [J]，中国医院管理，2004,24（10）