医疗领域个人信息的民法保护和法律救济问题研究

【摘要】 医疗领域个人信息，是在医疗过程中医疗机构及其医护人员为治疗疾病所了解或记载的患者个人信息，它不同于一般的个人信息，含有大量敏感的个人信息，同时，鉴于医疗服务的特殊性，信息主体对个人信息的控制权较弱，在医疗信息化大力推进和互联网技术广泛应用的现代社会，医疗个人信息常常被非法收集、处理、传播和利用，不仅个人隐私遭到泄露，个人权利受到侵害，甚至财产利益也遭受损失。保护医疗领域的个人信息，不论是在立法上，还是在实践中，都具有重要的意义。由于目前我国尚未正式出台一部保护个人信息的专门法律，在医疗卫生领域，对于患者个人信息的保护更缺乏相应的具体规范，希望通过本文的分析研究，能为医疗领域的个人信息保护提供些许有意的借鉴。本文除绪论、结论之外，正文共分为三个部分。绪论部分主要介绍本文的选题背景、研究目的及意义、国内外的研究状况及趋势，以及本文的主要内容、创新点和研究方法。第一章从个人信息的定义、特征和性质出发，阐释了个人信息的概念，并从民法的隐私权、一般人格权及个人信息自决权的角度，探讨了个人信息保护的法理基础，从而证明了个人信息保护的必要性。第二章首先详细阐述了医疗领域个人信息的涵义、内容并介绍了值得我国借鉴的日本医疗领域个人信息使用的基本规则，然后重点分析了医疗领域个人信息的特殊性在于利用目的多样性以及医疗信息化对个人信息的巨大影响，最后介绍了经合组织关于个人信息保护的基本原则，并提出我国医疗领域个人信息保护应遵循的法律原则。第三章首先阐述患者在医疗个人信息上的权利类型，接着探讨了侵犯医疗个人信息行为的民事责任认定，然后从侵权行为法的角度探讨了侵犯医疗个人信息行为的归责原则，最后阐述了侵犯医疗个人信息行为的构成要件、免责事由和民事责任承担，较为全面地分析了侵犯患者医疗个人信息的民事责任机制的构建。 

第一章  个人信息的概念界定及保护的法理基础 

第一节  个人信息的概念界定 

一、个人信息的定义 

不论是国际还是国内，对个人信息保护法所保护的客体，都存在着不同的称谓：欧洲理事会、欧盟及其成员国等采用“个人数据（Personal Data）”；日本、韩国、俄罗斯等国家采用“个人信息（Personal Information）”；而美国、加拿大、澳大利亚等国家采用“个人隐私（Privacy）”。经济合作与发展组织（OECD）在有关个人信息保护的法律文件中使用了“个人数据”和“隐私”两个概念，而我国台湾地区和香港地区则分别使用的是“个人资料”及“个人资料”和“隐私”的概念。

 对此，国内学术界也有不同的认识。齐爱民教授在2004年和2005年发表的文章中分别采用了“个人资料”和“个人信息”的概念，周汉华教授认为，“概念的不同主要是源于不同的法律传统和使用习惯，实质上并不影响法律的内容”，因此建议采用“个人信息”的概念，其理由是：第一，“数据”的概念主要适用于科学技术领域，在我国的法律概念中较为陌生；第二，采用“个人信息”的概念，符合我国信息化战略的大背景，也可以与政府信息公开条例相呼应；第三，采用“个人信息”这一概念，可以避开欧盟和美国的分歧，体现出一种独立的声音。笔者赞同周汉华教授的观点，认为“个人信息”的称谓能够更好地反映概念的内涵和外延，更符合立法目的。 

对于“个人信息”的定义，理论界也存在着不同的声音，比较具有代表性的是以下三种类型： 

1、关联型定义 

它是指所有一切与特定个人相关联的信息。例如，德国《个人资料保护法》第 3条规定：“关于特定或得特定之自然人属人或属事的个人资料。”这是一种广义的界定方法，从信息主体与个人信息的关联性出发，把与个人有关的信息都纳入个人信息的范围。 

2、隐私型定义

它是指个人不愿向外透露的或者个人极为敏感而不欲为外人所知的信息。比如，美国Parent教授认为：“个人信息系指社会中多数所不愿向外透露者（除了对朋友、家人之外）；或者是个人极敏感而不愿他人知道者（如多数人不在意他人知道自己的身高，但有人则对其身高极为敏感，不欲外人知道）”。这种定义是从个人信息与隐私的关系出发来界定的，主要被美国等国家所采用。  

第二章  医疗领域个人信息的特殊性及保护原则 

第一节  医疗领域个人信息概述 

一、医疗领域个人信息的涵义 

医疗领域个人信息，简称医疗信息（Medical Information, Health Information）是个人信息的一种，属于敏感的个人信息，指与医疗相关联而产生的个人信息，主要由患者的生理或心理健康、医疗状况等信息组成。狭义的医疗个人信息是指，在疾病控制、体检、诊断、治疗、医学研究过程中涉及到的个人肌体特征、健康状况、遗传基因、人际接触、病史病历等信息。而广义的医疗个人信息还包括医疗机构和医疗机构从业人员等所有与医疗相关的信息。本文所探讨的医疗个人信息指的是狭义的医疗个人信息。由于医疗领域的个人信息是在诊疗过程中产生的，日本学者称之为“诊疗信息”，它与“医疗领域个人信息”具有相同的含义。 

根据美国 1996 年颁布的《健康保险转移与责任法案》（Health Insurance Portability and Accountability Act，简称 HIPAA），医疗信息是指无论是以口头或任何形式、媒介记录的信息，包括：经由医疗机构、医疗计划、公共健康机构、雇主、保险人、学校或医疗信息交换中心所创造或取得者，有关过去、现在或未来个人身体或心理的健康状况，对于个人的健康照护，以及个人健康照护所支付的财务费用。 

二、医疗领域个人信息的内容 

根据台湾地区“医疗法”的规定，医疗信息包括：（1）医师依医师法执行业务所制作的病历；（2）各项检查、检验报告资料；（3）其他各类医事人员执行业务所制作的记录。

根据日本财团法人医疗情报系统开发中心制定的《电子保存诊疗记录情报交换的数据项目集合》的汇总，医疗个人信息包括以下11大类：

（1）患者基本信息：如姓名、年龄、出生年月日、住所、电话号码等个人识别信息、联系人、工作单位、户口名册、户口登记、配偶、职业等。 

（2）健康保险、福利信息：如健康保险信息、公费医疗信息、残疾信息、心理干预信息等。 

（3）诊疗管理信息：如就诊科室信息、适用保险信息、就诊日期、住院出院日期等。 

（4）生活背景信息：如吸烟史、饮酒史、生活史等。 

（5）医学背景信息：如出生时体重、生育史、预防接种记录、既往病史、输血记录、过敏史、家族病史等。 

（6）诊察记录信息：如问诊记录、现在病历、体检结果、病程记录、诊断、治疗计划等。 

（7）指令实施记录信息：如检查及检查结果、处方开立记录、手术实施记录、治疗实施记录、各种指导记录等。 

（8）治疗信息的交流情报：治疗信息提供书等。 

（9）治疗的说明同意信息：各种说明信息、各种同意信息。 

（10）汇总信息：诊疗汇总、住院汇总等。 

（11）死亡记录信息：死亡诊断书、尸检报告等。 

另外，还有些特殊的诊疗，比如怀孕、分娩等有关信息，以及主要用于医院管理的信息等等。除此之外，还包括诊疗信息以外的个人健康信息，比如因学校健康管理、劳动安全卫生管理、母子保健管理、养老保健管理等引起的健康检查信息等。 

第二节  医疗领域个人信息的特殊性 

一、医疗个人信息的利用目的多样性 

1、诊疗 

医疗个人信息显而易见地被用于患者的诊断和治疗，为了患者健康的恢复和维持，这些信息被医疗机构直接利用，比如医生根据检查测试结果进行确诊，并以此开立处方进行治疗，这种信息的利用就是患者就诊的目的。另外，如果拿着医院开立的处方到药店买药，个人医疗信息就会被药店所利用。医院内部的研讨会，医院外部的咨询会诊，也会披露患者诊疗的详细信息。 

医疗费用的支付，除自费部分以外，还有医保、社保、商业保险、单位报销等体系，也是医疗个人信息被利用的途径之一。此外，还有住院病人的病床管理，比如床头卡片上有患者姓名、病症、重症程度等的标牌以及其他医院管理等信息。根据美国的 HIPAA 法，这些关系到患者的健康恢复维持、医疗费用支付、医疗机构管理运营（Treatment，Payment，and Health Care Operations，简称TPO）的都是为履行医疗行为所必须的利用。

2、教学 

医疗需要具有专门知识和专业技能的从业者，而这些技能的培养离不开持续的教育。医疗的基础在医学，而医学则是一门以人为研究对象的学问，是最重视医疗应用的实践科学。因此，医疗现场的临床实习、使用真实的患者病例进行学习对于医学教育尤为重要。即便是已经取得专业资格的医生，为了顺应日新月异的医学进步，为了自身知识技能的进一步提高，医疗现场的教育和研修也是必不可少的。这种用于医学教育的医疗信息利用，从长远看是医疗行为成立所必须的。对于临床实习，学生直接接触患者的场合，必须经患者的同意方可进行；而利用诊疗记录等资料进行学习的实习，并不必须经过患者的同意。 

3、研究 

如前所述，医疗以作为科学的“医学”为基础，医学是以人为对象注重医疗应用的实践学科，是有关人类生命健康的系统学科，需要不断地积累以往的病历资料为后续的研究做基础，所以医学研究与医疗信息密不可分。在临床医学研究上，研究与治疗的利用几乎是一致的。例如，新药的临床试验，用于试验的剂量与用于治疗的剂量完全一样。 

但是临床试验的理由，并不完全是为了患者自身的治疗，也有为了医院运营管理的需要。比如，分析研究储存在数据库中的大量诊疗信息，找出其中的规律性的研究（这种方法叫做数据挖掘（Data Mining））。临床试验以患者的同意为原则，但也有极端的例外，比如利用已经死亡的患者的诊疗信息进行医学研究，就不可能经过患者本人的同意。 流行病学研究是医学研究的特殊领域。

流行病学的研究需要更广泛地收集医疗信息，调查疾病流行动向和感染率等，目的是为了查明疾患的性质，提高公共医疗卫生水平。因此，流行病学的研究具有很强的公益性，通常此类研究并不需要识别个人信息，即便是匿名也可以进行，但是为了防止广泛地收集信息而导致的个人信息“二次收集”，确保个人的识别性却是必要的，这就关系到个人识别信息的问题。 

第三章  医疗领域个人信息的权利类型及法律救济..........29 

第一节  患者个人信息权利的类型......29 

一、保密权........30 

二、查询权........31 

三、更正权.............33 

四、封锁权..........33 

五、删除权..............34 

六、报酬请求权...........34 

第二节  侵犯医疗个人信息行为的法律救济..........35 

一、侵犯医疗个人信息行为的民事责任认定...........35 

二、侵犯医疗个人信息行为的归责原则.........38 

三、侵犯医疗个人信息行为的构成要件..............40 

四、侵犯医疗个人信息行为的免责事由........42 

五、侵犯医疗个人信息行为的民事责任承担....44 

第三章  医疗领域个人信息的权利类型及法律救济 

权利和义务是相对应而存在的法律概念，没有无权利的义务，也没有无义务的权利，权利的实现程度取决于义务人对义务的履行程度。在医疗个人信息保护中，信息主体的权利，即患者的个人信息权利，就是医疗机构的义务所在。法律只要清晰地规定了权利人的权利，也就相应地规定了相对人的义务。对医患双方同时进行权利启蒙，唤醒人们的权利意识，促使医方尊重患者权利，善尽自己的义务，对于缓解医患冲突，改善医患关系，大有助益。因此，在这一章里，笔者重点探讨患者的个人信息权利类型，以及权利受到侵害时的法律救济。 

第一节  患者个人信息权利的类型 

根据1972年美国医院协会制定的《关于患者的权利法案的宣言》、世界医学会于1981 年和 1986 年分别通过的《病人权利宣言》和《医师专业的独立和自主宣言》以及 1984 年日本患者权利宣言全国起草委员会拟定的《病人权利宣言》等外国和国际组织的一系列文献，患者被赋予了诸多的权利，涉及到医疗、护理、康复、转院、知情、同意、资料、保密、查账等众多方面。本文主要探讨的是与患者医疗个人信息保护相关的权利。如前所述，不论是英美法系的美国还是大陆法系的德国，都有承认以个人信息自决权作为保护个人信息法理基础的趋势。个人信息自决权是指个人保障自己的信息不被他人随意地收集、利用和传播的权利，即个人信息的自我控制权，对患者医疗信息的保护显然属于这个的范畴。

所谓患者的医疗信息自决权，就是指患者对于自己医疗个人信息的收集、储存、传播、修改和利用的自我控制权。个人信息自我控制权的提倡，源于医疗记录的所有权归属于医院和医生。不论是纸质病历，还是影像记录、电子病历，都是由医生亲手制作，保存于医院的资料，其归属于医生和医院是无可争议的。虽然这些资料并不在患者手中，但其记载的患者个人信息，大多涉及患者本人或家庭的隐私。要保护患者的个人信息，就必须赋予患者对其个人信息享有控制权。

1995年9月世界医师总会通过《关于患者权利修正的里斯本宣言》，在患者的“自主决定权”中增加了“患者有权拒绝参加医学研究或医学教学的权利”,这充分表明个人权利优越于社会或科学利益。当患者的个人信息控制权与医学研究自由的两个基本人权相冲突时，原则上患者的个人信息控制权优先。

我国目前对医疗个人信息权利的规定，主要集中在有限的几部法律法规中，如全国人大常委会颁布的《中华人民共和国执业医师法》、《中华人民共和国母婴保健法》、《中华人民共和国传染病防治法》，国务院颁布的《医疗事故处理条例》、《医疗机构管理条例》，卫生部或卫生部与中医药局共同下发的《病历书写基本规范》和《医疗机构病历管理规定》等。综合国内外立法的规定，本文认为，医疗个人信息权利的类型主要包括医疗个人信息的保密权、查询权、更正权、封锁权、删除权以及报酬请求权等。 

结  论 

医疗科技的发展和医疗信息化的推进，使我们在享受医学进步带来高效、便利的医疗服务的同时，也使医疗个人信息的安全风险遭遇前所未有的挑战。虽然，国内法学界对个人信息保护的研究已经取得了一定的成果，但是，在保护医疗领域个人信息方面存在立法缺失，理论研究薄弱的情况，学习和借鉴世界其他国家和地区已经比较成熟、完备的法律法规，有助于我国健全和完善医疗领域个人信息保护方面的法制。本文认为，我国应尽快出台《个人信息保护法》，同时，制定医疗领域个人信息保护的特别法或行业具体条例规范，进一步完善患者的医疗个人信息权利。不仅应加快立法，而且要加强医疗行业自律、增强科技保护手段、提高个人权利保护意识，以期从全方位对医疗领域个人信息进行保护。 

关于医疗领域个人信息保护的问题，不仅存在深层次的理论研究问题，而且需要在实践中逐步完善。由于笔者理论功底薄弱，对国外研究资料特别是英文资料占有较少，而且缺乏法律实务经验，因此本文的研究尚显粗浅，对有些问题的论证不够充分，论述也仅仅停留在表面，论文的深度和广度都很有限，这些问题有待笔者在今后的工作学习中进一步完善。 
 

参考文献：

• [1] 刘士国.  患者隐私权:自己决定权与个人信息控制权[J]. 社会科学. 2011(06)
• [2] 赵敏.  论个人医疗信息及其权利保护[J]. 中国卫生事业管理. 2007(12)
• [3] 齐爱民.  电子病历与患者个人医疗信息的法律保护[J]. 社会科学家. 2007(05)
• [4] 洪海林.  个人信息保护立法理念探究——在信息保护与信息流通之间[J]. 河北法学. 2007(01)
• [5] 谢青.  日本的个人信息保护法制及启示[J]. 政治与法律. 2006(06)
• [6] 王洪.  信息隐私权的法律经济分析评述[J]. 乡镇经济. 2005(07)
• [7] 齐爱民.  论个人信息的法律保护[J]. 苏州大学学报. 2005(02)
• [8] 张素华.  个人信息商业运用的法律保护[J]. 苏州大学学报. 2005(02)
• [9] 齐爱民.  论个人资料[J]. 法学. 2003(08)
• [10] 尹田.  论一般人格权[J]. 法律科学.西北政法学院学报. 2002(04)