近期，數據安全話題持續升溫，國家互聯網信息辦公室相關部門先后要求下架多款App，并持續對多家公司實施網絡安全審查。受此影響，多家計劃赴美IPO的企業被推至資本市場熱議前沿。
放眼醫藥行業，隨著《數據安全法》正式實施的腳步逐漸臨近，醫療數據資產價值飛速提升的同時，資本市場發展、數據跨境流動與國家安全和公共利益之間的考量成為各方關注的焦點。醫療數據的生物（理）特征、隱私特征和倫理特征都使其天然帶有“安全紅線”屬性，數據應用與數據保護之間的緊張關系更為嚴峻。
《數據安全法》將于今年9月1日實施。而就在2021年10月29日，國家互聯網信息辦公室發布了《數據出境安全評估辦法（征求意見稿）》，向社會公開征求意見，進一步加強數據出境的安全屬性。
《數據出境安全評估辦法（征求意見稿）》是為了規范數據出境活動，保護個人信息權益，維護國家安全和社會公共利益，促進數據跨境安全、自由流動，根據《中華人民共和國網絡安全法》、《中華人民共和國數據安全法》、《中華人民共和國個人信息保護法》等法律法規，制定本辦法。

什么是數據出境

在國家網信辦2017年4月11日發布的《個人信息和重要數據出境安全評估辦法（征求意見稿）》中，將“數據出境”定義為“網絡運營者將在中華人民共和國境內運營中收集和產生的個人信息和重要數據，提供給位于境外的機構、組織、個人”。
同年8月30日，全國信標委發布《信息安全技術 數據出境安全評估指南（征求意見稿）》（以下簡稱“《數據出境評估指南》”）的3.7條對“數據出境”作出更進一步的解釋，數據出境是指“網絡運營者通過網絡等方式，將其在中華人民共和國境內運營中收集和產生的個人信息和重要數據，通過直接提供或開展業務、提供服務、產品等方式提供給境外的機構、組織或個人的一次性活動或連續性活動。”

醫療數據出境法律法規現狀

目前，我國針對醫療數據的監管規定分散在不同的法律法規中，并沒有明確統一的規定，同一數據處理主體收集的醫療數據可能涉及到多種法規的監管，同一醫療數據又因監管角度不同而構成多種受保護的數據類型，無疑為醫藥行業從業者以及相關投資機構的合規或是盡調工作增加難度。
醫療數據的來源和范圍具有多樣化的特征，包括病患數據、病歷信息、醫療保險信息、健康日志、基因遺傳、醫學實驗、臨床數據、IVD及第三方檢測數據、科研數據等。通過對目前頒行的醫療行業法律法規、標準和指南的歸納，醫療數據又可進一步細分為健康醫療大數據（患者數據）、個人健康醫療數據、醫療器械領域的健康數據；人口健康信息、個人健康生理信息；人類遺傳資源；病歷（電子病歷）。
下表簡要羅列了目前生效的或是尚在征求意見的法律法規、標準和指南中涉及數據信息跨境傳輸（共享）的有關規定。?

醫療數據出境風險評估事項

《數據出境安全評估辦法（征求意見稿）》中規定，數據處理者在向境外提供數據前，應事先開展數據出境風險自評估，重點評估以下事項：
（一）數據出境及境外接收方處理數據的目的、范圍、方式等的合法性、正當性、必要性；
（二）出境數據的數量、范圍、種類、敏感程度，數據出境可能對國家安全、公共利益、個人或者組織合法權益帶來的風險；
（三）數據處理者在數據轉移環節的管理和技術措施、能力等能否防范數據泄露、毀損等風險；
（四）境外接收方承諾承擔的責任義務，以及履行責任義務的管理和技術措施、能力等能否保障出境數據的安全；
（五）數據出境和再轉移后泄露、毀損、篡改、濫用等的風險，個人維護個人信息權益的渠道是否通暢等；
（六）與境外接收方訂立的數據出境相關合同是否充分約定了數據安全保護責任義務。
總結：醫療數據安全合規體系建立必須圍繞醫療數據全周期的運行開展，正所謂數據跨境傳輸合規無法“獨木成林”。醫療企業必須通過采取必要措施，確保醫療數據信息有效保護和合法利用，并使其處于持續安全的狀態。