医疗区块链技术运用的法律规制探究

刘惠明,潘珺瑜

(河海大学法学院,江苏 南京 210024)

随着科学技术的不断发展,医疗领域越来越智慧化,医疗数据也呈现井喷式增长的趋势,当前大部分机构采用的都是集中式的数据共享方式,通过集中数据源来实现医疗数据的共享[1]。但实践表明,传统集中式的数据共享方法并不能很好地适应当前复杂的医疗数据环境,由于没有统一的方式与标准,容易出现信息孤岛化的现象,使得共享的目的难以实现。在信息化程度加深的当下,公民个人也更注重个人电子信息的保护,而传统的集中式存储方式容易导致数据丢失或者被篡改,并不能保证医疗数据的安全可靠。一方面,数据所有者希望能够控制他们的数据以及隐私;另一方面,数据消费者要求有方法来了解何时、如何以及谁产生了数据[2]。因此,需要引入基于区块链技术和代理再加密的去中心化的数据治理框架。与传统的数据储存、传递方式相比,区块链技术的去中心化以及不易被篡改的特征更符合医疗领域对于数据存储与传递的要求。但区块链技术在运用的过程中,现有的法律制度并不能很好地规制区块链技术。本研究借助学校各类电子资源,包括中国知网以及ISI、Web of Science(SCI)等数据库,以“医疗区块链”“法律规制”“数据保护官”“监管沙盒”等为关键词进行搜索,了解区块链的结构以及在医疗领域的实际运用,了解现阶段法律规定的滞后之处,从国内外现有的解决方式中结合医疗领域的实际情况给出可行的法律规制途径。并通过对现有法律规范进行梳理,找出医疗区块链技术在运用过程中存在的法律规制缺陷,结合我国现有的立法模式以及英国在数据保护层面的法律经验,提出了针对医疗区块链技术的法律规制途径。

1 区块链技术在医疗领域的运用

1.1 区块链结构

区块链技术运用了密码学中的哈希算法,即将任意长度的字符串转换成固定长度的输出,此输出值被称为哈希值。在区块链中通常不保存原始数据,而是保存该数据的哈希值。除了哈希算法,区块链技术还利用了非对称加密技术,该技术需要密钥的公钥和私钥成对出现。公钥公开、私钥保密,区块链上公钥加密的信息只有对应的私钥才能解密[3]。这种技术允许存储在区块链节点中的记录和数据是不可破坏的,并允许来源跟踪它,保持源信息的隐藏[4]。区块长链中的每一个区块都由区块头和区块交易记录组成,每个区块的区块头都是对上一区块的区块头的区块交易记录计算哈希值而得到的。通过每个区块存储上一区块的哈希值,将所有区块按顺序连接起来即可得到区块链,具体如图1所示。因为区块链长链式的结构让其具有不可篡改的特性,对区块链中任意一个区块信息的修改,不仅需要修改该区块中的交易记录,还需要修改下一个区块中区块头的哈希值。而上一区块中区块头哈希值的改变必然导致下一区块中哈希值的变化,故对任一区块交易记录的篡改,需要修改从该区块到最后一个区块所有的信息,这个工程的工作量巨大,且很难不被发现。

图1 区块链结构

区块链还具有“去中心化”的特征,其本质是建立分布式群体共管结构以及防止大规模数据拥塞的流通渠道,确保用户可以平等并且便捷地加入区块链链条之中[5]。要完成这一点运用到了区块链的“分布式账本”“非对称加密”“共识机制”“智能合约”技术:分布式账本是一种在网络成员之间共享、复制和同步的数据库;共识机制是指网络中的所有节点间如何达成共识的认证原则;智能合约是一种执行合同的计算机协议,允许在没有第三方的情况下进行可追踪的可信交易[6]。

1.2 区块链技术在医疗领域的运用

在医疗领域应用区块链技术是医疗领域发展的一个趋势,区块链技术也将重塑医疗行业信息化的未来。区块链技术不仅可以实现电子医疗病历的共享,而且在药品溯源、医联体等多个医疗领域都可以运用该技术。区块链技术在医疗行业的具体运用如图2所示。

图2 医疗区块链技术

1.2.1 电子病历存储与共享

区块链技术在电子病历中的应用是医疗区块链技术运用的重点。2019年9月四川省委建委发布《关于推进智慧医疗融合发展的指导意见》[7],该《意见》指出要建立基于区块链的电子病历系统以提升电子病历共享的安全性以及及时性。通过区块链技术,医院可以将患者的医疗信息保存在区块链上,再利用非对称加密技术,医生或者其他机构可以通过公钥访问区块链查看患者的医疗行为,而患者个人可以通过私钥查看自己的医疗信息[8]。2019年,上海仁济医院通过区块链技术初步实现异地电子病历的共享,同年上海市人民医院与安徽省立医院共建区块链电子病历[9]。2021年,浙江大学医学院附属邵逸夫医院正式上线了区块链医疗应用[10]。可以说,基于区块链的电子病历研究和实践应用创新非常活跃。

1.2.2 药品溯源与防伪

传统药品在生产以及流通过程中,通常会存在数据被篡改的情况,这是因为传统数据是集中存储于中心数据库,数据在上传以及共享的过程中均有被篡改的风险[11]。利用区块链技术的可追溯性以及不可篡改性,构建药品溯源系统,将药品的来源出处、流转历史记录、归属地都会被忠实地记录在链,全程追踪药品信息,一旦出现违法操作都将有源可溯[12]。

1.2.3 医保支付结算与监督

医疗保险种类繁多、报销环节复杂致使医保费用清算时间过长,可借助区块链智能合约技术完成医保费用自动清算[13]。再将整个医保支付结算过程关键信息上链,包括参保人身份信息、交易信息、结算信息以及清算信息等,医保管理部门对整个过程进行监管,确保数据信息的可追溯性以及安全性,并且支持后期安全审计工作和司法存证[14]。

区块链技术在医疗领域得到了迅速发展,但也存在一些问题。例如,与此相关的市场监督以及政策监督都还比较落后,缺乏顶层设计;密钥的管理存在安全隐患,如果密钥丢失,用户也将无法访问区块链。

2 医疗区块链技术运用的法律挑战

医疗区块链技术以其去中心化、不可篡改性、匿名性为医疗领域的信息互通、数据传递等提供了新的可能,但基于法律规定的滞后性,区块链技术适用现行法律法规时往往存在冲突。

2.1 医疗区块链技术运用是否适用《个人信息保护法》存在争议

我国现行《个人信息保护法》于2021年11月开始施行,为我国个人信息保护提供了法律依据,但医疗区块链技术的运用是否适用个保法学界尚存在争议。《个人信息保护法》规定个人信息是可识别的信息,不包括匿名化后的信息。但医疗区块链中并不保存原始数据,而只是保存该数据的哈希值,每一哈希值都是不固定的字符串,故就该字符串是否属于法律所保护的可识别的个人信息的问题,学者之间的观点也存在巨大分歧,法律也并未对此进行规定。一方面,有学者认为该字符串无法进行逆向工程,不具有可追溯性,故而认为其具有匿名性不属于个人信息[15]。另一方面,有学者认为虽然该字符串并不能进行逆向工程,但数据信息与数据信息主体之间仍然存在固有联系,可以通过“容易比照”或“暴力攻击”来识别和追溯原始信息主体,所以认为该字符串属于个人信息[16]。

2.2 医疗区块链技术带来的监管问题

2.2.1 监管主体不具有针对性

《个人信息保护法》第五十八条规定提供重要互联网平台服务、用户数量巨大、业务类型复杂的超大型互联网平台应当按照法律规定建立由外部成员组成的监管机构监督个人信息保护情况。但是根据《个人信息保护法》以及互联网平台分类分级指南,运用医疗区块链技术的病患、医疗机构以及卫生监管部门等都不符合超大型互联网平台的构成条件,因此其监管机构只能是普通的个人信息处理监管机构即国家网信部门,而不能是专门的监管主体。但是医疗数据运用到不同的应用场景,对数据质量、安全的要求也不尽相同,国家网信部门不具备医疗的专业知识,无法就不同应用场景的医疗数据作出具有针对性的监管。

2.2.2 缺乏监管依据和义务主体

国家网信部门在监管医疗区块链技术的适用时不能超出《个人信息保护法》一般性规范,但医疗区块链技术在适用《个人信息保护法》时存在内源性冲突。

我国现行的《个人信息保护法》的本质依旧是中心化的数据管理模式,采用的是让特定的义务实体承担法律责任的方式来进行法律规制。但医疗区块链本质是群体性共管结构,目的是让各医疗机构等通过医疗区块链来实现信息互通。链上主体繁杂,且对于区块链技术中义务主体的认定,截至目前仍未找到行之有效的解决方法,想要通过让特定义务主体承担法律责任的监管方式难以得到有效落实。且就算找到特定的义务主体,但因为通过网络即可加入区块链,随之而来管辖问题,也很容易造成司法资源的浪费。

2.2.3 医疗区块链技术对权利救济的挑战

《个人信息保护法》第六条以及第八条规定了收集、处理个人信息应当采用对个人影响最小的方式以及保证个人信息的质量的原则。第十三条以及第十五条规定个人有权同意个人信息处理者处理其个人信息,也有权撤回其同意。以上条款规定了个人有权对自己的个人信息作出修改、删除等权利。但是医疗区块链技术的运用是为了实现电子病历的共享以及药品溯源等,这就要求区块链上的数据以全面具体为标准,且需要具有不可篡改的特征以保证数据的全面性以及准确性。医疗区块链技术让信息所有者已有的被遗忘权以及修改权等权利救济途径无法得到落实,需要尽快确立全新的管理理念和立法要求。

2.2.4 对医疗区块链技术的认知不足

区块链技术的去中心化是对传统医疗数据共享方式的一种颠覆,在传统集中式信息共享过程中,通常医疗机构和保险机构等对于患者的数据信息处于垄断地位。这种传递方式通常伴随着信息不对等,但区块链技术的分布式存储结构给予了患者个人对于自己的数据信息的决定权,让患者个人也参与到信息传递的过程中。但是,基于区块链技术的数据传递与共享涉及密码学、医学、信息科学等多个学科,这对使用者提出了高要求,也导致了医疗机构等对医疗区块链技术的运用存在诸多顾虑。

3 区块链技术运用于医疗领域的法律规制途径展望

数据作为新型生产要素,是驱动数字经济发展的基础。但不可否认的是,随着科技发展数据传递越来越便捷的同时,数据安全问题也随之而来。在医疗区块链技术运用带来便捷的同时,也应该意识到具体的成文法规并不能一一规制随着技术发展而不断创新的新兴技术,对于医疗区块链的法律规制应当依靠原则而非规则。

2022年12月2日国务院印发《关于构建数据基础制度更好发挥数据要素作用的意见》要求充分发挥政府的引导作用,明确监管红线,但同时也要建立健全鼓励创新、包容创新的容错纠错机制[17]。法律规范如何平衡数据安全与技术创新之间的张力,避免因监管不力致使安全风险累积,或过度监管制约创新,是当前数据安全治理的重要课题[18]。从比较法视域观察,起源于金融科技治理领域的监管沙盒制度以及“多原则、少规则”的治理思路是有效平衡数据创新与安全的治理工具。例如,针对医疗区块链技术对权利救济带来的挑战,可以在沙盒监管模式下尝试不同的规则,在比较中完善法律,也给技术发展留下空间。同时,也可借鉴欧盟《一般数据条例》(以下简称“GDPR”)中关于数据保护官的有关规定设立数据安全负责人制度[19]。当然更主要的还是需要重塑基于医疗区块链的价值认知。

3.1 通过软性规制实现技法共治

区块链技术作为一个分布式的共享数据库为医疗信息共享提供了技术基础,但权力的过度分散有时反而会造成分裂或者混乱,应当将法律与区块链加以结合,实现技术与法律的效果均衡[20]。但现阶段直接规制区块链技术的法律法规只有国家网信办发布的《区块链信息服务管理规定》[21],但该规定只作出了笼统的规定,并未对区块链技术的治理作出细致性的规定。除此以外,还可以通过《个人信息保护法》对区块链技术进行规制,但上文提到区块链中的字符串是否属于个保法所规制的个人信息尚存在争议。另外,区块链的去中心化以及不可篡改性等特点让利用区块链技术传递的数据可以摆脱地域甚至于国家的限制,并且基于区块链的去中心化情况下将无法找到特定的义务主体。区块链的这些特点与法律的强制性规定是矛盾的,用传统硬性规范的管理模式来管理区块链已然不合适,而是需要通过协商达成共识的机制,实现代码治理与法理治理的高度统一、形式法治与实质法治的统一,从而构建智能社会的法律秩序[22]。关于区块链治理模式,美国针对金融科技监管提出了“多原则、少规则”的治理思路。美国商品期货交易委员会提出针对数字资产的监管应当以原则性规范为主,由企业自行设定满足原则的内部规范,以行业自律的形式完成自我管理[23],这种监管方法可为大数据时代下产生的新型纠纷提供更加灵活的解决方式。

医疗区块链技术可以借鉴以上治理模式,可以由法学学者、医疗从业人员、保险机构人员、政府部门人员等共同参与起草法律法规,但主要应以原则性规范为主,再由医疗机构以及保险机构等具体制定既满足原则又满足需求的内部规范以及行业标准,通过行业自律和行业监管的方式进行自我管理。例如,可在法律法规中规定医疗信息上传者的使用以及权限需要得到授权,而具体的授权方式以及权限可以由机构自行决定。并且法律法规可以对上传的原始数据信息确立格式以及内容上的要求,行业规范可以继续进行更细一步的规定。而在出现监管问题时,政府部门应当及时联合法学学者、医疗、保险机构人员等多方主体就具体问题的解决进行协商达成共识。这样的管理模式,既可以应对医疗区块链技术在实际应用中可能产生的多种可能,也促进了医疗区块链技术的不断发展。

3.2 设立数据安全负责人制度

现阶段采用的是找到特定义务主体来承担法律责任的法律规制模式,但目前尚未有方法确定区块链的义务主体。对此可参照欧盟GDPR那样规定数据保护官制度,将监管机构对于特定义务主体的监管责任内化为医疗机构等内部数据安全负责人的数据安全保障义务。这样便可以基于更加灵活的行业规范或者守则来进行自律管理。

欧盟GDPR规定数据保护官是对数据控制者或数据处理者内部的数据处理活动进行监督以及加强数据收集处理环节中的保护力度的人[24]。我国现行法律中并没有像欧盟GDPR一样直接规定数据保护官,但是也在相关法律法规中规定了类似个人数据管理职位。例如《中华人民共和国数据安全法》中规定:重要数据的处理者应当明确数据安全负责人和管理机构,落实数据安全保护责任。《中华人民共和国网络安全法》中规定:制定内部安全管理制度和操作规程,确定网络安全负责人,落实网络安全保护责任。除了法律法规外,也有相关的国家标准规定了类似的职位,例如国标《信息安全技术个人信息安全规范》规定:应任命个人信息保护负责人和个人信息保护工作机构[25]。尽管上述法律法规规定的个人数据管理职位的名称各不相同,但是都表明了应当让专业人士对数据处理的行为进行监督并确保数据信息安全的意图。但是上述两部法律也只是对此类岗位进行了笼统性的规定,只有国标《信息安全技术个人信息安全规范》就个人信息保护工作机构以及相关人员的职责作出了具体的规定。国标仅是国家以及行业标准,且非强制性国家标准,仅仅以国标作为依据不是长久之计。

法律法规应确定设立数据安全负责人制度,并在制定时确定相应的权利以及义务。第一,法律需要规定安全负责人的职责,可以只是比较笼统的职责,主要包括解答提供患者或者其他人员关于该技术的相关问题、确保医疗数据处理行为符合法律规定以及对医疗数据保护影响评估报告提出建议和意见并跟进和监管评估的实施等。第二,可以在法律法规中明确该岗位的任期,例如欧盟Regulation 45/2001中规定:数据保护官的任期是二至五年,可以连任,但最多不可超过十年;当其不再满足数据保护官的任职条件时,经过欧盟数据监管局的同意可以被解雇[26]。第三,因为医疗区块链技术涉及多个学科,这不仅要求安全负责人对区块链技术的工作原理以及医疗领域有一定了解,也需要了解相关的法律法规,以便于监督数据处理行为。法律法规中可以规定对安全负责人进行定期有关医疗知识、法律知识以及数据安全知识相关的培训,使与区块链技术相结合的医疗数据处理行为更加具有专业性。第四,法律法规也需要规定安全负责人未完成本职工作的惩罚措施,例如可以按照结果进行相应的罚款,如果行为涉及犯罪应及时报警。当然,法律法规也需要留下空间给予相关机构制定行业标准或者单位标准的自由。医疗以及保险机构等可以根据本单位的需求在法律法规的范围内对其进行细化,例如负责人的职责以及任期都可以根据需求进行细化,针对安全负责人有关知识的培训也应该给出更加详细的计划与安排。

3.3 创新监管理念,构建沙盒监管制度

2023年1月1日,国家发改委提出要着力建立数据要素治理制度,既要鼓励企业发挥首创精神,又要建立有效的“数据沙箱”机制防范化解重大风险[27]。区块链技术正是处于蓬勃发展的时期,对区块链技术的运用进行规制要避免传统法律规制下“一管就死,一乱就放”的零和陷阱,同时也要在法律框架下保留技术创新的空间,给法律法规的不断完善留下空间。沙盒监管是2015年英国金融监管局率先提出的创新监管理念[28]。该监管模式具体是指面向金融创新产品或服务建立一个受监督的安全测试区,由监管部门按照适度简化的准入标准和流程,允许金融科技企业在有限业务牌照下,利用真实或模拟的市场环境开展业务测试,以此降低监管的不确定性。在沙盒监管模式下,可以在充分考虑区块链特征的基础上,制定符合区块链特征的监管方式,并在该模式下进行尝试并不断完善监管方式。例如,针对《个人信息保护法》第47条中的“删除个人信息难以实现”这一点,德国规定可以用限制处理替代删除数据。除此以外法国的相关规定也提到控制者可以通过使数据难以接触而达到删除数据的效果。可以在沙盒监管模式下尝试不同的规则,在比较中完善法律,也给技术发展留下空间。

与传统监管模式不同的是,沙盒监管模式下利益相关方被允许进入监管框架,各主体间的协商互动更体现了包容审慎的原则,是对传统严格管控型法律规制的解构,也弱化了政府机关集权治理和以政府为中心的治理理念,本质上也是“去中心化”的过程[15]。

3.4 重塑基于医疗区块链技术的价值认知

在传统医疗信息传递方式下,医疗机构以及卫生监管部门等对于患者个人的医疗数据的掌控相较于患者个人而言处于领导地位,并且患者个人无法掌握电子化可放大的检查信息,患者在跨区治疗以及转院时很多情况都需要再次进行检查。但随着互联网时代的到来以及区块链技术的发展,平等以及共享成为当前数据传递的主要特征。

为了适应当前社会以及医疗行业的发展趋势,一方面,应当打破传统数据共享方式下相关部门对于医疗数据信息的垄断,加强对医疗、保险机构以及患者个人等的价值引领,强调数据信息的参与以及共享应当是平等的且面向未来的,将共享的观念贯彻落实到实处;另一方面,应当鼓励医疗、保险等机构的相关人员使用区块链技术,不仅仅要提升与自身行业有关的理论和技术实践水平,而且要提高在新的技术层出不穷的背景下对新技术和医疗结合的敏感度,最大程度上实现科技改变生活的目的。相关政府机构也应该提供让相关人员进行系统性培训使用区块链技术的机会,可以开设区块链技术培训的课程并确保各单位都接受到了专业且有针对性的培训。

4 结语

随着大数据技术在医疗领域的运用与发展,患者医疗数据的传递更加便捷是大数据技术的一个重要体现,但是也容易引发数据泄漏问题。区块链技术以其去中心化、不可篡改性等特点被运用于医疗领域,可以在极大程度上解决数据共享的难题,但是区块链技术作为新兴技术,与传统法律规范的适用存在矛盾,故需要创新监管理念、在现有的法律体系之上探索适用于区块链技术的法律规范,不仅需要给新技术留有创新与发展的空间,同时也在技术发展过程中不断完善法律规范、实现技法共治。