【GB国家标准】 信息安全技术健康医疗数据安全指南

GB/T 39725—2020 信息安全技术 健康医疗数据安全指南 ICS 35.040 2020-12-14 发布 2021-07-01 实施 国家市场监督管理总局 国家标准化管理委员会 目次 1 范围 2 规范性引用文件 3 术语和定义 4 缩略语 5 安全目标 6 分类体系 6.1 数据类别范围 6.2 数据分级划分 6.3 相关角色分类 6.4 流通使用场景 6.5 数据开放形式 6.6 使用披露原则 7 安全措施要点 8.1 分级安全措施要点 8.2 场景安全措施要点 8.3 开放安全措施要点 9 安全管理指南 9.1 组织 9.2 过程 9.3 应急处置 10 安全技术指南 10.1 通用安全技术 10.2 去标识化 11 典型场景数据安全 11.1 医生调阅数据安全 11.2 患者查询数据安全 11.3 临床研究数据安全 11.4 二次利用数据安全 11.5 健康传感数据安全 11.6 移动应用数据安全 11.7 商业保险对接安全 11.8 医疗器械数据安全 附录A（资料性附录） 附录B（资料性附录） 附录C（资料性附录） 附录D（资料性附录） 附录E（资料性附录） 附录F（资料性附录） 附录G（资料性附录） 参考文献 前言 本标准按照 GB/T 1.1-2009 给出的规则起草。本标准由全国信息安全标准化技术委员会（SAC/TC260）提出并归口。 本标准起草单位：清华大学、北京清华长庚医院、中国网络安全审查技术与认证中心、中电数据服务有限公司、中国电子技术标准化研究院、上海市儿童医院、深圳市腾讯计算机系统有限公司、山东国数爱健康大数据有限公司、东软集团股份有限公司、零氨科技（北京）有限公司、阿里巴巴（北京）软件服务有限公司、泰康保险集团股份有限公司、中国平安保险（集团）股份有限公司、北京邮电大学、四川大学、中国信息安全测评中心、北京天融信网络安全技术有限公司、上海市方达律师事务所、中国软件评测中心、中南大学、启明星辰信息技术集团股份有限公司、中国中医科学院、湖南科创信息技术股份有限公司、奇安信科技集团股份有限公司、陕西省信息化工程研究院、北京数字认证股份有限公司、中电长城网际系统应用有限公司、颐信科技有限公司、浙江蚂蚁小微金融服务集团股份有限公司、北京协和医院。 本标准主要起草人：金涛、刘海一、王建民、董家鸿、左晓栋、张剑、刘贤刚、届劲、于广军、赵冉冉、袁耀文、傅兴良、杨浩、来子祺、苏凌云、叶晓俊、陶蓉、于惊涛、马诗诗、王枞、殷晋、付嵘、王奠、张毅、姚建伟、陈先来、谢安明、文天才、肖国荣、周亚超、郭颖、张勇、宋玲娓、闵京华、洪延青、程瑜琦、王昕、孟晓阳、罗妍。 引言 健康医疗数据包括个人健康医疗数据以及由个人健康医疗数据加工处理之后得到的健康医疗相关数据。随着健康医疗数据应用、“互联网+医疗健康”和智慧医疗的蓬勃发展，各种新业务、新应用不断出现，健康医疗数据在全生命周期各阶段均面临着越来越多的安全挑战，安全问题频发。由于健康医疗数据安全事关患者生命安全、个人信息安全、社会公共利益和国家安全，为了更好地保护健康医疗数据安全，规范和推动健康医疗数据的融合共享、开放应用，促进健康医疗事业发展，特制定健康医疗数据安全指南。 1 范围 本标准给出了健康医疗数据控制者在保护健康医疗数据时可采取的安全措施。 本标准适用于指导健康医疗数据控制者对健康医疗数据进行安全保护，也可供健康医疗、网络安全相关主管部门以及第三方评估机构等组织开展健康医疗数据的安全监督管理与评估等工作时参考。 2 规范性引用文件 下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文件。凡是不标注日期的引用文件，不适用于本文件。