批發(fā)銷售的醫(yī)療器械的網絡安全與健康數據保護

網上商城，手機APP等技術的發(fā)展，網上購買已經成為流行趨勢。血壓計、血糖儀，呼吸機、霧化器，治療儀等醫(yī)療器械都可以在網上商城（樂康商城）購買，眾所周知，網絡信息的安全性收到質疑。那么，針對網上銷售和批發(fā)的醫(yī)療器械的安全性和健康數據的保護措施有哪些呢？

互聯(lián)網可以改善醫(yī)療服務，但是相應地也會有網絡安全風險。和其他的計算機系統(tǒng)一樣，醫(yī)療器械網絡批發(fā)銷售行業(yè)也容易受到安全漏洞的影響。

為加強醫(yī)療衛(wèi)生機構互聯(lián)網醫(yī)療服務的平臺、智能醫(yī)療的設備以及關鍵信息基礎設施和數據應用的安全防護，國家市場監(jiān)管總局（原國家食品藥品監(jiān)管總局）在2018年1月1日起開始施行《醫(yī)療器械網絡安全注冊技術審查指導原則》（下簡稱《指導原則》）。其中明確指出，批發(fā)和銷售的醫(yī)療器械安全出現問題不僅會侵犯患者的隱私，而且可能會產生醫(yī)療器械非預期運行的風險，導致患者或使用者受到傷害或死亡。

根據2017年的數據顯示，美國2010-2015年醫(yī)療信息泄露事件次數每年發(fā)生200多起。而今，形勢甚至變得更為嚴峻，2018年就發(fā)生503起醫(yī)療保健數據泄露事件。

在國內，情況也不容樂觀，2017年一篇名為《7億條個人信息遭泄露 浙江判決特大侵犯公民信息案》的報道，曝出黑客侵入了某部委的醫(yī)療服務信息系統(tǒng)，大量孕檢信息遭到泄露和買賣；雀巢員工從多家醫(yī)院醫(yī)務人員手中非法獲取公民個人信息被處以刑事處罰。

依據2011年衛(wèi)生部發(fā)布的《衛(wèi)生行業(yè)信息安全等級保護工作的指導意見》，其中明確了網絡安全負責的責任主體是“誰主管、誰負責，誰運營、誰負責”。

醫(yī)療器械生產批發(fā)銷售企業(yè)也負有保證醫(yī)療器械網絡安全的責任。在《指導原則》明確寫道：“醫(yī)療器械產品在使用過程中常與非注冊申請人預期的設備或系統(tǒng)相連接，這就使得注冊申請人自身難以控制和保證醫(yī)療器械產品的網絡安全。因此，醫(yī)療器械的網絡安全需要注冊申請人、用戶和信息技術服務商的共同努力和通力合作才能得以保障。但是這并不意味著注冊申請人可以免除醫(yī)療器械網絡安全的相關責任，注冊申請人應當保證醫(yī)療器械產品自身的網絡安全，并明確與其預期相連設備或系統(tǒng)的接口要求，從而保證醫(yī)療器械產品的安全性和有效性”。

《指導原則》還指出注冊人應當結合醫(yī)療器械相關數據的類型、功能、用途、交換方式及要求來考慮醫(yī)療器械產品的網絡安全問題。對于健康數據，注冊人應當遵循患者隱私保護相關法律法規(guī)的規(guī)定。

注冊人應當結合自身質量管理體系的要求和醫(yī)療器械產品特點來保證其網絡安全，包括上市前和上市后的要求。注冊人還可采用信息安全領域良好工程實踐來完善醫(yī)療器械產品的網絡安全管理　

注冊人應當結合醫(yī)療器械產品的預期用途、使用環(huán)境、核心功能以及相連設備的情況來確定其網絡安全特性，并采用基于風險管理的方法保證其網絡安全。

注冊人應當結合醫(yī)療器械相關數據的類型、功能、用途、交換方式及要求來考慮醫(yī)療器械產品的網絡安全問題。對于健康數據，注冊人應當遵循患者隱私保護相關法律法規(guī)的規(guī)定。對于設備數據，注冊人應當保證其與健康數據的有效隔離?！?/span>

注冊人應當根據醫(yī)療器械的產品特性考慮其網絡安全能力的要求，可參照IEC/TR 80001-2-2完善其網絡安全能力建設，保證醫(yī)療器械產品對于網絡安全威脅具備必要的識別、保護能力和適當的探測、響應、恢復能力。

注冊人應當重視現成軟件的網絡安全問題，結合質量管理體系的要求和現成軟件的類型，采用基于風險管理的方法保證現成軟件的網絡安全。　　

注冊人應當區(qū)分醫(yī)療器械網絡安全更新的類型，根據網絡安全更新對于醫(yī)療器械產品的影響程度，結合質量管理體系的要求開展相應質量保證工作，并按《指導原則》要求提交相應注冊申報資料。軟件版本命名規(guī)則應考慮網絡安全更新的情況?！　?/span>

注冊人應當遵循網絡安全相關國家法律法規(guī)和有關部門規(guī)章的規(guī)定，如《網絡安全法》、《人口健康信息管理辦法（試行）》《國家衛(wèi)生計生委關于推進醫(yī)療機構遠程醫(yī)療服務的意見》等。

注冊人可參考與網絡安全相關的國際標準及技術報告的要求來保證醫(yī)療器械產品的網絡安全，完善質量管理體系關于網絡安全體系的要求，如IEC80001系列標準及技術報告、IEC 60601-1第三版、IEC 82304-1、IEC 27000系列標準及技術報告、ISO/DIS 27799等。

醫(yī)療器械生產批發(fā)銷售行業(yè)網絡信息安全現狀，健康數據屬于個人信息的一個分支，具備個人信息的一般屬性。隨著科技的發(fā)展，越來越多的醫(yī)療器械具備上網功能，通過網絡提供相關服務，因而，此種情形下，生產批發(fā)銷售醫(yī)療器械的企業(yè)則需要履行《中華人民共和國網絡安全法》及配套規(guī)定、標準之下的諸多義務。