2021年10月26日国家卫生健康委医政医管局发布《互联网诊疗监管细则（征求意见稿）》（“《监管细则》”）征求公众意见。法学所结合网络安全、数据安全法律治理的相关理论和实务经验，提出以下初步分析建议：

　　1、整体上看，《监管细则》主要是对《互联网诊疗管理办法（试行）》定义的两类诊疗活动进行规范：医疗机构利用在本机构注册的医师，通过互联网等信息技术开展的（1）部分常见病、慢性病复诊；和（2）“互联网+”家庭医生签约服务。面向的并非预诊、其他病症诊疗，也不涉及远程医疗。实际上更需要在人身权和人格权之间设定平衡。

　　例如《互联网诊疗管理办法（试行）》第16条规定“不得对首诊患者开展互联网诊疗活动”，这里本质上是一个个人信息问题。涉及患者在注册后如何判定首诊，以及区分是否首诊后的个人信息处理，其实需要在《监管细则》的第18条进行更细化的个人信息收集、提供、共享等处理规定和程序设计，充实“终止互联网诊疗活动”的内容，而不仅是重复《互联网诊疗管理办法（试行）》的“引导患者到实体医疗机构就诊”。

　　2、具体条款而言，我们就下述条款提出初步建议：

　　（1）第19条：医疗机构开展互联网诊疗过程中所产生的电子病历信息，应当与依托的实体医疗机构电子病历系统共享，由依托的实体医疗机构开展线上线下一体化质控。

　　互联网诊疗病历记录按照门诊电子病历的有关规定进行管理，诊疗过程中的图文对话、音视频资料等应当全程留痕、可追溯，并向省级监管平台开放数据接口，保存时间不得少于15年。

　　就此条而言，需要明确对“图文对话、音视频资料”的保存不等同于“留痕”，前者是资料本身的存储，后者实际上指的是记录或者索引（如索引的则需指向资料本身）。由于具体活动的不同，后续向省级机构提供接口、存储地点，甚至采用的具体的三级以上网络安全等级保护的技术措施都有不同。因此建议应明确具体的存储和“留痕”对象，格式标准、压缩要求等内容，这些都应是细则层面需要解决的问题。

　　（2）第25条：省级卫生健康主管部门应当按照“最少可用原则”采集医疗机构的相关数据，重点采集医疗机构资质、医务人员资质、诊疗科目、诊疗病种、电子病历、电子处方、用药情况、满意度评价、患者投诉、患者安全不良事件等信息，对互联网诊疗整体情况进行分析，定期（每月至少1次）向各医疗机构及其登记机关反馈问题，并明确整改期限，医疗机构在收到省级卫生健康主管部门问题反馈后应当及时整改，并将整改情况上传至省级监管平台，同时报其登记机关。

　　鼓励有条件的省份在省级监管平台中设定互联网诊疗合理性判定规则，运用人工智能、大数据等新兴技术实施分析和监管。

　　这里其实有两个问题，一是“最少可用原则”其实并非应规定的“原则”。作为监管机构进行对互联网诊疗实施监管的前提，其必然会要求医疗机构提供支持或抗辩的充分性资料。这一监管原则不因省级机构通过接口“自取”或要求医疗机构“提供”而改变。当然，对这一权限进行限定和约束，以及基于此要求医疗机构做出的整改，应当适用“比例原则”等行政法的其他原则，也是必要。

　　在第一个问题基础上，我们也会发现，其实该条第2款恰恰与“最小可用”相冲突，进行大数据、AI分析的前提是数据获取的充分性，否则难以做出第2款设想的“合理性判定”结论。

　　（3）第34条：医疗机构发生患者个人信息、医疗数据泄露等网络安全事件时，应当及时向相关主管部门报告，并采取有效应对措施。

　　这一条的主要问题是应该按照《个人信息保护法》第57条进行细化，明确通知/报告对象包括“履行个人信息保护职责的部门和个人”。当然这就又回到了那个医疗机构敏感的老问题……

　　3、结论

　　《监管细则》作为《互联网诊疗管理办法（试行）》的细则文件，应根据新近国内外出台的多部基础、专门法律，特别是国内正在密集征求意见的《网络数据安全管理条例（征求意见稿）》等进行前瞻性的考量。毕竟在互联网医院打通线上线下一体化质控和向云端发展的并行趋势下，医院信息系统数据作为CDE《用于产生真实世界证据的真实世界数据指导原则（试行）》中应用较广的一类数据来源，其兼具非特定性和具有特定功能的双重数据特点，应当作为互联网医院发展和监管的一个精准切入，也为远程医疗的实质性推动提供早期准备。