2025年医疗健康数据隐私保护协议

2025年医疗健康数据隐私保护协议鉴于甲方（以下简称“数据控制者”）因提供医疗服务、进行临床研究、疾病预防控制等合法业务需要，处理涉及个人信息主体的医疗健康数据（以下简称“数据”），并委托乙方（以下简称“数据处理者”）进行相关数据处理活动；鉴于甲乙双方均希望依据中华人民共和国相关法律、法规及政策（包括但不限于《中华人民共和国个人信息保护法》、《中华人民共和国数据安全法》、《中华人民共和国网络安全法》及行业相关规定），本着合法、正当、必要、诚信、尊重数据主体权利的原则，明确双方在数据处理活动中的权利与义务；根据《中华人民共和国民法典》及相关法律法规的规定，甲乙双方经友好协商，达成以下协议，以资共同遵守：第一条定义与适用范围1.1本协议中，下列词语具有以下含义：（1）“医疗健康数据”是指以电子或者其他方式记录的与自然人的健康生理情况相关的各种信息，包括但不限于个人身份信息、诊断记录、治疗方案、医疗费用信息、遗传信息、健康监测数据、影像数据、生理参数、心理行为信息、用于健康目的的设备生成的数据等。（2）“处理”是指对医疗健康数据进行收集、存储、使用、查阅、复制、分析、修改、删除、传输、分享、告知、销毁等操作。（3）“数据主体”是指医疗健康数据的提供者或权利人，通常是患者或其授权代表。（4）“数据控制者”是指确定医疗健康数据处理目的和方式的主体。（5）“数据处理者”是指接受数据控制者的委托，处理医疗健康数据的主体，或在数据处理中自主决定处理目的或方式的主体。（6）“匿名化”是指通过对医疗健康数据进行加工，使得数据主体无法被识别，且处理后的信息不能被复原的过程。（7）“同意”是指数据主体在充分知情的前提下，以书面、口头、电子形式等明确表达其意愿，同意处理者处理其医疗健康数据。（8）“跨境传输”是指将医疗健康数据传输至中华人民共和国境外。1.2本协议适用于甲方作为数据控制者，授权乙方作为数据处理者（或根据约定角色作为共同控制者之一）处理其控制的医疗健康数据的活动，包括但不限于数据处理的目的、方式、安全保障、数据主体权利响应、跨境传输等。第二条数据处理原则2.1数据处理活动应遵循合法、正当、必要、诚信原则。2.2数据处理应当具有明确、合理的目的，并应当与处理目的直接相关，采取对数据主体权益影响最小的方式。2.3处理医疗健康数据，应当遵循最小必要原则，仅处理实现处理目的所必需的、与处理目的直接相关的最少量的数据。2.4处理医疗健康数据应当公开透明，甲方应以显著方式、清晰易懂的语言向数据主体告知本协议约定的数据处理规则，包括处理目的、方式、信息类别、存储期限、安全保障措施、接收方、数据主体权利等。2.5处理医疗健康数据应当确保数据质量，保证数据的准确性、完整性和相对及时性。2.6处理医疗健康数据应当采取必要的技术和管理措施，保障数据安全，防止数据泄露、篡改、丢失。2.7处理医疗健康数据应当确保数据主体的合法权益，保障数据主体的知情权、访问权、更正权、删除权、限制或拒绝处理权、可携带权、反对权、撤回同意权、投诉权等。第三条数据主体权利保障3.1甲方应建立健全机制，保障数据主体依法享有的各项权利。甲方应在收到数据主体的权利请求后，在法律规定的期限内响应，并告知处理结果。3.2甲方应告知数据主体，其有权访问其个人医疗健康数据，了解其被处理的情况。数据主体可向甲方提出访问请求，甲方应在收到请求后的合理期限内（不超过三十日，如需延长应告知理由并延长期限）以可理解的方式提供数据副本。3.3甲方应告知数据主体，若其发现其个人医疗健康数据不准确或不完整，有权要求甲方及时更正。甲方应在收到更正请求后及时采取必要措施。3.4甲方应告知数据主体，在符合法律规定及协议约定的情形下（如处理依据的同意被撤回、处理目的已实现、不再需要处理、处理行为违反法律法规等），有权要求甲方删除其个人医疗健康数据。甲方应在收到删除请求后，根据法律法规及协议约定评估处理，并在合理期限内（不超过六十日，如需延长应告知理由并延长期限）删除或封存相关数据，但法律、行政法规规定应保存的，从其规定。3.5甲方应告知数据主体，在符合法律规定及协议约定的情形下（如处理基于同意且同意撤回、处理基于法定利益或公共利益且对数据主体权益造成重大不利、数据错误且要求更正等），有权要求甲方限制或拒绝处理其个人医疗健康数据。甲方应在收到请求后及时评估并采取相应措施。3.6甲方应告知数据主体，若其个人医疗健康数据由甲方处理，且处理目的涉及多个，数据主体有权要求甲方将其个人数据从非主要处理目的中转移至主要处理目的。甲方应在收到请求后，在合理期限内（不超过三十日）并以可理解的方式转移。3.7甲方应告知数据主体，若数据处理基于同意，数据主体有权撤回其同意。数据主体撤回同意不影响撤回前基于同意已进行的处理的法律效力，但甲方应停止基于该同意的处理。3.8甲方应告知数据主体，其有权就其数据保护问题向有关监管机构或甲方投诉。3.9甲方应建立便捷的渠道，供数据主体行使上述权利。第四条数据控制者与数据处理者的角色与义务4.1甲方作为数据控制者，主要义务包括但不限于：（1）确保所有数据处理活动具有合法、正当、必要的法律依据。（2）明确并合法确定数据处理目的。（3）仅处理为实现处理目的所必需的最少量数据。（4）确保医疗健康数据的质量。（5）制定并实施严格的技术和管理措施，保障医疗健康数据的安全。（6）记录数据处理活动。（7）建立流程响应数据主体的权利请求。（8）对高风险处理活动进行数据保护影响评估。（9）管理数据跨境传输活动，确保符合法律法规要求。（10）发生数据泄露时，按法定要求及时通知监管机构和受影响的数据主体。（11）定期审阅和更新本协议及相关隐私保护政策。（12）对乙方进行数据保护尽职调查，并监督其合规处理数据。4.2乙方作为数据处理者，主要义务包括但不限于：（1）仅为甲方授权的目的和方式处理数据。（2）履行保密义务，对所处理的医疗健康数据严格保密。（3）协助甲方履行法律规定的义务，包括但不限于记录保存、响应权利请求、进行DPIA、处理数据泄露等。（4）采取与甲方要求相匹配的技术和管理措施保障数据安全。（5）不将处理活动转包给未经甲方事先同意的第三方。（6）确保跨境处理活动符合相关法律法规要求。（7）配合甲方进行数据保护审计和监管检查。（8）如自身为数据控制者，应履行本协议规定的所有数据控制者义务。第五条数据处理的目的与方式5.1甲方授权乙方处理医疗健康数据的目的包括但不限于：为甲方提供或优化医疗服务、进行临床研究、开展疾病筛查与预防、管理健康档案、进行流行病学分析、开发新的诊断或治疗方法、满足政府监管要求、保险理赔（如经授权）、向经授权的第三方提供健康咨询服务、维护和运营甲方提供的健康相关应用程序或平台等。5.2甲方授权乙方采用的数据处理方式包括但不限于：收集、存储、使用、查询、复制、分析、统计、汇总、匿名化、传输、共享（仅限于为实现上述目的且符合法律法规及协议约定的第三方）、告知、销毁等。第六条数据安全保障措施6.1双方同意，应各自承担起保障医疗健康数据安全的责任，并采取必要的、相匹配的技术和管理措施，确保数据安全。6.2甲方的安全保障措施应包括但不限于：（1）建立数据安全管理制度和操作规程。（2）对存储和处理医疗健康数据的系统进行访问控制，确保只有授权人员才能访问。（3）对医疗健康数据进行加密存储和传输。（4）部署防火墙、入侵检测/防御系统等技术手段，防止未经授权的访问、篡改和泄露。（5）定期进行安全漏洞扫描和渗透测试，并及时修复发现的问题。（6）对数据处理人员进行数据安全意识和技能培训。（7）制定数据安全事件应急预案，并定期演练。（8）对重要数据进行备份和恢复机制建设。（9）对涉及数据的场所、设备进行物理安全保护。6.3乙方的安全保障措施应包括但不限于：（1）遵守甲方制定的数据安全管理制度和操作规程，或根据自身情况制定并实施符合要求的安全措施。（2）建立严格的数据访问权限控制机制。（3）对其处理的数据采取加密等技术保护措施。（4）确保其系统和服务符合相应的安全标准。（5）对接触数据的员工进行背景调查和保密培训。（6）建立内部数据安全事件报告和处理流程。（7）根据甲方要求提供安全评估报告或证明。第七条数据共享与转让的限制7.1未经数据主体事先明确同意，或未经甲方事先书面同意，或法律、行政法规另有规定的除外，任何一方不得将对方的医疗健康数据与任何第三方共享、转让或提供给该第三方使用。7.2数据共享或转让仅限于为实现本协议约定的处理目的所必需，且仅限于与甲方或乙方有合法合作关系的、具备相应数据处理能力且承诺履行同等数据保护义务的第三方，如合作医疗机构、医疗机构信息系统供应商、经甲方授权的保险公司、用于特定研究的学术机构等。7.3任何一方将医疗健康数据共享或转让给第三方时，应确保该第三方同意遵守不低于本协议约定的数据保护标准和保密义务，并采取必要措施控制该第三方的数据处理活动，防止数据泄露或滥用。7.4任何一方不得将医疗健康数据用于本协议约定之外的任何目的，不得将数据用于商业广告、营销推广等未经授权的活动，除非获得数据主体明确同意或法律另有规定。第八条数据跨境传输的特殊规定8.1任何一方在将医疗健康数据传输至中华人民共和国境外时，应确保：（1）接收数据所在的国家或地区提供与中华人民共和国法律、行政法规规定的数据保护水平相当的保护水平；或（2）接收数据所在的国家或地区已获得中国主管机关的批准；或（3）采取中国主管机关批准的保障措施，如签订具有法律约束力的标准合同（SCCs）、通过认证机制（如安全认证、认证代码等）、采用具有约束力的公司规则（BCRs）等。8.2任何一方在进行数据跨境传输前，应进行必要的合规性评估，并确保传输活动符合《数据安全法》、《个人信息保护法》等相关法律法规的要求。8.3对于需要向境外传输医疗健康数据的情形，应将相关情况告知数据主体，并征得数据主体的单独同意（如适用）。8.4任何一方应负责监督数据在境外的处理活动，确保乙方或境外接收方遵守本协议的约定及接收所在地的法律法规。第九条数据保留期限9.1任何一方对医疗健康数据的保留期限应遵循合法、必要和最小化的原则，并根据法律法规的要求、合同约定以及业务需要确定。9.2对于因提供医疗服务而产生的医疗记录，应至少保留法律、行政法规规定的最低期限。例如，病案档案的保存期限根据《医疗机构病历管理规定》等规定执行。9.3对于用于临床研究、数据分析等目的的数据，应保留至研究目的达成、数据不再具有使用价值或法律规定的更长期限。9.4对于因履行合同、应对诉讼或仲裁、满足审计要求等需要，应保留至相关义务履行完毕或法律规定的更长期限。9.5在数据达到约定的保留期限后，任何一方应根据法律法规要求或双方约定，对数据进行安全删除或进行不可逆的匿名化处理。第十条违约责任与救济措施10.1任何一方违反本协议约定，给对方造成损失的，应承担赔偿责任。10.2若甲方违反本协议约定，未能有效保障数据安全，导致医疗健康数据泄露、篡改、丢失，或未能保障数据主体权利，应承担相应的违约责任，并可能面临监管机构的行政处罚；若因此给数据主体造成损害，甲方应承担赔偿责任。10.3若乙方违反本协议约定，处理数据不符合要求，或泄露、滥用医疗健康数据，应承担相应的违约责任，并可能面临监管机构的行政处罚；若因此给甲方或数据主体造成损害，乙方应承担赔偿责任。10.4若违约行为构成犯罪的，相关责任人应承担刑事责任。10.5任何一方违约时，守约方有权要求违约方停止违约行为、采取补救措施、赔偿损失，并有权根据协议约定或法律规定解除本协议。第十一条争议解决11.1因本协议引起的或与本协议有关的任何争议，双方应首先通过友好协商解决。11.2协商不成的，任何一方均有权将争议提交至[选择一个具体的仲裁委员会，例如：中国国际经济贸易仲裁委员会（CIETAC）]，按照申请仲裁时该会现行有效的仲裁规则进行仲裁。仲裁地点为[填写具体城市]。仲裁裁决是终局的，对双方均有约束力。（或者选择诉讼：协商不成的，任何一方均有权将争议提交至[选择具体的法院，例如：甲方所在地有管辖权的人民法院]通过诉讼解决。）第十二条协议的生效、变更与终止12.1本协议自双方授权代表签字并加盖公章（或合同专用章）之日起生效。12.2本协议的任何变更或补充，均须经双方协商一致，并以书面形式作出，作为本协议不可分割的一部分。12.3除本协议另有约定外，本协议在以下任一情形下终止：（1）双方约定的协议期限届满，且不再续签；（2）双方协商一致同意终止本协议；（3）因不可抗力导致本协议目的无法实现；（4）一方