10、个人健康信息治理与安全保障

个人健康信息治理与安全保障

1. 法律合规与信息共享原则

1.1 法律合规

在处理个人机密数据时，每一次使用都必须合法。每个处理个人机密数据的组织都应指定专人确保组织符合法律要求。在英国国家医疗服务体系（NHS）中，这类人员被称为“考尔迪克特监护人”（Caldicott guardians）。

1.2 信息共享原则

健康和社会护理专业人员应在既定原则框架内，为患者的最佳利益而自信地共享信息。这一职责与保护患者机密性的职责同样重要。他们应得到雇主、监管机构和专业团体政策的支持。

这些原则建立在过去大量工作的基础上，可追溯到30多年前发布的经合组织（OECD）隐私指南（1980），该指南为全球保护个人数据和实现个人数据跨境流动的立法奠定了基础。

2. 隐私与数据保护要求

2.1 隐私的重要性

隐私是个人机密信息（即个人可识别健康信息，IIHI）交换中的关键非功能性要求。在健康和社会护理领域，信任是基础。所有健康信息都具有敏感性，但每个人认为的敏感信息因个人情况而异。例如，心理治疗记录、堕胎记录、药物滥用治疗记录等信息比其他信息更敏感。人们必须相信健康服务机构会保护其个人健康信息的机密性，并且服务提供者应对记录隐私和安全的任何泄露负责。

2.2 高级数据保护要求

高级数据保护要求包括以下几个方面：
| 要求 | 描述 |
| — | — |
| 机密性 | 确保敏感和/或关键业务信息得到适当保护，防止未经授权的第三方访问，只有经批准有访问需求的人员才能访问。只有完全识别和认证的实体，配备访问控制凭证