看法呢？欢迎大家在下方留言或来稿参与论。对于在本微信公众平台发送的原创稿件，将结合阅读量酌情给予奖励，湖南省刑事法治研究会每年还将对原创文章进行评奖并予以不同等级的奖励。还等什么，快来投稿吧！

　　在数字时代，个人信息的保护已成为全球性的法律挑战。特别是在医疗健康领域，个人医疗健康信息的保护不仅关系到个体的隐私权和人格尊严，还涉及到公共安全和国家利益。随着大数据技术的发展和应用，个人医疗健康信息的收集、存储、处理和传输变得更加频繁，其价值和敏感性也随之增加。然而，技术进步带来的便利性与个人信息保护之间的张力日益凸显，如何在保障信息自由流通与维护个人隐私权之间找到平衡点，成为法学研究的重要课题。我国在2009年通过的《刑法修正案（七）》中首次将侵犯公民个人信息的行为纳入刑法规范，标志着对个人信息保护的立法精神和法律保护力度的加强。然而，随着信息技术的飞速发展，特别是在医疗健康领域，个人医疗健康信息的刑法保护面临着新的挑战和问题。本文旨在探讨个人医疗健康信息的刑法保护的必要性、现状和困境，并提出完善对策，以期为我国个人信息保护法律体系的完善提供参考。

　　在人工智能和大数据时代，公民的的个人信息蕴含了超乎想象的巨大价值，在巨大的利益驱使下，各种侵犯个人信息的案件不断发生，根据网络安全公司安奇信披露，2023年，国内医疗卫生行业泄露数据多达90252.9万条，约合344.7GB，内容涉及姓名、电话、身份证号、地址、账号密码、诊疗信息、缴费信息、内部文件等众多敏感个人信息和商业机密。由此可见，数据安全问题是医疗卫生行业数字化首要挑战。国家卫健委等三部门2022年联合印发的《医疗卫生机构网络安全管理办法》规范了数据安全管理，强调各医疗卫生机构每年对本单位数据进行数据安全风险评估，及时掌握数据安全状态。国外一份研究报告指出，高价值医疗数据成为不法分子攻击的主要目标之一，2024年第一季度针对医疗行业的勒索团伙的数量同比增加了55%，受害者数量同比增长了近20%。此外，赎金水平持续上升，反映了攻击者对高价值目标的定向勒索技术手段在进步，同时也凸显了受害者在自身数据保护意识和技术方法上仍有待提PG电子网站升。仅今年以来，医疗卫生行业就被报道了多起重大数据安全事件。2024年3月美国联合健康集团支付勒索赎金2200万美元，大量私人医疗健康数据被窃取；2024年4月爱沙尼亚连锁药房遭到系统破坏，泄露全国一半人口数据；2024年4月法国戛纳医院遭到攻击，医护被迫纸上办公。据《互联网安全内参》显示，截止到今年4月底，针对全球医疗卫生领域数据的重大袭击事件数量，就已经超过2023年全年总和。同时司法实践中有医务人员利用职务便利将孕妇、儿童的就诊信息非法提供给他人等案件。当前频发的个人医疗健康信息的非法收集、使用、加工、传输等行为，反映出对于侵害公民医疗健康信息的行为仅依靠民事和行政手段已经很难有效遏制。此时，必须依靠刑法的威慑力，对于侵害公民医疗健康信息的行为进行严厉的制裁，从而威慑违法分子，以达到遏制侵害公民医疗健康信息行为的目的。

　　当下理论界和事务界都越发重视个人医疗健康信息的保护，并针对个人信息的保护作出了许多努力，尤其是我国立法机关于2009年2月28日通过的《刑法修正案(七)》，首次在刑法规范中增设了侵犯公民个人信息的犯罪，确立了对公民个人信息给予全面保护的立法精神，刑法作为最强法律规制力的法律《修正案(七)》的出台为公民的个人信息提供更为严厉的法律保护，从而在社会成员个人信息的法律保护上迈进了一大步，体现出对民生的重视和保护，是对公民人权保护的全面加强。而个人医疗信息作为个人信息的重要组成部分，事关信息主体的人格、人身和财产等重大权益。我国将健康医疗大数据上升为国家层面的重要基础性战略资源，医疗健康信息步入国家利益范畴。个人医疗健康信息是对个人医疗活动与健康状态最直接的记录，具有高度私密性和重要价值。独立的个人医疗健康信息可作为信息主体了解身心状况、预防治理疾病、跟踪管理健康的参考。而经大数据技术处理后，聚合的医疗健康信息不仅成为医疗健康行业进行药品研发、临床医疗研究、生命科学研究的重要样本，更成为国家推进医疗卫生基础设施建设、预防控制重大疾病、落实健康中国战略的重要支撑。当发生大范围的公共卫生突发事件时，一方面，出于保障公共健康权的目的，国家有关部门会通过收集、处理公民个人医疗健康信息的方式，及时掌握疫病的发展动向，并设计相关防疫政策与诊疗手段，而在这过程中，对于收集而来的个人医疗健康信息如若处理不当，就会发生泄漏敏感个人信息的事件，进而对信息主体的名誉权、隐私权等人格权益造成侵害，因此鉴于个人医疗健康信息的特殊性和重要性，刑法对于侵害公民个人医疗健康信息的行为应当进行特别规定，对公民个人信息安全予以特殊保护。

　　根据红星新闻报道，2023年，国内医疗卫生行业泄露数据多达90252.9万条，约合344.7GB，内容涉及姓名、电话、身份证号、地址、账号密码、诊疗信息、缴费信息、内部文件等众多敏感个人信息和商业机密。由此可见，数据安全问题是医疗卫生行业数字化首要挑战。国家卫健委等三部门2022年联合印发的《医疗卫生机构网络安全管理办法》规范了数据安全管理，强调各医疗卫生机构每年对本单位数据进行数据安全风险评估，及时掌握数据安全状态。国外一份研究报告指出，高价值医疗数据成为不法分子攻击的主要目标之一，2024年第一季度针对医疗行业的勒索团伙的数量同比增加了55%，受害者数量同比增长了近20%。此外，赎金水平持续上升，反映了攻击者对高价值目标的定向勒索技术手段在进步，同时也凸显了受害者在自身数据保护意识和技术方法上仍有待提升。仅今年以来，医疗卫生行业就被报道了多起重大数据安全事件。2024年3月美国联合健康集团支付勒索赎金2200万美元，大量私人医疗健康数据被窃取；2024年4月爱沙尼亚连锁药房遭到系统破坏，泄露全国一半人口数据；2024年4月法国戛纳医院遭到攻击，医护被迫纸上办公。据《互联网安全内参》显示，截止到今年4月底，针对全球医疗卫生领域数据的重大袭击事件数量，就已经超过2023年全年总和。同时司法实践中有医务人员利用职务便利将孕妇、儿童的就诊信息非法提供给他人等案件。当前频发的个人医疗健康信息的非法收集、使用、加工、传输等行为，反映出对于侵害公民医疗健康信息的行为仅依靠民事和行政手段已经很难有效遏制。此时，必须依靠刑法的威慑力，对于侵害公民医疗健康信息的行为进行严厉的制裁，从而威慑违法分子，以达到遏制侵害公民医疗健康信息行为的目的。

　　为应对不断加重的个人医疗信息泄露危机，我国已建立涵盖法律制度、政策文件、部委规章及国家标准在内的关于患者健康医疗隐私数据安全的制度框架体系。如《民法典》第1034条对个人信息的定义及保护原则进行了规定，《个人信息保护法》第28条明确医疗健康属于敏感个人信息，信息处理者只有在具有充分必要性，并在严格的保护措施下才能对其信息进行处理。《医疗机构管理条例》《执业医师法》《护士管理办法》《电子病历系统功能规范》《关于进一步推进以电子病历为核心的医疗机构信息化建设工作的通知》等各种法律法规都强调了各类医疗机构对患者隐私的保护。此外，国家卫生计生委印发的《人口健康信息管理办法（试行）》、国务院制定的《“健康中国2030”规划纲要》以及国务院办公厅《关于促进和规范健康医疗大数据应用发展的指导意见》等，都对医疗健康数据安全和患者隐私保护提出了要求。

　　我国法律只有对公民个人信息的规定，没有单独对医疗健康信息作出规定。根据《个人信息保护法》第28条，医疗健康信息属于敏感个人信息，“一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害”。根据最高人民法院和最高人检察院发布的 《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》第1条规定，公民个人信息是指以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息，包括姓名、身份证件号码、通信通讯联系方式、住址、账号密码、财产状况、行踪轨迹等。在《解释》第5条第1款第（四）项则将健康生理信息认定为属于其他可能影响人身、财产安全的公民个人信息。民法典第1034第2款同样将健康信息纳入到公民个人信息保护的范畴之内。而在2021年颁布的《中华人民共和国个人信息保护法》，和“两高一部”在2013年发布的《关于依法惩处侵害公民个人信息犯罪活动的通知》中，在认定公民个人信息时均将具有可识别性及隐私性作为定义公民个人信息考虑的重要因素。个人健康信息，系在疾病预防、体检、诊断、治疗、医学研究过程中所涉及的个人身体、精神的健康状况和家族病史等信息。由此可见，公民的健康生理信息与公民个人权利的关联之紧密毋庸赘述。但简明的法律规范导致过于宽泛的自由裁量空间，从而产生类案判决的差异。同时，个案裁判中不仅存在对健康生理信息内容的理解差异，判决书中对其表述也有所不同，存在诸如“医疗信息” “涉及健康生理内容的公民个人信息”等表述方式。可见，由于立法上对“健康生理信息”的定义欠缺，导致司法的自由裁量的空间过大， 这就有碍于司法公正。

　　知情同意原则是原本医学领域一项重要的基本原则指患方在医师提供足够的相关信息的基础上作出同意或选择的自主决定权。而后不断发展为个人信息保护领域的一项重要的基本原则，为信息处理者提供了处理信息的正当性依据。比较法领域，处理个人医疗数据信息前应征得信息主体的明示同意，默示同意规则不得适用。例如，日本《个人信息保护法》规定搜集和使用个人敏感信息只能适用明示同意规则（又称选择进入规则，即OPT-IN）；美国在医疗信息领域，亦通过《隐私规则》明确要求适用OPT-IN规则。根据我国《个人信息保护法》第十四条、第二十九条的规定，无论一般人信息还是敏感个人信息，在处理前均应获得信息主体的明示同意，敏感个人信息的处理更应获得信息主体的“单独同意”。但是实践当中，知情同意原则是适用往往流于形式。一方面，“理性人”假设的前提难以实现知情同意原则预设的重要前提之一便是“理性人假设”，即信息主体是一个理性人，会认真阅读、理解所有的隐私政策声明并仔细权衡利益得失，最终作出一个自觉的、理性的选择使得自己的利益最大化在面对内容冗长、繁多复杂的用户协议、隐私政策时，信息主体往往不会施加同等的时间、精力和注意力审慎对待、理性选择告知内容的专业性程度较高，在一定程度上不可避免地妨碍信息主体的有效信息摄取和基于此的充分知情，使得有效、充分知情成为奢望。其三，知情成本的高昂也在隐性地甚至直接现实地影响充分知情的实现。在线浏览日常化、阅读碎片化、快餐文化的盛行以及信息收集常态化的信息网络时代，一个用户每天可能需要面对十百千份的告知文件，这些用户协议的内容有时候还会随着国家政策或者平台服务升级运行而适时、频繁作出调整使得用户应接不暇，信息处理者乐此不疲，信息主体却陷入告知汪洋、知情疲惫。即使不考虑后续的修改变动，用户仅是粗略阅读、简单了解一项服务的用户协议和隐私协议就需要花费不少的精力和时间成本。上述问题都在一定程度上维持甚至强化了告知与知情之间的间隙，使得实践中信息主体的作为有效同 意前提的充分知情难达立法预期、难以契合立法意旨、难以充分保障信息主体的合法权益。因为不合理的“知情同意”后，信息主体在形式上将自己的医疗健康信息授权给信息处理者，当发生了个人信息侵害行为后，刑法想介入规制时个人信息处理者便会以信息主体已经“知情同意”为由进行抗辩，从而逃避刑法处罚。

　　我国的个人信息保护法中，对于公民个人信息保护的主体没有明确的规定,笼统地对个人信息处理者进行了规定。有研究认为网络运营者也属于个人医疗信息的处理者。人工智能时代,计算机技术无孔不入,医疗行业借助计算机网络使行业的信息化水平有了巨大提升,从以往只有线下门店的模式转变为如今的线上线下一体化。除传统的医疗从业者外,网络运营者也参与其中变成了医疗信息的控制者、接触者之一。在个人信息保护法中,第五十一条规定了信息处理者的义务,以便于全面地保护医疗信息主体的权益。最初在《刑法修正案（七）》规定中，侵犯公民个 人信息罪的行为主体被限定为“国家机关或者金融、电信、交通、教育、医疗等单位的工作人员”，行为对象也限制在“履行职责或者提供服务过程中获得”的范围内。《刑法修正案（九）》规定中不再保留“国家 机关或者金融、电信、交通、教育、医疗等单位的工作人员”的主体身份限制，仅保留“将在履行职责或者提供服务过程中获得的公民个人信息，出售或者提供给他人”的内容作为从重处罚情节。与之对应，《解释》第5条第1款第8项，对非法出售或提供在履职或服务过程中所获个人信息入罪的数量标准，作折半规定。立法者倾向于扩张入罪口径，在更周延地保护个人信息的同时，也保留对特定行为主体的从严规制，可见由特定职业行为主体对工作范围内获得的个人信息所可能造成的威胁更甚于外部人员所可能造成的威胁。然而，两部规范都未对“履行职责或提供服务”的范围作出进一步阐释。针对健康生理信息，传统社会观念里，除信息主体外，只有以医院为主体的医疗机构能够对其进行合法处理及利用；而在大数据时代中则不然，纸质病历的逐渐消亡和电子病历的兴起，使得医疗机构之外的更多主体也能够介入医疗行业，接触到公民的健康生理信息。这即是说，可能因履职或提供服务而获取健康生理信息的特定主体的身份范围也应随之扩大，但个案中裁判者对兜底条款的解释却各异。

　　如前文所诉，我国刑法并未对医疗健康信息作出具体规定，导致在实践中相同案件中不同法院对医疗健康信息理解不同而出现同案不同判的现象，刑法要更好的保护公民的医疗健康信息的前提就是要对医疗健康信息的内涵予以明确。公民医疗健康信息作为侵犯公民健康信息的行为对象，在不同案件中存在着不同的表达。如“健康生理信息”“患者隐私信息”等，我国个人医疗健康信息的定义应当以“可识别性”功能、“信息性质”和“时间维度”作为考量因素。个人医疗健康信息的定义是与其他类型信息进行区别的核心部分，不仅承载着揭示个人医疗健康信息本质的功能，还需要直观反映出个人医疗健康信息的考量要素，并且要兼具对可能被纳入的新型种类的高度概括性。我国《信息安全技术健康医疗数据安全指南》中有关于医疗健康信息的表达，其中的表述为“健康医疗数据”，“数据”和“信息”我们认为在概念上是有区别的，“数据”侧重于对实际产生事件的客观记录，而“信息”则是基于对数据的分析而得到知识。《医师法》和《护士条例》中，医疗健康信息的表述为“患者隐私”这体现了，对医疗健康信息主体的限缩，也表明了医疗健康信息的非公开性；《个人信息保法》中关于医疗健康信息的表述为“医疗信息”，也就是公民在接受医疗服务时产生的，与其他公民基本信息有区别的信息。作为能够被刑法保护的一类个人信息，医疗健康信息应当具有个人信息的一般特征，具有可识别性，即通过该信息已识别或者可识别特定的个人。同时，个人医疗信息对比其他个人信息有其特殊性，主要体现在医疗健康信息在完成收集以后不可更改，且不完全封闭，而且反映信息主体一定时期内的健康状况。因此，医疗健康信息是具有可识别性的，能够反映特定信息主体一定时期内健康状况的，关系到个人人身财产安全的个人信息。

　　为更好的发挥刑法的威慑作用，更有效的遏制侵犯个人医疗健康信息的行为，在规制主体上，刑法应当进行适当拓宽，《刑法》第253条规定：违反国家有关规定，将在履行职责或者提供服务过程中获得的公民个人信息，出售或者提供给他人的，依照前款的规定从重处罚。也就是说特定身份是侵犯公民个人信息罪的一项从重处罚情节，这和其他罪对于特定身份的表述不尽相同，在贪污罪中，直接规定了国家工作人员的身份是贪污罪的构成要件，而侵犯公民个人信息罪所要求的特殊身份为“履行职责或者提供服务”。刑法从重处罚特殊主体是由于其存在接触健康生理信息的便利，可见是以其工作内容作为判断标准，因此对于侵犯健康生理信息的特殊主体范围，应结合工作内容与健康生理信息的相关度予以确认。一方面，应当适度扩张“医务人员”的外延。在传统观念里保密义务作为一种职业规范，由医疗机构中的医务人员承担，而医务人员又以医生和护士等卫生技术人员为主，这是由传统社会中医患关系的闭塞性、排他性，以及简短的诊疗流程所决定的。在大数据浪潮下，个人一进入诊疗流程，就可能经过挂号、门诊、检查检验、麻醉、用药、护理、开具发票等多个环节，包含其生理属性及健康状况的信息则在各个部门流转、经互动而产生更多医疗活动信息；同时，对患者的治疗已不仅由医生完成，还需要医疗团队乃至整个医疗机构的整体协调配合 。因此，将医疗机构中的工作人员统称为“医务人员”以作为侵犯公民健康生理信息罪的潜在行为人，更符合医疗实际。另一方面，医疗行业中能接触到健康生理信息的工作单位不限于医疗机构。依《医疗机构管理条例》对“医疗机构”的列举式定义，“医疗机构”是指从事疾病诊断、治疗活动的机构，如医院、卫生院、疗养院等。术业有专攻，掌握卫生技术的医疗机构对信息技术的运用还需借助其他专门机构，《信息安全技术健康医疗数据安全指南》所提及的健康医疗数据处理者就是这样的专门机构，其具体列举了健康医疗信息系统供应商、健康医疗数据分析公司等。可见随着信息化的推进，医疗行业涌现出更多新兴机构，这些机构同样存在侵犯公民健康生理信息的潜在可能。综上，个案裁判应摒弃以卫生技术人员身份作为行为主体的狭隘判断标准，而采取医疗行业中所有工作人员都存在因工作获取公民健康生理信息的可能、都具备成为侵犯公民健康生理信息而被从重处罚的主体资格的标准。

　　在信息主体对于自己的医疗健康信息“知情同意”后是否意味着信息处理者便有了非法利用个人医疗健康信息的免责事由？要回答这个问题，我们必须明确非法利用个人信息的标准。在探讨非法利用医疗信息行为的法律界定时，我们必须遵循罪刑法定原则，以确保对此类行为的界定既明确又具体。首先，我们需要对“非法利用”的概念进行精确的界定，明确其内涵和外延，并确定其具体的罪状形态。具体而言，非法利用应被定义为在未经信息主体同意且缺乏法律正当理由的情况下，对医疗信息进行非法处理的行为。在此过程中，对于“信息处理”的定义应与《民法典》等相关前置法律保持一致。其次，我们注意到非法利用医疗信息与其他个人信息在认定上存在差异。《个人信息保护法》将个人信息区分为一般信息和敏感信息。对于敏感信息，除了需要信息主体的明确同意外，还需进行必要的告知和影响评估。因此，在认定医疗健康信息的非法利用时，我们应区分以下三种情况：未获得信息主体同意的行为、虽获得同意但未履行评估与告知义务的行为、以及虽获得单独同意但违反约定的处理目的、方式和范围的行为。进一步地，将滥用行为纳入侵犯公民个人信息罪的罪状中，可能会引发该罪条文内部适用的问题。对于合法获取后非法利用的行为，可以直接依据该罪名进行认定。然而，对于非法获取且非法利用的行为，可能会出现重复评价的问题，这需要我们予以明确。根据现有法律，侵犯公民个人信息罪的行为方式主要分为获取和提供两种。提供行为与获取行为紧密相关，只有存在获取行为，才可能发生提供行为。从现实案例来看，非法获取他人信息的行为往往伴随着非法提供和滥用行为，这些行为是非法获取者实现利益目的的手段。因此，我们不应期望非法获取信息的行为人会合法保护这些信息不被转移。对于同一条公民个人信息的数次侵害行为，我们不应进行重复评价。同样，滥用行为作为获取行为的后续行为，如果在非法获取后发生滥用，可以根据侵犯公民个人信息罪的相关规定直接定罪处罚。由此，在信息主体将自己的个人信息以“知情同意”的方式授权给信息处理者之后，并不意味着信息处理者对信息非法处理后可以以“知情同意”为由进行脱罪，得到授权后的处理行为依然可以构成违反约定的目的、方式和范围的行为，需要在实践中具体把握。

　　在数字化时代背景下，刑法对个人医疗信息的保护愈发重要。本文对个人医疗健康信息保护的必要性、现状和困境的简单分析，提出了我国刑法在保护个人医疗信息方面困境和不足，并提出了一些建议。随着信息技术的快速发展，个人医疗健康信息的保护已成为全球性的法律议题，涉及到隐私权、人格尊严以及公共安全等多个层面。首先，个人医疗健康信息因其高度的私密性和对个体权益的重大影响，成为刑法保护的重点。在大数据和人工智能技术的应用日益广泛的背景下，这些信息的价值和敏感性不断增加，同时也面临着前所未有的泄露和滥用风险。其次，我国现行法律对于个人医疗健康信息的保护存在界定不明确、保护力度不足以及责任主体认定困难等问题。这些问题的存在，不仅影响了法律的统一性和权威性，也削PG电子网站弱了对个人医疗健康信息的有效保护。针对上述问题，本文提出了一系列完善对策。首先，明确医疗健康信息的法律内涵，其次，拓宽侵犯医疗健康信息的行为主体范围，以适应信息化时代的需求。最后，明确非法利用个人医疗健康信息的标准。我们必须强调，个人医疗健康信息的保护是一个复杂的系统工程，需要立法、司法、行政以及技术等多方面的协同合作。法律的制定和完善只是第一步，更重要的是法律的执行和遵守。只有通过全社会的共同努力，才能确保个人医疗健康信息的安全，保护公民的基本权利，同时也为构建健康社会、实现可持续发展提供坚实的法律保障。未来，随着技术的发展和社会的进步，个人医疗健康信息的刑法保护将面临新的挑战。作为法学学者，我们有责任持续关注这一领域的发展，通过研究和实践，为我国乃至全球的个人医疗健康信息保护贡献智慧和力量。希望通过本文的研究，能够为我国个人医疗健康信息的法律保护提供有益的思路和建议，促进相关法律法规的完善，为公民个人信息安全提供更加坚实的保障。

　　[1] 赵秉志.公民个人信息刑法保护问题研究[J].华东政法大学学报,2014(01).

　　[3] 刘庚鑫.个人医疗健康信息合理使用初探[J].特区经济,2024(09).

　　[4] 王春华.医疗领域侵犯公民个人信息的刑事防控[J].中国检察官,2022(24).

　　[5] 贺方彤.医疗行业中之公民健康生理信息的刑法保护策略[J].医学与法学,2024(01).

　　[7] 洪欣琳.我国公民个人医疗数据信息的法律保护[J].医学与法学,2022(05).

　　[8] 闻志强,施梦琪.个人信息保护视角下知情同意原则的问题审视与完善路径[C].《法律研究》集刊2024年第2卷——制度型开放的实现路径研究文集.广州大学法学院;汕头市中级人民法院;2024（17）.

　　[9] 张思梦,霍增辉.人工智能时代完善个人医疗信息法律保护的研究[J].中国卫生法制,2023(06).

　　[10] 周光权.侵犯公民个人信息罪的行为对象[J].清华法学,2021(03).

　　[11] 田金威.大数据背景下患者医疗信息的刑法保护[J].河南理工大学学报(社会科学版),2023(04).

　　[祈祷][心][心][作揖][作揖][作揖][作揖][作揖][火炬][火炬][火炬][火炬][火炬][火炬][加油加油][加油加油][加油加油][加油加油][加油加油][加油加油][加油加油]