我国关于健康医疗大数据应用的早期文件可见原国家卫计委于2015年1月发布的《关于印发2015年卫生计生工作要点的通知》，其中提出“组织实施人口健康信息安全规划，稳步推进健康医疗大数据应用”。
在数据中心的筹建过程中，国家卫健委于2018年7月发布《国家健康医疗大数据标准、安全和服务管理办法（试行）》（以下简称“《管理办法》”），对健康医疗大数据的应用进行了规范。时至今日，我国健康医疗大数据行业仍处在积极探索阶段，健康医疗大数据的收集、储存模式初步形成，但数据应用的需求还未充分展现出来，商业盈利模式有待探索。
（二）健康医疗大数据的定义和分类
参照《信息安全技术-健康医疗数据安全指南（征求意见稿）》（2019年4月）的规定，健康医疗数据分如下几类：
序号
类型
范围
1
个人属性数据
1)人口统计信息，包括姓名、年龄、性别、民族、国籍、职业、住址、工作单位、家庭成员信息、联系人信息、收入等；
4)个人生物识别信息，包括基因、指纹、声纹、掌纹、耳廓、虹膜、面部特征等；
5)个人健康监测传感设备ID等。
2
健康状况数据
3
医疗应用数据
门（急）诊病历、门（急）诊处方、住院医嘱、检查检验报告、用药信息、病程记录、手术记录、麻醉记录、输血记录、护理记录、入院记录、出院小结、转诊（院）记录、知情告知信息、基因测序、转录产物测序、蛋白质分析测定、代谢小分子检测、人体微生物检测等。
4
医疗支付数据
1)医疗交易信息包括医保支付信息、交易金额、交易记录等；
2)保险信息包括保险账号、保险状态、保险金额等。
5
卫生资源数据
医院基本数据、医院运营数据、医院公卫数据等。
6
公共卫生数据
环境卫生数据、传染病疫情数据、疾病监测数据、疾病预防数据、出生死亡数据等。
健康医疗大数据是对健康医疗数据的整理、汇总，其分类和范围应与健康医疗数据相同。
（三）健康医疗大数据的常见应用场景
健康医疗大数据的应用场景主要包括临床决策支持、健康及慢病管理、支付和定价、医药研发、医疗管理等，服务对象涵盖居民、医疗服务机构、科研机构、医疗保险机构、公共健康管理部门等，其具体应用场景如下：
以下从健康医疗大数据应用需求的不同主体，对数据应用的不同需求场景予以说明：
（1）以各级医疗卫生行政部门为需求主体
现行监管法规及政策对各级医疗卫生行政部门如何分析运用健康医疗大数据以及数据的应用尚无明确具体的规定，实践中已有涉及的应用包括疾病监控、药品定价等，本次新冠疫情防控工作中，医疗健康大数据的应用发挥了重要作用。但总体而言，各级医疗卫生行政部门对于健康医疗大数据的需求还是过于单薄，尚无法长久支撑起健康医疗大数据的产业链。
（2）以医疗机构为需求主体
降低机构管理成本，提升医疗服务效率是医疗机构的核心需求。在信息化建设的政策要求下，医疗机构需要建立起健康医疗大数据的收集、保存、保护、交流系统。随着《管理办法》、《关于印发电子病历系统应用水平分级评价管理办法(试行)及评价标准(试行)的通知》等规范性文件的出台，医疗机构对于系统集成服务的需求开始涌现，由此为数据运营公司创造合作商机。
（3）以医药及医疗器械生产流通企业为需求主体
降低药品、医疗器械研发、销售成本是医药及医疗器械生产流通企业的一项重要需求。药品与医疗器械研发有一套相对完整的程序，其本质也是通过对药品或器械的使用数据进行收集分析，从而论证产品的安全性和有效性。即使是研发仿制药，任何同类型药物的使用数据都无法替代临床试验数据。以阿里巴巴与华山医院的合作项目为例，阿里巴巴为华山医院提供阿里云平台上的计算能力，华山医院则将基因组学、临床医学数据传输至阿里云进行临床试验的模拟。通过在云计算环境下对模型进行构建和分析，模拟药品在人体的代谢规律，辅助创新药品的研发。
此外，在药品、耗材的流通环节中，对于健康医疗大数据的分析可以帮助药品及医疗器械销售流通企业准确掌握药品、耗材的使用及定价情况。基于以上对健康医疗大数据的分析应用，未来医药及医疗器械生产流通企业有可能对健康医疗大数据分析产品形成稳定的需求。
（4）以研究机构为需求主体
目前，各类研究机构基于医疗大数据开展了种类繁多的研究工作，这些机构并不缺少对大数据的分析能力，但缺少高精度、高质量数据的获取途径。数据运营公司可以通过出租、出卖高质量数据的方式寻求商业上的收益，在此情况下，研究机构将可能会成为健康医疗大数据的产业链中游乃至下游客户。
尽管如此，科研最终仍要为市场服务，如果无法形成真正意义上数据驱动的临床科研、医药研发、器械生产、分级诊疗、健康养老、医养结合产品，随着医疗大数据研究的热潮褪去，研究机构对于健康医疗大数据的需求也会衰退。
（5）以保险公司为需求主体
基于对大数据的分析，保险公司在设计商业健康险时可以更准确地掌握保险覆盖地区的疾病发病情况、医疗机构诊疗水平，更好地定位消费者需求，确定产品方案涉及的对象、责任、费率等。但是同研究机构一样，保险公司缺少高精度、高质量数据的获取途径，数据运营公司可以通过出租、出卖高质量数据的方式与保险公司展开合作，获取商业收益。
二、健康医疗大数据建设与运营合作模式
（一）合作模式
（1）以医疗机构为主导
（2）以地方政府为主导
至此，以地方政府为主导的医疗健康大数据合作模式由此产生，其业务模式及操作步骤如下：
1）业务模式图示
2）业务开展的简要步骤
ⅱ）数据平台接入地方政府行政区域内的医疗机构体内，获取医疗数据，并由数据运营公司负责对全部医疗数据进行归类、分类、整理和存储，并承担运营数据的安全和保密责任；
ⅲ）数据运营公司向地方政府行政区域内的医疗机构及其患者提供相应的数据服务，搭建全民健康信息平台，实现行政区域内健康医疗数据资源的统一管理、数据共享，提供“互联网+医疗健康”应用服务；
（3）具体案例
根据媒体公开信息报道，主要基于地方政府主导的合作模式，我国进行中的医疗健康大数据领域重大合作项目颇多，代表性项目包括如下：
合作项目
2018年7月
万达信息与宁夏回族自治区卫生和计划生育委员会、宁夏回族自治区中卫市人民政府、宁夏数据科技股份有限公司签署了西部医疗健康大数据中心项目战略合作协议，合作各方将充分利用各自的优势资源及影响力，共同建设“西部医疗健康大数据中心项目”。
2019年2月
天津市卫生健康委员会、武清区人民政府与浪潮集团签署战略合作协议，三方将共同建设发展天津健康医疗大数据，建设天津市“健康云”，推进天津市健康医疗大数据创新应用和产业发展。
2019年6月
微医与银川市卫健委签署“互联网+医疗健康”战略合作协议，以互联网、大数据、人工智能为驱动，探索基于数字化的健康共同体，打造银川互联网+医疗健康2.0阶段。
2019年9月
德华安顾人寿保险有限公司与浪潮集团签署战略合作协议，双方将在健康医疗大数据应用、健康管理、慢病防治等领域开展全面合作与实践。
2019年11月
浪潮集团与百度智慧签署战略合作协议，基于大数据、人工智能、云计算、物联网、移动互联网构建健康医疗服务新模式、新业态，加快人工智能+健康医疗应用和服务落地，赋能健康医疗产业链，为山东新旧动能转换、医养健康产业发展注入新活力、提供新引擎。
7
2020年1月
微医集团与福建移动签署全面战略合作协议，在5G智慧医疗、智慧养老、基础通信服务、云服务、家庭多屏互动业务等领域全面合作，携手共建三医联数字化平台，加快打造“互联网+医疗健康”大背景下的跨行业合作标杆，共同推动数字健康服务升级。
8
2020年3月
武汉大学社会保障研究中心与腾讯达成战略合作，成立“武汉大学-腾讯大数据与健康保障联合实验室”，打造国家级产学研协同创新平台，通过大数据推进智慧医保精细化管理和科学决策。
（二）健康医疗大数据的盈利模式
目前，我国健康医疗大数据领域的商业模式尚处于探索过程中，尚未形成完整、体系化的产业链及成熟的盈利模式，因此，本文主要借鉴发达国家较为成熟的产业链体系及盈利模式，对此问题予以阐释说明。
（1）健康医疗大数据的产业链体系
健康医疗大数据的产业链体系主要为以数据产品为中心的纵向结构和以数据技术为中心的横向结构而形成的一纵一横的完整产业链体系，如下图所示：
（2）依照数据平台功能划分的盈利模式
健康医疗大数据的价值起源于数据源，经过数据处理、分析、应用，最终到达终端用户，在此过程中，数据运营平台根据其功能的不同表现出不同的盈利方式，具体如下图所示：
三、健康医疗大数据建设与应用中的合规问题
（一）健康医疗大数据合规体系
健康医疗大数据产业涉及到数据的收集、存储、分析及应用，并且在不同运营环节受到来自个人信息保护、网络安全、健康医疗大数据管理三个维度的监管。结合前文健康医疗大数据建设与运营合作模式，我们对健康医疗大数据合规体系予以梳理，具体情况如下图所示：
（二）数据收集环节的合规要求
健康医疗大数据是对大量个人健康医疗数据的整合、汇总，而个人健康医疗数据本质上属于个人信息，并且部分个人健康医疗数据涵盖了个人隐私。因此，在医疗机构收集个人健康医疗数据再将数据汇总至互联网数据运营平台的过程中，整个数据收集环节受到个人信息保护制度的规制，例如《信息安全技术-个人信息安全规范》（GB/T35273-2020，以下简称“《个人信息安全规范》”）。这个环节中，合规责任的主体为医疗机构及数据运营公司，具体要求如下：
（1）数据获取渠道合法
《网络安全法》第41条明确归，收集、使用个人信息，应当遵循合法、正当、必要的原则，公开收集、使用规则，明示收集、使用信息的目的、方式和范围，并经被收集者同意。不应采取欺诈、诱骗、误导的方式收集个人医疗数据。
（2）数据收集的最小必要原则
《人口健康信息管理办法（试行）》第8条规定，个人医疗数据采集应当按照“一数一源、最少够用”的原则采集人口健康信息，避免重复采集、多头采集。收集的个人医疗数据应当与医疗服务的业务功能有直接关联。
（3）制定个人医疗数据信息保护制度
个人医疗数据收集者应当制定相应的信息保护内部制度，对收集、使用信息的业务类型、具体的信息收集方式、信息出境、存储期限、法律责任、信息主体权利的行使、信息安全等事项进行规定。
（5）个人健康医疗数据合规的特殊要求
我国现行法律法规缺乏对个人健康医疗数据合规的具体规定，实践中，此类信息合规管理均是依据我国个人信息保护的一般性规范，其保护的客体为个人数据而非个人健康医疗数据，仅依照这些规范对健康医疗数据收集进行合规化处理是否能满足要求存在疑问。
个人健康医疗数据基于其特殊性、敏感性，需要更加特定化的规范体系。目前，我国健康医疗数据的规范体系尚在逐步建立中，在这个过程中，国际标准化组织制定的《信息安全管理体系标准》（ISO-27001，以下简称“27001标准”）与欧盟《通用数据保护条例》（GDPR）成为了重要参照。其中，27001标准作为在世界范围内被认可的认证标准，对中国医疗健康大数据合规管理具有更好的参考意义。
27001标准要求颇高，完成这一套认证耗时耗力，需要评审机构通过访谈、抽样、现场观察等方式完成近100项内容的审查，比如抽查员工的电脑桌面是否有敏感信息，电子文档是否有保密等级，入职员工的保密协议等等。2014年国际标准化组织在27001标准的基础上提出了27018标准，在隐私问题上要求更加严格，像百度这样的企业就需要搭建数据保护权限系统、数据脱敏处理算法等更复杂的隐私保护体系，在中国也仅有BAT旗下的产品，例如百度云、百度网盘、阿里云等服务通过该认证。目前，我国的《个人信息安全规范》的要求尚未达到此种程度，但不可否认的是，医疗健康数据的保护应严格于一般个人信息的保护，未来我国针对医疗健康数据的安全规范将有可能向国际高标准靠拢。
（三）数据存储环节的合规要求
从医疗机构通过互联网络向互联网数据运营平台传输数据开始，到平台向下游客户提供数据信息，整个业务环节由于依托互联网络而落入了网络安全监管和医疗大数据管理的范围，这个环节的合规责任主体主要为数据运营公司，具体合规要求如下：
（1）硬件要求
目前，国家标准委已就《关键信息基础设施安全保护要求》等标准发布了征求意见稿，未来将会有更加具体的规范性文件落地。
（2）实行分级保护
《网络安全法》第21条明确规定国家实行网络安全等级保护制度，网络运营者应当按照网络安全等级保护制度的要求，履行安全保护义务。同时，国家制定并出台了包括《网络安全等级保护基本要求》（GB/T22239-2019）在内的具体标准规范，对分级保护制度予以落实。
因此，医疗健康大数据运营公司应依照国家网络安全等级保护的管理规范和技术标准，确定数据的安全保护等级，进行数据系统的规划设计，使用国家规定的信息技术产品和网络安全产品，定期进行测评，制定网络安全事件处置预案，并根据确定的安全等级到公安机关办理备案手续。
《人口健康信息管理办法（试行）》规定，依据国家法律法规和工作职责，各级各类医疗卫生计生服务机构在服务和管理过程中产生的人口基本信息、医疗卫生服务信息等属于人口健康信息，人口健康信息实行分级存储，责任单位按照国家统一规划，负责存储；不得将人口健康信息在境外的服务器中存储，不得托管、租赁在境外的服务器。
（4）其他
《国家健康医疗大数据标准、安全和服务管理办法（试行）》对医疗健康大数据平台（责任单位）的安全管理制度、数据分类、重要数据备份等事项均进行了规定，但具体标准性文件尚在制定过程中。
此外，《医疗机构病历管理规定》第6条规定，医疗机构及其医务人员应当严格保护患者隐私，禁止以非医疗、教学、研究目的泄露患者的病历资料。如果医疗健康大数据的应用属于前述泄露行为，将会严重限制医疗健康大数据的应用范围。我们理解，《医疗机构病历管理规定》发布于2013年，其第6条的立法目的在于保护患者隐私，而医疗健康大数据经过匿名、脱敏处理后与一般医疗数据存在本质区别，其传播和使用并不会侵犯患者隐私，据此，《医疗机构病历管理规定》第6条并不适用于医疗健康大数据。
（四）数据分析、应用环节的合规要求
与数据存储环节相同，医疗健康大数据分析、应用环节同样受到网络安全监管和医疗大数据管理两个体系的规制，这个环节的合规责任主体主要为数据运营公司与包括医药企业、研发机构、保险公司在内的产业下游客户，具体合规要求如下：
（2）严格脱敏
除了法律法规规定的对敏感信息的不可视化处理外，脱敏还应做到无法通过大数据倒推出个人信息的程度。例如A医院数据库中有100名患者，其中北京患者比例为50%，后来新增患者甲的数据，A医院数据库中101名患者的北京籍比例增至50.5%，此时患者甲的籍贯信息就出现了暴露。因此，医疗健康大数据公司应当建立标准化制度，并利用算法等工具进行数据脱敏，避免出现通过大数据能够反推个人信息的情况出现。