徐汇区为什么要出台医疗数据出境新规？
近年来，徐汇区作为上海医疗资源的核心区域，大力推进“健康徐汇2030”行动计划，重点发展互联网医疗服务平台和健康大数据产业。随着区域医疗信息化覆盖率的提升，公立与社会办医疗机构的数据互通需求激增，跨境科研合作和商业服务也催生了数据出境需求。然而，医疗数据涉及个人隐私与国家安全，徐汇区基于《网络安全法》《数据安全法》等上位法要求，结合区域特点推出新规，旨在平衡数据流动效率与安全合规的双重目标。
哪些数据属于监管范围？
徐汇区新规明确三类数据需重点管理：
- 患者个人信息：包括诊疗记录、健康状况、生物识别信息等敏感内容，属于《个人信息保护法》定义的敏感信息
- 重要医疗数据：如传染病监测报告、病原微生物检测结果、临床科研数据等可能影响公共安全的信息
- 健康医疗大数据：覆盖全员人口信息、电子健康档案等四大数据库，需遵循本地化存储原则
例如，某互联网医院向境外合作方传输糖尿病患者健康档案时，必须同时满足患者授权、数据去标识化、安全评估三重条件。
数据出境备案的核心流程
徐汇区企业需完成四步走：
第一步：数据分类分级
- 区分普通数据、敏感个人信息、重要数据，优先采用去标识化技术处理
第二步：风险自评估
- 撰写报告说明出境目的、范围及境外接收方数据保护能力
第三步：选择合规路径
- 超过100万人普通信息或1万人敏感信息需申报安全评估
- 少量数据可选择标准合同备案或第三方认证
第四步：材料提交与审核
- 通过“数据出境申报系统”向上海市网信办提交合同、评估报告等材料，审核周期约15-30个工作日
企业可能遇到哪些挑战？
从2025年徐汇区政策宣讲会反馈看，企业普遍面临三大难点：
- 数据规模认定：如何精准计算“累计10万人”的统计口径（按自然年去重统计）
- 安全技术配套：需投入建设符合《健康医疗数据安全指南》的加密存储系统
- 多部门协同：涉及卫健委、网信办、科委等多部门审批，流程复杂度高
某AI医疗企业曾因未将合作医院的基因检测数据纳入统计，导致出境申报被驳回。
徐汇区特色政策亮点
相较于其他区域，徐汇新规凸显三大创新：
- 负面清单试点：探索自贸区数据跨境流动豁免场景，例如跨国药物研发中的非敏感临床数据
- 技术监管融合：要求互联网医院对接区域监管平台，实时开放数据接口
- 产业扶持导向：鼓励医疗机构与区内AI企业合作开发安全可信的跨境传输技术
未来会如何发展？
从徐汇区2030年规划可见，医疗数据出境管理将呈现两大趋势：
- 智能化监管：利用区块链技术建立跨境数据溯源系统，实现“一数一码”全生命周期管理
- 长三角协同：推动与江浙皖地区建立统一的数据出境评估标准，降低企业跨区域合规成本
企业需关注每年更新的《重要数据目录》，动态调整合规策略。对于初创型互联网医疗平台，建议优先选择本地云服务商，并建立专职数据合规团队。
