党中央、国务院高度重视“互联网+医疗健康”工作，相继出台多项政策制度与法律法规，推动和规范这一领域的发展。从2018年《互联网诊疗管理办法（试行）》《互联网医院管理办法（试行）》《远程医疗服务管理规范（试行）》集中发布，到2019年国家医保局颁布《关于完善“互联网+”医疗服务价格和医保支付政策的指导意见》，再到2020年新冠肺炎疫情期间出台《关于推进新冠肺炎疫情防控期间开展“互联网+”医保服务的指导意见》，在国家政策和互联网技术的共同驱动下，我国互联网诊疗进入快速发展阶段。然而，互联网诊疗领域却一直缺乏具体的监管规则，如何实现对互联网诊疗质量和行为的有效监管，依然是影响互联网医院发展的重要因素。

　　2018年7月17日，国家卫生健康委和国家中医药管理局发布《关于印发互联网诊疗管理办法（试行）等3个文件的通知》（国卫医发〔2018〕25号），包括《互联网诊疗管理办法（试行）》《互联网医院管理办法（试行）》和《远程医疗服务管理规范（试行）》，其中规定远程医疗服务要“实行患者实名制管理”。2021年10月26日，国家卫生健康委向社会公布《互联网诊疗监管细则（征求意见稿）》（以下简称《意见稿》），就促进互联网诊疗规范发展作出了具体规定。《意见稿》第17条和第18条规定了互联网诊疗活动中患者实名制就诊的义务：“互联网诊疗实行实名制，患者有义务向医疗机构提供真实的身份证明及基本信息，不得假冒他人就诊”，“患者就诊时应当提供具有明确诊断的病历资料，如门诊病历、住院病历、出院小结、诊断证明等，由接诊医师判断是否符合复诊条件，并采集证明患者已经确诊的纸质或电子凭证信息”。我国从2007年开始推行患者实名制就诊，在医疗机构线下诊疗工作中取得了显著成效。第一，实名制就诊便于医生掌握患者的既往史、过敏史等重要信息，避免就医过程中“张冠李戴”，确保诊断准确；第二，实名制有利于维护互联网诊疗环境的公平性与有序性，可以从源头上堵住号贩子抢号的漏洞；第三，实名制可以建立患者电子健康档案，后续到其他医疗机构或外地就诊也能实现个人健康信息的资源共享；第四，实名制就医可为基本医疗保障及商业医疗保险提供较为有效的监管手段。互联网诊疗要求患者实名制就诊，意味着互联网诊疗管理将与实体医疗机构提供的线下诊疗服务做到“同质化”，回归医疗服务的根本定位。

　　2021年11月1日正式实施的《个人信息保护法》对互联网诊疗领域数据合规处理提出了更高要求。该法第28条明确规定，“医疗健康信息属于敏感个人信息；只有在具有特定的目的和充分的必要性，并采取严格保护措施的情形下，个人信息处理者方可处理敏感个人信息；一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害”。互联网诊疗建立在患者提供真实身份证明及实体医疗机构明确诊断的病历资料的基础上，互联网诊疗形成的医嘱、电子处方和电子病历等也会产生新的敏感个人信息。互联网诊疗平台收集处理患者个人信息具有两面性，一方面，收集处理个人信息是为了提供更优质的在线诊疗服务；另一方面，如果违规收集处理个人信息，不仅将会面临相应处罚，也会降低患者对互联网诊疗的信任度。

　　互联网诊疗落实患者实名制就诊，前提条件是做好患者个人信息保护。基于《个人信息保护法》《数据安全法》的法律框架，《意见稿》要求医疗机构“建立网络安全、个人信息保护、数据使用管理等制度，并与相关合作方签订协议，明确各方权责关系”；一旦“发生患者个人信息、医疗数据泄露等网络安全事件时，应当及时向相关主管部门报告，并采取有效应对措施”。因此，医疗机构在建设互联网诊疗平台、开展互联网诊疗活动时，应当采取积极措施，保护患者个人信息特别是敏感个人信息不受侵害。

　　一方面，坚持知情同意和“两个最小”的原则。为保障和尊重自然人的人格尊严，《民法典》第1035条和《网络安全法》第41条都规定了信息收集主体需要取得被收集信息主体的同意，才能对信息主体的个人信息进行合法的收集和使用。《个人信息保护法》也规定处理医疗健康信息应当取得个人的“单独同意”。因此，互联网诊疗活动应将知情同意作为患者个人信息收集、使用的必要前提条件，提前告知信息主体个人信息被收集的目的、使用范围、公开与否等。此外，互联网诊疗活动中处理患者个人信息应当具有明确、合理的目的，并应当与诊疗内容直接相关，采取对个人权益影响最小的方式；收集患者个人信息时，应当限于实现处理目的的最小范围，不得过度收集个人信息。

　　另一方面，要通过管理制度和技术手段保障患者个人信息安全。互联网诊疗活动中，按照法律要求患者实名就诊，接诊医师甚至会诊医师都有权利接触和处理患者的个人信息，挂号就诊过程就是授权的过程，但是医疗机构和医师有保护好患者隐私的义务。医疗机构制定的互联网诊疗管理制度中应包含针对患者个人信息的保护措施，同时也应包含对接诊医师和会诊医师保护患者个人信息的具体要求。

　　个人信息处理活动具有高度技术性。医疗机构对本院存储的患者病案需要进一步开发使用时，可以通过加密算法和去标识化技术，实现用户身份和用户数据的分离，保护信息的私密性。对个人信息进行分布式存储，通过智能合约授权访问，降低数据被泄露的风险；通过区块链技术和数字签名算法，实现数据的可携带性和不可篡改性，让患者对自己的医疗健康数据拥有更高的自主权；建立责任可追溯的个人信息安全管理制度，制定并组织实施个人信息安全事件的应急预案，完善个人信息泄露后的补救措施及对相关责任主体的监管手段，从而实现对互联网诊疗活动中个人信息的有效保护。

　　（作者单位：国家远程医疗与互联网医学中心）