医疗机构引入AI工具的法律风险控制(20)

行使数据权益的法律边界

昨天以病历数据库为例看了医疗机构数据确权与权益保障层面的问题。今天继续以之为例，看一下行使数据权益的法律边界。

AI纠纷审判意见第16条明确“通过采集生成、衍生创造、受让取得、授权许可等方式合法获取数据并享有相应数据权益的，予以保护”，医疗机构在合法合规采集、处理、加工的前提下，作为医疗数据保管主体、诊疗活动主体、数据加工与处理主体，对病历数据库这一整体资源享有可受法律保护的财产性/竞争性权益。

其上位法与政策依据主要是：1）民法典第127条规定，“法律对数据、网络虚拟财产的保护有规定的，依照其规定。”这是民事基本法层面首次明确数据可作为民事权益客体受保护，是医院主张数据权益的上位法依据；2）数据安全法第7条规定国家保护个人、组织“与数据有关的权益”，并鼓励数据依法合理有效利用；3）数据二十条（《关于构建数据基础制度更好发挥数据要素作用的意见》，2022年12月）虽非法律，但确立了数据资源持有权、数据加工使用权、数据产品经营权产权框架，是司法实践和政策层面认定数据权益的核心依据。

保管地位的规范依据是《医疗机构病历管理规定》（国卫医发〔2013〕31号），规定明确门（急）诊病历原则上由医疗机构负责保管（此前患者自持的除外），住院病历由医疗机构统一保存。这是医疗机构对病历载体形成事实控制与管理权的规范依据，也是其投入建设数据库的正当性来源之一。

具体到病历数据——医疗机构的病历原始数据来自患者诊疗过程，通过脱敏、结构化、专病库建设、质量校验等投入，形成数据资源、孵化数据产品（比如前面提到过的“糖尿病专病库”“眼科随访数据集”等）。医疗机构就数据资源、数据产品享有的权益并非凭空得来，而是基于四重基础：1）法定义务下的保管地位；2）合法处理个人信息的业务必要；3）后续加工投入；4）数据资源可服务科研、医保管理、AI训练、新药研发的价值。

但是，控制、保管、处理病历数据并形成数据权益，不等于获得病历所有权，医疗机构行使数据权益始终以个人信息保护规则为边界——《个人信息保护法》规定病历信息属于敏感个人信息，处理须具有特定目的、充分必要性，并取得单独同意。对外提供还涉及告知、影响评估等义务；《民法典》人格权编（第1034—1039条）明确患者对病历中的个人信息与隐私享有权利。

这意味着：

• 患者、就诊人对病历中的个人健康信息享有人格侧权益（个人信息权益、隐私利益等）；医疗机构“把成千上万份病历收上来、存起来、清洗掉错漏、做字段映射、按专病结构化、建索引、设权限”，为此投入资金、系统、人员、管理等成本，享有数据资源侧权益；
• 医疗机构行使数据权益，不得突破个保法和民法典人格权编的边界——其数据权益不包含对患者信息的任意处分权，商业化利用（如供AI训练）必须先行脱敏、取得授权或具备其他合法性基础。
• 一旦医疗机构实施违反数据安全法、‌个人信息保护法、医保监管规则的收集、加工、处理、使用数据的行为——例如未经知情同意、缺乏法定处理基础、把可识别数据直接提供给合作方，就将从数据权益主体变为侵权责任主体。

AI纠纷审判意见第6条“依法认定人工智能训练过程中侵害个人信息权益的民事责任”，为AI训练划定了专门的责任边界：

• 为人工智能模型训练，在合理范围内处理个人自行公开的或者其他已经合法公开的个人信息，且个人未明确拒绝的，一般不认定为侵害个人信息权益的行为。
• 对个人权益有重大影响的，应当依照法律规定取得个人同意。
• 在认定合理范围时，应当综合考量：1）处理个人信息的目的与模型功能的必要性和适当性；2）所涉个人信息的类型、敏感程度及对个人权益的潜在影响；3）个人公开信息时的场景及可合理预期的使用范围等因素。

医疗场景下，病历、诊疗记录显然不属于“自行公开”的信息，医疗机构向厂商提供病历用于模型训练，原则上不能落入上述豁免，仍需要取得个人同意（医疗健康信息是敏感个人信息，本来就需要单独同意）或做到充分匿名化。

意见基本原则部分也有一处与医疗场景密切相关的内容：

“坚持以人为本。发挥司法裁判引领作用，积极引导人工智能增进人民福祉，切实加强数字时代民生权益司法保障。积极稳妥探索、完善涉算法伦理、算法规则等人工智能领域的司法裁判规则和机制建设，用足用好现有法律规定，妥善应对人工智能技术发展带来的规则冲突、社会风险和伦理挑战，促进完善人工智能企业社会责任体系，注重防范和消除算法歧视，依法保障个人在自动化决策中的知情权和选择权，预防和规制滥用人工智能技术侵害人民群众合法权益的行为，促推人工智能为民、向善。”

其中“防范和消除算法歧视”“保障个人在自动化决策中的知情权和选择权”，与医疗场景下AI分诊、床位分配、资源调度中的算法公平和告知问题联系尤为紧密。结合民法典第1219条的告知义务，AI参与诊疗是否应纳入告知范围，意见没有直接回答，但”以人为本"原则显然支持患者的知情权。