医疗健康数据属于《个人信息保护法》第28条界定的敏感个人信息。医药企业处理此类数据的合规流程可概括为"告知—单独同意—影响评估—最小必要—全程留痕"；法定保存期限上，个人信息保护影响评估报告至少保存3年，网络日志不少于6个月，门诊病历不少于15年、住院病历不少于30年，数据出境安全评估一般在45个工作日内完成。发生争议时，民事案件通常由被告住所地或侵权行为地（含被侵权人住所地）法院管辖，行政、刑事案件另按相应规则确定管辖。
一、医疗健康数据为何被"升格"保护
《个人信息保护法》第28条第1款明确，一旦泄露或非法使用容易导致人格尊严受侵害或人身、财产受危害的信息属于敏感个人信息，"医疗健康"被明确列举其中。这意味着医药企业在真实世界研究、患者援助项目、药物警戒、数字疗法、可穿戴设备等场景中收集的患者病历、检验报告、影像资料、基因数据、用药记录，均落入敏感个人信息范围。
保护力度上的差别是实质性的：处理敏感个人信息需取得单独同意（第29条），需就处理必要性及对个人权益的影响履行特别告知（第30条），需事前开展个人信息保护影响评估（第55条），且原则上应在境内存储；确需出境的，须通过安全评估、标准合同备案或专业认证之一（第38条）。此外，涉及人类遗传资源的采集、保藏、国际合作与对外提供，还须遵守《人类遗传资源管理条例》（国务院令第717号）的行政许可与备案要求。
二、处理流程：五步合规闭环
建议医药企业将数据合规嵌入业务流程，形成可审计的闭环：
- 第一步：数据盘点与分级。梳理各业务线涉及的健康医疗数据字段、来源、流向、存储位置与接收方，区分一般个人信息与敏感个人信息，形成数据资产清单。
- 第二步：合法性基础审查。核对是否取得单独同意（或符合第13条其他合法性事由），同意文本应单列、可拒绝、可撤回，不得以捆绑方式获取。
- 第三步：影响评估与安全措施。依第55条开展个人信息保护影响评估，内容包括处理目的、方式是否合法正当必要、对个人权益的影响及安全风险、保护措施是否有效。可参照国家标准GB/T 39725-2020《信息安全技术 健康医疗数据安全指南》落实去标识化、访问控制、加密存储。
- 第四步：跨境与外部合作审查。涉及境外申办方、境外研究中心或境外云服务的，先确定出境路径并完成申报或备案；涉及人类遗传资源的另行取得许可。
- 第五步：记录留存与应急响应。保存同意记录、评估报告、处理情况记录；建立数据安全事件应急预案。依据《数据安全法》第29条，发生安全事件应立即处置、及时告知用户并向主管部门报告。
《个人信息保护法》第19条：除法律、行政法规另有规定外，个人信息的保存期限应当为实现处理目的所必要的最短时间。
三、必须记住的几组法定期限
- 评估报告与处理记录：至少保存3年（《个人信息保护法》第56条）。
- 网络日志：不少于6个月（《网络安全法》第21条）。
- 病历资料：门诊病历自最后一次就诊之日起不少于15年，住院病历自最后一次出院之日起不少于30年（《医疗机构病历管理规定》）。药企与医疗机构合作时，应通过协议明确双方留存义务与到期处置方式。
- 数据出境安全评估：国家网信部门自收到申报材料之日起45个工作日内完成，情况复杂可适当延长（《数据出境安全评估办法》）。
- 人类遗传资源审批：科学技术行政部门依法在规定工作日内