浙江省医疗卫生机构对外数据合作管理办法（试行）

第一条 为规范全省医疗卫生机构对外数据合作，防范数据泄露、滥用、违规流转、非法出境等安全隐患，支持医疗数据安全合规利用，依据《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》及《医疗卫生机构数据安全和个人信息保护管理办法（试行）》等法律法规，结合我省实际，制定本办法。

第二条 本办法适用于全省各级各类医疗卫生机构开展的数据共享、数据提供、委托处理、联合研究、技术开发、技术服务、平台共建、系统运维、模型训练、数据出境、授权运营等各类涉及数据处理的对外合作活动。卫生健康行政部门（含中医药和疾控部门，下同）等国家机关为履行法定职责需要收集、使用数据的情形除外。涉及公共数据的，依照《浙江省公共数据条例》实施管理。

第三条 医疗卫生机构对外数据合作，应当遵循依法合规、分类管控、源头治理、闭环管理、安全可控原则，压实数据安全主体责任，规范合作全流程管理。法律法规、规章和国家有关规定明令禁止开展的对外数据合作活动，医疗卫生机构一律不得开展。

第二章 审批报备管理

第四条 医疗卫生机构所有对外数据合作，必须严格履行机构内部审批和卫生健康行政部门报备程序。

（一）医疗卫生机构内部审批。医疗卫生机构需制定对外数据合作的管理办法，履行申请、评估、审核、审批程序，形成书面审批意见。

（二）卫生健康行政部门报备。内部审批通过后，须及时向同级卫生健康行政部门报告，提交合作方案、审批意见等材料。

第三章 合作主体与协议管理

第五条 医疗卫生机构应建立合作方安全资质、合规能力、信用状况、技术水平、安全记录、背景信息等综合审查机制。严禁与无合法合规资质、近三年发生过重大以上网络数据安全事件等情形的合作方开展数据合作。

第六条 医疗卫生机构须与合作方签订数据安全与保密协议，明确双方的权利义务，对数据利用目的、访问边界、系统操作权限、服务内容及期限、保密义务、违约责任及退出机制等事项进行明确约定。

第七条 医疗卫生机构委托合作方处理或与合作方共同处理数据的，数据安全责任不因委托而改变。医疗卫生机构须对合作方数据安全管理责任履行情况进行全程监督，定期开展安全审计，发现违规行为立即督促整改；情节严重的，应终止合作并报同级卫生健康行政部门。

第四章 数据流通利用管理

第八条 医疗卫生机构的信息系统和数据原则上应部署、存储在域内。域内指医疗卫生机构和相关行政部门权属可控、具备全程审计能力，并纳入卫生业务网、电子政务网或医疗卫生机构内部网络管理的物理与逻辑管控范围，包括本地数据中心，政务云、浙江健康云、行业可信数据空间等合规基础设施。确需域外部署存储的，需制定并论证数据安全部署方案，报同级卫生健康行政部门备案。

第九条 医疗卫生机构在开展对外数据合作中，要严格坚持原始数据不出域原则。对外提供数据前，须依规开展分类分级认定、数据安全评估、个人信息保护影响评估、伦理审查等；对外提供数据原则上不得包含可识别特定自然人的个人信息，确需提供个人信息的，应依法取得个人同意，确保数据来源合法、授权完备。

涉及数据出境的，严格按照国家及省数据出境相关规定执行，严禁私自、变相跨境传输数据。

第十条 医疗卫生机构开展“互联网+医疗健康”项目合作，应当严格遵循依法备案、等保合规、知情授权、隐私保护、安全可控的原则。相关服务须接入省互联网医院监管平台，通过网络安全三级等级保护测评。严禁未按规定备案、未落实网络安全等级保护要求提供服务，严禁超范围采集、未经同意使用、泄露、违规传输及滥用个人健康信息与线上诊疗数据。

第十一条 医疗卫生机构开展科研活动，涉及数据提供的，应当严格遵循临床研究、伦理审查、人类遗传资源管理等相关规定，明确知情同意、数据脱敏。科研数据实行专库管理、授权访问、成果脱敏发布、科研数据汇交等，保障科研数据安全合规。严禁未经患者知情同意使用包含个人信息的健康数据、擅自扩大样本范围、泄露科研过程及成果中的个人隐私信息。

第十二条 医疗卫生机构研发医学人工智能技术或产品，应在域内封闭环境开展，采用隐私计算、数据沙箱等技术加强安全防护，训练中间数据、临时数据按原始数据标准保护。严禁未经脱敏使用原始医疗数据训练模型、未经授权获取个人健康信息、违规向境外传输训练数据、违规转授或对外提供训练数据、超期留存及泄露训练数据隐私信息。

第十三条 国家人工智能应用中试基地（医疗）统筹建设全省行业可信数据空间、医学生物信息数据库等基础设施，集成医疗数据交易平台，制定医疗数据合规流通的标准体系。

支持和鼓励医疗卫生机构依托基地开展人工智能产品研发部署与推广、医学科研合作、医疗数据市场化交易等对外数据合作，按要求开展科研数据汇交和规范使用，高效合规推进医疗数据资源化资产化。

第十四条 合作终止、到期或解约后，须及时收回数据访问权限；需返还数据的，返还约定数据并对留存数据安全删除或不可逆销毁，完成核查确认并留存记录。对无需返还的数据，督促合作方落实安全保护、定期审计，禁止超范围使用、泄露、二次转授。

第五章监督管理

第十五条 省级卫生健康行政部门建设完善全省统一的卫生健康网络安全协调指挥平台，建立省级数据安全专家库，提供数据合作操作指引、数据安全与保密协议范本、风险评估要点等，实现全省医疗卫生机构对外数据合作的项目报备、数据出境、应急上报等事项的一网通办、全程留痕、闭环管理。

第十六条 各级卫生健康行政部门应当按照《中华人民共和国数据安全法》等法律、行政法规和国家有关规定，会同网信、公安、数据等部门通过统一平台，切实履行行业监管职责，强化对外数据合作全流程监管，常态化排查风险隐患，及时督促整改。

第十七条 医疗卫生机构应当以源头治理为核心，完善制度规范、优化流程管控、强化技术防护、加强人员培训，常态化开展风险排查与监管，确保医疗数据合规安全利用。

第十八条 对责任不落实、未经审批报备或审批报备不规范、违规开展对外数据合作、发生数据安全事件的单位及个人，依法依规严肃处理；涉嫌违法犯罪的，移送司法机关追究责任。

第六章 附则

第十九条 本办法由浙江省卫生健康委员会负责解释，自2026年10月25日起施行。