文 | 符小瑜

医疗数据资产交易的快速发展，除了宏观政策驱动外，更深层的动力源于医疗健康领域数字化转型的内在需求。2026年3月，全国政协委员朱同玉在全国两会上指出，“当前跨机构数据调阅率不足15%，非结构化数据占比超过70%，数据缺失率及错误编码超过30%。若没有专业的数据治理，这些“脏数据”无法支撑高质量的AI模型训练。AI企业难以进入，而医院自身又缺乏治理能力，从而形成死循环”。

在临床数据领域，姓名、通讯信息、证件信息等个人信息属于个人数据，但诊疗过程中产生的电子病历、影像记录、检验结果等临床数据，因其在公共卫生等领域的广泛应用以及医疗服务本身的公共属性，使其难以剥离公共数据属性。经匿名化处理的临床数据则可以衍生出在法律上合规、技术上安全、商业上有价值的企业数据。因此，医疗临床数据整体上可以被视为一种包含个人数据、企业数据及公共数据特征的混合类型数据集。

2022年12月，中共中央、国务院印发《关于构建数据基础制度更好发挥数据要素作用的意见》（即“数据二十条”），将数据分为公共数据、企业数据和个人数据，提出“数据资源持有权、数据加工使用权、数据产品经营权”三权分置的权属配置框架，淡化所有权、强化使用权，为数据要素市场化配置提供了基础制度指引。此后，国家数据局等部门密集出台配套政策，加快推进数据要素市场化配置改革。

在医疗健康领域，国家卫健委积极推动落实《“数据要素×”三年行动计划（2024—2026年）》，组织开展卫生健康行业“数据要素×”典型案例征集，配合国家数据局开展行业内公共数据资源登记和行业可信数据空间发展试点。与此同时，财政部于2024年12月印发《数据资产全过程管理试点方案》，选取国家卫健委等中央部门及北京、上海、福建等地方财政部门，从2025年初至2026年底开展数据资产全过程管理试点。试点内容涵盖编制数据资产台账、开展数据资产登记、完善授权运营机制、健全收益分配机制、规范推进交易流通等重点环节。

2025年4月，国家卫健委配合国家数据局组织开展卫生健康行业可信数据空间创新发展试点项目。2025年11月，国家卫健委等五部门联合发布《关于促进和规范“人工智能+医疗卫生”应用发展的实施意见》（“五部门意见”），提出建立临床数据授权运营管理制度、数据安全和个人信息保护负面清单、智能应用数据安全防护体系等制度框架。

2025年12月31日，北京市卫生健康大数据与政策研究中心发布《健康医疗数据匿名化技术规范（试行）》，系国内首个面向健康医疗领域的专项匿名化技术标准，为医疗数据匿名化处理、合规流通提供全流程操作指引。2026年4月，北京市卫生健康委员会主办的宣介会解读上述规范，还促成首都医科大学附属北京同仁医院与拜耳医药、恒瑞医药的数据交易合作意向，实现顶尖医疗机构高质量眼科及专病数据与头部医药企业创新研发需求的精准匹配。

上述国家和地方政策密集出台，表明我国正加速搭建医疗数据合规流通的制度体系。与此同时，全国各地医院数据产品上架交易、合规落地的实践案例持续涌现。但政策鼓励先行先试的创新导向，与个人信息保护法律的刚性约束之间存在显著张力：一方面，政策层面支持探索、允许试错；另一方面，《个人信息保护法》为医疗健康这类敏感个人信息设定了不可突破的法律底线。如何在创新发展与合规底线之间找到稳妥平衡点，正是本文重点探讨的问题。

【案例一】郴州市第一人民医院：罕见病科研专病库数据上架湖南省大数据交易所（公开时间：2026年4月14日）

湖南省郴州市第一人民医院自主研发的“罕见病科研专病库数据”及“老年共病疾病诊断及住院负担数据集”两项数据产品，已完成合规性及合法性审查程序，并正式在湖南省大数据交易所挂牌上架，成为湖南省医疗机构中首个达成“双登记（数据资源登记、数据产品登记）”的机构。其中，罕见病科研专病库数据集聚焦罕见病诊断难、研究少、数据分散等痛点，通过医疗多模态数据整合，为临床研究、新药试验、AI辅助诊断提供重要支撑。

据公开信息披露，本次上架的两款产品，由医院信息中心联合多专科团队共同打造，基于医院多年积累的真实世界临床数据，经过严格脱敏清洗、标准治理、并经过律师事务所的安全评估与全流程合规核验，在全面保障患者隐私与数据安全的前提下，实现医疗数据从院内资源向市场要素的转化。

【案例二】山东第一医科大学第一附属医院（千佛山医院）：“肝病临床谱系与移植状态数据集”完成合规备案并上线北方中心交易平台（公开时间：2026年4月9日）

国家健康医疗大数据中心（北方）（以下简称“北方中心”）健康医疗行业数据流通交易平台显示首笔数据产品交易，本次交易涉及的数据产品为1000余例肝病临床谱系与移植状态数据集。该数据集由山东第一医科大学第一附属医院（千佛山医院）完成合规备案，并正式上架北方中心健康医疗行业数据流通交易平台，最终由山东山科智心科技有限公司采购成交，完成山东省内首次从资产化、确权登记到交易的全流程闭环。

【案例三】首都医科大学宣武医院：2500余例颈动脉支架手术病例数据集上架北京国际大数据交易所（公开时间：2024年12月9日）

首都医科大学宣武医院与北京国际大数据交易所合作，成功完成本市首笔公立医院数据交易。本次交易的数据来源于该院收治的2500余例接受颈动脉支架手术的病例，涵盖疾病信息、检验检查结果、医学影像及治疗数据等关键内容。此次交易的数据并非源自原始病历系统，而是来自该院专门构建的颈动脉支架手术专病数据集，属于研究性临床数据。

据公开信息披露，本次交易的数据集已依法完成严格的匿名化处理，并经过数据清洗、整合与标准化等流程，在切实保障患者隐私的前提下，确保数据的准确性与可用性。宣武医院副院长焦力群指出，通过对原始医疗数据进行专业、严密的匿名化处理，使其无法逆向追踪，为医疗数据隐私与安全保护提供了宝贵的实践经验，亦为行业其他机构开展数据转化树立了标杆性指引。

【案例四】广州医科大学附属妇女儿童医院：依托可信数据空间实现新生儿黄疸数据用于无创检测设备评估（公开时间：2025年5月8日，发布会日期）

广州市卫生健康委员会正式发布广州卫生健康行业可信数据空间建设成果，涵盖5个数据产品及28个高质量数据集。广州市卫生健康委员会相关负责人指出，上述数据集不仅涵盖丰富的临床信息，且已依法完成严格的脱敏与标准化处理，确保数据安全性与可用性。

据悉，该可信数据空间从机制、流程、技术及监管等多维度保障数据安全与患者隐私。在机制设计上，采用“一场景一授权”的数据使用方式，数据使用方在调用数据前，须由市卫生健康委员会对每个具体使用场景进行审批。数据从医院传输至可信数据空间的全程中，设置了多重环节以完善整体流程控制，并采用多种技术手段进行保护，同时定期对数据及可接触前端数据的管理员进行严格审核。据广州数据集团广电研究院副院长叶展均介绍，从医院进入可信数据空间的数据基本为去标识化后的脱敏数据，用于整体情况的研究分析；若涉及需使用和流通包含个人信息的数据，则必须获得个人主体的明确授权。

【案例五】上海芯超生物科技有限公司与上海市第一人民医院：21个数据产品在上海数据交易所重大疾病数据行业创新中心挂牌（公开时间：2025年6月12日）

上海芯超生物科技有限公司与上海市第一人民医院（上海交通大学医学院附属第一人民医院）在完成数据治理的基础上，经数据匿名化处理及安全加密，成功形成全国医疗体系首批合规、可交易的数据产品。该批数据产品已于近日在上海数据交易所重大疾病数据行业创新中心正式挂牌。

本次挂牌的数据产品共计21个，涵盖两大类别：其一为来自上海市第一人民医院眼科、内分泌科、放射科等10个临床科室的20个专科数据产品；其二为来自申康发展中心临床转化研究院的1个行政管理数据产品。上述数据产品将在基础临床研究、器械及新药研发、医疗服务、保险产品开发、人工智能模型训练及医疗资源优化配置等场景中发挥重要价值，有力赋能生物医药产业的创新发展。

【案例六】深圳市人民医院：老年专病库数据产品在深圳数据交易所完成交易（公开时间：2025年10月19日）

2025年10月，深圳市首宗由医院直接通过深圳数据交易所达成的医疗健康领域数据产品场内交易在深圳市人民医院完成。据公开信息披露，这次“挂牌上市”的数据产品，源自深圳市人民医院近十年临床实践的深厚积累，项目团队运用人工智能技术，将文本、影像等多模态医疗数据“编织”成一条清晰、结构化的数据链，构建起以老年心血管疾病为核心，并逐步扩展至心身疾病、退行性疾病、代谢性疾病的研究队列，就像组建了一支覆盖多类疾病的“数据战队”。同时，所有数据均经过严格的匿名化“脱敏”处理，并进行了深度清洗与标准化整合。该案例体现了深圳市在医疗数据合规流通领域的探索实践，也为粤港澳大湾区医疗数据市场化应用提供了参考样本。

结合公开信息与上述案例，当前医疗数据合规交易实践可归纳为三种典型模式：（一）基于地方数据交易所开展的场内交易；（二）依托政府主导的可信数据空间实现数据授权使用和安全流通；（三）以数据资产登记、确权、备案为核心的数据资产全流程管理与场内交易闭环探索。限于篇幅，本文暂不展开论述。

从上述案例我们可以观察到，有案例明确了医疗数据进行了“匿名化”处理数据，也有部分案例仅提到“脱敏”“去标识化”，也有的通过“一场景一授权”机制补强授权。因此，笔者个人认为在试点创新背景下，多数医疗数据交易仍与《个人信息保护法》刚性要求存在明显张力，突出表现为以下三类冲突。

（一）匿名化与去标识化（脱敏）的法律界限被混淆

《个人信息保护法》明确规定，匿名化处理后的信息不属于个人信息，不适用个人信息保护相关规则；而去标识化、脱敏处理后的信息仍属于个人信息范畴，仍需严格遵守个人信息处理的法定要求。医疗健康信息作为敏感个人信息，法律保护标准更为严格。实践中，若仅完成技术层面的脱敏或去标识化处理，未达到法律意义上“无法识别特定自然人且不能复原”的匿名化标准，却按照匿名化信息对外提供、交易与流通，将构成实质性合规瑕疵。

（二）知情同意不充分、使用目的变更未经同意

个人信息处理应遵循充分知情、自愿明确、最小必要原则。患者在诊疗环节签署的知情同意书，通常仅涵盖临床诊疗、院内科研等目的，未明确约定数据可用于对外交易、商业授权、AI 模型训练等商业化用途，依法应重新取得个人同意，而商业性 AI训练一般不属于法定豁免情形。

（三）试点不等于突破法律底线

国家对数据要素试点探索持包容态度，允许在制度完善过程中先行先试，但试点包容不构成合规豁免，更不能突破个人信息保护底线。未实现法定匿名化、未取得有效患者授权、使用目的超出同意范围的交易，在法律层面仍存在被认定为违法处理个人信息的风险。

医疗数据资产交易的合规构建，应当在法律底线与创新需求之间寻找稳定平衡点，从技术、授权、制度三层形成闭环体系。笔者个人基于法律与医疗行业理解，提出以下几点思考和建议，供同行参考。

（一）技术路径：从一般性脱敏升级为法律意义上的匿名化

匿名化是消除个人信息合规风险的根本路径。医疗机构、数据处理方与交易平台应将处理目标从“技术脱敏”提升至“法定匿名化”，确保处理后数据无法识别特定自然人且无法复原。同时，在可信数据空间、交易平台等场景引入数字合约，明确使用用途、权限范围、使用期限与责任边界，结合区块链技术实现数据调用、流转、使用全程可追溯、可审计、防篡改，以技术手段落实用途限制、安全管控与合规留痕。

（二）授权机制：从一次性概括授权转向场景化动态授权

在无法完全实现匿名化、仍涉及个人信息处理的场景，授权机制是核心合规防线。

1.建立临床数据授权运营管理制度，由医疗机构或监管主导，对数据处理、流通、使用进行审批与约束，确保被授权方具备数据安全与隐私保护能力；

2.完善知情同意条款，在患者授权书中明确数据可用于对外交易、商业研发、AI训练等，并赋予患者知情权、选择权与撤回权；

3.建立“一场景一授权”与“二次同意”机制，当数据使用目的、范围、接收方发生重大变更时，重新取得患者明确同意。

（三）制度框架：构建多层次、可落地的合规保障体系

1.严格落实数据安全与个人信息保护负面清单。以负面清单明确禁止行为红线，包括未经合法授权处理重要医疗健康数据、违规跨境传输、将医疗数据用于非授权目的、非法交易患者个人信息、未完全匿名化即公开或共享医疗信息等，以明确的清单化管理压实各方责任。

2.建立医疗数据分类分级流通规则。根据敏感程度与处理方式实施差异化管控，完全匿名化数据，依法可自由流通与交易；去标识化（脱敏）数据，仍属于个人信息，须取得患者有效授权并限定使用范围；原始病历、生物识别信息等高敏感个人信息，原则上不得直接进入流通市场，仅可在法定情形下经严格审批与单独同意后限定使用。

3.建立医疗数据匿名化第三方认证与责任机制。推动设立第三方专业机构，对数据匿名化处理效果、技术安全性、不可逆识别性进行独立评估与认证，避免“伪匿名化”“形式匿名化”。明确各方责任，医疗机构对数据来源合法性与授权真实性负责；数据处理方对匿名化处理合规性与技术有效性负责；交易平台对上架产品合规审查与交易流程管控负责；数据使用方对数据使用范围、用途与安全保护负责。

4.推动试点经验制度化与规则统一。以财政部数据资产全过程管理试点、卫健委可信数据空间试点为依托，将北京匿名化技术规范、广州一场景一授权、各地场内交易审查流程等成熟实践提炼为行业标准与操作指引，推动试点经验由区域先行、单点示范向全国复制推广与系统落地实施，构建统一规范、安全高效的医疗数据交易生态，切实激活数据要素潜能，让医疗数据交易真正发挥产业赋能、科研创新与公共卫生治理的核心价值。

医疗数据资产交易是数据要素市场建设的关键抓手，更是数字经济发展的必然趋势，其根本在于打造“技术可控、规则清晰、利益共享、患者受益”的医疗数据新生态。当前，医疗数据合规流通的制度体系正加快构建，我们既要为试点探索赋予适度的制度弹性，鼓励在法律框架内先行先试、积累经验；也要严守《个人信息保护法》法律底线，让医疗数据这一“沉睡的金矿”真正转化为赋能医疗创新、惠及社会公众的“流动资产”。