省医疗保障局关于印发《湖北省医疗保障信息平台数据安全管理暂行办法》的通知

省医疗保障局关于印发《湖北省医疗保障信息平台数据安全管理暂行办法》的通知

鄂医保发〔2022〕65号

各市、州、直管市及神农架林区医疗保障局,局机关各处室及直属单位:

《湖北省医疗保障信息平台数据安全管理暂行办法》已经局党组会审议通过,现印发给你们,请遵照执行。

湖北省医疗保障局    

2022年10月19日    

湖北省医疗保障信息平台数据安全管理暂行办法

第一章总则

第一条 为保障湖北省医疗保障信息平台(以下简称“省医保平台”)数据总体安全可控,数据在采集、传输与存储、使用与共享、清理与销毁等全生命周期安全流转,数据安全相关工作有序开展,依据《中华人民共和国数据安全法》、《中华人民共和国网络安全法》、《信息安全技术个人信息安全规范》和《国家医疗保障局数据安全管理办法》等相关法律法规,结合工作实际,制定本办法。

第二条 本办法所称数据,是指通过省医保平台处理,以电子或其他方式对信息的记录。涉及国家秘密、工作秘密的数据,按有关保密规定进行管理。

第三条 本办法所指省医保平台包括内部统一门户子系统、内部控制子系统、跨省异地就医管理子系统、支付方式管理子系统、医疗服务价格管理子系统、药品和医用耗材招采管理子系统、公共服务子系统、信用评价管理子系统、基金运行及审计监管子系统、医疗保障智能监管子系统、宏观决策大数据应用子系统、运行监测子系统、基础信息管理子系统、医保业务基础子系统、基金财务子系统,以及后续新增信息子系统。

第四条 本办法适用于数据采集、传输、存储、使用、共享、清理与销毁等数据全生命周期活动。主要术语定义如下:

(一)数据采集,指全省各级医疗保障部门在履行业务职能时,使用省医保平台产生、采集和汇集数据的过程。

(二)数据传输,指将数据从一个实体发送到另一个实体的过程,包括但不限于通过网络通信、半导体存储、光学存储、硬盘等方式进行传送。

(三)数据存储,指数据经处理后按一定格式和顺序存储在特定的载体中,以便快速准确识别、定位和检索。

(四)数据使用,指各单位为履行业务职责,开展医保结算、数据比对、信息查询等业务。

(五)数据共享,指向医疗保障系统以外的政府部门、社会组织及其他机构提供数据服务的行为。

(六)数据清理与销毁,指对不再使用或按要求应清理、销毁的数据进行清理、销毁处理。

(七)数据主管部门,指拥有数据使用管理权限的单位。

(八)数据内部使用单位,指全省各级医疗保障部门。

(九)数据外部使用单位,指医疗保障系统以外的政府部门、社会组织及其他机构。

第五条 本办法数据分类分级按照国家医疗保障局印发的《医疗保障数据分类分级规范》执行。

第六条 数据安全管理总体原则如下:

(一)谁主管谁负责,谁使用谁负责原则。数据主管部门对本单位数据的使用管理承担最终安全保护责任。数据需求部门在数据使用过程中承担相应的数据安全保护责任。

(二)知所必须,最小化原则。在符合法律法规和保证数据安全的前提下,根据工作需要按照最小权限原则对最小范围内的用户和省医保平台开放数据访问权限。

(三)分类分级,重点保护原则。根据数据业务属性和敏感程度实施分类分级管理,加强个人信息安全保护力度。

(四)合规共享,有序公开原则。坚持数据安全与数据开发利用并重。引导数据依法有序自由流动,促进数据有效合理利用。

第七条 本办法适用于全省各级医疗保障部门。

第二章组织架构与职责分工

第八条 湖北省医疗保障局网络安全与信息化领导小组(以下简称“省局网信领导小组”)是数据安全管理工作领导决策机构。主要职责为:研究部署湖北省医疗保障数据安全政策,贯彻落实相关法律法规,审定数据安全保护工作规划,决策数据安全重大事项。

第九条 省局网信领导小组组办公室(以下简称“省局网信办”)是数据安全管理工作的管理机构,负责统一规划、推进、管理、协调、落实数据安全相关工作,审定数据安全各项规章制度,处置重大数据安全事件,向省局网信领导小组汇报数据安全管理工作情况。

第十条 省局医疗保障信息中心是数据安全管理工作具体实施部门,主要职责为:

(一)负责组织拟定数据安全防护方案、核心数据和重要数据目录、数据安全事件监测与应急预案等有关制度。

(二)负责数据采集、使用、传输、存储、共享和销毁等技术保障实施工作。

(三)负责对数据安全威胁进行监测预警。

(四)负责定期组织数据安全培训和宣传教育工作。

第十一条 数据主管部门主要职责为:

(一)负责本部门数据的安全管理工作,按照网络安全等级保护第三级要求,对个人终端及其他方式处理的数据加强安全防护。

(二)制定本部门主管数据的访问权限。

(三)对共享本部门主管数据的需求进行内容、数据口径审核及风险评估。

(四)与本部门所需共享数据的提供单位确认数据共享方案。

(五)协助做好数据安全事件调查、应急处置和问题整改工作。

第三章个人信息处理

第十二条 个人信息指以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息,不包括匿名化处理后的信息。处理个人信息应当取得个人同意,符合下列情形之一的,不需取得个人同意:

(一)为履行法定职责或者法定义务所必需;

(二)为应对突发公共卫生事件,或者紧急情况下为保护自然人的生命健康和财政安全所必需;

(三)为公共利益实施新闻报道、舆论监督等行为,在合理的范围内处理个人信息;

(四)依照法律法规在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息;

(五)法律、行政法规规定的其他情形。

第十三条 为履行法定职责处理个人信息,应当依照法律法规履行告知义务。

第十四条 个人信息应当在中华人民共和国境内存储。

第四章数据采集

第十五条 使用省医保平台采集数据时,数据主管部门应根据职能范围提交数据采集申请,经省局网信办审批同意后由省局医疗保障信息中心开展采集工作。使用其他手段采集数据时,数据主管部门经本单位负责人审批同意后开展采集工作。

第十六条 数据主管部门委托第三方机构采集数据时,须评估安全风险并与第三方机构签订保密协议,要求其明确数据采集来源、范围、策略等,不得超出授权范围,不得违规存储、加工、使用所采集的数据。

第十七条 对于从省医保平台外部合法取得的数据,应周全考虑相关风险,谨慎使用,规范使用流程,确保依法合规且不违反与数据外部使用单位订立的相关合同(协议)约定。

第五章数据传输与存储

第十八条 数据在传输与存储过程中,应综合运用专用网络、安全协议、数据加密、鉴权控制、数据防泄露、数据备份等技术手段,以保障数据安全及高可用。

第十九条 各单位用于保存数据的移动存储设备,应自行做好介质登记和日常保管工作。

第二十条 省医保平台数据须存储于为湖北省医疗保障局提供云资源服务的省政务云平台数据中心,不得以任何形式交由湖北省医疗保障局外的其他个人或组织存储和管理。对于数据共享场景,依据数据共享章节规定开展。

第六章数据使用

第二十一条 数据主管部门人员使用本单位省医保平台数据前,由具体使用人提交申请,经本单位负责人审批同意后,由省局医疗保障信息中心实施授权操作并对授权情况进行记录。

第二十二条 非数据主管部门人员使用局内其他单位省医保平台数据前,由具体使用人提交申请,经本单位负责人审批,提请数据主管部门同意后,由省局医疗保障信息中心实施授权操作并对授权情况进行记录。

第二十三条 非数据主管部门人员使用局内其他单位非省医保平台数据时,双方应共同做好数据安全保护工作。

第二十四条 数据主管部门应严格控制提取、复制、打印、刻录等数据使用权限,防止信息扩散和泄露。未经审批同意,数据使用单位不得擅自下载、保存、带离各类数据。

第二十五条 数据主管部门应及时变更、回收调岗离职等人员的数据访问权限,并负责对以上人员近六个月内的数据访问行 为进行审查,审查内容包括省医保平台内访问记录、移动存储设备使用登记等。

第二十六条 数据需求部门应遵守相关管理要求,积极参加数据安全培训,提升数据安全保护意识,杜绝不当使用。

第二十七条 省医保平台数据的使用须有完整的日志记录,包括用户和设备信息、获取时间、具体数据文件等,相关日志应保存六个月。

第七章数据共享

第二十八条 纪检、审计、公安机关、国家安全机关等部门因履行法定职责调取数据,须经局内受理单位分管局领导审批同意。

第二十九条 法律法规和监管规定明确要求不得共享的数据,

严禁以任何形式共享。

第三十条 对外合作数据共享原则上须通过湖北省大数据能力平台实现数据共享交换。外部单位提出的数据共享需求,由对  应数据主管部门评估数据共享需求及风险,内容包括数据用途、使用方式、是否符合法律法规及监管规定、个人信息保护影响、风险及应对措施等后,提请省局网信办同意,并与合作单位签订保密协议后,由省局医疗保障信息中心具体实施。

第三十一条 省局各单位共享外部单位数据时,由省局数据需求单位会同省局医疗保障信息中心,明确数据共享的内容、共享方式及共享频率,报省局网信办同意后,由省局医疗保障信息中心具体实施。

第三十二条 对外合作单位应符合资质审查标准,按需提供第三方出具的数据安全保护能力证明材料。对外合作共享协议或合同中应明示合作单位的安全责任和必须遵守的安全要求。数据外部使用单位须签署和遵守安全保密协议。

第三十三条 从合作单位取得的数据,应周全考虑相关风险,谨慎使用,严格限制使用频率和使用量,规范使用流程,确保依法合规且不违反与合作单位订立的相关合同(协议)约定。

第三十四条 从湖北省医疗保障局获得的数据仅限合作单位自身使用,严禁提供给第三方机构或个人。

第八章数据清理及销毁

第三十五条 省医保平台数据销毁时,由数据主管部门根据工作实际,提出清理及销毁申请,会签省局医疗保障信息中心,经省局网信办审批同意后,由省局医疗保障信息中心开展数据清理及销毁工作。若须销毁的省医保平台数据由多个单位共同管理, 须会签该数据的其他主管单位。其他数据的销毁工作由局内各单位自行管理。

第三十六条 数据销毁须采取物理或逻辑销毁手段,保证销毁的彻底性,并对数据销毁活动进行记录。

第三十七条 省局网信办负责制定省医保平台数据保存期限和清理方案,由省局医疗保障信息中心按方案执行备份和清理工作。

第九章数据安全事件应急处置

第三十八条 数据主管部门发现数据泄露等安全风险事件须及时报送省局网信办。

第三十九条 数据安全事件实行分级管理,事件发生后应立即启动相应的应急处置流程。数据主管部门应协助做好事件调查、应急处置和问题整改工作。省局网信办对事件处理、应急管理、问题整改情况进行监督评价,对未落实或整改落实不到位的情况纳入通报。

第四十条省 局网信办统筹制定数据安全事件应急管理流程,根据数据分类分级、事件影响范围等制定应急预案,组织开展应急演练。

第十章数据安全管理责任

第四十一条 局内各单位或者个人未按照本办法履行管理职责的,对直接负责的主管人员和其他直接责任人员按照事件严重程度由机关纪委给予相应处分。

第四十二条 共享数据合作单位违反本办法或者违反保密协议的,视情节追究其违约责任,可采取解除合同或列入失信合作厂商等措施。