互联网医疗时代，大数据正在越来越深入地影响医疗行业的发展，医疗的未来是由数据驱动的医疗。

　　这种来自技术的变革是深刻的，厚积薄发，因为医学本质就是信息处理，当人的所有信息都能被量化、存储、汇总、分析后，医疗服务在广度与深度两个尺度上，都在被扩展和赋予新的内涵。互联网时代的几个基本问题：个人数据安全、隐私、数据标准等，同样会在数据驱动的医疗时代显现。

　　随着医疗机构由纸质办公系统向数字化病历系统的转变，因医疗信息窃取而引发的诈骗案日益增多。一项对1000 名近期就医患者的电子病历与IT安全调查的结果显示：49%的患者认为电子病历系统的建立对于个人医疗信息保护存在不良影响。86%的受访者认为医疗机构有义务保护患者的财务信息，94%的认为个人识别信息及与患者家属相关的任何信息需要严格保护。目前国内电子病历等医疗资料及器械在安全隐私保护等方面缺少可操作的标准，在政策法规中尚未制定健全的体制。各机构都以安全与隐私为名各自独占信息资源，没有真正去解决由共享而带来的安全和隐私问题。

　　但医疗保健信息系统的广泛应用不可避免地要在不同的系统之间进行数据的共享和交换，系统的安全与隐私的保护也成为进行可信赖的共享和交换的前提。医疗信息的安全与隐私保护既需要在技术上进行强化，也需要在政策法规上予以重视，而后者，从信息技术高度发展的今天来看，尤为重要。1996年美国出台的《健康保险携带和责任法案》就专门为安全与隐私的保护及信息的共享制定了策略，为美国电子病历的广泛使用奠定了基础。

　　该法案分两个部分，第一部分是换工作或者失业的时候为职员提供健康保险；第二部分是以简化行政管理为目标，降低日益增长的医疗费用开支的信息管理法案。该法案规定了适用于电子健康信息的传输与记录的标准，并对医疗保健提供者、医疗保险提供者以及个人身份进行唯一标识的规定。在该法案的相关标准中，有关医疗信息安全和隐私的条例是重要的组成部分。在美国所有涉及医疗保健的机构中，包括医院、保险部门、保健服务商、医疗信息转换机构（数据格式处理和结构化服务的公司）、医疗信息系统供应商、医科大学甚至只有一个内科医生的诊室等，对任何形式的个人健康信息的存储、维护和传输都必须遵循该法案规定。美国《健康保险携带和责任法案》安全与隐私保护条例是技术中立的、可升级的。系统安全可在系统的建立、实现、监控、测试和管理过程中不断提高，并且每个环节都可采用多种工具。该条例是一种开放的标准，每个机构可以选择适合自身的技术和解决方案。机构必须保存达到美国《健康保险携带和责任法案》标准要求的相关文档，并接受对这些资料和相关过程的定期复查。

　　安全与隐私保护条例将安全标准分为三类，以保护信息系统的保密性、一致性和可用性：包括管理上的防护，建立和落实安全的管理策略；物理设施上的防护， 描述如何保护计算机系统实体以及相关的环境和设备要求，免受自然灾害或人为破坏；技术上的防护，描述技术方面对数据访问的保护和监控。条例规定了涉及个人健康信息的内容可被组织机构使用的信息标准，并规定了个人可以了解和控制他们的信息是如何被使用和披露的。美国健康与公共事业部的人权办公室负责实施和执行条例，并对破坏条例的行为进行处罚。条例的主要目标是保证私人健康信息能够用于提升个体的医疗安全和质量，同时保护群体的公共健康信息，避免泄露。由于医疗市场的多样性，条例设计成具有充分的自由度，且覆盖全面，能囊括各种用户的使用需求。

　　受保护信息包括保护所有能够用于识别个体身份的健康信息，这些信息不管以何种媒介存贮，电子的，纸质的，还是口头的，只要责任人持有或者传播，就是受安全条例保护的。安全条例将这样的信息称为“敏感个人健康信息”。识别个体身份的健康信息包括个人的基本数据，如过去、现在和未来的身体或精神健康状况，针对个体提供的医疗措施，过去、现在和未来的医疗支付。识别个人的或者通过合理的推断可以辨识出个体身份信息的，或者通用的身份识别信息，如姓名、地址、出生日期、社会保障号等；条例不适用于雇主、教育机构等在本机构范围内维护的个体健康记录。不可识别身份的个人健康信息是可以被应用或者披露的，这些健康信息不能通过直接的身份信息或者间接的推断识别出。个人健康信息不可被身份识别，两种方式可以做到：1）只给出统计信息的群体健康信息（需要由合格的统计者来做）；2）移除个人身份信息，并移除相关的家庭成员或者雇主的信息，确保不能通过任何剩余的信息来推断个人身份信息。

　　在安全与隐私方面我国还欠缺明文的法律规范，这是制约城市医疗卫生信息共享和交换的瓶颈之一，有必要加快我国在此领域的工作进度，保障医疗卫生信息的开放与共享。另一方面，国内关于个人医疗健康数据的所有权定义，在医院与个人之间的数据产权的界定、法律责任保障等方面，目前法律界、卫生界、互联网信息界都处于探索阶段。在部分领域，实践会快于规则的制定。