人工智能正在重塑医疗健康行业，在医学影像识别、临床辅助决策、新药研发等场景显著提效，但技术创新与法律规制之间的矛盾日益凸显，数据安全、隐私保护、算法合规、责任界定等问题交织叠加，其中数据合规与隐私保护是医疗 AI 首要的法律难题。包含病历、检验结果、基因及生物识别信息在内的医疗数据属于敏感个人信息，一旦泄露滥用将严重损害患者权益；不少医疗机构将重心放在数据采集、脱敏、授权、存储环节，却容易忽视数据生命周期末端的硬盘数据文件销毁，而这一环节恰恰是极易引发不可逆安全事故的风险点。
日本北海道就发生过典型事件。北海道医疗中心和北海道癌症中心曾委托当地一家废弃物处理公司销毁设备，但该公司未妥善处置，导致部分未被销毁的硬盘流入二手市场。经确认有33块硬盘流入二手市场，内含电子病历等数据，包含患者及工作人员的姓名、地址和诊断记录，时间跨度长达两年，约18.7万名患者及职员的个人信息遭泄露，面临泄露风险的可能达51万人，相关医疗机构随后向警方报案，要求追究废弃物处理公司的刑事责任。
这起事件暴露的核心问题不是技术不行，而是流程失控：委托方以为“交出去就完了”，受托方没有真正破碎硬盘就转卖，链条上没有任何有效核验与留痕。对医疗AI而言，这个教训更致命，因为训练数据、中间特征库、模型缓存、备份快照、测试环境副本，都可能散落在一台被当作废品卖掉的服务器上。
《医疗卫生机构网络安全管理办法》要求医疗卫生机构加强数据收集、存储、传输、处理、使用、交换、销毁全生命周期安全管理，数据销毁时应采用确保数据无法还原的销毁方式，重点关注数据残留风险及数据备份风险。同时该办法还要求对废止网络的相关设备进行风险评估，及时采取封存或销毁措施，确保废止网络中的数据处置安全。
针对外包和运维环节，国家卫生健康委等五部门印发的《医疗卫生机构数据安全和个人信息保护管理办法（试行）》明确，建设运维期间收集产生的数据未经授权不得用于其他用途，服务完成后应按照约定对数据予以返还或销毁；设备报废或变更用途前，应当按照电子产品信息清除技术要求对数据进行彻底清除处理，不得未经处置直接报废或转移他用。
同时也要注意，销毁不是想删就删。四川省健康医疗大数据管理相关规定明确，任何单位和个人不得篡改和随意销毁健康医疗大数据。病历更有硬性保存期限，门急诊病历自患者最后一次就诊之日起保存不少于15年，住院病历自最后一次出院之日起保存不少于30年，涉及医疗纠纷、法律诉讼、医保审核等未结事项的病案，无论是否达到保管期限均不得销毁。合规销毁的前提，是先确认“该销毁”，而不是为了省事一删了之。
实操上，硬盘一般先消磁再粉碎，服务器需要拆除硬盘后单独处置，网络设备要清除配置与数据，固态硬盘和芯片建议拆解后单独粉碎，不能只做表面破碎。很多机构踩坑就踩在“整机报废等于数据销毁”，实际上盘还在，数据就在。
真正合规的销毁，应该是一条能拿出来给监管、给审计、给患者交代的证据链。通常包括明确销毁触发条件，比如处理目的已实现、法定期限届满、用户行使删除权或撤回同意、服务器报废转让或退租云服务前等；建立登记、审批、分类、处置、监销、存档的闭环流程，执行与审计核验岗位分离，物理销毁在受控环境中全程无死角录像，覆盖载体转运、现场销毁、残片处理全流程。
留痕同样关键。企业需要出具并保存数据销毁证明或擦除报告，相关日志、监控视频、审批流及销毁记录一般留存不少于3年，部分行业需要7年；擦除报告最好包含精准时间、发起执行验证人员、设备序列号与资产编号、算法标准等核心要素。委托第三方时，要核查其是否具备相应资质，涉密载体销毁需具备国家秘密载体销毁资质，电子废弃物处理需持有固体废物治理资质或环保部门颁发的废弃物处理许可证，同时关注是否具备封闭式保密运输、独立监控销毁车间等条件。合同中必须写清保密义务、禁止转包转卖、现场监督权、违约责任和赔偿范围，并安排人员现场监销，销毁后取得正式销毁证明。
医疗AI的价值建立在数据之上，风险也藏在数据里。采集决定AI能不能跑起来，销毁决定一旦出问题会不会彻底失控。把销毁当成合规的收尾动作，很容易出事；把它当成数据安全的最后一道闸门，才真正对得起患者的信任。
热门跟贴