隨著我國近年來對網(wǎng)售處方藥有條件地放開，網(wǎng)售處方藥交易場景下的數(shù)據(jù)處理亦需遵循《網(wǎng)絡(luò)安全法》《數(shù)據(jù)安全法》《個人信息保護(hù)法》等相關(guān)法律規(guī)定。2021年11月14日，國家網(wǎng)信辦發(fā)布《網(wǎng)絡(luò)數(shù)據(jù)安全管理條例（征求意見稿）》（以下簡稱《條例（征求意見稿）》），旨在進(jìn)一步為規(guī)范網(wǎng)絡(luò)數(shù)據(jù)處理活動提供法律依據(jù)。

一、《條例（征求意見稿）》的規(guī)制范圍包括網(wǎng)售處方藥

網(wǎng)售處方藥交易本質(zhì)上就是數(shù)據(jù)通過網(wǎng)絡(luò)進(jìn)行處理的過程，包含處方信息和個人信息的收集、使用及核驗。依據(jù)《條例（征求意見稿）》第二條、第五條、第六條等條款規(guī)定，網(wǎng)絡(luò)售藥經(jīng)營者也屬于數(shù)據(jù)處理者，需對數(shù)據(jù)安全履行相關(guān)責(zé)任。除了《條例（征求意見稿）》外，網(wǎng)絡(luò)售藥經(jīng)營者還需遵循藥品管理和醫(yī)療健康等領(lǐng)域的相關(guān)法律規(guī)范，包括《藥品管理法》《藥品網(wǎng)絡(luò)銷售監(jiān)督管理辦法》（待出臺）《處方管理辦法》《長期處方管理規(guī)范（試行）》等。

二、數(shù)據(jù)安全等級分類及匿名化

《條例（征求意見稿）》再次強調(diào)了不同級別數(shù)據(jù)（一般數(shù)據(jù)、重要數(shù)據(jù)、核心數(shù)據(jù)）應(yīng)采取不同的保護(hù)措施；其中，重要數(shù)據(jù)的系統(tǒng)原則上應(yīng)當(dāng)滿足三級以上網(wǎng)絡(luò)安全等級保護(hù)和關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)要求，而處理核心數(shù)據(jù)的系統(tǒng)則應(yīng)從嚴(yán)保護(hù)。由于數(shù)據(jù)在不同領(lǐng)域的應(yīng)用場景不同，其級別分類亦有待進(jìn)一步的明確。為此，網(wǎng)絡(luò)售藥交易下的數(shù)據(jù)級別尚未有明確的法定范圍和目錄。此外在個人信息處理方面，根據(jù)《條例（征求意見稿）》第二十二條規(guī)定，交易目的實現(xiàn)后的十五個工作日內(nèi)，數(shù)據(jù)處理者應(yīng)刪除個人信息或者進(jìn)行匿名化處理，旨在規(guī)制信息的后續(xù)使用者在不借助額外信息的情況下，無法識別特定自然人的完整數(shù)據(jù)。

三、數(shù)據(jù)主體的實質(zhì)同意

《條例（征求意見稿）》第二十一條第一款第（一）項值得數(shù)據(jù)處理者高度關(guān)注，即數(shù)據(jù)處理者應(yīng)清晰、充分、有效地獲得數(shù)據(jù)主體的同意，方可進(jìn)行個人信息收集與利用。該條款的設(shè)置類似歐盟的《通用數(shù)據(jù)保護(hù)條例》（GDPR）的相關(guān)規(guī)定，但是相關(guān)處罰力度更為緩和。同時，《條例（征求意見稿）》第二十一條第三款對于爭議糾紛的舉證責(zé)任進(jìn)行了規(guī)定，即當(dāng)數(shù)據(jù)主體與數(shù)據(jù)處理者對個人同意行為有效性存在爭議時，數(shù)據(jù)處理者一方負(fù)有舉證責(zé)任。

綜上，我國境內(nèi)的網(wǎng)售處方藥數(shù)據(jù)處理將涉及多重法律體系的交叉適用，建議相關(guān)經(jīng)營主體盡早對此形成清晰的認(rèn)識與理解。相關(guān)議題另可參閱《網(wǎng)售處方藥交易下信息數(shù)據(jù)處理規(guī)則的思考》。

本文作者：張旭晟，上海驥路律師事務(wù)所 中國毒理學(xué)會毒理學(xué)家 (DCST)

聲明：

本文由上海驥路律師事務(wù)所律師原創(chuàng)，僅代表作者本人觀點，不得視為驥路律師事務(wù)所或其律出具的正式法律意見或建議。如需轉(zhuǎn)載或引用本文的任何內(nèi)容，請注明出處。