卫生部规定健康数据平台七类禁止行为

卫生部于2026年10月14日发布第3218/QĐ-BYT号决定，并配套发布《健康数据门户管理、运行、使用、开发、数据共享及网络安全保障规定》。其中，配套第3218/QĐ-BYT号决定颁布的该规定第4条第6款规定：行为人不得实施以下行为：a）非法阻碍机关、组织和个人连接、开发、使用其合法数据；b）收集、访问、开发、使用、复制、提取、提供、共享、移交或披露违反法律规定或超出授权范围的数据；c）将数据用于不当目的，或侵犯机关、组织和个人的合法权益；d）歪曲、伪造、损坏、删除或非法更改数据；đ）非法买卖、交换数据；e）非法入侵、破坏技术基础设施，或实施干扰、阻碍系统运行的行为；g）实施法律规定的其他禁止行为。因此，针对健康数据门户，共有07类禁止行为：第一，非法阻碍机关、组织和个人连接、开发、使用其合法数据。第二，收集、访问、开发、使用、复制、提取、提供、共享、移交或披露违反法律规定或超出授权范围的数据。第三，将数据用于不当目的，或侵犯机关、组织和个人的合法权益。第四，歪曲、伪造、损坏、删除或非法更改数据。第五，非法买卖、交换数据。第六，非法入侵、破坏技术基础设施，或实施干扰、阻碍系统运行的行为。第七，实施法律规定的其他禁止行为。卫生部规定针对健康数据门户的7类禁止行为（示意图）。除明确禁止行为外，第4条第2款还要求，收集、建立、更新、存储、处理、开发和使用健康数据的活动，必须符合目的、对象、权限、范围，并具有法律依据。数据处理应遵循数据最小化原则，确保数据准确、完整、及时、统一和完整。关于访问账户，第9条第2款规定，账户必须与获发账户的机关、组织或个人绑定，不得共用、出借、转让，也不得用于不当目的或超出授权范围。用户必须妥善保管身份验证信息，发现账户存在泄露、被盗用或被非法使用的迹象时，应及时通知。根据第17条第2款，健康数据属于敏感个人数据。第19条第6款要求，对健康数据的一切访问、开发、更新、编辑、提取、提供和共享活动均须进行管控、记录并留存日志。日志必须受到保护，防止被非法访问、修改、删除或销毁。