通知第53/2014/TT-BYT号关于在互联网上开展医疗卫生活动的条件

通知

规定在互联网环境下开展医疗卫生活动的条件

根据2006年6月29日《电信法》；

根据二零一二年八月三十一日国务院令第63/2012/NĐ-CP关于卫生部职能、任务、权限和组织结构的规定；

根据信息技术局局长的建议；

卫生部部长发布关于在互联网环境下开展医疗卫生活动条件的通知。

第一条 调整范围和适用对象

一、本通知规定了在互联网环境下开展医疗卫生活动的技术基础设施、信息技术安全、人员配备和信息技术应用等方面的条件。

二、本通知适用于参与在越南境内建设并实施互联网环境下的医疗卫生活动的机构、组织和个人（以下简称机构）。

贷款金额

在本通知中，下列术语定义如下：

1. 医疗卫生活动 是指在预防医学；诊疗、康复；医疗鉴定、法医、精神法医；传统医药；生殖健康；医疗器械；药品；化妆品；食品安全；医疗保险；人口与计划生育等领域保护、照顾和提高人民健康的各项活动。

2. 在互联网环境下开展医疗卫生活动 指通过信息基础设施提供、传输、收集、处理、存储和交换医疗卫生信息的行为。

3. HL7标准（Health Level 7） 是国际标准，为医疗卫生信息系统间的数据管理、交换和集成提供协议，以支持医疗卫生活动。

4. HL7 CDA标准（Health Level 7 Clinical Document Architecture） 是规定临床数据结构和语义的标准文档，旨在促进相关方之间的数据交换。

5. DICOM标准（Digital Imaging and Communications in Medicine） 是国际标准，确定了数字影像数据在医疗设备和医疗卫生信息系统间的交换、存储、处理、获取或接收、打印和共享的协议。

6. ISO/IEEE 11073标准 是由ISO（国际标准化组织）、IEEE（电气和电子工程师学会）和CEN（欧洲标准化委员会）联合制定的一系列标准，用于确定医疗应用和设备间的连接、互操作性和数据交换协议。

7. SDMX标准 是ISO/TS 17369:2005国际标准，支持单位和组织之间统计数据及其元数据的交换和分享。

8. SDMX-HD标准 是世界卫生组织基于SDMX标准制定的支持医疗机构间医疗卫生统计指标及元数据交换和分享的标准。

第三条 技术基础设施条件

一、对于使用服务器和系统软件的活动：

（a）确保服务器基础设施及相关设备具有足够的容量、性能、数据检索处理速度，满足开展互联网环境下医疗卫生活动的要求；

（b）确保服务器系统具有高可用性，具备灵活的备份机制，保证连续运行；

（c）确保安装在服务器上的操作系统和系统软件具有合法版权或明确的来源和出处。

二、网络系统：

（a）网络系统（包括远程通信网、互联网、广域网、局域网及其他连接方式）的设计和部署应符合要求，带宽需满足使用目的；如使用远程通信网，必须履行《电信法》第十六条规定的权利和义务。

（b）网络设备和网络分析、监控管理软件应具有合法版权或明确的来源和出处；

（c）应有充分的备用方案，确保网络系统的正常运行。

三、数据库：

（a）用于互联网环境下医疗卫生活动的数据库应稳定可靠，能够处理和存储业务所需的大量数据；

（b）数据库管理系统应具有明确的来源和出处，或者使用广泛使用的开源数据库管理系统。

四、终端机：应有足够的终端机，配置适合互联网环境下医疗卫生活动的需求。

条 4. 保障安全、信息安全的条件

1. 具备符合国家关于信息系统安全和保密规定以及机关安全保密制度的信息安全和保密政策。

2. 网络系统安全：

a) 应采取技术措施，以控制对网络系统的访问；

b) 应采取措施发现并防止入侵，防止有害代码在系统中传播；

c) 应制定定期更新系统补丁和设备配置的政策；

d) 应采取措施确保终端机在连接到网络环境时的安全；

戌) 应确保主机所在物理位置的安全；

e) 安装在网络中的网络设备、安全设备、防病毒软件、网络分析和管理工具必须有明确的来源和出处。

3. 应用软件的信息安全和保密：

a) 应记录错误及其处理过程，特别是应用软件测试和检查中的安全和保密错误；

b) 包括源程序在内的所有版本的软件应集中管理、存储、保密，并为每个成员操作文件设置权限机制；

c) 应定期审查源代码，以排除有害代码段和安全漏洞；

d) 应用软件供应商应承诺其产品中不含任何有害代码段。

4. 数据安全：

a) 应具备保护和访问数据库资源的机制；

b) 对数据库访问和数据库配置操作进行日志记录；

c) 应制定数据备份方案，确保必要时能够恢复数据；

d) 应具备符合系统保密性和处理能力要求的加密算法；

戌) 应定期审查和更新数据库管理系统中的补丁和错误修复版本，并根据供应商建议进行更新；

e) 应采取措施阻止对数据库的各种攻击形式。

5. 故障管理：

a) 应具备故障管理流程，其中应明确规定各相关部门的责任，详细说明执行步骤，包括向用户和信息技术系统运行部门通报；如果信息技术基础设施外包，则服务提供商应提供故障处理流程。

b) 应定期审查和更新故障及处理方案的管理流程；

c) 应采用技术解决方案及时发现和处理针对网络系统的攻击；

d) 应采取系统化的方法防范信息技术风险和灾难，最大限度地减少医疗活动在网络环境中的风险。

条 5. 人力资源条件

1. 应确保满足机关在医疗网络环境中运作所需的信息技术专业人员（数量和水平）。

2. 对于特别类、一类事业单位和医疗卫生行业的大学，应设立信息技术部门，至少配备5名人员，其中具有专科及以上信息技术学历的人数占总人数的60%以上。

3. 对于医疗卫生行业的二类、三类事业单位，应确保设立信息技术小组，至少配备3名具有中专及以上信息技术学历的人员。

4. 制定并组织实施提高参与医疗网络活动人员信息技术水平的培训计划。

5. 如果从外部聘用人员，参与医疗网络活动的被聘用单位人员应满足专业要求；合同中应明确履行第六条第五款的通知规定的条款。

条 6. 信息技术应用条件

1. 确保符合本通知第3条规定的基础设施技术要求。

2. 标准化各项业务流程，确保信息技术在医疗网络环境中有效运行。

3. 在建设医疗卫生信息技术应用过程中采用国家标准和国际标准：

a) HL7标准（HL7版本2.x消息、HL7版本3消息、临床文档架构CDA）；

b) 医疗影像数字和传输标准：DICOM；

c) 医疗设备和应用程序之间的连接、互操作性和数据交换标准：ISO/IEEE 11073；

d) 医疗领域统计数据交换和共享标准：SDMX-HD；

đ) 按照信息产业部2013年12月23日发布的第22号令中已颁布的标准。

4. 制定并实施信息技术应用的管理和运行规定。

5. 对涉及患者的数据信息的开发和使用必须遵守《医疗和预防保健法》关于保护患者隐私权的规定。

6. 根据国务院2006年2月15日发布的第26号令《电子交易法实施细则》关于数字签名和数字证书的规定，以及国务院2011年11月23日发布的第106号令对第26号令的部分条款进行修改补充后的规定，国务院2013年11月13日发布的第170号令对第26号令和第106号令的部分条款进行修改补充后的规定，获得使用数字签名和数字证书的许可。

7. 电子病历的建立、存储和利用必须遵守《医疗和预防保健法》第59条的规定。

如果从外部租用信息技术服务，必须与各方签订合同，明确规定合法拥有信息的承诺以及发生故障时各方的责任。

条 7. 生效

本通知自2015年3月1日起生效。

条8. 过渡条款

在本通知生效前已经开展网络医疗活动的机构，必须在2017年1月1日前满足本通知规定的条件。

第九条 引用条款

如本通知引用的文件被替换或修改，则适用被替换或修改后的文件。

条 10. 组织实施

1. 国家卫生健康委员会信息中心负责在全国范围内指导、监督本通知的执行。

2. 各省卫生健康委员会负责在其管辖区域内指导、监督、检查和审计本通知的执行情况。

3. 各有关单位负责制定和标准化服务于其机构内网络医疗活动的各项业务流程。

在执行过程中如遇问题，请及时向国家卫生健康委员会（信息中心）反映，以便研究解决。/