牛宝体育

　　智能可穿戴设备指可以直接穿在身上，或是整合到用户的衣服或配件的一种便携式智能设备，它是基于人体自然能力或环境能力，通过内置传感器、无线通信、集成芯片、多媒体技术等实现用户信息交互、人体健康监测、健康放松及生活娱乐等功能的智能设备，具有可穿戴性、可移动性、可持续性、可交互性以及简单操作性等特征。

　　可穿戴设备不仅仅是一种硬件设备，更是通过软件支持以及数据交互、云端交互来实现强大的功能

　　纵观整个智能穿戴设备行业，包括上游的软硬件开发商，中游的设备厂商以及下游的终端应用，智能穿戴设备的相关企业在运营过程中，不仅涉及硬件的生产，还包括各类软件的开发，以及可能延展到医药等行业的相关业务，同时也涉及与此相关的信息安全和网络安全等问题。因此，在业务开展的不同阶段，可能涉及多种资质，如增值电信业务经营许可证、医疗器械生产经营许可/备案、互联网药品信息服务资格证书、医疗机构执业许可证、信息系统安全等级保护备案证明等。

　　根据《中华人民共和国电信条例》第八条的相关规定：“增值电信业务，是指利用公共网络基础设施提供的电信与信息服务的业务。”而根据《电信业务分类目录（2015年版）》的规定，信息服务业务被归入第二类增值电信业务的范畴之中，信息服务业务，是指通过信息采集、开发、处理和信息平台的建设，或通过公用通信网或互联网向用户提供信息服务的业务。主要包括信息发布平台和递送服务、信息搜索查询服务、信息社区平台服务、信息保护和处理服务。

　　根据《互联网信息服务管理办法》的规定，互联网信息服务分为经营性和非经营性两类。经营性互联网信息服务，是指通过互联网向上网用户有偿提供信息或者网页制作等服务活动。非经营性互联网信息服务，是指通过互联网向上网用户无偿提供具有公开性、共享性信息的服务活动。从事经营性互联网信息服务，则需要依法取得增值电信业务经营许可证，即ICP证。

　　智能穿戴设备企业如果通过官方网站对自己的产品进行宣传介绍，则可能涉及通过互联网向用户无偿提供具有公开性、共享性信息，属于为上网用户提供非经营性互联网信息服务，应通过“工业和信息化部政务服务平台-办事指南-非经营性互联网信息服务核准”申请进行网站的ICP备案工作。因此，智能穿戴设备企业可以对自身业务开展的范围进行分析，判断是否需要获得相关证书或者进行备案。

　　，医疗器械的认定主要是通过目的进行判断，智能穿戴产品的预期用途如果具有医疗的目的，则可能被认定为属于医疗器械范畴。这也要求企业在研发生产产品以及对外宣传、客户定位方面做好预判，规范产品的使用用途，如果智能穿戴设备企业不具备上述资质，建议在宣传时向消费者提示“本产品非医疗器械，所提供的健康数据及建议仅供参考，不作为诊断和治疗的依据。”

　　如生产的智能穿戴设备具有医疗目的，则应当依法进行产品备案或注册申请，我国对医疗器械按照风险程度实行分类管理，根据该条例第13条规定，第一类医疗器械实行产品备案管理，第二类、第三类医疗器械实行产品注册管理。

　　根据对医疗器械的定义，医疗器械也包括所需的计算机软件，因此，智能穿戴产品中运行的APP等软件，亦可单独注册成为医疗器械。

　　互联网药品信息服务是指通过互联网向上网用户提供药品（含医疗器械）信息的服务活动。根据《互联网药品信息服务管理办法（2017年修正）》第3条的规定，互联网药品信息服务分为经营性和非经营性两类，是指通过互联网向上网用户有偿提供药品信息等服务或无偿提供公开的、共享性药品信息等服务的活动。根据该办法第6条²规定，从事互联网药品销售的平台应取得的关键证照，为《互联网药品信息服务资格证书》。拟提供互联网药品信息服务的网站应向该网站主办单位所在地省、自治区、直辖市食品药品监督管理部门提出申请，经审核同意后取得提供互联网药品信息服务的资格。同时，该办法的第8条还规定了平台应当在其网站主页显著位置标注《互联网药品信息服务资格证书》的证书编号。

　　根据《医疗机构管理条例（2022修订）》第23条的规定，任何单位或者个人，未取得《医疗机构执业许可证》或者未经备案，不得开展诊疗活动。第26条 医疗机构必须按照核准登记或者备案的诊疗科目开展诊疗活动。

　　根据《互联网诊疗管理办法（试行）》的规定，对于开展互联网诊疗活动的机构，应当取得《医疗机构执业许可证》；新申请设置的医疗机构拟开展互联网诊疗活动，应当在设置申请书注明，并在设置可行性研究报告中写明开展互联网诊疗活动的有关情况。卫生健康行政部门受理申请后，将在规定时间内作出书面答复，批准设置并同意其开展互联网诊疗的，在《设置医疗机构批准书》中注明同意其开展互联网诊疗活动。

　　根据《信息安全等级保护管理办法》，信息系统运营、使用单位依据本办法和相关技术标准对信息系统进行保护，国家有关信息安全监管部门对其信息安全等级保护工作进行监督管理。

　　而《互联网医院管理办法（试行）》以及《互联网诊疗管理办法（试行）》均明确规定，信息安全系统必须实施第三级信息安全等级保护。

　　如果智能穿戴设备目前收集的信息内容较为单一，比如仅收集用户的轨迹信息或位置信息，在没有关联其他数据的情况下，无法直接识别到个人，是否认定为其收集个人信息？

　　根据《个人信息保护法释义》一书中认为，个人信息的界定实际上有两条路径，一为“识别(identify）”；二为“关联（link）”：识别路径是从信息到个人，即如前所述，由信息本身的特殊性直接回溯到特定个人。关联路径是从个人到信息，即已知既定个人，知晓“关于”该个人的进一步新消息；能够关联到特定个人的信息并不以特殊性为前提，其作用是丰富给定个人既有的人格图像（profile），使他人知晓更多关于该个人的情况。对于智能穿戴设备企业而言，需要全面看待其所收集的个人信息类型，不能仅以公司不收集用户姓名和身份证号码为由就认为所收集的个人信息无法识别个人，从而不需要履行个人信息处理者的合规义务。

　　但是，对于个人信息的保护，也需要结合实际业务场景来分辨，在余某某诉查博士隐私权、个人信息保护纠纷案³中，法院认为，从内容上看，案涉历史车况报告重点信息包括了车架号、车辆基本行驶数据，维保数据、碰撞数据、评分项目及具体评分等，未出现自然人身份信息、行踪信息、通讯联系方式等能直接识别特定自然人的信息，从而判定案涉历史车况信息无法单独识别特定自然人。

　　在智能穿戴设备中，如果企业所开发的APP只是作为硬件的配套服务，无须用户登录，不收集用户的身份信息，并且该硬件功能较为单一，比如硬件只收集个人运动轨迹等单一类型的信息，那么在此场景下，尽管个人的运动轨迹信息存在与第三方信息结合可能识别特定自然人，但一般理性人在实现上述目的时会综合考虑行为成本，比如技术门槛、第三方数据来源、经济成本、还原时间等，综合上述因素再结合识别，成本较高，因此在这种情况下，被认定为个人信息的可能性较小。

　　智能穿戴设备企业在运营中会收集大量的个人信息，除了履行APP的合规要求之外，还应根据《个人信息保护法》（以下简称“个保法”）建立个人信息保护的内部管理制度。需要说明的是，很多企业在业务开展中已经获得了ISO27001（信息安全管理体系）的认证，但可能因此忽视了对个人信息保护的专门制度构建。实际上，该认证体系主要是针对企业内部信息系统的安全管理，针对企业用户或客户的个人信息保护并不充分，因此，即便企业已经获得相关认证，如果涉及处理大量的用户个人信息，还是应当就个人信息保护建立专门的管理制度，以确保遵守《个保法》的基本合规要求：

　　第三，采取加密和去标识化等安全技术措施，在实践中我们遇到很多企业出于成本考虑，一开始并不重视加密和去标识化的工作，后续一旦涉及到企业上市或发生合规风险事件等情况，就必须进行合规整改，此时的整改工作可能涉及对底层技术逻辑的修改，整改所需的时间和工作的难度会大大提高；

　　第五，处理个人信息达到国家网信部门规定数量的个人信息处理者应当指定个人信息保护负责人。实践中很多企业为从形式上满足法律合规的要求，聘任公司某技术人员担任个人信息保护负责人，但该个人信息保护负责人可能并不明确自己的职责和工作范围。在此需强调，个人信息保护负责人肩负对公司个人信息处理活动行为进行合规监督的义务，可以强化企业自我监管，同时也是用户与企业沟通的渠道，具有连接政府和企业的重要功能，因此，人员的聘任以及其任职资格至关重要，另外，公司也应从制度上为个人信息保护负责人的工作开展提供有力保障，保障个人信息保护负责人的知情权、保障其独立性以及提供必要资源等。

　　第六，定期合规审计。尽管《个保法》规定了“定期”审计，但并未规定“定期”是多久，企业应当结合自身情况确定。目前个人信息的合规审计工作主要依据的是《关于推进个人信息保护合规审计的若干建议》，企业可结合自身情况，确定审计的规则、标准和审计内容。

　　第七，开展个人信息安全影响评估。很多智能穿戴设备涉及收集个人健康医疗数据，而个人健康医疗数据属于敏感个人信息，应按照《个保法》的要求开展个人信息安全影响评估工作，具体可参考《信息安全技术 个人信息安全影响评估指南》（GB/T 39335-2020）开展评估工作。

　　根据《信息安全技术 健康医疗数据安全指南》（GB/T 39725-2020） （以下简称“健康医疗数据指南”）的规定，“个人健康医疗数据 personal health data”是指，单独或者与其他信息结合后能够识别特定自然人或者反映特定自然人生理或心理健康的相关电子数据。该指南附录A明确个人健康医疗数据包括但不限于可穿戴设备采集的与个人健康相关的数据，并且该种数据：1）本身或者明显为健康医疗相关数据；2）或是由传感器采集的，并且可以单独或者与其他数据结合用来对可穿戴设备的用户的健康状况或者疾病风险进行判断的数据；3）或是可穿戴设备采集的数据并且为对用户的健康状况或者疾病风险进行判断后的结论；4）或是通过可穿戴设备相连的 APP 或者系统进行提供的，并非可穿戴设备使用者另行提供的。

　　根据《工业和信息化领域数据安全管理办法（试行）》（以下简称“《数据管理办法》”）的规定，工业和信息化领域数据包括工业数据、电信数据和无线电数据等。工业数据是指工业各行业各领域在研发设计、生产制造、经营管理、运行维护、平台运营等过程中产生和收集的数据。

　　《数据管理办法》中对于“工业数据”的定义较为宽泛，根据国家统计局发布的《国民经济行业分类（GB/T4754-2017）》，智能穿戴行业可归属于“C39计算机、通信和其他电子设备制造业”行业中的“C3961可穿戴智能设备制造”细分行业，也属于工业行业。因此，广义上看，这类企业在研发设计、生产制造、经营管理、运行维护、平台运营等过程中产生和收集的数据可能被认定为属于工业数据。

　　目前，智能穿戴行业的发展迅速，很多智能穿戴设备企业所研发和生产的产品已经不仅仅只是为了监测个人的健康状况。例如HUAWEI WATCH B5在其官网⁴的介绍中，就提到“多场景赋能”，结合强大的数据开放能力，借力HUAWEI WATCH B5 专业的健康监测及通信技术，赋能更多应用场景：应用于能源行业，可以实时管理作业人员的活动状态和健康数据，预判危机情况并关联救急；应用于保险行业，可基于穿戴设备测量数据建立健康模型，优化保险方案，引导用户健康生活，降低理赔率等。

　　由此可见，当智能穿戴设备应用于多个业务场景时，该设备将在工业领域数字化转型过程中起到非常重要的作用，所收集和处理的数据将不仅限于用户的个人信息，通过小小的一个穿戴设备，可以链接起各个行业的数据，形成反映行业特点的工业大数据，该设备的合规义务也将从传统的保护个人信息转变到对工业数据的保护。在推动新一代信息技术与制造业融合发展以及工业互联网发展的战略部署之下，工业数据资源的开放共享是趋势，而企业的数据资产保护及合规治理则是开放共享的基础。

　　《工业数据分类分级指南（试行）》第六条、第七条从工业企业、互联网平台企业的主体和工业数据产生环节相结合的角度，提出了工业数据更为详细的分类维度，即工业企业工业数据分类维度包括但不限于研发数据域（研发设计数据、开发测试数据等）、生产数据域（控制信息、工况状态、工艺参数、系统日志等）、运维数据域（物流数据、产品售后服务数据等）、管理数据域（系统设备资产信息、客户与产品信息、产品供应链数据、业务统计数据等）、外部数据域（与其他主体共享的数据等）；平台企业工业数据分类维度包括但不限于平台运营数据域（物联采集数据、知识库模型库数据、研发数据等）和企业管理数据域（客户数据、业务合作数据、人事财务数据等）。

　　对于数据的分级而言，《数据管理办法》规定，根据数据遭到篡改、破坏、泄露或者非法获取、非法利用，对国家安全、公共利益或者个人、组织合法权益等造成的危害程度，工业和信息化领域数据分为一般数据、重要数据和核心数据三级。

　　在此前的《数据管理办法》征求意见稿中，还提到了工业数据处理者应当坚持“先分类后分级”的方式，定期梳理，对数据进行分类和标识，形成数据分类清单。尽管正式发文中删除了有关“先分类再分级”的表述，但依然要求数据处理者应定期梳理数据，按照相关标准规范识别重要数据和核心数据并形成本单位的具体目录。

　　我们认为，企业应加强与行业主管部门以及工信部门的沟通，识别公司的相关数据是否涉及重要或者核心数据，如果识别为重要或核心数据，应当执行该办法的要求，形成数据目录向本地区行业监管部门进行备案；如果经识别，企业仅处理一般数据，尽管按照该办法规定，可以不必形成具体目录进行备案，但站在企业开发并应用数据资产的角度，我们依然建议公司能够建立自己的数据分类清单，为后续数据资产的开发应用奠定良好的基础。

　　第一，开展数据识别备案，将本单位重要数据和核心数据目录向本地区行业监管部门备案，备案的内容包括但不限于数据来源、类别、级别、规模、载体、处理目的和方式、使用范围、责任主体、对外共享、跨境传输、安全保护措施等基本情况，备案主要针对的是数据处理者对数据处理的基本情况、分级分类的基本情况以及采取的数据安全保障措施的情况，不包括数据内容本身；

　　第二，加强内部管理，建立数据安全工作体系，明确数据安全负责人和管理机构，加强数据处理关键岗位管理，构建重要数据和核心数据处理活动登记审批机制，加强访问控制，强化数据全生命周期安全保护措施；

　　第三，采取更加严格的技术手段，保障传输、使用、加工重要数据和核心数据的安全；

　　第四，组织常态化监测预警与应急处置，涉及重要数据和核心数据安全事件的应第一时间进行上报；

　　第五，定期实施风险评估，重要数据和核心数据处理者应当自行或委托第三方评估机构，每年对其数据处理活动至少开展一次风险评估，及时整改风险问题，并向本地区行业监管牛宝体育APP部门报送风险评估报告。

　　基于智能穿戴设备可以收集用户大量的健康数据和其他个人信息，很多设备厂商在此基础上，也逐渐开发人工智能穿戴健康算法。通过对设备收集的数据进行监测，监测个人健康状况，甚至预测健康趋势，防止意外恶性事件，给予医疗机构诊断、开方以及院外管理的相关数据支持。

　　我国出台了《新一代人工智能发展规划》《国务院办公厅关于促进“互联网医疗健康”发展的意见》等文件，支持人工智能信息技术在产业、产品中的应用。但人工智能信息技术的应用还应关注合规风险，为此我国也出台了《关于加强科技伦理治理的意见》《新一代人工智能治理原则》《新一代人工智能伦理规范》以及《科技伦理审查办法（试行）》征求意见稿等顶层设计和制度方案。《数据安全法》也规定，开展数据处理活动，应当遵守法律、法规，尊重社会公德和伦理。

　　相关的智能穿戴企业应设置人工智能科技伦理领导组织。人工智能科技伦理领导组织负责确定及实施人工智能伦理相关原则、战略及政策，审查人工智能伦理方面的实操并提供建议。该领导组织应制定章程，建立审查、监督、保密管理、档案管理等制度规范和工作规程，健全利益冲突管理机制，保障科技伦理审查合规、透明、可追溯。

　　由于智能穿戴设备的人工智能算法可能涉及对人身健康起到定向推荐、协助或决策诊断的作用，根据《科技伦理审查办法（试行）》征求意见稿规定，在“6. 具有舆论社会动员能力和社会意识引导能力的算法模型、应用程序及系统的研发。7. 面向存在安全、人身健康风险等场景的具有高度自主能力的自动化决策系统的研发。”的情形下还需要进行专家复核程序。

　　借助智能可穿戴健康产品监测人体健康数据，通过对人体健康数据的跟踪和数据分析，向用户推送诊断或康复建议，也应当关注个人信息保护。个人健康医疗数据可能归属为敏感个人信息，只有在具有特定的目的和充分的必要性，并采取严格保护措施的情形下，个人信息处理者方可处理敏感个人信息，企业应加强授权管理，取得个人的单独同意，还应当向个人告知处理敏感个人信息的必要性以及对个人权益的影响；此外，还应当关注老人和未成年人的个人信息保护。

　　通过对个人健康数据的跟踪和数据分析，向用户推送诊断或康复建议，涉及自动化决策问题，需要关注以下问题：第一，企业应当保证决策的透明度和结果公平、公正，不得对个人在交易价格等交易条件上实行不合理的差别待遇；第二，通过自动化决策方式向个人进行信息推送、商业营销，应当同时提供不针对其个人特征的选项，或者向个人提供便捷的拒绝方式，个人有权要求个人信息处理者予以说明，并有权拒绝个人信息处理者仅通过自动化决策的方式作出决定；第三，智能穿戴设备企业通过人工智能信息技术向用户推送诊断或康复建议，对个人权益有重大影响，还应建立用户权益保护机制，针对个人提出的异议予以说明，设置便利的机制针对用户拒绝公司仅通过自动化决策的方式作出决定的异议提供替代性方案或终止性方案，同时，设置便捷有效的用户申诉和公众投诉、举报入口，明确处理流程和反馈时限，及时受理、处理并反馈处理结果。

　　针对敏感个人信息进行自动化决策的处理，应当事前进行个人信息保护影响评估，重点评估（一）个人信息的处理目的、处理方式等是否合法、正当、必要；（二）对个人权益的影响及安全风险；（三）所采取的保护措施是否合法、有效并与风险程度相适应等事宜。个人信息保护影响评估报告和处理情况记录应当至少保存三年。

　　》第24条，具有舆论属性或者社会动员能力的算法推荐服务提供者应当在提供服务之日起十个工作日内通过互联网信息服务算法备案系统填报服务提供者的名称、服务形式、应用领域、算法类型等备案信息，履行备案手续同时，明确了备案编号标注、备案信息变更、备案注销等相关事宜。“具有舆论属性或者社会动员能力”的互联网信息服务包括开办论坛、博客、微博客、聊天室、通讯群组、公众账号、短视频、网络直播、信息分享、小程序等信息服务或者附设相应功能；以及提供公众舆论表达渠道或者具有发动社会公众从事特定活动能力的其他互联网信息服务。“互联网信息服务算法备案系统”网址为：

　　在训练算法的过程中，企业也应注重机器学习算法安全问题，可参考2021年8月4日信安标委发布的《信息安全技术 机器学习算法安全评估规范（征求意见稿）》完善安全保障措施。《机器学习算法安全评估规范》规定了机器学习算法在设计开发、验证测试、部署运行、维护升级、退役下线等阶段的安全要求和证实方法，以及机器学习算法的安全评估实施。

　　医疗器械，是指直接或者间接用于人体的仪器、设备、器具、体外诊断试剂及校准物、材料以及其他类似或者相关的物品，包括所需要的计算机软件；其效用主要通过物理等方式获得，不是通过药理学、免疫学或者代谢的方式获得，或者虽然有这些方式参与但是只起辅助作用；其目的是：

　　2.第六条 各省、自治区、直辖市食品药品监督管理部门对本辖区内申请提供互联网药品信息服务的互联网站进行审核，符合条件的核发《互联网药品信息服务资格证书》。

　　樊思琪律师系京师深圳律所数字经济法律事务中心副主任、京师深圳律所金融科技法律事务部副主任、深圳市大数据产业协会、深圳市大数据研究与应用协会专家顾问、数据合规研究院高级研究员。

　　樊律师先后就职于第一创业股份有限公司、安信证券股份有限公司、广发银行股份有限公司深圳分行，长期从事资产管理、投融资并购、资产证券化业务，具有法律和金融复合背景知识。

　　专业资质：证券从业资格证、基金从业资格证、CFA-LEVEL3 CANDITATE、德国TUV莱茵学院数据合规官DPO