2018–2023年欧盟及欧洲经济区医疗行业GDPR执法的跨区域比较分析

《Archives of Public Health》：General Data Protection Regulation (GDPR) enforcement in european healthcare: a comparative analysis of publicly reported enforcement decisions, 2018–2023

　　

摘要

背景

医疗系统越来越依赖数字技术来处理和交流敏感个人数据。尽管《通用数据保护条例》（GDPR）为整个欧洲提供了统一的法律框架，但人们对医疗相关 GDPR 执法的特征以及公开报告的执法活动在欧洲不同辖区之间如何变化的了解相对较少。本研究旨在通过分析执法频率、行政罚款、引用的 GDPR 条款和时间模式，来刻画欧盟和欧洲经济区辖区内公开报告的医疗相关 GDPR 执法情况。

方法

使用公开可访问的 CMS GDPR 执法追踪器中的医疗行业执法记录进行了比较二次分析。本研究包括在 GDPR 直接适用的 30 个欧盟和欧洲经济区辖区内，于 2018 年 5 月 25 日至 2023 年 12 月 31 日期间发布的执法决定。对符合条件的记录进行了描述性分析，内容包括执法频率、行政罚款、引用的 GDPR 条款以及年度分布。

结果

最终分析数据集包含在研究中纳入的 30 个辖区中的 23 个辖区内确定的 207 项医疗相关 GDPR 执法决定。其中 192 项决定的罚款金额已知，总已知价值为 16,045,309 欧元。在不同辖区之间，报告的决定数量和行政罚款幅度均观察到相当大的差异。最常引用的 GDPR 条款是第 5 条（61.8%），其次是第 32 条（42.0%）、第 9 条（28.5%）和第 6 条（19.3%）。报告的年度决定数量从 2018 年的一起增加到 2022 年的 62 起，随后在 2023 年下降至 47 起，而已知罚款的年度总值波动较大。

结论

尽管有共同的法律框架，公开报告的医疗相关 GDPR 执法情况在欧洲不同辖区之间差异显著。这些决定提供了有关监管实践的实证信息，但不应将其解释为医疗行业合规性、执法力度、网络安全成熟度或数字健康治理绩效的直接衡量标准。研究结果为未来的比较研究提供了一个可重复的描述性基线，该研究可使用适当的辖区级分母以及监管能力、数字成熟度和组织准备情况的独立指标。