在数字经济与医疗健康领域深度融合、科技成果转化持续推进、数据价值日益凸显的背景下，医疗临床数据的流通与交易受到越来越多的关注，呈现出机遇与挑战并存的局面。本文拟探讨医疗临床数据流通交易中的几个关键问题，旨在为读者提供有益的参考与借鉴。
医疗临床数据的价值毋庸置疑，而其价值的充分释放，高度依赖于数据的有效流转和交易。长期以来，受医疗行业强监管属性、参与主体较多、我国在数据权益保护领域的立法尚不完善，以及技术层面尚未打通等多重因素影响，我国医疗临床数据交易仍较为“保守”，在实践中面临诸多现实“障碍”。在数字经济与医疗健康深度融合、科技成果转化不断深入、数据价值不断被认知和释放的背景下，医疗临床数据的流通与交易受到了进一步关注。[1]
医疗临床数据通常指向在疾病的预防、检查、诊断、治疗、护理和康复过程中，产生的与患者健康状况相关的数据集合。
从数据来源上看，其主要包括：（1）医院信息系统：存储患者的基本信息、入院、转科、出院等流程数据。（2）电子病历：核心中的核心，记录了患者的病史、主诉、体格检查、诊断、治疗方案、病程记录、手术记录、出院小结等。（3）实验室信息系统：存储各种检验结果，如血常规、尿常规、生化指标、病原微生物检测等。（4）医学影像存档与通信系统：存储和管理医学影像数据，如X光片、CT、MRI、超声、病理切片图像等。（5）药房系统：患者的用药记录、药物过敏史等。（6）护士工作站：护理评估、生命体征监测记录。
所谓“场内交易”，指的是数据交易双方在官方认可、受监管的第三方平台（通常是指数据交易所）上进行的规范化、标准化数据流通活动。目前我国已成立多家数据交易所，它们在定位和模式上各有侧重，但均通过具有一定强制性的合规审查与标准化流程[2]，为医疗临床数据交易方提供法律风险较低、可信度较高的平台。
所谓“场外交易”，则是指在交易所之外，由买卖双方直接协商进行的交易，在本文语境下通常表现为两种形式：一是企业与医疗机构之间基于特定项目的非商业化合作；二是通过参与政府主导的医疗相关民生工程，间接获取数据。[3]场外交易最显著的特点是它的灵活性和定制化，交易双方可以自由协商数据的种类、价格、交付方式等细节。然而，场外交易更多是项目驱动而非市场驱动，缺乏可复制性、可扩展性。由于其非标准化和私下协商的特点，场外交易的透明度较低，且受到的监管相对较少，可能存在灰色地带甚至违规现象。
我国正在构建“一体化数据市场”，而当前我国数据交易市场最显著的结构性特征是场外交易与场内交易的严重失衡。以2021年为例，在超过500亿元的数据交易规模中，由企业间私下协议主导的场外交易占比高达98%[4]这一现象至今尚未发生实质变化，反映出市场在标准化、信任机制与合规路径方面尚不成熟。目前，以地方政府为主导的数据交易所正积极扮演“信任中介”与准监管角色，通过建立标准化合规流程，致力于引导市场向规范化、规模化的场内交易模式转型。
目前，医疗临床数据交易的参与者主要包括医疗机构等数据供给方、制药企业、保险公司及医疗AI公司等数据需求方、以及数据交易所等市场赋能机构与中介机构，多方主体共同构建了医疗数据要素从生产、加工到流通应用的价值链基础。
这些主体所推动的医疗数据，其价值最终通过多元化的应用场景得以实现。例如，在临床诊疗与医院管理层面，数据可助力辅助诊断、临床决策支持与医疗资源优化；在医药研发领域，真实世界数据正加速新药研发与上市后监测；在商业保险方面，数据可支持精准定价、快速理赔与产品创新；同时，在公共卫生管理与医学人工智能研发中，数据更是不可或缺的基础资源。
医疗数据最终在相关场景中释放价值实际上是个高度复杂的过程。目前，“数据经纪人”或“数商”这一新兴业态正在高速发展。福建大数据交易所等平台已正式推出并推广此模式。[5]数据经纪人是专业的第三方服务机构，其角色远超简单的交易撮合，还包括构建涵盖了解用户需求、整合数据资源、挖掘数据产品、构建数据模型、匹配市场需求、确保数据与交易合规等在内的全链路支撑体系。数据经纪人模式的出现，是市场专业化分工的必然结果。2022年12月国务院发布意见也提出，有序培育数据经纪等第三方专业服务机构，提升数据流通和交易全流程服务能力。
上海数据交易所在《数据资产入表及估值实践与操作指南》中将数据产品定义为以数据集、数据信息服务、数据应用等为可辨认形态的产品类型。中国数谷发布的《2024企业数据资源入表实践白皮书》中提到，数据产品为“基于数据的加工和分析而创建的，旨在满足特定用户需求的产品或服务”。目前交易实例中的数据产品，一般为血常规、黄疸检测等标准化数据[6]、AI辅助诊断产品[7]以及专病数据库[8]等。
医疗临床数据的产品化是一个将原始的医疗临床数据通过数据采集、预处理、存储、管理、数据挖掘以及分析等，转化为合规、有价值的数据产品的复杂过程。医疗临床数据产品具有数据驱动、场景化、安全隐私以及数据生态等特征，其核心在于数据的质量与合规。高质量的数据能够提升市场的信任度和交易的活跃度，为数据资产的市场化奠定基础；合规则是数据的生命线.数据治理与标准化：价值的起点
医疗临床数据既包括结构化的数据形式，还涵盖了病程描述、医生笔记等非结构化的形式。
[9]在实践中，市场上流通的是经过严格的数据治理流程形成的结构化的、可用于分析研究的医疗数据集。然而不同医疗机构间的数据格式、存储方式等存在差异，标准化缺失的问题较为突出，数据孤岛现象普遍存在。此外，不少医疗机构在采集数据时不够重视数据质量，导致数据清洗工作无法以自动化流程实现。有数据显示，由于标准化缺失，医疗临床数据交易的整合成本占交易总成本的近30%。电子病历是数据标准化、促进医疗数据进一步治理和流转应用的重要抓手。新加坡卫生部于2024年底宣布，该国九家私立医院已全部承诺接入国家电子健康记录系统，共享患者健康信息。
[10]目前，马来西亚正在建立全国性的电子病历系统。[11]日本厚生劳动省正在放宽监管限制，并提供财政补贴，以支持全国范围内医疗信息的共享。[12]必须注意的是，交易的医疗临床数据产品应具备可溯源性，能够精准关联真实世界数据，并核验原始数据的采集规范、传输完整性、未篡改属性，最终满足数据治理中“真实、可靠、可问责”的质量标准。
医疗健康数据通常属于“敏感个人信息”，严禁在未经授权的情况下进行交易，否则一旦泄露或者非法使用，容易导致患者的人格尊严受到侵害或者人身、财产安全受到危害。患者不愿为他人知晓的私密信息通常也属于患者的“敏感个人信息”
为无形的数据定价是数据要素市场化的核心挑战，这在医疗健康领域尤为突出。同一数据集因医院等级、治理方式、需求场景等的不同而报价悬殊，且数据产品因缺乏数据质量与稀缺性的科学评估体系，难以统一定价逻辑。
根据《数据资产评估指导意见》，执行数据资产评估业务需要关注影响数据资产价值的成本因素、场景因素、市场因素和质量因素，同时还应当考虑数据资产的非实体性、可共享性、可加工性等特征。目前确定数据资产价值的评估方法包括收益法、成本法和市场法三种基本方法及其衍生方法。
成本法操作相对简单，但其数据资产的成本往往与企业日常经营高度耦合，难以精确拆分和追溯。市场法能反映市场即时状况，然而当前数据要素市场仍处于建设初期，可参照案例极度稀缺。收益法虽能直接地反映数据资产核心价值，但对未来收益和风险的预测主观性较强、难度较大。
通常情况下，医疗机构更加关注定价能否覆盖投入的成本（例如数据采集、脱敏、存储等直接成本，以及医院数据治理的间接成本）并基于数据质量和稀缺性等实现溢价，BG大游而使用方较多关注数据收益。实践中，相关方仍需根据不同场景选择合适的评估方法，并结合行业惯例和政府经营性收费项目规范综合制定相关定价。
当前，一些数交所对能够适配高频、复杂交易场景的价格生成路径进行了有益探索。以深圳数交所为例，其提出涵盖数据供方信用度等八大指标的数据资产估价指标体系，并形成“估价-报价-议价-成交”的价格模式。
[14]这种由交易所提供交易撮合和议价环境，最终由市场行为决定成交价格的方式，体现了从完全的协议定价向有指导的市场化定价过渡。三、驾驭法网：审视医疗数据流转的合规边界
在医疗临床数据交易从理论走向实践的过程中，市场参与者必须审慎地航行于一片由风险与法规交织而成的复杂网络之中。这片网络的核心由三大议题构成，它们共同定义了数据流转的合法边界与市场发展的根本前提：权利性质与归属的基础性难题、个人信息保护的合规性红线，以及跨境交易所面临的国际监管挑战。
数据确权是构建整个交易大厦的基石，而医疗临床数据的权属问题又非常复杂。目前，国内外理论和立法实践关于医疗数据权属的观点至少包括“个人所有权说”“医疗机构所有权说”“个人与医疗机构共有说”“公共所有权说”“复合权利说”
[15]等等。尽管《数据二十条》为数据分类提供了基本指引，但若数据权利性质不明确，实践中仍难以界定交易标的、定价机制、运营路径、收益分配与责任归属等关键问题，容易引发利益纠纷。[16]在此背景下，
具体而言，患者作为数据初始来源方，享有隐私权、知情权、可携权、遗忘权等初始权益；医疗机构作为医疗临床数据的收集处理与管理方，对经过清洗、匿名化后的医疗临床数据享有存储与使用的权利；企业在合法合规前提下，则具备数据的使用权与开发经营权。这样一种分层、分主体的权利配置模式的核心思想是“淡化所有权，强调使用权”，将法律和市场的焦点从“数据归谁所有”这一难题，转移到“谁可以在何种条件下使用数据并获益”这一更具操作性的问题上，旨在为激活数据要素的流通和利用扫清制度障碍，在促进数据流动与价值释放的同时，有效平衡多方利益。
由于数据的特殊性，医疗临床数据交易的信赖保护基础也应从传统的、依赖物理占有的“具体外观”转向一种基于交易环境公信力的“抽象外观”，即通过构建公开市场规则来创设“场景信赖”，从而保障善意受让人的合法权益，促进数据要素的安全高效流通。
[17]一种当下已有的方式是在数交所对数据产品进行登记。公示与权利的对世性、排他性紧密关联，在更多关注数据使用权的语境下，将绝对排他性转化为有限排他性：在多个合法数据接收方中，最先登记者享有优先权，这与登记对抗主义的运行逻辑高度契合。[18]实践中，登记可作为享有权利的“初步证明”，具有公示作用，但可被相反证据推翻。（二）个人信息保护
美国的医疗数据治理核心是《健康保险携带和责任法案》（HIPAA），它为“受保护的健康信息”（PHI）的隐私与安全设定了全国性标准。在HIPAA框架下，只要数据经过符合“安全港”或“专家判定”方法的严格去标识化处理，就不再被视为PHI，可以相对自由地用于研究等目的。欧盟的数据治理则以《通用数据保护条例》（GDPR）为基石，对所有个人数据的处理活动都规定了严格的合法性基础和透明度要求。
我国《个人信息保护法》《数据安全法》《关于进一步加强医疗机构电子病历信息使用管理的通知》等文件就数据采集、知情同意、匿名化处理、使用目的与范围、数据分类分级以及跨境传输等事项提出了具体要求。结合实务观察，笔者主要提示：
，相关主体可更多关注和探索“动态知情同意”，推进场景化授权设计，以增强数据授权的灵活性与合规性，应对数据使用场景与权限需求范围的动态变化。在技术实现方面，区块链技术以其去中心化、数据不可篡改和可追溯的特性，为构建可信的数据流通环境提供了理想的技术基础；并通过智能合约对数据的使用权、访问权限、使用目的和期限进行编码和自动化执行，为解决复杂的数据确权问题提供了技术方案[19]。另外，隐私计算也已成为实现医疗数据“可用不可见”的关键路径。[20]此外，一个值得探讨的问题是，医疗临床数据交易中的个人信息保护与一般意义上的“个人信息保护”是否完全一致？
首先可以明确的是，关于姓名、身份证件号码等可以直接指向具体个人的人口统计学数据当然属于医疗临床数据交易的禁区。然而，BG大游对于健康信息、行踪轨迹等非人口统计学信息，虽然确实与具体个人直接存在一定的关联，但《个人信息保护法》将其纳入个人信息的范畴似乎更多是为了防止单独或少量个体基于暴露的特定信息而被“开盒”。当无数数据汇集、整合为一个庞大的数据集时，个体与这些信息之间的关联会在数据集中被无限稀释并具有“单向性”，即通过个体可以定位其手术记录、X光片等；反之并不具备现实可行性。数据需求方通常也并不在意数据来源的个体的姓名、身份证号码等与数据价值无关的信息。从功能主义的视角出发，医疗机构可根据医疗临床数据的具体应用场景，在无须采集相关个人信息的情况下，从数据采集阶段即可放弃对该部分个人信息的收集。这样既在一定程度上避免了个人信息侵权的风险，同时也可降低对非结构数据进行清洗、标准化的成本。
在全球化背景下，涉外医疗临床数据交易的跨境传输已成为一个不可忽视的问题。国家计算机网络应急技术处理协调中心发布的《2020年中国互联网网络安全报告》显示，2020年共发现境内医学影像数据通过网络出境497万余次，其中，我国包含大量患者个人信息的未脱敏医学影像数据出境近40万次，占出境总次数的7.9%。
[21]在日益收紧的国际政策环境，为了确保数据的安全性和合规性，各国政府和相关机构制定了一系列严格的规定和要求。1.数据的跨境传输
，我国明确规定，医疗临床数据的跨境传输需通过国家网信部门的安全评估。这一规定旨在确保数据在跨境传输过程中的安全性和隐私性，防止数据泄露和滥用。[22]特别值得注意的是，人类遗传资源数据被严格禁止出境，这是出于对人类遗传资源保护和利用的考虑。根据《人类遗传资源管理条例》的相关规定，任何单位和个人不得擅自向境外提供、出售或发布我国人类遗传资源信息。在数据过境方面
，各国的要求不尽相同，但均体现了严格监管的特点。例如，欧盟的《通用数据保护条例》（GDPR）要求，向非欧盟国家传输个人数据前，需确保该国提供了“充分性认定”或数据接收方与数据出口方签署了标准合同条款（SCCs）。日本在接收涉外医疗临床数据时，要求第三方机构对数据进行匿名化处理，以确保数据的隐私性和安全性。我国《促进和规范数据跨境流动规定》规定，“数据处理者在境外收集和产生的个人信息传输至境内处理后向境外提供，处理过程中没有引入境内个人信息或者重要数据的，免予申报数据出境安全评估、订立个人信息出境标准合同、通过个人信息保护认证。”在数据入境方面
，不同国家也有各自的规定。美国《健康保险携带和责任法案》（HIPAA）要求，向美国传输医疗数据时，数据接收方需签署商业伙伴协议（BAA），以确保数据的合规性和安全性。[23]而我国对数据入境的监管仅限制在主体资质与数据内容的合规审查，如不能违反《数据安全法》《个人信息保护法》等法律法规与政策。需要注意的是，美国近两年签署并实施的《关于防止受关注国家获取美国人大量敏感个人数据和美国政府相关数据的行政命令》及其规则（“
”）要求包括美国国家科学基金会在内的机构发布规定，禁止提供或减少使“受关注国家”及“受管制对象”访问美国敏感个人数据的援助，并将我国列入受关切国家名单。笔者建议涉及中美跨境数据交易的企业先行判断交易内容是否落入《敏感个人数据行政命令》的规制范围，对敏感数据跨境可能的风险进行全面评估，并提前制定风险应对措施。未来，医疗临床数据涉外交易中的跨境传输势必将更加重要和复杂。相关主体应当结合数据所处业务特性、跨境应用场景及流转路径，严格遵守各国相关规定和要求并定期开展风险评估工作，确保数据的安全性和合规性。
我国历来对人类遗传资源高度重视，随着生物医疗技术的飞速发展，人类遗传资源已成为国际竞争的战略焦点。在全球经济一体化的背景下，外资和合资企业在我国医疗临床数据交易领域扮演着越来越重要的角色。然而，这些企业面也临着更为严格的监管要求和风险预防挑战。本节内容重点关注准入限制、数据本地化以及风险防控三个方面，旨在说明外资/合资企业在这一领域的合规挑战与应对策略。
，我国针对外资控股涉及人类遗传资源的医疗机构有明确规定。《人类遗传资源管理条例》禁止外国组织、个人及其控制的机构控股此类机构，需要利用我国人类遗传资源开展科学研究活动的，应当遵守相关法规并采取与我国科研机构、高等学校、医疗机构、企业合作的方式进行。在数据本地化方面
，我国要求对于人们疾病防治、健康管理等过程中产生的健康医疗数据，应当存储在境内安全可信的服务器上，以保障医疗临床数据的安全可控。对于外资/合资企业而言，因业务需要确需向境外提供的，应当进行安全评估审核，非经主管机关批准，也不得向外国司法或者执法机构提供存储于中国境内的数据。这一规定有助于防止数据泄露和滥用，保护我国公民的隐私权益。在风险防控方面
，合资企业需设立数据安全官，并接受网信部门的定期审查。数据安全官负责监督数据安全工作，确保数据在生命周期各阶段的安全合规。通过这一机制，企业能建立全面的数据安全管理体系，防范数据泄露风险。同时，网信部门的审查是确保企业合规运营的关键，通过全面审查数据安全管理体系和处理活动，及时发现并纠正问题，确保数据的安全合规。尽管面临挑战，外资/合资企业也迎来了新机遇。2024年9月发布的《关于在医疗领域开展扩大开放试点工作的通知》允许外商投资企业在特定自由贸易试验区和海南自由贸易港从事人体干细胞、基因诊断与治疗技术开发和技术应用，还允许在北京、天津、上海等多地设立外商独资医院（中医类除外，不含并购公立医院）。2024年12月16日，天津市颁发首张外商独资三级综合医院医疗机构执业许可证，成为该通知发布以来，首家获批的外商独资三级综合医院。
[24]今年6月,佰唯基因生物科技率先在海南开展首个外资干细胞项目。[25]这为外资企业进入中国医疗市场提供了更明确的政策指引和更广阔的发展空间。随着我国医疗市场的开放，外资/合资企业可通过合规运营和创新发展，在我国医疗临床数据市场中占据一席之地，利用技术优势和全球化资源，为行业带来先进技术和管理经验。四、谋篇未来：迈向医疗临床数据交易的新篇章
当前，我国数据要素市场的整体发展势头为医疗数据这一垂直领域的价值释放提供了广阔的宏观背景。据统计，2023年中国医疗健康大数据市场规模已达到371.4亿元人民币，其中数据交易规模占比约为6.4%，约23.77亿元人民币。
[26]市场的结构性转型始终依赖于顶层政策的战略性引导，《数据二十条》作为开启数据要素市场化进程的关键文件，首次系统构建了数据产权界定、流通交易、收益分配等基础制度框架，为化解数据交易核心矛盾指明了方向。在此基础上，国家数据局等部门于2023年底联合推出《“数据要素×”三年行动计划（2024—2026年）》将“医疗健康”列为重点领域之一，为市场化进程注入了更为具体而有力的政策动能。
在如此广阔的市场前景与明确的政策导向下，必须看到，医疗临床数据的高效流通是这一切价值实现的前提。对此，数据供给方应将数据治理视为核心战略性工作予以投入，建立院内数据资产目录和分级分类管理体系。积极与信誉良好、专业能力强的数据交易所、数据经纪人等合作。数据需求方应制定明确的数据战略，积极与数据交易所对接，清晰表达数据需求，引导数据供给，探索交易路径。技术公司与包括律师事务所在内的中介平台应聚焦于市场的核心痛点，提供覆盖数据全生命周期的解决方案，尤其是在交易架构搭建、数据治理、合规审计、安全技术服务等领域，成为连接数据供需双方的、可信赖的伙伴。
当前，我国数据要素市场化改革已进入快车道并不断迈向深水区。笔者相信，通过各方不断努力探索和完善数据确权、评估、交易、监管的全链条机制，重点攻克权属界定、动态定价与合规流通三大高地，充分发挥数据作为新型生产要素的驱动作用，我国医疗临床数据的价值释放未来可期。
[2]以上海和深圳数据交易所的实践为例，典型的场内交易流程包括：数据产品登记、评估与挂牌、合规审查、交易撮合与签约、数据交付、交易结算以及颁发交易凭证等。
[4]中国移动通信集团有限公司：《数联网（DSSN）白皮书》，2023.04
[13] 《民法典》第1032条：自然人享有隐私权。任何组织或者个人不得以刺探、侵扰、泄露、公开等方式侵害他人的隐私权。
[15] 高富平.论医疗数据权利配置──医疗数据开放利用法律框架[J],现代法学2020年7月.
[16] 王宇轩、孟凡、黄文彬，《数据产品交易困境及其解决路径分析框架研究》，载《图书情报工作》2025年第2期，第67-86页。
[17] 申卫星,李卓凡.论数据交易信赖保护的公开市场规则[J].法制与社会发展,2025年第5期.
[18] 孙莹.数据产权登记的基本问题研究[J]，中国法学,2025年第1期。
[19] 陈松斌,郑文捷,张露,赵敏,叶建平,陈艺祥.厦门大学附属第一医院计算机中心[J]. 中国数字医学,2022,17(1)107-110.
[20] 任奎,张秉晟,张聪，《密码应用:从安全通信到数据可用不可见》，载《密码学报》2024年第11期，第22-44页。
[22] 洪延青，《中国数据出境安全管理制度的“再平衡”——基于国家间数据竞争战略的视角》，载《中国法律评论》2024年第3期，第201-212页.
[23] 阎娜,王伊龙,李子孝等，《美国健康保险流通与责任法案对临床研究的影响》，载《中国卒中杂志》2011年第12期，第971-974页。
