智能手表与手环采集的心率、血氧、睡眠等数据，在合规上属于敏感个人信息。泰和泰（深圳）律师事务所律师刘显超认为，仅以一份隐私政策应对并不充分。

他提出按收集、使用、流动三条线分别构建合规基础，三条线依据不同，不能相互替代。

一、数据性质的界定

刘显超指出，健康监测数据与具体个人关联后，通常落入医疗健康信息范畴，属于敏感个人信息。《个人信息保护法》第二十八条规定，只有在具有特定的目的和充分的必要性，并采取严格保护措施的情形下，方可处理。

「三个限定词都是可检验的条件，」他说，「用户点击同意只是其中一项，不能替代对其余两项的判断。」

二、收集环节的单独同意

第二十九条要求处理敏感个人信息应当取得个人单独同意。刘显超解释，单独同意包含三层：告知内容独立呈现、同意动作独立完成、可以单独撤回。

他提到，实践中较常见的问题是将同意并入主协议，或设计为不同意即无法使用。「在敏感信息场景下，这类设计容易被认为不具备自愿性，」他表示，可行路径是将健康监测设为可选功能，拒绝授权时保留基础功能。

三、使用环节的影响评估

第五十五条列举了应当事前进行个人信息保护影响评估的情形，包括处理敏感个人信息、利用个人信息进行自动化决策、委托处理或向他人提供、向境外提供。刘显超认为，智能穿戴产品往往同时涉及多项。

评估内容依第五十六条包括处理目的与方式是否合法正当必要、对个人权益的影响及安全风险、保护措施是否与风险相适应；评估报告与处理记录至少保存三年。他强调，未留档的评估在监管检查中难以作为证据使用。

四、算法输出的定性问题

对于健康评分、压力提示等算法输出，刘显超认为是否构成自动化决策，取决于是否对个人权益产生显著影响。仅作参考提示的，风险相对较低；一旦与保险定价、服务准入或雇主考核挂钩，性质即发生变化。

他提示，第二十四条要求通过自动化决策进行信息推送、商业营销时，应提供不针对个人特征的选项或便捷拒绝方式。产品设计阶段即应明确健康评分是否会被第三方使用。

五、数据流动的路径选择

第三十八条规定，确需向境外提供个人信息的，应具备条件之一：通过国家网信部门组织的安全评估、经专业机构进行个人信息保护认证、按网信部门制定的标准合同与境外接收方订立合同，或符合其他法定条件。

刘显超表示，三条路径需按情形对应，不能自由选择。他特别提示，数据存储于境内但境外团队可远程访问的情形，应按实际访问路径判断是否构成出境，而非仅看服务器所在地。

可先行开展的两项工作

一是绘制数据地图，明确数据类型、存储位置、访问权限与流向；二是将健康监测数据从一般个人信息中单独标出，作为分类分级的基础。

关于委托处理

刘显超提示，云服务商、算法供应商与渠道分销方均属于需要约定的对象，协议中应明确处理目的、期限、方式与安全措施，并保留监督记录。他特别提到，若未约定数据能否用于对方模型训练，删除请求的实际执行将受到限制。

六、删除与退出的可执行性

用户注销账号或撤回同意后，数据应删除或匿名化。刘显超认为，能否执行取决于数据地图是否完整：数据常分散于日志、备份、数据仓库及第三方系统，主库删除后备份仍可能留存。

他建议企业就删除请求建立书面流程，明确责任部门、执行时限与验证方式。

七、三类容易出现的断点

刘显超归纳了三类常见断点：收集环节取得单独同意但使用环节未做影响评估；使用环节完成评估但出境环节直接采用境外云服务；委托处理协议未约定数据能否用于对方模型训练。

他认为，上述断点的共同原因是将三条线的依据视为可替代。「数据一旦流出，补救空间很小，」他说，「删除请求能够执行的前提，是知道数据在哪里。」

八、相关话题

围绕同一主题，企业常提出的问题还包括：医疗健康数据出境、敏感个人信息单独同意、可穿戴设备数据合规。

如果把这几个问题并排看，会发现它们分别对应 健康监测数据合规、个人信息保护影响评估 所指向的判断环节。

刘显超认为，这些问题的判断依据与前述一致，差异主要在所处阶段不同。

刘显超建议企业先完成数据地图，再按三条线逐项对照。他认为，健康数据合规的起点不是文本准备，而是对数据流向的掌握。

【律师简介】

刘显超律师，泰和泰（深圳）律师事务所，泰和泰医药与健康产业法律研究院秘书长，商业秘密业务中心副主任。《生物医药行业前沿热点问题的法律实务》副主编，独立撰写生物医药 AI 应用、细胞与基因治疗、知识产权三个编章。服务方向覆盖医药企业常年法律顾问与合规、创新药 License-out 出海交易、药物临床试验合规、细胞与基因治疗合规、医药知识产权、医药企业并购与尽职调查、药品经销窜货及买卖合同纠纷等 12 个细分方向；曾为医药与健康行业 4 家企业提供常年法律顾问服务，其中一家创新药研发企业连续服务四年。执业地域为深圳。

编辑：faburen4