1. 引言
元宇宙的构建融合了诸多先进技术，已成为未来产业的代表[1]，正飞速应用于包括医疗在内的诸多领域。但就元宇宙医疗中患者医疗健康信息的法律保护，当前的诸多法律仅有原则性规定或只对责任承担、医疗服务流程等做简要规定。随着元宇宙医疗的逐渐普及，这些法律规范已经难以同元宇宙医疗相配套。有必要立足于元宇宙医疗的特点，分析和解决其在起步阶段所面临的突出问题，以更好地维护患者权益。
2. 元宇宙医疗概述
元宇宙(Meta verse)一词最早出现于美国科幻小说《雪崩》(Snow Crash)，是一个通过VR (虚拟现实)，AR (增强现实)，MR (混合现实)，区块链，AI (人工智能)等技术，使人以虚拟化身的身份在线进入并进行交互的虚拟或者虚实结合的数字世界。元宇宙在医疗方面的应用即元宇宙医疗，是当前已经存在的互联网诊疗或远程医疗的延伸，其在技术上广泛应用VR、AI、区块链等技术，具有更高的沉浸体验。
元宇宙医疗中，VR等设备及相关的可穿戴设备能带来深度沉浸感，让医生更全面地观察患者的身体或器官，有利于医生进行诊疗甚至实施手术。同时，为实现虚拟化身以及虚拟、现实世界的实时交互，上述设备也需时刻记录传统医疗和远程医疗难以收集的海量信息，一方面，更为细致全面的信息经过医生或AI分析，能够大幅提高医疗服务的质量，另一方面，这些信息又会因区块链采用的分布式存储和加密技术而使安全性和可靠程度得到大幅提升。
元宇宙医疗在世界各地均有现实应用，如美国的XRHealth公司通过将AI与沉浸虚拟现实技术相结合，对患者进行评估并提供医疗保健服务。如我国的中山大学孙逸仙纪念医院通过元宇宙技术，成功实施了全国首例可视化皮瓣移植术。如华中科技大学同济医学院通过混合现实云平台技术，成功为前线战士及边疆居民开展3台远程会诊手术[2]。据四川省区块链行业协会数字城市元宇宙专委会、成都中广电范应用产业研究院等共同编制的《川渝地区元宇宙产业发展蓝皮书(2023)》分析，到2025年我国元宇宙的市场规模将超过2800亿元人民币，而元宇宙医疗的市场将占据11.76%的份额。
3. 患者医疗健康信息的性质和现有法律保护
按《个人信息保护法》(下称《个保法》)对个人信息及敏感个人信息的表述，结合《国家健康医疗大数据标准、安全和服务管理办法(试行)》第四条对健康医疗大数据的表述，可以将患者医疗健康信息定义为：以电子或者其他方式记录的自然人在疾病防治、健康管理等活动中产生的一经泄露或者非法使用，容易侵害人格尊严或危害人身、财产安全的已识别或者可识别的各种信息。需注意，患者在医疗健康活动中产生的信息定然包括姓名、性别等信息，此类信息显然难以符合前述定义，故不在本文讨论范围内。尽管按照当前学界的通说观点及《民法典》等法条的表述可知，隐私权和个人信息权益属于两项独立的具体人格权(益)，二者并不存在相互包涵的关系。但从《民法典》第一千零三十二条和第一千零三十四条关于私密信息的规定可知，私密信息需适用隐私权的规定，加之《个保法》第二十八条规定，患者医疗健康信息属于个人信息中的敏感个人信息。显然，隐私和个人信息“天然具有重合性”[3]，且“有些个人信息属于私密信息，构成了隐私权的保护客体”，“侵害个人信息特别是侵害敏感信息的情形，容易和侵害隐私权存在交叉”[4]。综上，患者医疗健康信息可以属于《民法典》的私密信息，而按隐私保护，也因属于《个保法》的敏感个人信息，而按个人信息进行保护。对具有交叉属性的患者医疗健康信息做出明确的性质划分并不现实，只需从特别法优于一般法以及维护信息主体权益(《个保法》第一条)的角度进行处理即可。同样，元宇宙医疗作为当前互联网诊疗等的延申，也仅需从特别法优于一般法以及维护信息主体权益的角度选择保护路径，如此也更能维护患方权益。
首先，在保护患者医疗健康信息的具体规则上，应采取《个保法》的规则。相较于并无详细规定的《民法典》，《个保法》中有更为详细、明确的处理规则，如二十九条的“单独同意”和三十条的告知“必要性以及对个人权益的影响”等。但在元宇宙医疗中，信息处理的相关条款以及后续影响难以被信息主体所理解，容易使知情同意规则沦为形式，如何让其落实，是让知情同意规则在元宇宙时代继续发挥作用的关键。其次，在损害结果的认定问题上，由于《民法典》并未对侵害隐私权或个人信息权益的损害结果单独做规定，故需根据侵权责任编关于财产损失和精神损害的规定进行认定，然而其对精神损害要求达到“严重”。尽管《个保法》第六十九条的“造成损害”更为宽松，似乎更符合维护患者权益的立场，但其是否在事实上摒弃了《民法典》“严重”的限度要求，仍有待后文分析。再次，在认定是否应当承担责任上，《民法典》有关隐私权的规定更有利于维护患者医疗健康信息。由于患者医疗健康信息亦具有隐私权性质，一旦出现信息泄露或非法使用的情形，从隐私权的保护来看，这种“不愿为他人知晓”的意愿已然被侵害，也即只要行为人实施了泄露、非法公开等行为就应当承担责任[3]。最后，在侵权责任的归责原则上，需采用《个保法》的过错推定原则。《民法典》对此无特别规定，故需采取过错责任，而《个保法》第六十九条明确规定：“个人信息处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任”。显然，一方面，过错推定原则相较于过错责任原则，减轻了患方的举证责任和负担，更有利于患者维护权益。另一方面，由于患者医疗健康信息在性质上具有隐私权和个人信息权益的重叠，《个保法》规定了过错推定，而《民法典》并未做出特别规定，二者系特别法与普通法的关系，故应适用《个保法》的过错推定原则。尽管过错推定更有利于保护患者医疗健康信息权益，但单一的过错推定能否较好的适应于元宇宙医疗仍待后文分析。
4. 元宇宙医疗下现有法律的不足
在信息技术日新月异的当下，现有法律规定在远程医疗中已显得捉襟见肘，难以适配更为先进的元宇宙医疗。故需在现有法律规范基础上做出完善，增强保护力度和可操作性，更好地维护元宇宙医疗中患者的权益。具体而言不足包括：归责原则不够科学完善、损害结果的界定存在不足以及知情同意规则得不到落实。
(一) 归责原则难以适应于元宇宙医疗
如前述，当发生侵害患者医疗健康信息的情形时，应以过错推定为归责原则。但随着迈入元宇宙医疗时代，这种一刀切式的归责原则已然难以适应于元宇宙医疗，无法为患者权益提供足够保护。一方面，传统医疗中的信息处理者通常仅为医疗机构，而远程医疗服务起码包含邀请方、受邀方及第三方平台，而在元宇宙医疗中涉及的主体将更多，如提供元宇宙医疗平台的运营者，甚至元宇宙医疗的设备制造者、算法开发者等主体，仅过错推定难以合理应对多方参与的元宇宙医疗亦难以维护患方权益。尽管患者的举证难度并非完全取决于归责原则，但归责原则与患者的举证难度直接关联，在信息地位不对等的元宇宙医疗中更是如此，故需考虑更为合理的归责之法。另一方面，在元宇宙医疗中，不同设备、各个环节均需收集、处理、传输海量的数据信息，包括眼球动作以及指纹、声纹甚至脑电波等以往远程医疗无需也不能收集的信息，这使得侵害患者医疗健康信息的环节增多，提高了患者的维权难度和成本，故也需从立法上考虑如何降低患方的维权难度。
(二) 损害结果的界定存在不足
关于财产损失，《民法典》第一千一百八十二条和《个保法》第六十九条的表述高度一致。然而，元宇宙中患者医疗健康信息具有高价值性，这导致当前这种以个人因此受到的损失或信息处理者因此获得的利益为基础的损害计算方式存在不合理之处。关于精神损害，《个保法》第六十九条虽未要求“严重”，但实践中对于信息泄露致使精神损害的认定，大多仍然需要达到“严重”的程度。截至2024年11月3日，在中国裁判文书网以“民事案由”、“个人信息泄露”、“精神损害”为条件，检索得到文书57篇，排除无关及重复案例，得到有效判决书51份。支持精神损害赔偿的数量仅为8份，均达到“严重”程度。其中5份，法院认为虽未达到“严重”但却酌定支持了一定数额的精神损害赔偿。不予支持的多达38份，达到了全部案件的75%，均以证据不足或者未达“严重”为由。其中，2022年之后的案例共11份，仅2份“酌定”支持，9份认为未达“严重”。造成这一现象的根本原因是《个保法》在事实上并未就精神损害的认定作出规定。《个保法》第六十九条第一款看似包含精神损害，但第二款损害计算的表述与《民法典》第一千一百八十二条的财产损失的认定高度一致，这使得实践中认定精神损害无法依据《个保法》，而只能依据《民法典》。但在元宇宙医疗中，医疗服务全过程均被详尽记录，且因依赖区块链技术，一旦泄露将对患者的财产和精神造成持续且广泛的潜在风险。例如，已发生了泄露、非法使用等侵害行为，但泄露仍存在于元宇宙维度而尚未损害现实财产的情形。面对元宇宙医疗中的财产、精神损害的特殊性，现有法律规定难以有效保护患者权益，如何在法律层面进行完善是当前亟需解决的问题。
(三) 知情同意规则得不到落实
《个保法》第一条规定，信息处理要保护自然人的个人信息权益。为此，该法第十三条规定了知情同意规则，即除例外情形，个人信息处理者处理个人信息需在个人充分知情的基础上得到该个人自愿、明确的同意方可处理。学界认为知情同意规则系意思自治在个人信息保护领域的具现，甚至被誉为个人信息保护的“帝王条款”[5]。但当前大多数互联网平台提供的个人信息保护政策存在条文冗长、专业性过高等问题。同时，用户对政策条款的内容只能以“一揽子”的模式同意或者反对，若不同意则连最基本的服务都难以享受，而一旦选择同意，则是将现有及将来的信息一并予以同意，这种同意应被认定为“非自愿”[6]。显然上述问题在元宇宙医疗中将更为突出，元宇宙医疗使用了更前沿的技术，信息收集、处理、流动以及用途极其复杂且专业性较强，作为不具备相关专业知识的大部分患者，即使花费时间了解，也可能难以准确理解其含义和后续影响。综上，元宇宙医疗中知情同意原规则一方面无法体现信息主体的意思自治，另一方面，“一揽子”同意模式存在显著的不合理之处，需进一步研究如何从法律层面切实保障元宇宙医疗中患者的知情同意权。
5. 完善建议
(一) 引入无过错责任分类归责并参考产品责任
关于引入无过错责任，有学者认为对医疗健康信息等敏感个人信息均应当适用无过错责任[7]，甚至有学者主张只要侵害个人信息，侵权责任统一适用无过错责任[8]，这两种观点均较为武断且不合理。需知，侵权法中的归责原则虽有差异，但其本质仍是根据风险来分配责任，而由于元宇宙中不同个人信息处理者在处理信息的技术条件、数量、获得信息的难易程度乃至是其与信息主体的地位是否平等都存在较大差别，从而使风险会因主体的不同而存在差异。故而在元宇宙医疗中，区别不同类型的个人信息处理者并规定不同的归责原则，是最为合理、公平的做法。此种分类归责在我国台湾地区的“个人资料保护法”中有规定，其28、29条将个人资料处理者分为公务机关和非公务机关，并区别其归责原则。我国《民法典》中亦有体现，如对饲养动物损害责任采取了不同情况不同归责原则的分类归责方法。综上，针对侵害患者医疗健康信息的行为，引入无过错责任并分类归责具有合理性和先例，不会与现行法律框架发生冲突。
具体而言，元宇宙医疗中自然人(个体)类型的信息处理者需按《个保法》的知情同意规则进行，且根据《互联网医疗保健信息服务管理办法》第十二条之规定不得在互联网上存储和处理。此类主体较之医疗机构等主体，在技术条件和处理信息的数量上存在明显差距，故当前的过错推定仍较为适当。其次，对于元宇宙医疗机构或有关企业，其处理患者医疗健康信息的数量和技术较自然人类型信息处理者有显著提升，且因从事医疗或信息处理活动，更易获得患者的同意，对该平台患者的医疗健康信息也有更大的掌控度，故对此类主体以无过错责任为归责原则较为适当。最后是行政管理部门类型的信息处理者，其与自然人或医疗机构类型的信息处理者不同，其通常基于《个保法》第十三条的“履行法定职责”或“为应对突发公共卫生事件”处理信息，与信息主体间非平等主体。由于其处理信息的体量和范围较大且无需获得同意，对信息也有着近乎全面的掌控，是故当前行政诉讼领域采用的违法归责原则形同虚设，有必要对此类主体适用无过错责任。诚然，相较于过错推定，无过错责任会加重元宇宙医疗先行者的负担，一定程度上阻碍了元宇宙医疗行业的发展。但从维护患方权益、相关主体从患者医疗健康信息中所获得的收益、技术水平乃至公共利益的考量等角度来看，元宇宙医疗机构或企业及行政管理部门也必须承担无过错责任，其不能仅享受处理信息带来好处而不承担相应责任。也只有如此，方能在降低患方维权难度的同时，刺激此类元宇宙医疗的信息处理者不断更新技术，防范风险以避免损害发生。
此外，因元宇宙医疗涉及的主体较多，且收集之后的环节也极多，患者寻找具体的侵权主体或环节的难度剧增。对此，可参考产品责任的设计方式，以降低患者的维权难度和成本。因产品缺陷致人损害，被侵权人与销售者存在合同关系，此时无论产品缺陷由谁导致，均可直接向销售者请求赔偿。元宇宙医疗中患者的医疗健康信息在医疗服务中产生，且患者必然会与某具体的元宇宙医疗服务平台签订合同或用户协议，此时一旦患者的医疗健康信息受到损害，患者可直接向该元宇宙医疗平台主张赔偿，无需再行界定元宇宙医疗服务提供者。这一做法既方便患者，也具有法律基础。具体而言，可以将《远程医疗服务管理规范(试行)》第五部分第三条修改为医疗机构与第三方机构等主体开展远程医疗服务或元宇宙医疗服务对患者造成损害时，患者可以向医疗服务提供者或签约的元宇宙医疗平台请求赔偿。损害是由设备提供者、算法开发者或其他主体造成时，该医疗服务提供者或签约的元宇宙医疗平台赔偿后，有权对相关主体进行追偿。
(二) 完善损害结果的认定
对损害结果认定的完善可以从精神和财产两方面进行。在精神损害的认定上，尤其是在元宇宙医疗背景下，“严重”不应成为阻碍患者获取精神损害赔偿的理由。一方面，在《民法典》颁布之前就有部分地区对精神损害做了放宽规定，如尽管《侵权责任法》第二十二条规定，侵害他人人身权益需造成严重精神损害方可以请求精神损害赔偿，但2011年山东省高级人民法院发布的《关于印发全省民事审判工作会议纪要的通知》就将精神损害分为一般精神损害和严重精神损害，并分别规定赔偿标准。另一方面，当前亦有部分法院会对未达“严重”的精神损害，酌情予以支持，如(2023)辽10民终2037号、(2022)闽01民终5983号等。此外，由于元宇宙医疗中的数据和信息记录得非常详尽，加之元宇宙信息具有难以篡改的特点，即使患者的精神损害未达到《民法典》的“严重”，其带来的焦虑、恐慌和不安远非当前传统医疗和远程医疗所能比拟。因《民法典》调整范围极其广泛，造成精神损害的原因也极多，故不宜直接修改《民法典》，而应修改《个保法》。故建议在未来修订《个保法》时于第六十九条增加第三款：信息处理者实施泄露或者非法使用个人信息等行为，侵害个人信息权益，对信息主体造成精神负担，被侵权人有权请求精神损害赔偿，信息主体向人民法院提起诉讼的，法院可综合考虑受侵害个人信息的类型、风险发生盖然性、可能导致的危害及其影响范围等因素，酌情认定。
在财产损失的认定方面，元宇宙中患者医疗健康信息的真实价值较常规医疗健康信息显著上升，但该信息可能仍以相当低廉的价格出卖。同时也会出现前述尚未损害现实财产的情形，从而难以认定患者的财产损失，进而需以个人信息处理者由此获得的非法收益进行计算，此时患者获得的赔偿可能仅为个位数。尽管《民法典》和《个保法》均有“根据实际情况确定赔偿数额”的表述，但该规定仅在“个人因此受到的损失和个人信息处理者因此获得的利益难以确定”时方可使用。综上，考虑到元宇宙医疗下患者医疗健康信息的高价值性以及财产损失的延时发生性，建议未来修订《个保法》时于第六十九条第二款增加规定：若个人信息处理者因此获得的利益明显不足以赔偿患者损失时，由法院衡量具体信息可能带来的损害，酌定数额。
(三) 知情同意规则的落实
对知情同意规则，前些年不乏学者唱衰，如有学者认为其在大数据时代已然是穷途末路[9]。但《个保法》的颁布，意味着知情同意仍然是保护个人信息的重要规则，探索如何让知情同意规则继续发挥作用才更具现实意义。具体而言可从“知情”和“同意”两方面完善。
首先要通过各种手段让患者切实地“知情”。知情同意规则作为意思自治在个人信息保护领域的体现，一方面，信息主体应当对信息处理的事项具有表意自由，另一方面，信息主体需对信息处理的事项有充分了解。要让元宇宙医疗中患者对信息处理具有表意自由，应当通过立法加强对相关平台的管理，如可通过制定规章，明确有关部门需对元宇宙医疗平台提供给用户的政策条款进行合法性核查，如此方可落实《个保法》第十六条的规定，防止恶意拒绝提供服务，真正落实患者的表意自由。要让患者充分理解元宇宙医疗服务提供者提供的政策条款，可以充分利用元宇宙中人工智能以及VR、AR技术带来的沉浸感等特殊优势，将知情同意的首次同意(政策条款)以及后续同意，从繁复枯燥的文字，转化为生动、易于理解甚至是能够互动的图片、视频乃至沉浸式的虚拟三维表现，让患者理解信息处理的技术、用途以及后续的影响，这亦是《个保法》第十七条规定的以“显著方式、清晰易懂的语言”进行告知的适应时代发展的做法。
其次，针对“同意”可通过引入动态知情同意来落实，《个保法》第十五条第一款的规定为动态知情同意提供法律基础。动态知情同意就是在信息处理者和个人之间搭建实时沟通渠道，通过信息处理者对信息利用状况的持续披露，让信息主体在不同的利用场景和时间段自主地决定继续同意还是撤回同意[5]。动态知情同意与传统知情同意的区别在于，动态知情同意是持续的信息处理披露和信息主体同意、拒绝、撤回或修改同意范围的反复行权，而传统知情同意则是一次性的。在过去，动态知情同意难以实现是因为技术和成本的阻碍，而在元宇宙医疗中并不存在这一困难。元宇宙医疗依赖于一定平台，且需配合可穿戴设备及其他软硬件设施，对于元宇宙医疗服务提供者而言，搭建一个供双方实时进行知情同意的渠道并无难度。对元宇宙医疗的患者而言，其可通过穿戴设备对医疗过程中产生的医疗健康信息进行实时同意或拒绝，增强掌控力，使其从消极的被保护方成为信息处理活动的积极参与者，实现知情同意规则的立法目的。具体而言，可以对《个保法》第十五条进行调整：基于个人同意处理个人信息的，个人有权撤回其同意。个人信息处理者应持续向个人披露信息的处理情况，并向个人提供便捷的撤回同意的方式。
6. 结语
鉴于元宇宙医疗所具有的巨大潜力，立足于元宇宙医疗背景，分析法律在元宇宙医疗起步阶段的突出问题，提出未来修订法律的几个具体建议，以期能够推动新质生产力发展，为患者医疗健康信息保驾护航，当然，还有更多未分析的问题有待未来学者和立法者做出完善。此外，技术对保护元宇宙医疗中患者权益也有显著作用，如区块链的透明性能使每次数据处理和操作都被记录，使责任界定有迹可寻，如AI能对医疗健康信息的处理进行实时监控、检测和异常记录，并做风险预警。