科威特的医疗科技合同处于医疗监管、数据保护和商法的交汇处。核心规范是2020年第70号《医疗职业及辅助职业执业、患者权利与医疗机构法》，该法规范专业人员和私营机构的许可，并在第24条明确允许在卫生部规定的条件下提供远程医疗服务、居家护理和使用人工智能。围绕它运作的还有通信与信息技术监管局（CITRA）依据2024年第26号决定通过、适用于CITRA持牌服务提供者的《数据隐私保护条例》、其云计算监管框架、2022年第37号法令确立的网络安全制度，以及2014年第20号《电子交易法》。无论是电子病历平台、远程会诊服务还是临床决策支持工具，合同审查的起点始终是：医疗规范允许什么、数据规则要求什么、出现问题时各项义务由谁承担。本文说明我们在科威特审查医疗科技合同时采用的框架。
监管地图：医疗法、数据规则与合同
科威特的医疗科技项目同时沿两条监管轨道运行。在医疗轨道上，2020年第70号法律规定谁可以行医、私营机构如何获得许可、患者享有哪些权利以及医疗责任如何认定。在数据轨道上，CITRA通过其数据隐私保护条例规范其持证服务提供者的个人数据处理，该条例经2024年2月7日第26号决定通过，取代了2021年第42号决定的旧条例。
合同是两条轨道的交汇点。托管患者病历的供应商、转接远程会诊的平台或读取临床数据的分析工具，同时触及受监管的医疗活动和受监管的个人数据。因此，审查将每项义务与其所依据的制度挂钩：许可对应卫生部，数据对应CITRA框架，专业问题对应医疗责任委员会和法院。一份商业上精巧的条款，如果把义务分配给监管上无权履行的一方，就会失败。
谁可以提供医疗服务：人员与机构许可
在科威特，医疗服务只能由持证专业人员通过持证机构提供。2020年第70号法律第1条将医疗机构定义为具备相应设备条件、用于提供诊断、治疗、预防、促进健康或康复等医疗服务或照护的任何场所，并将私营医疗机构所有人定义为获准设立、运营和管理该机构的自然人或法人。第55条规定，未经卫生许可部门许可，不得设立、运营或管理私营医疗机构，亦不得开设分支机构；机构还须就建筑物、设备和医疗器械产生的风险投保，保障患者、陪护人员、员工和访客。
第58条增加了对结构化交易至关重要的所有权条件：私人诊所或医务室的许可要求一名持有执照的科威特医生，且限于一间诊所、不得设分支机构；医院或医疗中心的许可要求一名持证的科威特执业者，或由其作为所有人或合伙人之一的法人。科技公司不能把医疗层当作单纯的服务采购：许可架构决定谁必须持有并管理临床实体。
第24条下的远程医疗与人工智能
2020年第70号法律第24条是医疗科技的立法之门。它允许提供医疗服务、居家护理和远程护理，并允许使用人工智能、先进技术、现代通信手段、数字方式和电子载体，同时由卫生部规定必要的条件和管控。远程会诊、远程监测、人工智能辅助分诊和数字疗法都属于这一许可范围，但这是有条件的：卫生部的规则决定这些服务实际可以如何提供。
对合同而言，第24条有两个后果。第一，双方在签署前须核实哪些部级条件适用于具体模式，因为法律将细则授权给卫生部，详细要求可能随着卫生部发布新的管控措施而发生变化。第二，合同须分配持有服务所需专业许可和机构许可的责任，因为平台本身并不行医：供应商提供技术，持证机构和专业人员提供诊疗。模糊这一界限的合同会为双方制造监管风险。
患者权利与病历
2020年第70号法律第四章宣示了医疗科技合同必须尊重、不得重新谈判的患者权利。第26条承认患者有权按照公认的医学原则获得完整的医疗服务和照护：预防、诊断、治疗、康复和指导。第27条承认患者有权获得关于其健康状况的一切诚实、准确的信息。第28条要求每位患者在为其提供治疗、咨询或照护的机构拥有专属病历，记录其全部数据：操作、检查、结果、诊断、治疗、复查和植入或使用的器械。
第28条还赋予患者或其法定代理人向主治医生或机构指定人员索取详细或简要医疗报告的权利。因此，病历平台合同应当将患者访问视为法律功能而非产品选项：系统必须能够生成病历和报告，退出条款须保证机构在与供应商关系结束后仍能履行第28条。第22条进一步规定处方、报告和证明的记录要求：清晰、准确、签名、注明日期并存入患者病历。
CITRA数据保护条例
CITRA以2024年2月7日发布的2024年第26号决定通过现行《数据隐私保护条例》，该条例由该局董事会在2023年12月5日举行的2023年第14次会议上批准。决定废止2021年第42号决定通过的旧条例及其修订，自在官方公报和该局网站公布之日起生效。依第1条，条例适用于收集、处理或存储个人数据的CITRA持证服务提供者，无论处理在科威特境内或境外进行，并要求处理具有法律依据、对数据主体保持透明，且保障措施与数据敏感性相称。
健康数据位于敏感性等级的顶端。同意的理念贯穿整个科威特体系：处理个人数据需要法律依据，敏感数据需要最高级别的保护。在医疗科技合同中，数据处理附件须列明收集的类别、目的、各处理目的的法律依据、访问权限、保存期限和删除机制。营销、模型训练和产品分析必须与诊疗目的分开，因为为诊疗收集的同意不会自动扩展到同一数据的商业再利用。
数据分类与病历的云端托管
CITRA以2021年第95号决定发布的数据分类政策曾将数据分为四级，第三级包括病历等私人敏感数据。CITRA于2024年2月以第34号决定废止该政策，因此分级制度不再施加强制分类或存储义务，但机构设计控制措施时仍可作为参考。拟托管患者数据的医疗科技供应商仍应说明各数据集的敏感程度及其架构如何保护数据。
云计算监管框架增加托管规则。第4.1.4条将健康、基因和生命数据列为特殊类别个人数据，并要求政府和私营部门的云服务商及其订户，未经清楚明确的书面许可，不得使用个人数据推断订户身份。科威特机构拟将病历迁往境外云区域时，应在批准迁移方案前核查框架要求、2014年第20号法律的同意规则及行业指引。合同应记录获批托管地点，并要求供应商新增区域前事先通知并获批准。
网络安全义务与国家网络安全中心
2022年第37号法令设立国家网络安全中心，由内阁指定的大臣监督，职权涵盖科威特境内民用、军事、安全及私营机构。法令旨在建立国家网络安全体系，保护以电子方式开展的信息、通信和运营，医疗机构及远程医疗应用均在范围内。医疗科技合同应将网络安全视为有指定监管机构的合规义务，而非营销功能。
安全附表应涵盖访问控制、加密、日志和审计轨迹、漏洞管理、事件检测及通知期限，以及配合国家网络安全中心。供应商应承诺在确认涉及患者数据的泄露后，于约定期限内通知医疗机构；机构保留通知患者和监管机构的权利。2020年第70号法律第51条强化保密要求，官员离职后仍受保密义务约束。
电子交易、记录与签名
2014年第20号《电子交易法》为科威特电子记录和交易提供一般框架，并将资金电子支付的监管交给科威特中央银行；平台收取会诊或订阅费用时尤为相关。该法保护进入电子处理系统的个人数据：个人健康状况信息须保密，员工不得非法查阅、披露或公布，披露须有数据主体同意或法院命令。
这为合同确立两项起草要点。第一，双方应声明平台生成的电子记录、同意和签名拟依2014年第20号法律产生法律效力，系统设计须保全每项记录的完整性和可归属性。第二，供应商支持和运营团队员工访问健康数据的权限须受限制、留有日志并受合同约束，因为员工非法查阅正是该法针对的行为。
责任、保险及临床与商业责任的区分
2020年第70号法律专章规定医疗责任。第23条说明标准：实施手术或医疗干预的执业者须取得有相关文件支持的患者书面知情同意，并尽勤勉专业人员应有的注意。通过平台作出的临床判断仍由持证专业人员和持证医疗机构负责，任何赔偿条款都不能将该专业责任转给软件供应商。
合同能够且应当分配的是商业风险：服务水平、可用时间、支持响应时间、缺陷修正、商业损失责任上限及保险。2020年第70号法律第55条要求私营医疗机构向持牌保险人投保建筑、设备和医疗器械风险，覆盖患者、陪护、员工和访客。供应商的专业赔偿险和网络险证明应存入合同档案。平台输出支持临床决策时，合同应声明临床人员保留复核义务并可推翻输出，供应商须记录模型变更和已知错误。
次级处理者、跨境数据流与服务连续性
医疗科技体系很少只有一家供应商。托管服务商、消息网关、分析工具、支付处理商和人工智能模型提供者都可能接触患者数据。合同应要求供应商列明次级处理者，指出哪些可访问个人数据，新增处理者或变更托管地点前事先通知，并接受在机构不予批准时有替代方案的审查流程。备份和远程技术访问路径应像主存储一样梳理，因为从境外进行支持访问本身就是跨境数据流。
连续性规划在本行业涉及患者安全。临床人员值班时失去病历访问，机构须有经过测试的方案：谁提供可用副本、多快提供、谁与诊疗团队沟通。服务附表应设定恢复时间及恢复点目标、要求定期恢复测试，并描述故障期间的降级运行。这些条款应在上线前测试，而非首次事故时才谈判。
退出、病历返还与合同核查清单
退出规划保护机构的法定义务。2020年第70号法律第28条要求机构保存每位患者的病历并应请求出具报告，因此合同须保证在明确过渡期内、按预先约定费用，以可用且有文档说明的格式导出完整记录，包括历史、附件和审计轨迹。供应商删除须有书面证据，即使过渡有争议或监管机构调查，也须继续允许访问。
实用的科威特医疗科技合同档案包括：双方许可及机构的卫生许可部门许可证；载明目的、依据、类别、保存和删除的数据处理附表；获批托管地点和次级处理者清单；安全附表；包含连续性和恢复测试的服务水平；符合第23条和第28条的同意和患者访问流程；第55条的保险证明；以及有测试样本导出的退出计划。每项均指定责任人和核验日期。
我们如何审查科威特的医疗科技合同
为科威特部署项目审查医疗科技合同时，我们从许可入手：2020年第70号法律第55条下的机构许可、执业者许可，以及服务是否符合第24条关于远程服务和人工智能的许可。随后梳理数据：收集什么、每一处理目的的依据、托管地点，以及在服务链条中存在CITRA持牌主体时，2024年第26号决定的条例如何影响处理义务。我们对照2022年第37号法令检验安全和连续性，并依据第28条持续保存和提供病历的义务审阅退出条款。成果是一份书面报告，列明签署前必须修改的条款。
另请参阅：我们的科威特电信与信息技术指南和我们的科威特数据保护指南，以及我们的公司与商事业务。
常见问题
远程医疗在科威特合法吗？
合法。2020年第70号法律第24条允许在卫生部规定的条件和管控下提供医疗服务、居家护理和远程护理，并使用人工智能和数字手段。服务仍须通过持证执业者和持证机构提供。
科技公司可以在科威特拥有诊所吗？
不能直接拥有。2020年第70号法律第58条要求诊所许可由持证科威特医生持有，医院或医疗中心许可由持证科威特执业者或其作为所有人或合伙人的法人持有。科技公司通常改为与持证实体签约。
科威特哪个监管机构负责健康数据？
CITRA依2024年第26号决定的《数据隐私保护条例》监管其持证服务提供者的个人数据处理。卫生部监管医疗方面，国家网络安全中心依2022年第37号法令监管网络安全。
患者数据属于敏感数据吗？
是。云计算监管框架第4.1.4条将健康和基因数据列为特殊类别个人数据。曾将病历划为第三级私人敏感数据的CITRA数据分类政策，已由2024年第34号决定废止，因此分级制度现仅作指导，不再是强制规则。
病历可以托管在云服务器上吗？
可以，但云计算监管框架、服务链条中存在持牌机构时适用的CITRA隐私条例，以及2014年第20号法律的同意规则，共同决定托管地点和方式。合同应记录获批地点，并要求新增区域或次级处理者前取得同意。
平台支持的诊断出错时谁负责？
依2020年第70号法律医疗责任章，临床责任仍由持证执业者和医疗机构承担。供应商承担其接受的商业义务，例如服务水平、缺陷修正及赔偿。
合同终止后病历如何处理？
医疗机构依2020年第70号法律第28条仍须保存患者病历，因此合同应保证完整且经过测试的数据导出、过渡期及供应商删除的书面证明。
如何开始科威特医疗科技合同审查？
请收集合同草案、系统说明、数据流图、次级处理者清单及许可证，然后通过联系页面联系我们科威特办公室。开始前，我们会确认范围、时间安排和所需文件。