第二条 居民健康卡个人化指将卡片从没有携带任何个性化信息的空白卡到完成所需要的个性化信息及密钥注入的过程，个人化流程指卡片从完成封装的空白卡到生产为成品卡、实施发放之前的全过程。
第三条 居民健康卡个人化由个人化机构完成。个人化机构是指有能力完成居民健康卡卡片个人化信息及密钥注入的组织、单位，需要通过卫生部的检测，并取得相应资质，即卫生部门认可的第三方机构，或卫生部门自建的个人化中心。
第四条 居民健康卡发卡机构是指经卫生部门授权的，从事居民健康卡信息制作、卡片发行的组织、单位。
第五条 本办法适用于居民健康卡发卡机构、个人化机构对卡片个人化的管理，凡涉及居民健康卡个人化流程中的数据准备与数据管理、密钥管理、生产环境管理、生产过程管理、运输管理等均适用本办法。
第六条 对居民健康卡金融应用的个人化，参照卫生部与中国人民银行制作的有关规范。
第二章 数据准备
第七条 发卡机构需要完成制卡数据的采集和整理。制卡数据包括基础信息（身份识别数据、卡识别数据、基础健康数据）和个人照片信息两部分。个人基础信息的采集要求准确，照片信息要求清晰、自然，便于识别。基础信息与个人照片信息要完成数据匹配，必须形成对应关系。
第八条 制卡数据按照数据标准、数据格式、命名规则进行整理，数据标准与数据格式要遵循
卫生部《居民健康卡技术规范》中的相关要求。
第三章 数据应用与管理
第九条 发卡机构与个人化机构间制卡数据的传输必须符合《居民健康卡应用规范V1.0》中的安全要求，使用网络或数据盘进行传输时必须采用加密方式。
第十条 制卡数据通过网络传输要使用安全网络，个人化机构在接收完成制卡数据后，必须及时转移至内部生产处理网络，删除接收设备上的数据，并做好记录。
第十一条 制卡数据通过数据盘递送方式进行数据传输，发卡机构应安排专人递送，同时个人化机构必须安排两名及以上工作人员接收，并及时将制卡数据转移至内部生产处理网络，将数据盘保存到安全环境。
第十二条 个人化机构必须制定安全条例用于控制制卡数据的访问、处理和使用。制卡数据的访问和使用情况，必须形成日志，永久保留。对所有存储介质，必须进行标记管理。
第十三条 个人化机构严禁对制卡数据进行修改。发现制卡数据存在错误，应及时联系发卡机构，做好错误数据记录。已经完成制卡的数据，由发卡机构与个人化机构确定数据或销毁，对删除或销毁的信息必须进行详细记录，数据处理过程由双方监督控制。
第四章 密钥保管与使用
第十四条 居民健康卡密钥主要包括卡片应用密钥和传输密钥。密钥的使用遵循《居民健康卡密钥管理办法》。
第十五条 密钥必须由加密机生成。密钥由个人化机构本地生成时，灌装密钥的加密机在发卡机构与个人化机构签订保密协议后方可使用；个人化机构远程访问加密机方式时，必须要通过安全的、可信赖的、稳定的网络进行连接。个人化设备应以密文带安全报文的形式将卡片应用密钥传递给卡片进行密钥灌装。
第五章 生产环境管理
第十六条 个人化机构的个人化车间出入人员必须持证进入，必须有两名以上由个人化机构进行授权的工作人员同时在场才能进行生产，个人化车间内严禁安装外线电话，严禁将手机、录像机、照相机等任何与工作无关的记录设备带入车间内。个人化生产区域内要求通过门禁系统控制出入权限，出入权限只能授权与车间个人化工作相关的人员。
第十七条 生产区域必须有24小时闭路监控，对生产过程进行全方位实时记录，并保存监控录像。
第十八条 个人化机构需提供有独立的个人化生产局域网络，个人化网络不能与其它任何网络相连。整个网络通过入侵防护系统和防火墙隔离，分成数据接收区、数据处理区和个人化区。
第十九条 用于生产和存储原材料、半成品、成品、废卡以及卡片数据的区域均应属于高安全区。进入高安全区的通道必须安装门禁系统，并记录所有进出信息。高安全区要满足消防、安保要求。
第六章 生产过程管理
第二十条 生产过程中个人化机构必须对卡体的数量及数据的个性化进行严格的监控，各工序的交接要清楚，并填写相应的交接单，说明卡片的去向。
第二十一条 生产过程中因各种因素所产生的损坏卡体，报废模块，报废成品卡或其它高安全材料等的处理必须作好相应的记录，并在发卡机构要求的期限内加以保存，报废的成品卡应存放在指定的区域并严格保管。生产过程中产生的废品应每天分类清点数量，填写相应的销毁记录单，销毁后的卡片应确保不可再利用。
第二十二条 在卡片个人化中，个人化设备必须与加密机或母卡相连，以保证发送指令时进行数据的加解密以及密钥校验，保证上述过程必须在高安全区进行个人化处理，个人化处理过程中，卡片和持卡人信息不能暴露给任何无关人员。
