医院患者信息安全管理操作规范

医院患者信息安全管理操作规范一、引言随着医疗信息化建设深入，患者信息（含诊疗数据、个人健康隐私等）的安全管理成为医疗质量与合规运营的核心环节。为防范数据泄露、滥用等风险，依据《数据安全法》《个人信息保护法》《医疗机构病历管理规定》等法规，结合医院实际，制定本规范，适用于院内各科室、第三方合作机构及所有接触患者信息的人员。二、基本原则1.合法合规：严格遵循国家数据安全、隐私保护法规，确保信息处理全流程符合法定要求。2.最小必要：采集、使用信息以医疗服务必需为限，避免过度采集或留存无关数据。3.目的限定：信息处理（采集、存储、使用、共享）仅限医疗诊断、治疗、科研、管理等合法场景，禁止超范围利用。4.安全保障：通过技术、管理、制度多重手段，保障信息的保密性、完整性、可用性。5.知情同意：除法定豁免情形（如公共卫生应急）外，采集、共享信息需获得患者（或监护人）明确同意，并告知处理目的、范围及权利。三、管理架构与职责分工（一）组织架构医院成立患者信息安全管理委员会，由分管院领导牵头，成员涵盖信息科、医务部、护理部、质控科、法务部及临床科室代表，统筹安全策略制定、跨部门协调及违规处置。（二）部门职责信息科：负责系统技术安全（权限管理、加密、漏洞修复、日志审计等），定期开展安全评估。医务部/护理部：监督临床信息使用合规性，审核科研、教学类信息使用申请。质控科：牵头专项检查，评估管理成效，督促问题整改。法务部：提供法律合规支持，审核对外合作数据协议。临床科室：科室负责人为第一责任人，培训并监督医护人员遵守规范，及时报告安全事件。四、患者信息采集规范（一）采集范围与方式1.采集内容限于医疗必需：身份信息（姓名、性别等）、健康史（现病史、家族史）、诊疗数据（病历、检验报告等），敏感信息（基因、精神病史等）仅限研究或诊断必需时采集。2.优先通过HIS、EMR等系统电子化采集；手工采集的纸质信息应及时电子化归档，禁止长期留存无关联记录。（二）知情与告知1.首次采集时，通过书面告知书、电子弹窗等方式，说明采集目的、范围、存储期限及患者权利（查询、更正、删除等）。2.采集敏感信息需单独获得书面同意，并告知特殊保护措施。（三）数据质量与留存1.信息需真实、准确、完整，医护人员及时核对修正（电子病历修改需留痕）。2.诊疗信息原则上长期留存，非必要个人信息（如临时联系方式）服务终止后按规定删除或匿名化。五、患者信息存储管理（一）存储环境与加密1.信息存储于医院内部安全服务器，禁止存于个人终端或非授权外部设备。服务器部署防火墙、IDS、防病毒软件，定期更新补丁。2.核心诊疗数据（电子病历、检验报告等）采用国密算法加密，数据库访问需身份认证与权限控制，禁止明文存储敏感信息。（二）备份与恢复1.核心数据每日增量备份、每周全量备份，备份数据存于离线介质（磁带、光盘）并存放于异地灾备中心。2.每季度开展备份恢复演练，验证数据可恢复性。（三）存储介质管理含信息的存储介质（硬盘、U盘等）需登记造册，借用、销毁履行审批手续；报废介质通过物理销毁（消磁、粉碎）或专业工具处理，禁止随意丢弃。六、患者信息使用规范1.医护人员访问信息遵循“权限最小化”，系统基于“角色-权限”分配（如住院医师仅可访问分管患者信息），禁止超权限操作。2.系统记录所有操作日志（访问时间、内容、终端等），日志留存≥1年，供审计追溯。（二）使用审批与脱敏1.科研、教学等非诊疗使用需经医务部+伦理委员会审批，信息需匿名化（去除姓名、身份证号等可识别信息）。2.外部机构（保险公司、药企）使用需签订协议，明确责任范围，且必须获得患者单独同意（法定豁免除外）。（三）禁止行为七、患者信息共享与传输规范（一）共享对象与事由信息共享限于医疗协同、公共卫生、法律合规场景：医疗协同：向会诊/转诊机构共享必要信息（急诊除外需患者同意）；公共卫生：按疾控要求报送传染病信息，履行告知义务；法律合规：配合司法/监管部门依法查询，核验文书并登记。（二）传输安全与审计2.共享行为需留痕（对象、时间、内容、审批人等），便于追溯。（三）第三方合作管理与第三方（软件服务商、科研方）合作需签订数据安全协议，明确责任、范围及违约责任；合作结束后要求对方删除/返还信息。八、安全技术保障措施（一）访问控制与身份认证1.系统采用多因素认证（用户名+密码+短信验证码/USBKey），密码需定期更换（长度≥8位，含大小写、数字、特殊字符）。2.系统设置30分钟无操作自动登出，禁止账号共享/转借。（二）安全监测与防护1.部署IDPS（入侵检测与防御系统），实时监测网络流量，阻断非法访问；每月开展漏洞扫描，修复高危漏洞。2.信息系统每年开展等保测评（三级及以上），确保安全合规。（三）日志审计与应急响应1.每日审计操作日志，重点关注异常访问（深夜批量查询、超权限操作），发现可疑行为立即锁定账号并调查。2.建立安全事件应急预案，明确数据泄露、系统瘫痪等事件分级响应流程，每年至少开展1次应急演练。九、人员管理与培训（一）人员资质与保密协议1.接触信息的员工（含临时工、实习生）需签订保密协议，明确义务、责任及离职后约束。2.第三方人员（运维、审计）进入机房/访问系统需经审批，全程由院内人员陪同。（二）培训与考核1.新员工需接受信息安全培训（理论+实操考核），合格后方可上岗；在职员工每年≥4学时安全培训（法规、案例、操作规范等）。2.培训后通过线上答题、实操演练考核，不合格者补考直至掌握。（三）违规处理违规人员视情节给予批评教育、书面警告、扣发绩效、调离岗位、解除合同；涉嫌违法的移交司法机关。十、监督与审计（一）内部监督1.质控科联合信息科、医务部每季度开展专项检查（权限管理、日志审计、介质使用等），结果纳入科室绩效考核。2.各科室每月自查，整改隐患并报质控科备案。（二）外部审计与持续改进1.每年聘请第三方机构开展安全审计，公示整改情况。2.建立改进机制，针对问题制定方案并跟踪落实，每半年向管理委员会汇报成效。十一、附则1.本规范自发布之日起施行，由患者