医疗健康服务合同2025年隐私保护条款

医疗健康服务合同2025年隐私保护条款医疗健康服务合同第一条定义本合同所称“个人信息”是指以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。“敏感个人信息”是指一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。第二条隐私保护原则与适用范围2.1医疗机构在收集、存储、使用、加工、传输、提供、公开、删除个人信息时，遵循合法、正当、必要、诚信原则，以及最小必要、目的明确、公开透明、确保安全的原则。2.2本合同项下的隐私保护条款适用于医疗机构（以下简称“机构”）与患者（以下简称“个人”）之间因本合同项下的医疗服务而发生的个人信息处理活动，以及机构及其工作人员、授权人员、接受机构委托处理个人信息的第三方处理者。2.3本合同项下的隐私保护条款是本合同不可分割的组成部分，与主合同具有同等法律效力。第三条个人信息的收集与处理3.1机构仅在为提供本合同约定的医疗服务所必需时收集个人的个人信息。3.2机构通过以下方式收集个人信息：(1)个人主动提供；(2)医疗服务过程中产生；(3)通过可穿戴设备、移动应用程序等健康科技工具收集（仅限于为实现医疗服务目的且已获得个人明确同意的）；(4)通过合作伙伴或第三方平台获取（仅限于为实现医疗服务目的且已获得个人明确同意或法律允许的）。3.3机构在收集个人信息前，应以显著方式、清晰易懂的语言向个人告知本合同第三条第3.4款规定的内容，并获得个人的同意。3.4机构告知个人如下事项：(1)机构的名称、地址、联系方式；(2)收集个人信息的种类，包括但不限于身份信息、健康生理信息、遗传信息、医疗记录、影像资料、健康咨询记录、健康评估结果、用药史、过敏史、费用信息、保险信息等；(3)处理个人信息的目的是为了提供本合同约定的医疗服务，包括但不限于诊断、治疗、康复、保健、健康管理等；(4)个人信息的处理方式，包括存储、使用、传输、共享、删除等；(5)个人信息的存储期限，一般自信息产生之日起至服务结束后至少保存三年，或依照法律法规及行业规范要求保存更长时间；(6)个人拥有的查阅、复制、更正、删除其个人信息的权利，以及撤回同意的权利，以及行使这些权利的途径；(7)机构或第三方可能利用个人信息进行营销或健康管理服务的说明（如适用），以及个人如何拒绝；(8)可能对个人权益产生不利影响的情况；(9)法律、行政法规规定的其他必要告知事项。3.5机构处理个人信息应取得个人的同意。同意方式包括但不限于个人在医疗机构现场或线上明确勾选确认、签署书面同意书等。机构应确保个人在同意前充分理解其权利和义务。3.6机构仅在实现收集目的或获得个人额外同意的情况下，方可处理个人信息的其他目的。第四条个人信息主体的权利保障4.1个人对其个人信息依法享有知情权、决定权（查阅、复制、更正、删除、撤回同意）和限制/拒绝处理权。4.2个人有权访问其个人信息的处理记录。4.3个人有权要求机构更正其提供的错误个人信息。4.4在符合法律规定或合同约定的情形下，个人有权要求机构删除其个人信息，例如：(1)机构停止提供合同约定的服务；(2)个人撤回同意；(3)个人信息处理目的已实现；(4)个人信息处理行为违反法律法规或本合同约定；(5)个人信息已被更正。4.5在基于同意处理个人信息的情况下，个人有权撤回其同意。撤回同意不影响撤回前基于同意已进行的处理，除非处理行为存在违法情形。4.6个人有权要求机构对其个人信息进行匿名化处理。4.7在特定条件下，个人有权要求机构提供其个人信息的副本，或将个人信息传输至指定的其他机构。4.8个人有权拒绝机构仅通过自动化决策的方式对其进行健康评估、疾病诊断、治疗方案推荐等，影响其重大权益的情形，除非个人以明确同意的方式同意。4.9个人行使本条规定的权利时，应向机构指定部门或人员提出书面或电子请求，并提供身份验证信息。机构应在收到请求后，在法律、行政法规规定的期限内（通常是三十日内）对请求进行处理并答复个人，法律、行政法规没有规定期限的，机构应在合理期限内处理并答复个人。第五条个人信息安全保护措施5.1机构承诺采取必要的技术和管理措施，保障个人信息的安全，防止信息泄露、篡改、丢失。5.2机构采取的技术措施包括但不限于：(1)对个人信息进行分类分级管理；(2)采取加密存储、传输措施；(3)采取访问控制措施，确保只有授权人员才能访问个人信息；(4)定期进行安全风险评估和监测；(5)对个人信息进行匿名化或去标识化处理。5.3机构采取的管理措施包括但不限于：(1)制定并实施个人信息保护管理制度和操作规程；(2)对接触个人信息的员工进行保密教育和培训，并进行岗位背景审查；(3)与参与个人信息处理活动的第三方签订数据处理协议，明确其责任和义务；(4)建立内部审计机制，定期检查个人信息处理活动的合规性；(5)建立个人信息安全事件应急预案，并定期进行演练。5.4机构严格限制对个人信息的访问权限，遵循最小必要原则，确保员工只能访问其履行职责所必需的个人信息。5.5机构对存储个人信息的计算机系统进行物理安全保护，防止未经授权的物理访问、损坏或丢失。5.6机构委托第三方处理个人信息的，应选择具有相应能力、信誉和保障措施的服务提供者，并签订书面的数据处理协议，明确第三方的责任和义务。机构对第三方处理个人信息的行为进行监督和管理，确保第三方履行协议约定和法律法规要求，采取与机构同等的安全保护措施。5.7发生或可能发生个人信息泄露、篡改、丢失的，机构应立即启动应急预案，采取补救措施，并根据法律法规要求及时通知个人和告知监管部门。第六条个人信息的共享与转让6.1机构应严格遵守法律法规和本合同约定，未经个人同意或无法律、行政法规规定的其他依据，不得共享、转让其个人信息给任何第三方。6.2在以下情形下，机构可与以下主体共享或转让个人信息：(1)为完成本合同约定的医疗服务所必需，如需将信息提供给其他参与服务的医疗机构、医生、药师等；(2)为履行法律法规规定的义务，如配合疾病预防控制机构进行疫情防控、向司法机关提供与案件有关的个人信息；(3)获得个人明确同意的情况下；(4)为提供与医疗服务相关的增值服务，且已事先告知个人并获得其同意。6.3机构共享或转让个人信息时，不得超出实现处理目的或法律法规规定的必要范围。6.4接收共享或转让个人信息的第三方，应承担与机构同等的保护个人信息的义务，并按照本合同第五条的规定采取安全保护措施。第七条跨境传输（如适用）7.1若机构需要将个人的个人信息传输至中华人民共和国境外，应遵守《中华人民共和国个人信息保护法》等相关法律法规的规定。7.2机构进行跨境传输前，应进行必要的安全评估，并确保境外接收者提供充分的安全保障措施，可以通过签订标准合同、获得认证、履行承诺等方式进行。7.3机构应将跨境传输的影响评估报告、与境外接收者签订的标准合同等材料报备相关监管部门（如适用）。7.4机构应告知个人其个人信息将被传输至境外，并告知接收者的所在国家或地区，以及个人行使权利的途径。第八条违约责任8.1机构违反本合同项下的隐私保护条款约定，给个人造成损失的，应依法承担赔偿责任。8.2机构违反本合同项下的隐私保护条款约定，侵害个人合法权益，个人有权向机构住所地或其他行为地人民法院提起诉讼。8.3机构违反本合同项下的隐私保护条款约定，由相关监管部门责令改正，给予警告，没收违法所得，并处违法所得一倍以上十倍以下罚款；没有违法所得的，处一百万元以下罚款；对直接负责的主管人员和其他直接责任人员，处十万元以下罚款。8.4因机构违反本合同项下的隐私保护条款给个人造成严重损害的，个人有权解除本合同，并要求机构支付违约金。第九条法律适用与争议解决9.1本合同的订立、效力、解释、履行及争议解决均适用中华人民共和国法律。9.2因本合同引起的或与本合同有关的任何争议，双方应首先通过友好协商解决。协商不成的，任何一方均有权向