医疗机构患者信息安全与隐私保护专项制度

医疗机构患者信息安全与隐私保护专项制度第一章总则第一条制定依据为强化医疗机构患者信息安全管理，防范患者隐私信息泄露、篡改、丢失等风险，保障患者信息安全与合法权益，根据《中华人民共和国网络安全法》《数据安全法》《个人信息保护法》《医疗数据安全指南》等法律法规及行业标准，制定本专项制度。第二条核心原则患者信息安全与隐私保护遵循“安全第一、预防为主、权责统一、全程管控”的原则，确保患者信息在收集、存储、使用、传输、共享、销毁等全生命周期过程中的安全性、保密性、完整性与可用性。第三条适用对象本制度适用于医疗机构内部所有涉及患者信息处理的部门、岗位及工作人员，以及参与患者信息系统建设、运维、数据处理等相关的外部合作单位与人员。第二章信息分类与分级保护第四条信息分类患者信息分为以下类别：基本身份信息：包括患者姓名、性别、年龄、身份证号、联系方式、家庭住址、社会保障卡号等；健康诊疗信息：包括病史、症状、诊断结果、检查检验数据、医嘱、手术记录、用药记录、护理记录、康复情况等；生物样本信息：包括血液、尿液、组织、基因等生物样本及其检测数据；其他敏感信息：包括患者的传染病史、精神疾病史、遗传信息、生殖健康信息等。第五条分级保护根据患者信息的敏感程度及泄露后可能造成的危害程度，将患者信息分为三级：一级信息（一般敏感信息）：泄露后可能对患者造成轻微影响的信息，如患者姓名（非关联其他敏感信息）、性别、年龄等基本身份信息；二级信息（中度敏感信息）：泄露后可能对患者造成一定影响，损害其合法权益的信息，如普通病史、常规检查结果、用药记录等；三级信息（高度敏感信息）：泄露后可能对患者造成严重危害，导致其人格尊严受损、财产损失或其他重大不利后果的信息，如基因信息、传染病史、精神疾病史、生殖健康信息等。第六条分级管控要求一级信息：采用常规安全保护措施，规范收集、存储与使用流程，防止随意泄露；二级信息：在常规保护基础上，加强访问权限控制，对信息传输进行加密处理，定期开展安全审计；三级信息：实施严格的安全保护措施，采用加密存储、专人保管、全程日志记录、访问双重授权等方式，仅允许经授权的特定人员在特定范围内使用。第三章信息系统安全管理第七条系统建设安全患者信息系统（包括电子病历系统、医院信息系统、实验室信息系统等）的建设应符合国家信息安全等级保护三级及以上标准，进行安全规划与设计；系统建设过程中应进行安全测评与风险评估，确保系统具备访问控制、数据加密、日志审计、应急响应等安全功能；禁止使用未经安全检测、存在安全隐患的软件或硬件设备接入患者信息系统。第八条访问权限管理建立患者信息系统访问权限分级授权机制，根据工作人员的岗位职责与工作需要，授予其相应的访问权限，遵循“最小授权、按需分配”原则；工作人员的系统账号实行实名制管理，账号密码应定期更换（每90天至少更换一次），密码复杂度需符合要求（长度不少于8位，包含大小写字母、数字及特殊字符），严禁共用账号、密码或泄露账号信息；工作人员离职、调岗时，人事科应及时通知信息科，注销或调整其系统访问权限，确保权限与岗位职责匹配；对三级敏感信息的访问实行双重授权，需经部门负责人及隐私保护管理委员会批准后方可访问。第九条数据存储与备份患者信息数据应存储在符合安全标准的内部服务器或合规的云存储平台，采用加密技术（如AES-256加密算法）对数据进行静态加密保护；建立数据备份制度，定期进行全量备份与增量备份，备份数据应存储在异地或离线设备中，备份频率不少于每日一次，定期对备份数据进行恢复测试，确保备份有效；数据存储期限应符合法律法规及病历管理相关规定，超出存储期限的患者信息，应采用安全的方式进行销毁，确保数据不可恢复。第十条数据传输安全患者信息在医疗机构内部传输时，应通过加密的内部网络或专用传输通道进行，禁止通过公共网络、未加密的Wi-Fi等不安全通道传输；患者信息向外部传输时，应采用加密传输协议（如HTTPS、SFTP等），对传输数据进行加密处理，并对接收方进行身份验证与授权；禁止通过电子邮件、即时通讯工具、U盘等移动存储设备传输高度敏感患者信息，确需传输的，应经批准并采用加密方式。第十一条安全审计与监控患者信息系统应具备完善的日志审计功能，记录所有用户访问、操作患者信息的行为，包括访问时间、访问账号、操作内容、IP地址等，日志留存期限不少于6个月；信息科应建立安全监控机制，实时监控患者信息系统的运行状态，及时发现异常访问、数据泄露等安全事件，建立预警机制，确保及时响应；定期对系统安全日志进行审计分析，排查安全隐患，发现违规操作及时处理。第四章物理安全与设备管理第十二条物理环境安全存放患者信息服务器、存储设备的机房应设置独立区域，安装门禁系统、视频监控系统、消防设施等，仅允许授权人员进入；机房应采取防盗窃、防破坏、防雷击、防火灾、防电磁泄漏等安全措施，确保设备运行环境安全；存放纸质患者信息资料的档案库房应符合安全要求，安装防盗门窗、防火设施、温湿度控制系统，建立出入登记制度。第十三条设备安全管理用于处理患者信息的计算机、笔记本电脑、移动终端等设备应专人专用，设置开机密码、屏幕保护密码，启用磁盘加密功能；禁止在处理患者信息的设备上安装未经授权的软件、插件或外接未经安全检测的移动存储设备；设备维修、报废时，应先删除或销毁设备中存储的患者信息，确保信息不被泄露，维修过程需有专人监督；移动终端（如平板电脑、智能手机）存储患者信息的，应采用加密存储、远程擦除等安全措施，防止设备丢失导致信息泄露。第五章应急响应与处置第十四条应急组织与预案成立患者信息安全应急处置小组，由信息科负责人担任组长，成员包括医务科、护理部、质控科等部门相关人员，负责统筹协调信息安全事件的应急处置工作；制定患者信息安全应急处置预案，明确应急响应流程、责任分工、处置措施等，定期组织应急演练（每年不少于一次），提升应急处置能力。第十五条事件报告与处置发生患者信息安全事件（如数据泄露、系统被入侵、设备丢失等）时，发现人应立即向应急处置小组报告，报告时限不得超过1小时；应急处置小组接到报告后，应立即启动应急预案，采取封堵漏洞、暂停相关系统、回收设备等紧急措施，控制事件扩大；对事件进行调查，查明事件原因、影响范围、泄露信息类型等，评估事件危害程度，及时采取补救措施，如通知受影响患者、更换系统密码、修复安全漏洞等；按照法律法规要求，及时向相关监管部门报告信息安全事件，不得隐瞒、迟报、谎报。第六章责任追究第十六条责任追究原则对违反本制度规定，造成患者信息安全事件或隐私泄露的部门及个人，遵循“谁主管、谁负责，谁操作、谁负责”的原则，依法依规追究责任。第十七条责任追究情形与措施工作人员违反本制度，有下列行为之一的，给予批评教育、通报批评；情节较重的，给予经济处罚、岗位调整；情节严重的，解除劳动合同；构成违法犯罪的，依法追究法律责任：（1）未按规定履行信息安全保护义务，导致患者信息泄露、篡改、丢失的；（2）违规访问、下载、复制、传播患者信息的；（3）共用系统账号、密码，或泄露账号信息的；（4）未经批准向外部机构或人员提供患者信息的；（5）在非工作场所或通过不安全渠道处理患者信息的；（6）其他违反本制度规定的行为。外部合作