2026年医疗健康信息安全协议

2026年医疗健康信息安全协议甲方（信息控制者）：[医疗机构/健康数据管理平台名称]地址：[甲方注册地址]法定代表人/负责人：[姓名]联系方式：[电话/邮箱]乙方（信息处理者/合作方）：[数据处理技术服务商/合作机构名称]地址：[乙方注册地址]法定代表人：[姓名]联系方式：[电话/邮箱]####一、定义与解释1.医疗健康信息：指在医疗保健服务过程中产生的，与个人健康、疾病诊疗、健康管理相关的各类信息，包括但不限于：（1）个人身份信息（姓名、身份证号、联系方式等）；（2）电子病历、门诊/住院记录、检验检查报告、医学影像资料；（3）健康档案、慢病管理数据、疫苗接种记录、基因信息；（4）与健康相关的生物识别信息（如指纹、人脸、虹膜等）。2.敏感个人信息：指一旦泄露或非法使用，可能导致个人受到歧视、人身或财产安全受到损害的医疗健康信息，如精神健康状况、传染病史、遗传信息、未公开的诊疗结论等。3.数据处理：包括数据的收集、存储、使用、加工、传输、提供、公开等全生命周期活动。4.安全事件：指因自然、人为或技术原因，导致医疗健康信息泄露、丢失、篡改、损坏或不可用，可能危害个人权益或公共安全的事件（如数据被窃取、系统被攻击、存储介质损毁等）。5.跨境传输：指将医疗健康信息传输至中华人民共和国境外地区或组织的行为。####二、协议目的与依据1.目的：为保护医疗健康信息的安全性与保密性，规范甲方在提供医疗健康服务、开展健康数据管理过程中，委托乙方处理相关信息的活动，防范数据安全风险，保障个人合法权益。2.依据：依据《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《医疗卫生机构网络安全管理办法》《医疗健康数据安全管理规范》（GB/T42430-2023）等法律法规及行业标准。####三、双方权利与义务#####（一）甲方权利与义务1.权利：（1）要求乙方按照本协议约定及甲方书面指示处理医疗健康信息，有权对乙方的数据处理活动进行监督、检查；（2）有权要求乙方提供数据安全管理制度、技术措施、安全事件应急预案等材料，并配合甲方进行安全评估；（3）在发生安全事件时，有权要求乙方立即启动应急响应，并提供事件调查所需的日志、记录等资料；（4）有权依法或依约定终止协议，并要求乙方返还或删除相关信息及副本。2.义务：（1）向乙方明确数据处理的种类、目的、范围、方式及期限，确保数据处理活动合法、正当、必要；（2）对甲方内部接触医疗健康信息的员工进行安全管理培训，落实最小权限原则，确保内部人员不超范围处理数据；（3）向个人（如患者）履行告知义务，明确信息处理目的、方式、乙方身份及个人权利，取得个人单独同意（涉及敏感个人信息时）；（4）发生安全事件时，及时通知乙方（乙方应在发现后24小时内书面报告），并根据法律法规要求向监管部门报告及告知受影响个人。#####（二）乙方权利与义务1.权利：（1）要求甲方提供真实、准确、完整的数据处理指示，并就数据处理中的疑问向甲方提出澄清；（2）在甲方未按约定支付费用或履行其他义务时，有权暂停数据处理服务（但需提前书面通知甲方）。2.义务：（1）合规处理义务：-严格按照甲方指示及本协议约定处理数据，不得超出约定范围或目的，不得擅自委托第三方处理（如需转委托，应经甲方书面同意，并对第三方的行为承担连带责任）；-处理敏感个人信息时，应取得个人的单独同意，并采取严格的安全保障措施（如加密、去标识化）。（2）数据安全保护义务：-技术措施：-采用加密技术（如传输层加密TLS1.3以上、存储加密AES-256）对医疗健康信息进行保护；-实施访问控制，采用“最小权限原则”，通过身份认证（如双因素认证）、权限审批、操作日志记录等方式，限制非授权访问；-部署安全审计系统，对数据操作（如查询、修改、导出）进行实时监控，审计日志保存期限不少于6个月；-建立数据备份机制，定期（如每日）进行全量备份，备份介质加密存放，并定期恢复测试，确保数据可追溯、可恢复。-管理措施：-制定数据安全管理制度、操作规程及应急预案，明确安全责任人（需向甲方备案）；-对接触医疗健康信息的员工进行背景审查、安全培训（每年不少于2次），并签订保密协议；-定期（如每季度）开展安全风险评估，及时整改漏洞，并向甲方提交安全评估报告。（3）保密义务：-对在履行协议中知悉的医疗健康信息及甲方商业秘密（如技术方案、客户名单）承担保密责任，未经甲方书面同意，不得向任何第三方披露；-保密期限持续至协议终止后3年，若信息进入公有领域或法律法规另有规定，则不受此限。（4）安全事件响应义务：-建立安全事件应急响应机制，明确事件报告流程（24小时内通知甲方）、处置措施（如隔离系统、阻断泄露、恢复数据）及事后整改要求；-事件发生后7个工作日内向甲方提交书面调查报告，说明事件原因、影响范围、已采取措施及预防方案。####四、数据全生命周期安全管理1.数据收集：（1）甲方应确保收集的医疗健康信息来源合法，通过合法渠道（如患者主动提供、医疗机构间诊疗必需共享）获取，不得欺骗、误导个人提供信息；（2）乙方不得为收集数据而设置不必要的技术障碍或诱导用户。2.数据存储：（1）医疗健康信息应存储在中华人民共和国境内服务器（如需跨境传输，需通过国家网信部门安全评估并取得个人单独同意）；（2）存储介质应具备防篡改、防泄露功能，电子介质（如服务器、硬盘）需加密，纸质介质需存放在带锁档案柜中，由专人管理。3.数据传输：（1）数据传输需采用加密通道（如VPN、专线），禁止通过明文邮件、即时通讯工具等非安全方式传输敏感信息；（2）跨机构传输数据时，需经甲方书面确认接收方的安全资质，并对传输内容进行脱敏处理（如隐藏身份证号后6位、病历号中间4位）。4.数据使用与加工：（1）乙方仅在甲方授权范围内使用数据，不得用于任何与协议无关的目的（如商业营销、科研开发需另行签订协议）；（2）数据加工（如统计分析、模型训练）时，应采用去标识化或匿名化处理，确保无法关联到特定个人（如需重新识别个人身份，需再次取得个人同意）。5.数据共享与公开：（1）未经甲方及个人书面同意，乙方不得向任何第三方共享或公开医疗健康信息；（2）因法律法规要求或公共利益需要（如疫情防控、突发公共卫生事件）必须共享的，乙方应协助甲方履行告知义务，并采取最小必要范围披露。6.数据删除与销毁：（1）协议终止或数据处理目的实现后，乙方应在甲方要求的合理期限内（如15个工作日内）删除或销毁所有医疗健康信息及副本，并提供销毁证明（如书面确认、删除日志）；（2）数据销毁应确保无法恢复（如电子数据低级格式化、物理销毁存储介质，纸质文档碎纸处理）。####五、违约责任1.乙方违约：（1）乙方未履行数据安全保护义务（如加密不足、访问控制失效）导致数据泄露、丢失或损坏的，应承担以下责任：-赔偿甲方因此遭受的直接损失（如监管罚款、赔偿个人的费用、系统修复费用）及可预期的间接损失（如商誉损失）；-甲方可单方解除协议，并要求乙方支付违约金（相当于协议总金额的20%-30%）；-若违反《个人信息保护法》等法律法规，乙方还应承担相应的行政责任（如由监管部门责令改正、警告、没收违法所得、罚款）。（2）乙方超出约定范围处理数据，或擅自转委托第三方的，甲方有权要求乙方立即停止违规行为，并每逾期1日按协议总金额的0.1%支付违约金。2.甲方违约：（1）甲方未按约定支付服务费用的，每逾期1日应按应付未付金额的0.1%支付违约金；逾期超过30日的，乙方有权暂停服务。（2）甲方提供虚假数据处理指示，或未履行个人告知义务导致乙方承担法律责任的，应赔偿乙方因此遭受的损失。3.责任限制：（1）因不可抗力（如地震、战争、重大政策变化）导致协议无法履行或数据安全事件的，双方互不承担责任，但应及时通知对方并提供证明；（2）乙方的赔偿责任总额不超过协议总金额（但因故意或重大过失导致的违约责任不受此限）。####六、协议的生效、变更与终止1.生效：本协议自双方法定代表人或授权代表签字并加盖公章之日起生效，有效期至[2026年12月31日]。2.变更：本协议的任何修改、补充均需双方书面同意，并签署书面补充协议，补充协议与本协议具有同等法律效力。3.终止：（1）协议期满自然终止；（2）双方协商一致可提前终止；（3）一方严重违约（如乙方发生重大数据泄露事件），另一方有权单方终止协议，并要求违约方承担违约责任。4.终止后义务：协议终止不影响双方在本协议项下的保密义务、数据删除义务及赔偿责任，该等义务具有独立性，不因协议终止而失效。####七、不可抗力1.因地震、台风、洪水、战争、政策调整等不可抗力事件导致协议无法履行的，受影响方应及时通知对方，并在15日内提供不可抗力详情及证明文件；2.根据不可抗力事件的影响程度，双方协商决定部分或全部免除责任，或延迟履行协议；3.若不可抗力事件持续超过60日，任何一方均有权终止协议，且互不承担违约责任。####八、法律适用与争议解决1.法律适用：本协议的订立、效力、解释、履行及争议解决均适用中华人民共和国法律（不包括港澳台地区法律）。2.争议解决：（1）双方因履行本协议发生的争议，应首先通过友好协商解决；（2）协商不成的，任何一方均有权向[甲方所在地/协议签订地]有管辖权的人民法院提起诉讼。####九、其他条款1.通知与送达：双方在本协议中载明的地址、联系方式为有效送达地址，若变更应提前7日书面通知对方，否则视为送达。