2026年患者信息隐私保护合同

2026年患者信息隐私保护合同甲方（信息处理者）：[医疗机构/医疗科技公司/健康管理平台等全称]统一社会信用代码：[]地址：[]法定代表人/负责人：[]联系方式：[]乙方（信息主体/患者）：[姓名]身份证号码：[]联系方式：[]住址：[]甲乙双方根据《中华人民共和国个人信息保护法》《基本医疗卫生与健康促进法》等法律法规，就患者信息隐私保护事宜，本着平等自愿、诚实信用原则，达成如下合同：####一、定义与解释1.患者信息：指在医疗服务、健康管理、科研等活动中产生的，与乙方个人身份、健康状况、诊疗行为等相关的各类信息，包括但不限于：（1）个人身份信息：姓名、身份证号、联系方式、住址、医保卡号等；（2）健康医疗信息：病历资料、诊断结果、检查检验报告、治疗方案、用药记录、手术记录、疫苗接种记录、既往病史、家族病史、过敏史等；（3）生物识别信息：指纹、人脸、声纹、基因信息、医疗影像特征等；（4）其他相关信息：就诊记录、医保结算信息、商业保险理赔信息、乙方授权甲方收集的第三方信息等。2.敏感个人信息：指一旦泄露或非法使用，可能导致乙方的人格尊严受到侵害或人身、财产安全受到危害的信息，包括健康医疗信息、生物识别信息、身份证号等。3.信息处理：包括信息的收集、存储、使用、加工、传输、提供、公开等。4.去标识化处理：指在信息处理中，对个人信息进行技术处理，使其在不借助额外信息的情况下，无法识别特定自然人的处理方式。5.匿名化处理：指个人信息经过处理无法识别特定自然人且不能复原的处理方式。####二、患者信息的收集1.收集原则：甲方收集患者信息应遵循合法、正当、必要、最小化原则，仅收集与医疗服务、健康管理、科研直接相关的信息，不得过度收集。2.收集范围与目的：（1）诊疗服务：为提供诊断、治疗、处方、手术等医疗服务，收集乙方的基本身份信息、健康医疗信息；（2）健康管理：为术后随访、慢病管理、体检报告解读等，收集乙方的生活方式、用药依从性、康复进展等信息（需乙方额外同意）；（3）科研教学：为医学研究、临床教学、新药研发等使用乙方信息时，需单独获得乙方书面同意，且仅收集科研所需的最少信息；（4）法律法规要求：如传染病报告、医保结算等，依据法律法规或行政机关要求收集的信息，无需乙方额外同意，但需告知收集目的和范围。3.收集方式：（1）主动提供：乙方通过线上平台、线下窗口填写问卷、签署知情同意书等方式提供；（2）自动采集：通过医疗设备、智能终端自动采集诊疗数据（需提前告知采集类型和目的）；（3）授权获取：经乙方书面同意，从其他医疗机构、保险公司等第三方获取乙方信息（需明确告知信息来源和用途）。4.告知与同意：甲方在收集信息前，需通过书面、线上弹窗、语音播报等清晰易懂的方式，向乙方告知：（1）收集信息的目的、方式、范围；（2）信息存储期限；（3）信息可能接收的第三方；（4）乙方的权利（查阅、复制、更正、删除、撤回同意等）；（5）不提供信息的后果。收集敏感个人信息时，需获得乙方的单独书面同意；涉及跨境传输的，需单独告知并取得明确同意。####三、患者信息的使用1.使用原则：甲方使用患者信息应限于收集时声明的目的，不得超出原目的使用；如需用于新目的，应重新获得乙方同意。2.使用场景：（1）诊疗服务：为乙方提供连续性医疗服务，如调阅历史病历、跨科室会诊、制定个性化治疗方案等；（2）内部管理：医院质量改进、医疗差错分析、医护人员绩效考核（需去标识化处理）；（3）共享与转让：-向关联医疗机构共享乙方信息用于诊疗协作时，需告知乙方并获得同意；-向非关联第三方共享信息时，必须获得乙方书面明确同意，且第三方需具备相应的信息保护能力；-禁止向无关第三方出售或交换乙方信息；（4）公开披露：除法律法规要求外，不得公开披露乙方信息；如需公开用于公益宣传，需进行匿名化处理并获得乙方书面同意。3.禁止行为：（1）不得用于商业营销（除非乙方明确同意）；（2）不得用于自动化决策（需结合人工判断）；（3）不得利用乙方信息进行人脸识别、信用评分等与诊疗无关的活动，除非乙方单独同意。####四、患者信息的存储与安全1.存储期限：（1）诊疗信息：门诊病历保存不少于15年，住院病历保存不少于30年；（2）健康管理信息：在服务关系结束后保存5年；（3）科研信息：科研项目结束后保存10年（需去标识化处理）；（4）超出存储期限的信息，甲方应删除或匿名化处理（法律法规另有规定的除外）。2.存储方式：（1）本地存储：符合国家信息安全等级保护标准（如三级等保），设置访问权限、加密存储、安全审计日志；（2）云存储：选择具备国家认证资质的服务商，签订数据处理协议，明确双方安全责任；（3）备份与恢复：定期进行异地备份（如每月一次），制定数据恢复预案。3.安全保障措施：（1）技术措施：①访问控制：根据岗位设置最小权限，仅相关人员因工作需要访问信息，操作全程留痕；②加密技术：对传输中和存储的信息采用国家认可的加密算法（如AES-256）；③安全审计：定期检查信息访问日志（如每季度一次），发现异常立即预警并核查；④漏洞修复：及时更新服务器、应用程序的安全补丁。（2）管理措施：①制定《患者信息分类分级管理制度》《安全事件应急预案》等内部制度；②对接触患者信息的员工每年进行不少于2次隐私保护培训；③与员工签订保密协议，明确泄露信息的法律责任。4.安全事件处理：（1）发生信息泄露、篡改、丢失等安全事件，甲方应立即启动应急预案，在24小时内告知乙方，72小时内向属地网信部门、卫生健康部门报告；（2）采取补救措施（如封存漏洞、通知受影响用户、提供身份监测服务等），减少损失；（3）事后对事件原因进行复盘，整改安全隐患并向监管部门提交整改报告。####五、患者的权利与义务1.患者权利：（1）查阅、复制权：乙方有权查阅、复制本人信息，甲方应在收到申请后5个工作日内提供（可收取合理成本费）；（2）更正、补充权：如发现信息有误，乙方有权要求更正或补充，甲方核实后应在3个工作日内处理；（3）删除权：在下列情形下，乙方有权要求甲方删除信息：①收集、使用信息的目的已实现或无法实现；②甲方停止提供医疗服务且无需继续存储信息；③乙方撤回同意；④法律法规规定的其他情形。如因法律法规要求需保留信息，甲方应告知乙方并停止除存储和必要安全保护措施之外的处理；（4）撤回同意权：乙方有权撤回之前对收集、使用、共享信息的同意，撤回后甲方应停止相关处理，不影响撤回前基于同意已进行的合法处理；（5）解释说明权：乙方有权要求甲方说明信息处理规则，甲方应提供清晰、易懂的解释；（6）获取副本权：乙方有权要求获取个人信息的副本，甲方应提供兼容通用格式的数据。2.患者义务：（1）提供真实、准确的信息，因提供虚假信息导致的诊疗风险或法律责任，由乙方自行承担；（2）妥善保管个人账号密码，因密码泄露导致信息泄露的，甲方不承担责任（除非甲方存在安全漏洞）；（3）行使权利时应遵守法律法规，不得滥用权利（如频繁无理要求删除信息、干扰甲方正常运营）。####六、信息处理者的义务1.严格遵守《个保法》《基本医疗卫生与健康促进法》等法律法规，制定内部隐私保护政策，设立个人信息保护负责人，定期开展合规审计（每年至少一次）；2.通过线上平台、院内公示等方式公开隐私政策、联系方式、权利行使流程，确保乙方便捷获取信息；3.对乙方提出的权利请求，应在15个工作日内响应并处理（复杂情况可延长，但需告知乙方）；4.配合网信、卫生健康等部门的监督检查，提供相关信息和文档；5.不得利用乙方信息从事违法违规活动，不得强迫乙方同意非必要的信息收集（如“不授权就无法挂号”等捆绑行为）。####七、违约责任1.甲方违约责任：（1）未履行告知义务、未获得单独同意或超范围收集、使用信息的，乙方有权要求甲方删除信息、赔礼道歉，并赔偿直接损失；（2）未采取安全措施导致信息泄露、篡改、丢失的，应承担民事赔偿责任（包括医疗费、误工费、精神损害抚慰金等），卫生健康部门可处以10万元至100万元罚款，对直接负责的主管人员和其他直接责任人员处以1万元至10万元罚款；（3）拒绝或拖延响应乙方权利请求的，由卫生健康部门责令改正，给予警告；情节严重的，处以罚款。2.乙方违约责任：（1）伪造、篡改本人信息或冒用他人身份信息的，甲方有权终止服务，并保留追究法律责任的权利；（2）滥用权利（如恶意投诉、干扰甲方正常运营）的，应赔偿甲方因此遭受的损失。####八、合同期限与终止1.合同期限：自双方签字盖章之日起生效，至甲方停止向乙方提供医疗服务且信息存储期限届满时终止。2.合同终止后的处理：甲方应在合同终止后30日内删除乙方的患者信息（法律法规要求保留的除外），或进行匿名化处理；如因科研、司法等原因需继续保留信息，甲方应停止除存储和必要安全保护措施之外的处理，并书面告知乙方。####九、法律适用与争议解决1.法律适用：本合同适用中华人民共和国法律（不包括港澳台地区法律）。2.争议解决：双方因履行本合同发生争议，应首先通过协商解决；协商不成的，任何一方均可向甲方所在地有管辖权的人民法院提起诉讼。####十、其他条款1.不