医疗机构病人资料保密管理办法

医疗机构病人资料保密管理办法第一章总则第一条目的与依据为规范医疗机构病人资料的收集、存储、使用、传输和销毁等环节的管理，切实保护病人隐私权及个人信息安全，维护医疗机构正常医疗秩序和信誉，依据国家相关法律法规及行业规范，结合本机构实际情况，特制定本办法。第二条适用范围本办法适用于本医疗机构内所有涉及病人资料（包括但不限于个人基本信息、病史、检查检验结果、诊断结论、治疗方案、用药记录、费用信息等）的采集、录入、整理、保管、查阅、复制、传输、利用及销毁等活动，以及所有因职务行为接触、处理上述资料的医务人员、行政管理人员、实习进修人员、工勤人员及其他相关第三方合作人员。第三条基本原则病人资料保密管理遵循以下原则：（一）合法性原则：严格遵守国家有关个人信息保护及医疗行业管理的法律法规，确保各项操作有法可依。（二）最小必要原则：仅在医疗、教学、科研、管理等合法目的所必需的范围内收集、使用病人资料，对资料的接触和知悉范围严格控制在最小限度。（三）全程管控原则：对病人资料从产生到销毁的整个生命周期进行严格管理和监控，确保信息安全。（四）责任到人原则：明确各部门、各岗位在病人资料保密管理中的职责，将保密责任落实到具体个人。（五）知情同意原则：在法律法规允许的范围内，涉及病人资料的非诊疗目的使用，应尽可能取得病人或其监护人/授权人的明示同意。第二章管理机构与职责第四条管理机构设置医疗机构应成立病人资料保密管理领导小组，由机构主要负责人担任组长，分管负责人任副组长，成员包括医务、质控、信息、病案、护理、院感、保卫、人事、财务等相关部门负责人。领导小组下设办公室，负责日常保密管理工作的组织、协调、监督与落实，可设在医务部门或信息管理部门。第五条各部门职责（一）保密管理领导小组：审定本机构病人资料保密管理相关制度和工作计划；组织开展保密检查和培训；协调处理重大保密事件。（二）医务部门/质控部门：负责监督临床科室在医疗活动中对病人资料保密制度的执行情况；参与涉及医疗纠纷、投诉中的病人资料保密问题处理。（三）信息管理部门：负责医疗机构信息系统（HIS、LIS、PACS等）中病人资料的技术安全保障，包括访问权限控制、数据加密、日志审计、安全防护系统建设与维护等；协助调查信息系统相关的保密事件。（四）病案管理部门：负责纸质病案及电子病案的规范整理、安全存储、依法查阅复印及销毁工作；确保病案库房的物理安全。（五）护理部门：负责指导和监督护理人员在护理工作中执行病人资料保密制度的情况。（六）人事部门：负责将保密要求纳入员工入职培训、岗位职责及考核内容；在员工离职时进行保密教育及资料清退。（七）各临床、医技科室：科室负责人为本科室病人资料保密管理第一责任人，负责组织本科室人员学习并严格执行本办法，加强日常监督，防止失泄密事件发生。（八）所有员工：严格遵守本办法及相关规定，对在履职过程中获取的病人资料负有保密义务，不得擅自泄露。第三章病人资料的保密范围与密级划分第六条保密范围病人资料的保密范围包括但不限于：（一）病人的个人基本信息：姓名、性别、年龄、身份证号（或其他有效身份证明）、联系方式、家庭住址、工作单位等。（二）病人的健康信息：主诉、现病史、既往史、家族史、体格检查结果、各项检验检查报告（实验室数据、影像学资料、病理报告等）、诊断结论、治疗计划、用药记录、手术记录、护理记录、康复情况等。（三）病人的敏感信息：如传染病史、精神疾病史、遗传病信息、性传播疾病信息、艾滋病病毒感染状况、生育信息、吸毒史、药物滥用史等。（四）其他与病人隐私相关的、一旦泄露可能对病人造成困扰或损害的信息。第七条密级划分（参考）根据病人资料的敏感程度及泄露后可能造成的危害，可对病人资料进行分级管理（医疗机构可根据实际情况细化或简化）：（一）核心信息：泄露后可能对病人造成严重名誉损害、精神伤害或经济损失的信息，如艾滋病病毒感染状况、特定精神疾病诊断、性传播疾病等。此类信息的查阅、使用需经过更高级别审批。（二）敏感信息：除核心信息外的大部分个人健康信息和基本信息，如具体的诊断、治疗方案、检验检查结果等。（三）一般信息：在特定范围内公开或经脱敏处理后影响较小的信息（需谨慎界定）。无论何种级别，均属保密范畴，未经授权不得泄露。第四章保密管理要求第八条人员管理（一）新员工入职时，必须接受病人资料保密知识培训，并签署《保密承诺书》，明确保密义务和责任。（二）对涉及病人资料管理的关键岗位人员，应进行背景审查。（三）员工离职、调岗时，必须清退所有载有病人资料的纸质文件和电子存储介质，并办理交接手续，签署《离岗保密承诺书》。第九条文件资料管理（一）纸质病历、检查申请单、报告等应妥善保管，使用后及时归位，不得随意丢弃或放置在非指定区域。（二）严禁将纸质病人资料带出工作区域（因工作需要并经批准的除外）。（三）废弃的含有病人资料的纸张、打印件等，必须使用符合保密要求的碎纸机进行销毁，严禁作为废纸出售或随意丢弃。（四）载有病人资料的U盘、移动硬盘等存储介质，应视为纸质文件同等管理，由专人负责，加密存储，妥善保管，定期检查。第十条信息系统管理（一）医疗机构信息系统应具备完善的用户身份认证和权限管理功能，实行“一人一账号”，严格控制不同岗位的访问权限，遵循“最小权限”原则。（二）用户密码应定期更换，设置复杂度要求，严禁共用账号、密码，严禁泄露个人账号信息。（四）加强信息系统安全防护，安装必要的防火墙、防病毒软件、入侵检测系统，定期进行安全漏洞扫描和风险评估，确保数据传输和存储的安全。（五）对电子病历等核心数据，应建立定期备份机制，并对备份数据进行加密和异地存放。第十一条信息查阅与使用（一）因临床诊疗、教学、科研、管理等工作需要查阅病人资料时，必须严格遵守相关规定，履行审批手续。（二）查阅者应在指定的工作区域内查阅，不得擅自将资料带出或进行复制、拍照、截屏。确因工作需要复制的，须经批准并登记，使用后按规定销毁或归还。（三）严禁利用工作之便，私自查阅、复制、摘抄、拍摄、传播与本人工作无关的病人资料。（四）严禁将病人资料用于与医疗、教学、科研、管理无关的其他目的。（五）未经病人或其监护人/授权人同意，不得将病人资料用于商业宣传、广告等活动。第十二条外部合作与信息交换（一）因科研合作、数据共享等需要向外部单位或个人提供病人资料时，必须严格执行审批程序，确保对方具备相应的保密条件和能力，并签订《保密协议》。提供的资料应尽可能进行去标识化或匿名化处理。（二）接收外部单位提供的病人相关信息，也应履行登记手续，并按照本办法进行管理。（三）涉及跨机构转诊、会诊时，应通过安全途径传输病人资料，确保信息在传输过程中的安全。第十三条宣传与教育（一）医疗机构应定期组织全体员工进行病人资料保密知识和法律法规培训，每年至少一次。（二）通过内部网站、公告栏、宣传栏、工作会议等多种形式，加强保密意识宣传教育，营造“人人重视保密、人人参与保密”的氛围。（三）对新颁布或修订的保密法律法规及机构内部制度，应及时组织学习。第五章监督检查与责任追究第十四条监督检查保密管理领导小组办公室及相关职能部门应定期或不定期对各科室、各岗位病人资料保密制度的执行情况进行监督检查，重点检查信息系统权限设置、日志记录、纸质资料保管、员工保密行为等。检查结果应纳入科室和个人绩效考核。第十五条报告与处置（一）发生或发现病人资料可能或已经泄露时，相关人员应立即采取补救措施，并立即向本科室负责人及保密管理领导小组办公室报告。（二）保密管理领导小组办公室接到报告后，应立即组织调查核实，评估影响范围和程度，并根据情况启动应急预案，采取相应处置措施，必要时向卫生健康行政部门及其他相关部门报告。第十六条责任追究对违反本办法规定，造成病人资料泄露的单位或个人，根据情节轻重、造成后果及认错态度，给予以下处理：（一）情节轻微，未造成不良后果的，给予批评教育、通报批评、岗位调整等。（二）情节较重，造成不良影响或一定损失的，给予警告、记过、降低岗位等级或撤职等行政处分，并可伴随经济处罚。（三）情节严重，造成严重后果或恶劣影响，构成犯罪的，依法移交司法机关追究刑事责任。（四）科室发生失泄密事件的，追究科室负责人的领导责任。第六章附则第十七条术语定义本办法所称“病人资料”，是指医疗机构在医疗活动过程中形成的，以文字、符号、图表、图像、音频、视频等形式记录的关于病人个体健