医疗数据安全保护管理办法

医疗数据安全保护管理办法一、总则（一）目的依据。为规范医疗数据安全保护工作，维护医疗数据安全，保障公民、法人和其他组织合法权益，依据《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》等法律法规，制定本办法。医疗数据安全保护工作应当坚持合法合规、保障安全、保护权益、分级分类、动态调整的原则。（二）适用范围。本办法适用于医疗机构及其工作人员在医疗数据采集、存储、使用、传输、共享、销毁等环节中的数据安全保护活动。医疗数据包括诊疗数据、健康数据、医疗管理数据等，其中诊疗数据包括病历、影像、检验、检查等数据，健康数据包括生理数据、遗传数据、行为数据等，医疗管理数据包括医疗资源、医疗活动、医疗费用等数据。（三）基本要求。医疗机构应当建立健全医疗数据安全保护制度，明确数据安全保护责任，采取技术和管理措施，保障医疗数据安全。医疗数据安全保护工作应当与医疗业务发展相适应，同步规划、同步建设、同步运行。医疗机构应当定期开展医疗数据安全风险评估，及时发现并处置数据安全风险。二、组织机构与职责（一）领导责任。医疗机构主要负责人是医疗数据安全保护工作的第一责任人，对医疗数据安全保护工作全面负责。分管医疗数据安全保护工作的负责人是直接责任人，对医疗数据安全保护工作具体负责。医疗机构应当设立医疗数据安全保护领导小组，负责统筹协调医疗数据安全保护工作。（二）部门职责。医疗机构应当明确各部门在医疗数据安全保护工作中的职责。医务部门负责诊疗数据的安全保护工作，信息部门负责医疗数据信息系统安全保护工作，护理部门负责护理数据的安全保护工作，财务部门负责医疗费用数据的安全保护工作，人力资源部门负责员工数据的安全保护工作，后勤部门负责医疗数据存储介质的安全保护工作。各部门应当指定专人负责医疗数据安全保护工作，并定期开展培训。（三）岗位责任。医疗机构应当明确各岗位在医疗数据安全保护工作中的职责。医务人员负责诊疗数据采集、存储、使用、传输等环节的安全保护工作，信息技术人员负责医疗数据信息系统安全保护工作，数据管理人员负责医疗数据管理工作的安全保护工作。各岗位人员应当严格遵守医疗数据安全保护制度，履行数据安全保护职责。三、数据分类分级（一）分类标准。医疗数据按照敏感程度分为一般数据、敏感数据和核心数据。一般数据是指未涉及公民个人隐私和商业秘密的医疗数据，如医疗记录中的非敏感信息。敏感数据是指涉及公民个人隐私但未涉及商业秘密的医疗数据，如病历中的诊断信息、治疗方案等。核心数据是指涉及公民个人隐私且涉及商业秘密的医疗数据，如基因数据、病理数据等。（二）分级管理。医疗机构应当根据医疗数据的分类情况，制定相应的分级管理措施。一般数据实行一般性保护措施，敏感数据实行强化保护措施，核心数据实行严格保护措施。分级管理措施包括访问控制、加密存储、安全审计等。（三）动态调整。医疗机构应当定期对医疗数据进行分类分级，并根据实际情况动态调整分类分级结果。当医疗数据的敏感程度发生变化时，应当及时调整分类分级结果，并采取相应的保护措施。四、数据采集与存储（一）采集规范。医疗机构采集医疗数据应当遵循合法、正当、必要原则，不得过度采集。采集医疗数据应当取得患者或者其授权人的同意，并告知采集目的、方式、范围、存储期限等。采集医疗数据应当采用安全可靠的采集方式，防止数据泄露、篡改、丢失。（二）存储安全。医疗机构存储医疗数据应当采取加密存储、访问控制、安全审计等技术措施，防止数据泄露、篡改、丢失。存储医疗数据应当选择安全可靠的存储介质，并定期进行安全检查。存储医疗数据应当设定存储期限，超过存储期限的医疗数据应当及时销毁。（三）传输安全。医疗机构传输医疗数据应当采取加密传输、访问控制、安全审计等技术措施，防止数据泄露、篡改、丢失。传输医疗数据应当选择安全可靠的传输通道，并定期进行安全检查。传输医疗数据应当记录传输日志，并定期进行审计。五、数据使用与共享（一）使用范围。医疗机构使用医疗数据应当遵循合法、正当、必要原则，不得超出采集目的使用。使用医疗数据应当取得患者或者其授权人的同意，并告知使用目的、方式、范围、存储期限等。使用医疗数据应当采取安全可靠的使用方式，防止数据泄露、篡改、丢失。（二）共享条件。医疗机构共享医疗数据应当遵循合法、正当、必要原则，不得超出采集目的共享。共享医疗数据应当取得患者或者其授权人的同意，并告知共享目的、方式、范围、存储期限等。共享医疗数据应当选择安全可靠的共享对象，并签订数据共享协议。（三）共享管理。医疗机构共享医疗数据应当建立数据共享管理制度，明确数据共享的范围、方式、流程、责任等。医疗机构应当对共享医疗数据进行跟踪管理，确保数据安全。医疗机构应当定期对数据共享协议进行审查，并根据实际情况进行调整。六、数据销毁与备份（一）销毁规范。医疗机构销毁医疗数据应当采取安全可靠的方式，防止数据泄露、篡改、丢失。销毁医疗数据应当选择安全可靠的销毁介质，并记录销毁过程。销毁医疗数据应当设定销毁期限，超过销毁期限的医疗数据应当及时销毁。（二）备份要求。医疗机构应当对医疗数据进行定期备份，并采取安全可靠的备份措施，防止数据泄露、篡改、丢失。备份医疗数据应当选择安全可靠的备份介质，并定期进行备份恢复测试。备份医疗数据应当设定备份期限，超过备份期限的备份数据应当及时销毁。（三）恢复流程。医疗机构应当建立数据恢复流程，明确数据恢复的申请、审批、执行、验证等环节。数据恢复应当遵循最小化原则，不得超出原数据范围。数据恢复应当记录恢复过程，并定期进行审计。七、安全技术与措施（一）访问控制。医疗机构应当对医疗数据实行访问控制，明确访问权限，防止未经授权访问。访问控制措施包括身份认证、权限管理、操作审计等。医疗机构应当定期审查访问权限，并根据实际情况进行调整。（二）加密保护。医疗机构应当对医疗数据进行加密保护，防止数据泄露、篡改、丢失。加密保护措施包括数据加密、传输加密、存储加密等。医疗机构应当定期审查加密措施，并根据实际情况进行调整。（三）安全审计。医疗机构应当对医疗数据安全保护工作进行安全审计，及时发现并处置数据安全风险。安全审计措施包括日志审计、行为审计、漏洞扫描等。医疗机构应当定期进行安全审计，并根据审计结果改进数据安全保护工作。八、应急响应与处置（一）应急预案。医疗机构应当制定医疗数据安全事件应急预案，明确应急响应的组织架构、职责分工、响应流程、处置措施等。应急预案应当定期进行演练，并根据演练结果进行调整。（二）事件报告。医疗机构发生医疗数据安全事件应当及时报告，并采取相应的处置措施。事件报告应当包括事件类型、发生时间、发生地点、影响范围、处置措施等。事件报告应当及时上报主管部门，并抄送相关单位。（三）处置措施。医疗机构发生医疗数据安全事件应当采取相应的处置措施，防止事件扩大。处置措施包括隔离受影响系统、清除恶意程序、恢复受影响数据、通知受影响人员等。处置措施应当记录处置过程，并定期进行审计。九、监督与检查（一）内部监督。医疗机构应当建立内部监督机制，定期对医疗数据安全保护工作进行监督检查。内部监督包括自查、抽查、审计等。内部监督应当发现问题并及时整改，确保医疗数据安全保护工作有效实施。（二）外部监督。医疗机构应当接受主管部门的外部监督，并积极配合主管部门的监督检查。外部监督包括专项检查、随机检查、联合检查等。外部监督应当发现问题并及时整改，确保医疗数据安全保护工作符合法律法规要求。（三）责任追究。医疗机构发生医疗数据安全事件，应当追究相关人员的责任。责任追究包括行政处分、经济处罚、刑事责任等。责任追究应当依法依规，确保责任追究到位。十、附则（一）解释权。本办法由医疗机构负责解释。（二）施行日期。本办法自发布之日起施行。（三）配套措施