医疗数据安全管理指南(试行)

医疗数据安全管理指南(试行)1总则1.1适用范围本指南适用于各级各类医疗机构、医疗科研机构、提供医疗相关服务的信息化企业、互联网医疗平台、参与医疗数据处理活动的所有企事业单位与个人，规范医疗数据全生命周期处理与安全管理活动。1.2核心定义本指南所称医疗数据，指所有与人类健康、疾病诊疗、公共卫生管理、医疗服务运行相关的电子、纸质、实物形态的数据，主要包括四类：一是个人健康医疗数据，即可直接或间接识别特定自然人的健康、诊疗、生理信息，包括门诊住院病历、检查检验结果、用药记录、手术记录、基因数据、生物特征数据、健康监测数据等；二是公共卫生管理数据，即法定传染病监测数据、突发公共卫生事件处置数据、人群健康统计数据、疫苗接种数据等；三是医疗科研数据，即临床研究样本数据、临床试验数据、科研病例队列数据等；四是医疗机构运营管理数据，即医疗服务统计数据、人事财务信息、信息系统运行数据等。1.3权责划分1.3.1处理医疗数据的医疗机构与机构为数据安全责任主体，其法定代表人或主要负责人为医疗数据安全第一责任人，对本机构医疗数据安全负总责。各机构应当设立医疗数据安全管理委员会，由医务、信息、合规、伦理、保卫、财务等部门负责人组成，统筹数据安全管理工作。1.3.2各部门具体权责：医务部门负责临床医疗数据使用的合规性审核，规范临床数据采集使用行为；信息部门负责医疗数据安全的技术防护体系建设、运行维护与技术应急处置；合规部门负责定期开展数据安全合规审计，对接监管部门，落实合规整改要求；伦理委员会负责医疗科研、公开应用等场景的数据使用伦理审查；临床业务科室负责人为科室数据安全第一责任人，负责本科室医护人员的数据安全管理，督促落实操作规范。1.3.3参与医疗数据处理的第三方机构对自身处理活动的安全负责，接受数据提供方的监督审计，严格遵守合同约定的数据安全义务。2医疗数据全生命周期安全管理2.1数据收集环节安全管理2.1.1医疗数据收集应当遵循合法、正当、必要原则，不得超出法定职责、诊疗服务、授权用途的范围过度收集数据。除法律法规另有规定外，收集个人医疗数据应当明确告知收集的目的、方式、范围、存储期限、使用场景、个人权利等信息，取得个人同意；个人同意应当是自愿、明确、可撤回的，机构应当提供便捷的撤回同意渠道。2.1.2不得收集与诊疗服务、管理需求无关的数据，不得强制收集个人生物识别信息（如人脸识别、指纹识别），确因身份核验、门禁管理等需要收集生物识别信息的，不得超出授权使用范围，不得向第三方提供。不得通过捆绑服务、强制授权等方式迫使个人同意收集数据，不得因个人拒绝提供非必要数据拒绝提供诊疗服务。2.1.3为履行法定职责（如传染病防控、突发公共卫生事件应急处置、报告法定传染病）收集医疗数据的，无需取得个人同意，但应当符合法律法规规定的程序与范围。所有数据收集活动应当全程留痕，记录收集时间、来源、用途、收集人等信息，可追溯可审计。2.2数据存储环节安全管理2.2.1医疗数据存储遵循分级分类存储、境内存储原则，核心医疗数据、重要医疗数据必须存储在境内符合安全要求的服务器、存储介质中，确需向境外提供数据的，应当按照《数据出境安全评估办法》《健康医疗数据安全管理规范》等规定完成安全评估与审批，未经批准不得私自向境外传输、提供医疗数据。2.2.2敏感个人医疗数据（包括艾滋病、性病、麻风病等传染病患者信息，精神疾病患者信息，生殖健康信息、基因数据、生物识别数据等）应当采用端到端加密存储，访问权限单独配置，严格控制访问范围。超过保存期限的医疗数据，应当按本指南规定的销毁流程处置，不得超期违规存储。2.2.3建立定期数据备份与恢复机制，核心业务数据应当采用本地+异地异址双重备份，定期开展恢复测试，确保数据在遭遇安全事件、硬件故障时可完整恢复。淘汰、报废的存储介质（硬盘、U盘、服务器等），应当由信息部门统一进行消磁、物理粉碎等不可逆销毁处理，严禁淘汰存储介质流入二手市场或者外部单位，严禁未经处理私自处置存储介质。2.2.4严格落实账号权限管理，遵循最小权限、按需授权原则，每个工作人员仅分配完成工作必需的最小数据访问权限，不得超权限开放访问，账号权限应当定期复核清理，对离岗、调岗人员的账号及时注销或者调整权限。2.3数据使用环节安全管理2.3.1内部临床使用医疗数据，工作人员仅可访问本人工作职责范围内的患者数据，医生仅可调阅本人接诊、管理患者的医疗数据，因会诊、教学需要调阅其他患者数据的，应当经过科室负责人审批，全程留痕。2.3.2医疗科研使用医疗数据，应当首先通过医疗机构伦理审查与数据安全审查，涉及个人数据的必须进行匿名化、去标识化处理，处理后的结果应当通过不可重识别性验证，确保无法通过任何技术手段重新识别到特定自然人。严禁将去标识化的医疗数据与其他公开数据结合重新识别个人，严禁科研人员私自留存原始医疗数据。2.3.3利用医疗数据开展人工智能模型训练、产品开发的，训练数据应当符合合规要求，不得使用未经授权的个人医疗数据训练模型，原始训练数据应当存储在医疗机构指定的安全环境中，开发人员不得将原始数据带出安全环境，仅可输出训练后的模型参数。2.3.4严禁工作人员将医疗数据用于诊疗、科研、管理以外的任何用途，严禁私自将医疗数据出售、赠与给外部单位或者个人，严禁利用医疗数据谋取不正当利益。2.4数据传输环节安全管理2.4.1传输敏感医疗数据、核心医疗数据应当采用加密传输通道，严禁通过公网明文传输核心医疗数据。跨机构传输医疗数据应当使用医疗机构统一的合规传输通道、政务医疗专网或者经过安全认证的云平台，严禁工作人员通过个人微信、QQ、邮箱、网盘等普通互联网工具传输原始未脱敏的医疗数据；确因远程会诊、紧急病情沟通需要临时传输病例图像的，应当对个人标识信息进行脱敏处理，不得泄露患者完整身份信息。2.4.2第三方远程运维接入院内信息系统，应当经过信息部门审批，采用加密的专用远程接入通道，全程留痕操作日志，安排院内工作人员全程陪同监督，运维完成后立即断开接入，回收临时授权。2.5数据提供与公开环节安全管理2.5.1对外提供医疗数据应当经过医疗数据安全管理委员会审批，按照规定开展数据安全风险评估，涉及个人信息的应当取得个人单独同意，法律法规另有规定的除外。向第三方提供医疗数据的，应当对第三方的资质、数据安全能力进行审核，在合同中明确约定数据的使用范围、安全责任、不得二次提供、泄露赔偿责任等条款，定期对第三方的数据处理活动进行审计。2.5.2公开医疗数据应当进行彻底的匿名化去标识化处理，经过安全风险评估，确保不涉及国家秘密、商业秘密、个人隐私。公开发表学术论文、病例报道的，应当隐去所有可以识别到特定个人的信息，包括姓名、身份证号、住院号、住址、精确出生日期、特征性病史描述等，特殊病例报道需要保留相关信息的，应当取得患者本人或者近亲属的书面同意。2.5.3严禁出售或者非法向他人提供个人医疗数据，严禁以授权使用、合作开发等名义变相买卖个人医疗数据。2.6数据销毁环节安全管理对超过保存期限、不需要继续保留的医疗数据，应当按照规范流程销毁：纸质数据采用碎纸机粉碎方式销毁，电子数据采用覆写、消磁、物理破坏方式销毁，不得仅通过删除文件、格式化磁盘等方式销毁；销毁活动应当有两名以上工作人员在场，记录销毁数据的类型、数量、时间、销毁人，签字确认存档。3医疗数据分类分级保护3.1分类标准按照数据内容与属性，将医疗数据分为四类：（1）个人健康医疗数据：可识别特定自然人的健康、诊疗相关数据；（2）公共卫生管理数据：支撑公共卫生管理、疫情防控、行政监管的各类数据；（3）医疗科研数据：临床研究、医学科研产生的各类数据；（4）医疗机构运营数据：医疗机构内部管理、运营产生的人事、财务、行政等数据。3.2分级标准按照数据泄露后对国家安全、公共利益、个人合法权益的危害程度，从高到低分为三级：（1）核心数据：指一旦泄露、篡改、破坏会严重危害国家安全、公共利益的医疗数据，包括：国家人口健康基础信息库的核心数据、大规模国家级生物样本库的基因与识别信息、涉及国家秘密的医疗相关数据、百万级以上规模的个人敏感医疗数据集合等。（2）重要数据：指一旦泄露、篡改、破坏会危害公共利益或者侵害多数个人合法权益的医疗数据，包括：省级以下区域人群健康统计数据、单医疗机构所有在院患者信息集合、10万人以上规模的个人健康医疗数据集合、突发公共卫生事件应急处置核心监测数据、大规模临床研究队列数据等。（3）一般数据：指除核心数据、重要数据以外的其他医疗数据，包括公开可查询的医疗机构服务信息、不涉及个人隐私的公共卫生健康知识、匿名化的公开科研数据等。3.3分级保护要求核心数据应当按照国家核心数据保护管理要求，实行专人专职管理，每年开展一次全方面安全评估，对接国家数据安全监测体系，严格控制访问范围，仅授权确有需要的工作人员访问；重要数据应当按要求向属地卫生健康部门、网信部门备案，采用加密存储与访问控制措施，每两年开展一次安全评估；一般数据可根据机构自身管理要求落实基础安全防护措施。3.4敏感个人医疗数据特殊保护对敏感个人医疗数据（包括艾滋病病毒感染者和病人信息、性传播疾病患者信息、精神疾病患者信息、出生缺陷信息、基因数据、生物识别信息、隐私部位医学影像等）实行特殊保护，除直接负责诊疗的医护人员、依法履行公共卫生职责的工作人员以外，其他任何人员不得访问，确需访问的应当经过个人同意和机构分管负责人审批，全程留痕审计。4技术防护体系建设4.1网络与边界安全防护二级以上医疗机构的核心业务信息系统应当达到网络安全等级保护三级以上要求，接入互联网的信息系统应当部署防火墙、入侵检测系统、入侵防御系统、Web应用防火墙，实现内网与互联网的强逻辑隔离，对外部访问行为进行实时监测，及时发现拦截入侵行为；定期开展漏洞扫描与渗透测试，及时修复高危漏洞，更新安全补丁与病毒特征库。4.2终端与接入安全管控所有接入院内医疗信息网络的终端、移动设备都应当进行注册登记，部署终端安全管理系统，禁用违规外设，管控移动存储介质的使用，严禁未经授权的私人设备接入内网；严禁内网终端私自接入公共wifi、无线热点，防止数据被窃听窃取。推广应用零信任访问架构，落实“永不信任、始终验证、动态授权”的访问控制要求，对每一次数据访问都进行身份、权限、环境的安全验证，防止越权访问。4.3数据安全技术应用全面落实数据加密技术，对敏感数据实现存储加密、传输加密；推广应用数据脱敏技术，在开发测试、科研合作、外部展示等场景分别采用静态脱敏、动态脱敏，减少敏感数据的暴露范围；部署数据泄露防护系统（DLP），对批量下载、私自拷贝、外发敏感数据等行为进行监测预警，阻断违规数据流出。4.4日志监测与审计所有医疗数据的访问、修改、下载、传输等操作都应当完整记录操作人、操作时间、操作内容、IP地址等日志信息，日志保存期限不少于6个月，涉及核心数据操作的日志保存期限不少于3年；建立异常行为监测模型，对批量下载、非工作时间异常访问、跨区域异常访问、多次尝试越权访问等行为自动预警，合规部门定期开展日志审计，及时发现处置违规行为。4.5移动与远程访问安全移动医护终端、远程医疗访问应当采用多因素身份认证，终端应当设置开机密码、锁屏密码，严禁转借他人使用；终端丢失后应当立即上报信息部门，远程注销终端权限，清除终端存储的敏感数据；严禁在非安全的公共网络环境下访问核心医疗数据。5人员安全管理5.1全员培训与考核所有新入职工作人员（包括正式职工、合同制职工、实习生、规培生、进修人员、第三方派驻人员）上岗前应当完成医疗数据安全培训与考核，考核合格后方可授予数据访问权限；在岗工作人员每年至少开展一次医疗数据安全继续教育与考核，培训内容包括相关法律法规、本机构管理制度、违规操作案例、应急处置流程等，培训考核记录存档。5.2关键岗位管理数据管理员、系统管理员、信息科负责人等接触核心医疗数据的关键岗位，应当在入职前开展背景审查，无相关违法犯罪记录方可上岗；所有接触敏感医疗数据的工作人员都应当签署保密承诺书，明确保密义务与违规责任。工作人员离岗、调岗时，应当及时交回所有存储介质与权限凭证，注销所有账号权限，签署离岗保密协议，离岗后的保密义务仍然有效。5.3内部行为规范工作人员应当严格遵守数据安全操作规范，禁止以下行为：（1）私自拷贝、下载、拍摄、记录医疗数据带出工作场所；（2）通过个人微信、QQ、网盘等工具传输原始未脱敏医疗数据；（3）将患者医疗数据、病例信息发布到朋友圈、短视频平台、社交论坛等公开网络；（4）将个人账号转借他人使用，或者授权非权限人员访问医疗数据；（5）将医疗数据用于工作以外的商业用途或者个人用途。6第三方合作安全管理6.1第三方准入审核所有涉及接触医疗数据的第三方合作单位，包括信息化建设服务商、软件开发商、科研合作单位、互联网医疗平台、AI算法开发企业等，都应当进行准入审核，审核内容包括单位资质、数据安全能力、过往数据安全记录，要求第三方具备相应的网络安全等级保护资质，无重大数据泄露违法记录，审核合格方可开展合作。6.2合同安全条款约定合作合同中必须明确约定数据安全相关条款，内容包括：（1）数据处理的范围、用途、期限，禁止超出合作范围使用数据；（2）第三方不得留存原始医疗数据，不得向任何第三方二次提供医疗数据；（3）第三方应当落实的安全防护措施与责任；（4）数据安全事件发生后的处置义务与赔偿责任；（5）合作终止后第三方的销毁数据义务。6.3合作过程管控第三方工作人员进入医疗机构访问医疗数据，应当进行登记，由院内对接工作人员全程陪同，仅开放合作必需的最小数据访问权限，临时账号在合作完成后立即注销；第三方不得将获取的医疗数据带出医疗机构指定的安全环境，确需带出的应当经过审批，脱敏处理；医疗机构每年至少对第三方的数据安全处理活动开展一次审计，发现违规行为立即终止合作，追究违约责任。6.4合作终止后的处置合作终止后，第三方应当在医疗机构的监督下销毁所有获取的医疗数据，不得留存备份，向医疗机构出具正式的销毁证明，由医疗机构存档备查。7应急管理与事件处置7.1应急预案与演练各机构应当制定医疗数据安全事件专项应急预案，按照事件危害程度分为一般、较大、重大三个等级，明确不同等级事件的处置流程、责任分工、上报要求；每年至少组织一次医疗数据安全应急演练，总结演练存在的问题，更新完善应急预案。7.2监测预警建立常态化的医疗数据安全监测机制，对网络入侵、异常访问、数据泄露等风险进行实时监测，及时发出安全预警，对