患者隐私保护考核细则

患者隐私保护考核细则一、考核适用范围与组织实施本细则适用于各级各类医疗卫生机构（含综合医院、专科医院、基层医疗卫生机构、门诊部、诊所、医学检验实验室、病理诊断中心、医学影像诊断中心、互联网医院、护理院、安宁疗护中心等所有提供医疗卫生服务的机构）内部患者隐私保护工作考核，也可作为卫生健康行政部门对医疗机构患者隐私保护工作的监督考核依据，考核覆盖医疗机构全体从业人员，包括医师、护士、药学人员、医技人员、行政管理人员、后勤保障人员、信息系统运维人员、规培生、实习生、进修人员、第三方服务外包人员（含系统运维、保洁、档案整理、导诊等所有进入医疗机构工作的非本机构人员），无任何人员例外。组织实施要求：1.医疗机构内部成立患者隐私保护考核工作组，由分管医疗安全与信息安全的院领导任组长，成员由医务部、护理部、信息科、纪检监察室、保卫科、法务科共同组成，工作组职责为制定考核计划、开展现场考核、认定考核结果、受理申诉举报、落实结果应用。医疗机构内部考核每季度开展1次专项抽查，每年开展1次全院综合考核，每次抽查覆盖不低于20%的临床医技科室、15%的行政后勤部门，从业人员个人考核年度覆盖率不低于30%，重点岗位（信息科、病案室、门诊收费处、住院处）从业人员年度考核覆盖率100%。2.卫生健康行政部门对辖区医疗机构的监督考核每两年开展1次，考核覆盖率不低于辖区医疗机构总数的30%，其中三级医院年度考核覆盖率100%，二级医院不低于50%，基层医疗卫生机构不低于20%，考核结果纳入医疗机构年度校验、等级评审、评优评先的核心指标。二、考核内容及评分标准（总分100分）（一）制度建设与培训考核（15分）1.专项制度制定与修订（6分）。需严格符合《中华人民共和国个人信息保护法》《中华人民共和国医师法》《医疗机构病历管理规定》《医疗卫生机构网络安全管理办法》《国家健康医疗大数据标准、安全和服务管理办法（试行）》等现行法律法规要求，制定专项患者隐私保护管理制度，明确信息权限管理、脱敏处理规范、信息查阅审批、泄露应急处置、责任追究等核心内容。缺1项核心制度扣2分；制度内容不符合现行法规要求扣4分；制度每2年至少修订1次，新法律法规出台后需在6个月内完成修订，超期未修订扣3分，本项扣完为止。2.分层分类培训（5分）。全体从业人员每年接受不少于4学时的患者隐私保护专项培训，新入职、新调入人员岗前培训中隐私保护内容不少于2学时，重点岗位人员每季度接受1次专项强化培训。未开展年度全员培训扣5分；培训总学时不达标，每少1学时扣1分；新入职人员未开展岗前隐私培训扣2分；培训无完整签到记录、考核记录、课件档案，缺1项资料扣1分，本项扣完为止。3.责任承诺签订（4分）。医疗机构与各科室负责人每年签订患者隐私保护责任书，科室与所有从业人员（含外包、进修、实习人员）签订患者隐私保护承诺书，明确个人隐私保护责任。缺1份科室责任书扣1分，缺1份个人承诺书扣0.5分，本项最高扣4分，扣完为止。（二）从业人员行为管理（20分）1.敏感隐私信息保护（5分）。严格保护胎儿性别、传染病病史、精神疾病病史、性传播疾病病史、遗传病史、不孕不育病史等患者特殊敏感隐私信息，不得向非授权第三方泄露。每发现1次违规泄露敏感信息扣3分，造成后果的本项记0分。2.禁止非法获取与泄露（6分）。严禁从业人员私自拍摄、复制、存储患者病历、检查图像、诊疗记录、身份信息等隐私内容；严禁将患者信息出售、非法提供给任何机构或个人用于商业营销、非法调研等用途。每发现1起私自拍摄存储行为扣3分；发现出售、非法提供患者信息行为，本项直接记0分。3.社交行为规范（4分）。严禁从业人员在私人社交场所、公共区域讨论患者可识别隐私信息，严禁在朋友圈、微信群、短视频平台等各类社交媒体发布未脱敏的患者信息（含诊疗场景、病历、检查结果等），因科研、科普需要发布的必须完成全脱敏，去除所有可识别患者身份的信息。每发现1起公共区域违规讨论扣1分，每发现1起社交媒体发布未脱敏信息扣4分，引发舆论舆情的本项记0分。4.权限使用规范（5分）。严格遵循权限最小必要原则，仅可查阅与自身本职工作相关的患者信息，不得违规查阅本人、亲属、朋友以及工作无关的其他患者信息。每发现1次违规查阅扣2分，累计2次及以上本项记0分；从业人员调岗、离职后需在10个工作日内完成所有信息权限注销，未按时注销权限扣2分，造成信息流失的本项记0分。本项总分20分，扣完为止。（三）线下诊疗与纸质载体隐私保护（20分）1.门诊区域隐私防护（4分）。严格落实一医一患一诊室，非诊疗需要无关人员不得进入诊室；叫号系统、候诊屏不得公示患者完整姓名、完整身份证号、具体病种等信息，仅可显示就诊序号、姓名缩写或姓名后两位，检查报告单取号屏、取药窗口仅显示姓名后两位和序号。每发现1处不符合要求扣1分，未落实一医一患一诊室每发现1次扣1分，本项最高扣4分，扣完为止。2.侵入性与暴露性操作防护（5分）。开展体格检查、妇科检查、产科检查、手术、导尿、换药、医美操作等需要暴露患者身体的操作，必须设置遮挡屏障，无关人员不得在场，不得在公共区域开展暴露性操作。每发现1起违规操作扣2分，本项最高扣5分，扣完为止。3.纸质载体日常管理（5分）。纸质病历、检查报告、知情同意书、出院记录等带患者隐私信息的纸质载体，不得随意放置在诊桌外、护士站台面、走廊等公共外露区域，非工作时间必须存入带锁文件柜或病案库房。每发现1份随意放置的隐私载体扣1分；废弃的隐私载体（如废弃化验单、修改后的病历草稿、作废的知情同意书）必须采用碎纸机粉碎处置，不得直接丢弃至普通垃圾桶，每发现1张违规丢弃的隐私废纸扣1分，本项最高扣5分，扣完为止。4.病历复印复制管理（6分）。严格按照规定审核申请人身份与授权，患者本人复印需提供本人有效身份证件，代理人复印需提供患者身份证件、代理人身份证件、患者签字的授权委托书，公安、司法、保险等单位调取病历需出具单位介绍信、调取证明、经办人工作证件。未按规定审核身份每发现1例扣2分，违规为非授权申请人复印病历每例扣3分，本项最高扣6分，扣完为止。本项总分20分，扣完为止。（四）电子信息与信息系统隐私保护（25分）1.权限分级授权管理（5分）。电子病历、电子健康档案、检验信息系统等所有存储患者隐私信息的系统，严格落实分级授权，遵循权限最小够用原则：临床医师仅开放本人经管患者的信息权限，行政管理人员仅开放汇总统计权限，不得开放个体患者可识别隐私信息权限，信息运维人员仅开放系统调试权限，不得随意下载导出患者个体信息。每发现1起超权限授权行为扣2分，本项最高扣5分，扣完为止。2.账号安全管理（5分）。所有系统账号实行一人一号实名认证，不得转借、共用账号，操作人员离开工作岗位必须锁屏退出系统账号。每发现1起共用、转借账号扣2分，每发现1起离开岗位未锁屏扣1分，本项最高扣5分，扣完为止。3.信息导出与脱敏管理（6分）。因科研、教学、会诊需要导出下载患者电子信息的，必须提前向医务部提交申请，履行审批手续；所有对外使用的患者信息必须完成全脱敏处理，去除所有可识别患者身份的信息（含姓名、身份证号、手机号、住址、住院号、门诊号、影像编号、银行卡号等），确需保留可识别信息的必须经医务部审批，签订信息使用保密承诺书。未履行审批手续擅自导出患者信息每例扣3分，未按要求脱敏每例扣2分，本项最高扣6分，扣完为止。4.设备与网络安全管理（4分）。存储患者隐私信息的医疗机构设备（电脑、U盘、移动硬盘、服务器等）不得违规连接互联网、公共wifi等外部非院内网络，不得私自将存储患者隐私信息的设备带出医疗机构。每发现1起违规连接外网扣2分，每发现1起私自带出设备扣3分，本项最高扣4分，扣完为止。5.线上诊疗管理（5分）。互联网医院、线上会诊、远程诊疗过程中，不得在公共网络、公共区域公开播放患者诊疗音视频，线上会议不得向无关人员开放权限，所有线上诊疗产生的患者数据必须存储在医疗机构授权的内部服务器，不得存储在个人微信、个人云盘、个人邮箱等非授权第三方平台。每发现1起违规存储行为扣2分，每发现1起违规开放权限泄露隐私扣2分，本项最高扣5分，扣完为止。本项总分25分，扣完为止。（五）隐私信息存储与销毁管理（10分）1.病案库房管理（4分）。纸质病案库房实行双人双锁管理，非授权工作人员不得单独进入库房，调取病历必须履行登记手续。未落实双人双锁管理扣3分，非授权人员单独进入库房扣4分，未落实调取登记每1例扣1分，本项最高扣4分，扣完为止。2.报废存储介质处置（3分）。过期、报废的电子存储介质（含硬盘、U盘、磁带、服务器硬盘等）必须由信息科统一进行物理消磁、粉碎销毁，不得随意出售、丢弃、转赠他人。每发现1块报废存储介质未按要求处置扣2分，流入市场造成泄露的本项记0分，本项最高扣3分，扣完为止。3.超期病历销毁管理（3分）。超过法定保存期限的病历，需履行审批程序后统一销毁，销毁过程有2名以上工作人员签字的完整记录。未履行审批程序擅自销毁扣2分，无完整销毁记录扣1分，本项最高扣3分，扣完为止。本项总分10分，扣完为止。（六）应急管理与患者权益保障（10分）1.应急预案制定（4分）。制定完善的患者隐私泄露事件应急预案，明确事件分级、报告流程、处置要求。未制定应急预案扣4分，报告流程不明确扣2分，本项扣完为止。2.事件处置要求（3分）。发生患者隐私泄露事件后，责任人需在2小时内上报科室负责人，24小时内上报考核工作组与医务部，重大事件需在12小时内上报属地卫生健康行政部门，及时采取补救措施控制泄露范围，告知受影响患者。未按时上报每延迟12小时扣1分，未及时采取补救措施扣2分，未告知受影响患者扣2分，本项最高扣3分，扣完为止。3.患者权益响应（3分）。患者依据法律法规申请查询、更正、删除本人隐私信息，申请撤回信息授权的，医疗机构需在10个工作日内予以答复并办理，无正当理由不得拒绝。每1例无正当理由拒绝办理扣2分，每1例逾期办理扣1分，本项最高扣3分，扣完为止。本项总分10分，扣完为止。三、考核方式与评分认定1.考核方式：（1）资料核查：占总分值的30%，主要核查制度建设、培训记录、责任承诺书、审批记录、应急处置记录等书面资料，按照实际完成情况评分。（2）现场检查：占总分值的30%，主要现场核查诊室设置、公示信息、载体存放、设备管理等线下环节合规情况，逐项检查扣分。（3）系统日志溯源：占总分值的25%，调取电子病历、信息系统的操作日志，核查是否存在违规查阅、导出、下载等操作，每查实1起违规操作对应扣分。（4）投诉与事件核查：占总分值的15%，核实考核周期内患者关于隐私保护的有效投诉，以及已经发生的隐私泄露事件，每查实1起有效投诉扣5分，发生重大泄露事件直接考核不合格。2.评分定级：考核总分100分，85分及以上为优秀，70分（含）-84分为合格，70分以下为不合格。出现下列情形之一的，直接认定为考核不合格：（1）发生重大患者隐私泄露事件，造成500名及以上患者信息泄露，或引发全网性舆论舆情，或造成患者名誉损害、经济损失1万元及以上的；（2）存在出售患者信息、利用患者信息谋取不正当利益等违法行为的；（3）年度内累计3次及以上较重违规行为的。同一违规问题已经在季度抽查中扣分的，年度综合考核不再重复扣分，累计扣完对应模块分值为止。四、考核结果应用（一）医疗机构层面（适用于卫生健康行政部门对机构的考核）：1.考核优秀的医疗机构，在等级评审、年度校验、评优评先、专项资金申报中给予优先支持。2.考核合格的医疗机构，不影响各项资质审核。3.考核不合格的医疗机构，取消年度评优评先资格，等级评审予以降级处理，暂缓年度校验，责令限期3个月整改，整改后仍不合格的吊销《医疗机构执业许可证》。（二）科室层面（适用于医疗机构内部考核）：1.年度考核优秀的科室，给予科室年度绩效增加5%的奖励，优先推荐参评先进科室。2.年度考核合格的科室，不奖不罚，正常参与年度评优。3.年度考核不合格的科室，取消科室所有人员年度评优评先资格，扣除科室年度绩效的5%，科室负责人年度考核不得定为优秀；连续两年考核不合格的科室，对科室负责人予以约谈、调整岗位。（三）个人层面：1.年度考核优秀的个人，在职称晋升评审中给予加3分的奖励，优先推荐评优评先，给予不低于500元的专项奖励，纳入人才培养优先名单。2.年度考核合格的个人，正常参与各项评优晋升。3.年度考核不合格的个人：①暂停岗位工作，参加不少于8学时的患者隐私保护专项培训，重新考核合格后方可返岗；②扣除个人年度绩效的10%，个人年度考核不得定为合格及以上等次；③3年内不得申报职称晋升，不得参与岗位竞聘；④规培生、实习生考核不合格的，延长培训期限3个月，重修隐私保护课程，再次考核不合格终止培训；进修人员考核不合格的，终止进修，退回原单位；⑤第三方外包人员考核不合格的，立即终止服务合同，退回外包公司。五、违规分级处理1.一般违规：指首次发生、未造成不良后果的轻微违规行为，包括未按要求锁屏、公示信息不规范、培训学时不达标、纸质载体放置不规范等，给予责任人口头警告，责令3个工作日内整改，逾期未整改升级为较重违规。2.较重违规：指累计2次一般违规，或违规行为造成轻微不良影响，包括违规查阅无关患者信息、私自拍摄患者信息未扩散、未按规定审核复印病历、未审批导出患者信息等，给予全院通报批评，扣除责任人当月绩效的10%，违规行为记入个人医德档案。3.严重违规：指出售、泄露患者隐私信息，造成患者损害或舆论影响，或累计3次较重违规，按照以下方式处理：①在编公职人员给予记过及以上行政处分，情节严重的开除公职；②非编聘用人员直接解除劳动合同；③外包人员退回外包公司，追究外包公司连带责任；④涉嫌