2026年个人信息保护法医疗场景培训考试题（含答案）

2026年个人信息保护法医疗场景培训考试题（含答案）一、单项选择题（每题3分，共15分）1.医疗机构在采集患者个人健康信息时，以下哪种情形不需要单独取得个人同意？A.公开患者健康信息用于科普宣传B.为应对突发公共卫生事件紧急采集核酸检测相关信息C.将患者病历信息提供给商业保险公司合作的健康管理服务D.将患者基因信息用于药企研发的临床试验答案：B2.医疗场景下敏感个人信息处理的告知义务，下列说法错误的是？A.可以采用就诊流程入口的统一格式条款概括告知所有敏感个人信息处理场景B.应当明确告知处理敏感个人信息的必要性以及对个人权益的影响C.紧急情况下为保护自然人生命健康和财产安全无法及时告知的，应当在紧急情形消除后及时告知D.告知应当清晰、明确、易懂，不得使用晦涩的专业术语故意隐瞒处理目的答案：A3.患者要求查阅、复制本人的门诊病历、住院记录等健康信息时，医疗机构应当在多长时间内提供？A.自收到请求之日起7个工作日内B.自收到请求之日起15个工作日内C.自收到请求之日起30个工作日内D.不得晚于下一次就诊时答案：B4.某三甲医院将门诊预约、缴费系统外包给第三方科技公司运营，下列关于个人信息保护责任的说法正确的是？A.第三方科技公司是信息处理者，独立承担全部个人信息保护责任B.医疗机构是个人信息处理者，应当对第三方的处理活动进行监督，若第三方违规造成信息泄露，医疗机构首先承担责任C.患者只能向第三方科技公司主张侵权责任D.双方各承担50%的责任答案：B5.下列不属于医疗场景下敏感个人信息的是？A.患者的传染病确诊信息B.患者的医保支付账户信息C.患者的门诊挂号的普通就诊科室信息D.患者的生物识别就诊人脸数据答案：C二、多项选择题（每题5分，共25分，多选、少选、错选均不得分）1.医疗机构处理患者个人信息，下列哪些行为违反《个人信息保护法》规定？A.未经患者同意，将其癌症确诊信息推送至本院合作的公益抗癌组织用于患者帮扶B.为提高诊后随访效率，安排人工智能系统自动拨打患者留存的手机号推销本院新开的医美服务项目C.经科室集体讨论通过后，将300份含患者完整身份信息的不孕不育病历直接提交给某高校开展生育状况研究D.为防止医疗纠纷，对就诊全过程进行录音录像，且未告知就诊人员答案：ABCD2.医疗场景下发生个人信息泄露、篡改、丢失时，医疗机构应当采取的措施包括？A.立即采取补救措施，防止损害扩大B.按照规定向履行个人信息保护职责的部门报告C.如果泄露的信息可能造成患者权益受损的，应当及时告知受影响的患者D.内部排查风险，对责任人员进行处理，无需对外告知答案：ABC3.下列哪些情形下，医疗机构处理患者个人信息不需要取得个人同意？A.为诊疗目的在本院内部共享患者的电子病历信息B.为公共卫生需要，疾控中心要求上报辖区内流感患者的相关信息C.为履行法定职责，公安机关调取涉案人员的就诊记录D.处理已经合法公开的患者健康信息，且没有侵害患者的重大权益答案：ABCD4.关于患者个人信息的删除权，下列说法正确的是？A.患者要求删除其就诊信息的，医疗机构一律应当立即删除B.处理目的已经实现、无法实现或者为实现目的不再必要的，患者有权要求删除C.医疗机构违反法律、行政法规或者约定处理个人信息的，患者有权要求删除D.法律、行政法规规定的保存期限未届满，或者删除个人信息从技术上难以实现的，医疗机构应当停止处理答案：BCD5.医疗机构开展以下哪些活动涉及敏感个人信息处理的，应当事前进行个人信息保护影响评估？A.建立全院统一的人脸闸机就诊身份核验系统B.与第三方合作开展全人群的基因测序筛查公益项目C.将患者的健康信息用于商业健康保险的精准保费核算D.上线互联网医院在线问诊系统，存储患者的电子病历信息答案：ABCD三、判断题（每题2分，共10分）1.医疗机构可以在门诊大厅张贴公告的方式，告知患者就诊过程中采集的所有个人信息可以用于本院的各类科研、教学活动，患者前来就诊即视为同意。答案：×2.精神障碍患者的就诊信息属于敏感个人信息，除法律法规另有规定外，医疗机构不得向任何单位、个人提供。答案：√3.患者死亡后，其近亲属为了自身的合法、正当利益，可以查阅、复制死者的就诊相关信息，医疗机构应当予以配合。答案：√4.为提升患者就诊体验，医疗机构可以将患者的就诊记录、联系方式共享给周边的药店、康复机构，方便患者后续购药、康复，不需要单独告知患者。答案：×5.个人信息保护职责部门对医疗机构的个人信息保护情况进行检查时，医疗机构可以以涉及患者隐私为由拒绝提供相关系统的后台数据。答案：×四、案例分析题（每题25分，共50分）1.2026年3月，某妇幼保健院为提升产后康复服务转化率，与第三方月子中心合作，在未告知产妇及家属的情况下，将2025年10月至2026年2月期间在本院分娩的1276名产妇的姓名、联系方式、分娩时间、新生儿健康状况等信息全部提供给该月子中心，月子中心工作人员逐一致电产妇推销月子套餐，造成多名产妇频繁被骚扰，有3名产妇不堪其扰向网信部门投诉。（1）本案中妇幼保健院的行为违反了《个人信息保护法》的哪些规定？（2）若上述信息泄露造成产妇权益受损，责任应当如何承担？（3）履行个人信息保护职责的部门可以对该妇幼保健院作出哪些处罚？参考答案：（1）①违反个人信息处理的核心原则，处理信息未遵循合法、正当、必要和诚信原则，未向产妇明示信息提供给第三方的处理目的、方式和范围，超出了诊疗必需的处理边界；②违反敏感个人信息处理规则，产妇的分娩信息、健康信息、生物识别相关信息均属于敏感个人信息，向第三方提供此类信息应当单独取得个人的明确同意，本案中医院未履行该程序；③违反向第三方提供个人信息的监管义务，未对合作方月子中心的个人信息处理目的、处理方式、保护措施进行事前评估和全程监督，放任月子中心违规拨打骚扰电话，侵害个人信息权益。（2）妇幼保健院作为法定的个人信息处理者，应当首先对受侵害的产妇承担侵权责任，包括停止侵害、赔礼道歉、赔偿损失等；若第三方月子中心在信息处理过程中存在故意或者重大过失，妇幼保健院承担责任后可以向月子中心追偿，产妇也有权直接选择向月子中心主张侵权责任。（3）首先应当责令其改正违法行为，给予警告，没收违法所得，责令其立即停止向月子中心提供患者信息，删除违规传输的所有患者数据；拒不改正的，处一百万元以下罚款，对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款；本案涉及个人信息数量大、造成恶劣社会影响，属于情节严重情形，可以处五千万元以下或者上一年度营业额百分之五以下罚款，并可以责令暂停相关业务、停业整顿，通报卫生健康主管部门对相关责任人给予执业处罚，对直接负责的主管人员可以依法禁止其在一定期限内担任医疗机构个人信息保护负责人等相关职务。2.2026年5月，某互联网医院上线AI辅助诊断系统，该系统需要调用患者的既往病史、检验检查报告、过敏史等全部健康信息进行算法训练，以提升诊断准确率，互联网医院在用户注册界面的《用户服务协议》末尾以小字体注明“您同意本院可调用您的全部就诊信息用于AI系统研发训练，无需另行通知”，约12万注册用户在未注意到该条款的情况下点击同意，后有用户发现自己的罕见病就诊信息被用于系统训练后作为案例展示在系统宣传页面，造成个人隐私泄露。（1）该互联网医院的告知同意流程是否合法？为什么？（2）若该互联网医院要继续使用患者信息开展AI算法训练，应当履行哪些法定义务？（3）受影响的用户可以主张哪些权利？参考答案：（1）不合法。理由如下：①未履行显著告知义务，采用小字体将重要的个人信息处理规则隐藏在冗长的格式协议末尾，不符合“清晰、明确、通俗易懂”的告知要求，未以显著方式、清晰易懂的语言向用户告知处理信息的相关事项；②未取得单独同意，健康信息属于敏感个人信息，用于算法训练不属于诊疗必需场景，应当就该处理事项单独向用户告知，取得用户的单独明确同意，不能通过概括性的格式条款默认取得同意；③超出同意范围处理个人信息，用户同意的范围仅为算法训练，医院将患者的罕见病信息作为案例公开宣传，明显超出约定的处理目的，属于违法处理个人信息。（2）应当履行以下法定义务：①单独就使用健康信息开展AI训练的事项向用户进行告知，明确说明处理的目的、方式、范围、存储期限以及对个人权益的影响，逐一取得用户的单独、明确同意，不得采用默认勾选、捆绑同意的方式；②事前开展个人信息保护影响评估，对处理活动的合法性、正当性、必要性进行论证，评估风险等级，制定风险应对措施，评估报告和处理情况记录应当至少留存三年；③对用于训练的个人信息采取去标识化、匿名化处理，剥离可识别到特定自然人的身份信息，确保训练过程和训练结果无法反向识别到特定个人；④建立个人信息处理活动全程记录机制，对信息的调取、使用、存储全过程留痕，定期开展合规审计；⑤确需使用相关案例进行宣传的，必须进行深度脱敏处理，确保无法关联到特定自然人，且不得涉及敏感健康信息的具体内容。（3）受影响用户可以主张