2026年患者隐私保护与信息安全试题及答案

2026年患者隐私保护与信息安全试题及答案1.根据《中华人民共和国个人信息保护法》《医疗机构管理条例》相关规定，医疗机构处理下列哪项患者信息不需要单独取得患者的明确知情同意？A.患者的罕见病基因测序数据B.患者的性传播疾病诊疗记录C.为公开学术研究发布患者的完整病例资料D.为院内诊断需要将患者的CT影像传输至本院远程会诊中心答案：D解析：为诊疗活动必要目的在医疗机构内部处理患者医疗信息，属于法定无需单独知情同意的情形，其余三类信息均属于患者敏感个人信息，公开处理或者对外提供均需要单独取得患者的明确知情同意。2.根据我国《电子病历应用管理规范》，关于电子病历的留存期限，下列说法正确的是？A.门急诊电子病历至少留存10年B.门急诊电子病历至少留存15年C.住院电子病历至少留存20年D.住院电子病历至少留存25年答案：B解析：根据现行规范要求，医疗机构保存的门急诊病历无论是纸质还是电子版本，保存期限不得少于15年，住院电子病历保存期限不得少于30年，因此只有B选项表述正确。3.互联网医疗机构开展在线问诊服务收集用户个人信息时，下列做法符合隐私保护最小必要原则的是？A.为提升服务精度，强制要求用户授权读取手机通讯录信息B.收集的个人信息范围严格限定为实现在线问诊诊疗功能的必要信息C.为开展商业推广，默认勾选用户同意接收医药广告信息D.用户拒绝提供非必要个人信息后，拒绝为用户提供基础问诊服务答案：B解析：根据个人信息保护的最小必要原则，处理个人信息应当限定为实现处理目的的最小范围，不得过度收集个人信息，因此仅收集实现诊疗功能的必要信息符合要求，其余选项均违反相关规定。4.医疗机构发生较大规模患者个人信息泄露安全事件后，应当按照规定在多长时限内向所在地县级卫生健康主管部门和网信部门报告？A.12小时B.24小时C.48小时D.72小时答案：C解析：根据《医疗卫生机构网络安全管理办法》《个人信息安全规范》相关要求，发生个人信息安全事件后，信息处理者应当在48小时内按规定向监管部门报告，因此C选项正确。1.医疗机构委托第三方机构开展信息系统开发、医疗数据存储、运维等业务时，应当落实的患者隐私保护措施包括下列哪些选项？A.事前对第三方机构的个人信息保护能力和安全资质进行风险评估B.在委托合同中明确约定双方关于患者隐私保护、信息安全的具体责任与义务C.要求第三方机构对所有接触患者个人信息的工作人员签订保密协议D.对第三方机构处理患者数据的全流程活动进行持续监督和审计答案：ABCD解析：根据《个人信息保护法》第二十一条规定，个人信息处理者委托处理个人信息的，应当对受托人的个人信息处理活动进行监督，事前应当开展风险评估，明确双方权利义务，落实保密要求，因此四项均符合规定。2.下列行为中，属于侵犯患者隐私权和个人信息权益的有？A.执业医师在医院走廊等公共场所讨论患者的特殊病情B.妇科医师未经患者本人同意，安排多名实习医学生观摩患者的私密检查过程C.公安机关办理刑事案件依法调取犯罪嫌疑人的诊疗记录，医疗机构按要求提供D.医院收费处工作人员将收集到的产妇联系方式、家庭住址出售给母婴摄影机构答案：ABD解析：因侦查、公共卫生事件调查等法定事由提供患者信息不属于侵权行为，其余三类行为均违反了患者隐私保密要求，属于侵权行为。3.根据相关法律法规，下列关于患者个人信息权利的说法正确的有？A.患者有权依法查阅、复制本人所有的诊疗病历资料B.患者有权要求医疗机构对其个人隐私和诊疗信息予以保密C.医疗机构不得向任何第三方提供患者的个人信息D.患者死亡后，其近亲属为了维护自身合法权益，有权依法查阅、复制患者的病历资料答案：ABD解析：医疗机构因法定情形，如配合司法机关侦查、开展公共卫生监测等，可以依法向第三方提供患者信息，因此C选项错误，其余三项表述均符合法律规定。1.经过完全去标识化处理的患者医疗健康数据，可以无条件向任何第三方提供，无需落实任何安全保护措施。答案：错误解析：即便经过去标识化处理的医疗数据，处理者仍需要采取必要的安全管理措施，防范信息被重新识别后泄露，不能无条件对外提供，因此该说法错误。2.医疗机构工作人员因执业工作需要知悉患者隐私的，仅对住院患者负有保密义务，门诊患者的隐私无需保密。答案：错误解析：所有患者的隐私和个人信息都受法律保护，无论患者是门诊还是住院，从业人员都负有法定保密义务。3.医疗机构利用患者个人信息开展科研活动，应当经过医疗机构伦理委员会审查，涉及敏感个人信息的还需要取得患者单独知情同意，符合伦理要求后方可开展。答案：正确解析：涉及个人信息的医学科研活动必须经过伦理审查，处理敏感个人信息需要单独取得知情同意，该做法符合《个人信息保护法》《生物医学研究伦理审查办法》的要求。4.为了方便临床调阅病历，医疗机构执业医师可以将患者的电子病历存储在个人U盘等私人移动存储设备中。答案：错误解析：将患者病历存储在私人移动存储设备中，会大大增加信息泄露的风险，违反医疗机构信息安全管理规定，属于违规行为。案例：某二级医院为拓展业务，2025年上线互联网在线问诊平台，与某第三方信息技术企业签订合作协议，由第三方企业负责平台开发、运维和数据存储。合作过程中，该第三方企业为了降低运营成本，将平台存储的3万余名在线问诊患者的个人信息（包括慢性病病史、过敏史、联系方式、家庭住址等）存储在未配置入侵检测、访问控制等基础安全防护措施的公共云服务器中，且未对敏感信息进行加密处理。2026年2月，该云服务器被黑客入侵，所有患者信息被窃取倒卖，多名患者收到虚假药品诈骗信息，有12名患者被骗共计27万元财产损失。问题1：本次事件中，该二级医院存在哪些违反患者隐私保护与信息安全规定的行为？问题2：本次事件中的相关主体应当承担哪些法律责任？参考答案：问题1：①该医院作为患者个人信息的处理者，未在事前对第三方合作企业的信息安全保护能力、资质进行充分的风险评估，违规选择不符合安全要求的服务商开展数据存储业务；②未在合作协议中明确约定第三方企业在患者隐私保护、数据安全方面的具体责任义务，也未对第三方处理患者数据的活动进行持续监督和审计，未落实个人信息处理者的监督责任；③未对患者敏感医疗信息落实分级分类保护要求，未督促第三方采取加密、安全防护等必要的信息安全保护措施；④未建立完善的个人信息安全监测预警和事件处置预案，未能及时发现信息泄露事件，延误了风险处置时机。问题2：①该二级医院作为患者个人信息的处理者，未尽到安全保护义务，应当对患者遭受的财产损失承担民事侵权赔偿责任；同时监管部门可以对其作出行政处罚，包括警告、罚款、责令停业整改等，对直接负责的主管人员和直接责任人员依法给予处分；②第三方信息技术企业作为受托个人信息处理者，未按照要求落