2026年数据安全法患者信息管理培训试题（含答案）

2026年数据安全法患者信息管理培训试题（含答案）一、单项选择题1.2026年修订的《中华人民共和国数据安全法》中，明确标注可单独或结合其他信息识别特定自然人身份、反映其健康状态的患者就诊全流程信息属于（）A.普通个人信息B.敏感个人信息C.重要数据D.核心数据答案：D2.某医疗机构未建立患者信息导出审批、访问权限管控机制，导致近10万条患者完整就诊信息被内部人员倒卖，依据2026版《数据安全法》，对该医疗机构最高可处（）罚款A.10万元以下B.10万元以上100万元以下C.100万元以上500万元以下D.500万元以上1000万元以下答案：D3.下列不属于患者信息合规采集范畴的是（）A.患者就诊时主动填报的药物过敏史B.为排查法定流行病需采集的患者14天旅居史C.为优化院内挂号APP功能默认采集的患者手机终端通讯录信息D.手术前风险评估采集的患者家族遗传病史答案：C4.依据2026版《数据安全法》及配套的《医疗健康数据安全管理规范》，医疗机构对于已过法定保存期限的患者纸质及电子病历，应当采取的合规处置方式是（）A.直接丢弃至生活垃圾站B.擦除电子病历存储内容后对存储介质做不可逆销毁，纸质病历粉碎销毁，全程留痕记录C.批量转售给第三方医学研究机构获取经费D.移交至上级卫生主管部门后无需进行任何处置答案：B5.患者向医疗机构提出查阅、复制本人就诊记录的申请，材料齐全且符合要求的，医疗机构应当在（）内完成审核并反馈，无法提供的需出具书面说明告知理由A.3个工作日B.7个工作日C.15个工作日D.30个工作日答案：A6.医疗机构需将患者信息提供给第三方机构开展合作研究的，应当先对数据做去标识化处理，且需经（）审核同意后方可提供A.科室主任B.医疗机构数据安全管理部门及伦理委员会C.分管院长D.当地卫生健康主管部门答案：B二、多项选择题1.依据2026版《数据安全法》，医疗机构应当建立的患者信息全流程安全管理制度包括（）A.采集前告知-单独同意制度B.分级分类授权访问制度C.数据导出、传输加密审批制度D.全操作日志留痕可追溯制度答案：ABCD2.下列属于患者信息违规泄露情形的有（）A.接诊医生在公共电梯内与同事讨论某艾滋病患者的病情、姓名及工作单位B.医疗机构公众号推送康复案例时隐去患者姓名、身份证号，但完整展示了患者的面部高清照片、居住小区名称C.保险公司来调取患者理赔相关病例时，医疗机构核验了患者本人签署的授权委托书后仅提供与理赔相关的就诊记录D.科研人员将去标识化处理的患者病例用于获批的医学研究，研究成果发布时附带了可还原患者身份的唯一编码字段答案：ABD3.医疗机构内部人员访问患者信息需遵循的“最小必要”原则包括（）A.仅访问自身诊疗职责范围内的患者信息B.仅获取完成本次诊疗所必需的信息字段，无需调取患者无关就诊历史C.单次访问授权时效与本次诊疗需求时长匹配，诊疗结束后自动收回访问权限D.非诊疗、公共卫生需求不得随意搜索、调取任意患者的信息答案：ABCD4.2026版《数据安全法》中明确要求，医疗机构发生患者信息泄露事件后，应当第一时间采取的措施包括（）A.立即启动数据安全应急预案，采取技术补救措施防止泄露范围扩大B.第一时间向当地网信部门、卫生健康主管部门、公安机关报送事件情况C.3个工作日内告知受影响的患者及相关利害关系人，告知内容包括泄露内容、可能造成的影响、已采取的补救措施及个人防护建议D.立即销毁涉事存储介质避免证据留存，减少自身责任答案：ABC5.下列关于患者信息查询权限的说法符合规定的有（）A.门诊医师仅可查询本人接诊的当次就诊患者的完整病历信息B.住院医师仅可查询本人管辖床位的在院及出院1个月内患者的病历信息C.患者本人持有效身份证件可查询、复制本人全部就诊记录（法定不得公开的特殊情形除外）D.司法机关持法定文书可查询涉案患者的相关就诊信息，无需患者本人同意答案：ABCD三、判断题1.患者主动在个人社交平台公开的就诊信息，医疗机构可以直接调取用于本院的医疗服务商业宣传。（×）2.2026版《数据安全法》明确要求，接诊的执业医师是其经手患者诊疗信息安全的第一责任人。（√）3.为降低存储成本，医疗机构可以将患者核心诊疗信息存储在境外未经过国家安全评估的云服务平台。（×）4.去标识化处理后无法单独识别特定患者身份的病例数据，在用于公共卫生事件研判、国家级医学科研项目时无需获得患者个人单独同意。（√）5.患者提出删除本人就诊记录的申请时，医疗机构可直接删除所有相关数据无需留存。（×）6.医疗机构内部工作人员因工作需要导出患者信息的，仅需获得科室主任同意即可，无需留存审批记录。（×）7.患者就诊时拒绝提供非诊疗必需的个人信息（如收入水平、婚姻状态等），医疗机构可以以此为由拒绝为其提供诊疗服务。（×）8.2026版《数据安全法》规定，医疗机构应当每年至少开展1次患者信息安全专项培训及应急演练。（√）四、案例分析题2026年4月，某三甲医院皮肤科医师张某为完成与某民营美容机构的商业合作项目（为该机构做潜在客户画像分析），利用其职务权限调取了该院近2年1.2万名皮肤科就诊患者的姓名、手机号、皮肤病就诊记录、面部诊疗影像资料，未做任何去标识化处理就直接转交给了该美容机构，后续导致8000余名患者接到该美容机构的推销电话，另有300余名患者的特殊皮肤病就诊记录被恶意传播到网络，造成恶劣社会影响。经查，该医院未建立患者信息批量调取审批机制、访问操作日志审计机制，张某的批量调取行为未触发任何预警。请结合2026版《中华人民共和国数据安全法》回答以下问题：1.本案中存在哪些违规行为？2.涉案人员及医疗机构分别应当承担哪些法律责任？参考答案：1.本案中的违规行为包括：（1）张某违反患者信息采集使用的“知情同意”原则，未获得患者单独授权即调取其个人信息用于非诊疗的商业用途，违反了数据使用的合法性、正当性、必要性要求；（2）张某违反“最小必要”访问原则，超出自身诊疗职责范围批量调取非本人接诊患者的核心诊疗信息，属于越权访问行为；（3）张某违规向无合作资质的第三方商业机构泄露属于核心数据范畴的患者健康医疗信息，未履行个人数据安全保护义务；（4）该医院未履行数据安全管理主体责任，未建立健全患者信息分级授权访问、批量导出审批、操作日志审计、异常行为预警等制度，导致核心数据被批量泄露且未及时发现，存在严重管理漏洞。2.应当承担的法律责任：（1）针对张某：由公安机关没收全部违法所得，处五十万元以上一百万元以下罚款，卫生健康主管部门依法吊销其医师执业证书，其行为构成侵犯公民个人信息罪的，依法追究刑事责任；（2