患者个人信息保护制度和技术措施

患者个人信息保护制度和技术措施第一章总则1.1目的与依据为规范医疗机构在诊疗、科研、教学及管理等活动中对患者个人信息的收集、存储、使用、处理、传输、提供、公开等行为，严格保障患者隐私权和个人信息权益，防范数据泄露、篡改、丢失等安全风险，依据《中华人民共和国民法典》、《中华人民共和国个人信息保护法》、《中华人民共和国数据安全法》、《中华人民共和国网络安全法》、《医疗卫生机构网络安全管理办法》及《医疗机构病历管理规定》等相关法律法规及国家标准，结合本单位实际情况，特制定本制度与技术措施实施细则。1.2适用范围本制度适用于本单位所有部门、全体员工（包括但不限于正式员工、合同制员工、进修人员、实习生、外包服务人员等），以及涉及处理患者个人信息的所有信息系统、网络环境、终端设备及业务流程。凡涉及患者个人信息处理活动的，必须严格遵守本制度规定。1.3基本原则患者个人信息保护遵循以下核心原则：（1）合法、正当、必要原则：处理患者个人信息必须具有明确、合理的目的，且应当限于实现处理目的的最小范围，不得进行与诊疗活动无关的收集与处理。（2）知情同意原则：向患者告知个人信息处理的目的、方式、范围、存储期限及权利行使途径，并在取得个人同意后进行处理（法律法规规定不需取得同意的除外）。（3）目的限制原则：不得超出告知的范围处理患者个人信息；如需变更处理目的，应再次征求患者同意。（4）准确完整原则：应当采取必要措施确保患者个人信息在处理过程中准确、完整，并及时更新。（5）安全保障原则：采取管理制度与技术措施相结合的方式，确保患者个人信息处理活动全生命周期的安全，防止未经授权的访问、使用、披露。（6）权责一致原则：对患者个人信息处理活动负责，并承担相应的法律责任。1.4定义与术语（1）患者个人信息：指在本机构诊疗活动中单独或者与其他信息结合识别特定自然人的各种信息，包括但不限于患者的姓名、身份证件号码、联系电话、住址、病历资料、诊疗信息、生物识别信息、基因信息、健康检查结果、疾病史、家族病史、支付信息等。（2）敏感个人信息：指一旦泄露或者非法使用，容易导致患者的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。（3）去标识化：指个人信息经过处理，使其在不借助额外信息的情况下，无法识别特定自然人的过程，但不包括使用通用算法进行哈希值计算后的结果。（4）匿名化：指个人信息经过处理无法识别特定自然人且不能复原的过程。第二章组织架构与职责2.1信息安全领导小组成立由机构主要负责人任组长的患者个人信息保护领导小组，作为最高决策机构。其主要职责包括：（1）审批患者个人信息保护相关的总体策略、规章制度和重大技术方案；（2）协调解决患者个人信息保护工作中的重大资源配置和跨部门协调问题；（3）听取信息安全管理部门关于患者个人信息保护工作的汇报，并监督改进；（4）领导重大个人信息安全事件的应急处置工作。2.2信息安全管理部门（牵头部门）设立或指定专门部门（如信息科、病案科或质控科）作为患者个人信息保护的归口管理部门，负责日常工作的组织与实施。具体职责包括：（1）组织制定、修订和推广患者个人信息保护管理制度及操作规程；（2）统筹技术防护体系的建设与运维，落实安全技术措施；（3）定期组织对患者个人信息处理活动的风险评估和合规审计；（4）受理患者关于个人信息权利的投诉、举报，并协调处理；（5）组织开展全员的个人信息保护安全意识教育和技能培训。2.3业务科室职责各临床、医技及行政职能科室是患者个人信息保护的责任主体。科室负责人为第一责任人。职责包括：（1）严格执行本制度及操作规程，规范本科室人员的信息处理行为；（2）负责本科室业务流程中患者个人信息收集、使用的合规性自查；（3）配合信息安全管理部门进行安全检查、事件调查及整改工作；（4）发现安全隐患或泄露事件时，立即上报并采取应急措施。2.4信息技术部门职责负责落实具体的技术防护措施：（1）负责信息系统的权限配置、访问控制策略实施及日志审计；（2）负责数据加密、脱敏、备份恢复等技术手段的部署与维护；（3）保障网络环境与终端设备的安全防护能力；（4）监测系统漏洞和异常访问行为，及时响应安全告警。第三章患者个人信息分类分级管理3.1信息分类根据患者个人信息的属性和业务场景，将其分为以下类别：（1）基础身份信息：姓名、性别、出生日期、身份证号、社会保障号码、住址、联系电话等。（2）医疗健康信息：病历、病程记录、医嘱、处方、检查检验结果、影像资料、病理报告、护理记录、手术记录、麻醉记录、出院小结等。（3）支付与金融信息：医保结算信息、自费支付记录、银行卡信息、支付密码等。（4）生物识别信息：指纹、面部识别特征、虹膜、声纹等。（5）衍生信息：基于上述信息分析得出的健康画像、疾病预测、用药偏好等。3.2信息分级根据信息泄露、篡改、丢失后对患者权益、机构声誉及社会秩序的影响程度，将患者个人信息划分为四个等级：级别定义包含内容示例保护要求4级（核心数据）一旦泄露对国家安全、公共利益或患者个人权益造成特别严重危害基因数据、传染病病原体样本数据、特殊病历（如精神病历）、未经脱敏的生物识别信息最高级别加密、严格访问控制、双人双管、禁止导出3级（重要数据）一旦泄露对患者个人权益造成严重危害，或对机构造成重大损失病历资料、检查检验详细结果、影像数据、手术记录、诊断证明、身份证号、支付账号强加密、脱敏展示、详细审计日志、审批导出2级（一般数据）一旦泄露对患者个人权益造成一定影响姓名、联系电话、现住址、常规体检基础指标、挂号信息访问控制、传输加密、基础审计1级（公开数据）可依法向社会公开或患者自愿公开的信息医院排班表、科室介绍、患者主动公开的就医评价基础防护、可用性保障3.3标签化管理信息系统应具备数据标签功能，在数据产生时自动或人工打上分类分级标签。安全技术策略应能识别标签，并根据标签自动匹配相应的加密、脱敏和访问控制策略。第四章信息收集与使用管理规范4.1收集规范（1）最小化收集：仅收集诊疗服务所必需的信息。不得强制收集与服务无关的信息（如非必要的社交账号、工作单位细节等）。（2）告知同意：在挂号、建档等环节，通过纸质或电子形式向患者出示《个人信息处理告知书》，明确告知收集目的（如诊疗、医保结算、随访）、处理方式、保存期限及联系方式。对于敏感个人信息，必须取得患者的单独同意。（3）来源合法：确保从患者本人或合法授权的监护人、代理人处直接收集。从第三方（如转院、外检）获取信息时，应核验第三方的合法性及授权范围。4.2使用规范（1）内部使用限制：医务人员仅可在授权范围内，为履行诊疗职责查阅、使用患者信息。严禁出于好奇、私利等非诊疗目的查询患者信息。（2）科研教学使用：因临床科研、教学需要使用患者数据的，必须经过伦理委员会审查。使用前必须进行去标识化或匿名化处理。确需使用未去标识化真实数据的，需经机构负责人审批，并签署保密协议。（3）质量控制使用：用于病历质控、处方点评等管理活动的，应通过去标识化处理；确需实名信息的，应在限定系统环境内进行，并实行重点监控。4.3委托处理管理（1）供应商评估：将患者个人信息处理委托给第三方（如第三方检验中心、云服务商、软件运维商）时，必须对第三方的数据安全能力和资质进行严格评估。（2）委托协议：与受托方签署法律文件，明确双方的权利义务，约定处理目的、方式、范围、期限，以及受托方的安全保护责任。禁止受托方转委托。（3）持续监督：定期对受托方进行安全审计和现场检查，监督其落实数据保护措施。第五章技术安全措施详细要求5.1身份认证与访问控制（1）强身份认证：所有涉及患者个人信息的信息系统，必须采用“用户名/口令+动态验证码/生物识别/数字证书”等多因素认证方式。禁止使用弱口令，强制实施定期更换（如每90天）策略。（2）基于角色的访问控制（RBAC）：根据业务需求定义角色（如医生、护士、技师、管理员、收费员），将权限赋予角色而非个人。权限设置遵循“最小权限原则”，仅开放完成工作所需的最小数据访问范围。（3）科室与病区隔离：实施逻辑隔离或物理隔离，一般情况下，医生仅能查看本科室或授权病区的患者信息。跨科室查阅需触发审批流程并记录。（4）特权账号管理（PAM）：对系统管理员、数据库管理员等特权账号进行严格管控。采用“三权分立”机制，将系统管理、安全保密、安全审计职责分离。特权账号操作必须全程录屏审计。5.2数据加密技术（1）传输加密：所有内部网络及外部网络传输患者个人信息时，必须使用安全协议（如HTTPS、TLS1.2/1.3、VPN、SSH等），禁止明文传输。关键数据链路应实施网络层加密。（2）存储加密：数据库加密：对3级及以上数据字段采用字段级加密（如AES-256算法）。密钥管理应独立于数据库存储，使用硬件安全模块（HSM）或密钥管理系统（KMS）进行管理。文件/存储加密：服务器、数据库、移动存储介质存储的敏感文件应采用全盘加密或文件级加密。（3）密钥管理：建立完善的密钥全生命周期管理机制，包括密钥生成、分发、存储、轮换、归档和销毁。密钥轮换周期应根据数据敏感度设定（建议核心数据密钥每年轮换）。5.3数据脱敏与去标识化技术（1）动态脱敏：在非生产环境（如开发、测试、科研、教学）或业务查询场景（如前台叫号、药房发药）中，对敏感数据进行实时遮盖。姓名：隐藏中间字符（如张三）。身份证号：隐藏出生日期段（如110101****1234）。手机号：隐藏中间四位（如138****1234）。病历详情：仅展示摘要或关键指标，隐藏详细描述。（2）静态脱敏：在数据导出、交换、备份至非安全区域前，必须进行不可逆的静态脱敏处理。（3）去标识化算法：采用符合国家标准的去标识化算法，如假名化、泛化、扰动等，确保重识别风险在可控范围内。5.4终端与移动安全（1）终端准入控制：接入内网处理患者信息的终端设备必须安装杀毒软件、补丁更新至最新，并经过准入认证。禁止未授权的外部设备接入。（2）移动设备管理（MDM）：对用于移动查房、移动护理的平板、手持终端（PDA）实施MDM管理，包括应用白名单、远程擦除、定位追踪等。（3）外设管控：禁用或严格管控USB存储设备的使用。确需导出的，必须经过审批流程，并使用加密U盘或专用加密通道。（4）截屏录屏控制：在关键业务系统界面，禁止截屏、录屏功能，或在截屏时自动添加包含操作员ID、时间的水印。5.5网络安全防护（1）区域隔离：划分核心数据区、业务服务区、办公区、互联网区等安全域。区域之间部署防火墙，实施严格的访问控制策略（ACL）。（2）入侵防御：在关键网络节点部署入侵检测/防御系统（IDS/IPS），实时监测SQL注入、XSS攻击、Webshell等恶意行为，并及时阻断。（3）数据库审计：部署数据库审计系统，对所有SQL操作语句进行记录、分析，实时发现违规查询、批量导出等异常行为。第六章全生命周期安全管理6.1存储与备份（1）数据本地化：患者个人信息原则上应存储在中华人民共和国境内。确需向境外提供的，应当通过国家网信部门的安全评估。（2）备份策略：建立完善的数据备份机制，包括全量备份和增量备份。备份数据应同样采取加密保护措施。（3）介质管理：备份数据的存储介质（磁带、硬盘、光盘）应存放在安全的物理环境（防火、防潮、防盗），并建立严格的借用归还登记制度。6.2销毁与删除（1）删除权响应：患者要求删除其个人信息的，在符合法律法规规定（如病历保存年限）且不影响医疗质量与安全的前提下，应及时删除。（2）物理销毁：存储患者个人信息的纸质病历、报废的硬盘、U盘等存储介质，在不再使用时，必须通过碎纸机粉碎、消磁、物理焚毁或专用数据擦除工具进行不可恢复的销毁处理，并双人监销、记录归档。（6.3）数字清理：在退役信息系统或服务器时，必须对存储设备进行低级格式化或多重覆写，确保数据无法被恢复。第七章安全审计与监控7.1日志记录信息系统必须记录用户的所有关键操作日志，日志内容应包括但不限于：（1）操作主体（用户ID、姓名、所属科室）；（2）操作时间（精确到秒）；（3）操作客体（患者ID、数据类型、数据量）；（4）操作类型（查询、插入、修改、删除、导出、打印）；（5）源IP地址及终端设备信息；（6）操作结果（成功/失败）。日志保存时间不得少于6个月，对于涉及敏感操作的日志建议保存3年以上。7.2行为分析部署用户实体行为分析（UEBA）系统，建立用户行为基线。对以下异常行为进行实时告警：（1）非工作时间（如深夜）批量查询患者数据；（2）短时间内高频次查询不同患者信息（爬虫特征）；（3）单次查询或导出数据量超过设定阈值；（4）从异常IP地址或非常规终端访问系统；（5）账号短时间内多次登录失败。7.3审计报告信息安全管理部门应每月生成数据安全审计报告，提交给管理层。报告应包括系统运行概况、权限变更情况、异常事件统计、违规行为分析及整改建议。第八章应急响应与事件处置8.1事件分类分级将患者个人信息安全事件分为四级：（1）特别重大事件：涉及100万人以上个人信息泄露，或核心数据泄露，造成极大社会影响。（2）重大事件：涉及10万人以上个人信息泄露，或重要数据大量泄露。（3）较大事件：涉及1万人以上个人信息泄露。（4）一般事件：涉及少量个人信息泄露，但未造成严重后果。8.2应急响应流程（1）监测与发现：通过监控告警或外部举报发现安全事件。（2）研判与定级：由安全专家小组对事件影响范围、危害程度进行初步研判和定级。（3）抑制与控制：立即采取断开网络、封禁账号、隔离受感染系统等措施，防止损失扩大。（4）根除与处置：清除恶意代码、修补漏洞、恢复受损数据。（5）恢复与复盘：恢复业务系统正常运行，并编写事件调查报告，总结经验教训，完善防护措施。8.3通报与通知发生患者个人信息泄露、篡改、丢失等安全事件时，应当立即启动应急预案，采取补救措施，并按照《个人信息保护法》规定，在72小时内通知