医疗影像、检验资料调取使用保密管理学习

医疗影像、检验资料调取使用保密管理学习《个人信息保护法》·《数据安全法》·《医师法》·《民法典》培训对象：全体医务人员保密培训·2024年度培训内容导览01法规红线不可触碰法律高压线梳理与违规后果02制度规范全流程管控调取使用审批与分级管理03案例警示前车之鉴真实案例剖析与教训总结04行为底线日常守则操作禁令与责任落实法规红线不可触碰法律是底线，触碰即出局梳理医疗数据保密核心法律法规，明确违规的法律后果与执业风险01法律是底线，触碰即出局医疗数据保密法律法规全景图医疗数据保密已形成法律—行政法规—部门规章—规范性文件四级监管体系医疗数据保密法律法规层级一览层级法规名称核心条款法律《个人信息保护法》第28条：医疗信息属敏感个人信息《数据安全法》数据分级保护制度《民法典》第1226条：医疗保密义务《刑法》第253条之一：侵犯公民个人信息罪《医师法》第23条、第56条：医师保密义务规章《医疗机构病历管理规定》第17-18条：调取主体与要件规范性文件五部门管理办法（2026）十项禁止、三级分类刑法第253条：侵犯公民个人信息罪情节严重三年以下有期徒刑或拘役，并处或单处罚金情节特别严重三年以上七年以下有期徒刑，并处罚金履职中获取信息违规从重处罚刑事追责门槛获利

5000元

以上即可能触发刑事追责；单位犯罪的，对单位判处罚金，并追究直接责任人员刑事责任医疗数据不是普通信息是受刑法特别保护的高度敏感信息民法典：隐私权与侵权责任泄露患者隐私即构成侵权责任，须承担民事赔偿责任认定泄露患者隐私或未经同意公开病历资料→构成侵权责任赔偿范围停止侵害、赔礼道歉、消除影响、赔偿精神损害抚慰金时效特殊此类请求权不受诉讼时效限制，患者可随时主张权利民事赔偿没有金额上限，精神损害赔偿由法院根据损害程度酌定个人信息保护法：敏感信息的单独同意医疗健康信息须单独书面同意，禁止一揽子授权法律依据第28条定性——医疗健康信息属于敏感个人信息，处理须具有特定目的和充分必要性操作规则必须取得单独同意禁止格式条款"一揽子"打包授权须告知处理的必要性及对个人的影响患者权利有权查阅、复制有权要求更正、删除违规处理可向相关部门投诉举报诊室里随口答应不算有效授权，必须有明确的书面同意医师法：执业风险与处罚阶梯第56条处罚阶梯：警告罚款→暂停执业→吊销证书，三档递进处罚阶梯对照表情节处罚措施一般警告，没收违法所得，罚款

1万元至3万元严重责令暂停

6个月至1年

执业活动特别严重吊销医师执业证书第23条义务医师执业活动中须依法保护患者隐私和个人信息系统留痕操作日志留存永久记录，即使未被患者发现亦可追溯执业资格是医师最宝贵的资产，一次泄密足以毁掉多年积累基本医疗卫生与健康促进法：机构责任机构与个人双重追责，没有任何人可以置身事外机构义务第33条：医疗机构应尊重患者并保护患者隐私第92条：禁止非法收集、使用、传输患者个人信息机构处罚第101条：信息安全制度不健全导致泄露责令改正、警告，并处1万元至5万元罚款个人处罚第102条：泄露患者隐私警告、罚款；情节严重责令停止执业活动对直接负责的主管人员和其他直接责任人员依法追究法律责任2026年五部门管理办法：核心制度医疗数据安全从原则倡导迈向刚性制度约束五部门联合印发·七章四十条·2026年2月14日三级数据分级级别范围典型示例核心数据高度敏感，严格管控基因信息、传染病史重要数据机构运营关键数据—一般数据常规管理数据—十项禁止（摘录）微信、网盘传输不得通过微信、网盘等传输病历数据向保险公司提供不得向保险公司提供可识别个人数据上传境外云平台不得上传境外云平台商用密码强制保护核心数据48小时内上报泄露事件最高罚1000万元或吊销执业许可14部门纠风新规：数据安全首次单列2025年一句话带过边缘提及监管层级2026年独立成项单列重点任务全面升格五大监管红线全流程监管覆盖采集、存储、使用、传输、销毁各环节审查与追溯每次调用须有审批记录，可追溯到人严禁三类操作泄露、倒卖、非授权使用遏制数据牟利首次在纠风文件中明确此概念重点打击以科研名义变相"带金销售"执法基调：严的纪律、严的措施、严的氛围VS违规后果全景图：行政、民事、刑事三维追责追责维度责任主体主要后果典型案例处罚行政处罚个人/机构警告、罚款

1万-5万、暂停执业、吊销执照检验师微信群发检查单被罚

1.5万元民事赔偿个人/机构停止侵害、赔礼道歉、精神损害赔偿儿媳调取病历案赔偿

8000元刑事追责个人有期徒刑、罚金、没收违法所得统方案主犯获刑

3年一次违规，三重追责，后果叠加，互不替代制度规范全流程管控制度是防火墙，流程是安全锁掌握医疗影像与检验资料调取使用的分级权限、审批流程与技术要求02制度是防火墙，流程是安全锁数据分级管理：三级分类标准不是所有数据保护等级相同，必须分级施策、区别对待数据分级管理标准数据级别数据范围保护要求核心数据基因信息、传染病史、精神疾病记录、身份证号物理隔离存储、双因子认证、商用密码加密重要数据检验报告、影像资料、诊断结论、手术记录严格访问控制、全流程操作日志、加密传输一般数据就诊时间、科室信息、挂号记录常规管理、身份认证、定期审计

核心数据须最高级别管控调取主体资格与审批要件只有法定主体才有权申请调取病历资料，医院须严格审查申请主体与必须提供材料申请主体必须提供材料患者本人有效身份证明患者代理人双方有效身份证明+授权委托书+代理关系证明死亡患者法定继承人死亡证明+继承人有效身份证明+继承关系证明继承人代理人继承人全套材料+代理人身份证明+代理关系证明公安/司法机关调取令或协助调查函保险公司患者本人书面同意授权注意：非患者本人调取，须提供完整授权链条材料权限分级与最小可用原则遵循最小可用原则：按岗位职责、角色任务、使用需求，明确分级访问权限与时限角色权限分级主治医师本人负责患者的全部诊疗数据会诊医师被邀请会诊患者的相关数据，仅限会诊所需行政人员统计脱敏数据，禁止接触原始病历行为禁令与审计严禁未经授权查阅、复制、传播或篡改病历信息严禁越权查询利用权限查询亲友、同事、公众人物的非本人负责患者信息审计要求权限变更须审批，系统自动生成变更审计日志，保存至少3年电子病历全流程可追溯操作留痕·全程追溯·责任到人技术保障数字水印确保使用过程留痕关键操作实施双人复核，记录归档保存流程管控共享须有严格授权机制与审批流程接收外单位信息须验证合法性、完整性、安全性时限要求操作日志留存不少于3年重要操作建议长期保存系统不知道你是谁，但系统知道谁做了什么技术防护措施：加密、脱敏、审计制度管人，技术管数据，两者缺一不可数据加密电子病历加密存储网络传输采用国密SM4算法淘汰弱加密协议匿名化处理科研教学使用前须彻底脱敏去除姓名、身份证号、住院号等标识，不得反向定位个人脱敏规则须经伦理委员会审批访问控制实行"角色-权限-行为"三维管控模型核心数据访问须双因子动态认证审计追踪部署全链路审计系统，覆盖数据采集、传输、存储、销毁全生命周期支持区块链存证，审计证据上链周期可达10年以上涉及患者隐私字段自动加密处理外部服务商与第三方管理数据出了院门，监管不能断线准入管控保密协议签订保密协议与授权协议访问限定限定访问范围、目的、期限资质认证第三方须具备等保三级认证过程监管全程监督接受医疗机构全程监督存储禁令核心数据禁止存储境外服务器数据脱敏原始患者数据禁止直接提供，须脱敏技术管控数据接口安全审查，敏感参数加密传输技术红线：API调用单日不超过

1000

次应急响应与泄露处置流程处置速度决定损害程度2小时内启动应急程序涉密数据泄露立即响应，封存涉及人员信息48小时内上报主管部门启动分级定级和等保合规处置72小时内完成影响评估无关人员禁止访问、浏览、记录、转发涉事数据；首小时完成舆情通报，建立危机公关机制；事后进行根因分析和制度漏洞修补，防止同类事件再次发生瞒报比泄露本身更危险，48小时是底线科研教学与数据使用规范学术目的

≠

隐私豁免科研使用核心禁令须取得患者书面授权，明确期限、范围、目的操作要求数据须彻底脱敏，禁止反向定位个人教学使用核心禁令实习/进修人员须先培训；权限时限不得超培训范围操作要求案例须去除全部可识别信息拍摄记录核心禁令未经书面同意，严禁拍摄手术过程、隐私部位、面容操作要求禁止用于教学展示或社交分享2026年纠风新规重点打击：借第三方以科研名义变相实施"带金销售"；医疗机构须建立科研数据使用伦理审查机制案例警示前车之鉴每一个案例都是一面镜子剖析典型违规案例，从他人教训中看清自身风险03每一个案例都是一面镜子案例一：儿媳私自调取公公病历认定责任王某与某医院共同侵权书面赔礼道歉共同赔偿精神损害抚慰金8000元互担连带责任病历资料属敏感个人信息兼私密信息，处理须取得本人单独同意医院审查义务仅凭非患者本人身份证明即提供病历，未尽法定审查义务，构成过错授权不可替代即使申请人与患者存在亲属关系，也不能替代书面授权委托书案例二：医生为私事擅自复制病历私怨医生王某与患者江某存在私人矛盾私复制利用工作便利私自复制江某门诊病历私提交将病历提交法院作为证据处罚结果警告医院给予警告处分罚款15000元依法处以罚款责令改正责令立即改正违法行为制度缺陷培训不到位依法执业培训未落实审核缺失病历审核制度未执行管理失职管理部门存在失职行为穿白大褂不等于有特权，利用职务之便调取病历同样是违法VS案例三：检验师微信群发检查申请单违规发送检验师陈某为核实缴费，将含患者姓名、诊断等完整信息的HPV检查申请单照片发至医院微信工作群紧急处置发现无法撤回，当日紧急解散该微信群脱敏要求即使群内全是同事，也禁止发送原始病历照片，发送前须彻底脱敏，去除姓名、住院号等全部可识别信息处罚结果15000元罚款金额警告法规依据：《基本医疗卫生与健康促进法》第33条、《医疗纠纷预防和处理条例》第9条工作群不是法外之地禁止发送原始病历照片，发送前须彻底脱敏，去除姓名、住院号等全部可识别信息群聊记录=呈堂证据微信群聊记录可成为法律证据，解散群聊不能消除已发生的违规事实案例四：医生社交平台发患者私密照传播后果1.5亿次微博阅读603万次百度阅读极坏社会影响处罚结果警告13000元罚款6个月暂停执业一次随手发布，毁掉的是患者的尊严和医生的职业生涯案例五：前台员工窃取9900条孕产妇信息深层漏洞未建立员工授权管理制度未明确患者信息使用权限未对信息加密处理9900余条窃取信息近两年持续时长整改措施签订保密协议去标识化处理11000元罚款刑事拘留李某内部人员作案，技术防线失效，唯有制度授权与过程审计能补位案例六：门诊科长出售统方数据20.4万元违法所得6.8万元个人实得2年刑期刑事责任非法获取计算机信息系统数据罪有期徒刑2年，罚金8000元，没收违法所得6.8万元政务处分开除党籍撤职解除劳动关系出售统方数据获利5000元以上即触发刑事追责——执业资格、工作、党籍、自由全部丧失案例七：封存病历违法启封违反封存启封程序，直接推定医疗机构有过错封存患者李某家属提出疑问，双方共同封存首次住院全部病历擅拆医院工作人员未通知患方到场，擅自拆封复印后交至医学会推定过错法院认定病历真实性完整性无法保障，直接推定医疗机构有过错违规操作单方擅自拆封复印未通知患方到场正确做法医患双方在场共同启封任何一方不得单独操作民事赔偿责任医院承担无法通过司法鉴定确定过错封存、启封病历资料，必须在医患双方在场的情况下进行VS案例八：湖北统方团伙案与罗平医院泄露案2万元罚单金额不巨，但打破了"隐私泄露是小事"的行业侥幸湖北统方案·刑事重判2025年，某医院运维人员出售"统方"数据团伙获利

36万元主犯被判

3年有期徒刑罗平医院案·行政处罚2026年3月，罗平县人民医院泄露患者隐私及个人信息被处警告、罚款

2万元14部门联合执法全链条系统治理从2025年"单点治理"升级为2026年"全链条系统治理"，覆盖购销、服务、财税、数据、医保全监管节点案例警示总结：违规代价速查表违规行为涉及案例处罚结果责任类型批量窃取出售患者数据案例五、六、八2-3年有期徒刑刑事责任社交软件传播患者信息案例三、四罚款1.3-1.5万元/暂停执业6个月行政+执业责任机构泄露患者隐私案例九警告、罚款2万元行政责任未经授权调取他人病历案例一、二共同赔偿8000元/医院罚款1.5万元民事+行政责任违反病历管理程序案例七推定过错，承担民事赔偿民事责任每一个案例都是前车之鉴，违规代价远超想象行为底线日常守则守住底线，就是守住职业生涯明确日常操作禁令，落实岗位保密责任04守住底线，就是守住职业生涯五大日常行为禁令一条都不能碰禁令一·社交媒体泄露禁止将病历、检验报告、影像资料发布至个人社交媒体。即使隐去姓名，住院号、条形码等仍可被关联识别禁令二·公共区域讨论禁止在电梯、食堂、走廊等公共区域讨论患者病情。讨论请回办公室并关上门禁令三·越权查询留痕禁止利用HIS系统权限查询非本人负责患者病历。操作日志会留下永久记录禁令四·私人存储外传禁止使用私人U盘、网盘、云笔记存储医疗数据。脱敏前数据不得上传至个人云盘、邮箱、微信文件传输助手禁令五·擅自拍摄传播禁止未经患者书面同意对隐私部位、面容拍摄，不得将影像用于教学、展示或社交分享三个日常习惯习惯形成自然，自然就是最好的防护习惯一：离室锁屏离开诊室、护士站、办公室时，立即按

Win+L

锁定电脑防止他人翻阅操作，避免数据被动泄露习惯二：纸质入柜病历、检查单随手收入

专用上锁柜避免被患者或无关人员看到；废弃纸张入

碎纸机，禁止直投普通垃圾桶习惯三：废纸粉碎废弃打印纸、检验单投入

碎纸机

或保密回收袋禁止直接扔进普通垃圾桶三个"不传"与三个"主动"三个"不传"不传微信群即使群内全是同事，也不能发送原始病历照片不传微信私聊截图发同事请教前，务必先彻底脱敏不传外部人员家属、律师、保险人员调取信息须提供有效授权三个"主动"主动学习《保守国家秘密法》《个人信息保护法》纳入科室业务学习主动提醒看到同事准备拍照病历、在公共区域讨论，温和劝阻主动报告发现系统异常查询、可疑批量导出病