患者信息隐私保护管理办法

患者信息隐私保护管理办法第一章总则则第一条为进一步规范医疗机构患者信息管理，保障患者个人信息安全及隐私权益，维护医疗秩序，依据《中华人民共和国基本医疗卫生与健康促进法》、《中华人民共和国个人信息保护法》、《中华人民共和国数据安全法》、《中华人民共和国网络安全法》、《医疗机构管理条例》等相关法律法规及卫生行政部门相关规定，结合本院实际情况，制定本办法。第二条本办法所称患者信息，是指医疗机构在提供医疗卫生服务过程中，自然人的个人信息及基于诊疗活动产生的健康信息。包括但不限于患者的姓名、性别、出生日期、身份证件号码、社会保障号码、联系电话、住址、职业、婚姻状况、病历资料、检查检验结果、影像资料、诊断结果、治疗方案、用药记录、手术记录、护理记录、费用信息、生物识别信息（如指纹、人脸识别信息）、基因信息以及在其他诊疗活动中产生的能够单独或者与其他信息结合识别特定自然人的各种信息。第三条本办法适用于本院所有部门、全体员工（含正式工、合同制员工、进修人员、实习人员、规培生、返聘专家等）、外包服务人员、第三方合作机构及其人员。凡涉及患者信息的采集、存储、使用、加工、传输、提供、公开、删除等处理活动，均须遵守本办法。第四条患者信息隐私保护遵循以下基本原则：（一）合法正当原则：处理患者信息应当具有明确、合理的目的，且应当限于实现处理目的的最小范围，不得进行与诊疗活动无关的处理。（二）知情同意原则：处理患者信息应当向患者告知处理目的、处理方式、信息种类以及保存期限等，并取得患者的单独同意，法律法规规定不需取得同意的除外。（三）目的限制原则：处理患者信息应当限于实现处理目的的最小范围，不得过度收集或处理信息。（四）准确完整原则：应当采取措施确保患者信息准确、完整，并及时更新。（五）安全保障原则：应当采取必要的技术措施和管理措施，确保患者信息安全，防止信息泄露、篡改、丢失。（六）权责一致原则：各部门对其业务范围内产生的患者信息安全承担主体责任，信息的使用者对信息的使用行为承担直接责任。第五条医疗机构应当建立健全患者信息隐私保护组织体系，明确各部门及人员的职责分工，落实患者信息分级分类管理，定期开展安全风险评估和隐私保护教育培训，确保各项制度落到实处。第二章管理组织架构与职责第六条医院成立患者信息安全管理委员会（以下简称“委员会”），作为全院患者信息隐私保护工作的最高决策与领导机构。委员会由院长任主任委员，分管信息、医疗、护理的副院长任副主任委员，成员包括医务部、护理部、信息科（中心）、质控科、门诊部、住院部、财务科、医保办、后勤保障部等部门负责人。第七条委员会主要职责：（一）审议制定、修订医院患者信息隐私保护相关的规章制度、技术规范和操作流程；（二）决策患者信息安全重大事项，审定重大安全事件处置方案；（三）协调解决跨部门的患者信息安全管理问题；（四）监督检查全院患者信息隐私保护制度的执行情况；（五）组织定期召开患者信息安全工作会议，研究部署安全工作。第八条信息科（中心）作为患者信息隐私保护的日常管理和技术支撑部门，主要职责包括：（一）贯彻执行国家相关法律法规及委员会的决议；（二）制定患者信息安全技术防护策略，落实系统安全建设、运维和加固；（三）负责数据访问权限的技术控制，实施数据脱敏、加密等技术措施；（四）监控患者信息系统的运行状态，发现异常及时处置；（五）负责落实第三方合作机构的信息安全准入与监管；（六）定期开展信息系统安全漏洞扫描和渗透测试。第九条医务部、护理部负责临床、医技科室患者信息隐私保护的日常监管，主要职责包括：（一）将患者信息隐私保护纳入医疗质量管理与控制体系；（二）规范医护人员在诊疗活动中的信息录入、查阅、使用行为；（三）处理因医疗行为引发的患者信息隐私投诉与纠纷；（四）配合信息科开展临床相关的安全培训。第十条各业务科室主任、护士长是本科室患者信息隐私保护的第一责任人，负责落实医院各项规章制度，监督本科室人员严格执行本办法，定期组织科内自查，发现隐患及时上报并整改。第十一条全体员工在患者信息隐私保护方面履行以下义务：（一）严格遵守保密制度，不得泄露或非法使用患者信息；（二）妥善保管个人账号、密码及访问介质，不得转借、混用；（三）在授权范围内合规使用患者信息，不得越权操作；（四）发现患者信息泄露、丢失或存在安全风险时，立即采取补救措施并按规定报告。第三章患者信息分类分级管理第十二条根据患者信息的敏感程度和泄露后对患者权益、医疗机构声誉及社会秩序造成的影响，将患者信息由高到低划分为四个级别：绝密级、机密级、秘密级、内部级。第十三条绝密级信息：指一旦泄露将对患者人身安全、合法权益造成极其严重危害，或对医疗机构造成重大损失的信息。包括：（一）患者的身份证件号码、社会保障号码、银行账号等核心个人身份及金融信息；（二）基因检测数据、指纹、虹膜等高敏感生物识别信息；（三）涉及性病、艾滋病、精神病等特殊疾病诊疗信息；（四）涉及司法鉴定、工伤鉴定等敏感法律文书信息；（五）其他经评估确定为绝密级的信息。第十四条机密级信息：指一旦泄露将对患者隐私造成严重侵害，或对医疗机构造成较大影响的信息。包括：（一）病历摘要、病程记录、手术记录、麻醉记录、护理记录等诊疗文书；（二）检查检验报告及原始数据（如病理切片、影像数据）；（三）诊断结果、治疗方案、用药详情；（四）患者详细的家庭住址、联系电话等联系方式；（五）其他经评估确定为机密级的信息。第十五条秘密级信息：指一旦泄露可能对患者造成一般性困扰或影响的信息。包括：（一）患者的基本人口学信息（姓名、性别、出生日期）；（二）挂号信息、门诊缴费信息、住院登记信息；（三）一般的医疗咨询记录。第十六条内部级信息：指可在医院内部公开或共享，不涉及特定个人隐私的行政管理类信息或经过去标识化处理后的数据。包括：（一）用于医疗质量统计、科研分析的去标识化数据；（二）医院运营数据中不包含个人标识的部分。第十七条信息科（中心）应建立患者信息分类分级标识机制，在信息系统建设及数据治理过程中，对数据资产打上分类分级标签，并根据不同级别实施差异化的安全防护策略。第四章信息收集与录入管理第十八条收集患者信息应当遵循“最小必要”原则，仅收集与诊疗活动、费用结算、医院管理等直接相关的信息，不得强制收集与服务无关的信息。第十九条在收集患者信息前，应当通过书面或电子形式（如知情同意书、挂号须知、APP弹窗等）向患者及其监护人明确告知收集信息的目的、方式、种类、存储期限及可能的第三方共享情况，并取得患者明确同意。第二十条严禁诱导、欺骗或强迫患者提供信息。对于拒绝提供非必要信息（如非诊疗必须的营销类信息）的患者，不得以此为由拒绝提供基本医疗卫生服务。第二十一条临床科室在采集患者病历时，必须确保信息的真实性、准确性和完整性。录入电子病历时，应使用本人的工号和密码登录系统，严禁使用他人账号代录。第二十二条对于特殊类型的患者信息采集，应额外加强管控：（一）生物识别信息：采集指纹、人脸等信息用于身份核验时，应告知替代方案，不得强制唯一使用生物识别方式；生物识别信息应加密存储，并采取物理隔离措施。（二）基因信息：涉及基因检测的项目，必须单独签署专项知情同意书，明确基因数据的用途及保护措施，严禁将基因信息用于非医疗目的。第二十三条严禁在非官方渠道（如个人微信、私人邮箱、外部网盘等）收集、传输患者原始信息。如因特殊原因需使用便携式设备采集信息，必须使用医院提供的、经过加密认证的专用设备。第五章信息存储与传输安全第二十四条患者信息应当存储在中华人民共和国境内。确需向境外提供的，应当通过国家网信部门组织的安全评估，并符合其他法律法规规定。第二十五条信息科（中心）负责数据库及存储系统的安全配置与管理：（一）核心业务数据库应当部署在内网区域，与互联网实行逻辑或物理隔离；（二）对绝密级、机密级信息应当采用加密存储方式，密钥管理应符合国家密码管理相关规定；（三）建立数据备份与恢复机制，定期进行全量备份和增量备份，并定期测试备份数据的可用性。第二十六条医院内部网络应当划分安全域，不同安全域之间实施访问控制策略。严禁未经授权直接访问核心数据库。第二十七条患者信息在院内传输过程中，应当采取通道加密、数据加密等安全措施，防止传输过程中被窃听、篡改。第二十八条使用移动终端（如PDA、移动查房车）访问或传输患者信息时，必须通过VPN、安全APN等专用通道接入，且移动终端需安装终端管理软件（MDM），实施设备绑定和应用管控。第二十九条严禁将包含患者信息的未加密文件通过即时通讯工具、电子邮件等公共网络渠道传输。如确需传输，必须使用医院内部加密邮件系统或文件安全交换系统。第六章访问控制与权限管理第三十条建立严格的基于角色和最小权限的访问控制机制。根据员工的岗位职责、业务范围和专业技术职称，授予其刚好够用的信息访问权限，严禁授予超越职责范围的权限。第三十一条权限审批流程：（一）新入职员工或岗位变动员工，需由所在科室提出权限申请，经科室负责人签字、医务部/护理部审核、信息科（中心）技术复核后，方可开通或调整权限；（二）对于涉及绝密级、机密级信息的批量访问或特殊查询权限，需报请分管院领导审批；（三）临时性权限（如进修、实习）应设置明确的有效期，到期自动回收。第三十二条实施实名制账号管理。员工账号应当与人脸识别、指纹或数字证书等强身份认证手段绑定。严禁多人共用同一账号，严禁将个人账号、密码出借给他人使用。第三十三条密码管理策略：（一）密码长度不得少于10位，且必须包含大小写字母、数字及特殊符号；（二）强制要求每90天更换一次密码，且新密码不得与旧密码相同；（三）系统应具备防暴力破解机制，连续输错密码5次以上应锁定账号。第三十四条系统应当对敏感信息的访问操作实施严格管控：（一）对绝密级信息（如身份证号）的查看，系统应自动触发强制弹窗提醒，并记录详细日志；（二）在非诊疗区域（如行政办公室）访问患者信息时，系统应实施二次验证；（三）严禁具备批量导出、下载全量患者数据的功能，此类功能仅限于特定应急场景，并需经过高级别审批。第三十五条离职人员管理。员工离职、退休或调离岗位时，人力资源部门应在手续办理当日通知信息科（中心），信息科（中心）应在24小时内注销或冻结其所有系统访问权限，并审计其离职前的操作日志。第七章信息使用、共享与公开管理第三十六条患者信息的使用应当限于履行医疗职责、医院管理、科学研究、公共卫生等特定目的。严禁出于商业营销、人员招聘、非法交易等目的使用患者信息。第三十七条临床科室在诊疗过程中查阅患者信息，应遵循“亲历诊疗”原则，仅查阅本科室或本人负责诊疗的患者信息。因跨科室会诊需要查阅信息的，应通过会诊系统或申请临时授权。第三十八条科研教学使用患者信息管理：（一）利用患者信息开展临床科研、教学活动，应当经过伦理委员会审查批准；（二）原则上应使用去标识化或匿名化后的数据；（三）确需使用真实患者信息的，必须经过患者知情同意，并签署《科研数据使用保密承诺书》；（四）科研数据提取必须走专门流程，不得通过临床业务系统直接批量导出。第三十九条向第三方共享患者信息的管理：（一）向医保部门、卫健委等政府监管部门报送数据，应通过官方指定的专线或加密接口传输；（二）因转诊、会诊需要向其他医疗机构提供患者信息的，应确保接收方具备相应的安全保护能力，并通过区域卫生信息平台等正规渠道流转；（三）向保险公司、司法机构等提供患者信息，必须查验其合法的法律文书（如调查令、公函），并经医院医务部审批后，按规定提供复印件或加盖公章的证明材料，严禁直接提供原始电子病历数据。第四十条患者本人及其监护人查阅、复制病历资料，按照《医疗纠纷预防和处理条例》及医院病历管理规定执行，必须核实申请人有效身份证明，并做好查阅登记。第四十一条未经患者明确同意，严禁在医院官网、微信公众号、宣传栏、社交媒体等公开场合公开能够识别特定患者身份的信息。在典型案例宣传、手术直播等活动中，必须对患者面部、姓名、病历号等关键特征进行遮挡或模糊处理。第八章去标识化与匿名化处理第四十二条开展下列活动时，应当优先对患者信息进行去标识化或匿名化处理，使得信息主体无法被识别且识别后不能复原：（一）医疗质量统计分析、医院运营数据分析；（二）临床科研、教学培训；（三）信息系统开发、测试、演练；（四）向第三方提供数据用于非诊疗关联目的。第四十三条去标识化处理技术规范：（一）直接标识符处理：对姓名、身份证号、电话号码、住址等直接标识符进行移除或替换（如替换为“*”或伪码）；（二）准标识符处理：对出生日期、邮政编码、性别等准标识符进行泛化处理（如将具体出生日期泛化为年龄段，将详细住址泛化为区县）；（三）需确保重识别风险极低，防止通过链接多份数据重新识别出患者身份。第四十四条信息科（中心）应建立去标识化工具库或算法模型，并对去标识化效果进行评估。对于经去标识化处理后仍可能识别出特定个人的信息，应当再次进行匿名化处理或纳入敏感信息管理。第四十五条严禁在去标识化数据中保留密钥或映射表，导致可逆复原。除非经过特殊审批且在严格控制环境下进行可逆还原操作。第九章安全技术防护体系第四十六条网络安全防护：（一）部署下一代防火墙、入侵检测/防御系统（IDS/IPS），实时监测网络攻击行为；（二）在核心业务系统前端部署Web应用防火墙（WAF），防止SQL注入、XSS跨站脚本等攻击；（三）实施网络准入控制（NAC），防止未经授权的终端接入内网；（四）定期更新网络设备固件和安全补丁。第四十七条终端安全防护：（一）所有内网计算机必须安装医院统一部署的杀毒软件、终端安全管理系统和补丁分发系统；（二）严禁在内网计算机上安装与工作无关的软件，特别是游戏、聊天工具、P2P下载软件等；（三）启用USB存储设备管控功能，原则上禁用USB写入功能，特殊情况需申请审批并使用加密U盘；（四）实施屏幕水印策略，对包含敏感信息的界面显示包含操作员信息的动态水印，防止通过拍照、截图泄露信息。第四十八条数据库安全防护：（一）部署数据库审计系统，对所有SQL操作进行记录、分析和报警；（二）启用数据库加密功能，对敏感字段进行加密存储；（三）实施数据库运维双因子认证，通过堡垒机进行运维操作，严禁直接远程登录数据库服务器。第四十九条应用安全防护：（一）信息系统上线前必须进行代码安全审计和渗透测试，修复高危漏洞；（二）应用系统应具备防爬虫机制，防止恶意批量抓取数据；（三）应用系统应具备完善的会话管理机制，防止会话劫持。第五十条物理安全防护：（一）机房建设应符合国家标准，具备门禁监控、消防报警、环境监测等功能；（二）核心机房实行双人双锁管理，进出机房需登记；（三）打印、复印患者病历资料的设备应放置在监控覆盖区域内，防止资料遗落被盗。第十章应急响应与违规处理第五十一条建立患者信息安全事件应急响应机制。制定《患者信息泄露应急预案》，明确应急组织架构、响应流程、处置措施和报告路径。第五十二条发生或可能发生患者信息泄露、丢失、篡改等安全事件时，相关部门及人员应当立即采取以下补救措施：（一）立即中断信息泄露途径，断开相关网络连接；（二）封存相关设备、日志和数据，防止证据灭失；（三）评估事件影响范围和危害程度；（四）在事件发生后立即（最迟不超过24小时）向信息科（中心）及医务部报告；对于可能造成严重后果的，应立即向委员会报告。第五十三条对于涉及患者数量巨大、敏感程度高、可能造成严重社会影响的安全事件，医院应当按照国家相关规定，及时向属地卫生行政部门和公安机关报告。第五十四条违规处理：（一）对于违反本办法规定，但未造成信息泄露后果的，给予责任人通报批评、诫勉谈话、扣罚绩效等处理；（二）对于因违规操作导致患者信息泄露、丢失，造成不良社会影响或经济损失的，依据医院奖惩条例给予责任人降职、降级、待岗、解除劳动合同等处理；（三）对于故意泄露、贩卖患者信息，构成犯罪的，依法移送司法机关追究刑事责任；（四）对于外包服务人员或第三方合作机构人员违规的，依据合同条款追究其违约责任，并列入黑名单，永久禁止其进入医院服务市场。第十一章监督审计与培训第五十五条建立常态化审计监督机制。信息科（中心）安全审计组每季度对信息系统操作日志进行一次全面审计，重点检查：（一）非工作时间访问敏感数据的行为；（二）批量查询、导出数据的操作记录；（三）频繁访问非本人诊疗范围患者信息的行为；（四）登录失败次数异常的账号。第五十六条审计结果应形成书面报告，上报委员会。对于审计中发现的问题，相关部门应制定整改计划，明确整改时限和责任人，实行闭环管理。第五十七条患者信息安全管理委员会每年至少组织一次全院范围内的患者信息安全风险评估，识别新风险，调整安全策略。第五十八条建立全员教育培训机制：（一）新入职员工必须接受患者信息隐私保护岗前培训，考核合格后方可开通系统权限；（二）在职员工每年至少接受一次隐私保护专项培训，内容包括法律法规、制度流程、安全意识、操作规范等；（三）关键岗位人员（如系统管理员、数据库管理员、科研秘书）应接受更深层次的专业技能培训。第五十九条医院应当公布患者信息泄露投诉举报渠道（如电话、邮箱、意见箱），鼓励员工和患者监督举报违规行为，并对举报人信息严格保密。第十二章附则第六十条本办法所称“去标识化”，是指个人信息经过处理，使其在不借助额外信息的情况下，无法识别特定自然人的过程，但不包括处理后能复原的信息。第六十一条本办法所称“匿名化”，是指个人信息经过处理无法识别特定自然人且不能复原的过程。第六十二条本办法涉及的各类配套表格、流程图、技术规范由信息科（中心）和医务部另行制定发布。第六十三条本办法由相关职能部门负责解释。若本办法与国家新颁布的法律法规不一致，以国家法律法规为准。第六十四条本办法自发布之日起施行。原相关规定与本办法不一致的，以本办法为准。附件：1.患者信息分类分级映射表2.患者信息查阅/复制申请表3.科研数据使用保密承诺书4.患者信息外发审批表5.系统权限申请/变更/注销单附件1：患者信息分类分级映射表信息类别具体数据项示例敏感级别标识保护要求个人身份信息身份证号、护照号、驾驶证号绝密级L4强加密存储，极高权限控制，查看留痕社会保障号码（医保