2026年患者信息隐私保护管理题库

2026年患者信息隐私保护管理题库一、单项选择题（每题1分，共20分）1.根据《中华人民共和国个人信息保护法》，患者医疗健康信息属于哪一类个人信息？A.一般个人信息B.敏感个人信息C.公开个人信息D.匿名化信息答案B解析医疗健康信息属于《个人信息保护法》第28条明确列举的敏感个人信息，需取得单独同意并采取更严格的保护措施。2.医疗机构在收集患者个人信息时，应当遵循的首要原则是？A.利益最大化原则B.最小必要原则C.永久保存原则D.自由共享原则答案B解析《个人信息保护法》第6条规定，处理个人信息应当具有明确、合理的目的，并与处理目的直接相关，采取对个人权益影响最小的方式。3.患者对其病历资料中个人健康信息享有的权利不包括以下哪项？A.查阅复制权B.更正补充权C.任意删除权D.撤回同意权答案C解析患者可依法查阅、复制、更正、补充其病历资料，也可撤回同意，但不能任意删除病历。病历的保存期限和销毁有法定要求。4.电子病历系统对用户访问权限的默认设置应为？A.全员可访问所有患者病历B.最小授权原则，按岗位职责分配C.仅科主任可访问D.患者自行管理权限答案B解析电子病历访问控制应遵循最小授权原则，按岗位职责和工作需要分配权限，并定期复核。5.下列哪项行为违反患者隐私保护规定？A.在急诊抢救时口头询问患者过敏史B.在病房查房时讨论患者病情C.在电梯内与同事谈论患者确诊信息D.在医生办公室内进行病历讨论答案C解析在电梯等公共场所谈论患者确诊信息，可能导致信息被无关人员获取，违反保密义务。6.医疗机构向第三方机构提供患者个人信息用于学术研究时，以下做法正确的是？A.无需患者知情，直接提供B.对数据进行匿名化处理后提供C.收取费用后提供D.在公开网站上发布数据答案B解析用于学术研究应尽量采用匿名化数据；若涉及可识别信息，需获得患者单独同意或经伦理审查批准。7.患者信息泄露事件发生后，医疗机构应在多长时间内向主管部门报告？A.不需要报告B.48小时内C.72小时内D.30天内答案C解析《个人信息保护法》第57条规定，发生个人信息泄露时，个人信息处理者应当立即采取补救措施，并通知履行个人信息保护职责的部门和个人，通知时限通常为72小时内。8.关于患者病历的保管期限，正确的是？A.门诊病历至少保存15年，住院病历至少保存30年B.门诊病历至少保存5年，住院病历至少保存10年C.所有病历保存3年即可D.电子病历无需长期保存答案A解析根据《医疗机构病历管理规定》，门（急）诊病历至少保存15年，住院病历至少保存30年。9.关于患者隐私权与知情权的关系，以下表述正确的是？A.为保护隐私权，可以完全限制家属知情权B.患者隐私权与家属知情权发生冲突时，一律优先保护隐私权C.在不违背患者意愿的前提下，可向法定代理人或授权委托人披露必要信息D.家属可以随时查看患者全部病历答案C解析应向患者本人或其法定代理人、授权委托人披露信息；当患者无法自主表达时，按法定程序向监护人告知。10.下列哪种加密措施适合保护电子病历数据的传输安全？A.TLS/SSL加密传输B.明文FTP传输C.通过公共聊天工具发送D.压缩包密码与文件一起发送答案A解析TLS/SSL是标准的传输层加密协议，可保护数据在网络上传输过程中的机密性和完整性。11.患者出院后，病案室工作人员将废弃的病历草稿纸直接丢弃，该做法？A.正确，纸质废弃物无需特殊处理B.错误，应先进行脱敏或粉碎等销毁处理C.正确，草稿纸不属于病历D.错误，应烧毁而不是丢弃答案B解析含患者信息的纸质材料（含草稿、检验单等）须经粉碎、销毁或脱敏处理，防止被拾取造成信息泄露。12.关于患者知情同意书的签署，下列说法正确的是？A.可由医生代签B.必须由患者本人签署，特殊情况按法定程序执行C.可由护士代签D.口头同意即可，无需书面记录答案B解析知情同意书应由患者本人签署；患者无民事行为能力或限制民事行为能力时，由其法定代理人签署。13.下列哪项属于对患者信息的合理使用？A.医务人员在诊疗范围内查阅患者病历B.将患者信息用于商业保险推销C.把患者信息发布到社交网络D.为个人科研私自导出患者数据答案A解析医务人员在诊疗范围内、基于诊疗目的访问患者病历属于合理使用。14.医疗机构对患者信息进行去标识化处理后，以下说法正确的是？A.去标识化数据完全不受法律约束B.去标识化数据仍属于个人信息，需遵守相应保护规定C.去标识化即等于匿名化D.去标识化数据可以随意对外发布答案B解析去标识化后的数据仍可能通过技术手段重新识别个人，仍受个人信息保护法律约束；匿名化数据才不属于个人信息。15.医务人员在社交媒体上分享典型病例时，下列做法符合规范的是？A.隐去姓名和住院号即可B.经科室主任口头同意即可C.不暴露可识别身份的信息且获得患者书面同意D.使用患者照片但不标注姓名答案C解析即使隐去姓名，面部特征、罕见病史等仍可能识别患者，须获得患者书面同意，并尽可能进行匿名化处理。16.关于电子病历系统的审计日志，下列说法错误的是？A.应记录访问者身份、访问时间、访问内容B.审计日志应定期审查，发现异常行为C.审计日志可以随时修改或删除D.审计日志应妥善保存，防止篡改答案C解析审计日志是追踪违规访问的重要依据，应保证完整性，禁止随意修改和删除。17.医疗机构委托第三方进行信息系统维护时，以下做法错误的是？A.与第三方签订保密协议B.对第三方人员进行背景审查C.直接提供生产数据库的完整权限D.限制第三方访问范围，并全程监控答案C解析不得将生产数据全量权限直接授予第三方，应遵循最小权限原则，必要时使用脱敏数据或测试环境。18.患者信息备份数据的管理要求是？A.备份数据可以存放在任意位置B.备份数据须加密存储，并定期进行恢复演练C.备份数据无需访问控制D.备份数据保留越久越好，无需销毁答案B解析备份数据同样包含敏感信息，须加密存储、控制访问并定期演练恢复，按照保存期限要求管理。19.下列哪种行为可能导致患者隐私通过"肩窥"方式泄露？A.医生在诊室关闭房门接诊B.护士在收费窗口核对患者信息时，无关人员在旁观看屏幕C.医生在内部系统查看患者检验结果D.病案室工作人员在监控下查阅病历答案B解析在公共区域操作信息系统时，应防止无关人员从旁窥视屏幕上的患者信息，必要时使用防窥屏。20.关于患者个人信息跨境提供，以下说法正确的是？A.患者个人信息可以自由传输至境外B.需通过安全评估、取得个人单独同意或符合法律规定的其他条件C.只需机构负责人批准即可D.匿名化数据也需严格审批答案B解析《个人信息保护法》第38-40条规定了个人信息出境的合规路径，包括安全评估、认证、标准合同等。二、多项选择题（每题2分，共20分）1.下列哪些属于患者隐私保护的范畴？A.患者身份信息B.患者疾病诊断信息C.患者基因信息D.患者经济状况答案ABCD解析患者隐私涵盖身份信息、健康状况、诊疗信息、基因信息及与诊疗相关的个人敏感信息。2.根据《个人信息保护法》，处理敏感个人信息应当满足哪些条件？A.具有特定的目的和充分的必要性B.取得个人的单独同意C.采取严格保护措施D.事前进行个人信息保护影响评估答案ABCD解析《个人信息保护法》第28-29条对处理敏感个人信息提出上述全部要求。3.医疗机构发生患者信息泄露后，应采取的正确处置措施包括？A.立即采取补救措施，阻止事态扩大B.及时通知受影响的患者C.向主管部门报告D.销毁相关证据，避免追责答案ABC解析泄露事件发生后应积极补救、通知和报告，不得销毁证据，否则将承担更重的法律责任。4.下列哪些技术手段可用于保护电子病历安全？A.数据加密B.访问控制C.审计追踪D.防火墙与入侵检测答案ABCD解析以上均为保护电子病历机密性、完整性和可用性的常见技术措施。5.关于患者知情同意，以下说法正确的有？A.同意应当在患者充分知情后自愿作出B.患者有权撤回同意C.撤回同意前已进行的处理仍然有效D.同意可以采取书面、电子等形式答案ABCD解析知情同意要求知情、自愿、明确；撤回同意不影响撤回前已进行处理的合法性；形式可包括书面或电子记录。6.医务人员在以下哪些场景中应当特别注意保护患者隐私？A.床旁交接班B.学术会议病例讨论C.公共区域电话沟通病情D.手术室内核对患者信息答案ABC解析床旁交接、学术讨论、公共区域电话沟通均存在隐私泄露风险，应采取降低音量、遮挡信息、去标识化等措施。手术室内核对属于规范操作。7.以下哪些行为违反了患者隐私保护的相关规定？A.医护人员出于好奇查阅非本科室患者病历B.将患者检验报告拍照发至朋友圈C.为办理入院手续复印患者身份证件D.未经同意将患者诊疗信息提供给保险公司答案ABD解析出于好奇查阅、社交媒体传播、向第三方提供均违反规定；为办理入院复印身份证件属于正常业务流程。8.医疗机构在患者信息安全管理中应当建立哪些制度？A.信息分级分类管理制度B.访问权限管理制度C.信息安全事件应急响应制度D.员工隐私保护培训考核制度答案ABCD解析这四项制度是医疗机构信息安全管理的核心框架内容。9.对患者信息进行匿名化处理时，应当移除或脱敏的信息包括？A.姓名和身份证号B.联系电话和家庭住址C.住院号和就诊日期D.罕见的疾病诊断名称答案ABCD解析直接标识符、准标识符及罕见诊断均可能用于重识别，需要结合具体场景进行综合评估和脱敏。10.关于患者信息使用的目的限制原则，下列说法正确的有？A.信息使用目的应在收集时明确B.变更使用目的需重新取得同意C.同一信息可任意用于其他目的D.与诊疗无关的使用目的应被禁止答案ABD解析目的限制原则要求收集时明确目的、变更目的需重新同意、禁止超出合理范围的使用。三、判断题（每题1分，共20分）1.患者信息只要不公开传播，在内部共享就没有任何限制。答案错误解析内部共享也须遵循最小必要原则和岗位授权，不得越权访问。2.患者死亡后，其个人信息不再受法律保护。答案错误解析死者个人信息仍受法律保护，其近亲属可依法行使查阅、复制、更正等权利。3.电子病历系统中可以设置一段时间无操作后自动锁定屏幕。答案正确解析自动锁屏可防止医护人员离开工位时患者信息被他人窥视或误操作，是常见的安全措施。4.医务人员可以为了方便记忆，将系统密码写在便签纸上贴在显示器旁。答案错误解析明文记录密码会导致账号被盗用，增加患者信息泄露风险。5.医疗机构向患者提供病历复印服务时，应核对申请人身份并登记。答案正确解析病历复印须核验身份和授权关系，并留存登记记录，防止信息被非法获取。6.患者信息风险评估只需在系统上线前进行一次即可。答案错误解析风险评估应定期开展，并在系统重大变更或发生安全事件后及时更新。7.在紧急抢救患者生命的情况下，可以先实施抢救，事后补充完善相关记录。答案正确解析紧急救治中无法取得知情同意时，可先行救治，但事后应及时补记并说明情况。8.只要经过患者同意，其病历信息就可以无限期保存和任意使用。答案错误解析病历保存期限由法规规定，使用目的也受同意范围限制，并非无限期和任意使用。9.医疗机构应当对员工进行隐私保护培训，但无需考核。答案错误解析培训应包含考核环节，以确认员工掌握相关知识并具备执行能力。10.患者信息可以用于医疗质量控制与安全管理活动。答案正确解析在内部质量管理范围内使用患者信息属于合理使用，但仍须采取脱敏等保护措施。11.生物识别信息（如人脸、指纹）属于敏感个人信息，在医疗机构中应谨慎采集。答案正确解析生物识别信息具有唯一性和不可更换性，泄露风险极高，受严格法律保护。12.医疗机构可以将患者信息出售给医药企业用于药品研发。答案错误解析出售患者个人信息属于违法行为，无论目的如何均被禁止。13.患者在医疗机构内就诊时，陪同家属可以随意拍摄患者的病历和检查报告。答案错误解析病历和检查报告属于患者隐私，拍摄和传播须经患者本人同意并遵守医院管理规定。14.数据脱敏是指将敏感数据转换为无法直接识别个人身份的模拟数据。答案正确解析脱敏技术包括替换、遮蔽、泛化、扰动等，目的是降低数据重识别风险。15.医疗机构的信息系统运维人员可以在未授权情况下查看患者病历。答案错误解析运维人员仅能在故障排查和系统维护的必要范围内访问数据，且须经授权并留有审计记录。16.向患者发送医疗账单时，信封上不需要隐藏诊断信息。答案错误解析账单信封上的诊断信息可能被无关人员看到，应采取遮蔽或使用安全通知方式。17.患者有权要求医疗机构删除与其诊疗无关的、违规收集的个人信息。答案正确解析违反法律法规或超出目的范围收集的信息，患者有权要求删除。18.医疗机构信息安全负责人应当定期向最高管理层汇报患者隐私保护工作情况。答案正确解析隐私保护需要管理层重视和支持，定期汇报是落实责任制的必要环节。19.共享电子病历数据时，只要数据接收方也是医疗机构，就无需任何协议。答案错误解析医疗机构间共享患者信息也需签订协议，明确使用目的、范围和保护责任。20.使用患者信息进行人工智能模型训练时，原则上应使用匿名化或去标识化数据。答案正确解析AI训练应优先使用匿名化/去标识化数据；确需使用可识别数据时，须单独同意并完成安全评估。四、简答题（每题5分，共20分）1.简述《中华人民共和国个人信息保护法》规定的个人信息处理应遵循的基本原则。答案(1)合法、正当、必要原则；(2)目的明确和最小必要原则；(3)公开透明原则；(4)质量原则（信息准确、完整）；(5)安全原则（采取技术和管理措施保障安全）；(6)责任原则（落实个人信息保护责任）。2.列举医务人员日常工作中常见的5种患者隐私泄露风险场景。答案(1)在电梯、走廊等公共场所讨论患者病情；(2)在公共区域操作电脑时未锁屏，被无关人员窥视；(3)将含患者信息的纸张随意丢弃或带出医院；(4)通过微信等非安全渠道传输患者检验报告；(5)出于好奇越权查阅非本科室患者病历；(6)未经脱敏处理使用患者数据用于教学或科研展示。3.简述医疗机构应如何对员工开展患者隐私保护培训。答案(1)新员工入职时进行隐私保护基础培训；(2)在岗人员定期参加继续教育和更新培训；(3)培训内容覆盖法律法规、院内制度、操作流程和应急处置；(4)培训后进行考核，考核成绩存档并纳入绩效管理；(5)对高风险岗位（如病案、信息、客服）开展专项培训。4.什么是"最小必要原则"？在患者信息收集中如何落实？答案"最小必要原则"指处理个人信息应限于实现目的所必需的最小范围、最少频率和最短时间。落实方式：(1)收集信息时只收集与诊疗直接相关的项目；(2)不收集与诊疗目的无关的敏感信息；(3)控制信息访问权限，按岗位职责分配；(4)信息保存期限以法定时限和业务需要为限；(5)定期审查并删除超范围收集的信息。五、案例分析题（每题10分，共20分）1.某三甲医院护士王某，利用工作便利在电子病历系统中查阅了200余名患者的病历信息，并将其中50名患者的姓名、诊断、联系方式等信息通过微信发送给某保险公司业务员，获利2万元。请分析：(1)王某违反了哪些法律规定？(2)该医院在管理上存在哪些漏洞？(3)医院应采取哪些整改措施？答案：(1)王某的行为违反了《个人信息保护法》《医师法》《护士条例》《医疗机构病历管理规定》等。具体包括：超出诊疗目的收集患者个人信息，违反最小必要原则；向第三方非法提供患者敏感个人信息，未取得患者单独同意；出售患者信息牟利，涉嫌构成侵犯公民个人信息罪。(2)管理漏洞：电子病历系统缺乏异常访问监控和预警机制；审计日志未定期审查；员工权限过大且未按岗位