各科室落实患者隐私保护主体责任专题培训

专题培训各科室落实患者隐私保护主体责任专题培训法规解读·责任落实·操作规范·案例警示培训时间：2026年8月培训导览01法规红线患者隐私保护的法律政策全景02责任体系四级责任架构与各科室主体责任03操作规范全流程全岗位隐私保护操作标准04案例警示典型违规案例与法律后果剖析05长效机制培训考核、监督问责与持续改进法规红线法律是底线，合规是责任从五大法律到2026年新规，全面把握患者隐私保护的法律政策要求01五大法律构筑保护体系五部法律形成从民事到行政、从个人到数据、从实体到网络的全方位保护体系《民法典》第1226条医疗机构及医务人员须对患者隐私和个人信息保密，泄露或未经同意公开病历资料须承担侵权责任《个人信息保护法》将医疗健康信息列为敏感个人信息，要求取得个人单独同意方可处理《数据安全法》明确数据处理者的安全保护义务，要求建立全流程数据安全管理制度《基本医疗卫生与健康促进法》规定医疗机构应尊重患者人格尊严，保护患者隐私《网络安全法》要求采取技术措施保障网络运行安全，防止医疗数据泄露从民事到行政、从个人到数据、从实体到网络六项核心保护原则合法正当原则处理患者信息必须具有合法目的，采取正当方式，在法律法规允许范围内进行最小必要原则仅收集与诊疗、科研、管理直接相关的最少信息，不得过度收集知情同意原则收集前须向患者明确告知目的、方式、范围及存储期限，获得明确授权目的限制原则信息使用不得超出告知范围，变更用途须再次获得患者同意安全保密原则采取技术与管理措施，确保患者信息免受泄露、丢失、篡改或滥用权责一致原则坚持谁主管、谁负责，谁使用、谁负责，谁经手、谁负责的责任体系患者隐私信息界定范围基础身份关联信息姓名、身份证号、社保卡号、医保卡号联系方式、家庭住址、婚姻生育状况生物识别信息：人脸、指纹、声纹、虹膜、基因序列等诊疗核心信息门诊/住院病历、手术/麻醉记录、护理记录检查检验报告、影像资料、诊断结论、治疗方案精神疾病、传染病、生殖健康、遗传病等特殊诊疗记录延伸关联信息医疗支付明细、医保商保理赔信息可穿戴设备健康监测数据、就诊轨迹临床科研关联信息、公共卫生流调信息其他敏感信息宗教信仰、民族、性取向与诊疗相关的家庭关系、社会活动轨迹三级分类分级管理信息分级决定保护力度，核心信息匹配最高防护一级·核心敏感人类遗传资源、全基因组测序HIV/烈性传染病/精神疾病/性传播疾病等高歧视风险诊疗信息最高级别保护，严格限制知悉范围，加密等级最高二级·重要敏感门诊/住院完整病历、手术/麻醉/介入治疗记录生殖健康/人工辅助生殖记录严格安全措施，访问需双因子认证，操作全程留痕三级·一般敏感常规体检报告、门诊预约记录脱敏后统计数据基本隐私保护原则，权限分级管理特殊说明与适用场景一级全覆盖14周岁以下未成年人、残障人士、涉案人员、公众人物全部医疗信息归入此级二级留痕常规诊疗中的病历资料、检查检验报告，双因子认证+全程留痕三级脱敏行政统计、科研教学等非直接诊疗场景2026年重磅新规解读施行时间2026年8月1日有效期

至2031年7月31日上位法

《医师法》第五十六条1万—3万元一般·罚款6个月—1年较重·暂停执业吊销执业证书严重核心突破情节严重首次量化分级四档明确处罚标准，填补长期监管空白亡故者信息纳入保护打破"人去世后信息无需保护"的认知误区监管信号上海地方性规范释放全国医疗行业从严打击信息泄露的明确趋势五部门联合发文与数据管控要求国家卫健委、中医药局、疾控局等

五部门

联合发文，覆盖

所有医疗机构

，全流程严管患者健康隐私、病历、体检、流调数据核心要求数据分级防护核心数据与重要数据实行

两套防护标准

，缺一不可传输高压线严禁

通过微信、私人邮箱明文传输患者病历权限与留痕全员

最小权限

操作，操作日志留存至少

3年数据泄露

48小时内

必须上报主管部门；科研教学必须彻底脱敏，不能反向定位个人；分级定级、等保合规、脱敏审计、异常行为监测同步推进知情同意权与病历管理《民法典》第1219条诊疗说明义务向患者说明病情和医疗措施；手术、特殊检查、特殊治疗须说明医疗风险、替代方案，并取得明确同意近亲属替代同意不能或不宜向患者说明时，应向近亲属说明并取得明确同意未尽义务赔偿未尽说明义务造成损害的，医疗机构承担赔偿责任《民法典》第1225条/第1222条填写保管义务按规定填写并妥善保管病历资料查阅复制权利患者要求查阅、复制病历的，医疗机构应及时提供过错推定条款隐匿、拒绝提供、遗失、伪造、篡改、违法销毁病历资料的，推定医疗机构有过错合规管理是医疗机构的法律底线医疗损害责任与免责边界权利与义务对等，责任与免责分明过错责任认定违规检查违反诊疗规范实施不必要检查，承担侵权责任隐私泄露泄露隐私或擅自公开病历资料，承担侵权责任《民法典》第1218条—诊疗过错致损害，医疗机构承担赔偿责任免责情形患者不配合诊疗患者或近亲属不配合诊疗，医疗机构无过错紧急抢救生命垂危已尽合理诊疗义务医疗水平限制限于当时水平难以诊疗医务人员权益干扰医疗秩序、妨碍工作生活者依法担责责任体系谁主管谁负责，谁使用谁负责，谁经手谁负责构建医院—职能部门—科室—岗位四级责任体系，压实各科室主体责任02四级责任体系总览医院隐私保护委员会院长任主任，分管医疗、信息、法务副院长任副主任审定战略规划与重大制度，协调重大安全事件，监督全院执行职能部门医务科、信息科、护理部、质控办、医患关系办公室、伦理委员会各司其职制定专项制度、实施技术防护、组织培训、受理投诉科室第一责任人各科室负责人为本科室第一责任人，指定兼职隐私保护联络员建立内部管理细则，负责数据权限的申请、复核与日常监督岗位个人全员入职签署《患者隐私保密承诺书》日常工作中严格遵守隐私保护操作规范各科室负责人第一责任内涵科主任是第一道防线，态度决定科室隐私保护水平制度落地组织本科室人员学习隐私保护制度，将制度要求嵌入日常诊疗流程行为监督监督日常工作中的隐私保护行为，及时发现并纠正违规操作资料管理管理纸质病历、检查报告、影像资料的存放与归档，确保不遗失、不外泄权限审核审核本科室人员的数据访问权限申请，确保权限分配符合最小必要原则违规报告发现疑似违规行为第一时间向上级报告，保护现场证据，配合调查处理职能部门分工与协作六大部门各司其职、协同联动，构建患者隐私保护责任网络医务科诊疗环节日常管理监督"一医一患一诊室"审核信息查阅合规性信息科技术防护实施访问控制与加密安全评估与异常监测护理部护理操作督导记录规范管理患者身体隐私遮蔽质控办纳入质量考核定期抽查执行违规扣分督促整改医患关系办公室受理隐私投诉组织调查反馈分析数据提出改进伦理委员会科研项目审查新技术应用评估确保最小必要原则数据保护官与隐私影响评估数据保护官（DPO）设置要求≥300床：专职DPO必须设置专职DPO，不得由信息中心主任或医务部主任兼任，确保独立性＜300床：外部聘任可聘任外部DPO，但须备案直接汇报关系DPO直接向隐私保护委员会汇报，对全院数据安全负专业责任隐私影响评估（PIA）机制DPO牵头多部门协作临床科室、信息科、设备科、供应链、第三方厂商各派一名接口人红黄蓝三级评分评估隐私风险等级报告保存≥15年评估报告保存不少于15年，确保可追溯前置强制评估所有新上系统、新业务流程、新合作协议启动前，必须先通过PIA评估员工个人隐私保护责任六条责任链，从入职到离职全周期覆盖准入与边界入职承诺入职须签署《患者隐私保密承诺书》，明确违规后果知情范围限制仅因本职工作需要接触信息，不得超职责范围获取、查阅行为约束保密义务持续在职期间及离职后，对患者隐私仍负保密义务禁止行为不得私自拍摄、复制、转发患者信息；不得在社交媒体讨论病情闭环与后果报告义务发现泄露风险或违规行为，须立即向上级或隐私保护办公室报告法律责任违反保密义务将面临行政处罚、民事赔偿，情节严重追究刑事责任隐私保护联络员制度打通责任体系落地的"最后一公里"设置要求指定兼职联络员每个临床、医技及职能科室指定至少一名专项培训须经专项培训，熟悉制度与操作流程备案更新名单报隐私保护办公室备案，变动及时更新核心职责01制度落实协助科室负责人开展内部培训02权限管控日常复核数据访问权限，异常及时上报03沟通桥梁传达政策要求，反馈执行问题04应急响应参与安全事件处置，协助保护现场证据05质控配合定期收集工作数据，配合检查让隐私保护责任在科室层面有人管、有人问、有人盯操作规范最小必要是原则，全程留痕是保障覆盖数据全生命周期的操作规范与各岗位专项保密要求03数据全生命周期管理框架任何一个环节出问题都可能造成隐私泄露五个环节环环相扣，任何一个环节出问题都可能造成隐私泄露采集仅收集诊疗必需信息，主动告知使用范围，获得知情同意存储电子数据加密存储，纸质病案专柜上锁，非授权不得翻阅使用最小必要原则，谁使用谁负责，仅限院内诊疗结算传输院内走内部办公平台，跨机构走加密专线，杜绝公网传输销毁纸质病历粉碎销毁，淘汰设备数据清除，严禁自行变卖丢弃数据采集环节操作规范"

最小必要是原则，知情同意是前提，全程留痕是保障

"核心原则：最小必要·知情同意·全程留痕明确收集范围根据诊疗需求确定必须收集的数据类型，避免过度收集挂号仅收集姓名、年龄、联系方式等基本信息，不得索要无关隐私住院按需收集必要病史，尊重患者合理隐私诉求获取知情同意向患者或监护人提供知情同意书，通俗说明收集范围、用途、存储方式确认患者充分理解后签署书面同意书未成年人或无民事行为能力者须由法定代理人签署数据登记与核验录入医疗信息系统，核对数据完整性数据即时加密存储，纸质材料存入带锁档案柜建立数据台账，确保来源可追溯、责任可定位紧急情况下无法获取同意的，须记录紧急原因及救治过程，事后补充说明数据存储与访问控制规范电子数据存储加密存储P3级以上采用国密SM4+量子密钥双重加密审计开启数据库审计功能全开启，访问日志保存不少于3年备份策略每日增量+每周全量备份，异地存储并定期恢复测试纸质病案管理专柜上锁非病案人员不得随意翻阅统一销毁废弃单据统一收集，送至指定地点粉碎销毁借阅审批登记审批，禁止私自带出病案室访问权限管理最小权限医生限本组患者，护士限护理所需定期审查申请审批，离职即时回收，每季度定期审查敏感审批批量导出等敏感操作须经科室负责人书面审批数据使用与传输环节规范使用环节规范仅限院内诊疗、结算工作使用，不得挪作他用脱敏处理科研教学须去除姓名、身份证号、联系方式等可识别信息审批签署提交《医疗数据使用申请表》，经隐私保护委员会审批后签署责任书归还销毁使用完成后及时归还或销毁相关数据副本传输环节规范内部平台院内交换使用内部办公平台，严禁通过微信、QQ、短信等社交软件发送加密专线跨机构数据对接走加密专线，杜绝公网传输敏感医疗数据禁止私用禁止使用私人U盘、私人邮箱传输医疗敏感数据确认留痕传输完成后确认接收方已成功接收，做好传输记录医护岗位专项保密要求最小必要是原则，全程留痕是保障接诊与查房严格执行“一医一患一诊室”，避免在公共区域大声谈论患者病情病房内不随意透露患者诊断、病史，尽量减少非必要人员在场诊疗与病历为异性患者进行涉及隐私部位的诊查治疗时，须安排同性别第三者在场诊疗完成后及时关闭病历界面，离开工作站立即退出HIS系统、锁屏电脑交流与教学不向无关人员透露患者诊断、病史，不向亲友提供患者信息涉及患者隐私的参观、学习活动，须征得患者本人同意并告知学习内容收费、病案与行政岗位保密要求最小必要是原则，全程留痕是保障收费/医保岗妥善保管缴费单据、证件复印件业务办结及时回收作废单据收费窗口设置一米线物理隔离保护隐私严禁泄露医保报销与收支明细禁止向第三方泄露病案岗借阅严格执行登记审批不私自带出、限时归还作废资料统一粉碎销毁病案室限制非工作人员进入行政/宣传岗发布素材隐去全部隐私信息姓名、住院号等未经书面同意不得使用诊疗影像病例故事需授权数据统计须脱敏处理对外信息多方审核业务办结即清痕，信息不外流信息科技术防护要求六大技术防线，筑牢数据安全屏障权限分级医护一人一账号，一人一密码严禁共用外借日志留存操作自动留痕，含操作人、时间、IP、操作类型不可篡改数据加密传输存储全程加密P3级以上采用国密SM4加密备份管理备份介质加密存放异地存储距主场地≥20公里，定期恢复测试异常监测部署安全审计系统高频查询、非工时登录实时预警终端安全工作站及移动终端安装防病毒软件定期升级与漏洞修补六项核心行为禁令禁令一·手机拍摄传播禁止手机拍摄病历、胶片发工作群、朋友圈典型场景：查房拍照发群讨论、朋友圈晒"罕见病例"风险后果：患者隐私大范围泄露禁令二·违规查询调取禁止利用工作便利查询亲友、熟人就诊记录典型场景：替熟人"顺便看看"检查结果风险后果：违规调取无关患者数据禁令三·废弃单据随意丢弃禁止废弃单据、过期病历随意丢弃典型场景：未粉碎直接扔垃圾桶风险后果：被他人捡拾窃取患者信息禁令四·私自批量导出禁止未经审批私自拷贝、导出批量患者数据典型场景：U盘拷贝数据回家分析、科室间"共享"名单风险后果：数据用于非工作用途禁令五·离岗不锁屏禁止离岗不退出系统、不锁屏典型场景：临时离开工位、交接班未退出账号风险后果：他人恶意翻阅、导出医疗数据禁令六·售卖患者信息禁止向第三方、中介机构售卖、提供患者信息典型场景：将患者名单卖给保险、医药代表风险后果：触犯法律红线违反任何一条，将依据院内制度严肃处理，情节严重者移送司法机关检查与隐私保护操作规范最小必要暴露，全程知情同意检查前沟通与准备检查前准备向患者说明检查目的、过程及暴露程度，取得理解与配合检查后信息管理检查结果管理纸质报告及时归档，影像学胶片交由患者或其指定家属保管团体体检设置独立报告领取区域，专人核对身份，异常结果由专业人员当面告知检查过程防护隐私部位检查异性患者涉及隐私部位检查时，须安排同性别医务人员在场身体遮蔽尽量减少患者身体暴露，检查完毕及时协助遮挡检查室管理拉帘或关闭检查室门，悬挂"检查中，请稍候"提醒标牌案例警示以案为鉴，警钟长鸣从警告罚款到吊销证书、刑事追责，真实案例揭示违规代价04处罚标准四级量化阶梯泄露1条与10条，代价天壤之别——从万元罚款到永久禁业第一档·情节较轻触发条件初次泄露1至5名非亡故患者隐私处罚标准警告、没收违法所得、罚款1万至2万元典型案例医师为帮助朋友离婚，私自调取女方病历转发，被罚11200元第二档·情节中等触发条件初次泄露6至10名非亡故患者隐私处罚标准警告、没收违法所得、罚款2万至3万元典型案例医师拍摄未成年人住院病历微信传播，被罚24000元并暂停执业一年第三档·情节严重触发条件泄露10条以上患者隐私；泄露亡故者信息；累犯一次处罚标准罚款3万元，暂停执业六个月至一年典型案例—第四档·情节特别严重触发条件同时存在第三档两种以上情形；累犯两次以上；其他从重情节处罚标准罚款3万元，吊销医师执业证书，永久失去行医资格典型案例—罚款上限3万元·暂停执业最长1年·累犯即入重档·最高代价永久吊销典型案例：实习护士晒手术照事件经过（2026年8月）涉事人员：实习护士到岗不满两月违规行为：朋友圈发6张手术照未打码信息泄露：评论区透露患者患乙肝传播后果：截图引发全网热议处理结果专项调查组：院方立即成立零容忍：声明对泄露隐私零容忍依规处理：与学校沟通严肃处理广泛讨论：引发实习生管理热议深度反思表面是个别实习生行为失范，深层暴露系统性漏洞制度防线：是否明文禁止带手机入手术室？教育闭环：指导老师是否充分隐私教育？管理盲区：新人岗前培训与监督是否到位？典型案例：手术教学直播间泄隐私事件经过（2026年2月）直播教学陕西中医药大学附属医院妇二科通过微信视频号直播妇科手术教学隐私暴露直播画面直接出现患者隐私部位，高峰观看人数超5万人院方回应本为内部教学，错用公开平台导致泄露处理结果科室负责人严重警告处分并停职检查管理人员同步追责处分影响严重损害医院声誉，引发医疗教学伦理深刻反思无论内部教学还是个人行为，患者隐私保护是绝对红线典型案例：病历调取与信息售卖案例一：民事侵权行为违章调取病历用于离婚诉讼主体王某+医院（连带）数量单份病历获利无直接获利后果赔偿

8000元+书面道歉性质民事侵权审查义务缺失——未核验授权委托书即提供病历，构成共同侵权案例二：刑事犯罪行为非法获取并售卖产妇信息主体产科主管护师韦某数量500余条

产妇信息获利每条

50-60元+提成10%后果有期徒刑

10个月

缓刑两年+罚金性质侵犯公民个人信息罪主动非法获利——批量售卖突破行政处罚，直接触发刑事追责法律红线：病历管理失当=民事赔偿；信息批量交易=刑事责任典型案例：数据安全漏洞与系统失防5万元罚款金额（法定下限）《数据安全法》事件经过（2025年）系统弱口令+公网映射可获取医疗信息网信巡查立案处理结果责令改正+警告罚款5万元教育与处罚结合技术合规警示全流程数据安全制度弱口令是合规红线定期安全评估数据安全是法律义务制度建立：全流程管理红线意识：低级错误不可接受定期评估：漏洞修复常态法律义务：超越技术范畴违规行为的法律后果全景以案为鉴，三种责任层层升级行政责任法律依据《医师法》第五十六条、《护士条例》第三十一条处罚后果警告、罚款1万至3万元、暂停执业6个月至1年、吊销执业证书典型案例护士赵某微信传播未成年人病历，被暂停执业6个月民事责任法律依据《民法典》第1226条、第1218条处罚后果赔偿精神损害抚慰金、书面赔礼道歉，医院承担连带责任典型案例医院违规调取病历，被判连带赔偿8000元刑事责任法律依据《刑法》侵犯公民个人信息罪处罚后果有期徒刑、罚金，情节严重者丧失人身自由典型案例护师韦某非法获取500余条产妇信息出售，判处有期徒刑十个月缓刑两年长效机制制度管人，流程管事，文化管心构建培训考核、监督问责、持续改进三位一体的长效管理闭环05全员培训体系构建三级递进，覆盖全岗位入职培训：把好入口关培训对象新入职员工、实习生、进修生、规培生核心内容法律法规解读、隐私信息界定、行为禁令、违规后果考核/频率考试合格方可上岗，签署《患者隐私保密承诺书》在岗培训：持续强化意识培训对象全体在岗员工，按岗位分类核心内容岗位专项保密要求、政策法规更新、院内制度修订考核/频率每年至少一次全员培训，每季度一次科室专题学习专项培训：重点岗位强化培训对象科室负责人、隐私保护联络员、信息科人员、DPO核心内容隐私影响评估（PIA）、应急响应、技术防护措施考核/频率每半年至少一次，新政策出台后及时组织培训后考试合格方可上岗，签署《患者隐私保密承诺书》质量考核与监督机制构建

培训考核·监督问责·持续改进

三位一体的长效管理闭环质量考核嵌入纳入绩效考核核心指标科室与个人绩效考核核心指标质控办定期抽查执行情况门诊、病房、检查科室全覆盖违规一票否决取消评优资格取消年度评优评先资格监督渠道建设建立内部投诉举报渠道鼓励员工相互监督病区公示二维码扫码投诉患者可即时举报指定部门限时调查反馈限时调查并反馈处理结果违规追责机制从重从快处理