个人信息保护检查重点（医疗机构迎检版）

依据：《个人信息保护法》《个人信息保护审查办法》《医疗卫生机构数据安全和个人信息保护管理办法(试行)》《未成年人网络保护条例》一、组织管理与制度建设保护管理制度、告知同意操作规程、个人信息主体权利处置规程、对外提供与委托处理管理制度、个人信息保存及删除销毁制度、安全事件应急上报制度、第三方管理制度、投诉举报处置制度。制度中设置专章，对未成年人、息、敏感个人信息、重要医疗数据；对特殊群体诊疗数据标记为高敏感个人4.个人信息保护影响评估(PIA):高风险业务开展PIA评估，评估覆盖未成5.培训与自查：开展全员个人信息保护培训，内容包含患者隐私保护要求，二、隐私政策与告知同意1.个人信息处理种类、目的、处理方式。2.各类个人信息存储期限，禁止笼统写“永久保存”,明确到期删除或匿名化处置规则。6.敏感个人信息单独告知、单独同意；生物识别信息提供替代核验方式，不得作为唯一核验手段。8.未成年人专项告知：不满14周岁未成年人处理信息，需监护人明示同意。9.特殊群体简要说明：无民事行为能力、限制民事行为能力人员，由监护人三、个人信息主体权利落实1.受理查阅、复制、更正、删除、撤回同意申请记录。2.台账完整登记申请人、申请事项、受理时间、办理过程、办理结果、办结3.办理时限：一般15个工作日办结答复；情况复杂可延长，最长不超过155.提供便捷撤回同意途径，撤回同意后停止对应处理，留存法定留存例外说6.特殊群体权利管控：家属调阅患者病历应当核验本人授权；新生儿、认知障碍失能老年人由监护人或授权代理人代办，留存授权材料；为老年人保留四、访问权限与审计日志1.落实最小权限原则，制定岗位权限清单；人员调岗、离职及时回收权限，留存权限变更审批记录。2.批量查询、导出个人信息执行事前审批，留存审批单据；严控高敏感数据3.审计日志完整记录账号、操作人、操作时间、访问对象、操作行为；敏感个人信息日志留存不少于3年，日志防篡改，普通账号不可删除日志。4.建立异常访问告警，对高频查询、异地访问、批量导出、非工作时段访问进行告警，留存核查处置记录。5.特殊患者高敏感病历仅限主管诊疗人员访问，非主管人员调阅履行6.系统具备高敏感数据标签标记能力，可实现访问限制、操作水印管控。五、技术安全防护1.敏感个人信息存储、传输采取加密措施；开发测试环3.落实网络安全等级保护，完成测评并闭环整改问题。4.人脸等生物识别信息不得设置为唯一核验方式。六、第三方委托处理管理期限，禁止二次委托，约定安全责任、泄露追责、到期数据返2.开展第三方安全评估，留存评估记录；第三方人员访问业务系统全程留痕1.严禁微信、QQ、网盘、私人邮箱传输病历、身份证等敏感个人信息。八、纸质介质与现场物理安全2.叫号屏、护士站屏幕患者信息脱敏展示，不完整展示姓名、身份证号、手机号、敏感诊断。4.特殊患者纸质报告资料妥善密封保管，不在公共台面随意摆放。九、安全事件应急与上报2.发生未成年人、特殊患者个人信息泄露，及时补救处置，按规定上报主管部门，视情况通知本人或监护人，留存事件全流程台账。3.定期组织应急演练，留存演练记录。2.按规定每年开展未成年人个人信息保护合规审计，按要求向网信部门报送十一、迎检备查材料清单1.个人信息保护负责人任命文件、组织架构、岗位职责文件2.全套个人信息保护管理制度(含特殊群体保护专章)3.数据分类分级台账(含特殊群体标记说明)4.PIA个人信息保护影响评估报告(覆盖特殊场景)及风险整改材料5.隐私政策完整文本及版本记录6.员工培训材料(课件、签到记录，含特殊患者隐私保护)7.自查报告、自查整改台账9.第三方合作合同、第三方安全评估记录(含高敏感数据保密条款)10.批量导出、对外提供个人信息审批单据；特殊病历调阅审批台账12.审计日志留存策略说明、日志留存证明材料13.网络安全等级保护测评报告及整改材料14.未成年人专项：年度合规审计报告、报送回执、监护人授权样本3.应急预案未明确上报主管部门及上报要求。5.PIA评估缺失；第三方合同缺少个人信息保护相关条款。6.审计日志留存不达标；测试开发环境直接使用真实患者数据。7.