2026年病历资料保密管理规定课件

2026年病历资料保密管理规定政策宣贯面向全体医护人员宣贯日期：2026年8月课程导览01法规体系总览2026年病历保密管理政策全景认知02核心保密制度数据分级、权限管理与全流程追溯03法律红线与隐私保护责任边界与敏感信息保护要求04操作规范与岗位职责病历管理全流程操作标准05违规处罚与典型案例真实案例警示与合规行动法规体系总览政策密集出台，病历保密管理进入最严时代从国家卫健委到多部门联合发文，2026年病历资料保密管理法规体系全面升级CHAPTER0101病历保密管理进入最严时代病历保密管理已从行业自律上升为多部门联合监管的国家行动2025年6月三部门发布《关于进一步加强医疗机构电子病历信息使用管理的通知》首次从权限管理、操作规范、数据安全多维度提出系统要求2026年2月《医疗卫生机构数据安全和个人信息保护管理办法（试行）》印发确立数据分类分级保护制度，划定十项禁止红线2026年3月各地卫健部门迅速跟进县市级医疗机构病案管理工作制度陆续出台，形成国家-地方两级制度体系2026年4月中央网信办等三部门启动个人信息保护专项行动卫生健康领域被列为七大重点治理领域之一监管全面升级，十项禁止红线划定四部核心法规构成制度基石法规文件层级发文机关核心要点《医疗机构病历管理规定》2013版基础规章国家卫生计生委7章32条，确立病历建立、保管、借阅、封存全流程规范《电子病历信息使用管理通知》2025专项通知国家卫健委等三部门分级授权、操作留痕、数据安全三位一体管理要求《数据安全管理办法（试行）》2026重磅新规国家卫健委等多部门7章40条，建立数据分类分级、全生命周期安全管理体系《个人信息保护专项行动公告》2026专项行动中央网信办等三部门卫生健康领域列为重点治理领域，六类问题从严查处四部法规层层递进，构建病历保密管理完整制度链条从基础规章到专项行动，制度密度不断升级，病历保密管理进入最严时代2026年《数据安全管理办法》核心解读七章四十条，构建起病历保密管理的"四梁八柱"2026年《数据安全管理办法》七大核心要点01总则适用范围覆盖各级各类医疗卫生机构，确立数据安全与个人信息保护并重原则02数据分类分级保护核心数据、重要数据、一般数据三级，按最高级别要求实施保护03数据全生命周期安全管理覆盖收集、存储、使用、加工、传输、提供、公开、删除八个环节04数据安全监测预警与应急处置建立监测预警机制，数据泄露须在48小时内上报主管部门05个人信息保护确立十项禁止与八项禁止红线，个人信息须纳入重要数据目录重点保护06监督管理省级卫健部门负责数据分类分级，医疗机构须定期报送重要数据目录07附则明确试行办法的法律效力与后续修订机制2025年电子病历管理通知要点回顾三大核心要求奠定了2026年制度升级的基础权限管理：分级授权，责任到人分级分类访问控制遵循最小可用原则严禁未经授权操作禁止查阅、复制、传播或篡改病历信息进修实习生权限管理权限须与学习范围匹配，防止信息滥用操作规范：全流程可追溯操作痕迹可查询可追溯时间、人员信息全程留痕数字水印等技术手段留痕杜绝篡改行为信息共享严格授权审批确保防篡改机制落实监督考核：纳入绩效，违规追责纳入评审巡查评估体系医院评审、巡查、智慧医院评估违规操作纳入绩效评价与医务人员绩效挂钩信息泄露依法追究责任不良事件追究部门及个人责任多部门协同构建监管合力跨部门协同监管，病历保密违规无处遁形14部门联合定调国家卫健委、公安部等14部门印发纠风工作要点，"严守医疗数据安全"首次作为独立任务单列五部门覆盖全行业卫健委、中医药局、疾控局等五部门联合发布病历数据管控新规，覆盖所有医疗机构三部门专项攻坚中央网信办、工信部、公安部联合开展个人信息保护专项行动，卫生健康领域列为重点整治对象跨部门协同监管机制监管部门监管重点衔接机制卫生健康部门病历管理规范、医疗质量安全日常监督检查、医院评审网信部门数据安全、个人信息保护专项行动、合规审查公安部门侵犯公民个人信息犯罪刑事立案侦查医保部门病历与医保数据一致性基金监管、稽核审查核心保密制度分级管控、权限最小、全程留痕数据分类分级保护、最小权限原则、全流程可追溯构成病历保密管理的三大支柱核心制度02数据分类分级保护制度详解《医疗卫生机构数据安全和个人信息保护管理办法（试行）》确立三级分类框架，病历资料按敏感程度分级管理级别定义病历示例保护要求核心数据危害国家安全、国计民生重大传染病患者病历、涉及国家安全的医疗数据三级及以上等保，关键信息基础设施保护重要数据危害患者权益、机构运行批量患者诊疗记录、大范围电子病历数据集三级等保，年度风险评估，负责人制度一般数据不涉及重大风险单次门诊记录、已脱敏的教学病历基本安全保护措施不同级别数据同时处理时，按最高级别要求实施保护——这是不可逾越的底线分级访问控制与权限管理角色分级—谁能看临床诊疗人员：本人负责患者完整病历教学研究人员：脱敏后教学科研病历行政管理人员：岗位相关统计信息外部服务商：签保密协议，限定范围与期限内容分级—看什么按敏感级别差异化管控精神疾病、传染病史等须额外授权时限管控—看多久进修/实习生：不超培训时长岗位调整：及时更新或撤销诊疗结束：适时收回权限操作限定—怎么管严禁未经授权查阅、复制、传播、篡改舆情发生时：立即封存，无关人员禁访权限管理的核心是"非授权不可见，非必要不接触"最小可用原则的落地执行正确做法仅查本人负责患者教学使用需脱敏诊疗后及时退出借阅须经科室审批越权红线禁查亲友熟人记录禁好奇翻阅无关病历禁截图保存至私人设备禁未经审批批量调取"最小权限不是限制，而是对患者隐私的最大尊重"1是否与我负责患者直接相关？2是否已退出系统、锁屏？3是否通过私人渠道转发？全流程操作留痕与追溯"操作留痕不是监视，而是对医患双方合法权益的双重保护"留痕要求操作痕迹可查询可追溯时间、人员信息完整记录日志留存至少3年长期保存备查数字水印技术确保使用留痕留痕范围查阅谁在何时查看了哪份病历修改修改前后内容、时间、修改人导出导出时间、范围、目的打印打印时间、份数、打印人追溯价值法律证据医疗纠纷时完整记录可作为证据异常预警自动识别异常查阅行为并预警自我约束每一次操作都被记录形成约束电子病历身份标识与责任绑定专有标识是身份凭证，更是责任凭证身份标识管理专有身份标识须使用专有标识和识别手段承担全部责任对本人身份标识的使用负责不得转借妥善保管识别介质定期更新按岗位内容更新权限和时限责任绑定机制谁操作谁负责每次操作均与个人身份绑定严禁违规收集严禁违规收集、使用、传输、透露、买卖病历信息禁止网络传播禁止通过网络渠道传播患者病历信息纳入绩效追责违规操作纳入绩效评价，依法追责短期工作人员管理培训后依权限进修生、实习生须培训后方可使用权限时限限制不得超过培训进修范围与时长签订保密协议外部服务商须签订保密和授权协议全程接受监督明确访问范围、目的和期限谁操作、谁负责—每一次点击都是责任承诺数据存储与传输安全要求01将病历数据上传至个人云盘、网盘云端数据失控外泄02使用私人手机拍摄病历、检查报告移动端截留扩散03通过社交软件转发患者信息给非授权人员社交链二次传播04未经审批私自拷贝、导出批量患者数据批量泄露源头存储安全统一加密存储电子医疗数据统一加密存储，重要数据落实三级等保专柜上锁纸质病案专柜上锁保管，非病案人员不得随意翻阅加密存放数据备份介质加密存放，禁止使用私人U盘拷贝统一数据清除淘汰设备统一数据清除，严禁自行变卖丢弃传输安全内部办公平台院内交换使用内部办公平台，禁止公网传输加密专线跨机构对接走加密专线，确保传输安全禁止明文传输严禁通过微信、QQ、私人邮箱等明文传输病历禁止短信发送严禁使用短信发送病历内容、检验结果、患者联系方式绝对禁止行为科研教学中的病历脱敏规范彻底脱敏科研教学使用病历信息的首要准则平衡点科研需要与隐私保护并非对立，脱敏是二者的平衡点必须脱敏的五类信息身份标识患者姓名、身份证号、住院号联系方式家庭住址、联系电话社会属性工作单位、社会关系生物特征可识别个人身份的生物特征信息特殊日期罕见手术治疗日期等可耦合定位的信息科研论文含可识别患者信息→构成隐私侵权教学案例未脱敏分享→导致信息泄露AI处理病历时未确保个人信息安全违规行为严禁以教学研究为名违规收集、传输、存储患者病历法律红线与隐私保护触碰法律红线，必将付出沉重代价从行政处罚到刑事责任，病历信息泄露的法律后果层层加码CHAPTER0303法律框架全景：五部法律共筑防线法律名称核心条款保护对象违规后果《民法典》第1226条患者隐私与个人信息承担侵权责任，赔偿精神损害《刑法》第253条公民个人信息最高七年有期徒刑，从重处罚《个人信息保护法》第28条敏感个人信息行政处罚+民事赔偿《基本医疗卫生与健康促进法》第33条、101条医疗信息安全罚款1-5万元，可责令停业《数据安全法》分类分级制度重要数据、核心数据行政处罚+刑事责任五部法律共筑防线，最高可判七年有期徒刑从民事责任到刑事处罚，病历信息泄露的法律后果层层加码民法典：患者隐私权的民事保护"《民法典》第一千二百二十六条：医疗机构及其医务人员应当对患者的隐私和个人信息保密。泄露患者的隐私和个人信息，或者未经患者同意公开其病历资料的，应当承担侵权责任。"保密义务主体医疗机构+医务人员，双重责任保护范围患者隐私+个人信息，双重保护侵权认定泄露或未经同意公开，即构成侵权责任形式停止侵害、赔礼道歉、赔偿损失典型案例某医院管理不严，允许王某仅凭本人身份证即调取他人住院病历。法院认定：王某与医院均构成侵权，判决双方连带赔偿精神损害抚慰金8000元，并书面赔礼道歉。医院因未尽到法定审查义务，承担连带责任。病历调取必须严格核验身份与授权，否则医院将承担连带侵权责任刑法第253条：侵犯公民个人信息罪情节程度刑罚附加刑情节严重三年以下有期徒刑或拘役并处罚金情节特别严重三年以上七年以下有期徒刑并处罚金履行职责中犯罪从重处罚—50元一条信息，换来的是刑事犯罪记录和终身职业污点典型案例：产房里的"信息贩子"犯罪事实南宁某医院主管护师韦某利用职务便利非法获取500余条产妇信息，以50-60元/条出售给保健按摩中心判决结果三人犯侵犯公民个人信息罪，判处有期徒刑十个月至六个月不等，并处罚金个人信息保护法：敏感信息特殊保护《个人信息保护法》第28条将医疗健康信息明确列为敏感个人信息——泄露或非法使用将直接侵害人格尊严与人身财产安全单独同意须取得个人单独同意，禁止默认勾选、一揽子授权严格保护须采取严格保护措施，确保信息安全未成年人特殊保护处理不满十四周岁未成年人信息，须取得监护人同意卫生健康领域列为七大重点治理领域之一系统短板超范围收集、身份核验缺失、第三方人员管理不到位合规审计须定期开展合规审计，自行或委托专业机构新技术安全使用人工智能等新技术处理病历，必须确保个人信息安全患者的健康信息是最高级别的隐私，处理规则必须是最严格的保护基本医疗卫生法：行政监管与处罚行政处罚与刑事追责并行：《基本医疗卫生与健康促进法》第三十三条保护患者隐私义务+第一百零一条信息安全制度不健全导致泄露处1-5万元罚款行政处罚梯度违规情形处罚措施附加处罚安全制度不健全责令改正+警告罚款

1-5万元导致信息泄露责令改正+警告罚款

1-5万元情节严重停止执业活动追究直接责任人责任构成犯罪移送司法机关依法追究刑事责任行政处罚与刑事追责并非互斥，情节严重时二者并行数据安全十项禁止与个人信息保护八项禁止十八条禁止，条条是红线，触碰任何一条都将面临法律严惩数据安全十项禁止01禁止违法采集数据02禁止超范围采集数据03禁止窃取或以其他非法方式采集数据04禁止违法处理数据05禁止违法向境外提供数据06禁止违法公开数据07禁止篡改、破坏数据08禁止泄露数据09禁止非法买卖数据10禁止滥用数据从事违法活动个人信息保护八项禁止01禁止违法处理个人信息02禁止违法收集个人信息03禁止超范围收集个人信息04禁止超授权调阅个人信息05禁止违法提供个人信息06禁止违法向境外提供个人信息07禁止违法公开个人信息08禁止滥用人脸识别信息违反上述条款，依据《数据安全法》《个人信息保护法》追究法律责任，包括警告、罚款、停业整顿、吊销执照直至刑事责任操作规范与岗位职责制度落地，关键在岗位执行医护岗、病案岗、信息岗各有规范，六严禁红线不可触碰CHAPTER0404病历保密全流程操作规范采集仅收集诊疗必需信息主动告知，取得知情同意自愿与引导结合建档案存储电子统一加密，三级等保纸质专柜上锁，严控温湿度门诊≥15年，住院≥30年使用遵循最小必要原则仅限院内诊疗，不得挪作他用借阅执行登记审批传输院内用内部办公平台，禁公网跨机构走加密专线严禁微信、私人邮箱传输销毁过期纸质统一粉碎销毁淘汰设备统一数据清除严禁自行变卖或丢弃五个环节，环环相扣，任何一个环节失守都将导致全局风险医护岗日常操作规范每一次操作，都在守护患者隐私；每一个细节，都是职业操守的体现诊室场景避免公开谈论确认在场人员授权及时关闭界面防无关人员窥屏病情说明授权确认家属获授权严禁无关透露不向无关人员透露病房场景病历夹管理不得随意放置于公共区域禁止公共讨论禁止在走廊电梯讨论病情标识合理设置床头卡输液卡查看范围出院及时归档整理归档全部病历资料交接班与离岗场景指定区域传递病历信息传递须在指定区域立即退出锁屏离开工作站退出HIS锁屏夜班病历归柜夜班纸质病历归入指定柜严禁手机拍摄严禁手机拍摄存储病历每一次操作，都在守护患者隐私；每一个细节，都是职业操守的体现病案管理岗操作规范病案管理岗是病历安全的最后一道防线归档管理按规定时限完成归档，归档后不得随意修改电子病历归档后原则上不得修改，特殊情况须经医务部门批准归档时核查病历完整性，确保各项记录齐全检查检验结果24小时内归入病历保管管理库房温湿度14℃-24℃，相对湿度45%-60%配备恒温恒湿设备、防盗门窗、烟雾报警器定期防虫防鼠处理，确保病案物理安全电子病历本地+云端双重备份，定期安全评估信息科技术保障规范技术保障是病历安全的基础，权限管理是技术保障的核心数据库权限管理按岗位职责分级授权，确保最小权限操作日志全程留存，每次操作可追溯定期审查权限，及时清理离职/调岗人员备份介质加密存放，制定数据恢复预案日志审计操作日志留存至少3年，长期可追溯建立异常监测机制，实时预警异常访问定期审计排查违规操作行为数据泄露时，日志作为追责核心依据安全防护落实等级保护制度，重要数据三级及以上等保定期风险评估，及时修复安全漏洞数据泄露须48小时内上报，建立应急处置制度支持数字水印等技术，确保使用留痕外部服务商管理签订严格保密协议与授权协议明确访问范围、目的、期限，全程受监督服务结束后及时收回权限，清理数据残留行政岗与宣传岗规范非临床岗位同样接触患者信息，保密责任一视同仁行政岗宣传素材须隐去全部隐私信息（姓名、住院号等）诊疗影像、病例故事须经患者书面同意方可使用投诉处理中病历信息仅限相关人员知晓统计数据须确保无法追溯至具体个人宣传岗患者案例对外宣传须取得书面授权科普病例示例须使用虚构或彻底脱敏信息社交媒体动态不得出现患者面容、病历信息诊疗场景照片禁止拍摄和传播收费医保岗妥善保管缴费单据、身份证、医保卡复印件作废单据须统一粉碎销毁禁止泄露医保报销、收支明细收费窗口设置合理间距保护隐私守住患者信息的每一个触点，就是守住医院的诚信底线六严禁红线：不可触碰的底线六条红线，条条不可触碰，违者必将承担严重后果红线一：严禁私自拍摄留存患者信息手机、相机严禁拍摄电子病历、检查胶片、收费单据，私人设备严禁留存患者资料。违者纪律处分，造成泄露依法追责。红线二：严禁随意转发外传患者数据微信、QQ、短信等社交软件严禁发送病历、检验结果、联系方式。一次转发，不可挽回。红线三：严禁随意丢弃纸质病历资料纸质化验单、废弃单据统一粉碎销毁，不得随意丢弃。随手一扔，泄露全部隐私。红线四：严禁越权查询无关患者病历严禁查询亲友、无关人员诊疗记录。每次越权系统留痕，终被追溯。红线五：严禁私用U盘拷贝医疗数据批量调取须科室审批，使用专用加密设备。私人U盘，高危通道。红线六：严禁离岗不退出系统不锁屏离开工作站、窗口、护士站，立即退出HIS、锁屏电脑。空档即风险。六条红线，条条不可触碰，违者必将承担严重后果病历借阅与复制规范借阅规范·五步流程01授权门槛除诊疗医务人员外，其他人员须经授权方可查阅02书面申请填写借阅申请表，注明目的、范围、期限03审批把关经病案管理或医务部门审批后方可借阅04限期归还在规定期限内归还，禁止转借他人05离院携带由病区指定专人负责携带和保管复制规范·六步流程申请主体必备材料患者本人有效身份证明患者代理人患者授权委托书+代理人身份证明死亡患者近亲属死亡证明+近亲属身份证明保险机构保险合同复印件+患者授权委托书05现场核对须在申请人在场情况下进行，核对无误后加盖公章06收费原则可按规定收取工本费，不得以营利为目的规范流程既是对患者权益的保障，也是对医务人员的保护病历封存与启封流程病历封存是医疗纠纷处理的关键环节，流程规范就是法律证据封存适用条件01发生医疗纠纷时，医患双方均可提出封存02疑似输液、输血、注射、用药等引起不良后果的，相关实物一并封存03发生舆情时，立即封存涉及人员相关信息封存操作流程01医患双方在场，共同核对病历资料完整性02封存病历原件或复印件，双方签字盖章确认03封存件由医疗机构保管，确保封存期间不被篡改04封存清单须详细记录内容、时间、参与人员启封操作流程01医患双方共同在场，核对封存件完整性02确认无拆封痕迹后，双方签字启封03启封后病历用于医疗鉴定或诉讼证据04启封记录须详细记录时间、人员、原因违规后果：未按规定封存病历，可处以警告、罚款

1-5万元，情节严重的对直接责任人给予处分违规处罚与典型案例前车之鉴，后事之师从万元罚款到刑事判刑，真实案例警示我们：病历保密无小事CHAPTER0505违规处罚体系：行政与刑事双重追责违规行为与法律责任对照违规行为行政处罚刑事责任未按规定填写保管病历警告+罚款

1-5万元—未按规定封存病历警告+罚款

1-5万元—病历信息泄露罚款

1-5万元，可责令停业情节严重：三年以下有期徒刑倒卖患者信息吊销执业资格情节特别严重：七年以下有期徒刑伪造篡改病历处罚负责人+暂停执业构成犯罪依法追责病历管理不善致侵权民事赔偿+行政处罚从重处罚叠加追责机制行政处罚与刑事追责可并行民事责任同时追究违规操作纳入绩效评价影响晋升、评优出现不良事件依法追究部门和个人双重责任医疗机构主体责任与直接责任人责任并行不悖"违规的代价不止于罚款，更关乎职业生涯与人生轨迹"典型案例一：病历书写不规范案病历书写的每一分钟时限，都是法律的刚性约束违规行为抢救结束后未在6小时内补记抢救病历患者出院后未在24小时内完成出院记录电子病历归档后无状态限制，医师擅自修改删除病历关键记录内容处罚结果依据《医疗纠纷预防和处理条例》第四十七条处罚类型具体内容行政处罚警告罚款金额26000元教训启示01时限刚性：6h、24h是法定红线02归档锁定：电子病历归档后禁改03删除严重：删除记录可能构成篡改04代价沉重：行政处罚+永久诚信污点一次违规，同时伴随行政处罚和永久诚信污点典型案例二：病历泄露侵权案三证缺一不可，任何一项缺失都不得提供病历违规链条王某无授权调取病历，医院未核验，信息用于离婚诉讼致隐私暴露判决认定双方共同侵害个人信息权益及隐私权，连带赔偿8000元并书面道歉三证核验规则身份证申请人有效身份证明授权委托书患者本人签署的授权文件关系证明证明申请人与患者的法定关系典型案例三：倒卖患者信息刑事案犯罪事实非法获取产妇姓名、住址、分娩方式等敏感信息500余条以50-60元/条出售，收取消费提成10%与保健中心经营者形成信息倒卖链条违法所得用于个人消费判决结果韦某：有期徒刑十个月，缓刑两年，并处罚金吴某甲：有期徒刑六个月，并处罚金吴某乙：有期徒刑六个月，并处罚金三人共同退赔违法所得500条