2026年个人信息保护法医疗场景测试题及答案

2026年个人信息保护法医疗场景测试题及答案一、单项选择题（每题3分，共30分）1.根据《中华人民共和国个人信息保护法》，下列哪项属于医疗场景中的敏感个人信息？A.患者的联系电话号码B.患者的医疗健康信息C.患者的电子邮箱地址D.患者的学历信息答案：B解析：《个人信息保护法》第二十八条明确将医疗健康信息列为敏感个人信息，此类信息一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害。2.医疗机构处理敏感个人信息，下列哪种做法符合法律规定？A.取得患者口头同意后即可处理B.取得患者书面单独同意后处理C.经科室主任批准后直接处理D.在患者挂号时通过格式条款取得概括同意答案：B解析：处理敏感个人信息应当取得个人的单独同意，法律、行政法规规定应当取得书面同意的，从其规定。医疗场景中处理病历资料等敏感信息，通常需要取得患者的书面单独同意，格式条款中的概括同意不满足"单独"要求。3.患者王某在某三甲医院就诊后，该院信息科人员李某私自将王某的诊疗记录出售给商业保险公司。对该行为的定性，下列说法正确的是？A.属于合法的数据共享行为B.违反个人信息保护法，情节严重的构成侵害公民个人信息罪C.只要未造成患者经济损失即不违法D.医院内部人员使用患者数据无需取得同意答案：B解析：向他人出售或者提供公民个人信息，情节严重的，依据《刑法》第二百五十三条之一构成侵犯公民个人信息罪。医院信息科人员利用职务便利出售患者诊疗信息，既违反《个人信息保护法》第十条禁止非法买卖个人信息的规定，还可能触犯刑法。4.医疗机构在处理患者个人信息前，应当履行告知义务。下列哪项不属于法定告知事项？A.个人信息处理者的名称和联系方式B.处理个人信息的目的、方式C.患者家属的联系电话D.个人信息的保存期限答案：C解析：《个人信息保护法》第十七条规定了处理者应当告知的事项，包括处理者名称和联系方式、处理目的和方式、处理信息种类、保存期限、个人行使权利的方式和程序等。患者家属联系电话属于个人信息内容本身，不属于告知事项。5.患者要求某医院删除其已痊愈的旧疾病记录，医院以"存档需要"为由拒绝。下列判断正确的是？A.医院有权拒绝，因为病历需依法保存B.患者无权要求删除任何医疗记录C.医院应当无条件立即删除D.患者只能要求修改不能要求删除答案：A解析：根据《医疗纠纷预防和处理条例》等法规，门（急）诊病历保存不少于15年，住院病历保存不少于30年。请求删除个人信息存在法定除外情形，当法律、行政法规规定的保存期限未届满时，处理者可以拒绝删除请求。6.关于医疗大数据研究中使用患者个人信息，下列哪一做法符合《个人信息保护法》要求？A.将患者姓名、身份证号等直接用于研究分析B.对数据进行匿名化处理后用于科学研究C.将患者数据交给第三方公司不做任何技术处理D.在未告知患者的情况下将数据用于商业药物研发答案：B解析：匿名化处理后的信息不属于个人信息，可以自由使用，但需确保无法识别特定个人且不能复原。将未经匿名化的患者数据用于商业研发，需取得个人同意；用于科学研究，在符合"无法识别特定个人且不能复原"标准时无需再取得同意。7.某医院拟将患者数据跨境传输给境外合作研究机构，下列说法正确的是？A.获得患者同意后即可直接传输B.医疗健康数据一律禁止出境C.应当按照国家网信部门规定通过安全评估、认证等途径进行D.只需向主管部门备案即可答案：C解析：根据《个人信息保护法》第三十八条，个人信息出境应当具备下列条件之一：（一）通过国家网信部门组织的安全评估；（二）经专业机构进行个人信息保护认证；（三）与境外接收方签订标准合同等。医疗健康数据属于敏感个人信息，出境管控更为严格。8.下列哪项属于医疗机构作为个人信息处理者应当履行的义务？A.制定内部管理制度和操作规程B.免除对委托第三方的监督责任C.在任何情况下都不得向患者提供其个人信息副本D.仅在发生泄露事件后采取补救措施答案：A解析：《个人信息保护法》第五十一条要求处理者根据个人信息的处理目的、处理方式、个人权益影响及安全风险等，采取包括制定内部管理制度和操作规程、实施加密去标识化等安全技术措施、确定操作权限并定期培训、制定并组织实施应急预案等在内的措施。9.患者钱某发现某医院通过APP向其推送精准医疗广告，其个人信息可能被用于商业营销。下列分析正确的是？A.医疗广告推送属于医疗服务的组成部分，无需同意B.将个人信息用于商业营销属于变更处理目的，需要重新取得同意C.医院可以依据挂号时签署的知情同意书直接推送D.只要推送的是医疗相关广告即不违法答案：B解析：将患者信息用于商业营销属于处理目的的重大变更，应当重新取得个人同意。诊疗环节的告知同意不能当然覆盖后续的商业营销场景，即使挂号时签署了内容宽泛的同意书，也不构成对商业营销的充分授权。10.医疗机构发生个人信息泄露事件后，下列做法符合法律规定的是？A.立即采取措施消除隐患，并通知受影响的患者B.为了防止恐慌，一律不向社会公布C.仅在事件造成重大经济损失时才需要报告D.只需内部处理，无需向主管部门报告答案：A解析：《个人信息保护法》第五十七条规定，发生或者可能发生个人信息泄露、篡改、丢失的，处理者应当立即采取补救措施，并通知履行个人信息保护职责的部门和个人。通知应当包括泄露信息种类、原因、可能造成的危害、已采取的措施及补救措施等。若采取措施能够有效避免信息泄露造成危害的，可以不通知个人，但向主管部门报告是法定要求。二、多项选择题（每题4分，共20分）11.下列属于医疗场景中"敏感个人信息"的有？A.患者基因信息B.患者人脸识别信息C.患者血型D.患者宗教信仰答案：ABD解析：根据《个人信息保护法》第二十八条，敏感个人信息包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。基因信息和血型属于医疗健康信息，人脸识别信息属于生物识别信息，单独的血型检测结果结合其他信息可能识别患者身份，属于医疗健康信息范畴。12.根据《个人信息保护法》，处理敏感个人信息应当满足哪些条件？A.具有特定的目的和充分的必要性B.取得个人的单独同意C.取得个人的书面同意D.采取严格保护措施答案：ABD解析：处理敏感个人信息除一般合法性基础外，还应当满足：（1）具有特定的目的和充分的必要性；（2）取得个人的单独同意，法律、行政法规规定书面同意的从其规定；（3）告知处理敏感个人信息的必要性以及对个人权益的影响；（4）采取严格保护措施。书面同意并非所有敏感个人信息处理的法定要求，仅在法律法规明确规定时需要。13.患者在医院就诊过程中享有哪些个人信息相关权利？A.查阅、复制本人医疗信息B.要求更正错误的诊疗信息C.要求医院删除已过保存期限的信息D.要求医院提供其个人信息处理规则的说明答案：ABCD解析：《个人信息保护法》第四章规定了个人在信息处理活动中的权利，包括查阅复制权、更正补充权、删除权、解释说明权、撤回同意权等。患者对本人病历资料享有查阅复制权，对错误信息有权要求更正，对超过法定保存期限的信息有权要求删除，同时有权要求处理者对处理规则进行解释说明。14.关于医疗场景中的"单独同意"，下列理解正确的有？A.不能通过一揽子格式条款取得B.应当与一般个人信息处理同意区分开来C.可以与其他授权事项合并在一起取得D.应当向患者充分说明处理敏感信息的必要性答案：ABD解析："单独同意"要求将敏感个人信息的处理与其他事项分开取得同意，不得捆绑、打包。单独同意应当通过弹窗、勾选框、独立签署文件等方式做出，并需充分告知处理目的和必要性。不能通过合并其他授权事项来"搭便车"获得。15.医院向第三方公司提供患者个人信息用于科研合作，正确的做法有？A.对患者信息进行去标识化处理B.与第三方签订数据安全协议，明确双方责任C.对第三方数据处理活动进行监督D.可以不经患者同意直接提供完整病历答案：ABC解析：向第三方提供个人信息，应履行告知义务并取得患者同意，并对提供的必要性和范围进行最小化限制。将数据用于科研，应当优先采取去标识化措施。作为委托处理关系，医疗机构应与受托方签订协议明确处理目的、期限、方式以及违约责任等，并对受托方的处理活动进行监督。未经同意直接提供完整病历不符合最小必要原则。三、判断题（每题2分，共10分）16.医院在处理急诊昏迷且无法取得本人同意的患者个人信息时，为挽救患者生命，可以不经患者同意立即处理其个人信息。答案：正确解析：《个人信息保护法》第十三条规定的合法性基础包括"为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需"。急诊急救属于紧急情况，处理信息不以取得同意为前提。17.医院可以将患者个人信息提供给合作的药企用于新药研发市场分析，只需提前通知患者即可。答案：错误解析：向药企提供患者个人信息用于市场分析并非诊疗所必需，且属于向第三方提供个人信息，应当取得患者同意并告知接收方信息。仅通知而不取得同意不符合法律规定。涉及敏感个人信息时，还应取得单独同意。18.患者有权撤回其既往作出的同意处理个人信息的决定，医院应当提供便捷的撤回方式。答案：正确解析：《个人信息保护法》第十五条规定，个人有权撤回其同意，处理者应当提供便捷的撤回同意的方式。撤回同意不影响撤回前已进行的处理活动的合法性。在医疗场景中，患者通常通过线上或线下渠道均可申请撤回。19.医疗机构内部的医生因诊疗需要可以自由查看任何患者的病历信息。答案：错误解析：即使基于诊疗目的，医生也仅可访问在其诊疗职责范围内的患者病历信息。医疗机构应当实行最小授权原则，根据岗位职责设置不同的信息访问权限，超范围调阅病历属于违规处理个人信息。20.对已匿名化处理后的患者数据进行统计分析，不需要取得患者同意。答案：正确解析：匿名化处理后的信息无法识别特定自然人，不再属于《个人信息保护法》规制的"个人信息"范畴。因此，利用匿名化数据进行分析研究无需取得患者同意，但仍需确保匿名化达到不可逆标准。四、简答题（每题10分，共20分）1.简述医疗机构在患者就诊全流程中收集个人信息应遵循的基本原则。答案：医疗机构收集患者个人信息应当遵循以下基本原则：（1）合法、正当、必要原则。收集信息应当具有明确的诊疗目的，不得超范围收集与诊疗无关的信息。（2）最小范围原则。只收集与诊疗活动直接相关的个人信息，能收集一般信息的不收集敏感信息。（3）明示同意原则。应当向患者明示信息收集的目的、方式和范围，并取得同意；处理敏感个人信息时还须取得单独同意。（4）安全保障原则。采取相应的加密、去标识化、访问控制等安全技术措施，防止信息泄露、篡改和丢失。（5）目的限制原则。收集的个人信息应当在诊疗目的范围内使用，如需用于其他目的（如科研、商业推广等），应当重新取得患者同意。2.某医院拟上线一套新的医院信息管理系统（HIS系统），由软件公司负责开发和运维，该系统将处理全院患者信息。医院应如何合法合规地推进该项目？答案：医院作为个人信息处理者，应当做好以下工作：（1）开展个人信息保护影响评估。在向软件公司提供患者信息用于系统开发测试前，应对处理目的、方式、风险及安全措施等进行评估，并形成评估报告。（2）与软件公司签订数据处理协议。明确委托处理的目的、期限、处理方式、信息种类、保护措施以及双方权利义务，约定软件公司不得超出约定范围处理信息。（3）对软件公司进行监督审查。定期核查其安全管理措施落实情况、是否违规留存或外传数据，确保受托方符合法律要求。（4）采取技术和管理措施。要求软件公司在开发和测试环境中使用脱敏数据；对生产环境数据实施严格访问控制、审计留痕和加密存储。（5）向患者履行告知义务。如处理目的、方式发生变化，应当通过适当方式告知患者，并根据需要重新取得同意。五、案例分析题（共20分）某市第一人民医院于2025年推出"智慧就医"服务平台，患者通过手机APP完成挂号、缴费和检查报告查询等功能。该医院与某互联网医疗科技公司合作开发该平台，APP的隐私政策中写明"为优化医疗服务，您同意我们将您的就诊记录、用药记录、检查报告分享给与我们合作的第三方合作伙伴，用于改进医疗服务体验"。用户勾选同意后方可使用APP。2026年1月，某网络安全公司发现该APP将部分患者数据（含姓名、身份证号、诊断信息）传输至第三方数据服务商的服务器，且传输过程未进行加密。请回答：（1）该医院的隐私政策条款存在哪些违法之处？（2）医院向第三方传输患者数据未加密，违反了哪些法律义务？（3）网络安全公司发现此问题后应当如何处理？医院又应当承担什么责任？答案：（1）隐私政策条款的主要违法之处有：①未取得患者的单独同意。患者的就诊记录、用药记录、检查报告属于医疗健康信息，属于敏感个人信息。依据《个人信息保护法》第二十九条，处理敏感个人信息应当取得个人的单独同意。隐私政策中以格式条款概括性地"同意分享给第三方合作伙伴"，属于打包同意，不构成单独同意。②处理目的不明确。隐私政策中"改进医疗服务体验"表述宽泛，未具体说明向哪些第三方分享、用于何种用途、第三方是否是数据处理者还是共同处理者，违反了充分告知义务。③未明确告知第三方接收方的身份和联系方式。依据《个人信息保护法》第十七条，告知事项应当包括个人信息处理者的名称和联系方式，向第三方提供信息的，应当告知接收方基本情况。④涉嫌违反最小必要原则。将诊断信息、身份证号等一并传输给第三方服务商，若对方仅承担技术运维职能，则获取诊断信息超出了必要范围。（2）医院未加密传输患者数据，违反了以下法律义务：①违反了《个人信息保护