医院保密管理制度

医院保密管理制度一、总则（一）制度目的为严格遵守《中华人民共和国保守国家秘密法》《中华人民共和国医师法》《中华人民共和国个人信息保护法》《医疗机构管理条例》《医疗纠纷预防和处理条例》等法律法规要求，规范医院秘密及敏感信息的全流程管理，防范失密、泄密、窃密事件发生，保障国家利益、公共利益、患者合法权益和医院运营安全，结合本院实际制定本制度。（二）适用范围本制度适用于医院全体在职职工、规培生、实习生、进修人员、退休返聘人员、第三方服务机构派驻人员（含物业、信息运维、设备维保、科研协作等）及所有进入医院工作区域的临时务工人员，覆盖医院所有产生、存储、传输、使用国家秘密、工作秘密、患者敏感个人信息、医院核心运营信息的所有部门、岗位和业务环节。（三）保密范围与密级划分1.国家秘密指关系国家安全和利益，依照法定程序确定，在一定时间内只限一定范围人员知悉的事项，具体包括：机密级：承担国家涉密科研项目产生的相关研究数据、方案、报告；涉及国家公共卫生安全应急处置的未公开核心部署信息；国家统一组织的卫生专业资格考试、住院医师规范化培训考核医院考区的未公开试题及评分标准。秘密级：上级党政机关下发标注秘密级的文件、通知；涉及国防医疗动员、重大突发公共卫生事件未公开的人员调配、物资储备核心信息；国家交办的专项医疗任务未公开的相关安排。2.工作秘密指为维护医院正常运营管理秩序，不属于国家秘密，但仅限特定范围人员知悉的内部工作信息，泄露后会对医院工作造成被动或损害，具体包括：未公开的医院发展规划、重大改革方案、财务预决算、招投标文件标底、干部人事调整方案、医疗纠纷未结案的内部讨论记录、内部审计报告、职工个人工资信息。3.患者敏感个人信息与医疗秘密指以电子或者纸质方式记录的患者姓名、出生日期、身份证件号码、生物识别信息（指纹、人脸、基因数据等）、住址、电话号码、病史、诊断结果、手术记录、检验检查报告、精神健康状况、生殖健康信息、性传播疾病信息、毒品检测信息等，属于依法受保护的敏感个人信息，任何单位和个人不得擅自公开。4.医院核心敏感信息包括医院未公开的重大科研项目阶段性数据、新技术新项目未公开的核心技术资料、新药临床试验未公开的试验数据、重大医疗事故调查的内部资料、药品设备采购议价未公开记录、互联网医院后台用户核心数据等。二、保密组织机构与职责（一）医院保密委员会医院设立保密委员会，由党委书记、院长担任双主任，分管行政、医疗、信息、科研的副院长担任副主任，各职能科室负责人为成员，主要职责如下：1.贯彻落实国家保密法律法规，制定修订，统筹部署全院保密工作，每年至少召开2次专项保密工作会议，研究解决保密工作中的重大问题；2.组织开展全院保密宣传教育、保密检查、保密考核，对失泄密事件进行调查处理，追究相关人员责任；3.审定医院保密工作年度预算，保障保密设施设备、保密培训、保密检查的经费投入，按规定配备专职保密管理人员；4.对医院产生的国家秘密、工作秘密进行密级审核确定，指导各部门开展保密工作，对接上级保密行政管理部门的监督检查。保密委员会下设专职保密办公室，配备1名专职保密管理员，负责日常保密管理工作，各业务科室设置1名兼职保密员，负责本科室日常保密工作。（二）部门保密职责1.党政办公室：负责上级下发涉密文件、内部涉密文件的收发、登记、归档、销毁管理，负责医院涉密会议的保密管理，负责保密委员会日常工作协调；2.信息科：负责全院信息系统、网络、存储设备的保密技术防护，负责电子涉密信息的安全管理，定期开展信息系统漏洞扫描和安全检测，防范网络窃密泄密；3.医务部：负责临床医疗环节患者个人信息和医疗秘密的保密管理，组织开展医护人员保密培训，督促临床科室落实患者信息保密要求，查处医疗环节违规泄露患者信息的行为；4.科研部：负责涉密科研项目、临床试验数据的保密管理，对科研项目密级进行初审，督促科研人员遵守科研保密规定；5.财务部：负责财务涉密信息（预算、决算、招投标资金安排等）的保密管理，严格控制财务信息知悉范围；6.人事科：负责干部人事信息、职工个人信息的保密管理，对拟录用人员进行保密背景审查，组织入职保密培训；7.后勤保障部：负责涉密场所、保密设施设备的后勤保障，负责纸质涉密文件、载体的销毁保密管理。（三）岗位保密职责1.医院主要负责人是全院保密工作第一责任人，对全院保密工作负总责；分管保密工作负责人负直接领导责任；各部门负责人是本部门保密工作第一责任人，对本部门保密工作负总责；2.涉密岗位人员（接触国家秘密、核心工作秘密的人员）对岗位涉密信息负直接保密责任，严格遵守岗位保密要求；3.全体医护人员对工作中接触的患者个人信息和医疗秘密负直接保密责任，严格依法依规使用患者信息。三、涉密人员管理1.涉密岗位界定：将接触、处理国家秘密的岗位划分为核心涉密岗位（年度接触机密级国家秘密事项累计8项以上）、重要涉密岗位（年度接触秘密级国家秘密事项累计5项以上）、一般涉密岗位（偶尔接触国家秘密事项），涉密岗位名单报上级保密行政管理部门备案；2.涉密人员上岗：涉密人员上岗前必须经过保密专题培训，培训时长不少于8学时，考核合格后方可上岗，签订《涉密人员保密承诺书》，明确保密责任和义务，人事科建立涉密人员保密管理档案，记录涉密人员培训、考核、涉密事项接触情况；3.涉密人员在岗管理：每年组织涉密人员参加不少于4学时的保密继续教育，定期开展保密审查，每年对涉密人员遵守保密制度情况进行考核，考核结果纳入个人年度绩效，涉密人员出境应当经过审批，核心涉密人员未经批准不得出境，重要涉密人员和一般涉密人员出境需经保密委员会审核同意；4.涉密人员离岗离职：涉密人员离岗离职应当提前进行保密提醒，签订《离岗离职保密承诺书》，清退所有涉密载体（包括纸质文件、U盘、硬盘、移动硬盘、门禁卡等），办理交接手续，核心涉密人员离岗离职后脱密期为2年，重要涉密人员为1年，一般涉密人员为6个月，脱密期内不得违反规定就业，不得擅自出境，不得泄露原岗位接触的涉密信息。四、涉密载体管理（一）纸质涉密载体管理1.制作：纸质涉密文件、资料应当在医院内部符合保密要求的场所印制，严禁委托外部单位印制涉密文件，印制涉密文件应当注明密级、保密期限、知悉范围，多余的涉密废纸应当及时粉碎销毁，严禁随意丢弃；2.收发：收发涉密载体应当履行登记、编号、签收手续，详细记录收发时间、发件单位、收件人、密级、份数，严禁在普通邮件、快递中寄送涉密载体，涉密载体传递应当由专人专车传送；3.传阅：涉密载体传阅应当在符合保密要求的办公场所进行，严格控制传阅范围，不得擅自扩大知悉范围，传阅应当逐人逐份登记，严禁擅自留存涉密载体，阅读完毕后及时交还保密办公室；4.存储：涉密载体应当存放在符合保密标准的密码保险柜中，严禁存放在普通办公桌、铁皮柜中，每日下班前必须将涉密载体存入保险柜，科室留存的涉密文件由兼职保密员负责保管，定期核对，做到账物相符；5.复制：复制涉密载体应当经过保密委员会主任批准，复制机密级文件需要报上级发文单位批准，复制件应当加盖复制专用章，视同原件管理，严禁擅自翻印、复制涉密载体，严禁将涉密载体复制件带到公共场所；6.销毁：销毁涉密载体应当统一由保密办公室登记造册，报保密委员会批准后，送上级保密行政管理部门指定的销毁机构销毁，严禁私自销毁涉密载体，严禁将涉密载体卖给废品回收站、二手市场，严禁将淘汰的涉密计算机、涉密硬盘未经消磁处理直接对外处理。（二）电子涉密载体管理1.存储：电子涉密信息必须存储在符合国家保密标准的涉密计算机和涉密移动存储介质中，严禁将涉密信息存储在连接互联网的计算机、公共云盘、个人U盘、个人手机中，涉密计算机应当设置不少于10位的复合密码（字母+数字+符号），每90天更换一次密码，严禁在涉密计算机和非涉密计算机之间交叉使用移动存储介质；2.传输：传输涉密信息必须使用医院内部涉密专用网络，严禁通过互联网邮箱、微信、QQ、钉钉等公共通讯软件传输涉密信息，严禁将涉密计算机接入互联网和公共无线网络；3.维修：涉密计算机、涉密存储设备维修应当由医院信息科专职技术人员在医院内部进行，需要送外维修的，必须拆除存储涉密信息的硬盘，由医院留存，严禁带涉密硬盘送外维修；4.淘汰：淘汰报废涉密计算机、涉密存储设备，应当由保密办公室统一回收，送指定机构进行消磁和物理销毁，严禁私自转卖、赠送淘汰涉密设备。五、保密场所与会议管理1.涉密场所管理：医院档案室、涉密科研实验室、保密会议室、信息中心核心机房划定为保密要害部位，安装防盗门窗、视频监控、入侵报警装置，无关人员未经批准不得进入，保密要害部位入口处设置明显保密警示标识，定期开展保密检查，每月至少进行一次安全隐患排查；2.涉密会议管理：召开涉密会议应当选择符合保密要求的场所，会前对会场进行安全检查，排查窃听窃录设备，会议通知、会议材料应当明确密级，严格控制参会人员范围，不得通知无关人员参会，会议涉密材料应当统一收发登记，会后及时收回，会议结束后清理会场，不得遗留涉密材料，严禁参会人员擅自记录、录音、录像涉密会议内容，严禁擅自传播涉密会议内容；3.公共场所保密：严禁在公共场所（医院食堂、电梯、走廊、家属区等）谈论涉密信息，严禁在私人通讯、私人交往中谈论涉密信息，严禁将涉密载体带到公共场所和私人住所。六、患者信息与医疗秘密管理1.患者信息存储与使用：纸质患者病历应当存放在符合防盗、防火、防潮要求的病案室，严格按照《医疗机构病历管理规定》提供病历查阅，除因司法机关办案、患者本人或授权代理人、保险机构按照规定调阅病历外，不得向任何第三方提供患者病历信息，电子病历应当设置分级访问权限，医护人员只能访问自己职责范围内的患者信息，不得越权访问其他医师管辖患者的信息，严禁拷贝、导出无关患者信息；2.患者信息公开限制：严禁医护人员在朋友圈、微博、抖音、小红书等公共社交媒体发布患者病情、病历照片、患者影像资料，即使隐去姓名，也不得泄露可识别患者身份的特征信息，因教学、科研需要使用患者病例资料的，必须对患者信息进行脱标识化处理，完全删除患者可识别信息，涉及患者隐私的特殊病例（如性传播疾病、精神疾病、艾滋病等），不得在公开场合随意谈论，不得在教学展示中泄露患者可识别信息；3.患者信息传输管理：因会诊、转诊需要传输患者信息的，应当使用医院内部专用加密传输通道，严禁通过个人微信、QQ等公共软件传输包含患者完整身份信息的病历资料，第三方医疗机构需要调取患者信息的，应当出具公函，经医务部批准后方可提供；4.互联网医院与远程医疗管理：互联网医院用户信息、诊疗数据必须存储在医院本地服务器，严格按照《网络安全法》要求落实数据安全防护，第三方互联网技术合作企业不得留存、下载患者核心信息，远程医疗会诊应当使用符合信息安全标准的专用系统，严禁使用普通视频软件开展涉及患者隐私的远程会诊；5.特殊敏感信息保护：对于涉及未成年人隐私、家暴受害人隐私、艾滋病病毒感染者、精神疾病患者的信息，实行更严格的保密管理，除法定情形外，不得向任何单位和个人泄露，不得将相关信息告知患者无关的近亲属。七、信息系统与网络保密管理1.分级防护：医院信息系统按照国家网络安全等级保护制度要求，落实三级等保防护标准，定期开展等级测评，每年至少进行一次安全测评，发现漏洞及时整改，信息科安排专人24小时监测网络安全，防范黑客攻击窃取信息；2.访问控制：所有接入医院内部网络的计算机、移动设备必须进行身份认证，设置独立账号密码，严禁共用账号，离职人员账号应当及时注销，外接设备接入内网必须经过信息科批准，进行杀毒检测后方可接入，严禁私自将无线热点接入医院内网；3.数据备份：医院核心数据（患者信息、病历数据、财务数据、涉密数据）实行每日异地备份制度，备份介质存储在符合安全标准的灾备机房，定期对备份数据进行恢复测试，确保数据安全可追溯；4.外部合作管理：与第三方信息企业合作开发信息系统、提供运维服务时，应当签订保密协议，明确第三方的保密责任，要求第三方不得泄露、使用医院患者信息和核心数据，第三方运维人员操作必须有医院信息科人员全程在场陪同，不得单独接触核心数据；5.移动设备管理：严禁医护人员使用个人手机拍摄涉密文件、患者病历，严禁将个人手机带入涉密会场、保密要害部位，严禁在连接互联网的计算机上存储处理涉密信息，严禁将涉密存储介质连接互联网计算机。八、科研与对外交流保密管理1.涉密科研项目管理：承担国家涉密科研项目的课题组，应当在项目立项时确定密级，制定专项保密方案，指定专人负责保密管理，项目研究数据、报告全部存储在涉密计算机中，严禁公开发表涉密项目的研究内容，不得擅自接受媒体采访涉及涉密项目的内容；2.公开发表论文与投稿：医护人员、科研人员公开发表论文、科普文章、接受媒体采访，不得涉及国家秘密、医院工作秘密，不得泄露患者个人信息，投稿涉及未公开科研数据的，应当经过科研部审核，涉及涉密内容的，应当经过保密委员会审核；3.对外交流：外出参加学术会议、交流访问，携带的研究资料不得涉及国家秘密，未经批准不得携带涉密载体出境，境外机构人员来院交流访问，应当提前报备，划定参观交流范围，严禁境外人员进入保密要害部位，严禁向境外人员泄露涉密信息；4.合作研究：与境外机构、企业开展合作研究，应当按照规定进行保密审查，签订保密协议，严格控制境外人员接触涉密信息范围，不得擅自向境外提供未公开的医疗数据和研究数据。九、保密检查与监督考核1.定期检查：保密委员会每季度组织一次全院保密检查，专职保密管理员每月开展一次日常保密巡查，重点检查涉密载体管理、涉密计算机使用、患者信息管理、保密要害部位管理，检查结果形成书面记录，对发现的隐患下达整改通知书，要求责任部门限期整改，整改后复查，闭环管理；2.技术检查：信息科每半年对全院计算机、信息系统进行一次保密技术检查，排查违规存储涉密信息、违规连接互联网、越权访问患者信息等行为，利用技术手段对终端操作进行审计，发现违规行为及时溯源处理；3.考核机制：将保密工作落实情况纳入部门年度绩效考核和个人年度考核，权重占比不低于5%，严格执行保密工作“一票否决制”，发生重大失泄密事件的部门，年度考核不得评为优秀，责任人年度考核不得评为合格及以上等次；4.举报机制：设立保密违规举报电话、举报邮箱，对举报违规泄露涉密信息的行为，经查证属实的，对举报人给予500-2000元的奖励，对举报人的信息严格保密。十、法律责任与泄密处理1.泄密事件分类：一般泄密事件：泄露工作秘密、单个患者普通个人信息，未造成严重后果的；严重泄密事件：泄露国家秘密级信息、批量患者个人信息、造成医院经济损失或声誉损害的；重大泄密事件：泄露国家机密级信息、批量敏感患者信息、造成重大经济损失或危害国家安全的。2.处理程序：发生泄密事件后，当事人应当立即向保密委员会报告，采取补救措施，防止泄密