患者病历隐私脱敏流程规范

患者病历隐私脱敏流程规范一、适用范围与合规依据所有离开医疗机构原生诊疗系统、用于非直接诊疗目的的病历数据，必须在使用前完成合规脱敏，不存在任何可豁免的特殊场景。

本规范适用于以下场景的病历数据处理：1.临床科研项目的病历数据提取、导出与共享2.医保部门委托第三方机构开展的费用审核、DRG/DIP分组校验3.医疗人工智能、临床辅助决策系统研发的训练数据集交付4.医学教学、学术会议、健康科普使用的病例素材5.医疗机构内部跨部门运营分析、医疗质量控制数据共享6.商业保险理赔的非现场病历核验本规范不适用于以下场景：患者本人或其委托代理人按规定申请的病历复印、公检法部门持有效法律文书的司法调证、接诊医师直接用于临床诊疗的病历调阅——此类场景需严格履行身份核验与访问登记流程，无需脱敏。

本规范制定依据包括：《中华人民共和国个人信息保护法》《中华人民共和国基本医疗卫生与健康促进法》《医疗机构病历管理规定（2013年版）》《健康医疗大数据标准、安全和服务管理办法（试行）》《信息安全技术健康医疗数据安全指南》（GB/T39725-2020）。

核心执行原则：•最小必要：仅脱敏到满足使用需求的最低程度，严禁为降低责任过度脱敏导致数据失去使用价值•全链路留痕：从申请、提取、脱敏、交付到销毁的所有操作全程可追溯•分层管控：根据数据使用场景的风险等级匹配对应脱敏强度，避免一刀切•不可逆：对外公开交付的脱敏数据必须达到无法通过多源信息碰撞还原患者身份的标准二、脱敏分级与判定标准不同使用场景对数据颗粒度的要求差异极大，一刀切式删除所有身份信息会导致数据完全失去使用价值，因此必须根据数据用途匹配对应脱敏等级，平衡隐私保护与数据可用性。

脱敏操作需首先区分两类隐私信息：一是直接标识符，即单个字段即可定位到具体个人的信息（姓名、身份证号、电话、精确到门牌号的住址、生物识别信息、完整住院号等）；二是准标识符，即单个字段无法定位个人，但3-5个字段组合即可唯一识别个人的信息（年龄、性别、职业、入院日期、居住地、特殊疾病、体貌特征等）。据行业测算，仅通过邮编、出生日期、性别三个字段，即可识别超过80%的中国居民身份。2.1L1级（轻度脱敏，低风险场景）•适用场景：医疗机构内部科室级质控、院内立项科研项目（伦理审批通过且数据不流出医院专网）、院领导决策所需的运营数据分析•脱敏要求：必须100%清除所有直接标识符，保留字段包括：年龄（精确到岁，不满1岁精确到月）、性别、入院/出院/手术日期（精确到日）、完整诊疗过程、费用明细、检验检查结果；住院号/门诊号保留前2位科室编码+后3位顺序码，中间字段打码处理•风险边界：脱敏后数据仅可由授权人员在院内专网访问，严禁拷贝到个人设备2.2L2级（中度脱敏，中风险场景）•适用场景：多中心临床科研项目（跨院伦理联审通过）、医保第三方费用审核、医学院校内课堂教学案例•脱敏要求：在L1级基础上完成以下处理：年龄按组分段（0-17岁、18-40岁、41-65岁、66-79岁、80+），避免90岁以上罕见病患者等小样本群体被识别；入院/出院/手术日期仅保留到月份，可在保持时间间隔误差≤15天的前提下做随机平移，确保平均住院日、术前等待时间等核心指标准确；清除所有医护人员姓名，仅保留职称标识；删除所有院内原始编码，替换为项目内随机生成的唯一ID，ID与原始患者信息的映射表由病案室专人离线加密存储，严禁随数据集交付•风险边界：脱敏后数据仅可在约定的专网范围内传输，不得向社会公开2.3L3级（深度脱敏，高风险场景）•适用场景：商业AI模型训练数据集、公开发表的学术论文案例、面向社会传播的健康科普素材、无行政隶属关系的外部机构商业合作数据交付•脱敏要求：在L2级基础上完成以下处理：所有日期在保持时间间隔不变的前提下做±30天随机平移，破坏绝对时间关联；年龄进一步泛化（未成年人、成年人、老年人），涉及未成年人的病历严禁标注具体年龄，同时清除所有监护人的身份、单位信息；地理信息仅保留到区县一级，删除所有小区、单位、道路名称；泛化所有特殊身份描述（公众人物、特殊职业、灾害/事故幸存者、罕见体貌特征），避免“某电视台主持人、甲状腺癌手术”这类可通过公开信息定位的组合出现；所有检验、影像ID全部替换为随机ID，彻底切断与医院原始系统的关联路径；涉及患者的隐私信息需确保重识别风险值P<•风险演化提示：若同时保留“25岁、女性、某区小学老师、2024年3月剖宫产”这类组合信息，可通过区域教师公示名单、同期医院产科分娩记录等公开信息多源碰撞识别个人，完整路径为：公开职业信息缩小人群范围→匹配分娩时间锁定具体个人→泄露完整诊疗记录，因此必须对所有准标识符做充分泛化三、全流程操作步骤与责任划分脱敏操作不是信息科单个岗位的工作，而是从申请到交付全链路各岗位权责清晰的闭环流程，任何一个环节缺位都会导致隐私泄露风险。3.1第一步：脱敏申请（责任主体：数据使用方）申请人需提前提交《病历数据脱敏使用申请表》（见附件1），明确填写以下内容，严禁出现“申请全量病历”“需要所有字段”等模糊表述：•数据具体用途、使用期限、存储地点•需要的病历时间范围、涉及科室、逐条列明所需字段清单•申请匹配的脱敏等级、可接触数据的所有人员名单（含岗位、身份证号、保密承诺签字）申请材料由申请部门负责人在1个工作日内签字确认用途真实性后，提交医务科审批。3.2第二步：合规审批（责任主体：医务科+信息安全岗+伦理委员会）审批需在收到完整申请材料后3个工作日内完成，核心审核要点：1.申请字段是否符合最小必要原则：例如开展肺炎发病率研究不得申请患者联系电话、医保卡号等无关字段，否则直接驳回删减2.申请的脱敏等级是否匹配场景风险：例如向商业AI公司交付数据申请L1级脱敏的，直接驳回要求按L3级处理3.接触数据人员是否均签署保密协议单次申请病历数量≥1000份的，必须由分管医疗的副院长签字确认。审批通过后系统自动生成唯一脱敏批次号（格式：TM-年份-科室-序号），全流程所有文档、数据集均需标注该批次号；审批不通过的，24小时内反馈具体驳回理由。

严禁任何个人私自审批对外提供病历数据的申请。3.3第三步：数据提取（责任主体：信息科数据库管理员）数据库管理员凭审批通过的申请表，在2个工作日内完成数据提取，操作时必须遵守“三不原则”：不提取审批范围外的字段、不复制原始数据到个人设备、不在提取过程中修改任何字段内容。

提取的原始数据必须存储在物理断网的专用脱敏操作服务器上，操作终端封闭所有USB外联端口、禁止接入公网。提取过程系统自动记录提取人、提取时间、字段范围、数据量，操作日志永久留存。

本步骤核心机理：物理隔离是从源头阻断数据私自流出的最有效手段——若允许原始数据下载到个人终端，仅靠保密协议无法约束员工私自拷贝行为，物理隔离的管控效力远高于制度要求。3.4第四步：分层脱敏操作（责任主体：病案室专职脱敏岗+信息科技术支持岗）脱敏岗必须为医院正式在编员工，入职时签署终身保密协议，严禁劳务派遣、实习、外包人员独立接触未脱敏原始病历。操作分为两个阶段：1.自动脱敏：采用正则匹配脱敏工具对结构化字段（姓名、身份证号、电话、地址、住院号）按对应等级要求自动替换、泛化、打码；脱敏规则库每季度更新一次，及时纳入新手机号段、行政区划调整等内容2.人工复核：由两名脱敏岗人员交叉逐份审核非结构化自由文本（入院记录、病程记录、手术记录、出院小结中的描述性内容），逐句清除系统无法识别的隐私信息，例如“患者爱人是本院心内科医生”“患者家住XX小区3栋2单元”“患者为某中学高三班主任”等准标识符。甲审核过的内容必须由乙100%复核，漏审问题由两人同责。每100份病历的人工脱敏+交叉复核时限不超过2个工作日，严禁为赶进度跳过复核环节。脱敏操作全程录屏，录屏文件留存3年。据国内医疗数据安全行业2023年测算，仅靠系统自动脱敏的自由文本隐私漏检率约30%，必须通过人工复核覆盖盲区。3.5第五步：脱敏质量核验（责任主体：医务科独立质控岗）质控岗不得由参与脱敏操作、数据申请的人员兼任，核验比例按风险等级设置：•L1级数据：随机抽取10%样本，最少不低于20份•L2、L3级数据：随机抽取20%样本，最少不低于50份核验需在收到脱敏数据集后1个工作日内完成，核心判定标准：1.直接标识符清除率100%：发现1份残留直接标识符的，整批数据退回重新脱敏2.重识别风险达标：不存在3个及以上准标识符组合可定位个人的情况，L3级数据需满足P<3.数据可用性达标：申请使用的核心业务字段完整率≥95%，严禁出现将“乳腺癌”泛化为“癌症”这类导致数据失效的过度脱敏问题核验通过的签署《脱敏质量合格确认单》；核验不通过的列明问题清单，退回脱敏岗24小时内完成整改后重新提交核验。3.6第六步：数据交付与传输（责任主体：病案室档案管理岗）数据传输严格执行分层优先级要求：•优先使用院内专网加密传输通道，通过AES-256算法加密后交付到申请方指定的专网存储服务器•不具备专网接入条件的，使用硬件加密U盘存储数据集，由申请方指定专人持单位介绍信、身份证现场领取；U盘设置12位以上复杂密码，密码通过独立电话渠道告知领取人，严禁将密码与U盘一同交付•严禁使用微信、QQ、个人邮箱、公共云盘等公网渠道传输任何病历数据交付的电子数据集每页嵌入不可移除的数字水印，标注唯一脱敏批次号与申请单位名称，便于泄露事件溯源。交付时双方签署《数据交付签收单》，明确数据量、字段范围、脱敏等级、使用期限，签收单永久留存。3.7第七步：留存与销毁（责任主体：信息科安全岗+数据申请方）脱敏生成的ID映射表必须存储在离线备份服务器，由信息科主任、病案室主任双人保管密钥，除医疗纠纷处置、司法调证需求外，任何人不得调取。

申请方必须在申请的使用期限到期后3个工作日内，彻底删除本地存储的所有数据集及副本，向医院提交《数据销毁确认函》，由信息科安全岗远程核验销毁情况，确认无残留副本。严禁申请方将脱敏数据转售、转交给第三方，一经发现永久终止该单位/个人的所有病历数据申请资格，并按《个人信息保护法》要求上报监管部门。四、异常处置与责任追溯脱敏流程的风险不可能完全降为零，必须提前明确不同等级风险的处置流程与责任边界，避免泄露事件发生后出现响应混乱、追责无据的问题。4.1风险分级响应标准根据泄露范围、涉及人数、危害程度将风险分为三级，对应不同的启动权限与处置要求：1.Ⅲ级（一般风险）■判定标准：脱敏操作过程中发现单份病历漏脱敏，但数据尚未流出专用操作区；或交付后发现单个非核心字段遗漏，但不构成直接身份识别（如仅残留患者姓氏，无其他关联信息）■启动权限：病案室主任■处置要求：发现人1小时内上报，立即修正问题数据，记录问题原因，对相关操作人员开展岗位培训，无需上报院领导2.Ⅱ级（较大风险）■判定标准：数据交付后发现直接标识符泄露，涉及患者数≤10人，且数据仅在申请方内部使用、未公开传播■启动权限：医务科主任■处置要求：发现人30分钟内上报，第一时间通知申请方立即删除所有问题数据，排查泄露范围，对涉及患者安排专人逐一告知致歉，对脱敏、核验岗位责任人扣发当月绩效，24小时内形成处置报告上报分管副院长3.Ⅰ级（重大风险）■判定标准：脱敏数据被公开传播到互联网；或直接标识符泄露涉及患者数>10人；或数据被不法分子用于电信诈骗等违法活动。风险演化路径：漏脱敏的联系方式/身份信息随数据流出→被不法人员获取→结合病历中的疾病信息实施精准诈骗→造成患者财产损失→医院承担连带赔偿责任与监管处罚■启动权限：院长■处置要求：发现人10分钟内上报，立即启动网络安全应急预案，第一时间联系平台删除公开传播内容，向属地卫健、网信、公安部门报案，配合做好患者权益维护，对责任岗位人员按规定追责，涉嫌违法的移送司法机关任何岗位发现数据泄露隐患必须第一时间上报，严禁隐瞒；隐瞒不报导致事态扩大的，直接解除劳动合同，涉嫌违法的移送司法机关。4.2责任追溯机制每批脱敏数据的审批单、操作日志、核验记录、签收单永久留存，发生泄露事件后通过批次号倒查全流程责任：•属于申请方私自转交、传播数据的，由申请方承担全部法律责任•属于脱敏操作漏审导致隐私残留的，由脱敏岗、复核岗承担主要责任•属于核验环节未发现明显问题的，由质控岗承担连带责任•属于绕过审批流程、私自提取数据交付的，由违规提取人、审批人承担全部责任五、岗位要求与日常培训再完善的流程也要靠人执行，定期的培训与权限管控是避免人为失误、防范内部数据泄露的核心保障。5.1岗位准入与权限管理•脱敏岗、核验岗、数据提取岗人员必须为医院正式在编职工，无信息安全违规前科，入职时签署《医疗隐私保密承诺书》，承诺离职后3年内不得违规利用接触过的医疗隐私信息牟利•所有涉及脱敏操作的系统账号实行一人一号，密码每90天更换一次，严禁共用账号；岗位调整的24小时内收回原有系统权限，权限清单每半年核查一次•外包运维人员仅可在正式员工全程监督下开展系统维护工作，不得查看任何病历具体内容5.2培训与应急演练•新上岗人员必须完成8学时的专项培训，内容包括隐私保护法规、脱敏操作流程、历史泄露案例，考试满分方可上岗•在岗人员每季度开展2学时复训，每次培训后开展实操考核：提供10份模拟病历要求参训人员找出所有隐私漏点，正确率100%为合格，不合格者补考通过后方可继续上岗•每半年开展1次数据泄露应急演练，模拟数据外传、公开传播等场景，检验各岗位响应速度与处置熟练度，演练时长不低于2小时，演练后形成流程改进清单，及时堵塞漏洞附件本章节提供可直接打印使用的操作工具与模板，所有表单需随每批脱敏数据归档留存。附件1：病历数据脱敏使用申请表申请批次号（系统自动生成，格式TM-年份-科室-序号）申请日期YYYY年MM月DD日申请单位/部门申请人姓名联系电话数据使用场景□院内质控□多中心科研□第三方审核□AI训练□教学/科普□其他：数据时间范围YYYY年MM月DD日至YYYY年MM月DD日涉及科室申请字段清单（严禁填写“全部”“所有”）1.2.3.申请脱敏等级□L1轻度□L2中度□L3深度数据使用期限自交付之日起天数据存储地点接触数据人员名单姓名岗位身份证号申请部门负责人意见签字：日期：医务科审批意见签字：日期：伦理委员会意见（科研场景必填）签字：日期：分管院长审批意见（单次申请≥1000份必填）签字：日期：备注附件2：脱敏质量核验检查表检查项合格标准检查结果（合格/不合格）问题说明直接标识符清除姓名、身份证号、医保卡号、联系电话、精确到门牌号的住址、完整住院/门诊号、生物识别信息清除率100%准标识符风险控制3个及以上准标识符组合的重识别风险值P<核心字段完整性申请列明的诊断、诊疗、检验、费用等核心业务字段完整率≥95%，无过度脱敏导致数据失效问题映射表管理随机ID与原始信息的映射表离线加密存储，双人保管密钥，未随数据集交付传输合规性采用专网加密或加密U盘现场交付，未使用公网邮箱、云盘、社交软件传输核验结论□合格，同意交付□不合格，退回整改核验人签字：日期：附件3：数据泄露事件分级响应通讯录岗位联系电话响应职责响应时限要求院长138******I级事件总指挥，负责对外上报、资源协调接报后10分钟内启动预案医务科主任139******II级事件处置负责人，统筹内部整改、患者沟通接报后30分钟内到达现场病案室主任137******III级事件处置负责人，组织问题数据整改、操作复盘接报后1小时内完成问题定位信息科安全岗136******技术溯源、数据删除、漏洞修复接报后1