严防内部人员造成患者隐私泄露风险管控

隐私安全严防内部人员造成患者隐私泄露风险管控法规·案例·制度·技术·责任2026年08月14日课程导览01法规红线2026年医疗数据安全法规高压态势02触目惊心内部人员泄密典型案例与严重后果03风险诊断内部管控薄弱环节与隐患根源剖析04制度筑墙全流程内部人员管控制度体系构建05技术锁门数据安全技术防护核心手段部署06全员行动各岗位职责明确与行为红线落地CHAPTER法规红线数据安全不再是加分项，而是必答题2026年医疗数据安全正式进入强制合规时代，五部门联合发文划定十项红线012026年医疗数据安全进入强制合规时代2026年2月五部门联合印发《医疗卫生机构数据安全和个人信息保护管理办法（试行）》共七章四十条，标志医疗数据安全进入制度化、规范化、强制化新阶段2026年4月中央网信办、工信部、公安部联合启动专项行动卫生健康领域列为七大重点治理领域之一，明确六大违法违规问题红线2026年6月国家卫健委、公安部等14部门联合印发工作要点严守医疗数据安全首次作为独立任务单列，从单点打击升级为全链条系统性治理数据分类分级保护制度全面落地数据分级与责任主体级别数据类型保护强度责任主体核心数据关系国家安全、公共利益的数据最高省级卫生健康行政部门统筹重要数据涉及大量患者隐私、机构核心运营的数据高机构识别报送，落实等保三级及以上一般数据日常业务数据标准机构定期梳理，自主管理执行要点就高原则多级别数据按最高级别保护，不得降级省级统筹省级部门组织分类分级，提出目录建议机构报送定期梳理数据，向属地部门报送全量信息等保落地重要数据须落实三级及以上网络安全等级保护数据安全十项禁止红线《管理办法》明确划定

10条

禁止性红线禁止行为违法采集不得窃取或以其他非法方式采集数据超范围采集业务部门与管理部门须明确收集合法性主体责任违法处理数据处理须在法定范围内进行超范围使用数据使用不得超出法定目的和范围违法提供向第三方提供数据须经过严格审批禁止行为违法出境数据出境须经安全评估违法公开未经授权不得公开任何医疗数据滥用人脸识别非必要不得将人脸识别作为唯一验证方式数据违法活动不得以科研名义变相实施带金销售对抗监管须配合数据安全监督检查工作个人信息保护八项专项禁止医疗健康信息属于敏感个人信息，须确立告知-单独同意机制禁止行为禁止违法处理须确立告知-单独同意机制禁止违法收集仅收集最小必要信息禁止超范围收集不得过度索要无关隐私禁止超授权调阅仅因本职工作需要查询禁止行为禁止违法提供委托处理须事前评估禁止违法出境须遵循数据出境安全管理规定禁止违法公开未经同意不得公开影像文字禁止新技术滥用使用AI处理病历须确保安全CHAPTER触目惊心每一个案例背后，都是患者信任的崩塌从窃取近万条孕产妇信息到泄露287万条挂号数据，内部威胁触目惊心02内部泄密案例全景扫描隐蔽性强

内部特征危害面广

内部特征追责复杂

内部特征案例类型涉案人员泄露规模核心后果外包人员窃密软件公司法人287.8万条主犯判刑五年六个月、罚金30万内部员工售卖医院前台人员9900余条刑拘、医院被罚1.1万元数据共享盘外泄两名医疗机构员工7万余条判刑二年五个月至三年、罚金医生泄露隐私三甲医院主任医师211名患者立案调查、暂停执业名人病历泄露医院职工多名公众人物行政拘留、暂停执业每一起案例背后，都是患者信任的崩塌和机构声誉的严重受损内部人员作案三大特征：隐蔽性强·危害面广·追责复杂287万条患者信息被窃取案2878070条数据规模30万元单位罚金五年六个月主犯刑期2015–2020暗中收集借系统开发维护之便，法定代表人何某某长期暗中收集后台挂号用户个人信息2021年初安装接口导入安排人员安装接口，自动将数据导入公司自建数据库案发后提取数据从服务器、自建数据库及家中设备提取去重后个人信息法院判决罚金+刑期被告单位罚金30万元，主犯何某某有期徒刑五年六个月、罚金10万元，其余被告一年六个月至三年不等此案被最高人民法院列为侵犯公民个人信息犯罪典型案例，警示所有为医疗机构提供技术服务的外部单位——数据安全责任不可推卸9900条孕产妇信息被窃取出售案窃取利用工作便利从医院后台数据批量导出调查认定4项制度缺失：未建员工授权管理、未明信息使用权限、未加密处理、未落实安全制度处罚医院警告+罚款1.1万元，李某某刑事追责整改签订保密协议、分类管理、去标识化处理9900条孕产妇信息被窃取出售时间节点2023年7月涉事人员前台李某某处罚金额1.1万元涉事人员状态已刑拘刑事处罚+民事责任+行政责任+社会综合治理，四责联动医生泄露患者隐私信息案上海东方医院·孙某案211名患者信息及2人裸照传播浦东新区卫健委已立案调查，处理周期2个月行政处罚阶梯：警告没收违法所得→罚款1万-3万元暂停执业6个月至1年→吊销执业证书岳阳某医疗机构·谭某、徐某案012020年至2024年从医院数据共享盘下载学生信息出售02累计7万余条，非法获利3万余元03刑事判决：有期徒刑2年5个月至3年（缓刑）并处罚金双重追责：行政处分与刑事处罚并行，直接侵蚀医患信任根基，社会影响极其恶劣名人病历泄露事件警示录名人病历泄露事件集中暴露了医疗机构在电子病历访问权限、内部文书流转管理、员工保密意识三个方面的系统性短板2019年歌手林某就诊信息泄露输液针头被售卖，住院楼层、房号等信息泄露2023年12月演员周某病历截图疯传医院职工符某某出于炫耀目的拍照发微信群，被行政拘留并暂停执业2026年3月考研名师张某病历泄露《特殊治疗知情同意书》在消息未确认时即网上流传，涉及ECMO等重症治疗措施电子病历访问权限病历系统权限管控不严，导致敏感诊疗信息可被非授权人员查阅、截图并外泄系统性短板内部文书流转管理知情同意书等内部文书在流转过程中缺乏有效监管，未确认即被上传网络系统性短板员工保密意识部分医务人员保密意识淡薄，出于炫耀目的拍照传播患者隐私信息系统性短板CHAPTER风险诊断看不见的风险，才是最大的风险数据资产底数不清、权限管控粗放、第三方人员管理缺失是三大核心隐患03内部管控三大核心隐患诊断2026年专项行动直指卫健领域四大系统性短板：超范围收集、身份核验缺失、人脸识别滥用、第三方人员管理不到位数据资产底数不清分类分级缺位，敏感数据分布不明分类分级权限管控粗放最小授权原则落空，内鬼风险防不胜防最小授权对外合作共享缺乏脱敏追溯数据流出即失控，第三方管理成盲区脱敏追溯三大隐患相互关联，共同构成系统性根源——单点修补无法解决根本问题隐患一：分类不清，敏感数据混存混用"你们院有多少敏感数据？存在哪？"——某医院信息科答不上来。病历、诊断、基因数据与一般管理数据混存混用，权限边界模糊，等于给患者隐私开了一扇不上锁的门国标要求六大分类个人属性/健康状况/医疗应用/医疗支付/卫生资源/公共卫生差异化分级防护数据资产全面梳理现实落差未开展数据资产梳理敏感个人信息、重要数据界定不清差异化防护无从谈起底数不清，则后续所有管控手段都难以精准落地VS隐患二：权限粗放，内鬼防不胜防现状问题账户共享多科室共用管理员账号权限过大第三方可直接访问电子病历越权访问异常批量导出无拦截法规红线（2026年五部门新规）最小化原则操作权限严格限定3年留痕操作日志保留至少3年严禁私传禁止微信/私人邮箱传输病历权限管控粗放的直接后果：发现泄露时已为时已晚，溯源困难、损失不可逆隐患三：科研合作变数据后门以科研名义变相实施带金销售——2026年14部门联合发文重点打击核心漏洞脱敏缺失共享环节缺乏脱敏手段追溯空白数据出院后追溯空白未经处理外流医疗敏感数据未经处理即外流法规红线必须脱敏科研教学数据必须脱敏，禁止反向定位个人严打变相带金严禁借用第三方以科研名义变相带金销售三底线原则对外共享须以最小必要+脱敏处理+全程追溯为底线数据一旦给出就失控——对外合作共享必须以

最小必要+脱敏处理+全程追溯

为底线VSCHAPTER制度筑墙制度是防线，执行是关键从隐私保护委员会到保密承诺书，构建权责一致的全流程管控制度04构建四级隐私保护组织架构"谁主管谁负责、谁运营谁负责、谁使用谁负责"第一级患者隐私保护管理委员会机构主要负责人任主任委员，分管医疗、信息、法务副职任副主任委员审定战略规划与重大制度第二级数据安全与隐私保护办公室常设于信息中心或医务部日常管理制度修订、技术监督、风险评估、投诉受理、培训组织第三级各科室/部门负责人本科室第一责任人建立内部细则，指定兼职联络员第四级全体员工入职签署《患者隐私保密承诺书》严格遵循日常规范全流程数据管理制度体系①

采集仅收集诊疗必需信息，主动告知使用范围，取得明确授权，不得额外索要无关隐私②

存储电子数据统一加密存储，纸质病案专柜上锁；敏感数据与一般数据分类存储，非病案人员不得随意翻阅③

使用遵循最小必要原则，谁使用谁负责；仅限院内诊疗结算，须经授权审批，不得挪作他用④

传输院内走内部办公平台，跨机构走加密专线；严禁使用微信、私人邮箱传输病历，杜绝公网传输⑤

销毁过期纸质病历统一粉碎，淘汰设备统一数据清除；严禁职工自行变卖丢弃五环节闭环管控，覆盖数据全生命周期公网传输、私人渠道流转、私自处置设备——三项行为一律视为违规红线人员准入与培训体系入职前背景调查先行重点岗位增加信用审查入职时签署保密承诺+培训考核《患者隐私保密承诺书》+新员工隐私保护培训（法规/政策/违规后果）+培训后考核在岗中每年2次大规模培训最新法规、操作规范、案例分析；专题讲座+情景模拟+互动讨论重点岗位专项培训医护、信息管理岗位须开展专项情景模拟培训体验患者信息流转全过程双向机制建立违规处理机制建立表彰奖励机制第三方人员管控机制外包人员泄密是最高法典型案例的突出类型事前评估|事中监控|事后追溯事前评估进行个人信息保护影响评估，签订委托协议与保密协议，明确数据范围、期限、安全措施、违约责任事中监控执行最小权限原则，操作全程留痕，对异常批量导出、非授权访问等高风险行为实时监控和阻断事后追溯操作日志保留至少3年，定期审计第三方数据访问行为，违规立即终止合作并追究法律责任科研合作特殊红线共享数据必须经过脱敏处理，且不能反向定位个人严禁以科研名义将原始患者数据提供给药企等第三方应急响应与持续改进机制谁主管谁负责、谁使用谁负责、谁经手谁负责应急响应与持续改进闭环①

应急响应48h上报·启动预案·控制扩散·保护证据·通知患者②

定期审计年度评估·内审+抽查·发现隐患④

整改闭环问题建档·明确责任时限·整改销号③

持续改进法规跟进·技术发展·案例教训·患者反馈制度的生命力在于执行，执行的生命力在于闭环闭环CHAPTER技术锁门技术是硬门槛，让违规行为无处遁形五项核心技术手段+三步落地路径，构建数据安全立体防护体系05五项核心技术防护手段全景数据加密存储和传输加密覆盖电子病历、数据库、数据传输多因素认证用户名+密码+数字证书覆盖系统登录、权限验证审计日志操作行为实时记录与追溯覆盖所有数据访问节点异常监控批量导出、非工作时间访问预警覆盖HIS系统、电子病历去标识化科研教学数据脱敏处理覆盖对外共享、科研合作数据加密与访问权限控制加密与权限，是技术防护的第一道防线数据加密统一加密存储传输与存储双环节保障保密性与完整性密钥管理严格管理、定期更新2026新规敏感个人信息必须采取加密等安全技术措施权限控制最小权限按职责与业务需求分配系统操作权限多因素认证用户名、密码、数字证书等确保身份真实合法分级授权与审计仅主治医生和护理人员可查看相关病例，无关信息系统级阻断；全操作日志留痕，任何查询与修改均可追溯2026年五部门新规：操作权限执行最小化原则，确保每一次访问都有迹可循审计日志与异常行为实时监控审计日志是发现内部人员泄密行为的最有效手段，也是执法调查的关键证据审计追溯全量记录登录时间、操作内容、数据访问等用户行为实时留痕3年留存操作日志保留至少3年，满足法规要求与事后追溯定期分析审计日志定期分析，联动网络监控设备防外部攻击实时阻断异常监控电子病历批量导出、非工作时间高频访问、越权查询等高风险行为即时阻断实时监控并自动拦截，不等泄露发生再补救API审计数据库操作审计鉴权，数据共享调用异常立即告警3年留存与实时监控和阻断，是守住数据安全底线的关键数据脱敏与去标识化处理去标识化技术处理后，不借助额外信息无法识别特定自然人科研教学数据必须脱敏，禁止反向定位个人对外共享须经脱敏后方可提供宣传发布必须隐去姓名、住院号等全部隐私信息匿名化处理后无法识别且不能复原01直接标识符身份证号、电话、住址等，脱敏或删除02敏感字段疾病诊断、治疗方案等，泛化处理03共享追溯嵌入水印技术，实现来源可追踪2026年14部门联合发文重点打击以科研名义变相实施带金销售，根源在于共享环节缺乏脱敏和追溯手段，数据一旦给出就失控三步落地路径：从规划到持续运营三步路径确保技术措施与管理制度

持续有效运行先梳理、再管控、后运营010203摸清家底周期：1-2个月自动化扫描全面发现院内数据资产按《数据分类分级规则》完成分级识别核心/重要/一般数据形成敏感数据目录权限收敛核心原则：最小必要重新核定各岗位数据访问权限消除共享账号、越权访问建立基于角色的访问控制机制确保岗位只能访问最少必要数据持续运营机制：长效闭环建立数据安全负责人制度年度数据处理活动风险评估风险监测预警与应急处置实时发现、快速响应、持续优化CHAPTER全员行动保护患者隐私，是每一位在岗人员的工作职责从医护岗到信息科，六大行为禁令划定全员不可逾越的红线06全员必须遵守的六大行为禁令六大禁令，条条带电——违反任何一条，都是对患者的伤害、对自己的毁灭禁令一·禁拍禁止用手机、相机拍摄病历、胶片、单据等患者资料禁令二·禁传严禁通过微信、QQ、短信发送病历、检验结果、患者联系方式禁令三·禁弃纸质化验单、废弃单据统一粉碎销毁，禁止随手丢弃禁令四·禁查仅因本职工作需要查询患者信息，杜绝查询亲友、无关人员记录禁令五·禁离离岗必须退出HIS系统、锁屏电脑，防止他人翻阅操作禁令六·禁售严禁向第三方、中介机构售卖、提供患者信息，触犯法律红线将追刑责各岗位专项保密要求医护岗避免在公共区域大声谈论患者病情诊疗完成及时关闭病历界面不向家属以外无关人员透露诊断、病史收费医保岗妥善保管缴费单据、身份证、医保卡复印件业务办结后及时回收作废单据不向第三方泄露医保报销、收支明细病案岗借阅严格执行登记审批制度不外借、不私自带出病案室废弃病历统一粉碎销毁行政宣传岗发布素材前隐去姓名、住院号等全部隐私信息未经患者书面同意不得使用诊疗影像、病例故事信息科岗做好数据库权限分