流调资料保密管理规范

流调资料保密管理规范一、总则1.1编制目的与依据流调资料涉及个人健康状况、活动轨迹、家庭关系、社会交往等敏感信息，一旦泄露会导致被调查者遭受歧视、人肉搜索甚至人身威胁，并动摇公众配合流调意愿、拖累整体防控。为规范流行病学调查（以下简称流调）资料的采集、传输、存储、使用、销毁全流程保密管理，依据《中华人民共和国传染病防治法》《中华人民共和国个人信息保护法》《中华人民共和国数据安全法》《医疗卫生机构网络安全管理办法》及国家关于传染病流行病学调查信息管理的有关规定，制定本规范。1.2适用范围本规范适用于各级疾控机构、参与流调的医疗机构、街道（社区）协查人员、第三方技术支持单位在流调工作中形成的全部资料，包括：•个案调查表、密切接触者判定记录、现场勘查笔录；•核酸/抗原检测结果、疫苗接种记录、病历摘要、用药信息；•手机信令、支付记录、监控视频截图、行程轨迹数据；•音频/视频访谈录音、通话记录、微信/短信聊天记录截图；•含上述信息的纸质件、电子文档、数据库记录、临时便签。1.3基本原则1.最小必要：仅采集与病例溯源和风险判定直接相关的信息，能不采的坚决不采，能脱敏的必须脱敏。2.全程留痕：每一次查阅、复制、外发操作均有日志可查，做到「谁、何时、查了什么、给了谁」四要素可追溯。3.分级授权：按岗位设定资料接触权限，接触面最小化——现场流调员只见本人负责个案，数据分析组只见脱敏后集合数据。二、资料分级与权限管理2.1资料密级划分流调资料按敏感程度分为三级，密级决定存储载体、传输方式和授权范围：级别资料类型存储要求传输方式可接触人员一级（核心敏感）含姓名+身份证号+详细住址+完整轨迹的组合信息、录音录像原始件指定加密专机或上锁文件柜点对点加密传输（具体方式见2.3）经授权的个案流调员、流调组长、密接判定审核人二级（工作敏感）单独的姓名信息、单独的轨迹信息、密接名单（仅姓名+电话）内网工作终端，禁止拷贝至个人设备内网系统内流转流调队成员、消杀组（仅地址）、转运组（仅姓名+电话+地址）三级（内部数据）脱敏后的统计数据、汇总报表（无姓名、无精确地址，地址精确到区县级）办公内网内网共享目录经审批的分析人员、汇报材料使用判级原则：任两项核心标识信息（姓名、身份证号、手机号、精确住址）组合出现即升为一级；单纯的汇总数字（如「某区某日新增X例」）且不与标识信息关联的为三级。发生争议时由流调信息管理员判级，24小时内答复。2.2岗位权限矩阵权限由流调信息管理员统一配置，人员入队当日开通、离队当日（最迟次日9:00前）注销，禁止「先用后批」：岗位一级资料二级资料三级资料外发权限现场流调员本组个案（读）本组个案（读写）读无流调组长本队全部（读写）读写读经信息管理员审批后可向指挥部报送信息管理员读写读写读写审批他人外发数据分析员无无读写无外部支援人员（公安、运营商等）现场口头核对，不留存无无无权限实行「双人复核」：信息管理员开通一级权限前，须经流调组长书面（或工作群文字留痕）确认；注销记录每月导出存档，保存期不少于2年。2.3一级资料传输规定优先使用指定的加密办公系统或专线传输；若不具备条件，采用国家密码管理部门认可的加密工具加密后传输，密码与密文分两条渠道发送（如密文走工作邮箱、密码走电话口述）；严禁通过个人微信、QQ、朋友圈、公共网盘、普通电子邮件发送一级资料（这些渠道存在被转发、被缓存、被平台扫描的不可控风险，且一旦外发无法撤回收回）。违反者第一次通报批评并收回权限，第二次调离流调岗位，造成泄露的移交有关部门依法处理。三、采集环节保密要求3.1采集范围控制现场流调按「溯源必需」划定采集边界，禁止出于好奇或「多留点没坏处」心态超范围采集：•必须采集：发病前4天内（按潜伏期推算）的活动轨迹、同住/同餐/同工/同乘人员信息、既往基础疾病中与临床处置直接相关者。•可采集（需说明用途）：职业信息（判定聚集性风险）、疫苗接种史。•严禁采集：婚姻情感史、宗教信仰、收入存款、非共同居住的社会关系细节、与传播链无关的隐私行为。若被调查者主动谈及，流调员应口头提示「与调查无关的信息我们不记录」并停止记录。3.2现场访谈要求1.访谈优先安排在独立房间或相对隔离区域；不具备条件时压低音量、拉设一米线，禁止围观人员进入。2.使用工作终端记录，纸质表填写时用手臂或夹板遮挡，离开现场前清点每页纸张数量（含草稿、便签），遗失任何一页立即报告组长并在1小时内核查去向。3.录音录像必须事先口头告知并获被调查者同意，原始件当日回传专机后删除终端本地副本；被拒绝时改用文字记录，不得以「配合防疫」为由强制录音。4.访谈中严禁用手机对着资料拍照留存个人相册——手机相册会自动云端同步，存在家庭成员、维修人员接触的泄露路径；确需拍照的用工作终端拍照并直接存入指定加密目录。3.3采集终端要求•工作终端统一安装：锁屏密码（6位以上，5分钟自动锁屏）、全盘加密、远程擦除功能。•禁止在工作终端安装社交娱乐软件、开启「允许未知来源应用」；禁止用同一终端登录个人云盘。•终端遗失：30分钟内向信息管理员报告，信息管理员1小时内启动远程锁定与擦除，24小时内评估遗失期间数据接触面并书面报告。四、存储与使用环节管理4.1电子资料存储•一级资料存储于流调专机或内网专用数据库，数据库开启操作日志（记录账号、时间、操作类型、涉及记录ID），日志保存期不少于2年。•电子文档必须设置打开密码且密码不与文件同渠道传递；文件命名禁用真实姓名，统一使用「个案编号+日期」格式（如AL2025-0042_0315），编号与真实身份的对照表单独加密存放，仅信息管理员持有。•电脑屏幕离开时锁屏；禁止在电梯、公共交通等公共场所打开一级资料；确需在外查看时使用防窥膜并避开人流。4.2纸质资料存储•设专用文件柜，双人双锁（信息管理员+一名授权人员各持一把），取用登记：日期、份数、页数、取用人、归还时间。•复印一级纸质资料须经组长批准，按需复印，复印机缓存当日清除；作废件当场用碎纸机（碎粒规格不大于4mm×30mm的Cross-cut级）销毁，严禁整页丢入普通垃圾桶或碎纸后混入可回收物。4.3使用与对外发布1.内部使用：按2.2权限矩阵执行，超权限查阅须组长书面批准，批准记录留存。2.向指挥部/上级报送：优先报送脱敏汇总数据；必须报个案信息的，通过加密渠道点对点报送并要求接收方签署保密承诺（模板见附件3）。3.对社会公开：仅可发布三级脱敏信息。公布轨迹时必须删除住址门牌号、身份证号、手机号、性别年龄的精确组合，活动场所脱敏至「某区某街道某类场所」；发布前由信息管理员+法务/宣传岗双审，发布件与审核记录归档。4.严禁向无关单位、商业机构、媒体、个人提供个案信息；接到外部索要请求的，一律答复「须经审批」，转信息管理员按2.2程序处理。4.4保密责任书与培训•全员上岗前3日内签署《流调资料保密责任书》（附件3），未签署者不得接触任何流调资料。•上岗前完成不少于2学时保密培训，内容覆盖分级标准、传输红线、终端要求、泄密案例；考核10题，80分合格，不合格者补训补考后再上岗。•工作期间每2周组织1次15分钟保密提醒晨会（通报近期违规操作类型，如微信传件、桌面留纸），由组长主持。五、销毁与退出管理5.1电子资料销毁任务结束或资料超保存期后销毁，销毁前须完成归档判断：1.需长期归档的（依法保存的传染病报告个案资料），转入归档库，密级不变、日志延续。2.无保留价值的：删除专机文件并清空回收站，数据库记录由信息管理员执行逻辑删除+备份磁带按周期覆写；纸质件按4.2要求碎毁。销毁执行须两人同场，填写《销毁登记表》（附件4），签字存档不少于2年。5.2人员退出•流调任务结束或人员离岗当日：信息管理员注销全部账号权限；本人当日交回全部纸质资料、工作终端、门禁卡，并在《离岗交接单》签字确认「未以任何形式留存复制流调资料」。•保密义务不因离岗终止；离岗后6个月内进行1次电话回访确认（由信息管理员执行并记录）。六、泄密事件应急处置6.1事件分级级别判定标准启动权限Ⅰ级（重大）一级资料已扩散至不可控范围（网络传播、媒体获取），或涉及3人以上信息泄露立即报告流调负责人和单位主要负责人，2小时内报告属地主管部门Ⅱ级（较大）一级资料泄露给特定无关人员但已收回/未二次传播，或二级资料群发报告流调负责人，24小时内完成处置报告Ⅲ级（一般）违规操作但未实际泄露（如用微信误发至工作群后5分钟内撤回、文件柜未上锁）组长处置并报信息管理员备案6.2处置流程发现或怀疑泄露后按以下顺序执行，全程不超过2小时完成初步控制：1.止流：删除已发出文件、撤回消息、通知接收方删除并要求其书面/语音确认；网络传播的立即联系平台投诉下架（留存投诉回执）。2.评估：信息管理员核查操作日志，锁定泄露源头、范围、涉及人数，形成初步评估（泄露内容、涉及人数、扩散渠道）。3.告知与补救：涉及个人信息泄露的，按《中华人民共和国个人信息保护法》要求及时告知本人，说明泄露内容与已采取的措施；对高风险人员（住址泄露、遭受滋扰）协调社区提供必要协助。4.报告：按6.1分级上报，Ⅰ、Ⅱ级事件3个工作日内提交书面处置报告（含时间线、原因、责任认定、整改措施）。5.整改：针对根因整改——制度漏洞补制度、权限漏洞收权限、人员问题按2.3追责；同类违规1个月内出现2次的，全员复训并考核。处置核心是「先止损、后追责」：禁止为规避责任而隐瞒不报——隐瞒行为按一级违规处理，比泄露本身处理更严。七、附则1.本规范由流调信息管理组负责解释，自发布之日起施行。2.各流调队可结合实际制定实施细则，但授权范围、传输红线、追责标准不得宽于本规范。3.本规范未尽事宜，按《中华人民共和国个人信息保护法》《中华人民共和国传染病防治法》及上级有关规定执行。附件1：资料取用登记表（样表）日期资料名称/编号密级份数/页数取用人用途归还时间归还确认人2025-03-15AL2025-0042一级1份4页李某某密接判定2025-03-1517:30王某某附件2：保密自查清单（每周执行1次，组长签字）•[]所有专机锁屏密码符合要求，无共享账号•[]抽查3台终端，无社交软件、无个人云盘登录•[]文件柜双人双锁完好，取用登记无缺项•[]本周外发记录均有审批留痕•[]离队人员权限已全部注销•[]作废纸质件已碎毁并有登记附件3：《流调资料保密责任书》（要点模板）本人知悉流调资料的保密要求，承诺