患者隐私信息保护管理办法

患者隐私信息保护管理办法一、第一章总则本章界定本制度的法理依据、适用边界与核心概念，是全院所有隐私保护动作的合法性根基。1.1第一条目的与依据为规范本院患者隐私信息全生命周期管理，防范信息泄露、篡改、滥用风险，依据《中华人民共和国个人信息保护法》《中华人民共和国数据安全法》《中华人民共和国基本医疗卫生与健康促进法》《中华人民共和国网络安全法》《医疗机构管理条例》《医疗机构病历管理规定》等法律法规，结合本院实际，制定本办法。1.2第二条适用范围本办法适用于本院所有部门、科室及全体在岗人员，包括但不限于：•编内及编外医务人员、行政后勤人员•规培生、实习生、进修生•外包驻场人员（含保洁、安保、IT运维、设备维保）•第三方信息系统供应商及检验检测合作机构1.3第三条核心定义•患者隐私信息：指在诊疗、保健、结算等业务过程中产生的、与患者个人身份及健康状况相关的各类信息，包括身份识别信息、联系方式、诊疗记录、检验检查结果、医学影像、基因及生物特征数据、费用与医保信息等。•敏感个人信息：按照《中华人民共和国个人信息保护法》第二十八条界定，医疗健康信息、生物识别信息、特定身份信息（如HIV感染状态）属于敏感个人信息，处理活动须取得单独同意。•去标识化：经过技术处理，使信息在不借助额外信息的情况下无法识别特定自然人的过程，常用手段包括脱敏、伪名化、哈希映射等。•信息全生命周期：涵盖信息的收集、存储、使用、加工、传输、提供、公开、销毁等全部环节。1.4第四条基本原则1.合法正当必要原则：信息处理必须基于诊疗目的或其他法定事由，不得超出业务必需范围收集和处理。2.最小可用原则：系统按角色配置权限，默认仅展示完成当前业务所需的最少字段。3.知情同意原则：除法定情形外，处理患者隐私信息须取得患者或其监护人的知情同意。4.分级分类原则：依据信息敏感程度实施差异化管控，资源向高敏感信息倾斜。5.可追溯原则：所有信息访问、修改、导出操作必须留存审计日志，日志保存期不少于5年。1.5第五条组织架构本院患者隐私信息保护工作实行"委员会决策—归口管理—科室执行"三级架构：•决策层：患者隐私信息保护管理委员会（以下简称"委员会"）•管理层：信息中心为归口管理部门，医务部、病案室协同•执行层：各临床、医技、行政科室二、第二章组织与职责职责清晰是制度落地的第一道防线——任何一个环节出现"无人负责"的真空，信息泄露风险将立即填补这一空隙。2.1第六条患者隐私信息保护管理委员会组成：主任委员由分管医疗与信息化的副院长担任，副主任委员由医务部主任、信息中心主任担任，委员包括护理部、门诊部、病案室、保卫部、法务部、人力资源部、质量管理部、检验科、影像科负责人。职责（PDCA闭环）：•计划（P）：每年1月底前审议并发布全院患者隐私保护年度工作计划，明确重点任务、预算配置、考核指标。•执行（D）：授权启动重大隐私事件（Ⅰ级）应急响应，协调跨部门资源调配。•检查（C）：每季度最后一周召开例会，听取归口部门工作汇报，审议审计报告与事件复盘报告。•改进（A）：对制度修订、技术防护投入、人员问责做出决议，会后5个工作日内形成会议纪要并下发。2.2第七条信息中心（归口管理部门）•维护《患者隐私信息资产清单》，每半年更新1次，记录信息系统名称、数据字段、分级、存储位置、负责人。•组织技术防护措施建设与日常运维，包括防火墙、入侵检测、数据加密、访问控制、审计日志等。•接收隐私泄露线索，2小时内完成初步核查并上报委员会。•每年至少组织1次全院患者隐私保护专项培训。•牵头组织年度第三方信息安全审计。2.3第八条医务部•审核涉及患者隐私信息的业务流程变更，确保合规。•负责医疗纠纷中涉及隐私问题的调查与处置。•管理会诊、转诊场景下的隐私信息交接。2.4第九条病案室•病历的保管、借阅、复印、销毁严格执行登记审批制度。•病案库房实行双人双锁管理，出入库登记台账保存至病历销毁后5年。•病历复印申请必须核验申请人身份原件，留存认证材料。2.5第十条各科室主任与护士长•为本科室患者隐私保护第一责任人。•科室内部建立信息交接台账，涵盖交班、转科、会诊等场景。•每月最后一周完成科室自查，签字确认后报信息中心。2.6第十一条全体人员•入职/入职7天内签署《患者隐私信息保密承诺书》。•仅访问与本职工作直接相关的患者信息，禁止查阅非经管患者信息（会诊、转科等经审批情形除外）。•离岗/离职24小时内交还所有载有患者信息的介质，账号由信息中心即时注销。三、第三章患者隐私信息分类分级分类分级是差异化管控的前提——不分级的"一视同仁"管理，本质上是把核心敏感信息与普通信息混在同一个篮子里，既浪费资源又放大风险。3.1第十二条信息分类按信息内容属性分为以下六类：序号信息类别典型字段1身份识别信息姓名、身份证号、出生日期、国籍、民族2联系信息手机号码、固定电话、电子邮箱、住址、紧急联系人姓名及电话3诊疗信息主诉、现病史、既往史、家族史、诊断（含ICD编码）、处方、手术记录、麻醉记录、护理记录4检验检查信息化验结果、病理报告、内镜报告、超声报告、CT/MRI/DR影像数据5基因与生物特征信息基因检测结果、染色体分析、指纹、虹膜（若采集）6费用与医保信息医保类型、医保号、个人账户余额、结算明细、商业保险信息3.2第十三条信息分级按敏感程度分为三级：等级名称判定标准典型示例L3核心敏感级一旦泄露可能对患者造成严重人身安全、名誉、就业、保险等损害，或涉及特殊保护群体HIV/性病/精神疾病/遗传病诊断、基因数据、未成年人受侵害记录、人工辅助生殖记录、家庭暴力记录L2高敏感级一旦泄露可能造成身份盗用、医疗诈骗、精准骚扰身份证号、详细住址、完整诊疗记录、检验检查结果、医学影像L1一般敏感级单独泄露风险有限，但与其他信息组合后风险上升姓名、性别、年龄段、就诊科室、预约/就诊时间、床号3.3第十四条分级管控要求不同等级的信息，其访问、存储、传输、销毁的标准存在本质差异：管控维度L3核心敏感级L2高敏感级L1一般敏感级访问授权双重授权（科室主任+信息中心）+审批留痕+操作录屏角色权限+系统审计日志院内身份认证存储加密必须加密存储，密钥与数据物理隔离必须加密存储推荐加密存储传输要求仅限院内加密内网，严禁任何形式的院外传输院外传输须加密通道（TLS1.2及以上）+审批院内内网传输审计频率每月100%覆盖每月抽查≥每季度抽查≥销毁方式介质物理销毁+双人监销多次覆写（≥7常规删除+记录四、第四章信息全生命周期管理信息从产生到销毁是一条单向流动的链条，任何一个环节出现管控断点，都可能导致前序所有防护措施失效。4.1第十五条信息收集为什么这么做：收集是信息生命周期的起点，超范围收集将导致后续所有环节的防护负担放大；未经告知的收集则构成违法行为。怎么做：•收集患者隐私信息必须基于明确的诊疗目的，禁止以"未来可能有用"为由超范围收集。•首次就诊时，由接诊工作人员引导患者签署《患者隐私信息知情同意书》，告知内容包括：收集目的、信息范围、保存期限、对外提供情形、患者权利。•急诊抢救等无法及时取得同意的情形，按照《中华人民共和国个人信息保护法》第二十七条"紧急情况下为保护生命健康所必需"处理，但必须在患者恢复意识或监护人到场后3个工作日内补签。出问题怎么办：发现超范围收集（如门诊挂号采集患者指纹），信息中心应在24小时内冻结相关采集功能，通知业务科室整改，整改验收后方可恢复。4.2第十六条信息存储•患者隐私信息必须存储于院内核心信息系统数据库，严禁在个人终端（笔记本电脑、台式机、手机）本地存储。•L3信息必须加密存储，加密密钥与数据分库分服务器存放，密钥访问需二次认证。•纸质病历存储于病案库房，库房温度控制在18∼22∘•病历保存期限：门急诊病历≥15年，住院病历≥4.3第十七条信息使用最小可用机制：•信息系统按角色配置字段展示权限。例如，收费窗口仅显示姓名、费用明细，不展示诊断信息；护士工作站显示护理相关字段，不显示检验详细结果。•查阅非经管患者信息（如学术研究、回顾性分析），必须填写《患者隐私信息访问申请表》（见附件2），经科室主任审批后开通限时权限（默认7天，到期自动收回）。•诊疗以外用途（科研、教学、统计分析）必须进行去标识化处理，去除姓名、身份证号、住址、联系方式、住院号等直接标识符，保留诊断、年龄（精度至5岁区间）、性别等间接标识符。动作机理：去标识化并非简单删除姓名——研究显示，仅凭"邮政编码+性别+出生日期"三字段即可唯一识别63%4.4第十八条信息传输•院内传输：优先使用院内加密内网（VLAN隔离+MAC绑定）；若不具备内网条件（如移动查房车信号弱），可使用经信息中心认证的院内5G专网；严禁使用公共Wi-Fi传输患者信息（公共Wi-Fi可被中间人劫持，传输内容明文可读）。•院外传输（转诊、会诊、医保上报）：必须使用加密通道（TLS1.2及以上）或加密文件（AES-256），由信息中心配置专用传输通道。•即时通讯：严禁通过微信、QQ、钉钉个人账号、个人邮箱发送含患者信息的文件、截图、照片。如需远程沟通，必须使用医院指定的加密通讯平台（如企业微信医疗版+水印+阅后即焚）。禁忌三件套示例：严禁用手机拍摄患者检验报告单发微信群（照片可能被转发、保存在他人手机相册或云备份，形成不可控传播链）→改为在企业微信医疗版中发送报告PDF，设置阅后即焚+动态水印（含操作人姓名+工号+时间）。4.5第十九条信息共享与对外提供公检法调取：•需出示协查函/调查令+工作证+两名以上执法人员到场。•由医务部审核材料完整性，分管副院长签字后提供。•提供范围以法律文书载明的内容为限，禁止"打包提供"全部病历。•提供过程留存复印件和接收回执，归档保存。商业保险核对：•必须有患者本人或授权代理人签署的授权书原件，授权范围明确标注险种、保单号、核对项目。•仅提供与理赔直接相关的信息（如诊断证明、住院费用清单），不提供完整病历（除非患者授权范围明确包含）。院际转诊：•优先通过区域卫生信息平台加密传输；若无平台对接，加密文件+加密邮件发送至对方医院指定邮箱，邮件正文不含任何患者信息。•转诊后30天内，信息中心核查对方接收确认回执。4.6第二十条信息销毁•电子数据：保存期满后经委员会审批，由信息中心执行销毁。存储介质优先物理销毁（粉碎至残渣≤2mm•纸质病历：保存期满后由病案室统一送至具备保密销毁资质的机构，销毁过程由病案室与保卫部双人监销，监销人签字确认，销毁录像保存3年。五、第五章物理与网络安全防护物理与网络是隐私保护的"地基"——系统权限管得再严，一扇没锁的门或一个没补的漏洞就能让所有防线形同虚设。5.1第二十一条物理环境安全•核心机房：实行门禁卡+指纹双重认证，进出人员登记台账，视频监控覆盖率100%，录像保存≥90天。机房温度维持20∼25∘C•病案库房：双人双锁，钥匙分别由病案室指定人员和保卫部保管。非病案室人员进入需登记并由病案室人员陪同。•诊室与候诊区：严格落实"一医一患一诊室"制度，诊室门关闭状态下接诊。候诊区设置"一米线"标识或叫号屏，叫号信息仅显示"姓名脱敏（如张某某）+序号"，不显示诊断、科室敏感信息。5.2第二十二条终端设备安全•准入控制：所有终端安装准入控制软件，未注册设备无法接入院内网络。外来设备接入需信息中心审批并临时注册，使用完毕立即注销。•屏幕保护：工作站设置5分钟无操作自动锁屏，锁屏后需重新输入密码解锁。•移动存储介质：严禁使用个人U盘、移动硬盘拷贝患者信息。如因业务必需（如离线数据迁移），必须使用信息中心配发的加密U盘（硬件加密+密码+操作日志），使用后24小时内归还并清空数据。禁忌三件套：严禁在公共电脑（如图书馆、网吧、家庭共用电脑）登录HIS/PACS/LIS系统的浏览器会话（浏览器可能已安装恶意插件或键盘记录程序，可截获登录凭证和页面内容）→改为使用院内终端或经信息中心认证的VPN+双因素认证远程接入。5.3第二十三条网络边界安全•隔离架构：院内核心业务网络与互联网逻辑隔离，部署下一代防火墙（NGFW），默认拒绝所有入站连接。远程办公需VPN+短信验证码双因素认证，VPN账号与院内域账号绑定。•入侵检测：部署网络入侵检测系统（IDS），规则库每周更新。对疑似数据外传行为（如单IP单小时上传量超过500M•漏洞管理：每季度进行1次全院漏洞扫描，发现高危漏洞48小时内完成修复，中危漏洞7个工作日内修复。修复前必须部署临时缓解措施（如WAF规则、端口封禁）。5.4第二十四条系统权限管理•权限模型：基于角色的访问控制（RBAC），角色定义与岗位职责对应。例如，"门诊医生"角色可查看本科室当日挂号患者信息，"住院医生"角色可查看本科室在院患者信息。•权限申请与审批：新增或变更权限通过OA流程申请，科室主任初审→信息中心复审→系统管理员执行配置，全流程留痕。•离职处理：人力资源部每月1日向信息中心推送上月离职名单，信息中心在离职生效后24小时内关闭所有系统账号、回收VPN权限、注销域账号。•特权账号管理：系统管理员账号纳入密码保险柜管理，密码每月轮换，所有操作录屏审计，每月由信息中心主任抽查≥10六、第六章诊疗场景下的隐私保护不同诊疗场景的隐私风险特征差异巨大——门诊的"人多耳杂"、住院的"床头卡信息暴露"、教学的"病例展示"各有不同的泄露路径和阻断点。6.1第二十五条门诊场景•叫号系统仅显示"脱敏姓名+序号"（如"张某某A015"），不显示诊断、检查项目。•诊室实行"一医一患"制度，实习生、规培生观摩须经患者口头同意，患者有权拒绝。•医生在走廊、护士站等公共区域讨论病情时，不得提及患者姓名和可识别信息，使用床号或门诊号代称。•检验报告自助打印需刷就诊卡或扫描二维码取号，打印界面不显示报告内容，纸质报告从打印机封闭出口取出。6.2第二十六条住院场景•床头卡信息最小化：仅显示姓名（脱敏）、床号、护理级别、饮食类别、过敏史标识，不显示诊断。涉及L3诊断（如精神科）的床头卡仅显示床号和护理级别。•查房音量控制：查房讨论控制音量，确保走廊及相邻病床无法清晰辨识。涉及L3诊断的病情讨论应在示教室或关门窗后进行。•病情告知：仅向患者本人或授权委托人告知。家属询问病情须核验身份并出示患者签署的《授权委托书》。6.3第二十七条检查检验场景•影像科、超声科、内镜室等检查区域禁止非本次检查人员在场（必要的陪检人员除外）。•影像科公共显示器（用于教学或病例讨论）必须对图像进行脱敏处理，去除姓名、ID、检查日期叠加信息中的直接标识。•检验科报告窗口实行"一号一取"，取号后方可打印，避免报告混拿。6.4第二十八条会诊场景•院内会诊：会诊申请单通过HIS电子流转，不使用纸质传递。会诊记录在病程录中完整记载，不再单独打印。•院外远程会诊：必须由患者签署《远程会诊知情同意书》，告知会诊方名称、信息传输方式。会诊材料必须去标识化处理，传输使用加密通道。会诊结束后3个工作日内，由发起科室确认对方已删除材料。6.5第二十九条教学科研场景•教学病例：大查房、病例讨论、学术会议展示的病例必须去除姓名、身份证号、住址、联系方式、住院号等直接标识符。使用"患者A""病例1"等代号替代。•科研数据使用：须提交科研伦理委员会审批，签署数据使用协议，明确用途、使用期限、销毁要求。数据交付前由信息中心进行去标识化处理和重标识风险评估。•论文发表与学术交流：引用真实病例需进一步脱敏——年龄精确到5岁区间（如60∼七、第七章第三方与外包管理第三方是隐私防护体系中最容易被忽视的"侧门"——供应商驻场人员拥有系统账号却不受医院管理约束，是信息泄露的高频源头。7.1第三十条供应商准入评估•涉及患者信息的信息系统供应商，在采购阶段必须通过信息安全评估，评估清单包括：◦是否持有ISO27001或同等信息安全管理体系认证◦近3年是否有数据泄露事件记录◦数据驻留地点（必须在中国境内）◦数据加密、访问控制、审计日志技术能力•评估未通过的供应商，不得进入采购短名单。7.2第三十一条合同约束•与涉及患者信息的供应商签订合同必须包含《数据保密协议》，核心条款包括：◦明确数据使用范围、禁止二次使用、保存期限、销毁义务◦约定审计权：医院有权每年1次现场审计供应商的数据安全措施◦约定违约责任：单次违约赔偿金额不低于合同总额的20%◦约定数据返还/销毁义务：合作终止后15个工作日内完成数据返还或销毁，并出具销毁证明7.3第三十二条驻场人员管理•入场前7个工作日提交驻场人员名单及背景调查材料（无犯罪记录证明），由人力资源部审核。•驻场人员签署保密承诺书，参加医院隐私保护培训并考试合格后方可上岗。•工作区域物理隔离，账号权限按"最小可用"原则配置，禁止访问L3信息。•离场24小时内注销账号、收回门禁卡、证件，由信息中心确认数据无外带。八、第八章应急响应与事件处置隐私泄露事件的危害程度与响应速度呈指数关系——发现后1小时内阻断扩散，损失可控；超过24小时未处置，泄露范围可能扩大数十倍。8.1第三十三条事件分级等级名称判定标准Ⅰ级重大事件L3信息泄露≥100例，或L2信息泄露≥Ⅱ级较大事件L3信息泄露10∼99例，或L2信息泄露Ⅲ级一般事件L3信息泄露<10例，或L2信息泄露<8.2第三十四条启动权限与处置原则等级启动权限处置原则Ⅰ级委员会主任委员4小时内召集应急会议阻断扩散优先，同步取证，24小时内向属地卫生健康行政部门和网信部门报告Ⅱ级委员会副主任委员8小时内启动处置信息中心牵头阻断与取证，48小时内向委员会报告Ⅲ级信息中心主任24小时内处置信息中心独立处置，5个工作日内向委员会备案8.3第三十五条处置流程风险演化路径示例：内部员工违规导出患者名单→通过个人邮箱发送至外部机构→外部机构转售→患者接到精准医疗推销电话→患者投诉/起诉阻断点设计：导出环节（权限管控+审批）、发送环节（邮件网关DLP拦截+附件扫描）、传播环节（发现后立即冻结账号+法律追责）。具体流程：1.发现与报告：任何人员发现疑似泄露事件，30分钟内电话报告信息中心值班电话（138******），1小时内提交书面报告（邮件至xxx@）。2.初步研判：信息中心接报后2小时内完成初步核查，判定事件级别，报告对应级别的启动权限人。3.应急阻断：◦立即冻结涉事账号，封禁涉事终端IP◦隔离涉事系统模块（如仅涉及某科室数据，可仅隔离该模块，不影响全院业务）◦检查并封堵数据外传通道（邮件网关、USB端口、网盘上传）4.取证保全：◦保留系统日志、数据库操作日志、网络流量日志、监控录像，严禁任何修改或删除◦涉事终端由信息中心封存，由法务部指导取证流程5.外部报告：Ⅰ级事件24小时内向属地卫生健康行政部门和网信部门报告，报告内容含事件概况、影响范围、已采取措施、下一步计划。6.患者通知：根据事件影响范围，由医务部牵头，48小时内通知受影响患者，告知泄露内容、可能影响、防护建议、医院补救措施。7.总结复盘：事件处置完成后7个工作日内提交复盘报告，1个月内完成整改并验收。整改未通过的，提级管理。九、第九章监督检查与考核没有检查的制度等于没有制度——考核不是为了惩罚，而是为了在风险发生前暴露管理漏洞。9.1第三十六条日常检查•信息中心每月抽查3个科室，检查内容包括：◦终端锁屏设置是否生效◦桌面是否有遗留的纸质病历或报告◦权限使用是否合理（抽查5个账号的访问日志）◦移动存储介质使用是否规范•护士长每周检查护士站电脑使用情况，重点核查是否有人未退出登录即离开。•检查结果记录于《患者隐私保护日常检查表》（见附件4），发现问题的3个工作日内下发整改通知。9.2第三十七条专项审计•每年1次委托第三方机构进行信息安全审计。•审计重点：HIS/PACS/LIS访问日志、管理员操作记录、权限变更记录、数据导出记录、网络边界告警记录。•审计报告提交委员会审议，整改清单限期完成。9.3第三十八条培训管理培训对象培训频次培训内容考核要求新入职人员入职7天内法规基础、制度要点、操作规范线上考试≥80全院在岗人员每年至少1次年度案例复盘、新增风险点、制度修订线上考试≥80重点岗位（系统管理员、病案管理员、检验科、影像科）每季度1次技术防护专题、应急演练演练考核合格第三方驻场人员入场前1次医院制度、驻场操作规范签署承诺书+考试合格9.4第三十九条问责机制事件等级当事人处理科室负责人处理Ⅰ级解除劳动合同，移送司法机关（涉嫌违法的）扣发3个月绩效，全院通报，年度考核不得评优Ⅱ级记大过，扣发6个月绩效扣发1个月绩效，科室年度考核扣分Ⅲ级警告，扣发1∼科室内部通报，限期整改同一科室1年内发生2起及以上同类型隐私事件的，科室主任免职。十、第十章附则10.1第四十条本办法自发布之日起施行，由患者隐私信息保护管理委员会负责解释。10.2第四十一条本办法每2年修订1次。国家法律法规发生变化或发生重大隐私事件时，可启动临时修订。10.3第四十二条本院此前发布的相关规定与本办法不一致的，以本办法为准。附件1患者隐私信息知情同意书（样表）字段内容医院名称____________医院患者姓名____________身份证号____________就诊卡号____________签署日期__年月__日告知事项：1.本院在诊疗过程中将收集您的身份信息、联系方式、诊疗记录、检验检查结果等隐私信息，仅用于提供医疗服务。2.您的信息将保存于本院核心信息系统，保存期限按《医疗机构病历管理规定》执行。3.除以下情形外，本院不会向任何第三方提供您的信息：◦您本人或授权代理人书面同意◦公安机关、司法机关依法调取◦转诊、会诊等医疗必需4.您有权查阅、复制、更正您的个人信息，请联系病案室（电话：__________）。患者签名：__________日期：__________监护人/委托人签名（如适用）：__________与患者关系：__________附件2患者隐私信息访问申请表（样表）字段内容申请人姓名____________工号____________科室____________申请事由____________涉及信息等级L1/L2/L3（勾选）涉及患者范围____________（如：20