病案信息合理利用中国专家共识（2025版）

病案信息合理利用中国专家共识（2025版）随着医疗健康领域数字化转型的加速，病案信息已不再仅仅是医疗过程的记录载体，而是演变为医院管理、临床科研、公共卫生监测以及医疗保险支付的重要核心资产。然而，数据价值的挖掘与患者隐私保护、信息安全之间的矛盾日益凸显。为了规范病案信息的利用行为，平衡各方权益，促进医疗数据的高效流转与价值转化，特制定本共识。本共识旨在为各级医疗机构、科研院所及相关数据使用方提供一套科学、严谨、可操作的病案信息合理利用指导方案。一、病案信息利用的基本原则与伦理规范在数字化医疗时代，病案信息的利用必须建立在坚实的伦理与法律基础之上。任何形式的数据提取、分析与共享，均不得违背以下核心原则，这是保障数据生态可持续发展的前提。1.1合法合规性原则病案信息的利用必须严格遵守《中华人民共和国民法典》、《中华人民共和国个人信息保护法》、《中华人民共和国数据安全法》、《中华人民共和国医师法》以及《医疗纠纷预防和处理条例》等相关法律法规。医疗机构在建立病案信息系统及开展数据服务时，应当确保数据全生命周期（采集、存储、使用、加工、传输、提供、公开）的合法性。特别是涉及人类遗传资源信息的病案数据，在跨境提供或向第三方机构提供时，必须通过国家相关科技管理部门的审批与备案。1.2知情同意与授权原则知情同意是病案信息利用的伦理基石。共识明确指出，对于用于临床诊疗、公共卫生报告等法定职责范围内的数据利用，可视为履行“告知后同意”的默示许可；但对于超出常规诊疗范围，特别是涉及商业用途、大规模科研或可能识别个人身份的二次利用，必须获得患者特定的知情同意。医疗机构应建立分层级的知情同意机制：诊疗层面：在入院建档或签署病案授权书时，明确告知患者其病案资料可能用于医疗质量评估、医院内部管理及教学。科研层面：涉及前瞻性研究或回顾性研究且需提取可识别信息时，应通过伦理委员会审查，并视情况免除或获取知情同意。商业转化层面：凡涉及与企业合作的数据利用项目，必须签署严格的数据处理协议，并确保患者在知情范围内知晓其数据去标识化后的用途。1.3目的限定与最小化原则数据的利用必须有明确、合法、正当的目的。禁止“一揽子”授权或无明确目的的数据调取。在申请使用病案信息时，申请方应精确界定所需数据的字段范围、时间跨度及样本量。最小化采集：只请求与研究或管理目的直接相关的最小数据集。目的限制：获得的数据不得用于原定目的之外的其他活动，例如，申请用于临床疗效分析的数据，严禁被转用于保险营销或商业推广。1.4安全保障与风险控制原则医疗机构必须建立技术与管理并重的安全防护体系。从网络安全、主机安全、应用安全到数据安全，实施多层次防护。对于敏感数据的访问，必须实施严格的身份认证、权限控制和审计追踪。任何数据导出行为都必须留痕，确保在发生数据泄露事件时能够溯源定责。二、病案信息的分类分级管理体系为了实施精准化的管理与利用，共识提出建立病案信息的分类分级标准。并非所有病案数据都具有相同的敏感度和价值，因此，应根据数据属性进行差异化处理。2.1病案数据的分类维度病案信息应按照业务属性和数据特征进行多维分类：按临床属性分类：分为门急诊病历、住院病历、护理记录、检查检验报告、手术记录、病程记录等。按数据结构分类：分为结构化数据（如诊断编码、费用明细、检验数值）、非结构化数据（如病程描述文本、影像资料DICOM文件）及半结构化数据。按敏感程度分类：这是利用管理的核心，分为个人身份信息、医疗敏感信息、医疗管理信息及公共卫生信息。2.2数据分级标准与利用权限基于数据敏感程度，本共识将病案信息划分为四个等级，并对应不同的利用权限：数据等级定义与特征典型字段示例利用权限管控要求第四级（极敏感数据）直接识别患者身份，且泄露后可能导致重大人身、财产损害或名誉受损的数据。身份证号、社保卡号、家庭住址、联系电话、指纹、基因测序数据最高管控。原则上禁止导出，仅限在诊疗现场或通过专用安全终端查阅。需双人双锁授权，操作日志实时审计。第三级（敏感数据）单独使用不能直接识别身份，但结合其他信息易识别身份，或涉及患者隐私核心部位的数据。姓名、病历号、病理诊断、精神心理治疗记录、传染病详细报告、HIV检测结果严格管控。科研利用必须经过去标识化处理（如替换姓名为编码）。访问需科室主任审批及伦理备案。第二级（内部数据）反映医疗业务运行情况，关联性较弱，主要用于医院内部管理和质量控制。费用明细、药品耗材消耗、医嘱执行时间、DRG/DIP分组数据普通管控。允许院内相关职能部门统计分析，导出时需脱敏处理，禁止外传至非合作第三方。第一级（公开数据）经清洗汇总后的统计数据，不包含任何个人特征。区域发病率统计、医院平均住院日、科室药占比、单病种死亡率开放利用。经审核后可向社会公开或用于行业交流，无需特定授权。三、病案信息利用的核心场景与规范本共识针对当前医疗数据利用的主要场景，分别制定了详细的操作规范，以确保在释放数据价值的同时，严守安全底线。3.1临床诊疗与延续性服务利用在临床场景下，病案信息的利用重点在于互联互通与实时调阅，以保障诊疗的连续性和准确性。院内互认：医疗机构应打破科室壁垒，建立统一的电子病历阅览视图。医生在授权范围内可跨科调阅患者历史诊疗记录，系统应自动记录查阅时间与查阅理由。院际共享：依托区域全民健康信息平台或医联体/医共体，推动检查检验结果互认。在跨机构调阅时，必须通过CA认证等手段确保医生身份真实，且数据传输通道需加密传输。急救场景：在急诊急救等特殊场景下，可建立“先授权后补签”或基于紧急救治需求的绿色通道机制，允许医生在未获得明确授权时先行查阅必要信息，但必须在24小时内补录审批记录。3.2医疗质量控制与医院管理利用病案首页数据是DRG/DIP支付、公立医院绩效考核以及三级医院评审的基础。其利用的规范性与准确性直接关系到医院的运营与发展。数据源头质控：强调病案首页填写质量。利用AI辅助编码系统和自然语言处理（NLP）技术，对医生录入的诊断和手术操作进行实时校验，避免主要诊断选择错误、手术漏填等问题。管理数据分析：医院管理部门利用病案数据进行运营分析时，应优先使用汇总数据。若需使用明细数据进行个案追踪（如死亡病例讨论、非计划再手术分析），必须对患者的姓名、住址等隐私字段进行掩码处理（例如：张*三，1****01）。3.3科学研究与真实世界研究利用随着真实世界研究（RWS）的兴起，海量的病案数据成为新药研发、医疗器械评价及临床指南更新的宝贵资源。数据提取规范：科研项目申请病案数据时，需提交《数据提取申请表》，详细列出纳入排除标准（ICD编码、年龄、用药史等）。数据中心应据此构建检索逻辑，而非直接导出全量数据库。去标识化处理：在向研究团队交付数据前，必须执行严格的技术去标识化流程。这包括：直接标识符的移除、日期的泛化（将精确出生日期改为年龄段）、地理位置的模糊化（将住址改为区县级）以及特殊码值的重编码。数据沙箱机制：鼓励医疗机构建立“数据可用不可见”的科研利用模式。研究者在医院提供的封闭式计算环境中（数据沙箱）进行分析模型训练，仅导出分析结果（统计图表、模型参数），严禁导出原始患者记录。3.4公共卫生与政府监管利用在应对突发公共卫生事件（如新发传染病）及常态化监测中，病案信息的及时上报至关重要。自动上报：医院信息系统（HIS）应与公共卫生监测系统对接，基于诊断关键词和检验结果自动触发传染病、肿瘤卒中等报告卡生成，减少人工填报的漏报与误报。数据汇聚：上报至疾控中心或卫健委的数据，应严格遵循国家数据交换标准。汇聚后的数据应主要用于趋势研判和资源配置，严禁用于非公共卫生目的的商业挖掘。四、病案信息去标识化与隐私保护技术技术手段是保障病案信息合理利用的最后一道防线。本共识详细规定了去标识化的技术要求和评估标准。4.1去标识化技术标准去标识化是指通过对数据集的技术处理，使其在不借助额外信息的情况下，无法识别特定个人的过程。共识推荐采用以下技术组合：抑制：直接删除特定的标识符字段（如姓名、身份证号）。泛化：将精确数值替换为范围值。例如，将出生日期“1990-05-12”替换为“1990年”或“30-40岁区间”；将家庭住址“XX路XX号”替换为“XX区”。扰动：在数值型数据中添加随机噪声或交换数值，用于统计性分析，防止通过重识别攻击推断个体信息。置换：在保持数据整体分布特征不变的前提下，随机打乱某些字段的值（如打乱邮编），破坏数据与个体的关联。差分隐私：在大规模数据集查询或发布统计结果时，向查询结果中加入数学上的噪声，确保无论攻击者拥有多少背景知识，都无法确定某条特定记录是否包含在数据集中。4.2重识别风险评估与控制去标识化并非绝对安全。共识要求医疗机构在发布或共享数据前，必须进行重识别风险评估。k-匿名模型：确保发布的数据中，任何准标识符（如性别、年龄、邮编）的组合至少有k-1个其他记录具有相同的值。通常建议k值不小于3或5，以防止唯一性识别。l-多样性：在满足k-匿名的基础上，确保等价类中的敏感属性（如疾病诊断）至少有l个“良好表现”的不同值，防止通过同质性攻击推断敏感信息。t-接近性：确保等价类中敏感属性的分布与整个数据集中敏感属性的分布之间的距离不超过阈值t，防止通过偏度攻击推断信息。4.3技术实现流程去标识化处理应纳入数据治理的自动化流程中：1.识别：自动扫描数据集，标记出直接标识符和准标识符。2.处理：根据利用场景的风险等级，自动选择对应的算法（泛化、抑制等）进行处理。3.验证：对处理后的数据集进行模拟攻击测试，计算重识别风险率。4.审计：记录去标识化策略的参数，确保处理过程的可复现性和可追溯性。五、组织管理与监督机制制度的落地离不开强有力的组织架构和持续的监督机制。医疗机构应构建全流程的管理闭环。5.1组织架构建设病案管理委员会：作为最高决策机构，负责制定全院病案信息利用的政策、制度及分级标准，协调解决重大利益冲突。数据管理部门（或病案室/信息中心）：作为执行机构，负责数据的日常提取、清洗、去标识化处理及交付。应配备专职的数据安全官（DSO）。医学伦理委员会：负责审查涉及人的生物医学研究项目，重点评估病案数据利用的伦理合理性、知情同意程序的合规性及风险受益比。网络安全与信息化委员会：负责提供技术支撑，保障数据存储环境的安全，防范网络攻击。5.2全流程审批与审计建立“申请-审核-审批-提取-使用-销毁”的全生命周期管理流程。申请：申请人通过OA系统或专用数据平台提交申请，注明用途、范围、接收方及安全承诺。审批：实行分级审批制。科室内部数据由科主任审批；跨科室数据由医务处审批；对外提供或科研大数据需经伦理委员会及分管院领导审批。审计：系统应具备“3A”审计能力，即记录谁、在什么时间、对什么数据、做了什么操作。审计日志应保存不少于6个月，并定期进行异常行为分析（如某账号在非工作时间批量下载数据）。5.3人员培训与考核准入制度：只有经过法律法规、隐私保护及信息安全培训并考核合格的医护人员和研究人员，方可获得病案系统的高级访问权限。签署协议：所有接触敏感病案信息的人员（包括外包运维人员、实习生），必须签署《数据保密协议》，明确法律责任。违规惩戒：对于违规查询、下载、售卖或泄露病案信息的行为，实行“零容忍”。依据情节轻重，给予警告、罚款、限制处方权、解除劳动合同等处分；构成犯罪的，依法移交司法机关追究刑事责任。六、技术架构与数据安全防护建议为支撑上述管理要求，本共识对医疗机构的信息化技术架构提出了具体建议。6.1基础设施安全网络分区：严格划分医疗内网、外网与数据专网。病案数据库服务器应部署在核心防护区内，不直接对互联网开放。数据备份：建立本地+异地双重备份机制。备份数据应同样加密存储，并定期进行恢复演练，防止勒索病毒攻击导致数据永久丢失。6.2应用系统安全身份认证：逐步取消弱口令认证，推广使用多因素认证（MFA），如“账号密码+动态令牌”或“账号密码+生物特征（指纹/人脸）”。防爬虫与接口管控：对Web端病案查询接口实施防爬虫策略，限制高频访问。对第三方系统对接的API接口，采用IP白名单、双向SSL认证及流量控制。6.3数据防泄漏（DLP）部署数据防泄漏系统，对敏感数据的导出行为进行监控。终端管控：禁止在业务电脑上安装未经授权的软件，禁用USB存储设备写入功能，防止通过拷贝方式带出数据。水印技术：在屏幕显示和打印的病案资料上，通过数字水印技术嵌入访问者信息（工号、时间），一旦发生拍照泄露，可迅速溯源。七、未来展望与持续改进病案信息的合理利用是一个动态发展的过程。随着人工智能、区块链、隐私计算等新技术的应用，未来的管理模式将发生深刻变革。7.1联邦学习与多方安全计算共识鼓励探索“数据不动模型动”的新型科研范式。通过联邦学习技术，各家医院利用本地数据训练模型，仅交换加密后的模型参数，从而实现多中心研究而不交换原始患者数据，从根源上解决隐私顾虑。7.2区块链存证与确权利用区块链技术的不可篡改特性，记录病案数据的产生、流转、授权及修改历史。这不仅能保障数据的真实性，还能在发生纠纷时提供可信的法律证据，明确数据权属。7.3智能化合同管理引入智能合约技术，将数据使用的范围、期限、目的写入代码。一旦数据使用方违反约定（如试图超期访问或违规转发），智能合约自动触发终止访问权限，实现