医疗数据脱敏技术规范

医疗数据脱敏技术规范一、总则医疗数据涉及患者诊疗、健康、支付等敏感信息，一旦泄露不仅直接侵害患者权益，还会使医疗机构面临《中华人民共和国基本医疗卫生与健康促进法》《中华人民共和国个人信息保护法》《中华人民共和国数据安全法》及《信息安全技术健康医疗数据安全指南》（GB/T39725-2020）项下的行政与民事责任。本规范的目标不是“概念上保护数据”，而是给出一条从数据识别、分级、脱敏方法选型、流程审批到验证审计的完整操作路径，使数据管理人员、开发测试人员和科研数据申请审批人都能照单执行。1.1适用范围•适用于本机构及授权第三方（合作科研单位、外包运维商、数据分析服务商）在医院信息系统（HIS、LIS、PACS、EMR）、科研数据库、数据仓库及数据导出场景中开展的全部数据脱敏工作。•不适用于生产环境中原始数据的调阅（原始数据调阅按《病历管理制度》及院内权限审批流程执行），但第三方接触生产数据前的准备动作属于本规范范围。1.2角色与职责角色核心职责关键动作与产出数据安全管理委员会（主任：分管副院长）审批高风险脱敏方案、重大泄露事件处置每季度1次例会；审批记录归档保存5年数据安全负责人（信息科专职岗）制定脱敏方案、维护字段映射表、组织验证每个脱敏项目出具《脱敏方案审批单》与《验证报告》脱敏执行人（信息科/数据中心工程师）执行脱敏作业、记录操作日志每次作业填写《脱敏作业登记表》（见附录A）业务科室数据提供人明确数据用途、最小字段范围提交《数据使用申请表》，签署保密承诺科研/开发数据使用人在批准范围内使用脱敏后数据禁止反向识别尝试；项目结束30日内申请销毁二、数据分类分级分级是脱敏强度选型的唯一依据，不做分级直接脱敏必然导致“敏感字段漏脱”或“低危字段过度脱敏破坏可用性”两类事故。本机构数据分四级：级别定义典型字段脱敏要求C4极敏感直接标识符，单独即可定位到自然人姓名、身份证号、住院号、联系电话、家庭住址、社保卡号出域/出库场景100%脱敏，不可逆C3敏感准标识符，组合可识别出生日期、入院/出院时间、诊疗日期、检查报告、基因数据、精神/传染病诊断按用途部分脱敏或泛化C2内部脱离上下文后不直接识别个人科室、诊断ICD编码、检验指标值、费用类别内部环境可不脱敏，出域需评估组合风险C1公开已依法公开的信息科室介绍、公开统计公报不脱敏组合风险判据：单一字段属C2/C3，但与发布环境其他表关联后满足“准标识符组合唯一性”时（据国内外重识别研究，[邮政编码+出生日期+性别]三元组在美国人口中即可唯一识别约87%的人，来源：Sweeney,L.重识别研究，2000），须将该组合整体按C3处理。数据安全负责人在审批时必须逐表评估跨表关联路径，不得仅按单字段分级。三、脱敏方法与技术选型方法选型错误是数据事故的常见根因：把“打码”当作万能手段会毁掉数据可用性，把“加密”当作脱敏会留下可逆风险。以下按字段类型给出首选、备选与禁选方案。3.1各类字段脱敏方法字段类型优先方案备选方案严禁方案身份证号哈希（SHA-256加盐，盐值集中保管）保留前3后4位掩码（`310******1234`）可逆加密后留存密钥在数据使用方；原值截断导致编码规则暴露（实际上一段式截断需配合格式扰动，避免出生日期段原样保留）姓名不可逆哈希映射生成假名（同一人映射一致，保证纵向可用）首字保留+``简单删除姓名列但保留住院号（住院号仍是直接标识符）联系电话哈希加盐保留前3后2位掩码明文导出到个人电脑出生日期泛化为出生年或年龄区间（如45~50岁组），泛化粒度由用途决定加随机偏移±30日（对同批次统一偏移量，保时序可用）仅替换为随机日期（破坏真实年龄分布，科研结论失真）住院号/就诊号假名化：映射表独立存放于脱敏区，使用方仅持假名哈希加盐顺序重编号（编号可被比对推断就诊频次）住址泛化至区县级哈希保留门牌号的“部分打码”（如`上海市浦东新区路号`——区县以下仍具定位性）检验数值/费用数值加噪（满足差分隐私预算或相对噪声≤5%，须在使用方知情前提下声明）分箱/离散化无处理直出（即使单条数值不识别人，多条组合可刻画个体）医学影像（DICOM）删除/替换文件头中的患者姓名、ID、出生日期、采集机构等私有标签重建设置“匿名导出”模式仅重命名文件（DICOM头部元数据仍完整保留患者信息——这是影像脱敏最常见的事故点）自由文本（病程记录、报告）NLP实体识别+人工复核双通道，识别实体逐个脱敏全文人工脱敏（小批量）纯人工抽检批量文本（漏检率高，10万字级别漏检率据行业测算可达5%以上）3.2参数要求•哈希盐值：每项目独立生成，长度不少于16字节随机数，由数据安全负责人保管于独立密钥管理系统，使用方不得持有；盐值与密钥保存期不超过项目期+1年，到期销毁并记录。•假名映射表：仅存于脱敏服务器，访问权限仅数据安全负责人与脱敏执行人2人，任何情况下不得随数据出库。•随机化：使用密码学安全随机数生成器（如secrets模块级别），严禁使用时间戳、自增序号作为假名源。四、脱敏作业流程流程设计的核心原则是“脱敏在隔离环境完成、原始数据不出脱敏区、验证通过才放行”。任何绕过脱敏区直接从生产库向使用方传数据的行为，无论数据量多小、事由多急，均属违规。4.1标准流程1.申请：数据使用人提交《数据使用申请表》，写明数据用途、字段清单、数据量、使用期限、存放环境。业务科室负责人签字确认，2个工作日内流转至数据安全负责人。2.方案制定：数据安全负责人在3个工作日内出具脱敏方案，内容包括：字段分级表、各字段脱敏方法与参数、组合风险评估结论、验证方法。C4全量出域或数据量超过10万条的项目，须报数据安全管理委员会审批，审批周期不超过5个工作日。3.环境准备：在脱敏区（物理或逻辑隔离服务器，禁联互联网，开启操作审计）创建专用项目账号与临时存储目录，目录权限仅限脱敏执行人。4.数据提取：从生产库按最小字段范围提取至脱敏区，提取脚本留存，提取完成1小时内核对记录数并登记。5.脱敏执行：按批准方案运行脱敏脚本；脚本变更需重新审批，严禁在生产环境直接执行脱敏脚本（脚本缺陷可能污染生产数据）。6.验证（见第5章）：验证不通过回退至第5步整改，整改后重新验证。7.交付：验证通过后经数据安全负责人电子签批，通过机构内部加密通道交付；交付物附《脱敏验证报告》编号。8.到期处置：使用期届满前15日提醒；使用人提交销毁申请，数据安全负责人核销并出具《销毁确认单》，含删除方式（逻辑删除+存储介质覆写或格式化）、时间、双人签字。4.2异常与回退•脱敏脚本执行中断：不得直接重跑整个脚本（部分字段已脱敏会造成二次哈希/二次加噪，数据失真）。正确做法：回滚至脱敏前快照（第5步开始前必须制作快照，此为强制项），从快照重新执行。•验证发现漏脱敏字段：判定该批次全部不合格，已交付部分立即通知使用人停止使用、删除回执，重新走第4~6步；同时登记《数据安全事件台账》，分析漏检原因（脚本缺陷/新增字段未入分级表）。•原始数据意外流入脱敏后数据集（如测试数据混入）：按数据泄露事件处置，30分钟内报告数据安全负责人，2小时内启动追溯。五、脱敏效果验证验证是放行的唯一门槛，未验证或验证不合格的数据一律不得交付。验证回答三个问题：直接标识符清干净了吗？组合起来还能认出人吗？数据还能用吗？5.1验证方法与合格标准1.直接标识符扫描：对脱敏后全量数据执行正则与关键词扫描，覆盖：18位身份证号模式、11位手机号模式、中文姓名高频字组合、住址关键词（路/弄/号/室）、住院号格式。合格标准：命中数为0。2.重识别风险评估：对准标识符组合执行k-匿名性检测，交付科研用途的数据要求准标识符组合中每条记录至少与另外4条（k≥5）不可区分；内部开发测试用途要求3.可用性验证：对脱敏前后数据的统计特征做比对——数值字段均值/方差相对偏差≤5%，日期间隔分布、类别字段分布的卡方检验p≥4.影像专项：抽样比例不低于5%（且不少于20例），用DICOM查看工具逐例检查私有标签，合格标准：患者相关信息标签命中数为0。5.2验证记录验证通过后出具《脱敏验证报告》，内容包括：数据集标识、记录数、各验证项结果、验证人、复核人、日期。报告随项目归档保存5年，作为监管检查与事件追溯的依据。六、监督、审计与事件处置制度失效往往不在于规则缺失，而在于无人检查、无人追责。本章规定常态审计与分级事件处置机制。6.1常态审计•每月1次：数据安全负责人抽查上月全部脱敏作业记录，核对方案、脚本、验证报告三者一致性，抽查比例不低于30%。•每季度1次：信息科对脱敏区服务器执行权限复核（清理离岗人员账号、核对最小权限）与日志完整性检查。•每年1次：委托独立第三方或内审组对本规范执行情况做全面评估，评估报告提交数据安全管理委员会，问题项限期30日整改并复验。6.2事件分级处置级别判定标准启动权限处置要求Ⅲ级（一般）脱敏验证发现漏脱敏，数据未出机构数据安全负责人24小时内完成整改与重验证；登记台账；向委员会例会报告Ⅱ级（较大）含直接标识符的数据已交付内部使用人或第三方分管副院长2小时内通知使用人停用并取得删除回执；48小时内完成影响评估（涉及人数、字段、可逆性）；书面报告委员会Ⅰ级（重大）C4级原始数据流出机构边界，或已发生实际泄露外传委员会主任立即启动应急预案：隔离相关系统、保全日志、依据《中华人民共和国个人信息保护法》第五十七条履行通知义务（告知受影响个人与监管部门）、72小时内形成事件报告，依法向属地主管部门报告七、培训与考核•新入职信息科、数据中心人员上岗前完成4学时数据安全培训（含本规范），考核合格方可授予脱敏区账号。•在岗人员每年复训1次（不少于2学时），内容含年度事件案例复盘；未参加复训者次年1月1日起冻结脱敏操作权限直至补训合格。•违规操作（绕过流程、私存数据、泄露盐值/映射表）按院内信息安全奖惩制度处理；涉法情形移交司法途径。八、附录A脱敏作业登记表（样表）项目内容项目名称申请编号申请人/使用科室数据范围（表名/记录数）脱敏执行人执行开始/结束时间脚本版本号快照编号验证报告编号/结论交付方式/接收人数据安全负责人签批九、附录B常用字段脱敏速查表字段推荐方法示例（脱敏前→脱敏后）姓名假名化张某某→PAT_00371身份证号掩码310*********1234手机号掩码138******23出生日期年份泛化1978-05-12→1970年代住院号哈希加盐H20240516→a3f9c2e81d住址区县级泛化XX路XX号→上海市XX区十、附录C项目关键节点自查清单•[]《数据使用申请表》与