互联网医院医患隐私保护专家共识（2025版）

互联网医院医患隐私保护专家共识（2025版）随着数字医疗技术的飞速演进与互联网医疗服务的深度普及，医患信息的数字化交互已成为常态。为适应2025年及未来一段时期内互联网医院发展的新形势，应对日益复杂的网络安全威胁，并严格遵循《中华人民共和国个人信息保护法》、《中华人民共和国数据安全法》、《医疗卫生机构网络安全管理办法》等法律法规要求，特制定本专家共识。本共识旨在为互联网医院的建设者、运营者及监管者提供一套科学、严谨、可操作的隐私保护指引，确立“以患者为中心，安全为底线”的隐私保护核心价值观，推动互联网医疗行业健康、可持续发展。一、总则1.1背景与意义互联网医院打破了传统医疗的时空限制，极大提升了医疗服务的可及性。然而，医疗数据作为高敏感度的个人隐私，其全生命周期的数字化流转带来了前所未有的泄露风险。2025版共识在既往版本基础上，重点强化了人工智能辅助诊疗、物联网设备接入、跨机构数据共享等新场景下的隐私保护要求，明确了数据主权与患者权益的边界，旨在构建“可信、可控、可溯源”的互联网医疗隐私安全体系。1.2适用范围本共识适用于各级各类互联网医院、提供互联网诊疗服务的实体医疗机构、第三方医疗技术平台及相关医联体组织。涵盖在线问诊、远程会诊、电子处方流转、健康监测、互联网护理等所有涉及患者个人信息处理的业务场景。1.3核心定义在本共识中，医患隐私不仅指患者的身份信息（姓名、身份证号、电话等），更包括其健康状况、病历资料、检查检验结果、基因信息、生物识别信息以及诊疗过程中的音视频数据等。去标识化是指通过对个人信息的技术处理，使其在不借助额外信息的情况下，无法识别特定自然人的过程，但处理后的信息仍可被复原。二、基本原则2.1合法、正当、必要原则互联网医院处理患者信息必须具有明确、合理的目的，且应当与诊疗服务直接相关。严禁超出诊疗服务范围收集与患者病情无关的信息（如消费习惯、非医疗社交关系等）。收集个人信息应当限于实现处理目的的最小范围，不得过度收集。2.2知情同意原则知情同意是隐私保护的基石。互联网医院必须在收集患者信息前，以显著方式、清晰易懂的语言向患者告知信息收集的目的、方式、范围、存储期限及可能的第三方共享情况。同意应当由患者在充分理解的前提下自愿作出，并允许患者随时撤回同意。2.3确保安全原则互联网医院应当建立健全全流程的安全防护体系，采取加密、去标识化、访问控制等技术措施，并配备相应的安全管理制度和专业人员，防止数据泄露、篡改、丢失。2.4权责一致原则坚持“谁持有、谁负责；谁使用、谁负责”。互联网医院作为数据处理的主要责任方，对数据安全承担主体责任。在委托第三方处理数据时，必须对第三方的数据安全能力进行评估，并通过法律文件明确双方的安全责任。三、数据分类分级管理为实施精准保护，必须建立科学的数据分类分级标准。依据数据的敏感程度和泄露后对患者权益、医疗机构声誉及公共安全的影响，将医患数据划分为核心数据、重要数据和一般数据。3.1数据分类分级标准数据级别定义包含内容示例保护要求核心数据关系到国家安全、经济运行、公共利益以及个人生命健康安全，一旦泄露或篡改可能造成严重危害的数据。基因测序数据、传染病病原体数据、罕见病详细病历、国家重点保护的传染病患者信息、生物识别信息（指纹、虹膜、人脸识别数据）。最高级别加密，严格限制访问，禁止出境，实施强制审计，存储于物理隔离或逻辑隔离的专用区域。重要数据关系到个人隐私、医疗秩序，一旦泄露可能对个人权益或医疗机构造成较大影响的数据。电子病历（EMR）、医学影像（DICOM）、检查检验报告、处方信息、医保结算信息、身份证号、详细住址。强加密，严格的内部审批访问机制，去标识化后方可共享，实施定期审计。一般数据用于日常运营管理，泄露后影响相对较小的数据。医院排班信息、科室介绍、医生职称、非实名制的咨询记录（已去标识化）、登录日志。基础加密，基于角色的访问控制，常规安全防护。3.2动态调整机制数据级别并非一成不变。在特定业务场景下（如突发公共卫生事件），部分重要数据可能升级为核心数据，需触发相应的应急响应保护机制。互联网医院应建立数据资产清单，并定期（至少每年）复核数据级别。四、全生命周期安全要求4.1数据收集环节在数据收集阶段，重点解决“最小化”与“透明化”问题。实名认证与身份核验：首次就诊时需进行实名认证，建议采用国家统一认证平台或运营商三要素认证，减少医疗机构直接留存身份证件影像的风险。前端隐私设计：APP或小程序前端界面应设计隐私弹窗，禁止默认勾选同意授权。对于读取通讯录、位置、相册等敏感权限，必须遵循“申请即使用”原则，用完即销毁。生物识别信息慎用：严禁强制要求患者使用人脸识别作为唯一登录方式，除非因法律法规要求或高风险操作验证。如确需使用，应优先选择本地比对或具备生物识别安全能力的可信执行环境（TEE）。4.2数据存储与传输环节存储与传输是数据泄露的高发环节，必须通过技术手段构建“数据隧道”。存储加密：核心数据和重要数据必须采用国密算法（如SM4）进行加密存储。密钥管理应遵循“密钥与数据分离”原则，采用硬件安全模块（HSM）或密钥管理服务（KMS）进行管理，严禁硬编码密钥在代码中。传输通道安全：全站强制启用HTTPS（TLS1.2及以上版本），禁用弱加密算法。对于内部服务间调用，建议采用mTLS（双向认证）以确保通信双方身份的真实性。数据本地化：依据法律要求，核心医疗数据必须在境内存储。确需向境外提供的（如跨国远程会诊），必须通过国家网信部门的安全评估，并对患者进行单独告知。4.3数据使用与加工环节在诊疗及科研场景下，数据的访问与使用需受到严格管控。最小权限原则（RBAC）：建立基于角色的访问控制体系。医生只能查看其当前接诊患者的病历，药师只能查看处方信息，行政人员无权查看具体病历内容。严禁授予超级管理员权限。隐私计算技术：在多中心科研、流行病学调查等场景中，鼓励采用联邦学习、多方安全计算（MPC）等隐私计算技术，实现“数据可用不可见”。去标识化处理：在数据脱敏用于教学、科研或质控时，必须进行去标识化处理，且需评估重识别风险。去标识化算法应具备抗攻击能力，防止通过链接外部数据还原身份。4.4数据共享与开放环节互联网医院常涉及与医保、商保、药房等第三方机构的数据交互，共享环节风险极高。API接口安全：所有对外数据接口必须经过严格的身份认证和鉴权。实施API网关统一管理，对高频异常访问进行熔断和告警。数据共享协议：与第三方机构签署数据共享协议时，必须明确数据的使用范围、期限、安全责任及违约条款。禁止将数据授权给第三方进行转售或未授权的二次开发。患者授权共享：当患者需要将病历共享给其他医疗机构或保险公司时，必须由患者主动发起授权（如通过电子签名、CA认证），并记录授权日志。4.5数据销毁环节当诊疗服务结束或患者撤回同意、注销账户时，相关数据应进入销毁流程。逻辑删除与物理删除：业务前端显示逻辑删除，后台数据库应在保留期限（依据病历管理规定）满后进行物理删除或不可恢复的匿名化处理。介质销毁：存储过敏感数据的硬盘、U盘等存储介质在报废或转借前，必须进行专业的数据擦除或物理销毁，并留存销毁记录。五、技术保障体系5.1零信任安全架构2025版共识强烈建议互联网医院从传统的边界防护向零信任架构转型。永不信任，始终验证：无论访问请求来自内网还是外网，均需基于身份和设备状态进行动态验证。微隔离：将数据中心划分为不同的安全域，限制不同业务系统间的横向移动，防止单点突破后的全网渗透。5.2数据防泄漏（DLP）系统部署数据防泄漏系统，对敏感数据的流转进行监控。内容识别：利用正则表达式、关键字匹配、指纹识别等技术，自动识别病历、身份证号等敏感信息。通道管控：监控并阻断通过IM聊天工具、私人邮箱、网盘上传敏感数据的行为。水印溯源：对核心业务系统界面及导出的文档强制加载明水印或暗水印，一旦发生泄露截图，可快速溯源责任人。5.3安全审计与日志分析建立覆盖全链路的日志审计体系。日志留存：记录用户登录、查询、导出、修改等关键操作，日志留存时间不少于6个月，满足《网络安全法》要求。异常行为分析（UEBA）：利用大数据分析技术，自动识别异常行为模式，如医生在非工作时间批量下载病历、某账号在异地短时间内频繁登录等，并触发实时告警。六、组织管理与人员安全6.1组织架构互联网医院应成立网络安全与信息化委员会，下设数据安全工作组，明确法人代表是第一责任人。设立数据保护官（DPO）或专职隐私保护管理岗位，负责统筹隐私保护工作。6.2人员管理背景审查：对接触核心数据的关键岗位人员进行严格的背景调查。保密协议：所有员工入职前必须签署保密协议（NDA），明确保密义务及违约责任。离职审计：员工离职时，必须立即回收所有系统权限，并进行离职面谈，重申保密义务。培训考核：每年至少开展两次全员隐私保护意识培训，针对新入职员工进行专项考核。培训内容应包括最新的法律法规、典型案例警示及安全操作规范。6.3第三方管理对合作的软件开发商、云服务商、运维服务商等实行严格的准入管理。安全能力评估：合作前需评估其安全资质及技术能力。保密承诺：签署严格的保密协议，禁止第三方人员未经授权下载、存储或查看生产数据。远程运维管控：第三方人员进行远程运维时，必须通过堡垒机进行，全程录屏审计，操作过程需有内部人员陪同或授权。七、应急响应与监管7.1应急响应预案制定详细的个人信息安全事件应急预案，明确应急响应流程、责任人及联系方式。事件分级：根据影响人数、数据敏感程度将事件分为特别重大、重大、较大和一般四个等级。处置流程：发现泄露->立即断网/隔离->上报负责人->启动调查->采取补救措施->通知监管机构->通知受影响患者。7.2监管合规合规自查：每年开展一次全面的网络安全等级保护测评及隐私保护合规性审计。监管报送：建立与卫生健康委、网信办、公安等监管机构的沟通机制，发生重大安全事件必须在法定时限内（如立即或不超过24小时）上报。八、新兴技术与特殊场景8.1人工智能（AI）辅助诊疗随着AI大模型在医疗领域的应用，隐私保护面临新挑战。训练数据合规：用于训练AI模型的病历数据必须经过严格的去标识化处理，并获得患者的授权（如包含在科研同意中）。模型安全：防止通过模型逆向攻击（MembershipInferenceAttack）还原训练数据中的个人信息。提示词安全：在使用生成式AI辅助医生时，需对输入给模型的提示词进行过滤，防止包含患者隐私信息被大模型学习并输出给其他用户。8.2远程监测与物联网（IoMT）对于可穿戴设备、家用医疗监测设备产生的数据：端侧安全：确保设备端具备防篡改能力，采集数据在本地进行初步加密。传输频次：合理设置数据上传频次，避免通过位置轨迹数据推断患者生活习惯。数据归属：明确IoMT产生的数据归属权属于患者，医疗机构仅在授权期间内享有使用权。8.3视频诊疗视频问诊过程中的音视频数据属于高敏感信息。实时传输加密：采用SRTP等实时传输加密协议。存储限制：原则上禁止在云端存储完整的诊疗视频，如因教学或纠纷处理需要存储，必须加密并实行双人审批制查看。背景防泄露：提醒医生和患者开启虚拟背景或注意环境整洁，防止视频背景中泄露家庭成员、居住环境等隐私。九、附则9.1术语解释本共识中未明确定义的术语，参照国家相关法律法规及行业标准解释。9.2实施建议各互联网医院应根据本共识要求，在2025年内完成现有系统的隐私保护合规性整改，并将隐私保护纳入