宠物医院的客户信息和诊疗记录涉及宠物主人的个人隐私和宠物的医疗隐私，但一起前前台工作人员批量出售客户数据的案件暴露了宠物医疗行业在数据保护上的严重短板。本文从这起案例出发，分析宠物医院数据安全的核心风险和合规保护方案。
2025年春天，北京一家连锁宠物医院的几名客户陆续接到推销电话，对方不仅知道宠物的名字和品种，还能准确说出宠物上次就医的时间和诊断结果。宠物医院是为宠物提供诊疗服务的医疗机构，其客户数据包括宠物主人姓名、手机号、家庭住址、宠物品种、年龄、病史、用药记录甚至宠物芯片编号，这些信息同时涉及个人信息和健康医疗数据。调查发现，两个月前离职的一名前台工作人员，在职期间每天下班前将当天的客户登记表拍照留存，累积了超过三千份客户信息后以每条五角钱的价格卖给了三家宠物用品电商公司和一家宠物保险推销公司。更严重的是，这些信息中包含部分高消费客户的宠物诊疗记录，包括慢性病用药方案和手术记录，被用于精准营销高价宠物医疗保险。
宠物医疗行业的隐私保护在很长一段时间内不受重视，其原因从以下几个维度来看。第一大风险是权限管理的缺失。很多宠物医院经营者认为宠物是物，宠物主人的个人信息保护意识也不强，因此在客户数据的收集、存储和使用上十分随意。有的诊所使用简单的Excel表格登记客户信息，前台可以随意查看和复制所有客户的完整资料。一些规模较大的连锁宠物医院虽然有信息化管理系统，但前台登录账号就能看到全院的客户数据，没有分店隔离、没有角色隔离、更没有敏感字段脱敏。第二大风险是诊疗数据被滥用的连锁危害。宠物诊疗记录中详细记录宠物的既往病史、过敏药物记录、手术过程和用药方案。这些数据如果落入不良商家手中，轻则被用于保险推销和食品营销骚扰，重则可能导致宠物被恶意撬客。宠物的芯片编号一旦与主人身份信息关联，还可能被用于伪造血统证书或走失认领欺诈。
从法律合规角度来看，宠物医院的客户数据属于个人信息保护法的规制范围。该法第四条对个人信息的定义是"以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息"，宠物主人的姓名、手机号和住址显然属于个人信息。同时，根据该法第二十八条，宠物诊疗记录中涉及宠物主人健康状况的，还可能构成敏感个人信息，需要取得个人的单独同意才能处理。此外，网络安全法要求网络运营者对其收集的用户信息严格保密并建立健全用户信息保护制度。
以下是一些关于宠物医院数据安全保护的常见问题。
问：宠物医院应当根据哪些法律法规来保护客户诊疗数据？
答：主要包括个人信息保护法、网络安全法和数据安全法。根据个人信息保护法第六条的规定，企业对客户信息的收集和处理应当遵循最小必要原则，前台人员只应看到预约和收费所需的基础字段，诊疗记录的查看应有独立的授权审批。根据数据安全法的规定，企业应当建立数据安全管理制度并对数据进行分类分级保护。宠物医院虽然处理的是宠物而非人类的医疗数据，但客户的信息同样受这些法律的保护。
问：宠物医院如何在人员管理中防范客户数据泄露风险？
答：具体分为以下几个方面。在招聘前台、护士和美容师等接触客户数据的岗位时，应当签署保密协议并明确数据保护责任。在日常运营中应定期开展数据安全培训。对于离职人员的交接流程，除了工作内容交接，还应当包括数据资产的回收确认——检查是否还有未提交的工作文档、是否已清理本地缓存、是否已将客户联系信息从个人设备中删除。根据个人信息保护法的合规要求，离职人员的数据资产回收是法定的安全保护义务之一。
问：宠物医院的数据安全管理应从何处起步？
答：主要包括几类关键措施。首先进行数据资产盘点，明确前台、护士、医生和院长各自能访问的客户数据范围。然后实施权限最小化配置，前台只能看到预约和收费所需字段。同时部署操作日志和敏感字段脱敏功能。建立完整的保密制度和离职数据回收流程。
企密安为多家连锁医疗机构提供过数据安全合规治理服务。宠物也是家庭成员，它们的就医信息同样值得被严肃保护。宠物医院的客户数据不是可以被随意拿走的赠品，而是承载着客户信任和企业声誉的核心资产。当宠物主人放心地把毛孩子的健康交给一家医院时，这家医院就有义务保护他们的每一笔信息。
北京企密安信息安全技术有限公司
电话：010-63711822 / 010-87562232
邮箱：px@baomiwang.com
公众号：Qi-Mi-An
