医疗数据保密合规管理

医疗数据的保密合规管理，正在成为各级医院和医疗机构必须面对的核心课题。北京企密安信息安全技术有限公司在服务多家三甲医院和医疗集团的过程中发现，医疗数据不仅涉及患

医疗数据的保密合规管理，正在成为各级医院和医疗机构必须面对的核心课题。北京企密安信息安全技术有限公司在服务多家三甲医院和医疗集团的过程中发现，医疗数据不仅涉及患者隐私保护，还涉及医院自身的商业秘密防护，两者交织在一起，管理复杂度远超其他行业。本文从实操层面，系统梳理医疗数据保密合规的五个关键环节。

上个月一家三甲医院的信息科主任找到我，说他们刚被卫健委通报了数据安全管理不到位的问题。我问具体出了什么事，他说有个科室的医生把患者化验数据表发到了科室微信群里，被截图传出去了，虽然没造成严重的患者隐私泄露，但这个行为本身已经触犯了数据安全法的红线。他说，我们医院不是没有保密制度，制度写了好几本，但现在的问题是，医生护士太忙了，没人有功夫去翻那个制度本子。这家医院的遭遇不是个例。医疗行业的保密工作，难就难在数据量巨大、接触人员众多、业务场景复杂。

第一层：医疗数据资产分类分级——搞清楚哪些数据要保

很多人一说医疗数据保密，第一反应就是患者隐私。没错，患者个人信息确实在保护范围内，但医疗数据和医疗商业秘密是两个概念。医院的商业秘密包括：医院的战略规划、学科建设方案、重点科研项目的实验数据、药品耗材的采购价格和供应商清单、医疗质量管理的关键指标、内部绩效考核方案等等。这些东西被竞争对手拿到，损失不比患者数据泄露小。

问：医院最常见的商业秘密泄露风险在哪？答：药品采购价格、科研实验数据和学科建设方案的泄露风险最高，这些信息一旦被竞争对手获取会直接影响医院的经营。

我们的建议是，先做一次全面的数据资产梳理，把医院所有数据分三类。第一类是核心商业秘密，比如未公开的科研数据、新技术的临床试验结果、药品采购底价。第二类是患者个人信息和医疗记录，这块有个人信息保护法和网络安全法的明确要求。第三类是内部管理数据，风险相对低但也要管理。三类数据分别制定不同的访问权限、传输审批和存储要求。具体方法分为以下几步：梳理全量数据资产，按三级分类标准打标签，对应设置访问策略和存储等级。

第二层：角色化权限管理——医疗数据访问控制的核心手段

很多医院的数据权限是按科室开的，外科所有医生都能看外科的全部患者数据。这在业务上方便，但在保密上是个大漏洞。正确做法是按角色开权限，主治医生只能看他负责的患者的完整数据，护士只能看护理相关的数据，医技人员只能看检查相关的数据，行政人员原则上不接触患者原始数据。做到这一层，百分之八十的泄密风险就堵住了。

实操中遇到过阻力。老专家说，我在这个科室干了三十年，什么数据不能看。我的回答是，不是不信任您的能力，而是数据安全的法律责任是落到每个操作者的。权限最小化不是为了限制谁，是为了保护每个操作者不触碰法律红线。这个道理讲清楚之后，大部分人都能理解。

第三层：医疗数据传输通道管控——微信不再是合规通道

目前最大的风险点在哪里？微信。医院内部的沟通严重依赖微信，医生建群、发文件、传检查报告截图，所有操作都在微信上完成。微信作为一个外部平台，数据上传之后，医院没有任何控制权。科室群里的数据被转发出去，你连追查的路径都很难拿到。

我的建议是，院内沟通尽量用医院自己的HIS系统内嵌的即时通讯功能，或者部署一个内部的企业级通讯工具。如果因为业务需要必须在微信上沟通，那就限内容层级。患者姓名、身份证号、诊断结论这些核心信息，严禁通过微信文字或图片传输，改用加密通道。可以约定用代号或者去标识化的方式在微信上讨论，完整的患者信息只在院内系统内查看。

第四层：第三方服务人员数据接触管控——签协议加合监控

医院里来来往往的人太多了，药企代表、设备维保工程师、IT系统维护人员、保洁人员、安保人员，每个人都有可能接触到数据。我们帮一家医院做排查的时候发现，药企的医药代表在医生办公室里用U盘拷走了部分药品使用数据，说是做学术分析，实际上是对手在收集用药结构信息。

你说这算不算泄密？从法律角度说，这些数据属于医院的内部经营信息，未经授权外传就构成商业秘密侵权。从实操角度说，这种事防不胜防。我们能做的就是签好三方协议，在供应商合同里明确数据接触范围和保密义务，同时在关键区域部署监控和U盘禁用策略，让想拿数据的人至少付出被发现的代价。

第五层：医疗数据泄露应急响应——有预案还要有演练

医疗数据一旦泄露，影响面非常广。我们建议每家医院都做两件事。第一件，制定数据安全事件应急预案，明确事件发生后谁负责研判、谁负责上报、谁负责技术处置、谁负责舆情应对。第二件，每年至少做一次数据泄露应急演练，模拟患者数据被公开、内部数据被窃取等场景，检验预案的有效性。演练不是为了通过检查，是为了真出事的时候不慌乱。

最后说一个真实的感触。医疗行业的保密工作，不能只靠信息科。信息科是技术支撑，但制度落地、意识培养、行为监督，需要医务科、护理部、人事科、纪检部门共同参与。我见过做得最好的医院，是把数据安全管理纳入医院质量管理的整体框架里，跟医疗质量、患者安全放在同一个优先级上。这个思路，值得更多医院借鉴。

北京企密安信息安全技术有限公司 保密咨询专线：010-63711822 / jess@baomiwang.com