医疗卫生机构数据分类分级指南(试行).docxVIP

医疗卫生机构数据分类分级指南(试行)

为规范医疗卫生机构数据分类分级管理，保障数据安全，促进数据合理利用，根据《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《医疗卫生机构网络安全管理办法》《国家数据分类分级保护制度》等法律法规及规范性文件，制定本指南。

一、总则

（一）目的依据

落实医疗卫生机构数据安全主体责任，提升数据安全管理精细化水平，防范数据泄露、篡改、滥用风险，平衡数据安全保护与合规利用，支撑医疗卫生服务、公共卫生防控、医学科研创新等工作高质量开展。

（二）适用范围

本指南适用于各级各类医疗卫生机构，包括医院、基层医疗卫生机构（社区卫生服务中心/站、乡镇卫生院、村卫生室等）、专业公共卫生机构（疾病预防控制中心、血站、妇幼保健机构等）、医学科研机构、医学教育机构等。

（三）基本原则

1.分类科学：结合医疗卫生行业特性，采用标准化分类维度，实现数据的全面覆盖与精准识别。

2.分级精准：衔接国家数据分级标准，基于数据敏感程度、危害后果明确分级边界，突出核心数据、重要数据的重点防护。

3.权责清晰：明确医疗卫生机构主要负责人为数据安全第一责任人，各部门按职责分工落实分类分级管理要求。

4.动态管理：定期开展数据分类分级复审，根据业务变化、法规更新、风险评估结果及时调整分类分级结果。

5.安全与利用平衡：在严格保障数据安全的前提下，推动数据合规共享、开放，释放数据价值。

二、术语与定义

（一）医疗卫生机构数据

指医疗卫生机构在提供医疗服务、开展公共卫生管理、进行科研教学、实施内部运营等活动中产生、收集、存储、传输、使用、共享的所有数据资源，包括但不限于个人健康数据、公共卫生监测数据、机构运营管理数据、科研教学数据等。

（二）数据分类

指根据数据的来源、类型、用途等特征，将医疗卫生机构数据划分为不同类别的过程，旨在实现数据的规范化识别与管理。

（三）数据分级

指根据数据的安全风险程度、影响范围、敏感程度等，将医疗卫生机构数据划分为不同安全级别的过程，为差异化防护提供依据。

（四）核心数据

指一旦遭到篡改、破坏、泄露或非法获取、非法利用，将可能严重危害国家安全、公共利益、个人生命健康安全的医疗卫生机构数据。

（五）重要数据

指一旦遭到篡改、破坏、泄露或非法获取、非法利用，将可能危害公共利益、个人合法权益，影响医疗卫生机构正常运营的医疗卫生机构数据。

（六）一般数据

指除核心数据、重要数据外的其他医疗卫生机构数据，其篡改、破坏、泄露或非法利用造成的危害程度较低。

三、数据分类

（一）分类维度与类别

采用“多维度协同分类法”，从数据来源、用途、类型三个核心维度进行分类：

1.按数据来源分类

（1）个人健康数据：与自然人健康状况、医疗服务行为相关的数据，包括电子病历、居民健康档案、检验检查结果报告、医学影像资料、病理诊断报告、药物处方、疫苗接种记录、慢病管理记录等。

（2）公共卫生数据：与公共卫生监测、防控、管理相关的数据，包括传染病疫情报告数据、突发公共卫生事件处置数据、免疫规划数据、职业健康监测数据、食品安全风险监测数据、环境卫生监测数据等。

（3）机构运营数据：医疗卫生机构内部运营管理产生的数据，包括人事管理数据（人员基本信息、薪酬绩效、执业资质等）、财务管理数据（预算、收支、资产、医保结算等）、物资管理数据（药品、耗材、设备的采购、库存、使用等）、后勤管理数据（水电气供应、房屋设施运维、安保等）。

（4）科研教学数据：开展医学科研、教学活动产生的数据，包括临床试验数据、科研项目数据、教学病例数据、医学研究成果数据、学生实训数据等。

2.按数据用途分类

（1）服务支撑数据：直接用于支撑医疗服务、公共卫生服务的数据，如电子病历、检验检查结果、疫苗接种记录等。

（2）管理支撑数据：用于支撑医疗卫生机构内部管理的数据，如人事、财务、物资数据等。

（3）科研教学支撑数据：用于支撑医学科研、教学活动的数据，如临床试验数据、教学病例等。

3.按数据类型分类

（1）结构化数据：可通过固定格式存储、识别与分析的数据，包括电子病历中的结构化字段、检验检查指标数据、药品编码数据、医保结算明细数据等。

（2）非结构化数据：无固定格式或格式不规范的数据，包括医学影像（CT、MRI、X线等）、病理切片、医学文档（门诊日志、住院记录、护理记录等）、语音数据（医患沟通录音、远程会诊语音等）。

（3）半结构化数据：兼具结构化与非结构化特征的数据，包括电子病历中的自由文本段、带有标记的医学报告等。

（二）分类实施方法

1.建立分类编码规则：采用“类别层级+类别标识”的编码方式，为每类数据分配唯一编码。例如，个人健康数据编码为“JK-01”，电子病历数据编码为“JK-01-01”，以此类推。

2.开展数据盘点：每年至少开展一次全面数据