病历隐私保护与信息安全管理规范.docxVIP

病历隐私保护与信息安全管理规范

本规范依据《中华人民共和国个人信息保护法》《中华人民共和国基本医疗卫生与健康促进法》《医疗机构病历管理规定（2013年版）》《网络安全等级保护2.0标准》GB/T22239-2019、《电子病历应用管理规范（试行）》等相关法规标准制定，适用于各级各类医疗机构、第三方病历存储服务商、医疗大数据处理机构所有涉及病历信息采集、存储、传输、使用、销毁的全流程管理，所有相关岗位人员必须严格遵照执行。

第一章总则

一、总体管理要求

本规范的核心目标是实现病历全生命周期100%可追溯，年度病历隐私泄露事件发生率低于0.01%，患者病历信息查询授权合规率达到100%，所有操作全程留痕可审计，从制度、技术、人员三个维度构建完整的病历隐私防护体系，杜绝未经授权的病历信息泄露、篡改、丢失等问题，切实保障患者的个人信息合法权益。

所有涉及病历信息的操作环节，必须严格遵循“最小必要”原则，仅为实现诊疗、管理、科研等法定明确的用途采集和使用信息，不得超出约定范围拓展使用场景，不得未经患者明确同意向任何第三方披露非法定要求公开的病历内容。

二、责任主体划分

医疗机构主要负责人是本单位病历隐私保护与信息安全的第一责任人，对全院病历信息安全工作承担全面管理责任；信息科负责人是病历信息安全的直接责任人，具体负责技术防护体系搭建、日常运维、漏洞排查等工作；病案室负责人是实体病历安全管