病案信息安全与隐私保护规范（最新版）.docxVIP

病案信息安全与隐私保护规范（最新版）

第一章总则

一、适用范围

本规范适用于全国各级二级及以上医疗机构、基层医疗卫生机构、第三方病案数字化服务机构、医保经办机构、司法案件办理涉及病案调取的相关单位，覆盖所有纸质病案、电子病案、影像类病案、病理数字化切片病案的全生命周期管理流程，包含病案采集、存储、传输、使用、归档、销毁全部环节的安全管控要求。

所有开展病案相关业务的机构必须严格执行本规范条款，不得随意降低防护标准，已经投入运行的病案管理系统需在本规范发布后90天内完成适配改造，达到本规范提出的所有技术和管理指标要求。

二、基本原则

1.最小必要原则

所有病案信息的采集、调取、使用范围严格限定在业务必需的最小边界内，不得超出《医疗机构病历管理规定》国卫医发〔2013〕31号列明的必填字段范围，不得额外采集患者婚姻状况、职业收入、生物遗传信息等与诊疗无关的非必要内容，确需采集额外字段的必须获得患者本人书面授权。

2.全程可追溯原则

所有涉及病案信息的操作行为全部留痕记录，操作日志留存时间不得少于3年，任何对病案内容的修改、访问、下载行为都可以反向追溯到具体操作人员、操作时间、操作设备，不存在无责任人的匿名操作。

3.分类分级保护原则

按照病案信息的敏感程度划分不同防护等级，匹配对应的技术管控和人员权限配置，核心敏感病案信息的防护强度高于普通内部使用类病案，资源投入优先向高等级防