个人信息保护检查重点（医疗机构迎检版）.docxVIP

个人信息保护检查重点（医疗机构迎检版）

依据：《个人信息保护法》《个人信息保护审查办法》《医疗卫生机构数据安全和个人信息保护管理办法（试行）》《未成年人网络保护条例》

一、组织管理与制度建设

1.责任落实：设立个人信息保护负责人，具备正式任命文件，岗位职责明确，建立常态化工作机制，留存工作台账、会议记录。

2.制度体系：建立完整成文管理制度，可提供检查组查阅。包含：个人信息保护管理制度、告知同意操作规程、个人信息主体权利处置规程、对外提供与委托处理管理制度、个人信息保存及删除销毁制度、安全事件应急上报制度、第三方管理制度、投诉举报处置制度。制度中设置专章，对未成年人、老年人、孕产妇、传染病患者等特殊群体个人信息保护作出原则性规定。

3.数据分类分级：完成个人信息分类分级，形成正式台账，区分普通个人信息、敏感个人信息、重要医疗数据；对特殊群体诊疗数据标记为高敏感个人信息。

4.个人信息保护影响评估（PIA）：高风险业务开展PIA评估，评估覆盖未成年人、特殊患者等高风险场景，留存评估报告及风险整改台账。

5.培训与自查：开展全员个人信息保护培训，内容包含患者隐私保护要求，留存课件、签到等佐证材料；定期内部自查，形成自查报告和问题整改台账。

二、隐私政策与告知同意

隐私政策在APP、公众号、小程序、线下窗口公开可查阅，不得深埋页面，禁止默认勾选同意，文本需明确：