医疗数据脱敏技术规范.docxVIP

医疗数据脱敏技术规范

一、总则

医疗数据涉及患者诊疗、健康、支付等敏感信息，一旦泄露不仅直接侵害患者权益，还会使医疗机构面临《中华人民共和国基本医疗卫生与健康促进法》《中华人民共和国个人信息保护法》《中华人民共和国数据安全法》及《信息安全技术健康医疗数据安全指南》（GB/T39725-2020）项下的行政与民事责任。本规范的目标不是“概念上保护数据”，而是给出一条从数据识别、分级、脱敏方法选型、流程审批到验证审计的完整操作路径，使数据管理人员、开发测试人员和科研数据申请审批人都能照单执行。

1.1适用范围

?适用于本机构及授权第三方（合作科研单位、外包运维商、数据分析服务商）在医院信息系统（HIS、LIS、PACS、EMR）、科研数据库、数据仓库及数据导出场景中开展的全部数据脱敏工作。

?不适用于生产环境中原始数据的调阅（原始数据调阅按《病历管理制度》及院内权限审批流程执行），但第三方接触生产数据前的准备动作属于本规范范围。

1.2角色与职责

角色

核心职责

关键动作与产出

数据安全管理委员会（主任：分管副院长）

审批高风险脱敏方案、重大泄露事件处置

每季度1次例会；审批记录归档保存5年

数据安全负责人（信息科专职岗）

制定脱敏方案、维护字段映射表、组织验证

每个脱敏项目出具《脱敏方案审批单》与《验证报告》

脱敏执行人（信息科/数据中心工程师）

执行脱敏作业、记