近日，国乒运动员王楚钦病历外泄事件引发社会关注。据媒体报道，12月14日，在在湖南长沙举行的2024赛季乒超联赛第一阶段比赛中，王楚钦选择轮休，并未出现在赛场上，而是去了长沙某医院就诊。网传截图显示，该医院一位医护工作者不仅现场要求签名照和签名球拍，事后还曝光了王楚钦作为患者的隐私，包括心电图等。

“不仅仅是明星或者运动员，每一位普通患者的隐私都应受到保护。”市人大代表方研翔认为，医疗健康数据属于个人信息中的敏感数据，这不仅涉及个人隐私权和医学伦理问题，也涉及公众对于医疗信息的信任与保护问题，应进一步提升医疗机构和医务人员的数据外泄的防范意识，探索建立完善的医疗信息保密制度。

病情隐私泄漏，承担哪些法律责任

近年来，医院泄露患者隐私事件时有发生。2023年12月，演员周海媚离世。一份疑似周海媚生前送医抢救的电子病历截图在网上流传。据警方通报，泄露病历的男子利用在医院工作的便利，出于炫耀的目的，将病患的个人病历拍照发至微信群，导致信息扩散。今年7月，上海市东方医院创伤外科主任孙某新被举报私下传播患者麻醉时的裸照及180份患者手术信息，后被院方暂停医疗工作，并配合相关部门调查。

患者病情隐私如被泄露，涉事医院及医生要承担哪些法律责任？市人大代表、上海金源方程律师事务所主任、合伙人金缨说，《民法典》对公民隐私和个人信息的保护有明确规定，《民法典》第一千二百二十六条规定了医疗机构及其医务人员应当对患者的隐私和个人信息保密。泄露患者的隐私和个人信息，或者未经患者同意公开其病历资料的，应当承担侵权责任。另外，患者在接受诊疗时，即与医疗机构之间成立了医疗服务合同关系，医生曝光就诊信息违反合同保密义务，患者可依合同约定和法律规定要求医院承担违约责任，如赔偿损失等。

“病历包含患者的个人身份、健康状况等私密信息，术中麻醉照片更是涉及患者的身体隐私。”金缨表示，未经同意将包含患者身体状况、面容等敏感信息的照片留存、传播，违反民法典中关于公民隐私权保护的规定。若照片流出造成恶劣影响，可能导致患者名誉受损、人格尊严受到损害。

另外，《医师法》第五十六条、《护士条例》第三十一条规定，医师和护士在执业活动中泄露患者隐私或者个人信息的，会受到县级以上卫生主管部门警告、暂停执业活动，直至吊销执业证书的行政处罚。

除了行政责任，还可能涉及到刑事责任。根据《中华人民共和国刑法》第二百五十三条，医疗机构及其医务人员将患者的隐私非法出售或提供给他人，情节严重的，涉嫌侵犯公民个人信息罪，要承担相应的刑事责任，情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。

除“防火墙”，也要有“防水墙”

“除了‘防火墙’，防止由外向内攻入系统盗取信息，更重要的是，要有一道‘防水墙’，也就是防止内部人员泄露信息。”方研翔表示，要做到对病人隐私数据保护，在技术手段上并不难，关键在于制度建设。

在他看来，目前医疗信息保密制度的制定尚不完整。尽管三级医疗机构大多都制定了严格的信息保密制度，但在一些医疗机构以及区县级基层医疗机构的信息保密制度尚存在生搬硬套、不完整或不适用的情况。

“部分医疗机构的数据防泄漏体系尚未建成。”代表调研发现，由于外部威胁的信息化攻击使得医疗机构产生的损失显而易见，因此长期以来医疗机构在信息安全建设方面，更加注重来自外部的威胁，例如黑客攻击、勒索病毒等，而忽视由内向外的信息泄露问题。

“一些医护人员的信息安全意识薄弱。”方研翔说，大多数基层医护人员关注的是技能知识，对于相关法律法规缺乏基本的理解和认知。为此，他建议，医疗机构应探索建立完善的医疗信息保密制度，明确各方的责任和权利，进一步提升数据外泄的防范意识。卫生监管部门应加强对医疗机构和医务人员信息安全方面的培训力度，提升安全意识，防止类似事件的发生。

同时，他建议加强医疗机构数据防泄漏体系的建设。一方面要定期自查目前现有医疗体系内可能存在的数据外泄隐患，另一方面，结合数据安全法和个人信息保护条例，逐步完善医疗单位的数据分类分级工作和外泄通道的数据安全防泄漏建设。

加强制度建设，预防数据泄露事件

如何保护患者隐私？市卫健委对这份建议的答复结果是“解决采纳”，目前本市卫生健康行业各单位核心业务系统已基本做到三级等级保护要求全覆盖，“我们按照‘严之又严、细之又细、实之又实’的工作要求，稳步推进网络与数据安全体系建设，高度警惕和严密防范医疗机构内外两侧网络安全风险对本市卫生健康行业的信息系统稳定运行进行攻击破坏、干扰正常医疗秩序，严格杜绝重大网络安全事件发生。”市卫健委表示。

自《中华人民共和国网络安全法》实施以来，市卫健委每年对本市医疗卫生机构开展网络安全“飞行检查”，重点排查医疗卫生机构核心业务系统、互联网系统、邮件运行等安全使用情况，以及网络边界安全设备（入侵防御系统IDS等）策略开通情况等内容，推动医疗卫生机构落实网络与数据安全主体责任，提升医疗卫生机构网络与数据安全防御能力。

市卫健委表示，将继续会同市公安局网安总队，持续推进本市卫生健康行业网络安全等级保护工作，有效提升网络与数据安全防护水平；继续每年会同公安、网信部门开展网络与数据安全专项检查，主动发现潜在的安全隐患。同时，会同公安、网信部门指导责任单位，加强本市卫生健康行业从业人员网络与数据安全培训，建立健全医疗卫生机构网络与数据安全防护体系，从人员管理和制度建设两方面预防数据泄露事件的发生。