我们去医院看病、做化验、做检查、出诊断所产生的信息存储在哪里？存多久？会不会在我们不知道的情况下被人拿来使用？有没有泄露的风险？在一些医疗机构的个人信息泄露的案件中，我们注意到这些问题的确不容忽视，本文例举国内外典型案例，分析医疗机构的信息安全有哪些薄弱环节，及如何应对之策。

一、医疗信息的高度敏感性，导致其泄露后果的严重性

美国LabMD 医疗信息泄露案

本案被告是一家位于美国佐治亚州的医疗检测机构，为全美各地的医院提供实验室检测服务，被告收集的信息不仅有常见的个人基本信息、社保账号、银行卡号等，还包含了大量十分敏感的医疗信息，如实验室检测信息、检测代码、检测结果、诊断信息、就医历史等。据统计，被告业务中获取并保存了大约750,000名自然人的上述信息。

2008年有人在p2p（peer-to-peer）网站上发现一份属于被告的财务月报表，该报表共1718页，其中包含大约9500个自然人的姓名、出生日期、九位社保号码，实验室检测用CPT识别码等信息。2012年10月，美国萨克拉门托警方在搜查一户窃取公民个人信息犯罪嫌疑人的住户时，发现40份“日报表”文件，9份支票复印件，涉及大约682个个人，警方怀疑这些文档是从被告LabMD处流出，将情况告知了美国联邦贸易委员会（FTC），后者对LabMD启动调查，2016年7月，对被告LabMD做出监管处罚令。

本案在美国引起较大社会影响，美国民众的医疗信息在自己完全不知情的情况下被放到网上公开，据官方统计，受害人遍布全美多个州。该案的一大争议焦点是医疗信息的泄露行为是否构成实质性损害（substantial injury），这是判断被告的行为是否违法的关键要件。初裁法官（ALJ）在本案初裁阶段对此持否定态度，认为这些信息的泄露并未对受害人造成实质性的客观的损害，只有一些主观上的损害、精神上的损害。到终裁阶段联邦贸易委员会撤回了ALJ的裁定，并认定信息的泄露行为构成“实质性损害或是有高度可能性会构成实质性损害”。委员会认为，1718页文件中包含了病人的实验室检测代码，涉及艾滋病、疱疹、前列腺癌、睾酮素水平等高度敏感的个人信息，被LabMD员工共享到p2p网络上长达11个月，在这段时间内，任何人都可以通过p2p软件下载，这些信息的泄露可能会使得患者的身份被盗用、医疗记录被盗用，导致患者误诊，危及患者健康安全，这样的风险无论是否实际发生，由于其一旦发生造成的损害极大，因此已经构成一种“高度可能性的实质损害风险”。不仅如此，医疗信息涉及大量个人隐私，泄露将造成病人巨大的心理伤害，这本身就是一种严重的侵权行为。

该案充分体现医疗信息高度敏感性及在信息安全工作中的重要性，根据我国《个人信息保护法》，自然人的生物识别信息、医疗健康信息属于“敏感个人信息”，法律规定，这些信息，一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，处理敏感个人信息应当取得个人的单独同意。医疗信息因为其高度敏感性，也被司法机关纳入重点保护范围，《办理侵犯公民个人信息刑事案件适用法律若干问题的解释》对包含医疗信息在内的敏感个人信息的入罪标准设定最低，50条即可入罪，而对于一般敏感信息和其他信息，入罪门槛设置为500条和5000条。在该解释发布的记者会上，相关部门负责人表示，侵犯公民个人信息的犯罪已经成为其他各类犯罪的上游犯罪，不管是敲诈勒索、电信诈骗等等各类犯罪，多数是以非法获取个人信息为前提。行踪轨迹信息、通信内容、征信信息、财产信息、住宿信息、交易信息等公民个人敏感信息涉及人身安全和财产安全，被非法获取、出售或者提供后极易引发绑架、诈骗、敲诈勒索等关联犯罪，具有更大的社会危害性。从公安机关角度讲，打击侵犯公民个人信息犯罪是治理网络犯罪一个最重要的措施之一。

二、“内鬼作祟”，里应外合的“精准”信息泄露

广西南宁孕产妇信息泄露案一

被告人为农某南宁市青秀区卫生服务中心医生助理，2016年3月起在该中心工作，担任妇女保健指导医生，负责产后妇女的健康指导及检查工作。被告人杨某在广西南宁市开设产后恢复机构，为获取资源与包括农某在内的五名被告联系获取产妇信息，并支付报酬。2017年12月起，农某通过该中心内部的“桂妇儿系统”，用自己的用户名和密码登录，查找产妇资料拍照通过微信发送给被告人杨某，内容包括，产妇姓名、电话、地址、产检、分娩方式和场所，新生儿性别和出生日期，平均每月200条。法院查明，农某非法提供公民相关个人信息1304条，非法获利24000元，属于“将在履行职责过程中获得的公民健康生理信息向他人提供，情节严重”，构成侵犯公民个人信息罪，判处有期徒刑一年六个月，罚金三万元。

广西南宁孕产妇信息泄露案二

吴某甲、吴某乙在广西南宁市江南区经营一家保健按摩中心，主要是向产妇提供服务。为扩大客源，吴某甲向南宁市某医院产科主管护师韦某提出，由韦某提供产妇信息，并承诺每发展一名客户就给韦某50元或60元报酬，若客户后续办卡消费则另外向韦某支付10%的提成。2018年至2020年6月，韦某便以写论文需要数据为由，通过欺骗有权限的同事登录该医院“护士站”系统查询产妇信息后拍照发给自己，或者自行通过科室办公电脑查询该医院“桂妇儿”系统产妇信息后拍照，不定期将上述产妇信息照片通过微信发给吴某甲，吴某甲、吴某乙则利用上述信息安排员工通过电话联系产妇发展客户。

经查，韦某向吴某甲、吴某乙出售包括产妇姓名、家庭住址、电话号码、分娩日期、分娩方式等在内的产妇健康生理信息500余条。检察机关认为韦某将其在履职过程中获得的信息出售给他人，依法应从重处罚。2020年12月16日，江南区人民法院认定韦某、吴某甲、吴某乙犯侵犯公民个人信息罪，分别判处韦某、吴某甲、吴某乙有期徒刑十个月，缓刑两年至有期徒刑六个月不等，并处罚金。

“内鬼作祟”已经成为当前个人信息犯罪的主要原因，在最高人民法院、最高人民检察院、公安部联合举办的《办理侵犯公民个人信息刑事案件适用法律若干问题的解释》记者会上，相关部门的负责人介绍，公民个人信息泄露案件不少系内部人员作案，诸多公民个人信息买卖案件也可以见到“内鬼”参与的“影子”。在公安机关侦破的很多公民个人信息买卖案件中都可以看到内部人泄密，目前造成危害最大的主要是像银行、教育、工商、电信、快递、证券、电商各个行业的人员，从治理犯罪来说，打击源头成为公安机关最重要的工作。为切实加大对此类行为的惩治力度上述司法解释对“内部人员泄密行为”从重打击，符合“将在履行职责或者提供服务过程中获得的公民个人信息出售或者提供给他人”情节的，其“情节严重”的认定数量、数额标准减半计算。对照该解释，如果医疗机构工作人员利用职责便利提供医疗信息，其入罪标准将适用“敏感信息+特殊主体”双重标准，25条即可入罪。南宁市医疗信息泄露案件发生后，南宁市江南区检察院针对涉案医院对公民个人信息管理不善、对从业人员纪律约束不强、法治教育不足等问题，制发检察建议促进涉案医院倒查信息安全管理状况，完善患者信息安全管理措施与制度，从源头防范公民个人信息泄露。

                                                                                       本文作者：李超