宿迁某医学检验机构未开展风险监测和定期风险评估致敏感医疗数据泄露风险案

【案件背景】
2024年，江苏宿迁公安网安部门对当地某医学检验机构进行网络安全检查时，发现该机构运营的医学检验信息平台存在严重安全漏洞。该平台存储了大量患者的检验报告、诊断结果、个人信息等敏感医疗健康数据，属于法律明确规定的重要数据处理系统。

【违法事实】
经公安机关调查认定：一是未开展风险监测和定期风险评估——该机构违反了《数据安全法》第29条的要求，未对其数据处理活动开展风险监测，也未建立定期风险评估机制，导致长期未发现系统存在的严重安全隐患；二是存在多项高危技术漏洞——医学检验信息平台存在SQL注入漏洞和弱口令等安全短板，攻击者可利用这些漏洞获取数据库中存储的敏感医疗信息；三是数据安全管理制度全面缺失——未建立数据安全管理制度，未组织数据安全教育培训，未采取相应技术措施保障数据安全；四是涉及的数据类型极其敏感——患者的检验报告和诊断结果属于《个人信息保护法》第28条明确列举的敏感个人信息，以及《数据安全法》规定的重要数据，其泄露可能导致对患者的人身权益造成严重危害。

【处罚决定】
宿迁公安机关依据《数据安全法》第45条规定，对该医学检验机构予以行政警告并处罚款10万元。同时要求其对所有信息系统开展全面的安全评估与加固。

【典型意义】
本案是医疗行业数据安全风险评估执法的典型案例，具有以下典型意义：一是医疗数据处理者因其处理的敏感数据性质，承担更高的风险评估义务——医疗检验机构作为敏感个人信息和重要数据的处理者，风险评估不是'可选的合规建议'而是'法定的基础义务'；二是技术漏洞的持续存在本身即构成违法——SQL注入等基础性安全漏洞长期存在且未被发现，充分说明风险评估机制的缺失，10万元罚款体现了对制度性失职的追责力度；三是警示医疗行业必须将数据安全风险评估纳入日常运营管理——患者隐私保护不能仅靠职业道德约束，必须有制度化和技术化的双重保障。