上海某医疗大数据公司患者电子病历泄露后应急处置机制瘫痪案

【案件背景】
2024年1月，上海某医疗大数据公司在为多家三甲医院提供医疗数据分析和存储服务过程中，因内部员工账号被盗用，导致约120万条患者电子病历数据外泄，内容涉及患者姓名、身份证号、疾病诊断、用药记录、手术记录、基因检测结果等极其敏感的医疗健康信息。该事件因企业应急处置机制几近瘫痪而引发监管部门高度关注。

【违法事实】
经上海市网信办和卫健委联合调查：一是未建立数据安全事件监测预警机制——企业没有部署数据异常访问行为的实时监控系统，攻击者使用被盗账号在连续7天内批量导出数据，日均导出量超过日常正常流量的50倍，却未触发任何告警，直至被外部安全机构通报后才知晓泄露；二是应急处置指挥体系缺失——事件被发现后，公司内部出现'无人牵头、无人决策、无人执行'的混乱局面，IT部门、法务部门、业务部门相互推诿，从发现到成立应急工作组耗时超过72小时；三是未按行业监管要求向卫生主管部门报告——根据《国家健康医疗大数据标准、安全和服务管理办法》，涉及健康医疗数据的重大安全事件须在发生后2小时内向主管部门报告，但该公司延迟超过一周才报告，严重违反行业特别规定；四是没有数据泄露溯源能力——由于日志记录不完整，无法确定被导出数据的确切范围，也无从判断是否涉及二次传播。

【处罚决定】
上海市网信办、卫健委联合执法，依据《个人信息保护法》《数据安全法》《国家健康医疗大数据标准、安全和服务管理办法》，对该公司处以人民币600万元罚款，吊销其医疗健康数据服务资质6个月，责令销毁所有不合规存储的原始病历数据，并要求其在恢复资质前通过国家认可的第三方安全审计。

【典型意义】
本案是国内医疗健康数据安全事件响应领域的标志性案例。一是医疗数据安全事件适用更严格的特别报告时限——不仅需遵守《个人信息保护法》的一般要求，还需满足行业监管的2小时报告红线；二是'监测能力缺失'本身即为违法——无实时监控、无异常检测、无告警机制，等于对数据安全事件'故意视而不见'；三是应急指挥体系的瘫痪是比技术漏洞更致命的问题——技术漏洞可以修复，但指挥体系的混乱会导致错过最佳响应窗口；四是医疗行业的数据泄露可能涉及对人类生命健康的间接威胁——基因数据等一旦泄露无法撤回，对患者的终身影响不可逆。