某省级医保局委托科研机构分析医保数据但“匿名化”不充分导致患者身份被重新识别并遭公益诉讼案（四川省网信办/消协，2024年2月）

【案件背景】
2022年10月，某省级医疗保障局（以下简称“省医保局”）与省内某知名大学的医学大数据研究院（以下简称“研究院”）签订了《基于大数据的医保基金监管与慢性病管理研究合作项目协议》。省医保局向研究院提供了过去5年约2000万名参保人员的医保结算数据（包括就诊日期、就诊医院、疾病诊断编码ICD-10、处方药品清单、医疗费用等），声称已对数据进行了“匿名化处理”——删除了姓名和身份证号，以随机编号替代。2023年12月，研究院在发表的一篇学术论文中引用了一项基于该数据集的统计分析结果，一名患者家属从论文附录的数据描述中识别出了自己已故母亲的医疗记录，遂向四川省消协投诉并提起公益诉讼。

【违法事实】
经调查查明：
（1）省医保局对2000万条医保结算数据的所谓“匿名化处理”仅删除了姓名和身份证号两个直接标识符，但完整保留了所有其他属性：就诊日期（精确到日）、就诊医院名称（具体到科室）、疾病诊断编码（ICD-10六位码极其具体，如“E11.301 2型糖尿病伴糖尿病肾病”）、所有处方药品的通用名和规格、每笔费用明细。调查团队通过组合“就诊医院+就诊科室+疾病编码+处方药组合+就诊日期”，成功从数据集中重新识别出多名具有罕见病或复杂病症组合的患者。
（2）研究院在数据分析过程中，未对数据集进行任何额外的去标识化或隐私保护措施，研究人员可以直接查看所有准标识符字段的原始值。部分研究人员甚至将原始数据下载到个人笔记本电脑上进行处理，未实施任何访问控制和脱敏措施。
（3）研究院发表的学术论文中，虽然声称使用的是“匿名化数据”，但论文附录中公布了按“区县+年龄段+病种+年度”粒度的交叉统计表。由于部分区县和特定年龄段在特定病种上的患者数量极少（如某县18-25岁的艾滋病患者仅2人），该统计表结合当地社区知识即可推断出具体患者的身份。
（4）省医保局与研究院之间的《合作协议》中，对数据保护的规定仅有一条“乙方应对甲方提供的数据严格保密”，未约定具体的去标识化措施、重新识别禁止条款、数据删除期限、安全审计义务等关键内容。
（5）项目结束后，研究院未按协议约定删除数据，原始数据集仍保留在研究院的服务器和至少3名研究人员的个人设备中。

【处罚决定】
四川省互联网信息办公室依据《个人信息保护法》第六十六条、《数据安全法》第四十五条、《个人信息保护法》第七十条（公益诉讼条款），作出以下处理：
（一）对省医保局：通报批评，处人民币30万元罚款，责令终止与研究院的数据合作项目；
（二）对研究院：责令改正，处人民币20万元罚款，责令立即删除所有原始数据和个人设备中的数据副本；
（三）责令省医保局完善数据开放共享中的匿名化技术规范和管理流程。
四川省消协支持患者家属向法院提起了个人信息保护公益诉讼。

【典型意义】
本案是公共部门在数据开放共享中因匿名化不充分而引发的首例公益诉讼案件，揭示了政务数据再利用中的隐私风险：
第一，删除姓名和身份证号不等于匿名化。本案清晰展示了在医疗数据场景下，仅去除直接标识符而保留丰富的准标识符和敏感属性时，重新识别的风险极高——特别是涉及罕见病或独特病症组合的患者。
第二，学术研究中“匿名化数据”的统计披露同样存在推断攻击风险。即使不发布原始数据，仅发布统计结果，在样本量极小的分组中也可能泄露个体信息。差分隐私等更严格的隐私保护技术在此类场景中的应用值得关注。
第三，本案暴露了政务数据向社会开放时隐私保护制度安排的缺失——涉及省医保局、大学研究院、政府科技项目管理部门等多个主体，但没有任何一方对匿名化效果承担明确的审查责任。
第四，本案是《个人信息保护法》第七十条公益诉讼机制在医疗隐私领域的首次实践应用，确认了消费者协会在个人信息保护中的诉讼主体资格。