新加坡PDPC对SingHealth患者数据库遭网络攻击导致150万人数据泄露后进行匿名化整改督导案（2019年1月）

【案件背景】
2018年6-7月，新加坡保健服务集团（SingHealth）的电子病历数据库遭受了新加坡史上最严重的数据泄露攻击，约150万名患者的非医疗个人信息（包括姓名、身份证号NRIC、地址、性别、种族和出生日期）以及约16万名患者的门诊配药记录被窃取，其中包括新加坡时任总理李显龙的个人病历和门诊配药记录。事后成立的调查委员会发现，SingHealth未能实施基本的匿名化和数据保护措施是数据泄露的主要原因之一。2019年1月，PDPC就泄露事件本身和相关的数据保护合规缺失作出决定。

【违法事实】
经调查查明：
（1）SingHealth的电子病历系统中，约150万名患者的个人信息（包括姓名、NRIC、地址等直接标识符）与门诊和住院的详细诊疗记录以明文形式存储在同一数据库的同一张表中。系统缺乏数据分级管理——任何获得数据库访问权限的用户（包括IT管理员、外包维护人员）均可同时获取患者的身份信息和敏感健康数据。如果在存储层面对数据进行基本的去标识化（将标识数据与诊疗数据分库存储），此次攻击的损害范围将大幅缩小。
（2）IHiS（负责SingHealth IT系统运维的政府科技机构）的多名IT管理员拥有过于宽泛的数据库访问权限，可以查询完整的患者个人信息和诊疗记录。事后审查发现，约200个IT账户拥有对患者数据库的不必要特权访问，违反了最小权限原则。
（3）在数据库查询层面，系统未部署任何去标识化措施。所有数据库查询均返回包含完整NRIC和姓名的患者记录，即使在统计分析、报表生成等不需要身份信息的场景下也是如此。系统缺少动态脱敏（Dynamic Data Masking）机制。
（4）用于数据分析的“脱敏”数据集在生成过程中存在系统性缺陷：部分分析平台中，本应被替换为随机ID的NRIC被保留在元数据或注释字段中；一些历史数据集在导出时被标记为“已脱敏”但实际分析后发现NRIC字段并未去除。
（5）泄露事件发生后，调查还发现IHiS未能按照PSPF（公共部门安全政策框架）的要求，对存储敏感数据的系统实施及时的补丁管理和安全更新，数据库的漏洞修复周期超过6个月。

【处罚决定】
2019年1月9日，PDPC作出以下决定：
（一）对SingHealth处以25万新元罚款（违反PDPA保护义务）；
（二）对IHiS处以75万新元罚款（违反PDPA保护义务，且作为IT系统运营商承担更高标准的注意义务）；
（三）卫生部对IHiS提出了系统性整改要求，包括：实施数据分级分类管理、建立数据库动态脱敏机制、将身份数据与诊疗数据逻辑/物理分离存储、对所有具有数据库访问权限的账户实施最小权限审查。
（四）新加坡国会随后通过了《网络安全法》修正案和《医疗服务法》中的数据保护强化条款。

【典型意义】
本案以数据泄露为触发点，揭示了医疗信息化建设中匿名化和去标识化基础设施缺失的系统性风险：
第一，将标识数据与诊疗数据在同一数据库中以明文混存是医疗IT系统的“默认不安全”设计。本案推动新加坡在全国医疗IT系统中推行“身份数据与临床数据分离存储”的架构原则。
第二，IT管理员权限的过度授予是数据泄露风险的重要放大器。本案中因管理员权限过宽（200个账户）导致攻击者一旦突破外围防御即可获取全量患者数据，而去标识化存储可将损害限制在非标识化的诊疗数据层面。
第三，动态脱敏（Dynamic Data Masking）缺失导致即使合规的数据使用（如统计分析、报表等）也在不必要地暴露完整标识信息。本案推动了动态脱敏技术在新加坡公共部门系统中的大规模部署。
第四，事后整改措施不仅针对安全事件本身，更深入到数据架构设计层面，预示全球医疗卫生数据保护监管正在从“事后响应”转向“架构治理”。