某医疗科技公司患者数据泄漏案

【案件背景】
2025年11月28日，上海市网信办通报了某医疗科技公司患者数据泄漏案。该公司运营着一个集在线问诊、电子处方、药品配送、健康管理于一体的互联网医疗服务平台，月活跃用户超过百万，在运营过程中收集和处理了大量患者的个人健康医疗数据。此类数据属于《个人信息保护法》第二十八条明确规定的敏感个人信息，一旦泄露或非法使用，将对患者的人身权益和财产权益造成严重侵害。

【违法事实】
1. 未对患者敏感个人信息采取与其风险等级相匹配的安全保护措施：患者提交的病历信息（诊断结果、过往病史、用药记录）、医疗影像数据（CT/MRI/DICOM文件）、医保结算信息等高度敏感医疗数据，以明文形式存储于企业数据库中未实施加密保护；数据传输链路未采用加密协议——患者医疗表单数据通过HTTP明文传输存在被截获风险；企业未建立分级分类的数据访问权限管理，大量非医疗岗位内部员工（包括市场营销、客服外包人员）可不受限制地访问完整患者数据库。
2. 未经患者单独同意将医疗数据用于商业分析：企业将脱敏处理不充分的患者数据（疾病类型分布、用药偏好、消费能力等）打包为医疗大数据报告提供给医药企业用于市场分析和药品推广策略制定。该商业使用既未在隐私政策中向患者披露，更未取得每位患者的单独同意。脱敏被证明不充分——将多维度数据交叉关联后可重新识别特定患者身份，不构成有效的匿名化。
3. 医疗数据控制系统漏洞导致信息泄露：企业使用的第三方云存储服务存在访问密钥配置错误，导致存储在该云平台上的数万份患者电子病历在互联网上可公开访问。安全事件被发现后企业未启动应急预案，也未向主管部门和受影响患者报告。

【处罚依据】
《个人信息保护法》第六条、第十三条至第十七条（告知同意规则）、第二十八条至第三十二条（敏感个人信息处理规则）、第五十一条（安全保护措施）、第五十六条（事前风险评估）、第五十七条（数据泄露通知义务）；《网络安全法》第二十一条；《数据安全法》第二十七条；《国家健康医疗大数据标准、安全和服务管理办法》。

【处罚决定】
上海市网信办依法对该公司作出警告、罚款、责令限期改正的行政处罚，要求：立即修补所有安全漏洞并对全系统进行安全加固；全面删除未经患者单独同意而用于商业分析的医疗数据；对受影响患者进行逐一通知并提供救济措施；建立完善的医疗数据分类分级保护体系和全生命周期管理制度。

【典型意义】
该案是互联网医疗行业中敏感个人信息保护执法的标志性案例。医疗健康数据是最敏感的个人信息类型之一——其泄露或滥用的后果往往是不可逆的（疾病史无法更改、基因数据无法重置）。核心启示：对敏感个人信息的保护必须达到与风险相匹配的水平——明文存储和HTTP传输在医疗场景下绝对不可接受；将患者数据用于商业变现，无论是直接出售还是打包为行业报告，都需每位患者的单独同意；医疗数据匿名化是技术门槛极高的操作——简单的脱敏处理不等于法律意义上的匿名化。