长沙某医院有限公司患者诊疗数据泄露案

【案件背景】
2025年下半年，长沙市网信办联合卫健委在推进「亮剑湖湘·个人信息权益保护」专项执法中，对属地医疗机构的个人信息保护情况开展技术检测和现场检查。检查发现某民营医院的患者信息管理系统存在严重的网络安全漏洞，大量包含高度敏感个人信息的电子病历和诊疗记录数据面临泄露风险，随即立案调查。

【违法事实】
1. 信息系统存在高危安全漏洞：医院的HIS（医院信息系统）和电子病历系统存在多个高危漏洞，包括未授权访问漏洞、弱口令身份认证、未及时打补丁的远程代码执行漏洞等，安全状态极差；
2. 敏感诊疗数据缺乏加密保护：系统中存储的患者电子病历、医学影像报告（CT/MRI/X光）、检验报告（血常规、生化全套等）、处方信息（用药历史、药物过敏）等全部以明文存储，未按照《个人信息保护法》和《健康医疗大数据标准》的要求实施加密和去标识化；
3. 未开展网络安全等保测评：医院作为关键信息基础设施运营者，其信息系统应当达到等保三级以上的安全防护标准，但检查发现该院从未进行过等保测评工作，系统安全状态完全不明；
4. 未进行个人信息保护影响评估：医院处理的患者信息属于法定的敏感个人信息，且数量在数十万条级别，按照《个人信息保护法》第五十五条和第五十六条的规定，应当事前进行DPIA并形成评估报告保存。但院方未能提供任何DPIA记录；
5. 第三方运维缺乏监管：医院的信息系统由外部IT公司负责开发和运维，运维人员可以通过VPN远程访问医院的数据库和应用系统，但医院未与运维方签订数据保密协议，未对运维方的远程访问行为进行审计和权限控制。

【处罚决定】
长沙市网信办依法对长沙某医院有限公司作出行政处罚决定，责令限期改正：修复所有高危漏洞并完成等保测评；对患者诊疗数据实施全量加密存储；委托具备资质的第三方完成DPIA；与系统运维方补签数据安全协议并部署运维审计系统；建立数据安全事件应急预案。

【典型意义】
医疗机构的数据安全是「人命关天」的问题——不仅关系到患者隐私，还可能影响医疗安全和公共卫生。诊疗数据一旦泄露，包含患者疾病史、遗传信息、用药记录等终身不可更改的敏感信息，其危害远超一般个人信息泄露。对于民营医疗机构而言，信息化建设往往由第三方IT公司主导，院方自身的技术能力和安全意识相对薄弱，形成了「系统有人建、安全无人管」的尴尬局面。本案提示所有医疗机构：数据安全合规「刻不容缓」——一次系统漏洞就可能导致数十万患者的敏感信息暴露。