拉脱维亚DVI释法患者数据：医生处拍照、向第三方传输与要求删除的合规边界——删除权并非绝对，依法须保存的病历不得因患者请求而整体删除

拉脱维亚国家数据监察局（Datu valsts inspekcija，DVI）于2026年10月6日发布「#DVIskaidro」释法专栏文章《患者数据——拍摄、传输与删除》。DVI 指出，前往就医时不可避免地会处理个人数据，即关于患者健康、所接受服务及其他可识别信息的数据；依据《患者权利法》第4.1条第一款与第二款、第9条第一款与第10条第一款，患者有权了解自身数据如何被处理并获得相应信息。处理此类数据的合法性基础通常为 GDPR 第9条第2款「h」项（基于医疗或社会照护目的、依欧盟或成员国法由专业人员处理），并须符合 GDPR 第5条第1款「f」项（完整性与保密性）以及第24条、第32条的安全要求。DVI 强调，简单地以短信提醒就诊与传输详细检验结果不可作同等评价，医疗机构须能说明各项处理的目的、所需期限以及保护方式。关于删除，DVI 说明：数据条例在特定情形下赋予当事人要求删除个人数据的权利，但删除权并非绝对；医疗记录构成患者医疗档案，规范（2006年4月4日内阁第265号规则《医疗文件管理规则》第35条）另行规定了医疗文件的保存要求与期限——若医疗机构依规范须保存特定文件，患者的请求并不意味着必须删除全部病历。若患者认为医疗文件所含信息不准确或有误，可要求补充或更正；《患者权利法》第9条第三款规定，作更正时错误信息应予保留，并相应地予以更正或补充。DVI 由此点明：删除与数据更正不是同一件事。最后，无论患者数据是被拍摄、传输或以其他方式处理，医疗机构都必须能够说明其处理目的、所需保存期限以及如何保障其安全。