互联网医院仅凭名字和身份证号就能拿到全套诊疗信息

三甲医院一患者隐私病历被群发！

“多家医院的互联网服务仅凭名字和身份证号就可绑定他人为就诊人，进而查看电子病历、检查报告等一系列隐私信息，存在信息泄露隐患”，日前，上海市民姜先生（化名）向媒体反映。

事情缘起于姜先生朋友李女士（化名）的遭遇：李女士与前夫离婚后，前夫为了泄愤，在近两年的时间里不断用李女士的名字和身份证号登录上海多家医院的系统，下载电子病历和检查报告，并在李女士的家人、朋友中散布传播。由于部分诊疗信息涉及精神类疾病的治疗，上述行为给她带来了极大的困扰。

由于在日常生活中广泛提供和使用，泄露的渠道也多，他人的名字和身份证号虽属个人信息，但获取难度不高。但医疗诊疗记录不同，其属于高度敏感的个人隐私信息，理应得到极强的保护。

如果仅凭名字和身份证号就能拿到全套诊疗信息，是否说明相关医疗机构的隐私信息保护措施存在漏洞？

多家医院确实存在“漏洞”

如今互联网诊疗、智慧医院十分普及，目前几乎每家医院都提供了完备的互联网就诊服务或互联网医疗服务，常用的有在线预约挂号、检验检查报告查阅、病历查阅等门诊服务内容。而考虑到现实生活中存在家庭成员代办的客观需求，如子女帮老人挂号取检验报告、家长替孩子挂号等等，各家医院的互联网服务也基本允许绑定他人作为就诊人。

记者近日和姜先生一起，对上海市多家医院的互联网服务进行体验，发现不少医院在绑定他人为就诊人时几乎不设认证环节，或者认证环节较为简单。

在互联网诊疗、智慧医院等政策的引领下，目前几乎每家医院都提供了完备的互联网就诊服务或互联网医疗服务，常用的有在线预约挂号、检验检查报告查阅、病历查阅等门诊服务内容。

以“上海某医院”为例，只需进入服务号，点击下方按钮进入“医疗服务”版块。只需通过填入姓名和身份证号，就能顺利添加了他人为就诊人，并在页面显示为“已认证”状态，且系统自动关联了该身份证此前就诊时使用的医院就诊卡。“实名认证的用户可查看历史线上就诊记录”，随后，记者顺利查看到了被添加者于2021年在该医院所做的多项检查的报告以及2021年9月的全套体检报告，并且还可下载PDF文件。

在李女士的遭遇中，被泄露的诊疗信息主要来自于徐汇区的两家医院。日前，该院门诊办公室的一名工作人员在接受采访时就表示，在线医疗服务在设计时，总体考虑是方便病人和病人家属了解病情。“别有用心去探查他人诊疗信息毕竟是少数现象”，她认为，设置过于复杂的认证环节，给更多患者带来的是麻烦。

李女士的案例不是个例，更可怕的是这种“无心”的隐私泄露在医疗行业普遍存在。

日前，某三甲医院医生未经同意，将患者就诊视频仅做面部打码便发布至社交平台一事引发争议。这并非个案。从明星病历被私下传阅最终陷入“全网围观”，到妇产科诊室安装摄像头遭患者投诉，再到大量医疗信息被泄露甚至贩卖，患者隐私保护问题屡成社会焦点。

这些事件一再提醒：保护好患者隐私并非老生常谈，而是需要持续攻坚的“考题”。

从"无心之失"到恶意贩卖

1. 岳阳医院数据贩卖案：7万条学生信息的黑色交易

2024年7月，湖南省岳阳市岳阳楼区人民法院审理了一起令人震惊的侵犯公民个人信息案。当地某医疗机构员工谭某与徐某相互勾结，从医院数据共享盘中非法获取7万余条学生个人信息，出售给教育培训机构，非法获利3万余元。

法院审理后判处：

谭某有期徒刑二年五个月，缓刑三年，处罚金19000元

徐某有期徒刑三年，缓刑三年六个月，处罚金22000元

买家易某有期徒刑十个月，缓刑一年，处罚金7500元

这起案件暴露出医疗机构数据管理的重大漏洞——本该严密保护的患者信息，竟成了内部人员牟利的"商品"。

2. 明星隐私成"八卦素材"：从林俊杰到周海媚

公众人物的医疗信息更是成为某些人炫耀或牟利的工具：

• 2019年：歌手林俊杰就医信息被泄露，使用过的吊水针头和注水包疑被医护人员出售给粉丝
• 2023年：演员周海媚生前送医抢救的电子病历截图在网上流传，包含详细个人资料和就诊信息

这些事件不仅严重侵犯了个人隐私，更违背了医者仁心的基本伦理。某三甲医院信息科主任在接受采访时表示："查询明星病历已成为某些医护人员的'地下娱乐'，甚至形成了信息交易的灰色产业链。"

3. 普通人的"无妄之灾"：从微信群到网络暴力

普通人的医疗隐私同样岌岌可危：

• 江苏昆山：医师陈某为核实患者缴费情况，将含患者姓名、诊断等信息的检验申请单发送至医院微信群，被处以警告和15000元罚款；
• ：20岁患者因多次出入酒吧的活动轨迹被公开，真实姓名、身份证号、住址等隐私在网上曝光，遭网友"群起而攻之"；
• 沈阳：患者及其家人的个人信息在网络流传，包括姓名、身份证号、手机号、家庭详细地址等。
• 
  

这些案例表明，医疗隐私泄露已从偶发事件演变为普遍现象，从机构行为蔓延到个人行为，从经济犯罪发展到网络暴力的导火索。

《个人信息保护法》第九条明确，医院、法院作为个人信息处理者，对信息安全负全责。他们处理的医疗健康、案件信息等，都属于“一旦泄露就危及人身财产安全”的敏感信息，泄露即违法。

三类责任一个都不少

民事赔偿：按《民法典》规定，能算清损失的按损失赔，算不清的按机构获利赔，还能要精神损害赔偿。比如因泄密遭诈骗，被骗的钱得赔，焦虑失眠的诊疗费也能主张。

行政处分：卫健委（管医院）、上级法院会对涉事机构罚钱，对直接责任人警告、撤职。

刑事责任：若泄露50条以上病历、案件等敏感信息，或获利超5000元，就够得上“侵犯公民个人信息罪”，责任人要坐牢。

卖国家卫健委：电子病历管理进入“全链条追责”时代

2025年6月30日，国家卫生健康委发布《关于进一步加强医疗机构电子病历信息使用管理的通知》（以下简称《通知》），这是继2017年《电子病历应用管理规范（试行）》后，针对医疗信息化发展新形势的又一重要政策。此次更新不仅是操作流程的优化，更是医疗质量与安全保障体系的全面升级。

医院担主责，权限管理成核心防线

《通知》最醒目的是将电子病历安全责任直接落实到医疗机构。

·权限管理精密化：《通知》要求建立“分级分类访问控制”，临床、教学、管理人员将拥有截然不同的数据权限。明确临床诊疗、教学、管理等相关人员分级访问权限和时限，行政人员查看病历的范围将受到严格限制。权限与岗位深度绑定，并设置明确时限，权限清单需定期审核更新。

·追责机制刚性化：电子病历管理正式纳入医护人员绩效评价体系。一旦发生违规操作或信息泄露，追责将直接落实到部门和个人。纪检部门的监督职能被重点强化，严防权限滥用。

·应急响应制度化：医院必须建立电子病历泄露的专门处置流程。发生就医相关舆情时，系统能立即封存相关人员信息，阻断无关访问和传播。

未来，医院或将重新梳理权限分配逻辑，过去粗放的“能看全看”模式行不通，权限必须精确到人、到岗、到时。

以往电子病历更关注系统功能是否强大，现在或许安全审计才是首要指标。在新的规定下，再无“隐形操作”的空间，医护人员要尽快适应每一步操作都被记录的环境。

《通知》提到，省级卫生健康部门需将电子病历规范使用情况纳入医院评审、智慧医院建设的核心评估指标，直接影响医院等级和声誉。地方卫生健康部门需开展常态化监测评估，督促医院将政策落地。电子病历安全成为智慧医院建设的“安全地基”，技术再先进，若无法保障信息安全，智慧医院建设将一票否决，电子病历安全已成为医疗质量的“生命线”。

此外，《通知》的深层意义远超技术层面——它重新定义了数字时代的医患信任关系。在信息高度互联的今天，患者将最私密的健康信息托付给医疗机构，这份信任弥足珍贵却又异常脆弱。

未来，或许通过构建严密的制度框架和技术防线，可以将这份抽象的信任转化为可验证、可执行的安全承诺。

转载仅作分享，版权归原作者所有。若有来源标注错误或侵权，请联系我们，我们将及时更正、删除，谢谢！