医生账号被他人登录：医疗机构、账号所有人、实际操作人员三方责任分析

原创

小话安全
小话安全

小话安全

2026年10月5日 17:19
山东

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

一个医生在外院住院，他自己的账号却在本院持续产出病程记录。这不是段子，是长沙市卫健委行政处罚决定书里认定的事实——长沙南湖医院因系统默认绑定苏某账号、科室其他医生使用该账号书写病程记录，被警告并罚款2万元。

账号被他人登录使用，看起来是“一个人的事”，实际上是一张责任网。同类型处罚案件当中，医疗机构、实际操作人、账号所有人，三方都有可能被追责。今天把这三方的法律责任逐一拆开。

一、核心定性：账号是医师专属身份标识

医生HIS/电子病历账号属于医师专属身份标识，病历相关诊疗记录操作，必须由医务人员本人操作。他人冒用、借用账号登录书写病历，本质属于非本人执业、越权使用医疗身份标识。

依据《电子病历应用管理规范（试行）》第九条：电子病历系统应当为操作人员提供专有的身份标识和识别手段，并设置相应权限；操作人员对本人身份标识的使用负责。第十条规定：有条件的医疗机构电子病历系统可以使用电子签名进行身份认证，可靠的电子签名与手写签名或盖章具有同等的法律效力。第十五条进一步明确：医务人员采用身份标识登录电子病历系统完成书写、审阅、修改等操作并予以确认后，系统应当显示医务人员姓名及完成时间。

简单理解：电子病历账号不是科室公共账户，是医务人员实名执业工具，病历签名对应的执业行为，原则上归属于账号持有人。

《医疗质量安全核心制度要点》信息安全管理制度规定：医疗机构应当建立员工授权管理制度，明确员工的患者诊疗信息使用权限和相关责任。医疗机构应当为员工使用患者诊疗信息提供便利和安全保障，因个人授权信息保管不当造成的不良后果由被授权人承担。

责任划分两条核心分界线：

1. 账号所有人是否主动出借账号、授权他人登录操作；主动出借密码允许他人使用，和在本人不知情情况下账号被私自盗用登录，责任轻重不一样。
2. 医疗机构账号、权限、认证体系管控是否到位；即便账号属于被盗冒用，如果医院安全机制存在漏洞，医院依然要承担主体责任。

二、医疗机构：首要责任方

医疗机构承担主体管理责任，医疗机构主要负责人是患者诊疗信息安全管理第一责任人，各科室负责人承担科室层面管理责任。实务当中账号共用案件，医院是最常被处罚的主体，常见违法情形如下：

1. 医疗质量安全管理制度落实不到位

医疗机构未建立有效的账号管理、身份识别制度，出现多人共用同一个医务人员账号开展病历书写，卫健部门可依据《医疗纠纷预防和处理条例》第四十七条第（一）项“未按规定制定和实施医疗质量安全管理制度”，责令改正、警告，并处1万元以上5万元以下罚款；情节严重的，对直接负责的主管人员和其他直接责任人员给予或者责令给予降低岗位等级或者撤职的处分，对有关医务人员可以责令暂停1个月以上6个月以下执业活动。长沙南湖医院正是适用本条作出处罚。

《基本医疗卫生与健康促进法》同样规定：医疗质量管理、医疗信息安全制度和保障措施不健全的，责令改正，给予警告，并处1万元以上5万元以下罚款；情节严重的，可以责令停止相应执业活动，对直接负责的主管人员和其他直接责任人员追责。

2. 病历管理不合规

他人使用别的医生账号书写病程记录，一旦存在超时补记、内容不实等问题，同时构成病历资料填写不规范，卫健部门可按照病历管理相关规定予以处置。

3. 数据安全、个人信息保护义务未履行

患者诊疗信息属于敏感个人信息，账号共用意味着患者数据被未授权人员访问。医疗机构作为医疗数据处理者，需要落实身份认证、访问控制、日志留存等安全措施，未履行数据安全、个人信息保护义务，监管部门可依据《数据安全法》《个人信息保护法》作出行政处罚。

4. 操作留痕、可追溯不满足法定要求

国家卫健委、国家中医药局、国家疾控局《关于进一步加强医疗机构电子病历信息使用管理的通知》明确：医疗机构要确保电子病历历次操作痕迹、操作时间和操作人员等信息可查询、可追溯，并遵循最小可用原则，按照岗位职责、角色任务、使用需求等，明确分级访问权限和时限。

《网络安全法》要求网络日志留存不少于六个月。医院如果无法定位实际操作人，本身就属于安全管控缺陷。

关键点：哪怕账号被盗用、账号持有人完全不知情，只要医院身份认证、权限管理、日志审计存在漏洞，医疗机构就要承担对应的主体管理责任。

三、账号所有人（医生本人）：对本人身份标识负有保管义务

医务人员法定义务：妥善保管账号、密码、Ukey等身份介质，不得擅自转借他人；一旦发现账号异常登录，第一时间上报医务科、信息科，及时冻结账号排查风险。

场景A：医生主动出借账号，授权其他人登录操作

医务人员将账号密码交给同事，允许对方使用自己账号书写病程、开具医嘱，属于保管身份标识不当。卫健部门查处此类案件，可依据《医疗纠纷预防和处理条例》第四十七条对涉事医务人员作出警告、罚款；情节严重的，可以责令暂停执业。

如果借号衍生出伪造病历、篡改病历、泄露患者隐私等行为，会进一步触发更严厉处罚。

民事层面：一旦发生医疗损害纠纷，对外由医疗机构先行赔偿；赔付完毕之后，医院可依据内部制度向存在重大过错的出借账号人员追偿。

另外多地已经把账号保管违规纳入医务人员不良执业行为记分管理，违规出借账号会直接记分。

场景B：账号被盗冒用，医生本人不知情、没有出借行为

账号持有人无主观过错，并且发现异常之后在合理时间内上报处置，并留存书面上报记录的，一般不会给予行政处罚，仅需要配合调查取证。

⚠️ 例外：医务人员长期设置弱口令、长期不查看账号操作记录，明知账号存在异常访问却置之不理，会被认定保管疏忽，需要承担相应次要责任。

四、实际操作人员：谁操作，谁对本次操作行为承担直接责任

① 操作人员本身具备医师执业资质，但没有该账号使用权限

属于越权使用他人身份标识书写病历、开展诊疗操作，本人承担直接行政责任，院内可给予处分；一旦造成医疗损害，按过错承担相应责任。

② 操作人员无医师执业资质，冒用账号开展诊疗（写诊断、开医嘱、开处方）

该行为属于行政层面非法行医，卫健部门可以依据《医师法》第五十九条予以处罚：责令停止非法执业活动，没收违法所得和药品、医疗器械，并处违法所得二倍以上十倍以下的罚款，违法所得不足一万元的，按一万元计算。

刑事提示：刑法非法行医罪入罪门槛较高，单纯冒用账号书写病历，没有造成就诊人损伤、多次非法行医等法定“情节严重”情形的，一般仅作行政处罚，不构成刑事犯罪。

补充说明：规培、进修人员并非完全不能书写病历。根据《关于进一步加强医疗机构电子病历信息使用管理的通知》，参与见习实习和培养培训的学生、进修医生等短期工作人员，需接受医疗机构组织的相关培训，依权限在教学学习活动中规范使用电子病历信息，其使用权限和时限不得超过培训进修学习范围和时长。具体而言，应当在电子病历系统中为该人员完成权限配置，且病历须经带教医师本人审阅确认后方可生效。严禁直接冒用带教或者其他医生账号签名。

③ 仅登录查阅、导出病历，不做诊疗记录操作

未经授权访问、批量导出患者敏感诊疗信息，属于违规获取患者个人信息；如果情节达到刑事立案标准，需要承担侵犯公民个人信息相关刑事责任。

提示：医院内部职工本身具备病历访问权限，只是借用他人账号查阅病历，实务中优先按院内制度、医疗行政违规处置。司法实践中，非法获取计算机信息系统数据罪通常不适用于此类内部越权查阅场景，但在批量导出、复制数据等情形下不能完全排除该罪名的适用可能，该罪名更多适用于外部人员突破权限获取系统数据的场景。

五、民事赔偿责任划分

对外：依据《民法典》医疗损害相关条款，患者诊疗过程遭受损害，直接向医疗机构主张侵权赔偿，不需要区分医院内部是谁借号、谁操作。

对内：医疗机构赔付之后，可以按照三方各自过错大小追偿。

• 医生主动出借账号：医生重大过错，承担较高比例责任

• 账号被盗、医生无过错，根源是医院安全漏洞：医院承担主要责任

• 实际操作人员主动冒用账号、违规操作：操作人承担主要过错

六、刑事风险梳理

1. 非法行医罪：无执业资质人员开展诊疗活动，同时满足法定“情节严重”才构罪，单纯冒用账号写病历没有损害后果不入刑。

2. 侵犯公民个人信息罪：根据两高司法解释，非法获取、出售或者提供健康生理信息等可能影响人身、财产安全的公民个人信息五百条以上的，即认定为“情节严重”，构成刑事犯罪。批量获取、出售患者健康信息达到上述标准的，应予刑事追诉。

3. 非法获取计算机信息系统数据罪：多见于外部人员突破防护、无任何访问权限窃取系统数据。医院内部员工越权借号调阅病历，司法实践中通常不适用本条罪名，但在批量导出等情形下不能完全排除。

4. 拒不履行信息网络安全管理义务罪：医疗机构网络安全管理严重缺位，监管责令整改拒不改正，造成大量患者信息泄露，才有可能触及该罪名。

5. 医疗事故罪：医务人员严重不负责任，操作直接造成患者死亡或者严重人身损害才会涉及；单纯账号共用本身不会直接构罪。

七、三方责任对比表

主体 核心义务 出借账号场景 被盗冒用场景
医疗机构 账号权限管控、身份认证、日志审计、安全监测 主体管理责任，可依据《医疗纠纷预防和处理条例》《基本医疗卫生与健康促进法》处罚 主体责任不变；存在安全漏洞就要被追责，同步触发数据安全、个保相关监管检查
账号所有人（医生） 妥善保管身份标识，发现异常及时上报并留存记录 保管不当，可被卫健行政处罚；医院赔偿后可追偿，涉及不良执业记分 无过错且留存上报记录的一般不予处罚；放任异常登录、弱口令疏于管理承担次要责任
实际操作人员 仅限本人账号、权限范围内执业 越权操作承担直接行政责任；无资质人员开展诊疗按非法行医行政案件处置，情节严重涉刑 冒用获取数据，视情节承担行政或者刑事责任

八、应急处置与调查取证要点

发现账号被他人登录，建议按五步处置：

1. 立即冻结账号：联系信息科暂停账号使用，重置密码。

2. 封存操作日志：调取登录IP、终端MAC、登录时间、操作内容，日志至少留存6个月。

3. 定性区分出借还是盗用：这是判定账号持有人责任大小最核心一环，重点比对登录IP地理位置、有无出借密码聊天记录、终端使用记录。

4. 证据固定后按需上报：发生患者信息泄露，达到上报阈值时，向属地卫健、网信部门报送。

5. 医务科联合信息科开展内部调查，划分各方过错，落实院内追责。

写在最后

国家多部门文件持续把医务人员口令管理、账号转借作为医疗质量安全整治重点。

账号就是医务人员执业的电子钥匙。钥匙借出去，执业身份的风控防线就失效了。

对医疗机构来说，账号治理是系统性工程：系统设置落实一人一号，人事异动信息及时推送信息科做账号启停，非工作时段、异地登录设置预警，把绝大多数账号共用风险前置堵住。

对账号持有人来说，离开工位退出系统，密码不外泄，发现异常第一时间上报，留存上报记录；一旦发生盗用事件，这就是证明本人无过错最重要证据。

对实际操作人员来说，不要使用其他人账号操作病历。病程记录签名是别人的名字，但操作日志会留下你的痕迹。一份非本人书写的病历，一旦卷入医疗纠纷，就是非常不利的证据。

在账号被他人登录的事件中，信息科可能在以下三个方面存在过错：

🚨 技术管控失职

· 未落实“一人一号”：未按要求为每位员工分配唯一账号，或未在员工调岗、离职时及时调整权限，导致账号可被他人轻易使用。
· 身份认证机制薄弱：系统仅依赖静态密码，未部署数字证书、动态口令等强认证机制，无法有效核验操作者真实身份。
· 权限设置不合理：未遵循“最小可用原则”分配权限，可能赋予账号过大的访问范围，增加了越权操作风险。

📉 安全监测缺位

· 日志审计不健全：未按规定留存不少于六个月的网络日志，或日志记录不完整，导致无法追溯实际操作人。
· 缺乏异常行为监测：未部署监测手段对异常登录（如非工作时段、异地IP）进行预警，导致账号被长期冒用而未被发现。

🛑 应急处置不力

· 未及时响应报告：在接到账号异常报告后，未立即采取冻结账号、重置密码等必要措施，导致风险扩大。
· 未定期审查账号：未定期对系统内账号进行核查，未及时停用长期不用的“僵尸账号”，留下了安全隐患。

信息科的过错本质上是技术防线和管理流程的缺失。即便医生主动出借账号，如果信息科的技术管控到位，也能通过技术手段及时发现并阻断这种违规行为，从而避免风险扩大。

🩺 医务科：业务监管与制度落实的牵头部门

医务科通常是电子病历业务监管的牵头部门，核心过错在于未能有效监督和落实医疗质量安全核心制度。

· 制度执行流于形式：未建立或未有效执行账号管理、身份识别等核心制度，对科室内部账号共用等违规行为失察。
· 权限审批形同虚设：在账号权限的审批环节（如医生申请权限需经医务科核准），未能严格把关，导致权限授予不当。
· 监督考核缺位：未将电子病历规范使用情况纳入对医务人员的日常监督和绩效考核，未能及时发现并纠正违规行为。

📋 质控科：病历质量与操作追溯的监督者

质控科负责病历质量监控，其核心过错在于未能通过质控手段发现账号共用导致的病历质量问题。

· 病历溯源失效：账号共用直接导致“谁写的病历、谁下的医嘱”无法追溯，质控科未能识别并上报这一系统性风险。
· 环节质控缺失：在运行病历和终末病历的质控中，未将“操作者与记录者是否一致”作为关键检查项，未能拦截违规操作。
· 整改机制不畅：对于质控中发现的病历书写不规范、超时补记等问题，未能有效向临床科室发送整改通知并督促落实。

👥 人事科：账号全生命周期管理的源头

人事科是员工信息的权威部门，其核心过错在于未能将人员异动信息及时同步至账号管理部门，造成管理断点。

· 离职调岗权限未回收：员工离职或调岗后，人事科未及时通知信息科注销或调整其系统权限，导致“幽灵账号”存在，被他人冒用。
· 入职信息同步滞后：新员工入职时，未能与信息科建立高效的账号开通联动机制，可能导致账号分配不规范。
· 权限依据不准确：系统权限的设定应以人事科对人员的职能定位为依据，若人事信息不准确，将直接导致权限分配错误。

💉 护理部：护理单元的直接管理责任

护理部负责统筹护理人员的管理，其核心过错在于对护理单元的账号使用监管不到位。

· 科室责任制未落实：未建立科室责任制，未明确护士长作为本病区账号管理第一责任人的职责。
· 培训与监督不足：未对护理人员开展充分的电子病历安全使用培训，也未进行日常监督和考核，导致护士账号共用或代操作（如护士长账号协助修改记录）。

⚖️ 纪检监察部门：监督执纪的再监督

纪检监察部门承担监督的再监督职能，其核心过错在于未能对电子病历信息使用中的权限滥用、信息泄露等行为形成有效震慑和查处。

· 专项监督缺位：未将电子病历信息使用管理纳入日常监督重点，未开展针对性的专项检查。
· 问题线索处置不力：对于信息科、医务科等移交的违规操作线索，未及时介入调查，未依法依规追究相关部门和人员的责任。

参考法规清单

《电子病历应用管理规范（试行）》
《医疗质量安全核心制度要点》
《医疗纠纷预防和处理条例》
《基本医疗卫生与健康促进法》
《数据安全法》《个人信息保护法》《网络安全法》
《民法典》侵权责任编
《医师法》
《关于进一步加强医疗机构电子病历信息使用管理的通知》
最高人民法院关于审理非法行医刑事案件司法解释、两高侵犯公民个人信息司法解释