君说安全｜《医疗卫生机构数据安全和个人信息保护管理办法（试行）》解读

原创

JUN哥
JUN哥

君说安全

2026年10月20日 00:00
贵州

去阅读

多一度思考，见网安本质！

“医疗卫生机构数据安全和个人信息保护管理办法！”

大家好，我是Jun哥。

近年来，随着“互联网+医疗健康”的快速发展，电子病历、在线问诊、智慧诊疗等新模式广泛普及，医疗卫生机构产生的数据呈指数级增长。

临床数据、科研数据、管理数据、医疗设备数据汇聚成海量资源，既驱动服务模式创新，也带来严峻的安全挑战：系统漏洞未及时修复、个别人员滥用权限窃取倒卖患者信息、数据违规出境等事件时有发生。

此前，2022年《医疗卫生机构网络安全管理办法》（国卫规划发〔2022〕29号）（下文简称办法）已为行业网络安全奠定基础，但其重心在网络与系统。

2026年2月14日，国家卫生健康委会同公安部、国家网信办等部门联合印发《医疗卫生机构数据安全和个人信息保护管理办法（试行）》（国卫规划发〔2026〕6号），自印发之日起施行。

这部七章四十条的规章，将《网络安全法》《数据安全法》《个人信息保护法》的法律要求转化为医疗卫生行业可执行、可落地的具体规范，标志着行业数据治理进入制度化、规范化新阶段。

可以说，该办法的出台，是医疗行业从“管网络”到“管数据”的必然一步。

  01　制度框架：三大核心支柱

《办法》以“规范数据管理、促进开发利用、保护主体权益、统筹发展与安全”为目标，确立三大核心制度。

第一，数据分类分级保护制度。

医疗卫生机构数据分为核心数据、重要数据和一般数据三类，分别采取不同保护措施；当不同级别数据混杂且难以分别保护时，按“就高不就低”原则执行。

省级卫生健康行政部门统筹组织分类分级，提出重要数据与核心数据目录建议；机构须定期梳理识别数据，并向属地报送重要数据清单，内容涵盖来源、类别、级别、规模、处理目的、责任主体、跨境传输及保护措施等。

处理重要数据的机构，每年至少开展一次网络安全风险评估；存储、处理重要数据的系统须落实三级及以上等保要求；涉及关键信息基础设施的核心数据，须落实关基保护。

达到特定精度或规模的个人健康信息，将被纳入国家重要数据目录重点保护。

第二，数据全生命周期安全管理。

《办法》对数据的收集、存储、使用、加工、传输、提供、公开、删除八个环节提出明确要求，强调通过管理与技术手段平衡安全与应用。

机构须建立健全管理制度，明确安全负责人、设立专门管理机构、制定专项应急预案，并强化制度、人员、管理、技术、应急五大保障。

重要数据应在境内存储，采取备份、加密等保护措施；严禁通过微信、网盘、社交软件等传输核心、重要和敏感数据。

第三，个人信息保护。

机构须自行或委托专业机构定期开展个人信息保护合规审计；委托处理个人信息前须进行影响评估，严格控制第三方风险。

值得关注的是，《办法》对新技术应用划出红线：人工智能处理患者病历必须确保个人信息安全，不得违法收集、超范围收集、超授权调阅、违法提供、违法向境外提供或违法公开个人信息，不得滥用人脸识别信息。

  02　红线与责任：十项禁止与应急闭环

《办法》第二十二条明确“十项禁止”行为，划定不可逾越的底线：

（1）不得违法采集、违法存储、违法传输、违法向境外提供数据；

（2）不得越权使用、未经授权处理、未经批准提供数据；

（3）不得随意公开数据；

（4）不得未经销毁即报废设备或变更用途；

（5）不得隐瞒数据安全事件。

在监管层面，《办法》要求建立数据安全风险监测预警与应急处置机制：地方卫健部门及时汇总分析并上报重要数据或核心数据风险隐患；

机构须制定应急预案、定期演练，发生涉及重要或核心数据的安全事件须立即上报，并及时告知用户、采取减轻危害的措施。

  03　落地建议：把“安全锁”拧紧在每一环

对医疗卫生机构而言，《办法》既是合规底线，也是能力建设契机。

所以Jun哥给出的建议如下：

一是尽快完成数据资产盘点，建立分类分级清单并动态更新；

二是压实“谁运营谁负责”主体责任，设立专职数据安全管理岗位；

三是将全生命周期管控嵌入业务流程，严控第三方与跨境场景；

四是借助等保2.0与关基保护要求，补强技术防护。

数据安全无小事，唯有把制度落到每个环节，才能在数字浪潮中真正守护患者隐私与行业安全。

网络安全#君说安全#数据安全#个人信息安全

全文完，欢迎在评论区聊聊你的看法！

-End-

**