医疗机构处理患者信息相关问题

医疗机构在每日为患者提供诊疗、咨询等服务的过程中不可避免的会留存患者及其陪同人员的各类信息，在处理此类信息时作为医疗机构应当如何做？笔者对此将涉及到的相关规定及案例做以下梳理。
01 医疗机构或医务人员可能面临的法律责任
民事责任
医疗机构及其医务人员有对患者的个人信息保密的义务，泄露患者隐私和个人信息，或者擅自公开患者病历资料，是一种较为严重的侵权行为，有可能对患者的工作、学习和生活造成重大影响。《民法典》规定泄露患者隐私、个人信息或者病历资料的，无论该行为对患者是否造成损害，医疗机构及其医疗人员都应当承担侵权责任。患者遭受该种侵权行为侵害的，可以收集相关证据到法院提起民事诉讼。
行政责任
《医师法》第五十六条规定泄露患者隐私或者个人信息的由县级以上人民政府的卫生健康主管部门责令改正，给予警告，没收违法所得，并处一万以上三万以下的罚款；情节严重的，责令暂停六个月以上一年以下执业活动直至吊销医师执业证书。《基本医疗卫生与健康促进法》明确医疗卫生人员有泄露公民个人健康信息行为的，将承担个人责任，被处以行政处罚。
《个人信息保护法》第六十六条规定违反本法规定处理个人信息，或者处理个人信息未履行本法规定的个人信息保护义务的，由履行个人信息保护职责的部门责令改正，给予警告，没收违法所得，对违法处理个人信息的应用程序，责令暂停或者终止提供服务；拒不改正的，并处一百万元以下罚款；对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款。对于情节严重的违法行为，可以在没收违法所得的基础上，并处五千万元以下或者上一年度营业额百分之五以下罚款，对直接主管人员可被处十万元以上一百万元以上的罚款。
刑事责任
《刑法》第二百五十三条规定，违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。违反国家有关规定，将在履行职责或者提供服务过程中获得的公民个人信息，出售或者提供给他人的，依照前款的规定从重处罚。公民的个人信息受法律保护，任何单位或个人均不得通过非法手段获取公民个人信息，更不能利用公民个人信息获取非法利益，否则要承担严重的刑事责任。
02 医疗机构在处理患者信息时，常踩的坑
1. 病历保存不善，导致泄露
案例：李某于2006年4月26日至同年5月23日因混合痔、肛裂在肛肠医院住院治疗。2012年5月，李某的家人在上网时发现，李某在肛肠医院就医的部分病历信息被人制作成光盘在网上发布出售信息。李某认为由于肛肠医院的泄密侵权行为，造成多家网站都有不经过当事人允许，擅自在包括全国知名度网站登发其及多名患者隐私并公开销售光盘侵权行为。向法院依法提起诉讼。
法院认为：李某在肛肠医院就诊后，肛肠医院即负有根据相关法律、行政法规及行业规定的要求，对李某的病历进行严格管理、保存、保密之义务，但肛肠医院未尽上述义务，致使李某病历外泄，肛肠医院存在过错。肛肠医院的行为对李某的隐私权构成侵害，并致使李某遭受精神损害，应对其侵权行为承担相应的法律责任。
案例分析：病历属于患者医疗健康信息，具体是指医务人员在医疗活动过程中形成的文字、符号、图表、影像、切片等资料的总和，包括门（急）诊病历和住院病历，以及病历归档以后形成病案。对于医疗机构及医务人员而言，应当建立健全内部病历管理制度，加强对医务人员的培训和监督，尊重和保护患者的隐私和个人信息安全，避免发生不必要的纠纷。
2. 医疗机构向非患者本人告知/提供患者就诊信息
案例1：张某于2015年7月在被告妇幼保健院进行孕前检查,妇幼保健院在未经张某允许情况下，将张某的孕前检查报告告知具有利害关系的张某丈夫的前妻李某，李某随后告诉张某丈夫说张某堕过胎，张某丈夫质问张某是否堕过胎。另，李某也亲口承认张某和其丈夫的孕前检查报告是由被告妇幼保健院的工作人员告诉其的。张某向法院依法提起诉讼。
法院认为：自然人享有隐私权，除法律另有规定或者权利人明确同意外，任何组织不得侵害他人的隐私权。由原告举证证明被告存在侵权行为、该行为具有违法性、存在侵权后果、该后果与被告行为存在因果关系。
案例2：2011年5月，孙某在医院实施了人流引产手术；2015年8月，医院将其人流引产手术的病历资料复印给区人民政府相关部门的工作过人员，作为案件材料使用。孙某认为医院的行为侵犯了其隐私权，向法院依法提起诉讼。在庭审中，医院认为在要求该两名工作人员出具介绍信、工作证，填写了复印住院病历的申请书后，才向其出示了孙某的病历资料，不应承担侵权责任。
法院认为：区政府作为相关部门的工作人员，负责本行政区域内相关工作，有权向医疗机构调查孙某情况。该两人所调查的内容与其工作职责相关，属于依法履行职务行为。医院在要求该两名工作人员出具介绍信、工作证，填写了复印住院病历的申请书后，才向其出示了孙某的病历资料，医院的行为符合《医疗机构病历管理规定》的要求，尽到了医疗机构对病历复印的审查和管理责任，不存在侵害孙某隐私权的加害行为，也不存在宣扬孙某隐私的过错。
案例分析：不论是张某在妇幼保健院的病历信息，抑或是孙某手术信息均属于自身的敏感信息和隐私，医院负有严格管理、保存、保密义务，不得随意泄露给他人或其他机构。对于医疗机构及医务人员而言，对于非患者本人调取患者病历资料应提供的身份证明及相关授权手续，尽到法定的审查义务。患者若认为医院的行为有侵犯其隐私之处，负有证明损害事实及损害后果的义务。
3. 医疗机构向医药公司提供公司产品使用信息
案例：王某在2015年7月就心脏起搏器的产品质量问题与供应商美敦力公司沟通，交流过程中得知，医院将王某在医院处的医疗档案材料和心脏起搏器检测情况透露给美敦力公司。王某认为，其医疗档案材料和心脏起搏器检测情况属于个人隐私，医院未经原告许可将原告的上述材料透露给美敦力公司，侵害了其隐私权，向法院依法提起诉讼。
法院认为：医院与美敦力公司就王某对心脏起搏器的使用情况的沟通属于医疗器械销售方与医院的正常沟通范围，并不存在对王某的隐密信息进行不当公布的情形。
案例分析：医院的诊疗过程中的会产生医生使用第三方医药公司的设备/产品为患者进行诊疗的情况，双方在就设备/产品的使用方面进行沟通时难免存在具体案情的讨论，属于正常沟通范围。对于医疗机构及医务人员而言，在日常工作中同事之间、同第三方医药公司之间应在非公共场所仅就具体情况进行讨论，不应将患者其他个人信息加以讨论、传播。
4. 医疗机构根据约定向患者工作单位提供病情信息
案例：董某某2012年8月29日，因身体不适到医院处就诊并住院治疗至2012年9月3日。董某某向医院告知由第三人支付其医疗费用，并自愿签署了《财务政策》同意医院向第三人提供医疗记录，2012年9月4日，医院将董某某《住院志》发送至其工作单位。董某某认为因《住院志》中含有对其酗酒的诊断，导致此项隐私被其所在公司知晓，公司据此认为董某某不适合继续工作，于2013年4月与董某某解除了劳动关系。董某某因酗酒被开除的事件在业界受到一定传播，导致难在行业内再找到类似工作。给其造成巨大损失和精神损害，侵害了其隐私权，向法院依法提起诉讼。
法院认为：《出院志》作为载有董某某病情诊断、治疗经过及相关医嘱的病历材料，属于董某某隐私。董某某向医院告知由第三人支付其医疗费用，并自愿签署了《财务政策》同意医院向第三人提供医疗记录，而“医疗记录”不应狭义理解为医疗费账单，《出院志》作为董某某就医治疗的客观记载，显然属于医疗记录的范围，故医院将《出院志》提供给第三人系经过了董某某的同意，不构成对原告隐私权的侵犯。
案例分析：对于医疗机构及医务人员而言，经患者本人同意后按照约定将患者信息提供给第三方并无不可，但一定要注意前提条件：经患者本人同意。
5. 未获得患者本人同意，对患者隐私部位进行手术教学等
案例：2017年11月21日，某县人民医院通过州红十字会获赠了一台由某集团提供的直视人流系统设备一套。按照该设备专家的要求，先在黄平县召开培训会，设备专家通过APP对设备的运行讲解后要求县医院安排1－2例人流手术进行现场教学。随后，该医院妇科主任杨某1通知任某到县医院做人流手术（任某正在县医院住院需施行药流手术）。任某进入手术室后，设备专家及红十字会的副会也进入了手术室，县融媒体中心的一位工作人员也提着摄相机进入手术室。其间，任某丈夫多次交涉不准县融媒体中心的工作人员进入手术室拍摄。任某以侵犯其隐私权，向法院依法提起诉讼。
法院认为：县红十字会派员跟踪设备使用情况，在任某做人流手术时，没有经过任某同意进入人流手术现场，并通知县融媒体中心对设备跟踪采访报道，这一系列行为已经侵犯任某的隐私权，应承担主要民事侵权责任；某县人民医院用直视人流系统在为任某做人流手术时，没有告知该手术还需有专家现场教学，在没有征得其同意的情况下把不是该医院的医务人员带入手术室，也侵犯原告的隐私权，应承担次要民事侵权责任；县融媒体中心未经原告任某同意，擅自派员携带摄录采访设备进入手术室，同样也侵犯了原告的隐私权，也应承担一定的侵权民事责任。
案例分析：对于医疗机构及医务人员而言，应取得患者的同意后，方才能组织实习生或医学生对患者身体甚至是隐私部位进行观摩、手术教学、检查等，对患者的个人信息及相关病历信息应使用化名等再发表在医学期刊、个人论文、著作中，或用于讲座教学。
6. 医疗事故纠纷中，医疗机构使用患者病历作为案件材料
案例：2015年3月4日，北京市某区社会保险事业管理中心向吴某下发医疗保险告知书，内容：吴某同志，《北京市医疗保险费用审核结算信息系统》对参保人员就诊信息实时监控显示：您（报销区县：某区，医疗保险手册号：×××，社会保障号：×××）于2016年1月5日至2016年3月1日在北京市某区第一医院、北京市某区××街道××社区卫生服务站、××医院、北京××中西医结合医院等4家医疗机构就诊，因个人原因重复开取碳酸钙d3片（120天药量，超34天药量）、精蛋白生物合成人胰岛素注射液（预混30r）(115天药量，超43天药量)、阿卡波糖片（120天药量，超44天药量），涉及药品总金额：2628.06元，违规金额957.72元。《北京市基本医疗保险参保人员就医管理暂行办法》规定，糖尿病、高血压等十种慢性病最多可以开一个月的药量，您重复超量取药违反了上述规定。我们在此提示：自觉遵守医疗保险规定是每个参保人应尽的义务；重复超量开药既造成药品浪费，使用不当也会危害您的身体健康；如果倒卖药品更是违法行为。吴某以此为由，认为北京××医院泄漏其医疗重要信息，侵犯了隐私权，向法院依法提起诉讼。
法院认为：是否构成侵害隐私权的责任，应当根据受害人确有隐私被损害的事实、行为人行为违法、违法行为与损害后果之间有因果关系、行为人主观上有过错来认定。吴某提供之证据仅能显示社保中心向其下达重复过量开药的过程，未提供证据证明北京××医院有对其隐私进行侵害的行为，也没有证据显示吴某的隐私被损害。
案例分析：第三方根据合法渠道取得患者开药等信息，医疗机构不承担任何责任。对于医疗机构及医务人员而言，若因其内部原因导致患者个人信息被披露，如：将产妇的信息披露给奶粉厂商或婴幼儿用品厂商，则应承担相应的责任。
7. 医疗事故纠纷中，医疗机构使用患者病历作为案件材料
案例：郭某的妻子姚某生前因患病在某县人民医院医治，后姚某去世。郭某及其子以医疗损害赔偿责任纠纷向人民法院提起诉讼。魏某和赵某为某县人民医院的委托代理人，在提供证据过程中，到某县疾病预防控制中心关爱科调取了患者姚某确认日期一份；到某县卫生局下属××患者个人帐户的有关材料。某县疾病预防控制中心关爱科于2014年8月1日出具证明，证明在2014年7月份，县医院魏某、继某二人在姚某家属不知情的情况下，没有任何手续在其单位拿走患者姚某的确认日期一份。××防治工作委员会办公室2014年8月4日出具证明，证明在2014年7月19日律师赵某及县医院工作人员魏某带某市“148”法律服务所调查专用证明（编号368）复印某治疗点姚某治疗处方21张复印件及某治疗点姚某申请办理个人帐户证明复印件一张，是由我处出具。在某县人民医院的委托代理人调取的姚某的确认日期材料上加盖有某县疾病预防控制中心关爱科的印章；在姚某办理个人帐户的申请证明和21张处方上加盖有××防治工作委员会办公室的印章。在调取到姚某患××的相关材料后，魏某和赵某作为某县人民医院的委托代理人，将上述材料作为证据材料进行提交。另查明，××防治工作委员会办公室向二原告提供的法律服务所调查专用证明（编号：368）上未加盖法律服务所的印章。某县公安局治安大队于2014年8月13日出具证明，证明××防治工作领导小组委员会办公室印章（附有该印章的印模）未在公安机关备案。庭审中，被告某县卫生局的委托代理人提交××防治工作委员会办公室于2015年6月24日要求更换公章的说明，在该说明上，某县公安局治安大队于2015年6月26日签署材料，证明编码4128230002021××防治工作委员会办公室公章已备案。
郭某认为魏某、赵某、某市“148”法律服务所、某县人民医院、某县疾病预防控制中心、某县卫生局侵犯了公民隐私权，向法院依法提起诉讼。
法院认为：某县人民医院、魏某、某市“148”法律服务所及律师赵某以诉讼利益为目的，未得到患者家属同意且不具备调取病历的主体资格的情况下，调取患者姚某的确诊证明及处方材料等病历并在案件中予以出示，违反相关病历管理的规定存在过错，某县卫生局和某县疾病预防控制中心在没有征得患者亲属同意、调查函存在瑕疵的情况下将涉及公民隐私的病历材料复制给他人使用，也存在过错，应承担相应的责任。
案例分析：医疗机构制作的病历资料真实详细地记载了患者的个人私密信息，这些病历材料形成了患者新的隐私。未得到患者及其家属同意的情况下，非因特殊情况不得泄露患者的病历材料。《医疗机构病历管理规定》规定了对调取病历的目的和调取病历的主体做了限制性的规定。对于医疗机构及医务人员而言，不论自身亦或第三人调取患者个人信息资料均应遵守相关法律法规。
结语
随着社会的发展和网络信息化的不断发展，医疗机构应依据相关法律法规拟定相关制度并加强监管；医务人员对患者隐私及个人信息保护应加强职业自律性，问诊、查体严格依照相关诊疗规范，对于与病情无关的涉及患者隐私的个人信息不予刺探。对于与病情无关的、不需要检查的患者隐私部位不予查看，对于需要以患者为案例，进行医学教学或者需要对诊疗过程进行拍摄时，须征询患者的意见，取得患者同意，在法律允许的范围内进行。