看病时留下的诊断详情、既往病史、个人行程轨迹，都是受法律重点保护的个人私密信息。但不少医护人员随意将患者诊疗内容发到社交平台闲聊、内部私下转发传阅，更有甚者批量打包售卖患者信息换取私利，这类侵权乱象一直让就诊人群倍感不安。
日常接诊中，若是医护人员随口外泄患者就医隐私，到底要承担怎样的法律代价？在细化患者隐私保护、规范医师违规处罚尺度这件事上，上海近日推出了全国领先的落地细则。
上海市卫健委新近出台《上海市医师行政处罚裁量权基准》（以下简称，《基准》），专门针对医护泄露患者隐私、违规处理公民个人信息的行为，划定了清晰的分级处罚细则，让原本停留在条文里的患者隐私保护，真正落地为可执行、可从严查处的执法依据。
阶梯式处罚落地：按条数分级，违规成本大幅拉高
在上海此次新政落地前，我国已构建起多层级的患者隐私保护法律体系，从民事、行政到刑事层面形成了完整约束，条款清晰、责任明确。
《中华人民共和国民法典》中明确，医疗机构及医务人员负有法定保密义务，患者隐私、病历资料未经本人同意不得披露；无论泄露行为是否造成显性人身、财产损害，涉事主体均需承担侵权责任，从民事层面划定了隐私保护的底线。
《中华人民共和国个人信息保护法》将医疗健康信息划定为最高等级的敏感个人信息，明确此类信息处理必须取得患者单独书面同意，严格遵循最小必要原则，严禁非法收集、买卖、对外提供，从数据合规层面锁死了信息流通边界。
此外，《中华人民共和国医师法》《护士条例》明确了医务人员泄露隐私的行政惩戒梯度，涵盖警告、罚款、暂停执业、吊销执业证书等处罚手段，为行业监管提供了行政依据。
一些情节严重的患者信息泄露、倒卖行为，还将构成侵犯公民个人信息罪，针对医疗敏感信息的涉案情形，在司法实践中依法从重处罚，追究刑事责任。
但现有法律法规并没有量化情节轻重。何为轻微违规、何为严重违法、涉案信息多少条对应何种处罚、牟利金额如何界定，均无统一裁量标准。这就导致以往大量隐私泄露案件，大多以“口头警告、内部通报”从轻处理，违法成本极低，难以形成有效震慑，也是医疗信息泄露乱象屡禁不止的核心根源之一。
近期发生的多起明星医疗信息泄露事件就直观暴露了行业处罚层面的漏洞。此前，艺人黄子韬在牙科机构就诊时，诊疗画面被医护人员私自偷拍，照片外流至朋友圈后迅速扩散至全网，当事人公开怒斥从业者无底线、无操守。今年3月，网红博主张雪峰离世期间，其实名特殊治疗知情同意书未经许可外泄，完整病历信息在网络流传，引发全网热议。
这些引发舆论关注的个案，大多以涉事人员删帖、私下道歉收尾，少有公开行政处罚、刑事追责的公示案例。这种“舆情热、处罚冷”的现状，进一步纵容了部分从业者的侥幸心理。
此次上海出台的新政，核心价值就在于量化裁量、阶梯处罚，把模糊的“情节轻微”“情节严重”转化为可落地、可核查、可追责的数字标准。
文章配图-1
图说 / 《上海市医师行政处罚裁量权基准》截图
值得注意的是，上海新规并未区分“无意闲聊泄露”和“故意牟利泄露”，只要达到对应条数和违法频次，就触发对应处罚；有无直接获利，仅作为裁量参考，而非处罚前置条件。这意味着，哪怕只是无利益诉求的私下散播、朋友圈转发，只要条数达标，同样会被重罚。
医疗信息泄露早已形成黑色产业链
在大部分人的印象里，患者隐私泄露无非是医护人员出于好奇、炫耀，把名人就诊信息当作饭后谈资，无伤大雅。但现实远比大众想象更残酷，闲聊式泄露是表象，数据倒卖黑产才是行业顽疾。
在黑色产业链中，患者不再是就医的自然人，而是明码标价的“数据商品”：产检孕妇信息流向月子中心、术后患者信息流向医美机构、慢病患者信息流向非法售药团伙、精神疾病患者信息被恶意售卖用于精准诈骗等，都是真实发生的案例。
2025年5月，《法治日报》曝光全国多地产妇信息兜售黑产：孕妇刚完成产检，个人电话、家庭住址、孕周、胎儿情况等核心信息就被同步倒卖，月子中心、产后修复机构随即精准骚扰，隐私泄露直接转化为精准营销骚扰。更有甚者，在社交平台暗网渠道，出现了付费查询他人完整就诊记录、住院病历、检查报告的非法服务，定价从几十元到数百元不等，隐私边界被彻底击穿。
追溯泄露源头，除了医院服务器被黑客攻击、系统存在网络安全漏洞等外部风险外，内部人员作案是核心诱因。少数医护人员、病案管理人员、信息运维人员利用职务权限，将敏感信息当作可变现的“私有资源”批量出售。这类内部泄露隐蔽性强、批量度高、溯源难度大，依托医院内部权限闭环极易规避常规风控，也是以往行业监管最难根治的痛点。
数据不是原罪，脱敏流通很重要
当下，AI医疗高速发展，海量、高质量的医疗数据是辅助诊断、智能影像筛查、新药研发、慢病管理模型训练的核心燃料。也正因此，近年来，医疗数据受到了极大关注，甚至被称为“沉睡的金矿”。国家层面接连出台文件，支持合规的医疗数据交易。
如今，国内已有成熟的合规范本可供参考。2025年12月31日，北京市卫生健康大数据与政策研究中心发布《健康医疗数据匿名化技术规范（试行）》，这是国内首个面向健康医疗领域的专项匿名化技术标准，针对数据去标识化、脱敏分级、流通审核、风险溯源制定了全流程操作细则，补齐了医疗数据合规使用的技术短板。
2026年4月，北京市卫健委专门召开宣介会解读该规范，并推动首都医科大学附属北京同仁医院与药企达成数据交易合作意向，为全国医疗数据合规流通提供了可复制的样板。
但需要认清的是，医疗数据交易不等于直接将患者的病历、就诊记录、用药记录等隐私信息“明码标价”出售。而是要经过了脱敏、确权、登记、挂牌、场内交易的标准流程。而且交易双方交易的是数据的使用权，并非原始数据本身。
所以，医疗数据本身没有问题，只要做好分级脱敏、规范场内流转、严控原始隐私外泄，就能更好地释放数据应有的价值。
回过头来再看上海此番出台的新政，清晰划定了医护相关操作红线。一边是明确数据流通的合法技术路径，一边是堵住内部泄露的管理漏洞，双向守住患者隐私底线。
出品 | 搜狐健康
作者 | 吴施楠
编辑 | 袁月
来源：搜狐
|
|
|
|
|
|
|
|
|
|
8
0