2026 年 2 月，国家卫生健康委、公安部、国家网信办、国家中医药局、国家疾控局五个部门联合印发《医疗卫生机构数据安全和个人信息保护管理办法(试行)》。办法七章四十条，最直白的是两串"不得"：数据侧十个，个人信息侧八个，一共十八条红线。
图 1：《医疗卫生机构数据安全和个人信息保护管理办法(试行)》框架
发文的是五个部门：国家卫生健康委、公安部、国家网信办、国家中医药局、国家疾控局。公安与网信进来联署，意味着越界不再只是行业内部的事。覆盖范围也比想象中宽：临床、科研、管理数据，以及医疗设备产生的数据，凡是电子记录都在内。
办法把责任写到了具体的人：主要负责人是第一责任人，分管负责人是直接责任人。县级以上医疗卫生机构应当成立 网络安全和信息化工作领导小组，由主要负责人任组长，并且每年至少召开一次专题会议。三条原则是"管业务必须管安全""谁主管谁负责、谁运营谁负责、谁使用谁负责"。
监管上，国家卫生健康委会同国家中医药局、国家疾控局统筹，县级以上地方卫生健康行政部门管属地。数据安全不是信息化部门一家的事，业务部门与信息化部门两边都要认账。
图 2：医疗卫生机构数据安全的责任分工
办法把医疗卫生机构数据分为核心数据、重要数据和一般数据三类，难以分别采取保护措施时，按其中级别最高的要求实施保护，也就是"就高从严"。这条解决的是最常见的犹豫：一份材料里既有姓名电话，又有诊断结论，不必逐个字段商量，如果难以分别采取保护安全措施则照着最严的做就行。
图 3：医疗卫生机构数据核心·重要·一般三级分类
数据分类分级不是机构关起门来自己定。省级卫生健康行政部门组织省域内的分类分级、提出目录建议并上报；机构要定期梳理数据、确定类别、识别重要数据，向属地报送来源、类别、级别、规模等基本情况，报送的是情况，不是数据内容。报目录不等于交数据。
级别定了也不是一劳永逸。数据内容变化，或规模、时效性、应用场景、加工方式变化，都要重新定级。同一批数据，今天是一般数据，明天因为汇聚到跨机构的规模，就可能升到重要数据。
图 4：医疗卫生机构数据级别变更的三类情形
脱敏、标签、统计、汇聚融合产生的衍生数据，要在原始数据定级的基础上重新评估。脱敏不等于降级，多个来源的数据拼在一起，识别出具体个人的可能性反而更高。
数据分类口径可参照《卫生健康行业数据分类分级指南(试行)》，它按《国家卫生信息资源分类与编码管理规范》（WS/T 787-2021）把行业数据分为基础资源类、业务资源类、主题资源类三大类、二十余个小类。落地方法可以先读以往发布的数据分类分级合集：
n《为什么是分类分级，而不是分级分类——GB/T 43697-2024〈数据安全技术 数据分类分级规则〉再解读》讲清了分类与分级的先后关系；
n《数据安全技术 敏感个人信息处理安全要求》（GB/T 45574-2025）的解读把敏感个人信息的识别边界说得很细，医疗数据哪些算敏感，照着对一遍就有答案；
n动态更新机制可详见合集里的《如何建立数据分类分级的动态更新机制》。
这份办法里最琐碎、也最容易被追责的，是权限管理。办法要求按最小授权原则设权限、控制接触范围，人员变动及时调整。最常见的问题不是没有权限管理，而是权限只加不减：调岗的、离职的，账号还挂在原岗位上。
这条可以直接对着配置表核，档位与年限见下图。记住两条线：重要数据三级等保起步，核心数据四级起步；日志至少留一年，涉及重要数据对外提供的至少三年。
图 5：重要数据与核心数据的等保档位、日志留存年限
数据交出去，责任不会跟着走。委托或共同处理数据，责任不因委托而改变，要走严格审批、明确受托方权限与责任。用云要选通过云计算服务安全评估的服务；与运维单位、医疗设备企业要书面约定各方义务。非本单位人员在无监管情况下，不得对信息系统或医疗设备远程运维。
依法依规加强数据共享和开发利用，前提是确保数据安全和个人信息安全。机构要建立数据使用申请及批准流程，坚持事前批准、事中监管、事后审核，对外提供按要求报审；日常对查询、下载、修改、删除等操作日志开展审计分析。
办法在数据侧写死了十个"不得"，按数据流动的顺序排开。它们分成三组：前四条管数据的进出，中间四条管谁能动数据，最后两条管收尾，条目见下图。进出的口子守不住，后面再严也白搭。
个人信息侧另有八个"不得"，分成收集、调阅与提供、出境与人脸识别三层，条目见下图。三层里最容易出事的是中间一层：办法要求严格身份认证、制定授权规则、实行动态授权，并点名单列了孕产妇、新生儿、艾滋病人、精神障碍患者、逝者及遗属、公众人物等特殊人群。它把"谁能看"改成了按场景逐次授权。
图 6：数据侧的十个"不得"与个人信息侧的八个"不得"
监测预警是三层联动的：国家定标准、地方组织监测发预警、机构建自己的机制，及时取漏洞、打补丁、做加固。出了事件，涉及重要数据和核心数据的要立即上报，同时及时告知用户，并采取避免、减轻危害的处置措施。这一条把"要不要告诉患者"从可选项变成了规定动作。
卫生健康行政部门发现较大安全风险或发生安全事件的，会督促机构处置整改；对通报的漏洞隐患，机构要及时加固。约谈是常用手段：风险较大的可以约谈机构，发生个人信息安全事件的可以约谈主要负责人。
法律责任分几层：因制度不健全导致医疗信息泄露的，可责令改正、警告并处罚款，情节严重的可以责令停止相应执业活动；泄露患者隐私和个人信息、未经同意公开病历资料的，要承担侵权责任；非法买卖健康信息还可能面临治安处罚，涉嫌犯罪的移送公安机关。
红线是底线，日常还有一套机制要建，也就是下图里的六项保障。其中技术那一项最具体：加密、鉴权、脱敏、去标识化、数字水印、审计等手段，要按场景组合使用。
图 7：数据全生命周期安全管理的六项保障
机构应当按照《个人信息保护合规审计管理办法》的要求，定期开展个人信息保护合规审计；委托处理个人信息前要做个人信息保护影响评估，签委托协议和保密协议。涉及患者病历等个人信息的，用人工智能等新技术时必须确保信息安全。
这份办法说到底是把每一段责任钉在具体的人身上。落到自查就是五个问题：
1)领导小组今年开过会没有？
2)数据的类别和级别理出来没有？
3)离职转岗人员的权限和日志清过没有？
4)十八条红线逐条对过没有？
5)应急预案演练过没有？
免责声明：
智慧医疗网转载其他网站内容，出于传递更多信息而非盈利之目的，内容仅供参考。版权归原作者所有，若有侵权，请联系我们删除。
本平台所发布信息的内容和准确性由提供消息的原单位或组织独立承担完全责任!
凡来源注明智慧医疗网的内容为智慧医疗网原创，转载需获授权。
