近日，最高人民检察院发布依法保护公民个人信息典型案例，其中一起涉及某三甲医院数据被窃取、并流向境外的案件，医疗数据安全与风险保障问题再次引发关注。
2022年4月起，王某某、林某某二人利用"爬虫"程序，非法入侵某三甲肿瘤专科医院服务器。入侵行为持续至2024年2月，前后接近两年。其间，院方共计385万余条数据被窃取，包括患者个人信息25万余条（姓名、性别、住址、电话、身份证号码等），以及门诊医嘱数据245万余条、住院医嘱数据114万余条（涵盖药品名称、用药剂量、频次、用法、病人状态等）。上述数据被迁移至境外服务器运行、存储长达半年，其中部分已被出售牟利。本案中有一个值得关注的认定难点：医嘱数据本身不直接载明患者身份，是否构成个人信息泄露？经司法鉴定中心检验分析，医嘱数据可通过身份证字段与患者个人信息建立对应关联，能够精准追溯至特定患者，属于法律明确保护的医疗健康类敏感个人信息。这一认定意味着，医疗机构信息系统中的诊疗数据，几乎全部处于个人信息保护法律框架的强保护范围之内。2024年11月，法院以侵犯公民个人信息罪对两名被告人作出有罪判决。刑事责任之外，检察机关进一步审查认为：本案可查证的违法所得仅1万余元，以此衡量公益损害，既不能真实反映损失程度，也不足以体现司法惩戒功能。综合考量涉案数据量大、敏感程度高、波及面广、修复成本高，以及数据出境对公共秩序的冲击等因素，检察机关确定公益损害赔偿金为150万元，于2025年4月提起民事公益诉讼。2026年8月，法院一审判决支持检察机关全部诉讼请求，判决现已生效。从首次入侵到公益诉讼判决生效，本案历时四年有余。案件已经审结，但它所揭示的风险，却具有超出个案的普遍意义。从风险管理的专业视角看，一起数据泄露事件对医疗机构的影响，是一个长链条、多层次的复合风险敞口。事件发生的第一时间，院方即须投入专业力量开展应急处置——漏洞排查、系统隔离、攻击阻断，随后是数据恢复、系统修复与泄露范围鉴定。进入处置阶段后，向监管部门报告、向患者告知、配合刑事与公益诉讼调查等工作接踵而来。而在更长的时间维度上，还可能面对患者提起的民事索赔、监管层面的调查问责，以及难以量化的声誉损失。本案有一个细节尤应引起重视：150万元的公益诉讼赔偿，是在违法所得仅1万余元的情况下确定的。这清晰表明，司法机关衡量医疗数据泄露损害的标尺，已从"行为人获利多少"转向"公共利益受损几何"。对任何一家持有大量敏感数据的机构而言，数据安全事件的潜在责任规模，都可能远超一般直觉判断。值得指出的是，上述风险链条中的相当部分，属于网络安全保险的承保范围。从保障结构看，网络安全保险通常覆盖两类风险：第一方损失，包括事件应急响应费用、数据恢复与系统修复费用、营业中断损失、网络勒索处置费用等；第三方责任，包括因数据泄露引发的第三方索赔，以及相应的调查、辩护与诉讼费用，部分保单还可扩展承保监管调查相关费用。以本案为例，从入侵发现、应急处置到此后数年的诉讼应对，其间产生的主要费用与赔偿责任，若事先作出保险安排，均可获得相当程度的财务分担。技术手段决定防线的高度，保险安排则决定风险事件发生后的承压能力。在"零风险"并不存在的前提下，二者的结合，才构成完整的风险管理体系。医疗行业是数据密集型行业，也是个人信息保护法律框架下的强监管领域。随着数据要素价值不断提升，针对医疗机构的网络攻击只会更加频繁、更加隐蔽，本案所示的"爬虫"式长期潜伏攻击，正是当前最具代表性的威胁形态之一。风险无法根除，但可以被管理、被转移。从数据资产的分类分级，到技术防护与应急预案的有效性，再到保险等财务缓冲机制的建立，每一环都值得认真审视。作为集团内部的专业保险经纪机构，我们将持续关注网络安全领域的风险动态与司法实践，为集团各单位提供风险管理与保险保障方面的专业支持。
免责声明：
智慧医疗网转载其他网站内容，出于传递更多信息而非盈利之目的，内容仅供参考。版权归原作者所有，若有侵权，请联系我们删除。
本平台所发布信息的内容和准确性由提供消息的原单位或组织独立承担完全责任!
凡来源注明智慧医疗网的内容为智慧医疗网原创，转载需获授权。
