一、關(guān)于公民個人信息的保護

公民個人信息是指以電子或者其他方式記錄的能夠單獨或者與其他信息結(jié)合識別特定自然人身份或者反映特定自然人活動情況的各種信息。

在民事法律領(lǐng)域，《民法總則》明確規(guī)定，自然人的個人信息受法律保護。任何組織和個人需要獲取他人個人信息的，應(yīng)當(dāng)依法取得并確保信息安全，不得非法收集、使用、加工、傳輸他人個人信息，不得非法買賣、提供或者公開他人個人信息?！肚謾?quán)責(zé)任法》規(guī)定，醫(yī)療機構(gòu)及其醫(yī)務(wù)人員應(yīng)當(dāng)對患者的隱私保密。泄露患者隱私或者未經(jīng)患者同意公開其病歷資料，造成患者損害的，應(yīng)當(dāng)承擔(dān)侵權(quán)責(zé)任。

在刑事法律領(lǐng)域，《刑法修正案（九）》將“出售、非法提供公民個人信息罪”和“非法獲取公民個人信息罪”整合為“侵犯公民個人信息罪”，違反國家有關(guān)規(guī)定，向他人出售或者提供公民個人信息，情節(jié)嚴重的，處三年以下有期徒刑或者拘役，并處或者單處罰金；情節(jié)特別嚴重的，處三年以上七年以下有期徒刑，并處罰金。違反國家有關(guān)規(guī)定，將在履行職責(zé)或者提供服務(wù)過程中獲得的公民個人信息，出售或者提供給他人的，依照前款的規(guī)定從重處罰。修正案將最高刑提至7年，加大了處罰力度，對維護信息安全，保護公民個人信息不受非法侵犯起到積極的作用。

二、關(guān)于信息安全管理制度

信息安全管理制度是是十八項醫(yī)療質(zhì)量安全核心制度之一，指醫(yī)療機構(gòu)按照信息安全管理相關(guān)法律法規(guī)和技術(shù)標(biāo)準(zhǔn)要求，對醫(yī)療機構(gòu)患者診療信息的收集、存儲、使用、傳輸、處理、發(fā)布等進行全流程系統(tǒng)性保障的制度。其基本要求為：醫(yī)療機構(gòu)應(yīng)當(dāng)依法依規(guī)建立覆蓋患者診療信息管理全流程的制度和技術(shù)保障體系，完善組織架構(gòu)，明確管理部門，落實信息安全等級保護等有關(guān)要求。應(yīng)當(dāng)建立患者診療信息安全風(fēng)險評估和應(yīng)急工作機制，制定應(yīng)急預(yù)案。應(yīng)當(dāng)確保實現(xiàn)本機構(gòu)患者診療信息管理全流程的安全性、真實性、連續(xù)性、完整性、穩(wěn)定性、時效性、溯源性。應(yīng)當(dāng)建立患者診療信息保護制度，使用患者診療信息應(yīng)當(dāng)遵循合法、依規(guī)、正當(dāng)、必要的原則，不得出售或擅自向他人或其他機構(gòu)提供患者診療信息。應(yīng)當(dāng)建立員工授權(quán)管理制度，明確員工的患者診療信息使用權(quán)限和相關(guān)責(zé)任。醫(yī)療機構(gòu)應(yīng)當(dāng)為員工使用患者診療信息提供便利和安全保障，因個人授權(quán)信息保管不當(dāng)造成的不良后果由被授權(quán)人承擔(dān)。應(yīng)當(dāng)不斷提升患者診療信息安全防護水平，防止信息泄露、毀損、丟失。定期開展患者診療信息安全自查工作，建立患者診療信息系統(tǒng)安全事故責(zé)任管理、追溯機制。在發(fā)生或者可能發(fā)生患者診療信息泄露、毀損、丟失的情況時，應(yīng)當(dāng)立即采取補救措施，按照規(guī)定向有關(guān)部門報告。

三、關(guān)于患者個人信息保護的規(guī)定

醫(yī)療機構(gòu)及醫(yī)務(wù)人員對患者的個人信息負有保密義務(wù)，《執(zhí)業(yè)醫(yī)師法》《護士條例》均規(guī)定，醫(yī)師、護士在執(zhí)業(yè)活動中，應(yīng)當(dāng)尊重、關(guān)心、愛護患者，保護患者的隱私?！夺t(yī)療機構(gòu)病歷管理規(guī)定（2013年版）》規(guī)定，醫(yī)療機構(gòu)及其醫(yī)務(wù)人員應(yīng)當(dāng)嚴格保護患者隱私，禁止以非醫(yī)療、教學(xué)、研究目的泄露患者的病歷資料。

病歷是指醫(yī)務(wù)人員在醫(yī)療活動過程中形成的文字、符號、圖表、影像、切片等資料的總和，包括門（急）診病歷和住院病歷。根據(jù)《病歷書寫基本規(guī)范》的規(guī)定，門（急）診病歷首頁內(nèi)容應(yīng)當(dāng)包括患者姓名、性別、出生年月日、民族、婚姻狀況、職業(yè)、工作單位、住址、藥物過敏史等項目。門診手冊封面內(nèi)容應(yīng)當(dāng)包括患者姓名、性別、年齡、工作單位或住址、藥物過敏史等項目。入院記錄患者一般情況包括姓名、性別、年齡、民族、婚姻狀況、出生地、職業(yè)、入院時間、記錄時間、病史陳述者等等， 由此可見，患者在就診過程中需要向醫(yī)務(wù)人員提供大量的個人信息，且這些信息都必須記載在病歷中。如果醫(yī)療機構(gòu)對病歷管理不善，就會造成患者個人信息被泄露。