患者隐私

一句话定义：患者隐私，是患者在就医过程中不愿为他人知晓的病情、身体、生育、精神状况等私密信息以及就医过程的私人生活安宁；医疗机构及其医务人员对患者隐私和个人信息负有保密义务，泄露或者未经同意公开病历资料，要承担侵权责任。

构成要件 / 适用条件

一、保护对象有两层：隐私与个人信息，不是一回事。 民法典第一千零三十二条把隐私界定为「自然人的私人生活安宁和不愿为他人知晓的私密空间、私密活动、私密信息」，强调不被打扰、不被公开。第一千零三十四条把个人信息界定为可识别特定自然人的各种信息，明确列举了健康信息，强调可识别性与处理规则；第三款还作了衔接：个人信息中的私密信息适用隐私权规定，没有规定的适用个人信息保护规定。

落到病历上，两层往往混在一起：病情、生育史、精神疾病史、传染病史、整形记录，既是私密信息也是个人信息；姓名、住址、电话、身份证号、就诊卡号，主要是个人信息。区分这两层的意义在于请求权基础与举证重点不同：主张隐私权侵害，要证明信息属于私密信息且被泄露、公开；主张个人信息侵害，要证明信息可识别到本人且处理违法或者未经同意。

二、义务主体是机构与医务人员。 民法典第一千二百二十六条同时约束「医疗机构及其医务人员」，所以泄露可能来自医生、护士，也可能来自病案室、收费处、导医台、体检中心，甚至来自机构的系统权限设置与对外合作。机构不能用「是某个员工个人发的」切断责任，信息安全管理本身就是机构义务。

三、两种行为形态。 第一款列举了两类：泄露患者的隐私和个人信息；未经患者同意公开其病历资料。第一类是「不该说的说了」，第二类是「不该公开的公开了」。后者常见于机构做宣传、发科普、办学术会议、拍短视频时使用真实病例，即使打了马赛克，只要结合就诊时间、病情、外貌特征仍可识别，就仍构成公开。

四、院内泄露的六种高发场景。 一是病历被非诊疗人员查阅，包括本院职工「帮忙查某个熟人的报告」；二是纸质病历、检查单随意放置，被拍照外传；三是电子病历系统权限过宽、账号共享；四是院内宣传、学术论文、病例讨论使用可识别信息，未做去标识化与伦理审查；五是向保险公司、单位人事、近亲属以外的人提供；六是医务人员在社交媒体发布含患者信息的图片。

五、例外是封闭列举，不能自行扩张。 常见合法情形有五类：患者本人同意，且同意应当具体、明确，入院时签的概括授权不足以覆盖后续的宣传使用；履行法定报告义务，医师法第三十三条列了六类应当报告的情形，这类报告是法定义务，不构成泄露；在知情同意框架内向患者近亲属告知病情；司法机关依法调取；依法开展的公共卫生工作。

「为了科研」「为了教学」「为了科室学习」都不是独立的合法理由，要做就得走去标识化与伦理审查这条路。

六、责任是三层并行的。 民事上，依第一千二百二十六条承担侵权责任，包括停止侵害、删除信息、赔礼道歉、赔偿损失；造成严重精神损害的，可以依第一千一百八十三条请求精神损害赔偿。行政上，机构信息安全管理不健全导致泄露的，依基本医疗卫生与健康促进法第一百零一条责令改正、警告并处一万元以上五万元以下罚款；医务人员个人泄露的，依医师法第五十六条第一项责令改正、警告、没收违法所得并处一万元以上三万元以下罚款，情节严重的暂停执业直至吊销执业证书。三层责任互不替代，拿到赔偿不影响另行处罚。

七、精神障碍患者有一层加严规则。 精神卫生法第四十七条要求医疗机构在病历中如实记录病情、治疗措施、用药、约束隔离措施，并如实告知患者或者其监护人；患者及其监护人可以查阅、复制病历，但「可能对其治疗产生不利影响」的除外；病历保存期限不得少于三十年。这个「除外」是极少见的、法律明文允许不提供的条款，机构要援引，必须有具体的精神科医学判断与记录。

八、与病历所有权的关系。 病历由机构保管、所有权归机构，患者享有查阅复制权。但「所有权在机构」不等于「机构可以随便用」，信息越集中，保密义务越重。查阅复制权的行使方式见病历查阅复制权。

法条依据

与相邻概念的区别

四栏里最容易混的是第一栏与第二栏。同一个「病情被同事知道」的事实，如果信息属于私密信息，走隐私权，核心是「是否被公开、被侵扰」；如果信息是可识别的健康信息，走个人信息保护，核心是「处理有没有合法性基础、有没有超出必要范围」。两条路可以并行主张，但请求内容不同。

第三栏与第四栏常被忽略。病历归机构所有，但机构对内容的利用受严格限制，不能因为「东西是我的」就拿去做宣传素材；知情同意解决的是「有没有告诉患者」，隐私保护解决的是「知道的信息能不能说出去」。患者签了手术同意书，不等于允许医院把手术视频发到网上。

实操指引

• 第一步，先判断泄露到哪一步。 是被一个非诊疗人员看到，还是被发到群里、发到网上、提供给保险公司？范围决定影响，也决定要主张删除还是赔偿。取证要趁早：截图、录屏、保存链接与发布时间，必要时公证。
• 第二步，固定「信息属于你」的证据。 挂号记录、就诊卡、缴费凭证、病历号、检查报告单，用来证明被公开的信息指向本人。没有这层关联，机构很容易抗辩「这是别人的病例」。
• 第三步，先要求删除、停止使用，再谈赔偿。 书面通知机构，要求立即删除、停止传播、说明信息来源与流向，并保留送达凭证。侵权持续期间每一天都在扩大损害，先止损比先谈钱重要，路径见医院泄露病历和患者隐私，怎么维权？。
• 第四步，同时向卫生健康主管部门投诉。 投诉指向信息安全制度、人员管理、系统权限这些行政义务，处理结果可作为民事诉讼中的证据。机构责任分析见病历被外借隐私泄露：医院的责任。
• 第五步，区分「泄露」与「依法告知」。 向配偶、父母告知病情通常在知情同意框架内；向单位、保险公司、无关第三人提供就超出范围。婚检查出疾病要不要告知对方，可对照婚检是必须做的吗？查出疾病医院会告诉对方吗；传染病上报见医生发现传染病必须上报吗：医师法的六类报告义务清单细读。
• 第六步，赔偿项目列清。 财产损失、为维权支出的合理费用、精神损害抚慰金，分项主张。精神损害要证明「严重」，通常需要泄露范围广、后果具体，概念见精神损害赔偿。

常见问题

问：医院把我的病例发在公众号做科普，打了马赛克，还算侵权吗？ 答：可能算。标准不是有没有马赛克，而是结合病情、就诊时间、部位、外貌特征，能否让熟悉的人识别出具体患者；即使不可识别，未经同意公开病历资料本身也落入第一千二百二十六条。

问：同事在医院上班，帮我查了一下检查结果，这算泄露吗？ 答：算。病历只能由参与诊疗的人员在诊疗需要范围内查阅；非诊疗需要的查阅本身即违规，若还把结果告诉别人则构成泄露，机构对权限管理不善也要担责。

问：医院向我的家属告知病情，需要我同意吗？ 答：依民法典第一千二百一十九条，不能或者不宜向患者说明的，可以向近亲属说明。这是诊疗上的告知安排，与向单位、保险公司等第三人提供信息完全不同。

问：泄露已经过去两年，还能维权吗？ 答：可以。侵权责任诉讼时效三年，自知道或者应当知道权利受损及义务人之日起算；持续性泄露每天都在产生新的侵害，但仍建议尽早固定证据。