医疗卫生机构数据安全和个人信息保护管理办法（试行）

第一章总则

• 明确了制定本办法的目的和依据，适用于医疗卫生机构的数据安全和个人信息保护管理。
• 定义了“数据”“医疗卫生机构数据”“数据处理活动”等核心概念，并强调个人信息作为特别重要数据的保护要求。
• 规定了国家、地方卫生健康行政部门及医疗卫生机构的职责分工，明确医疗卫生机构主体责任和主要负责人责任。

第二章数据分类分级保护

• 医疗卫生机构数据分为核心数据、重要数据和一般数据，需落实分类分级保护制度。
• 省级卫生健康行政部门负责组织数据分类分级工作，并向医疗卫生机构通报重要数据目录。
• 医疗卫生机构需定期梳理数据并上报，数据级别变更需及时调整保护措施。
• 衍生数据的级别需在原始数据基础上重新评估确定。

第三章数据全生命周期安全管理

• 医疗卫生机构需通过制度、人员、管理、技术、应急等措施保障数据安全。
• 处理重要数据的机构需明确安全负责人，年度开展风险评估并报送报告。
• 重要数据存储需满足三级及以上网络安全等级保护要求，核心数据需额外采取商用密码、安全可信产品等措施。
• 支持数据共享和要素开发利用，需建立审批流程和日志审计机制。
• 探索数据分类分级授权运营机制，明确授权条件和安全管理责任。
• 医疗卫生机构需规范数据采集、存储、传输、提供、公开等行为，禁止违法处理和越权使用。

第四章数据安全监测预警和应急处置

• 国家和地方卫生健康行政部门建立数据安全风险监测预警机制，医疗卫生机构需及时更新补丁防范风险。
• 建立风险信息上报和共享机制，重要风险需及时上报。
• 制定应急预案并开展演练，发生安全事件需及时处置和报告。

第五章个人信息保护

• 医疗卫生机构需定期开展个人信息保护合规审计。
• 委托处理个人信息需进行影响评估并签订协议，受托方需履行约定和保护义务。
• 禁止违法收集、调阅、提供、公开、向境外提供个人信息，并规范人脸识别信息使用。

第六章监督管理

• 卫生健康行政部门需督促整改数据安全风险，医疗卫生机构需配合调查。
• 对不履行职责的部门和违反规定的机构及人员，依法依规进行处罚。
• 明确侵权责任和法律责任，建立约谈和审计机制。
• 公众有权投诉举报，部门需依法处理并公布联系方式。

第七章附则

• 涉及国家秘密的数据处理活动适用其他法律，医疗卫生机构可制定实施细则。
• 本办法由国家卫生健康委解释并自印发之日起施行。