在医疗大数据深度应用与数据要素市场化改革背景下，医疗数据泄露、篡改、毁损事件频发，侵害患者个人信息权益、扰乱医疗服务秩序并危及公共卫生安全。笔者立足律师实务，聚焦医疗数据安全事件处置中的问题，梳理行政、民事、刑事多元责任承担，剖析工作衔接堵点并分享有关思考。

一、医疗数据安全事件的规范界定与类型化解构

医疗数据安全事件的规范界定与类型划分是开展应急处置、认定法律责任的前提。

（一）概念的法律界定

1.医疗数据的法律属性。

医疗数据具备敏感个人信息、数据要素、特殊公共数据三重复合属性，其中敏感个人信息是基础属性，直接关联患者人格权益；特殊公共数据是监管属性，关乎公共卫生安全；数据要素是价值属性，支撑数字医疗发展。三者层层递进，决定其处理需兼顾多重权益。依据《中华人民共和国个人信息保护法》（简称《个人信息保护法》）第二十八条，医疗健康信息属敏感个人信息，处理需遵循严格原则；《中华人民共和国数据安全法》（简称《数据安全法》）第二十一条明确其属重要数据，需接受严格监管；《中共中央国务院关于构建数据基础制度更好发挥数据要素作用的意见》（简称“数据二十条”）则明确其作为数字经济核心生产要素的价值，范围涵盖电子病历、健康档案、基因数据等全品类健康信息。

2.医疗数据安全事件的法定定义。

结合《数据安全法》《中华人民共和国网络安全法》（简称《网络安全法》）《医疗卫生机构网络安全管理办法》相关法律的立法精神与具体要求，医疗数据安全事件是指医疗数据在收集、存储、传输、处理、使用、交换、销毁等全生命周期环节中，发生泄露、篡改、毁损情形，导致数据安全与个人信息权益受损、医疗服务秩序受扰、公共卫生安全面临风险的突发事件。该定义紧扣法律条文，突出事件的突发性、危害性与合规关联性。

（二）三类典型事件的法律特征与实务表现

一是数据泄露。违反《个人信息保护法》敏感个人信息保密义务，侵害数据保密性，需承担告知、补救及赔偿责任，核心是未经授权获取、披露医疗数据，典型场景包括黑客入侵、内部人员倒卖等。二是数据篡改。违反《数据安全法》的数据真实性、完整性要求，破坏医疗数据可信性，可能涉嫌医保造假等违法情形，重点是非法修改、删除数据，常见于医保造假、诊疗记录删改等。三是数据毁损。违反数据全生命周期安全管理义务，导致数据可用性丧失、影响医疗服务连续，需承担恢复及赔偿责任，重点是数据丢失、无法读取，多由硬件故障、恶意攻击等引发。

（三）医疗数据安全事件的特殊性

敏感层级高，直接关联患者生命健康与人格尊严，侵害后果具有不可逆性；主体多元，涉及医疗机构、互联网医疗平台、第三方数据服务商、监管部门等多方主体，责任链条复杂；危害传导性强，涉及个人权益、医疗秩序、公共卫生三重维度；合规要求严，需同时遵守通用数据法律与医疗行业专项规制。

二、医疗数据安全事件应急处置的规范体系与实操困境

医疗数据安全事件应急处置是平衡数据安全、患者权益与医疗业务连续性的关键环节，我国已形成金字塔型规范体系，但在有些医疗场景落地中仍存在一些问题。

（一）现行应急处置的法律规范依据

现行应急处置规范呈现层层递进、有机融合的金字塔结构，以基础法律设定义务底线、行业规章完成医疗场景转化、标准规范提供实操路径，共同构成覆盖全流程、多主体的刚性规制网络。

第一，国家法律筑牢义务基础。《个人信息保护法》《网络安全法》《数据安全法》分别设定应急处置、强制报告、双重告知（监管+患者）义务，构筑“应急响应—风险控制—权益保护”法定框架。

第二，行业规章实现场景落地。《医疗卫生机构网络安全管理办法》将通用法律义务转化为医疗机构专属职责，细化预案编制、监测预警、处置报告、溯源追责等要求；《医疗机构病历管理规定》聚焦电子病历核心数据，明确防篡改、应急恢复、操作留痕等特殊规则，贴合临床诊疗与质量管理特性。

第三，标准规范提供操作指引。以《信息安全技术网络安全事件分类分级指南》（GB/T20986-2023）、《信息安全技术网络安全事件应急演练指南》（GB/T38645-2020）、《信息安全技术健康医疗数据安全指南》（GB/T39725-2020）为代表的国标，确立事件分级、应急流程的基础框架；以《国家卫生信息资源使用管理规范》（WS/T788—2021）、《医学电子文档数字签名技术标准》（WS/T847—2024）为代表的卫生行标，聚焦医疗业务场景细化技术与管理要求。国标搭建通用应急框架，行标聚焦医疗场景细化操作，二者协同互补，共同形成“通用定框架、专用抓落实”的标准格局。综上，该体系并非简单堆叠，而是从原则到操作、从一般到特殊、从义务到路径的闭环供给，为医疗数据安全应急处置提供了兼具强制性与专业性的依据。

（二）全流程应急处置的标准架构

立足规范体系与医疗特性，构建“事前预防—事中分级分类响应—事后闭环整改”全流程标准架构。制度层面制定专项应急预案，明确以“涉事数据敏感等级、涉事患者数量、危害范围、业务影响程度”为核心依据的四级事件分级标准；技术与管理层面落实防护措施、开展培训演练，从源头降低风险。事中按“研判分级—预警止损—固定证据—上报告知”流程，针对三类事件差异化处置。事后完成调查追责、优化防护、迭代预案，形成“处置—整改—提升”管理闭环。

（三）实务处置的主要困境

一是分类分级规范落地难，医疗专属标准尚不明确。尽管我国已形成了规范体系，但现有规范多为通用型要求，未结合医疗数据特殊性，针对三类事件制定差异化实操细则，导致规范与实务脱节。二是应急处置与证据固定脱节，电子取证合规性不足。实务中应急处置多以“止损”为首要目标，普遍忽视电子数据固定。例如某医院发生数据篡改后，仅快速回滚数据恢复诊疗，未固定篡改轨迹，取证未遵循司法规范，导致后续追责缺乏证据支撑。三是跨主体协同机制需健全完善，责任链条衔接不畅。医疗数据处理涉及多方主体，各方处置权限、报告义务无明确规则，事件发生后可能相互推诿，跨主体协同处置效率低下。四是安全防控与业务连续性冲突，医疗场景适配性不足。应急处置常需暂停系统、切断网络，但医疗服务关乎患者生命健康。例如某三甲医院急诊系统遭黑客攻击，切断网络危及患者抢救，不切断则扩大泄露范围，价值冲突难以平衡，导致部分医疗机构“不敢处置、不愿处置”。

三、医疗数据安全事件的多元法律责任体系与司法认定

医疗数据安全事件的法律责任构建，是衔接应急处置、实现权利救济与惩戒违法的核心环节。我国已形成行政责任兜底规制、民事责任私权救济、刑事责任底线制裁的三元分层责任体系，结合多元主体划分，构成责任闭环。笔者试图厘清责任构成、适用规则与认定难点，为实务追责提供参考。

（一）行政责任：监管执法的刚性规制与裁量规则

行政责任是最常见的责任形态，由网信部门（数据安全综合监管、实施罚款整改）、卫健部门（医疗机构行业监管、实施资质吊销与行业禁入）、公安部门（刑事立案侦查、移交重大行政违法案件）分工处罚。责任主体覆盖机构、第三方服务商及相关责任人，处罚包括警告、罚款、责令停业、吊销资质等，裁量核心为数据敏感程度、涉事数量、危害范围，部分机构因数据安全违规已被依法处罚。

（二）民事责任：侵权损害的私权救济与司法认定

民事责任以侵权责任为核心，适用过错推定原则（《中华人民共和国民法典》第一千一百六十五条第二款、《个人信息保护法》第六十九条），大幅降低患者举证门槛。赔偿涵盖财产损失、精神损害赔偿及维权合理开支，医疗数据作为敏感个人信息，司法实践普遍支持精神损害赔偿。医疗机构承担首要责任，第三方服务商因故意或重大过失承担连带责任，内部人员故意侵权与机构构成共同侵权。

（三）刑事责任：严重违法行为的底线制裁与罪名适用

刑事责任针对危害严重的违法行为，三类事件对应明确罪名：数据泄露适用侵犯公民个人信息罪；数据篡改、毁损适用破坏计算机信息系统罪；机构失职类事件适用拒不履行信息网络安全管理义务罪。医疗健康信息入罪标准严格，如《中华人民共和国刑法》及相关司法解释规定，非法获取、出售、提供医疗健康信息50条以上即可入罪，单位犯罪实行“罚单位+罚个人”双惩戒。

司法实践中，行政、民事、刑事多元责任认定存在难度，表现在患者因果关系举证困难，维权成本高；第三方服务商责任边界模糊，外包场景责任划分无统一标准；精神损害赔偿等损失量化无统一规则等。多元责任的精准认定需以规范的应急处置为基础，二者的有效衔接是实现全链条治理的核心。

四、完善医疗数据安全事件处置与追责的法治路径

破解医疗数据安全事件应急处置与法律责任衔接的实务堵点，需立足医疗行业特性与数据治理规律，构建制度标准化、证据规范化、主体协同化、救济同步化、服务专业化的全链条法治路径，推动应急处置与法律追责形成联动，从而为医疗数据安全提供刚性保障。

（一）制度层面

构建医疗专属分类分级与处置、追责一体化规范。以现行法律为基础，由网信部门、卫健部门联合制定医疗数据安全事件分类处置与责任认定的专项指引，实现规范精准落地。一是细化医疗场景分类分级标准，结合数据敏感等级、涉事患者数量、危害范围、业务影响程度，将泄露、篡改、毁损事件划分为四级，明确各级事件的处置流程、上报时限、止损措施，形成医疗专属实操手册。二是建立处置与追责联动规则，制定事件分级与责任裁量的对应清单，明确一般事件对应警告、轻微罚款，较大事件对应高额罚款、业务暂停，重大、特别重大事件对应吊销资质、刑事追责，将数据敏感程度、患者损害后果纳入分级与裁量的双重考量因素，实现梯度匹配。三是统一全流程法定要件，明确应急处置中的告知义务、证据固定、上报流程、整改要求，将合规处置作为责任从轻、减轻的法定考量因素，倒逼机构规范处置行为。

（二）证据层面

破除应急处置与法律追责的证据壁垒，夯实追责基础。一是制定医疗数据电子取证专项规范，明确泄露溯源、篡改轨迹、毁损原因等关键证据的固定流程、存储方式、取证主体，要求应急处置全程留痕、同步存证，确保证据符合行政执法与司法认定标准。二是建立第三方存证与区块链固证机制，由网信部门牵头，明确第三方存证机构的资质审核标准，推广医疗数据操作日志、应急处置记录上链存证，确保电子证据的不可篡改与可追溯，提升电子证据的公信力与证明力。三是明确证据效力认定规则，司法机关与监管部门认可医疗机构合规固定的应急处置证据，简化证据审查流程，解决“取证难、认定难”问题。

（三）主体层面

明晰多元主体责任与跨主体协同治理机制，破解责任模糊、协同不畅难题，压实各方安全义务。一是划定多元主体责任边界，明确医疗机构作为首要数据处理者的核心责任，第三方数据服务商的法定安全保障责任与连带责任，内部人员的岗位责任，以“谁处理、谁负责、谁过错、谁担责”为原则，厘清外包、委托、联合运营场景下的责任划分，明确“委托方（医疗机构）承担首要监管责任，受托方（第三方服务商）承担直接安全责任，双方过错按比例分担责任”的具体规则。二是建立跨主体协同处置机制，搭建卫健、网信、司法机关等部门之间的信息共享平台，明确医疗机构与第三方数据服务商的证据移交、权限配合、联合处置义务，形成“统一指挥、分工协作、快速响应”的联动格局。三是强化主体责任追溯，将安全事件责任认定结果纳入机构信用档案与个人执业记录，实施行业禁入、信用惩戒等联合规制措施。

（四）救济层面

构建权益救济与应急处置同步的私权保障体系，落实《个人信息保护法》权益保护核心要求，实现公权处置与私权救济协同推进。一是事件发生后第一时间履行患者告知义务，同步启动损失登记、风险补救、赔偿协商，将私权保障嵌入应急处置全流程。二是完善损害量化与赔偿标准，针对医疗数据侵权制定精神损害赔偿、财产损失认定的细化规则，统一司法裁判尺度，降低患者维权成本。三是建立多元纠纷解决机制，搭建医疗数据侵权调解、仲裁、诉讼绿色通道，支持公益诉讼介入大规模数据泄露事件，保障群体合法权益。

（五）律师服务层面

强化法律服务能力，为处置与追责提供专业化支撑。一是事前合规防控，为医疗机构、第三方服务商提供合规审查，协助制定应急预案、梳理数据处理流程、开展员工培训。二是事中应急支撑，全程介入事件处置，指导合规固定证据、协助沟通上报、起草法律文书。三是事后追责维权，代理相关主体参与行政复议、诉讼，提供刑事辩护，协助梳理责任链条、落实整改措施。四是积极参与规范制定与案例研讨，助力提升医疗行业合规水平。

（作者：陈凯岸，华东政法大学）

【责任编辑：尚鑫】