医疗数据匿名化尚缺行业标准，隐私保护困境如何破解？| HIT培训问答

来源：HIT专家网      整理：周亦川

【编者按】

加强系统性学习，培养新时代医院CIO。由HIT专家网主办的医院信息中心主任能力培训班（简称医院CIO班）正在如火如荼地进行。每单元课后均设置答疑环节，学员们踊跃提问，具有代表性；教员们耐心作答，充满启发性。通过教学互动，实现教学相长。

现将部分精彩问答整理为“HIT培训问答”系列，以飨读者。更完整的教学答疑视频可关注HIT专家网微信视频号。

问题78：医疗数据匿名化尚缺行业标准，隐私保护困境如何破解？

学员、河北省人民医院信息管理处处长高伟：现行数据安全标准多为框架性内容，尚未出台针对医疗机构和医疗数据的细化行业标准。我的问题是：第一，医院层面能不能做隐私数据的分级分类，有没有明确的标准？ 第二，数据脱敏有没有相对平衡点？如果脱敏程度高，这个数据可能没有意义；脱敏太少又很容易回溯。第三，数据脱敏之后，数据归医院所有还是归患者所有？

薛万国老师：数据去隐私处理，也即匿名化。《个人信息保护法》明确，完成匿名化处理的数据与特定患者解绑，不再属于个人信息。但匿名化必须满足不可逆要求，也即无法关联、回溯到自然人，第三方无法反向定位信息主体，才符合匿名化的法定定义与要求。

然而，现实中不存在“绝对不可逆”的匿名效果。例如，我们将一张化验单上患者所有个人信息都去掉，仅保留化验项目和结果，但如果借助于原始检验数据库，通过多项指标关联检索的话，仍然可能匹配到唯一患者，实现信息还原、精准定位。由此可见，绝对的医疗数据匿名化难以实现。当前行业数据交易的一般做法是采用时间模糊、数值漂移等脱敏手段，如隐去完整出生年月，仅保留年龄区间等。

国家支持医疗数据流通共享，数据使用需要恪守合规底线。临床科室开展科研获取医疗数据，一定要严格执行审批流程和管理制度，违规私自调取数据，需要承担相应责任。若数据完全脱敏会丧失科研价值，例如随访类研究需调取患者就诊记录、联系方式等信息，最优解决方案为在院内封闭平台开展操作。若确需在院外开展研究，须对其中包含的个人信息开展安全评估，并完备患者知情同意手续；无论科研联盟还是个人课题，均需提交医院伦理委员会开展合法性审查。

学员、瀚高数据库医疗行业方案总监王奇：我们和山东一家医院合作开发了医疗数据匿名化解决方案，将数据库内患者姓名、身份证号、手机号、住址等隐私字段加密存储，系统依据访问IP、账号校验白名单，名单内人员调取可查看明文数据，其余访问渠道仅展示加密数据。

薛万国老师：数据利用和日常业务使用，分属两类场景。日常诊疗业务可依托数据库和业务系统实现双重防护，医护人员都是通过医护工作站等业务软件调取医嘱和病历，我们可以直接在医生工作站增设管控限制，例如禁止数据下载、部分场景自动隐藏患者姓名等，这就是依托业务系统实现的数据防护手段。但在数据二次利用场景下，用户通过数据提取工具直接访问数据，没有业务软件这层防护，所以对数据自身需要进行屏蔽处理。

（上述内容来源于第七期培训班第1单元“信息中心组织与管理”课程答疑环节，HIT专家网整理）

第七期医院CIO班已于2026年5月开班，

第八期医院CIO班计划于2027年5月开班，

了解培训班更多招生详情请阅读“招生简章”。

欢迎全国各级各类医院信息中心主任、副主任、骨干工程师等报名参加。

同时，顺应业界需求，开放部分名额给医疗信息化企业从业人员报名旁听学习。

报名期限：长期有效

报名咨询：010-82373062/13699113926 周亦川

【责任编辑：蒙辉】