以案说法 | 患者病历被故意泄露，由谁承担法律责任？

以案说法

合肥市律师协会 ·

01

12月12日，著名女演员周海媚工作室发布声明称，周海媚因病医治无效，于12月11日去世。这是官方渠道首次对外发布有关周海媚去世的消息，然而早在11日，疑似消息就已经在社交平台上被网友曝出。

同时，就在周海媚工作室发布讣告当天，疑似周海媚生前送医院抢救的电子病历截图也在互联网上流传，病历上显示医院为北京顺义区某医院，并包含周海媚个人资料、就诊时间等相关信息，涉事医院宣传科一名工作人员也向媒体证实了该份病历的真实性，事件迅速引发热议。13日，北京市顺义区卫健委对病历泄露事件作出回应，表示已关注到该情况，正在介入调查。

12月14日，北京顺义警方发布通报称，近日，顺义公安分局查处一起散布他人隐私案件。经查，12月11日，符某某（男，36岁）利用其在顺义区某医院工作的便利，出于炫耀目的，将一名病患的个人病历拍照发至微信群，导致信息扩散，造成恶劣社会影响。目前，顺义公安分局已将符某某依法行政拘留。

个人隐私和医疗信息安全已是现代社会中一个日益突出的问题。泄露周海媚病历者被行拘，更是再一次向我们敲响了警钟：无论是个人还是相关机构，利用职务之便随意窃取、泄露他人隐私，都需要承担应有的法律责任。由案说法，今天，我们邀请合肥律协民事、刑事及交通事故与医疗卫生法律专业委员会的律师们，来共同分析这一事件的责任认定。

1.病历是否属于个人隐私？能否受法律保护？

万亚波，合肥律协民事专业委员会委员、安徽诚赢律师事务所律师

依据《民法典》第一千零三十二条“自然人享有隐私权。任何组织或者个人不得以刺探、侵扰、泄露、公开等方式侵害他人的隐私权。隐私是自然人的私人生活安宁和不愿为他人知晓的私密空间、私密活动、私密信息。”《病历书写基本规范》（卫生部卫医政发〔2010〕11号），“病历是指医务人员在医疗活动过程中形成的文字、符号、图表、影像、切片等资料的总和”。通俗来说，病历就是个人的患病经过和医疗情况的历史信息。因此，病历天然是个人的私密信息，属于个人隐私。个人对病历享有隐私权，受到《民法典》《个人信息保护法》等法律的保护。

强力，合肥律协民事专业委员会委员、国浩律师（合肥）事务所律师

病历属于个人隐私，受法律保护。

隐私是自然人的私人生活安宁和不愿为他人知晓的私密空间、私密活动、私密信息。”在我国，涉及个人身体健康状况的信息，特别是医疗记录和病历，明确被认为是个人隐私的一部分，受到相关法律法规的保护。

尽管周海媚不幸离世，但其名誉、肖像、姓名、荣誉等权利并不会随之消灭，其隐私权也不会消灭。《民法典》第一千零三十二条明确规定：“自然人享有隐私权。任何组织或者个人不得以刺探、侵扰、泄露、公开等方式侵害他人的隐私权。第九百九十四条亦规定：“死者的姓名、肖像、名誉、荣誉、隐私、遗体等受到侵害的，其配偶、子女、父母有权依法请求行为人承担民事责任；死者没有配偶、子女且父母已经死亡的，其他近亲属有权依法请求行为人承担民事责任。” 

2021年11月1日施行的《个人信息保护法》不仅明确了个人信息的范围，而且还对“敏感个人信息”这一概念进行了厘定。《个人信息保护法》第二十八条规定，敏感个人信息是一旦泄露或者非法使用,容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。由于病历信息属于医疗健康信息，因此将医疗健康信息列为敏感个人信息，也是《个人信息保护法》的一大立法亮点。

《个人信息保护法》规定,只有在具有特定的目的和充分的必要性,并采取严格保护措施的情形下,方可处理敏感个人信息,同时应当事前进行影响评估,并向个人告知处理的必要性以及对个人权益的影响。由此可见，无论是从主体权利上分析，还是从客体要件上判断，病历信息毫无疑问属于周海媚的个人隐私。而《民法典》第一千二百二十六条规定：“医疗机构及其医务人员应当对患者的隐私和个人信息保密。泄露患者的隐私和个人信息，或者未经患者同意公开其病历资料的，应当承担侵权责任。”在本案中，符某某出于炫耀目的，将周海媚的个人病历拍照发至微信群，导致信息扩散，考虑到身为医院工作人员的符某某没有任何充分性、正当性目的，也无权处理周海媚的敏感医疗健康信息，因此，符某某未经授权公开曝光他人病历的行为完全属于侵犯个人隐私行为，应该受到法律的制裁。

2.医务人员故意泄露患者病历，需要承担哪些法律责任？

万亚波，合肥律协民事专业委员会委员、安徽诚赢律师事务所律师

依据《民法典》第一千二百二十六条“医疗机构及其医务人员应当对患者的隐私和个人信息保密。泄露患者的隐私和个人信息，或者未经患者同意公开其病历资料的，应当承担侵权责任。”第一百七十九条“承担民事责任的方式主要有：（一）停止侵害……（八）赔偿损失……（十一）赔礼道歉。”

《最高人民法院关于确定民事侵权精神损害赔偿责任若干问题的解释》第一条“……违反社会公共利益、社会公德侵害他人隐私或者其他人格利益，受害人以侵权为由向人民法院起诉请求赔偿精神损害的，人民法院应当依法予以受理。”第八条“因侵权致人精神损害，但未造成严重后果，受害人请求赔偿精神损害的，一般不予支持，人民法院可以根据情形判令侵权人停止侵害、恢复名誉、消除影响、赔礼道歉。因侵权致人精神损害，造成严重后果的，人民法院除判令侵权人承担停止侵害、恢复名誉、消除影响、赔礼道歉等民事责任外，可以根据受害人一方的请求判令其赔偿相应的精神损害抚慰金。”

医务人员故意泄露患者病历，需要承担侵权责任，具体可能为停止侵害、赔偿精神损害抚慰金、赔礼道歉。

强力，合肥律协民事专业委员会委员、国浩律师（合肥）事务所律师

从民事责任承担的角度上看：医院工作人员符某某泄露患者病历的行为涉嫌侵犯隐私权和人格尊严。根据人民网舆情数据中心的传播热度数据，该事件单日传播热度高达90.4，可见符某某这种肆意泄露患者病历的做法已“严重侵犯周海媚隐私”，是对周海媚及其家人人格权、隐私权的严重侵犯。

依据《民法典》第九百九十五条规定，人格权受到侵害的，受害人有权要求侵害人承担责任。承担责任的方式包括停止侵害、排除妨碍、消除危险、消除影响、恢复名誉、赔礼道歉等。《最高人民法院关于确定民事侵权精神损害赔偿责任若干问题的解释（2020修正）》（法释〔2020〕17号）第3条规定：“死者的姓名、肖像、名誉、荣誉、隐私、遗体、遗骨等受到侵害，其近亲属向人民法院提起诉讼请求精神损害赔偿的，人民法院应当依法予以支持。”同时《民法典》第一千二百二十六条规定“医疗机构及其医务人员应当对患者的隐私和个人信息保密。泄露患者的隐私和个人信息，或者未经患者同意公开其病历资料的，应当承担侵权责任。”

因此，逝者家属可以根据上述法律规定，要求相关医疗机构或医务人员承担侵权责任，具体可以是要求停止侵害、消除影响并赔偿损失。

石佳佳，合肥律协交通事故与医疗卫生法律专业委员会委员、安徽品涵律师事务所律师

医务人员泄露患者病历的，首先违反了《民法典》关于“隐私权和个人信息保护”的规定，侵犯了患者的人格权即患者的隐私。《民法典》规定的人格权，包括生命权、身体权、健康权、姓名权、名称权、肖像权、名誉权、荣誉权、隐私权等权利，其中，隐私是自然人的私人生活安宁和不愿为他人知晓的私密空间、私密活动、私密信息。其次，《民法典》特别规定了医疗机构及其医务人员应当遵守的保密义务，并有针对性地对网络时代公民隐私权做出了新规定，由此可见，医务人员泄露患者的隐私和个人信息、未经患者同意公开其病历资料的，应当承担侵权责任。

因此，患者的隐私权受到侵害的，患者或家属有权要求行为人承担民事责任，包括要求停止侵害、排除妨碍、消除危险、消除影响、恢复名誉、赔礼道歉、赔偿损失等。

另外，根据《治安管理处罚法》及《刑法》的规定，侵犯他人隐私将面临拘留、罚款的行政处罚，如医务人员泄露病历情节严重的，视相应后果可能构成“侵犯公民个人信息罪”，面临有期徒刑等处罚。《中华人民共和国执业医师法》、《护士条例》针对医务人员违反规定泄露患者隐私的，均作出相应的处罚规定，由地方人民政府卫生主管部门给予警告或者责令暂停执业活动的处罚，情节严重的，将面临被吊销其执业证书，构成犯罪的依法追究刑事责任。

参考法条：

请上下滑动查看法律依据👇

《中华人民共和国民法典》第九百九十四条规定：“死者的姓名、肖像、名誉、荣誉、隐私、遗体等受到侵害的，其配偶、子女、父母有权依法请求行为人承担民事责任；死者没有配偶、子女且父母已经死亡的，其他近亲属有权依法请求行为人承担民事责任”。

《中华人民共和国民法典》第九百九十五条规定：“人格权受到侵害的，受害人有权依照本法和其他法律的规定请求行为人承担民事责任。受害人的停止侵害、排除妨碍、消除危险、消除影响、恢复名誉、赔礼道歉请求权，不适用诉讼时效的规定”。

《中华人民共和国民法典》第一千零三十二条规定：“自然人享有隐私权。任何组织或者个人不得以刺探、侵扰、泄露、公开等方式侵害他人的隐私权。隐私是自然人的私人生活安宁和不愿为他人知晓的私密空间、私密活动、私密信息”。

《中华人民共和国民法典》第一千二百二十六条规定：“医疗机构及其医务人员应当对患者的隐私和个人信息保密。泄露患者的隐私和个人信息，或者未经患者同意公开其病历资料的，应当承担侵权责任”。

《中华人民共和国执业医师法》第三十七条规定：“医师在执业活动中，违反本法规定，有下列行为之一的，由县级以上人民政府卫生行政部门给予警告或者责令暂停六个月以上一年以下执业活动；情节严重的，吊销其执业证书；构成犯罪的，依法追究刑事责任：（九）泄露患者隐私，造成严重后果的”。

《护士条例》第三十一条规定：“护士在执业活动中有下列情形之一的，由县级以上地方人民政府卫生主管部门依据职责分工责令改正，给予警告；情节严重的，暂停其6个月以上1年以下执业活动，直至由原发证部门吊销其护士执业证书：（三）泄露患者隐私的”。

《中华人民共和国治安管理处罚法》第四十二条规定：“有下列行为之一的，处五日以下拘留或者五百元以下罚款；情节较重的，处五日以上十日以下拘留，可以并处五百元以下罚款:（六）偷窥、偷拍、窃听、散布他人隐私的”。

《中华人民共和国刑法》第二百五十三条之一【侵犯公民个人信息罪】规定：“违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金;情节特别严重的，处三年以上七年以下有期徒刑，并处罚金”。

行江，合肥律协刑事专业委员会主任、北京隆安（合肥）律师事务所律师

符某某可能涉嫌侵犯公民个人信息罪，根据《中华人民共和国刑法》第二百五十三条之一，违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。

针对本案中符某某利用职务便利泄漏演员周海媚病历的行为是否达到刑事立案标准，是否构成侵犯公民个人信息罪，可以从以下三点分析。

1.病历是否属于个人信息？

首先，《民法典》第1034条的规定：个人信息是以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息，其中包括健康信息。由此可见，病历信息既属于隐私，也属于个人信息。

其次，依据《个人信息保护法》第28条第1款规定，患者的医疗健康信息属于敏感个人信息，并依据相关规定给予特别保护。

由此可见，演员周海媚的送医抢救病历与自然人密切相关并且具有特定识别性，属于敏感个人信息，理应受到法律保护。

2.符某某泄漏病历的行为是否违反相关规定？

符某某的行为违反了保护患者隐私的相关规定，具体如下：

第一，违反了《患者安全专项行动方案（2023-2025年）》相关规定。2023年9月27日，国家卫生健康委制定并发布了《患者安全专项行动方案（2023-2025年）》。方案中提到，提高对信息安全的重视程度，防止数据泄露、毁损、丢失，严禁任何人擅自向他人或其他机构提供患者诊疗信息。

第二，违反了《中华人民共和国医师法》第22条和《护士条例》第24条相关规定，医师、护士在执业活动中，应当尊重、关心、爱护患者，保护患者的隐私。

第三，违反了《医疗机构病历管理规定(2013年版）》第六条规定，医疗机构及其医务人员应当严格保护患者隐私，禁止以非医疗、教学、研究目的泄露患者的病历资料。

第四，《民法典》第1226条规定，医疗机构及其医务人员应当对患者的隐私和个人信息保密。泄露患者的隐私和个人信息，或者未经患者同意公开其病历资料的，应当承担侵权责任。

第五，违反了《民法典》第1035条规定：处理个人信息的，应当遵循合法、正当、必要原则，不得过度处理，并符合下列条件：（一）征得该自然人或者其监护人同意，但是法律、行政法规另有规定的除外；（二）公开处理信息的规则；（三）明示处理信息的目的、方式和范围；（四）不违反法律、行政法规的规定和双方的约定。

3.符某某的行为是否达到情节严重？

最高人民法院、最高人民检察院《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》第五条规定：　

非法获取、出售或者提供公民个人信息，具有下列情形之一的，应当认定为刑法第二百五十三条之一规定的“情节严重”：

参考法条：

请上下滑动查看法律依据👇

（一）出售或者提供行踪轨迹信息，被他人用于犯罪的；

（二）知道或者应当知道他人利用公民个人信息实施犯罪，向其出售或者提供的；

（三）非法获取、出售或者提供行踪轨迹信息、通信内容、征信信息、财产信息五十条以上的；

（四）非法获取、出售或者提供住宿信息、通信记录、健康生理信息、交易信息等其他可能影响人身、财产安全的公民个人信息五百条以上的；

（五）非法获取、出售或者提供第三项、第四项规定以外的公民个人信息五千条以上的；

（六）数量未达到第三项至第五项规定标准，但是按相应比例合计达到有关数量标准的；

（七）违法所得五千元以上的；

（八）将在履行职责或者提供服务过程中获得的公民个人信息出售或者提供给他人，数量或者数额达到第三项至第七项规定标准一半以上的；

（九）曾因侵犯公民个人信息受过刑事处罚或者二年内受过行政处罚，又非法获取、出售或者提供公民个人信息的；

（十）其他情节严重的情形。

根据《中华人民共和国刑法》第二百五十三条之一侵犯公民个人信息罪的相关规定，本罪是情节犯，即以“情节严重”作为其成立条件，需要造成一定的严重后果才构成犯罪。本案中，符某某虽违反相关规定泄漏了他人个人信息，但仍然需要满足上述司法解释有关情节严重的规定，因此还需等待警方进一步的调查结果，再看是否达到情节严重的情形。

当然，即便符某某的行为尚未达到刑事立案标准，也违反了治安管理处罚法的相关规定。根据《中华人民共和国治安管理处罚法》，偷拍、散布他人隐私的，处五日以下拘留或者五百元以下罚款；情节较重的，处五日以上十日以下拘留，可以并处五百元以下罚款。

3.如果涉事医院因医疗信息安全制度、保障措施不健全，导致医疗信息泄露，是否可以向其追究法律责任？

周洋，合肥律协交通事故与医疗卫生法律专业委员会委员、安徽华人律师事务所律师

《中华人民共和国民法典》第一千二百二十六条规定：“医疗机构及其医务人员应当对患者的隐私和个人信息保密。泄露患者的隐私和个人信息，或者未经患者同意公开其病历资料的，应当承担侵权责任”。

《中华人民共和国基本医疗卫生与健康促进法》第九十二条规定：“国家保护公民个人健康信息，确保公民个人健康信息安全。任何组织或者个人不得非法收集、使用、加工、传输公民个人健康信息，不得非法买卖、提供或者公开公民个人健康信息”、第一百零一条“违反本法规定，医疗卫生机构等的医疗信息安全制度、保障措施不健全，导致医疗信息泄露，或者医疗质量管理和医疗技术管理制度、安全措施不健全的，由县级以上人民政府卫生健康等主管部门责令改正，给予警告，并处一万元以上五万元以下的罚款；情节严重的，可以责令停止相应执业活动，对直接负责的主管人员和其他直接责任人员依法追究法律责任”。《医疗机构病历管理规定》第六条规定：“医疗机构及其医务人员应当严格保护患者隐私，禁止以非医疗、教学、研究目的泄露患者的病历资料”、第十五条“除为患者提供诊疗服务的医务人员，以及经卫生计生行政部门、中医药管理部门或者医疗机构授权的负责病案管理、医疗管理的部门或者人员外，其他任何机构和个人不得擅自查阅患者病历”。

此外，《中华人民共和国刑法》以及《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》等相关法律法规亦明确，公民的个人信息属于受法律保护的范畴。因此，医院作为患者诊疗信息的收集、存储、处理、发布主体，有义务保障患者就诊信息的安全。

鉴于此，保障患者在医院诊疗过程中的诊疗信息安全是医疗机构必须严格遵守的法律法规要求，如果医院没有建立完善的信息安全管理制度，或者未能按照法律法规和技术标准要求进行全流程系统性保障，从而导致患者信息泄露，医院应当承担相应的民事赔偿责任及相关行政责任。因此，患者在医院诊疗过程中遭遇诊疗信息泄露时，可以通过法律途径维护自己的合法权益，包括要求医院给出解释并采取补救措施，必要时可依法向有关部门投诉或提起诉讼，要求医院承担赔偿因信息泄露造成的损失及相应法律责任。

*原创：合肥律协，转载请注明来源

*图片：来源于网络截图，如有侵权请告知删除

*法律解析：合肥律协民事专业委员会、刑事专业委员会、交通事故与医疗卫生法律专业委员会

*内容审核：合肥律协宣传与联络委员会

来源：市律协宣传调研部

编辑：傅艺蒙、陶烁

审核：杨悦

END

你的每个赞和在看，我都喜欢！