医疗集团内部通讯怎么保护患者隐私？

医疗集团内部通讯保护患者隐私，关键不是让员工少沟通，而是把患者信息挡在群聊之外，只让该看的人看到必要部分，并让查看、转发和导出留下记录。2026年2月，国家卫生健康委、公安部、国家网信办、国家中医药局、国家疾控局五部门印发《医疗卫生机构数据安全和个人信息保护管理办法（试行）》，对最小授权、加密、去标识化和日志留存提出了更具体的要求。医疗集团多院区、多角色、人员流动快，过去靠“工作群方便”形成的习惯，需要重新梳理。

公开案例中，某医院检验科人员为核实患者缴费情况，把未做处理的病理检查申请单拍照发进院内工作群。群是内部群，成员也是同事，但并非所有人都与该患者诊疗相关。卫生监督部门认定其泄露患者个人健康信息，给予警告并罚款1.5万元。这个案例值得医疗集团反复讲： 内部群不等于授权范围，同事身份也不等于知情必要。

一、风险不在外部，而在群里的授权边界

医疗集团内部通讯的风险，很少来自有人攻破机房，更多来自日常动作：拍照发群、转发检查单、在群里讨论病例、把工作消息转到个人设备、临时拉外部人员进群、离职后账号没有回收。这些动作单独看都很小，叠在一起就会把患者信息带出授权范围。

四个场景经常出问题。

• 病例讨论群。群里有行政、实习生、其他院区人员，患者姓名、床号、诊断、检查结果一起出现。讨论的人越多，越难确认谁真的需要知道。
• 交接班群。为了图快，直接发患者姓名、病情、联系方式。交接完成后，群还在，消息还能翻。
• 会诊群。把完整病历或影像截图发进群，群成员包含外院专家、厂商或进修人员。会诊结束，群没有关闭。
• 账号和权限。科室共用账号，实习生用带教老师的账号，离职人员的权限没有及时停用。人走了，历史消息还在。

还有三个常见误解，需要先纠正。

“内部群都是自己人。” 内部只说明组织关系，不说明知情必要。群里只要有一个人不该看到这条信息，它就已经超出了必要范围。

“撤回就没事了。” 撤回只能处理当前会话里的那条消息。截图、转发、缓存和通知预览可能已经发生，撤回不能消除已经发生的查看。

“姓名打码就脱敏了。” 姓名、身份证号、电话去掉之后，科室、就诊时间、罕见诊断、影像特征组合起来，仍可能指向具体患者。《信息安全技术 健康医疗数据安全指南》（GB/T 39725-2020）对健康医疗数据的分类和去标识化提出了要求，判断脱敏是否充分，要看组合识别风险，不是只看姓名有没有涂掉。

先问“谁需要知道”，再问“需要知道多少”，最后才问“用什么工具发”。这个顺序反了，工具再安全也会被用成漏洞。

二、法规已经把内部通讯纳入数据安全范围

患者隐私保护不是只盯着电子病历系统。内部通讯只要承载了患者信息，就已经进入医疗数据安全的监管范围。

《个人信息保护法》第28条把医疗健康信息列为敏感个人信息，第33条要求处理敏感个人信息具有特定目的和充分必要性，并采取严格保护措施。换句话说，“工作方便”不是充分理由，能说清用途、范围和必要性才是。

2025年6月，国家卫生健康委、国家中医药局、国家疾控局印发《关于进一步加强医疗机构电子病历信息使用管理的通知》。文件要求医疗机构承担主体责任，按照最小可用原则，根据岗位职责、角色任务和使用需求，明确分级访问权限和时限；操作人员要有专有身份标识，操作过程要可查询、可追溯；提供运维和数据分析服务的外部服务商，必须签订保密协议并接受监督。

2026年2月的《医疗卫生机构数据安全和个人信息保护管理办法（试行）》把要求进一步细化。根据公开解读，办法要求按岗位职责设定数据处理权限，综合运用加密、鉴权、认证、脱敏、去标识化、数字水印和审计等技术手段；核心、重要和敏感医疗数据不得通过邮箱、网盘、社交软件等通道传输；日志留存要满足相应要求，委托处理场景的责任不因委托而转移。

把这几份文件放在一起，内部通讯要过的是四道关。

法规要求	内部通讯中的落点
特定目的和充分必要性	每个群、每次共享都能说清用途；没有诊疗、管理、教学科研的正当目的，不发
最小必要	只发完成当前任务所需的最少信息；能发摘要不发全文，能发编号不发姓名
权限分级和时限	按院区、科室、角色建群；实习、进修、外包人员设权限期限；离岗回收
全程可追溯	账号唯一、操作留痕、日志可查；导出和转发有审批

法规没有要求所有内部沟通都换成重型系统，但要求医疗机构能说明“谁在什么目的下看到了什么”。 如果这个问题答不上来，现有的沟通方式就有合规风险。

三、五层防线，把患者信息挡在必要范围内

五层防线分别管内容、群组、账号、通道和留痕。它们的作用是逐层缩小暴露面，不需要一次全部上线，但顺序不要反：先定内容边界，再谈工具。

1. 先分级：哪些内容不能进群

医疗集团可以先做一张三级清单。

• 可群发：不含患者身份信息的排班、会议、设备、行政通知。
• 限范围：脱敏后的病例讨论、会诊摘要、教学案例，只发到指定群，群成员限定。
• 禁止入群：完整病历、带姓名或身份证号或联系方式的检查单和影像、患者面部和特殊体征照片、可还原身份的完整数据集。

落到日常动作，可以记成“三不发、三必脱”。

三不发：不发完整病历，不发带身份信息的检查单和影像，不发患者联系方式。

三必脱：姓名、身份证号、联系方式必脱；门诊号、住院号换成内部病例号；面部、纹身、罕见体征必须遮挡或裁剪。

患者信息脱敏不是把姓名涂黑就结束，脱敏之后还要检查组合信息。比如“某院区+某科室+某稀有诊断+某日入院”这几项放在一起，可能已经足够定位到个人。科室在发之前多看一眼，比事后解释有用。

2. 再管群：群成员就是权限边界

群组管理不是建完群就结束。医疗集团至少要明确四件事。

一是按院区、科室、项目和角色建群，不建“全院病例讨论群”这种大群。群越大，越难确认谁该看到。

二是每个群有群主、用途和成员范围。群公告写清楚这个群能讨论什么、不能发什么。临时会诊群设有效期，会诊结束就关闭或移出外部人员。

三是外部人员单独建群或走单独通道。外院专家、厂商、进修人员不进核心业务群；必须接触患者信息时，签保密协议、限定范围和时间、全程留痕。

四是开启邀请确认，关闭不必要的转发和导出。群成员变化要留记录，不能只靠群主记忆。

建群前可以问三句话：这个群一定要建吗？群里有不需要知道的人吗？有没有更窄的通道，比如单聊、指定人可见、系统内授权调阅？这三问能挡住大部分“顺手拉群”的风险。

3. 管账号：人走了，权限要跟着走

账号是内部通讯的入口，也是医疗集团容易忽略的一层。

一人一号，不共用账号；账号绑定工号、科室和角色，不用“科室公共号”处理患者信息。实习生、进修生、规培生和外包人员设权限期限，到期自动失效。人员转岗、离职、退休，当天调整或回收权限，不能等到下个季度。

登录范围也要管。能限制 IP 或网段的，不要把管理后台和患者信息通道开放到所有网络；移动端要支持远程退出或锁定，手机丢失时能及时切断。管理员账号和普通账号分开，科室管理员不拥有全院权限。

每季度做一次账号复核。重点查三类：长期未登录但仍有权限的账号、离职或转岗后未调整的账号、权限明显大于岗位需要的账号。

4. 管通道：数据留在可控环境

患者信息不进个人社交软件、个人网盘和个人邮箱。这是2026年新规公开解读里很直接的一条，也是医疗集团容易失守的一条。个人工具的数据归属、权限和审计都不在集团控制范围内，出了问题很难查清。

医疗集团可以优先考虑 私有化部署的通讯工具，把服务端放在集团或院区自己的服务器、内网环境里，数据边界由自己划。传输和服务端文件要加密，消息在数据库中要加密存储；移动办公要配合登录限制、设备管理和界面水印，不能让手机拍照成为绕过通道的口子。

需要外发时，走审批、脱敏、水印和留记录，不用“先发了再说”。 私有化部署解决的是数据归属和通道可控，不解决员工把屏幕拍下来。 它必须和权限、审计、培训一起用。

5. 管留痕：出了问题能查清

留痕不是为了事后追责，而是为了让问题能被定位、影响能被评估、责任能被区分。

日志至少要能回答四个问题：谁看的、看了什么、什么时候看的、为什么看的。登录日志、消息审计、文件传输记录、导出审批要能串起来；日志留存按数据类型和适用要求执行，重要数据和委托处理场景的要求更高。

平时可以做三类抽查：随机抽业务群，看最近消息里有没有患者身份信息；随机抽离职账号，看权限是否已经回收；随机抽外部人员群，看成员和共享内容是否匹配。抽查结果要留记录，不能只在群里说一句“注意一下”。

发现泄露后，先做四件事：断开传播链，撤回消息、移出人员、停用账号；保全证据，截图、日志、文件都不要删；评估影响范围，涉及多少患者、哪些信息、传播到哪里；按院内制度和监管要求报告，必要时告知受影响患者。不要先忙着解释，证据和处置顺序更重要。

四、多院区、会诊和交接，最容易出现例外

医疗集团多院区的复杂性在于同一个患者、多个院区、多个团队。例外一多，群聊就会变成默认通道。下面四个场景要单独定规则。

多院区会诊：用脱敏摘要，不用完整病历

会诊发起方准备脱敏摘要，写清年龄区间、性别、主诉、关键检查结果和影像编号，不发姓名、身份证号、住址和联系方式。需要看原始影像时，通过院内系统授权调阅，或让外院专家在受控环境内查看，不把原始影像直接发群。

会诊群成员限定到本次参与者，会诊结束关闭群或移出外部人员。会诊意见和参与人要记录，便于追溯。

交接班：床号加病例号，不写姓名和病情

交接班用结构化模板：床号、病例号、重点观察项、待办事项。不写患者姓名、电话和住址。语音消息同样要注意，在公共区域播放语音，等于公开播放患者信息。

交接班群只保留当班人员，交接完成后清理无关人员。群里的历史消息不要长期堆积，能归档到受控系统的，不要留在聊天记录里。

转诊和外部协作：走授权通道，不拉临时群

转诊需要共享的信息，按最小必要准备：转诊目的、当前诊断、关键检查、用药和过敏史。不需要的信息不发。通过医联体或区域平台、受控通道传输；需要患者授权或告知的，按适用规则办理。

外部专家、厂商、物流等非临床人员，不进患者信息群。必须接触时，签保密协议、限定范围和时间、全程留痕。 临时群看起来方便，权限却很难回收。

教学和科研：先脱敏，再谈使用

教学病例要取得相应授权，按院内伦理审查要求执行。影像去标识，面部、声音和特殊体征要处理。科研数据集去标识化，不在通讯工具里传原始数据；需要共享时走科研数据平台。

学生在群里的权限要限时，带教老师负责审核内容。教学任务结束后，权限和群成员一起清理。

五、医疗集团选内部通讯工具，先看五个硬指标

医疗集团需要的不是功能堆叠的聊天软件，而是能把组织、权限、通道和留痕落到实处的工具。评估私有化部署IM时，可以先看五个硬指标。

1. 能否私有化部署，数据放在集团或院区自有环境，内外网边界由自己划。
2. 是否支持通信全加密、服务端文件加密和消息加密存储。
3. 能否按组织、角色、院区控制通讯录和聊天范围，支持 IP 登录限制、LDAP 或 AD 认证。
4. 是否支持界面水印、消息审计、日志留存和导出审批。
5. 能否覆盖 PC 和移动端，支持与院内系统集成，版本和运维成本可控。

以喧喧IM为例，它是一款支持私有化部署的企业即时通讯与协同平台。服务端可以部署在医疗集团自己的服务器或内网环境，消息和文件不经过第三方公有云。通讯采用全链路加密，传输与服务端文件采用 AES 256 位加密，消息在数据库中加密存储。组织隔离、IP 登录限制、界面水印、LDAP/AD 认证等能力，适合多院区、多角色的权限边界管理；消息审计和日志能力可以配合院内审计流程。具体功能和版本差异以官网说明为准，部分高级安全能力属于专业版语境。

日常的单聊、群聊和文件传输是否顺手，可以参考 即时聊天页面。

安全能力的具体范围，可以在 通讯安全页面核对。

对数据安全、私有化部署和信创适配有要求的医疗集团，可以先用 开源版验证核心通讯和部署方式。

需要更完整的企业级安全能力时，再比较 版本与购买页面。架构轻量指的是部署架构和资源占用，聊天、音视频、文件协同等能力同样完整，不是功能减配。

工具能解决通道问题，但解决不了习惯问题。它不能替代制度、培训和审计，也不能阻止员工用个人手机拍屏幕。 选型的价值在于把“能做对”的路径变短，而不是把责任交给软件。

六、上线前用这份清单做一次验收

不要等出事再补。下面十项可以作为医疗集团内部通讯隐私的上线验收表。

检查项	通过标准
数据分级	形成可群发、限范围、禁止入群清单，群公告可见
群组管理	每个群有群主、用途、成员范围；临时群有有效期
外部人员	外部人员单独通道，签保密协议，权限限时
账号生命周期	入职开通、转岗调整、离职当天回收；每季度复核
权限矩阵	按院区、科室、角色授权，实习进修人员有期限
脱敏标准	姓名、证件号、联系方式、面部特征有明确处理规则
通道安全	患者信息不走个人社交软件、网盘、邮箱；传输和存储加密
日志审计	能查登录、查看、转发、导出；留存符合适用要求
应急响应	有断链、取证、评估、报告、告知的流程和责任人
培训演练	每季度培训，每半年做一次泄露场景演练

验收不能只看制度文件。 随机抽十个业务群，看最近一百条消息里有没有患者身份信息；随机抽十个离职账号，确认权限已经回收；模拟一次发错群，看能不能在十分钟内定位、撤回、通知和记录；访谈一线人员，问他们是否知道哪些内容不能发、出了问题找谁。答不上来，就说明培训还没有落到岗位。

验收也不是一次性动作。人员变动、系统升级、新院区上线、外部合作增加，都要重新评估。内部通讯的隐私保护是持续运营，不是一次检查。

七、常见问题

内部工作群发患者信息也算泄露吗？

算。内部群只说明组织关系，不说明知情必要。只要群里有不需要该信息的成员，就可能构成泄露，判断标准是是否超出必要知情范围，不是群内还是群外。

分院没有专职 IT，怎么做？

先从三件事开始：数据分级清单、群组规则、账号生命周期。这三件事不需要新系统也能做。工具选型优先看私有化、权限和留痕，实施和运维复杂度要匹配分院能力，不要为了“一步到位”上一个用不起来的系统。

患者同意一次，就能跨院区共享吗？

不一定。处理患者敏感个人信息要有特定目的和充分必要性，并按适用规则履行告知、单独同意等义务；跨院区共享还要限定范围、用途和时限。一次同意不等于永久授权。

群里的历史消息要保存多久？

没有统一时限，取决于信息类型、用途和院内制度。患者信息不宜长期留在普通群聊，能归档到受控系统就归档；日志留存按适用要求执行。不要把聊天记录当病历保存，也不要用聊天记录替代正式归档。

外包运维人员要进患者群怎么办？

不给核心患者群权限。必须接触时，单独建群或走单独通道，签保密协议，限定范围和时限，操作留痕；能脱敏就不发原文，能看结果就不传文件。

参考资料

• 《中华人民共和国个人信息保护法》第28条、第33条。
• 国家卫生健康委、国家中医药局、国家疾控局《关于进一步加强医疗机构电子病历信息使用管理的通知》（国卫办医政函〔2025〕262号），2025年6月。
• 国家卫生健康委、公安部、国家网信办、国家中医药局、国家疾控局《医疗卫生机构数据安全和个人信息保护管理办法（试行）》（国卫规划发〔2026〕6号），2026年2月。
• 国家标准《信息安全技术 健康医疗数据安全指南》（GB/T 39725-2020）。
• 昆山卫生监督公开案例，转引自公开报道，2024年。
• 锦天城律师事务所《2026年个人信息保护系列专项行动：卫生健康行业数据合规整改指南（四）》，2026年5月，http://www.allbrightlaw.com/SH/CN/10475/5078ac81d939f398.aspx
• 喧喧IM官网产品与版本页面，https://www.xuanim.com/