**医疗机构及其医务人员负有保护患者隐私和个人信息的义务。**泄露患者信息，或者未经患者同意公开其病历资料的，应当依法承担侵权责任。
患者发现问题后，可以要求停止传播、采取补救措施，并根据具体情况投诉、报案或提起诉讼。但赔偿并非自动成立，也没有统一的“三倍赔偿”标准。
一、哪些情形可能侵犯患者权益？
病历中的诊断、检查结果、治疗经过等，往往涉及医疗健康信息，应受到严格保护。
| 情形 | 需要核查的问题 |
|---|---|
| 将病历照片发到公开平台 | 是否获得合法授权，是否能够识别患者 |
| 向保险、营销等人员提供患者名单 | 是否具有合法依据，是否超出必要范围 |
| 工作人员因私人原因查询病历 | 是否与履行工作职责有关 |
| 用真实病例制作宣传材料 | 是否依法取得同意，是否充分保护身份信息 |
| 系统漏洞导致病历被他人查看 | 是否履行安全保护及事件处置义务 |
将姓名打码，不一定足以保护隐私。结合面部照片、职业、就诊时间、罕见病情等，仍可能识别患者。
反过来，医疗机构依法开展必要的诊疗协作、法定报告等活动，并不当然属于违法泄露，应结合处理依据、目的和范围判断。
二、发现泄露后，首先应保存什么证据？
应先保存能够证明泄露事实和传播情况的材料，避免内容被删除后难以核查。
| 证据类型 | 建议保存内容 |
|---|---|
| 网络页面 | 完整截图、链接、账号名称、发布时间 |
| 聊天或邮件 | 原始记录、发送对象、附件及上下文 |
| 医院通知 | 泄露告知函、短信、邮件及处置说明 |
| 沟通材料 | 投诉记录、书面答复、合法取得的录音 |
| 就诊资料 | 病历、报告、订单等，用于核对泄露内容 |
| 损失证明 | 诈骗转账、收入变化及相关诊疗资料等 |
尽量保留原始文件、账号和设备中的记录，不要只保存经过裁剪、编辑的图片。
**法律没有统一要求患者必须在发现泄露后7日内办理公证。**重要且容易灭失的证据，可以根据需要选择公证或依法申请证据保全，未经公证的电子记录也并非当然无效。
三、可以要求医院立即采取哪些措施？
可以向医院投诉管理部门或相关管理部门提交书面材料，要求：
- 核查泄露内容、发生原因和涉及范围；
- 停止违法查询、提供或传播；
- 联系相关平台、接收方处理已传播的信息；
- 保存访问日志、导出记录、权限记录等证据；
- 采取必要的安全补救措施；
- 依法说明调查和处置情况。
发现或者可能发生个人信息泄露时，个人信息处理者应依法采取补救措施，并按规定履行报告、通知等义务。
医院不能仅以“是个别员工行为”或“是黑客攻击”为由，直接认定自己没有责任。是否尽到管理和安全保护义务，仍需具体审查。
四、怎样投诉？是否都必须30日内处理完？
可以根据问题性质选择渠道：
| 渠道 | 主要反映事项 |
|---|---|
| 医院内部投诉渠道 | 工作人员违规查询、传播及院内管理问题 |
| 卫生健康主管部门 | 医疗机构患者信息保护和行业管理问题 |
| 履行个人信息保护职责的部门 | 违法收集、提供、公开或其他处理行为 |
| 网络平台 | 删除、屏蔽违法传播内容，保存相关记录 |
| 公安机关 | 涉嫌非法买卖个人信息、诈骗等犯罪线索 |
投诉应写明就诊情况、泄露事实、现有证据及具体诉求，并保留受理凭证。
**不存在所有上述投诉均须在30日内完成调查处理的统一规则。**办理期限应以适用程序和受理机关告知为准，不能承诺专项行动期间必然加快结案。
行政处罚与民事赔偿也属于不同事项，医院受到处罚，不等于赔偿已经落实。
五、起诉时，患者是否只要证明“有损失”就够了？
不是。
《个人信息保护法》第六十九条确立了过错推定规则：处理个人信息侵害个人信息权益造成损害，处理者不能证明自己没有过错的，应承担相应侵权责任。
这主要影响“过错”的举证，并不意味着所有事实都由医院证明。
患者仍应围绕以下事项提供证据或提出调查取证申请：
- 涉案信息与本人有关；
- 存在侵害个人信息权益的处理行为；
- 被诉医院或其他主体与该行为有关；
- 请求赔偿的损害及其与侵权行为之间的联系。
泄露来源不明时，可以先提交具体线索，请求有关部门调查。仅因接到营销电话，通常不足以直接认定就是某家医院泄露。
六、患者可以要求赔偿哪些损失？
根据具体情况，可以主张停止侵害、消除影响、赔礼道歉，以及赔偿损失等责任。
| 请求 | 判断重点 |
|---|---|
| 财产损失赔偿 | 是否存在实际损失，是否与泄露有关 |
| 按侵权获益确定赔偿 | 获益情况及适用法律依据 |
| 精神损害抚慰金 | 是否造成严重精神损害及其程度 |
| 其他合理费用 | 是否确有必要、合理，并有相应依据 |
因泄露遭遇诈骗的，不能把全部诈骗损失当然归于医院，还需审查因果关系及相关责任。
精神损害赔偿没有全国统一的“5000元上限”，也不存在发生泄露就能获赔10万元的规则。
一般病历信息泄露案件，也没有自动按损失或获利三倍赔偿的普遍规定。
七、能不能要求医院删除全部病历？
可以依法提出删除个人信息的请求，但不能理解为医院必须立即销毁全部病历。
符合法定删除条件的，应依法处理；如果法律、行政法规规定的保存期限尚未届满，或者技术上难以删除，应按规定限制后续处理并采取保护措施。
需要区分：
- 删除被违法公开、传播的病历副本；
- 停止与诊疗无关的营销利用；
- 医院依法保存原始病历。
维权时，可以明确要求“停止违法传播、清理无权留存的副本、依法限制使用”，避免把正常病历保存与侵权传播混为一谈。
