患者健康数据被用于商业用途，能要求删除并索赔吗？

**可以依法要求停止违法利用，并在符合法定条件时要求删除相关信息、赔偿损失。**但商业用途不等于当然违法，删除请求也不意味着医院必须销毁依法保存的全部病历。

判断重点是：谁在使用数据、用于什么目的、是否具有合法依据，以及是否超出告知和授权范围。

一、哪些健康数据受到保护？

能够识别或关联到个人的诊断、检查结果、用药记录、手术信息等，通常属于医疗健康类敏感个人信息。

不仅完整病历需要保护，“姓名＋电话号码＋手术类型”“联系方式＋疾病名称”等组合，也可能涉及敏感个人信息。

企业参与、存在收益，并不能单独决定是否合法；合法获取信息，也不意味着可以任意改变用途。

二、同意医院治疗，是否等于同意商业使用？

不等于。

诊疗过程中提供病历和联系方式，通常服务于就诊、治疗等目的，不能据此认定患者已经同意药品营销、保险推销或企业产品开发。

以个人同意为处理依据时，同意应当建立在充分知情、自愿、明确的基础上。处理医疗健康等敏感个人信息，还应满足相应单独同意要求。

医院向其他独立处理者提供个人信息的，应依法履行告知、取得单独同意等义务；存在其他法定处理依据的，应具体审查。

笼统写着“可能与合作伙伴共享”，不当然足以支持所有商业使用。

三、患者公开过病情，别人就能拿去营销吗？

不能这样理解。

个人自行公开的信息，或者其他已经合法公开的信息，可以依法在合理范围内处理，但不意味着任何主体都能任意收集、出售和推销。

需要结合公开目的、信息性质、使用方式及对个人的影响判断。个人明确拒绝的，应当遵守相应规则；对个人权益有重大影响的处理，还需依法取得同意。

例如，患者在求助帖中公开疾病情况，并不当然允许企业据此建立精准营销名单。

不过，也不能把所有对公开信息的再次使用都直接认定为违法，应审查具体情形。

四、机构说“已脱敏”，能否拒绝删除？

不能只凭一句“已脱敏”判断。

如果仍能识别患者，应依法处理其查阅、复制、限制使用或删除等请求。

即使实现匿名化，也不能倒推此前违法取得、使用个人信息的行为当然合法，其他适用的监管要求也不能忽略。

五、什么情况下可以要求删除？

《个人信息保护法》规定的删除情形，包括处理目的已经实现、无法实现或不再必要，保存期限届满，个人撤回同意，以及违法处理等情况。

患者可以明确提出：

• 停止将健康数据用于营销；
• 删除违法取得或无权继续保存的数据；
• 停止继续向其他主体提供；
• 说明已经提供给哪些机构及采取了什么补救措施。

但依法应保存的原始病历，不一定能够立即删除。法定保存期限未届满，或者技术上难以删除的，应按规定停止除存储和必要安全保护之外的处理。

**“保留病历”与“继续商业利用”是两回事。**医院不能以病历需要保存为由，继续进行不必要的营销使用。

六、不同意营销，会不会影响正常就医？

对于以个人同意为依据的商业使用，患者可以拒绝，也可以依法撤回同意。

机构不得仅因患者不同意非必要的信息处理，就拒绝提供服务；属于提供该项产品或服务所必需的信息处理，法律另有相应规定。

例如，不能把“同意接收保险推销”作为接受正常诊疗的必要条件。

提出撤回时，建议写明具体范围，如“撤回用于商业营销的同意”，避免与诊疗所需的信息处理混淆。撤回同意，不影响撤回前基于有效同意已经进行的处理活动。

七、可以要求多少赔偿？怎样维权？

个人信息权益受到侵害的，可以依法主张停止侵害、删除信息等救济；要求损害赔偿，还需结合损害及其与侵权行为的关系判断。

赔偿可以根据实际损失或者处理者因此获得的利益确定；难以确定的，由法院结合实际情况判断。造成严重精神损害的，可以依法主张精神损害赔偿。

没有健康数据被商业使用就自动三倍赔偿的普遍规则，也没有统一的精神损害赔偿金额。

建议保存以下证据：

可以先向医院及实际使用数据的企业提出书面诉求，再根据情况向有关主管部门投诉，或者依法起诉。涉及大量患者信息的，也可向检察机关提供公益诉讼线索，但不意味着必然立案或获得个人赔偿。

《个人信息保护法》的过错推定规则，主要针对处理者是否存在过错，并不免除患者对侵害事实、主体关联及相应损害等事项的举证责任。