管理不严泄露病历，医院被判侵权

王某、徐小某系夫妻，老徐系徐小某之父。2022年，王某前往某医院调取了老徐在该医院治疗心脏病的住院病历资料。而后，王某在其与徐小某的离婚诉讼案中，将调取的病历资料作为证据进行提交。

老徐主张，在王某未经其本人同意或授权的情况下，某医院即向王某提供了病历资料，王某、某医院均侵犯了其个人信息权益及隐私权。于是，老徐诉至法院，要求王某、某医院向其公开赔礼道歉，并赔偿其精神损失费及律师费。

经查，王某、某医院均认可，王某调取老徐病历资料时仅提供了王某本人的身份证，并未提供老徐的有效身份证明及授权委托书。王某表示，其调取老徐病历资料，系为向专家咨询治疗方案。但是，王某未提供证据予以证明。

北京市第三中级人民法院经审理认为，王某未征得老徐本人同意或授权，前往某医院调取病历材料；某医院未尽到法定的审查义务，违规向王某提供病历材料，二者均侵害了老徐的个人信息权益及隐私权。法院判决：王某、某医院就侵害老徐个人信息权益及隐私权向老徐进行书面赔礼道歉；王某、某医院共同赔偿老徐精神损害抚慰金8000元，王某、某医院相互承担连带责任。

第一，王某行为侵害了老徐的个人信息权益及隐私权。

病历资料涉及患者本人的生理健康，既属于敏感个人信息，受个人信息保护法的保护；也属于私密信息，受民法典关于隐私权规定的保护。处理敏感个人信息，应当取得本人的单独同意。隐私权作为绝对权，只要本人没有言明放弃，任何人均无权刺探、侵扰、泄露、公开。

根据查明的事实，王某调取老徐病历资料，未征得老徐本人同意或授权。故可以认定，王某在某医院径行调取病历资料的行为，侵害了老徐的个人信息权益及隐私权。

第二，某医院行为侵害了老徐的个人信息权益及隐私权。

病历资料属于敏感个人信息和私密信息，医疗机构负有严格管理、保存、保密义务，不得随意泄露给他人。

根据现有证据及当事人陈述，王某在向某医院申请调取老徐病历资料时，仅提供了王某本人的身份证，并未提供老徐的有效身份证明及授权委托书、二人之间关系的证明材料。显然，王某的申请材料不符合某医院应当受理并提供病历复印件的法定条件。某医院在此情况下，直接向王某提供病历资料，不仅未尽到法定的审查义务，亦违反了其作为医疗机构的保密义务。故可以认定，某医院的行为存在过错，违反了民法典第一千二百二十六条的规定，构成了对老徐个人信息权益及隐私权的侵害。

第三，王某和某医院应承担连带赔偿责任。

一方面，王某去某医院调取病历资料的行为与某医院将病历资料提供给王某的行为存在时空统一性，如缺失任一行为，则无法造成病历资料在老徐不知情的情况下被泄露的损害后果。另一方面，现有证据虽然无法直接证明王某与某医院存在主观的意思联络，但是在一、二审期间，某医院均未向法院提交明确证据证明王某调取病历资料的时间、提供的材料等。

某医院作为专业医疗机构，对于调取患者病历资料应提供的有效身份证明及相关授权手续应是明知的。而某医院仅凭王某本人的身份证就将老徐病历资料直接提供给王某，其行为不符合相关规定，明显存在过失。

王某作为心智成熟的自然人，应知晓病历资料属于老徐本人的医疗健康信息，与老徐本人密切相关；如确需将其作为证据提交，应以合法的方式收集和提供证据。而王某在未向老徐告知且未经老徐允许的情况下，径行在某医院调取病历资料，其行为亦存在过错。

因此，王某在某医院调取病历资料的行为与某医院将病历资料提供给王某的行为，直接结合造成老徐病历资料被泄露的损害后果，属于共同侵权，二者应向老徐承担连带赔偿责任。

在数字化时代，医疗信息的存储、传输和使用变得更加方便，但也容易造成医疗信息被泄露的风险。

病历资料属于医疗健康信息，具体指医务人员在医疗活动过程中形成的文字、符号、图表、影像、切片等资料的总和，包括门（急）诊病历和住院病历，以及病历归档以后形成的病案。病历资料与患者密切相关且具有可识别性，属于患者的敏感个人信息和私密信息，依法受法律保护。

对于自然人而言，应当尊重其他权利人的个人信息权益及隐私权，在法律无明确规定或未经权利人明确同意的情况下，不得非法收集、使用、传输、提供、公开其他权利人的病历资料。

对于医疗机构而言，负有对患者个人信息及隐私保护的义务，应当建立健全病历管理制度，加强对医务人员的培训和监督，尊重和保护患者的个人信息权益及隐私权，避免发生不必要的纠纷。

在司法实践中，因医疗机构管理不到位、医务人员责任意识不强导致病历泄露，进而侵犯患者个人信息权益及隐私权的案件时有发生。为预防和减少相关纠纷，北京市第三中级人民法院在审结该案件后，结合工作实际，向当地卫生健康委制发《司法建议书》，提出如下具体建议：

一是强化法律法规培训，提升医务人员风险意识。

建议当地卫生健康委及时组织辖区医疗机构及医务人员学习民法典、个人信息保护法、基本医疗卫生与健康促进法、医疗机构病历管理规定、病历书写基本规范等法律法规，提高医务人员法律意识和风险防范意识，主动避免向他人泄露患者病历信息等。

二是健全病历管理制度，依法保护患者合法权益。

建议当地卫生健康委督促辖区医疗机构建立健全病历管理和质量把控制度，严格落实病历书写、管理和使用等相关规定。同时，督促辖区医疗机构进一步明确复制或查阅病历的主体权限，严格审查复制或查阅病历的申请材料；申请人为代理人的，需要求其提供患者及代理人的有效身份证明、二者代理关系的法定证明材料和授权委托书，并留存相关台账和申请材料，防止患者病历被非法泄露。

三是严抓各项制度落实，提升医疗安全质量。

建议当地卫生健康委督促辖区医疗机构制定完善病历管理实施方案及工作细则，充分认识病历管理工作对于医院发展的重要意义，高标准、严要求有序推进病历管理工作顺利开展，将病历管理相关要求落到实处。同时，督促辖区医疗机构制定完善内部考核通报机制，强化关键环节的检查评估，对违规复印、泄露患者病历的医务人员及时进行内部处理，从源头上预防和减少违法行为的发生。

四是加强监管惩处力度，提升规范化执业水平。

建议当地卫生健康委加强对辖区医疗机构的监管与定期巡查，对发现的病历书写、保存、归档等方面存在的问题，及时予以纠正和处理。同时，与相关行政机关建立常态联络机制，搭建信息对接平台，对各自监管过程中发现的涉病历管理的不当问题及时进行对接，消除风险隐患。同时，定期选择典型案例进行曝光，促进辖区医疗机构自觉守法。