一张病历照片，换来暂停执业六个月

让法律更懂医疗 让医疗更懂法律

一张病历照片，换来暂停执业六个月——医务人员泄露患者隐私，代价到底有多重

引子：这次被罚的不是“误诊”，是“拍照”

案情简介：2024年4月24日，某县卫生健康局接到当地教体局移送的一条违法线索：某学校一名在校学生（未成年人）在某医院住院期间的电子病历，被人拍了照，通过微信传播了出去。

调查结论：经核查，该医院护士赵某将患者住院电子病历的部分信息拍摄成照片，通过微信传播，导致患者隐私泄露。

处理结果：依据《护士条例》第三十一条第一款第三项，该县卫生健康局给予赵某警告、暂停六个月执业活动的行政处罚。

（案例来源：绵阳市卫生健康委员会《以案释法丨守护健康安全底线（第2期）》，2025年4月10日发布）

这个案子值得所有医务人员读一遍。它不涉及误诊，不涉及手术事故，不涉及任何一个临床判断上的争议。它涉及的动作只有一个——掏出手机，拍了一张屏幕，点了一次发送。

一、先看清：罚的到底是什么

《护士条例》第三十一条把护士执业中的四类情形并列，处罚阶梯是同一套：责令改正、警告；情节严重的，暂停六个月以上一年以下执业活动，直至吊销护士执业证书。

这四类是：发现患者病情危急未立即通知医师；发现医嘱违法或违反诊疗技术规范未提出或报告；泄露患者隐私；突发事件中不服从安排参加医疗救护。

条文原文（现行有效，2020年3月27日国务院令第726号修订施行）：

第三十一条　护士在执业活动中有下列情形之一的，由县级以上地方人民政府卫生主管部门依据职责分工责令改正，给予警告；情节严重的，暂停其6个月以上1年以下执业活动，直至由原发证部门吊销其护士执业证书：
（一）发现患者病情危急未立即通知医师的；
（二）发现医嘱违反法律、法规、规章或者诊疗技术规范的规定，未依照本条例第十七条的规定提出或者报告的；
（三）泄露患者隐私的；
（四）发生自然灾害、公共卫生事件等严重威胁公众生命健康的突发事件，不服从安排参加医疗救护的。

这里有两个容易被忽略的细节。

第一，“泄露”不要求牟利，也不要求造成实际损害后果。条文写的是“泄露患者隐私”，没有附加“以牟利为目的”“造成严重后果”这类限定。转发给家人看一眼、发到同行群里“请教一下”、发朋友圈吐槽“今天遇到个奇葩病例”，在构成要件上都是泄露。是否“情节严重”影响的是处罚幅度，不影响违法行为的成立。

第二，处罚起点是“警告”，但起点不等于终点。本案给了警告加暂停执业六个月——暂停执业是条文里“情节严重”对应的档次。也就是说，执法机关认为这个行为已经不属于最轻的一档。对一个靠执业证书吃饭的人来说，六个月不能执业，是实打实的收入中断和职业记录污点。

二、为什么六个月？三个加重因素

公开通报没有展开说理，但从案情本身能看出几个指向“情节严重”的因素：

其一，患者是未成年人。《未成年人保护法》第四条明确，处理涉及未成年人事项应当“给予未成年人特殊、优先保护”“尊重未成年人人格尊严”“保护未成年人隐私权和个人信息”。未成年人的病历信息，在保护等级上要高于一般患者的病历信息。

其二，信息已经脱离医疗机构控制。微信传播的特点是不可撤回、可截屏、可二次转发。卫健部门介入时，照片已经流出去了，损害无法通过删除原始消息消除。

其三，泄露的是电子病历。电子病历往往一次性呈现姓名、年龄、住院号、诊断、用药、检查结果等成套信息，一张屏幕照片的信息密度远高于纸质病历的某一页。《医疗机构病历管理规定》第六条写得很直接：

医疗机构及其医务人员应当严格保护患者隐私，禁止以非医疗、教学、研究目的泄露患者的病历资料。

注意这句话的结构：禁止的是“以非医疗、教学、研究目的”泄露。反过来说，即便目的正当（教学、研究），也仍然要在合规框架内处理，而不是随手发到微信里。

三、以为只是“内部提醒”，其实是四层责任叠加

很多医务人员的认知停在“被医院批评一顿”。实际上，同一个动作可能触发四个层次的责任，而且它们并不互相吸收。

第一层：行政责任——执业资格上的处罚

这是本案落到的层面。

护士适用《护士条例》第三十一条，处罚是警告、暂停执业六个月至一年、直至吊销护士执业证书。

医师适用的条文不同，处罚更重。《医师法》第五十六条第一款第一项：

违反本法规定，医师在执业活动中有下列行为之一的，由县级以上人民政府卫生健康主管部门责令改正，给予警告，没收违法所得，并处一万元以上三万元以下的罚款；情节严重的，责令暂停六个月以上一年以下执业活动直至吊销医师执业证书：
（一）泄露患者隐私或者个人信息；

对比一下就能看出差别：护士是“警告”起步，医师是“警告＋没收违法所得＋一万至三万元罚款”起步，情节严重的再加暂停执业直至吊证。同一家医院里，护士和医师做了同一个动作，适用的规范和后果并不相同。

需要补充的是，同一批通报中另有一名医师刘某，同样将未成年人住院电子病历拍照并通过微信传播，被给予警告、罚款24000元并责令暂停执业一年。这个对照很能说明问题：医师的罚款是硬性附加的，护士没有这一项，但暂停执业的后果对两者是一样的。

上位法还有一层。《基本医疗卫生与健康促进法》第九十二条确立原则——任何组织或者个人不得非法收集、使用、加工、传输公民个人健康信息，不得非法买卖、提供或者公开公民个人健康信息；第一百零二条则规定，医疗卫生人员泄露公民个人健康信息的，由卫生健康主管部门依照执业医师、护士管理和医疗纠纷预防处理等法律、行政法规给予行政处罚。

第二层：民事责任——患者可以起诉，而且不止告个人

《民法典》第一千二百二十六条：

医疗机构及其医务人员应当对患者的隐私和个人信息保密。泄露患者的隐私和个人信息，或者未经患者同意公开其病历资料的，应当承担侵权责任。

这一条把“医疗机构”和“医务人员”并列写进义务主体。实务中患者起诉时，通常会把医院列为被告——因为医院有赔偿能力，也因为医院对员工的行为负有管理责任。医院赔完之后是否向个人追偿，是另一层关系。

隐私权和个人信息的基础规范在第一千零三十二条、第一千零三十四条：自然人享有隐私权，任何组织或者个人不得以泄露、公开等方式侵害；个人信息包括健康信息，个人信息中的私密信息适用隐私权的规定。

赔偿范围上，如果造成严重精神损害，患者可以依第一千一百八十三条第一款请求精神损害赔偿。未成年患者的病历被传播，在“严重精神损害”的认定上通常比一般情形更容易获得支持。

还有一条容易被忽略的连带效应：《民法典》第一千二百二十二条第一项规定，患者受到损害，医疗机构有“违反法律、行政法规、规章以及其他有关诊疗规范的规定”情形的，推定医疗机构有过错。泄露病历本身不必然导致诊疗损害，但一旦该患者后续因诊疗问题起诉，这项已经被行政处罚确认的违法事实，会成为对方主张推定过错的有力材料。

第三层：个人信息保护责任——医院也跑不掉

病历信息属于《个人信息保护法》第二十八条列举的敏感个人信息（医疗健康信息；不满十四周岁未成年人的个人信息同样属于敏感个人信息）。该条要求，只有在具有特定目的和充分必要性，并采取严格保护措施的情形下，方可处理敏感个人信息。

《个人信息保护法》第六十六条对违法处理个人信息、未履行个人信息保护义务的，规定了责令改正、警告、没收违法所得，拒不改正的并处一百万元以下罚款，对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款；情节严重的，罚款可达五千万元以下或者上一年度营业额百分之五以下，并可以责令暂停相关业务、停业整顿、吊销相关业务许可或者营业执照。

对医院管理者来说，这一条的风险点不在于“员工个人手滑”，而在于制度是否到位：有没有病历访问权限分级、有没有操作日志留痕、有没有禁止拍照的明确制度和培训记录、发现泄露后有没有应急处置流程。这些是监管检查时会看的东西。

第四层：治安与刑事——极端情形下的红线

《治安管理处罚法》第五十条第一款第六项规定，偷窥、偷拍、窃听、散布他人隐私的，处五日以下拘留或者一千元以下罚款；情节较重的，处五日以上十日以下拘留，可以并处一千元以下罚款。第五十六条另规定，违反国家有关规定向他人出售或者提供个人信息的，处十日以上十五日以下拘留，情节较轻的处五日以下拘留。

需要特别提示版本问题：2025年修订的《治安管理处罚法》自2026年1月1日起施行，上述条号和罚款数额与修订前不同。2026年1月1日之前发生的行为，仍应适用行为时的旧法（修订前对应的是第四十二条第六项，罚款上限为五百元）。这一点在实务中经常被引用错。

刑事层面，《刑法》第二百五十三条之一规定，违反国家有关规定向他人出售或者提供公民个人信息，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。第二款明确：将在履行职责或者提供服务过程中获得的公民个人信息出售或者提供给他人的，从重处罚。

“情节严重”的门槛比很多人想象的低。根据《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》第五条，非法获取、出售或者提供住宿信息、通信记录、健康生理信息、交易信息等其他可能影响人身、财产安全的公民个人信息五百条以上，或者违法所得五千元以上，即属“情节严重”；该条第八项还规定，将在履行职责或者提供服务过程中获得的公民个人信息出售或者提供给他人的，认定标准按前述数量标准减半掌握。

换句话说，医务人员泄露健康信息，法律给出的容错空间是普通人的一半。

四、几个真实的“我以为”

“我拍的是自己的电脑屏幕，又不是从系统里导出的文件。”

拍屏幕和导出文件，在规范评价上没有区别。拍摄行为本身就已经形成了病历信息的复制件，而病历信息的复制、传输都有专门的管理要求。《医疗纠纷预防和处理条例》第十五条规定，医疗机构及其医务人员应当按照规定填写并妥善保管病历资料，任何单位和个人不得篡改、伪造、隐匿、毁灭或者抢夺病历资料；《医疗机构病历管理规定》第六条则直接禁止以非医疗、教学、研究目的泄露病历资料。

“我打了码，名字遮住了。”

病历照片里的住院号、床号、入院日期、罕见病诊断、科室、特殊用药，任何一项与其他信息结合都可能指向特定个人。《民法典》第一千零三十四条对个人信息的定义就是“能够单独或者与其他信息结合识别特定自然人”。对未成年人而言，识别门槛更低——一所学校的某个年级、某种疾病，在小范围内几乎等于指名道姓。

“我只发给了家属，没往外传。”

向患者本人或依法有权知情的近亲属告知病情，是履行告知义务，不构成泄露。但“家属”的边界需要谨慎：成年患者的病历向配偶以外的人披露、未成年患者的病历向非监护人披露，都可能超出授权范围。更常见的情形是，护士把病历发给自己的家人“看看这个病例”，这就完全脱离了医疗目的。

“我在科室群里讨论，属于教学。”

教学、研究目的的使用，前提是符合机构内部的审批与去标识化要求，并有相应的管理记录。微信工作群既不是合规的病历调阅渠道，也不具备访问控制与日志留痕。而且群成员一旦超出必要范围，性质就变了。

“事情是别人传出去的，我只是转发。”

转发是“提供”行为的一种。链条上的每一环都独立构成泄露，不因为“不是我第一个发的”而免责。

五、给医务人员的自查清单

把下面几条当作执业底线，比记住处罚条文更管用：

1.任何情况下不用个人手机拍摄病历、检查单、监护仪屏幕、手术记录。需要留存或传输的，走医院信息系统和授权流程。

2.不在任何微信群、QQ群、朋友圈、短视频平台发布可识别患者的病例信息，包括“去标识化”不彻底的照片、影像、病理切片图。

3.教学、科研、科普使用病例，先经机构审批，再做规范去标识化，去掉姓名、住院号、床号、日期、机构名称、罕见特征组合。

4.患者信息只在诊疗必需的最小范围内流转，不向无关同事、家属、朋友提及。

5.发现误发，立即采取补救：撤回、通知接收方删除、报告科室负责人和医务（病案）管理部门，并留存处理记录。及时补救不能免除责任，但会影响后续处理。

6.对未成年患者提高一级保护意识，不因其“只是学生”而降低标准。

结语

这个案子的处罚决定书大概只有一页纸，但它划出的线很清楚：患者把病历交给医院，交出的是对自己身体信息的控制权，不是放弃隐私权。

对医务人员来说，最需要记住的可能不是“暂停六个月”这个数字，而是这件事的起因有多轻——一次拍照，一次转发，一个“顺手”。

执业资格的取得要念完几年书、考过几场试、熬过多少个夜班；而失去它的一部分，只需要一次点击。

免责声明：本文基于公开通报的行政处罚案例进行法律分析，案例信息以绵阳市卫生健康委员会公开发布内容为准；文中观点为作者个人研究意见，不构成对任何具体个案的法律意见。具体案件处理请咨询专业律师或向当地卫生健康主管部门了解。

医法在线：专注医疗法律，传播医患声音，期待您的关注！（投稿（咨询）：yifa_online@163.com。

医法在线

（关注医疗，关注法律，关注医法在线！）