知道每一位接收方，只发送任务所需内容，使用受控通道，并决定每个人的访问何时结束。
一份病历可以在患者未察觉的情况下跨越几道边境。医院把 PDF 导出给协调人，协调人发给译员，译文上传到云盘，链接到达海外医生，亲属又把链接转发到家庭群。
每一步都可能显得有帮助。合在一起，它们制造副本、新接收方和不清楚的保留。隐私保护从发送文件前画出路线开始。
首先，画出人员和系统
做一张简单的传输图：
| 接收方或系统 | 目的 | 所需数据 | 可转发给 | 访问结束 | |---|---|---|---|---| | 中国医院 | 临床审阅 | 与决定相关的病历 | 具名临床团队 | 按医院保留规则 | | 译员 | 翻译选定报告 | 选定原文页 | 仅批准的审阅人 | 交付和质量检查后 | | 协调人 | 安排审阅 | 索引和必要文件 | 具名医院联系人 | 服务结束时 | | 保险公司 | 保障决定 | 其书面证据清单 | 理赔处理人员 | 按保单和法律 | | 司机或酒店 | 无障碍后勤 | 姓名、时间和行动需求 | 无临床接收方 | 服务后 |
若某人无法解释为何需要一份文件，停下。“为了方便”不是明确的医学目的。
知道谁是数据处理者
患者把本人持有的副本发给选定临床医生，与医院通过供应商导出病历，不是同一操作情境。医院、机构、平台、译员和海外接收方可能各自作为个人信息处理者、受托处理者或独立接收方，取决于安排。
根据《个人信息保护法》，向另一处理者提供个人信息一般需要告知个人接收方身份和联系方式、目的、方式和信息类别并取得单独同意，除非适用另一合法基础。[1] 敏感信息要求额外的必要性和影响信息，跨境提供还有进一步要求。[1]
患者不必选择组织的法律机制。请组织的隐私联系人说明：
- 谁对传输负责
- 处理和出口的法律基础
- 海外接收方以及国家或地区
- 目的、数据类别和保留期限
- 是否涉及分包商或云服务商
- 患者如何向海外接收方行使权利
- 它依赖哪一跨境机制或豁免
中国 2024 年跨境数据规则调整何时需要安全评估、标准合同或认证程序，并对某些合同必要或紧急传输包含豁免。[2] 备案机制的豁免不是忽视目的限制、安全或个人权利的许可。
发送最小必要病历集
从决定出发并创建审阅副本。完整源档案单独保存。
例如：
- 评估可切除性的外科医生可能需要影像、病理和相关手术或病史——而不是每一份无关门诊记录。
- 处理出院小结的译员不需要整个 DICOM 档案。
- 保险公司应收到其书面证据请求中的项目，而不是无限门户访问。
- 交通提供者可能需要轮椅和预约细节，而不是诊断。
最小必要并不意味着临床不完整。询问接收方临床医生哪些文件支持安全审阅，然后只去除真正无关的材料。
绝不遮盖或编辑唯一源副本。制作标注为 REDACTED COPY 的衍生文件，记录去除了什么并保持页序。对临床治疗，披露遮盖，以便接收团队决定是否影响解释。
同意应具体到足以理解
有用的告知回答：
- 正在使用什么信息？
- 出于哪一目的？
- 谁接收？
- 在哪个国家或地区？
- 将如何传输和存储？
- 将保持可用多久？
- 谁可以继续接收？
- 患者如何在适用时撤回同意、请求访问或更正，或投诉？
避免把临床审阅、营销、研究、证言和无限数据保留合并成一项许可。这些是不同目的。
同意并不总是唯一合法基础。《个人信息保护法》也承认订立或履行涉及个人的合同所必要的处理，以及为保护生命、健康或财产所必要的紧急处理。[1] 组织应记录其实际使用的基础，而不是习惯性地收集签名然后更广泛地使用数据。
选择带控制的传输通道
优先使用接收医院的门户或机构认可的加密传输服务。若必须作为加密压缩包发送文件：
- 使用强加密，而不仅仅是改名的 ZIP 扩展名
- 通过另一通道发送密码
- 尽可能把链接限制给具名接收方
- 要求登录和多因素认证
- 设置最短实用到期时间
- 禁用公开索引和匿名再分享
- 保留上传和下载日志
- 对大型传输确认校验和或文件数
- 在核实收到后删除临时本地和云副本，受制于所需保留
普通电子邮件和聊天可能方便，但转发、备份和账号沦陷难以控制。若医院批准此类通道，询问身份、访问和保留如何管理。
不要用共享家庭账号登录患者门户。一次性验证码、支付 PIN 或主密码给出的访问比单一报告链接更广。
文件内部隐藏的身份
从可见页面或文件名去掉姓名并不必然去标识。
PDF 和办公文件可能包含作者姓名、修订历史、批注和嵌入附件。照片可能携带位置和设备元数据。DICOM 对象嵌入患者和检查属性，文字可能烧录进影像像素。[3]
当目的需要去标识——例如研究、教学或外部盲法审阅——使用与接收机构规则匹配的合格工作流。然后测试数据集是否仍能在文件间一致关联，而不暴露直接标识符。
对直接诊疗，过度去标识可能造成患者匹配危险。医院可能需要姓名、出生日期和病案号，以防止记录贴到错误的人。遵循其受控身份匹配流程。
给译员和协调人窄访问
服务协议应规定：
- 具名法律实体和有访问权限的人员
- 确切文件和目的
- 是否允许本地下载
- 使用机器翻译或 AI 服务以及数据在何处处理
- 分包禁止或条件
- 保密和安全要求
- 保留、返还和删除日期
- 事件通知途径
- 禁止在没有单独许可的情况下将患者故事、影像或数据用于营销或模型训练
《个人信息保护法》要求受托处理者在约定目的和方式内行事，并在安排结束时返还或删除信息；转委托需要原处理者授权。[1]
在发送特别敏感记录前，用虚拟数据索取翻译样本。不要仅仅因为快就把可识别记录上传到免费在线翻译或摘要工具。
家属访问仍是数据共享
患者常常希望配偶或成年子女帮忙。定义该人可以做什么：
- 仅查看预约
- 接收发票
- 访问临床报告
- 与临床医生交谈
- 授权进一步披露
- 在法律适当时代作决定
在可获得时使用医院的代理或家属访问功能。不要假定亲属关系允许无限披露。若患者后来撤回家属访问，更新医院、协调人、共享文件夹和消息群——而不仅是一个密码。
儿童记录需要特别小心。《个人信息保护法》将不满十四周岁未成年人的信息视为敏感，并在同意路径下处理时要求父母或监护人同意。[1]
遗传、生殖健康和心理健康需要额外思考
一些记录揭示亲属以及患者的信息。胚系遗传结果可能暗示家族风险。生殖、传染病、性健康和心理健康记录若被滥用，可能造成额外社会伤害。
分享前，询问整份报告是否必要、家属姓名能否最小化，以及专科摘要是否足以支持决定。不要从经治团队去除临床上重要的信息，但不要自动把它发给酒店、旅行社或一般行政人员。
保留患者能读懂的审计轨迹
维护传输日志，包含：
- 日期和时间
- 发送方和接收方
- 目的
- 文件名和版本
- 通道和链接到期
- 组织记录的许可或法律基础
- 收讫确认
- 转发或分包披露
- 删除或返还确认
这不是为官僚而官僚。若发送了错误版本或链接泄露，日志显示在何处遏制问题。
行使权利而不损害病历
《个人信息保护法》赋予个人知情和决定处理的权利，并在法定条件下访问或复制、更正和请求删除个人信息。[1]
询问隐私联系人如何：
- 取得所持数据的副本
- 更正身份或联系错误
- 限制或结束可选分享
- 移除前任协调人的访问
- 在满足法定条件时请求删除
- 质疑不准确的自动匹配
- 向机构或监管者投诉
删除权并不意味着医院必须抹去法律要求其保留的记录。患者或许能够停止可选披露，同时源病历仍被保存。
若链接或文件发给了错误的人
立即行动：
- 撤销链接或账号会话。
- 联系非预期接收方并请求删除，不再打开或转发。
- 通知发送组织的隐私或安全联系人。
- 准确识别暴露了哪些文件、标识符和时间段。
- 重置被泄露的密码并结束活动会话。
- 保存审计日志和事件编号。
- 询问将进行何种风险评估、通知和补救。
在负责安全团队记录事件前，不要删除事件证据。若涉及财务身份、护照或账号信息，监测滥用并遵循官方身份或支付保护建议。
每次发送前的隐私核对
- 通过独立通道核验接收方身份
- 已说明临床或行政目的
- 已选择最小必要文件
- 已保存原始档案
- 已理解敏感页和嵌入元数据
- 负责组织已记录患者告知和同意或其他基础
- 适用时已确认跨境机制或豁免
- 已设置安全通道和访问到期
- 密码另行发送
- 已披露转发和分包商
- 已确认收讫
- 已记录删除或返还日期
法律和医学免责声明：本指南提供一般隐私和安全信息，不是法律建议。跨境数据义务取决于组织、数据、目的、体量、地点和现行规则。医院和服务提供者应取得合格的中国和目的地国建议；患者不应因行政手续延误紧急诊疗。
Key Takeaways
- 医疗健康信息是中国《个人信息保护法》（PIPL）下的敏感个人信息。处理它需要特定目的、充分必要性和严格保障。[1]
- “把我的病历发到国外”可能涉及源医院、协调人、翻译公司、平台、海外医院、保险公司和家属。识别每一接收方和角色。
- 对所述目的使用最小必要病历集。司机需要行动说明，不需要病理；报价窗口可能不需要完整精神病史。
- 单独同意和跨境传输要求取决于谁在处理信息以及为什么。请机构解释其法律基础和传输机制；不要依赖一揽子勾选。[1][2]
- 加密文件，另行发送密码，设置链接到期，并在任务结束时确认删除或返还。即使文件名看起来匿名，DICOM 和文档元数据仍可能包含身份。[3]
FAQ
患者把本人病历用电子邮件发到国外违法吗？
本文不作那种一概而论的主张。个人发送自己的副本与机构或平台导出数据，法律义务不同。隐私风险仍然存在，因此使用接收医院的安全途径，并在需要时取得针对个案的建议。
签一份同意书是否允许每个服务提供者使用我的病历？
这种假定并不安全。接收方、目的、数据类别和继续传输应具体披露，且《个人信息保护法》对某些分享和敏感信息活动要求单独同意，除非适用另一合法基础。[1]
带密码的 ZIP 够吗？
它是一项控制，不是完整系统。还要核验接收方，使用强加密，另行发送密码，限制访问，设置到期并确认删除。
我可以自己从 DICOM 文件中去掉姓名吗？
重命名文件无效，因为 DICOM 含有嵌入属性。[3] 对直接诊疗，保留安全身份匹配；对去标识使用，使用机构要求的合格流程。
我可以要求医院删除我的病历吗？
个人在规定法定条件下有删除权，但医院可能有法定保留义务。请医院区分源记录的保留与可选分享或第三方副本。[1][4]