2026年數據安全法患者信息管理培訓試題（含答案）

2026年數據安全法患者信息管理培訓試題（含答案）一、單項選擇題1.2026年修訂的《中華人民共和國數據安全法》中，明確標注可單獨或結合其他信息識別特定自然人身份、反映其健康狀態的患者就診全流程信息屬于（）A.普通個人信息B.敏感個人信息C.重要數據D.核心數據答案：D2.某醫療機構未建立患者信息導出審批、訪問權限管控機制，導致近10萬條患者完整就診信息被內部人員倒賣，依據2026版《數據安全法》，對該醫療機構最高可處（）罰款A.10萬元以下B.10萬元以上100萬元以下C.100萬元以上500萬元以下D.500萬元以上1000萬元以下答案：D3.下列不屬于患者信息合規采集范疇的是（）A.患者就診時主動填報的藥物過敏史B.為排查法定流行病需采集的患者14天旅居史C.為優化院內掛號APP功能默認采集的患者手機終端通訊錄信息D.手術前風險評估采集的患者家族遺傳病史答案：C4.依據2026版《數據安全法》及配套的《醫療健康數據安全管理規范》，醫療機構對于已過法定保存期限的患者紙質及電子病歷，應當采取的合規處置方式是（）A.直接丟棄至生活垃圾站B.擦除電子病歷存儲內容后對存儲介質做不可逆銷毀，紙質病歷粉碎銷毀，全程留痕記錄C.批量轉售給第三方醫學研究機構獲取經費D.移交至上級衛生主管部門后無需進行任何處置答案：B5.患者向醫療機構提出查閱、復制本人就診記錄的申請，材料齊全且符合要求的，醫療機構應當在（）內完成審核并反饋，無法提供的需出具書面說明告知理由A.3個工作日B.7個工作日C.15個工作日D.30個工作日答案：A6.醫療機構需將患者信息提供給第三方機構開展合作研究的，應當先對數據做去標識化處理，且需經（）審核同意后方可提供A.科室主任B.醫療機構數據安全管理部門及倫理委員會C.分管院長D.當地衛生健康主管部門答案：B二、多項選擇題1.依據2026版《數據安全法》，醫療機構應當建立的患者信息全流程安全管理制度包括（）A.采集前告知-單獨同意制度B.分級分類授權訪問制度C.數據導出、傳輸加密審批制度D.全操作日志留痕可追溯制度答案：ABCD2.下列屬于患者信息違規泄露情形的有（）A.接診醫生在公共電梯內與同事討論某艾滋病患者的病情、姓名及工作單位B.醫療機構公眾號推送康復案例時隱去患者姓名、身份證號，但完整展示了患者的面部高清照片、居住小區名稱C.保險公司來調取患者理賠相關病例時，醫療機構核驗了患者本人簽署的授權委托書后僅提供與理賠相關的就診記錄D.科研人員將去標識化處理的患者病例用于獲批的醫學研究，研究成果發布時附帶了可還原患者身份的唯一編碼字段答案：ABD3.醫療機構內部人員訪問患者信息需遵循的“最小必要”原則包括（）A.僅訪問自身診療職責范圍內的患者信息B.僅獲取完成本次診療所必需的信息字段，無需調取患者無關就診歷史C.單次訪問授權時效與本次診療需求時長匹配，診療結束后自動收回訪問權限D.非診療、公共衛生需求不得隨意搜索、調取任意患者的信息答案：ABCD4.2026版《數據安全法》中明確要求，醫療機構發生患者信息泄露事件后，應當第一時間采取的措施包括（）A.立即啟動數據安全應急預案，采取技術補救措施防止泄露范圍擴大B.第一時間向當地網信部門、衛生健康主管部門、公安機關報送事件情況C.3個工作日內告知受影響的患者及相關利害關系人，告知內容包括泄露內容、可能造成的影響、已采取的補救措施及個人防護建議D.立即銷毀涉事存儲介質避免證據留存，減少自身責任答案：ABC5.下列關于患者信息查詢權限的說法符合規定的有（）A.門診醫師僅可查詢本人接診的當次就診患者的完整病歷信息B.住院醫師僅可查詢本人管轄床位的在院及出院1個月內患者的病歷信息C.患者本人持有效身份證件可查詢、復制本人全部就診記錄（法定不得公開的特殊情形除外）D.司法機關持法定文書可查詢涉案患者的相關就診信息，無需患者本人同意答案：ABCD三、判斷題1.患者主動在個人社交平臺公開的就診信息，醫療機構可以直接調取用于本院的醫療服務商業宣傳。（×）2.2026版《數據安全法》明確要求，接診的執業醫師是其經手患者診療信息安全的第一責任人。（√）3.為降低存儲成本，醫療機構可以將患者核心診療信息存儲在境外未經過國家安全評估的云服務平臺。（×）4.去標識化處理后無法單獨識別特定患者身份的病例數據，在用于公共衛生事件研判、國家級醫學科研項目時無需獲得患者個人單獨同意。（√）5.患者提出刪除本人就診記錄的申請時，醫療機構可直接刪除所有相關數據無需留存。（×）6.醫療機構內部工作人員因工作需要導出患者信息的，僅需獲得科室主任同意即可，無需留存審批記錄。（×）7.患者就診時拒絕提供非診療必需的個人信息（如收入水平、婚姻狀態等），醫療機構可以以此為由拒絕為其提供診療服務。（×）8.2026版《數據安全法》規定，醫療機構應當每年至少開展1次患者信息安全專項培訓及應急演練。（√）四、案例分析題2026年4月，某三甲醫院皮膚科醫師張某為完成與某民營美容機構的商業合作項目（為該機構做潛在客戶畫像分析），利用其職務權限調取了該院近2年1.2萬名皮膚科就診患者的姓名、手機號、皮膚病就診記錄、面部診療影像資料，未做任何去標識化處理就直接轉交給了該美容機構，后續導致8000余名患者接到該美容機構的推銷電話，另有300余名患者的特殊皮膚病就診記錄被惡意傳播到網絡，造成惡劣社會影響。經查，該醫院未建立患者信息批量調取審批機制、訪問操作日志審計機制，張某的批量調取行為未觸發任何預警。請結合2026版《中華人民共和國數據安全法》回答以下問題：1.本案中存在哪些違規行為？2.涉案人員及醫療機構分別應當承擔哪些法律責任？參考答案：1.本案中的違規行為包括：（1）張某違反患者信息采集使用的“知情同意”原則，未獲得患者單獨授權即調取其個人信息用于非診療的商業用途，違反了數據使用的合法性、正當性、必要性要求；（2）張某違反“最小必要”訪問原則，超出自身診療職責范圍批量調取非本人接診患者的核心診療信息，屬于越權訪問行為；（3）張某違規向無合作資質的第三方商業機構泄露屬于核心數據范疇的患者健康醫療信息，未履行個人數據安全保護義務；（4）該醫院未履行數據安全管理主體責任，未建立健全患者信息分級授權訪問、批量導出審批、操作日志審計、異常行為預警等制度，導致核心數據被批量泄露且未及時發現，存在嚴重管理漏洞。2.應當承擔的法律責任：（1）針對張某：由公安機關沒收全部違法所得，處五十萬元以上一百萬元以下罰款，衛生健康主管部門依法吊銷其醫師執業證書，其行為構成侵犯公民個人信息罪的，依法追究刑事責任；（2