GDPR对医院和诊所的义务：患者数据保护

入口

医院、诊所、医生办公室、牙科诊所、美容中心、实验室、影像中心、心理咨询中心、理疗中心以及其他类似的医疗机构，都是个人数据处理最为密集和敏感的机构之一。医疗机构可​​能会处理患者的姓名、土耳其共和国身份证号码、电话号码、地址、预约信息、支付信息、保险信息、处方、检验结果、放射影像、诊断、手术史、用药情况、过敏信息、精神科评估记录、妊娠信息、基因数据或生物识别数据。.

这些数据中很大一部分不仅是“个人数据”，而且还 特殊类别的个人数据 。健康数据一旦披露，将受到《个人数据保护法》（KVKK）更严格的保护，因为披露此类数据可能导致歧视、损害个人在社会环境中的利益、影响其职业生涯或侵犯其隐私权。个人数据保护机构也指出，特殊类别的个人数据一旦披露，可能对数据主体造成歧视或损害，因此需要比其他个人数据更严格的保护。

因此，医院和诊所遵守GDPR并非仅仅是在其网站上添加一段“GDPR文本”。它必须明确定义处理患者数据的目的、法律依据、哪些部门可以访问这些数据，以及数据是否与卫生部系统、实验室、保险公司、医生、药房、供应商或境外服务提供商共享。卫生部于2019年6月21日在官方公报上发布了《个人健康数据条例》，旨在规范卫生部中央和省级机构及其附属医疗机构在处理个人健康数据时应遵循的程序和原则。.

什么是患者数据？

患者数据是指与寻求或接受医疗保健服务的个人相关的任何信息。这不仅包括与疾病相关的记录，还包括患者身份信息、联系方式、预约记录、入院文件、知情同意书、实验室结果、放射影像、出院总结、处方、支付信息、私人医疗保险信息、呼叫中心记录和监控录像。.

患者数据中最敏感的部分是健康数据。健康数据是指与个人身心健康相关的任何信息，包括检测结果、血型、慢性病信息、精神疾病治疗史、手术信息、妊娠信息、艾滋病毒检测结果、遗传疾病风险、癌症诊断、用药情况、残疾报告和治疗方案。根据《个人数据保护法》（KVKK），健康数据属于特殊类别的个人数据。该法明确规定了有限数量的特殊类别个人数据，包括个人健康、性生活、生物特征和基因数据。.

因此，医疗机构处理患者数据时需要比普通商业机构更加谨慎。在电商网站上处理客户的收货地址远不如在医院处理患者的肿瘤报告那样敏感。将患者数据发送给错误的人、泄露给未经授权的人员、在WhatsApp群组中分享、在社交媒体上使用或用于广告目的都可能导致严重的法律后果。.

在哪些法律依据下可以处理健康数据？

医院和诊所经常处理健康数据，用于诊断、治疗、护理、预约、患者入院、实验室检查、影像检查、手术、处方、计费和医疗保健计划等目的。但是，每项数据处理活动都必须确定正确的法律依据。.

《个人数据保护法》（KVKK）对特殊类别个人数据的处理规定了具体条件。第7499号法律修订了第6698号法律第6条，扩大了特殊类别个人数据的处理条件。修订后，个人数据保护局发布了《特殊类别个人数据处理指南》，以确保处理特殊类别个人数据的数据控制者拥有正确的法律依据。.

明确同意并非处理健康数据的唯一法律依据。根据《个人数据保护法》（KVKK），在某些情况下，无需明确同意即可处理健康数据。特别是，为了保护公众健康、预防医学、医疗诊断、治疗和护理服务，以及规划和管理医疗服务及其融资等目的，个人或受保密义务约束的授权机构和组织可以处理健康数据。KVKK明确规定，健康数据属于特殊类别的个人数据，只能在法律规定的有限情况下进行处理。.

然而，为提供医疗保健服务所必需的数据处理与广告、营销、社交媒体分享、使用患者证词、临床推广或与第三方不必要的共享截然不同。虽然将患者的检测结果展示给医生用于治疗可能在法律上是允许的，但错误地将相同的检测结果发送给其他患者或将其披露给无关人员则构成非法数据传输。.

何时需要明确同意？

医疗保健领域最常见的误区之一是认为，只要获得患者对每项医疗程序的明确同意，所有数据处理活动就都合法合规。然而，明确的同意必须是在知情的情况下自愿作出的，并且与具体事项相关。诸如“我同意出于任何目的处理和共享我的健康数据”之类的笼统声明存在法律风险。.

尤其是在并非医疗服务必需的数据处理活动中，可能需要获得患者的明确同意。例如，在社交媒体账户上分享患者照片作为“前后对比”图、将治疗过程用于广告宣传、发布包含患者姓名和照片的证词、出于科学研究或市场营销目的处理健康数据、向患者发送宣传信息，或某些除明确同意外并无其他法律依据的国际数据传输活动，都可能需要获得患者的明确同意。.

然而，即使获得明确同意，数据处理活动也必须符合比例原则。医疗机构不能仅仅因为患者已同意，就无限期地存储患者的全部病历、将其分享给无关人员或将其广泛用于广告目的。明确同意并不凌驾于土耳其《个人数据保护法》（KVKK）规定的合法性、公平性、特定且正当的目的性、比例性以及必要期限的保存原则之上。.

医院和诊所的隐私声明应该如何编写？

医院和诊所最基本的义务之一是告知义务。信息通知应向患者解释谁在处理其数据、处理目的、法律依据、处理方式、数据可能传输给哪些对象，以及患者根据《个人数据保护法》（KVKK）享有的权利。KVKK管理局于2026年6月8日发布的公告指出，信息通知应使用清晰、简洁、易懂的语言；不得包含笼统、模糊、不完整或误导性的信息。该公告还特别强调，“处理目的”和“法律依据”是两个不同的要素。.

在医疗机构中，单一的通用信息文本往往不足以满足需求。患者入院信息、员工信息、访客/摄像头信息、网站cookie信息、呼叫中心信息、求职申请信息以及需要明确同意的特定流程都应分别评估。例如，患者入院时的身份和联系方式数据用于提供医疗服务；摄像头录像用于安全目的；网站联系表格中的数据用于预约或请求管理；而将患者图像用于社交媒体推广可能需要单独的明确同意。.

隐私政策应明确说明数据传输流程。健康数据可能会与医生、实验室、影像中心、药房、私人保险公司、公共机构、签约服务提供商、律师或财务顾问共享。但是，每次数据传输的目的和接收方必须明确说明。个人数据保护机构（KVKK）指出，当涉及个人数据传输时，隐私政策中必须明确包含数据传输的目的和接收方。.

与第三方共享患者数据

患者数据应仅与因职责和授权需要访问的人员共享。不同的人员，例如医生、护士、入院登记人员、实验室人员、会计或保险部门，都可能访问患者的健康数据；但是，这种访问权限不应不受限制。每位工作人员都应仅能访问履行其职责所必需的数据。.

与家庭成员分享信息时，尤其需要谨慎。作为患者的亲属、配偶、父母或子女，并不意味着他们自动拥有获取所有健康数据的权限。如果患者失去意识、需要紧急干预或存在法律义务，则可能需要进行不同的评估；然而，在通常情况下，必须有法律依据才能向其亲属披露患者的健康信息。.

在2020年5月20日编号为2020/407的决定中，个人数据保护委员会认定，患者的检测结果属于与健康相关的敏感个人数据，在没有法律依据的情况下将其转移给第三方构成违反《个人数据保护法》的行为。该决定表明，即使将检测结果、报告、处方、病历或影像结果发送给错误的人，也可能导致严重的法律责任。.

因此，医院和诊所应在短信、电子邮件、患者门户、WhatsApp、呼叫中心和纸质文件递送等流程中建立身份验证机制。如果通过电子邮件发送检测结果，则应进行地址验证，必要时应使用加密；如果递送对象是患者亲属，则应核实其授权。.

通过 WhatsApp、短信和电子邮件共享患者信息

在医疗保健领域，由于便捷性，预约安排、检验结果、照片、处方和支付信息等经常通过 WhatsApp 分享。然而，通过 WhatsApp 或类似应用程序不受控制地分享健康数据会带来严重风险。这些平台的国际连接、端到端加密、设备安全、屏幕截图风险、数据发送给错误人员的可能性以及数据存储策略都应单独评估。.

如果需要通过电子邮件发送健康数据，则必须遵守委员会第 2018/10 号决议中关于敏感个人数据传输的适当预防措施。根据该决议，如果需要通过电子邮件传输敏感个人数据，则必须使用加密的企业电子邮件地址或 KEP（注册电子邮箱）帐户；通过便携式存储设备、CD 或 DVD 传输数据时，必须使用加密方法；在不同服务器之间传输数据时，必须使用 VPN 或 sFTP 等方法。.

短信通知也应谨慎使用。预约提醒短信与包含诊断、检验结果或治疗详情的短信不同。虽然预约提醒短信可以发送有限的信息，但像“您的肿瘤检验结果已出”这样的短信如果被手机上的其他人看到，则可能侵犯隐私。因此，医疗机构应根据数据最小化原则规范短信内容。.

医疗机构中的摄像头录像和访客数据

医院和诊所可能会出于安全目的使用摄像头。然而，摄像头录像也包含个人数据。此外，对于医疗机构而言，摄像头录像可能更加敏感；因为即使只是看到某人进入某个诊所、精神病中心、试​​管婴儿中心、肿瘤科病房或美容诊所，也可能间接泄露其健康状况。.

因此，摄像头系统的安装应谨慎进行。在入口、走廊、候诊区和存在安全隐患的场所使用摄像头是合理的；然而，在检查室、治疗室、病房、哺乳室、洗手间、更衣室或高度重视隐私的场所使用摄像头则会带来严重的法律风险。.

在摄像头所在区域应采用分层照明。醒目的警示标志应包含数据控制者信息、录像目的以及详细信息文本的获取方式；录像的存储期限和访问权限也应加以规范。个人数据保护机构指出，照明设施应易于获取且醒目，并应避免采用任何可能妨碍数据主体获取照明设施的方法。.

针对特殊类别数据应采取的技术和管理措施

由于健康数据被视为敏感个人数据，医院和诊所必须实施更高的安全标准。个人数据保护委员会第2018/10号决议规定，必须针对敏感个人数据制定单独的政策和程序，必须定期为处理此类数据的人员提供培训，必须签订保密协议，必须明确定义访问权限，必须定期进行访问控制，并且在员工发生工作变动或终止雇佣关系时必须立即撤销其访问权限。.

对于以电子方式存储的健康数据，加密方法、安全日志记录、安全更新、定期测试、用户授权以及至少双因素身份验证等措施对于远程访问至关重要。对于以物理方式存储的患者档案，应采取预防措施，防止档案安全、火灾、洪水、盗窃、未经授权的访问以及机密文件的传输。.

诊所中最常见的风险之一是员工过度访问患者档案。虽然接待人员可能只需要访问预约和联系信息，但让他们访问所有检查结果则显得不合时宜。会计人员可能需要访问付款和账单信息，但访问详细的患者诊断记录通常是不必要的。因此，应该实施基于任务的访问权限控制。.

患者数据存储和销毁流程

患者数据无法无限期保存。然而，鉴于医疗服务的特殊性，某些记录可能需要长期保存。在确定保存期限时，应考虑医疗保健法规、医疗记录义务、诉讼时效、潜在的医疗事故索赔、账单和会计记录、保险流程以及对公共机构的通知义务等因素。.

医院或诊所必须为每类数据设定保存期限。预约记录、患者档案、知情同意书、检验结果、放射影像、支付记录、呼叫中心记录、监控录像和市场推广资料等，并非都需要保存相同的期限。虽然在许多情况下，长期保存监控录像可能不合理，但医疗记录可能需要更长的保存期限。.

数据保存期限已过，必须删除、销毁或匿名化。出于“以后可能用得着”的想法而无限期地保留所有患者数据，可能违反《个人数据保护法》（KVKK）。销毁过程应有记录，电子和纸质档案应定期检查。.

如果发生数据泄露，医院和诊所应该怎么做？

医疗机构的数据泄露可能造成非常严重的后果。患者档案被盗、医院信息管理系统遭受网络攻击、实验室结果被误发、医生私人手机中的患者照片被盗、电子邮件被黑客入侵或患者记录被发布到网上，这些都可能构成数据泄露。.

根据《个人数据保护法》（KVKK），如果他人通过非法手段获取了所处理的个人数据，数据控制者有义务尽快通知数据主体和委员会。KVKK 管理局指出，根据委员会 2019 年 1 月 24 日第 2019/10 号决定，数据控制者必须在知悉数据泄露之日起 72 小时内立即通知委员会。.

涉及健康数据的泄露事件报告流程应更加谨慎。应披露受影响人数、数据类别、泄露发生和被发现的时间、已采取的措施以及受影响个人获取信息的渠道。个人数据保护局 (KVKK) 于 2026 年发布的一份数据泄露公告指出，涉及医疗器械投诉的患者数据遭到泄露，其中就包括健康信息。.

因此，医院和诊所应制定数据泄露应对计划。在危机发生时，信息技术、法务、质量控制、患者关系、管理以及相关医疗部门必须通力合作。泄露事件不应被隐瞒；必须保存证据，进行技术分析，并评估是否需要通知董事会和相关方。.

在广告和社交媒体中使用健康数据

诊所，尤其是在美容、牙科、植发、皮肤科和减肥手术等领域，可能希望将患者照片用于宣传目的。然而，患者的“术前术后”照片、治疗效果图、面部照片或手术视频可能与健康数据关联。此类共享存在违反《通用数据保护条例》(GDPR) 和侵犯患者隐私的严重风险。.

即使照片中患者的面部被遮挡，仍可通过纹身、疤痕、声音、病史、手术类型或其他特征信息识别出患者身份。因此，在社交媒体上分享患者照片必须获得明确、单独、具体且可核实的同意。患者必须清楚哪些照片将在哪个平台上发布、用于什么目的以及保留多长时间。患者不应因未给予同意而被剥夺获得医疗保健服务的权利。.

医疗机构在使用患者证词和成功案例时也应谨慎。诸如“我们的X患者成功完成癌症治疗”或“我们的Y患者隆鼻术后……”之类的帖子，即使不泄露个人身份，也可能存在风险，因为其中包含健康信息。广告和宣传活动不仅应根据《个人数据保护法》（KVKK）进行评估，还应符合医疗保健法规和职业道德规范。.

员工数据与医疗保健机构

医院和诊所不仅处理患者数据，还处理员工数据。医生、护士、技术人员、入院工作人员、清洁人员、保安人员和行政人员的记录可能包括身份信息、联系方式、工资单、人事档案、医疗报告、专业资格、文凭、证书、轮班记录、绩效考核和纪律处分记录。.

医护人员的健康数据或敏感个人数据也可能被处理。例如，入职体检报告、定期体检记录、疫苗接种信息、工伤事故记录和职业风险评估等。这些数据应在员工信息通知中单独说明，并且仅在履行职业健康与安全或雇佣义务所必需的范围内进行处理。.

员工对患者数据的访问权限也应受到控制。并非所有员工都有权访问所有患者数据。尤其应立即阻止离职员工访问医院信息系统（HIS）、实验室系统、电子邮件和档案。个人数据保护委员会关于敏感个人数据的第2018/10号决议明确规定，更换岗位或离职员工的访问权限应立即撤销。.

国际数据传输和云系统

如果医疗机构使用患者追踪软件、云备份、远程医疗基础设施、呼叫中心系统、预约安排软件、电子邮件服务、图像存档或人工智能分析工具，则应单独评估数据跨境传输的可能性。由于健康数据的敏感性，跨境传输健康数据应受到更严格的评估。.

个人数据保护局（KVKK）此前在其公告中强调，通过云服务提供商使用的数据中心可能大多位于国外，在这种情况下，必须遵守 KVKK 关于向国外传输数据的规定。.

因此，诊所仅仅声称“我们是从外部获得的程序，我们不知道数据存储在哪里”是不够的。软件服务器的位置、子服务提供商、支持团队访问数据的国家/地区、数据是否加密、备份存储在哪里以及国际数据传输机制等都应该通过合同加以规定。.

医院和诊所最常犯的GDPR错误

医疗保健领域最常见的错误是，认为只要让患者签署一份通用表格，所有数据处理就自动符合法律规定。然而，知情同意、明确同意和医疗同意是不同的法律程序。.

第二个错误是允许过多人员访问患者数据。入院工作人员、会计、医生、护士和实验室人员应该拥有不同级别的访问权限。.

第三个错误是未经控制地通过 WhatsApp 和个人电子邮件分享检测结果、报告或照片。敏感数据应使用安全的传输方式。.

第四个错误是未经患者明确同意，将患者照片用于社交媒体推广。未经明确同意，不得将患者照片、治疗过程或手术结果用作广告素材。.

第五个错误是未能定义数据保留期限。监控录像、通话记录、预约记录、患者档案和支付记录的保存期限不应相同。.

第六个错误是没有数据泄露应急预案。在医疗数据泄露事件中，快速通知和危机管理至关重要。.

第七个错误是未能根据土耳其《个人数据保护法》（KVKK）第九条对使用外国服务器或云软件的情况进行分析。这在包含健康数据的系统中尤其危险。.

结论

对于医院和诊所而言，遵守《个人数据保护法》（KVKK）是保障患者隐私和维护医疗服务信任的基本要求。由于健康数据被视为特殊类别的个人数据，其处理、存储、传输和销毁均须遵守比普通个人数据更为严格的规定。医疗机构必须仅出于特定、明确和合法的目的，并基于充分的法律依据，以适当且安全的方式处理患者数据。.

信息文本应清晰易懂，需要明确同意的情况应单独定义，医疗同意不应与《个人数据保护法》（KVKK）规定的明确同意混淆。在与第三方共享检验结果、健康报告、处方、影像记录和患者照片时，应格外谨慎。委员会关于非法转移检验结果的第2020/407号决议表明，将健康数据发送给错误的人或没有法律依据的第三方可能导致严重的法律责任。.

医疗机构还必须实施委员会第 2018/10 号决议中规定的敏感数据技术和管理措施；限制访问权限，提供人员培训，获得保密承诺，将数据存储在加密和安全的环境中，使用安全的方法进行数据传输，并考虑到在发生数据泄露时需向委员会发出 72 小时的通知。.

总之，对于医院和诊所而言，遵守GDPR不仅至关重要，可以避免法律制裁，还能维护患者信任、确保医疗服务的保密性并提升机构声誉。一套完善的GDPR系统能够确保所有医疗流程，从患者入院到检验结果，从摄像头录像到社交媒体分享，从员工访问权限到数据泄露管理，都安全、透明且符合法律规定。.