PIPL在医疗行业的PDF文档合规应用

---

一、法规要求概览

• **第四条**：个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。个人信息的处理包括收集、存储、使用、加工、传输、提供、公开、删除等。

• **第二十八条**：敏感个人信息包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。只有在具有特定的目的和充分的必要性，并采取严格保护措施的情形下，方可处理。

• **第十四条**：基于个人同意处理个人信息的，该同意应当由个人在充分知情的前提下自愿、明确作出。法律、行政法规规定处理个人信息应当取得个人单独同意或者书面同意的，从其规定。

• **第十七条**：个人信息处理者在处理个人信息前，应当以显著方式、清晰易懂的语言真实、准确、完整地向个人告知下列事项：（一）处理者的名称或联系方式；（二）处理目的、方式、种类、保存期限；（三）个人行使权利的方式和程序；（四）其他法定事项。

• **第八条**：处理个人信息应当保证个人信息的质量，避免因个人信息不准确、不完整对个人权益造成不利影响。

---

二、医疗行业适用性分析

该行业特有的合规痛点（3个）

1. **高敏感信息集中度高**：医院日常运营中大量生成含患者姓名、疾病诊断、基因数据、影像资料的PDF文档，极易触发PIPL对“医疗健康”类敏感信息的严控要求。

2. **跨部门协作频繁导致信息泄露风险上升**：医生、护士、检验科、医保科、病案室之间传递PDF病历，常出现未脱敏、无权限控制、未留痕等问题，违反“最小必要”原则。

3. **历史档案数字化过程存在合规盲区**：老旧纸质病历扫描为PDF后，缺乏重新征得同意或进行脱敏处理，可能构成“未经同意处理敏感信息”。

法规在本行业的典型适用场景

• 医院将门诊病历转为PDF格式用于内部会诊；
• 检验科向临床科室发送含患者检测结果的PDF报告；
• 医疗机构向第三方保险公司提供理赔所需病历摘要；
• 医疗科研项目使用脱敏后的患者数据制作研究材料并形成PDF报告；
• 疫情期间开展流行病学调查，采集并整理患者行程轨迹与就诊记录的PDF文档。

上述场景均涉及PIPL第十三条至第二十九条所规定的“处理目的明确”“单独同意”“必要性审查”“安全保护措施”等核心义务。

---

三、PDF 文档处理中的合规要点

1. 处理目的必须明确且限于医疗必需

**法规要求**：第六条——处理个人信息应当具有明确、合理的目的，并应当与处理目的直接相关，采取对个人权益影响最小的方式。

**实践建议（PDFnoted 工具链）**：

在生成PDF前，使用PDFnoted的“元数据编辑”功能添加字段：`处理目的：临床诊疗支持`、`处理依据：第十三条第（二）项`，确保每份文档具备可追溯的合法基础。

2. 敏感信息须取得单独同意并记录

**法规要求**：第二十九条——处理敏感个人信息应当取得个人的单独同意。

**实践建议（PDFnoted 工具链）**：

在患者签署电子知情同意书后，使用PDFnoted的“数字签名+时间戳”功能，将同意文件作为附件嵌入主病历PDF，并设置“仅限授权人员查看”的权限，防止非授权访问。

3. 实施必要脱敏以降低风险

**法规要求**：第八条——保证个人信息质量，避免因不准确、不完整造成不利影响；第二十八条——处理敏感信息需采取严格保护措施。

**实践建议（PDFnoted 工具链）**：

利用PDFnoted内置的“自动敏感信息识别”功能（支持姓名、身份证号、手机号、病历号等），对PDF内容进行扫描并标记，随后执行“部分遮盖”或“替换为占位符”操作，如将“张某某”替换为“患者A”，保留医学价值的同时减少暴露风险。

4. 控制访问权限，防止越权传播

**法规要求**：第九条——个人信息处理者应当对其处理活动负责，并采取必要措施保障信息安全。

**实践建议（PDFnoted 工具链）**：

通过PDFnoted的“权限管理”功能，为不同角色设定访问策略：

• 主治医师：可读写全部内容；
• 护士：仅允许查看基本信息与护理记录；
• 外部合作单位：仅开放脱敏版PDF，禁止打印/复制；

5. 保存期限不得超出必要范围

**法规要求**：第十九条——个人信息的保存期限应当为实现处理目的所必要的最短时间。

**实践建议（PDFnoted 工具链）**：

在PDFnoted中设置“自动归档提醒”功能，根据预设规则（如“出院后满7年”）触发到期通知。到期后，系统可自动执行“加密封存”或“按流程销毁”操作，并生成销毁记录供备案。

---

四、合规自查清单

☐ 是否已确认该PDF文档中包含个人信息？

☐ 是否属于“医疗健康”类敏感信息？（如诊断结果、用药记录、检查报告）

☐ 是否已取得患者针对该信息处理的“单独同意”？

☐ 是否已在文档中明确标注处理目的、方式、保存期限等告知事项？

☐ 是否对敏感字段进行了有效脱敏或遮蔽？

☐ 是否设置了合理的访问权限，限制非授权人员查看？

☐ 是否建立了文档生命周期管理机制，确保超期自动处置？

☐ 是否留存了处理行为的操作日志与审批记录？

☐ 是否在对外提供前完成合规审查流程？

☐ 是否定期开展内部合规培训与演练？

---

五、工具操作指引（PDFnoted 工作流）

步骤一：脱敏处理

1. 使用PDFnoted打开原始病历PDF；

2. 启用“智能敏感信息识别”功能，系统自动标出姓名、身份证号、手机号、病历号等；

3. 手动确认需脱敏项，选择“部分遮盖”或“替换为匿名标识”；

4. 保存为新版本，命名规则为：`[患者编号]_脱敏版_[日期].pdf`。

步骤二：审查与审批

1. 将脱敏后的PDF上传至PDFnoted的“合规审查队列”；

2. 设置审批流程：由科室负责人→医务科→信息安全部依次审核；

3. 审核意见可直接在PDF上批注，系统自动生成带时间戳的审批记录。

步骤三：签名与认证

1. 若需正式提交，启用PDFnoted的“数字签名”功能；

2. 要求签署人使用实名认证账号登录，签署即视为“知情同意”；

3. 签署后系统生成带有哈希值与时间戳的可信凭证，不可篡改。

步骤四：归档与管理

1. 将最终版PDF归入PDFnoted的“医疗档案库”；

2. 设置自动备份至本地加密服务器或合规云平台；

3. 配置定时任务：每年清理超过保存期限的文件，支持一键批量归档或销毁；

4. 所有操作全程留痕，支持导出审计报告。

---

六、参考文献

1. 全国人民代表大会常务委员会. (2021). 《中华人民共和国个人信息保护法》. 中国人大网. https://www.npc.gov.cn/npc/c30834/202111/6a9f5c3d3e1b4d7ca3d0a4f3d8d4c7b0.shtml

2. 国家卫生健康委员会. (2021). 《医疗卫生机构网络安全管理办法（试行）》. 国卫办规划发〔2021〕12号.

3. 中国信息通信研究院. (2022). 《个人信息保护合规指南：医疗健康领域应用白皮书》. 信通院发布.

4. 国家标准化管理委员会. (2022). GB/T 35273-2020《信息安全技术 个人信息安全规范》. 中华人民共和国国家标准.

---