2. 医疗数据来源与业务场景梳理
医疗敏感数据识别与分级的第一步，不是急着给字段打标签，而是把数据从哪里来、经过哪些系统、最终落到什么位置梳理清楚。同一份“患者姓名”，在电子病历里是身份标识，在医保结算单里可能同时关联待遇资格与费用明细，在穿戴设备里则可能只是用户自设的昵称。数据源的业务属性不同，敏感数据的分布形态、暴露路径和分级依据都会随之变化。本章按六类典型数据源展开，重点说明各自的特征、敏感数据分布以及梳理时应关注的判断点。
电子病历：结构化与非结构化并存的核心数据源
电子病历（EMR）通常由医院信息系统（HIS）、电子病历系统（EMR）、实验室信息系统（LIS）和影像归档系统（PACS）共同支撑，数据形态高度混合。结构化部分包括患者主索引、诊断编码（ICD-10）、手术操作、医嘱、生命体征；非结构化部分包括病程记录、入院记录、会诊意见、护理记录等自由文本。敏感数据分布呈现“三层叠加”特征：第一层是直接身份标识，如姓名、身份证号、住院号、联系方式；第二层是健康隐私，如诊断、用药、手术史、精神病史、传染病标记；第三层是上下文关联信息，如就诊时间、科室、主治医师，单独看敏感度不高，但组合后可推断出特定患者的就诊轨迹。
梳理电子病历数据源时，建议先定位患者主索引表，再沿“就诊—医嘱—执行—文书”链路逐级展开。例如某三甲医院住院病历中，PATIENT_MASTER 表存放身份证号与姓名，VISIT 表存放住院号与入出院时间，DIAGNOSIS 表存放 ICD 编码与诊断描述，NURSING_RECORD 表存放自由文本护理记录。分级时不能只看单表，而要看跨表关联后能否还原出一个可识别的自然人。若身份证号与诊断描述同时出现在同一查询结果中，通常应归入最高敏感级别。
医学影像：大体积、弱结构化、强身份绑定
影像数据主要来自 CT、MR、DR、超声、病理切片等设备，以 DICOM 格式存储。其显著特征是单次检查数据量大（一次 CT 可达数百 MB），且 DICOM 头文件中嵌入了大量患者信息，包括姓名、性别、出生日期、检查号、设备参数、检查部位。很多团队只关注像素数据本身，却忽略了 DICOM 头文件中的身份字段，导致脱敏不彻底。影像数据的分级要点在于：像素数据本身通常不直接标识个人，但头文件中的 PatientName、PatientID、BirthDate 等标签一旦保留，整份影像即成为可识别健康数据。此外，影像常与报告文本分离存储，报告中的“所见”和“印象”往往包含更明确的诊断结论，需要与影像检查号建立关联后再统一分级。
检验与基因：高精度、强关联、再识别风险突出
检验数据来自 LIS，包含生化、免疫、微生物、血常规等指标，结构化程度高，通常以“患者—样本—项目—结果—单位—参考区间”组织。单次检验结果敏感度中等，但连续多次检验可形成疾病进展曲线，敏感度显著上升。基因数据则更为特殊：全外显子或全基因组测序数据包含个体遗传信息，具有唯一性和不可更改性，一旦泄露无法像密码一样重置。基因数据中除样本编号外，还常附带家系信息，可能同时暴露亲属的遗传风险。因此基因数据在分级中通常直接归入最高级别，且需要单独控制访问权限、留存期限和共享范围。
穿戴设备与医保结算：边缘数据源的分级差异
穿戴设备数据来自智能手表、动态心电、连续血糖仪等，采集心率、血氧、睡眠、步数、血糖等指标。其特点是采集频率高、单条数据敏感度低、但长期聚合后可推断出慢性病、情绪状态、作息规律等敏感信息。穿戴数据还涉及设备标识、账号 ID、位置信息，若与医院账号打通，则可能反向关联到真实患者。医保结算数据则来自医保平台与医院结算系统，包含参保人信息、就诊机构、费用明细、医保支付类别、报销比例等。其敏感点不仅在于身份与健康信息，还在于费用与待遇资格，可能被用于诈骗、骗保或商业营销。两类数据的分级策略不同：穿戴数据应重点关注“聚合后推断”风险，医保结算数据应重点关注“身份+费用+机构”组合后的合规使用边界。
业务场景梳理的落地方法
完成数据源盘点后，需要把数据放回真实业务场景中验证分级是否合理。建议按“场景—角色—数据—操作”四元组逐条梳理。例如“门诊医生调阅历史检验报告”场景中，角色是接诊医生，数据是患者检验结果与基本信息，操作是查询与展示，此时应允许访问但需记录审计日志；“科研人员导出脱敏数据集”场景中，角色是研究者，数据是去标识后的检验与影像特征，操作是批量导出，此时必须确认脱敏规则已移除直接标识且通过再识别风险评估；“医保稽核人员核查费用明细”场景中，角色是稽核员，数据是结算记录与就诊信息，操作是比对与统计，此时应限制单次查询量并禁止导出原始身份字段。
实际梳理时，可以先用数据源清单锁定系统边界，再用字段级清单标注每个字段的敏感类型，最后用场景清单验证“谁在什么条件下可以做什么”。三份清单不必追求一次完备，但必须保持字段命名、分级口径和场景描述一致。若同一字段在不同系统中名称不同，应建立映射关系，避免分级时漏判。例如医院侧叫“住院号”，医保侧叫“就医登记号”，两者指向同一就诊事件，分级时应视为同一标识链路。
数据源与业务场景梳理的产出，不是一张静态清单，而是一份可随系统演进而更新的数据地图。它要回答三个问题：数据在哪里、以什么形态存在、在什么业务条件下会被谁使用。只有把这三个问题落到具体系统和字段上，后续的敏感数据识别规则、分级标准和访问控制策略才有可靠的依据。