2. 医疗数据分类与分级

医疗数据访问控制的第一步不是配权限，而是先回答两个问题：这条数据是什么，它有多敏感。分类解决“是什么”，分级解决“有多敏感”。两者共同决定后续的访问策略、脱敏规则、审计强度和留存要求。分类错了，分级就会失真；分级错了，权限模型再精细也无法合规。

一、五类医疗数据的分类方法

医疗数据通常按“数据来源+业务语义”划分为五类，每类都有稳定的识别特征。

患者基本信息：用于唯一标识患者身份的数据，包括姓名、身份证号、手机号、住址、医保卡号、生物识别信息等。识别特征是“可直接定位到自然人”。这类数据本身不一定包含诊疗内容，但一旦泄露即可造成身份盗用，因此敏感度起点很高。

电子病历：围绕一次或多次就诊形成的临床记录，包括主诉、现病史、诊断、医嘱、检验检查结果、手术记录、护理记录等。识别特征是“描述健康状况与诊疗过程”。它既包含身份关联，又包含健康隐私，是访问控制中最核心的对象。

医学影像：CT、MR、DR、超声、病理切片等影像文件及其报告。识别特征是“以像素/体素矩阵为主体，附带患者标识与检查信息”。影像文件体积大、常以DICOM格式存储，其头部（Header）含有患者姓名、ID、检查号等元数据，是脱敏时最容易遗漏的部分。

基因组数据：全基因组、外显子组、基因panel测序结果及变异注释。识别特征是“高维、可唯一识别个体、可推断亲属关系”。即使去除姓名，基因型组合本身也可能重新识别个人，因此常被列为最高敏感级别。

运营数据：门诊量、床位使用率、收入结构、药品耗材消耗、设备运行状态等。识别特征是“描述机构运行而非个体健康”。单条运营数据敏感度较低，但若与科室、时间、小样本量结合，可能反推出个体信息，需做聚合与差分隐私处理。

二、敏感度分级标准

分级不是简单贴标签，而是建立“泄露影响—访问范围—保护强度”的对应关系。工程上常用四级模型：

分级判定可归纳为三个维度：可识别性（能否定位到个人）、健康敏感度（是否涉及特殊病种或遗传信息）、组合风险（与其他数据关联后是否放大泄露后果）。三个维度中任一为高，整体级别不应低于L3；基因组数据因可识别性与遗传关联性同时为高，直接定为L4。

三、合规要求与工程落地

合规要求来自《个人信息保护法》《数据安全法》《医疗卫生机构网络安全管理办法》以及《健康医疗数据安全指南》。落到工程上，至少包括：

• 最小必要：只授予完成当前诊疗或业务所需的最小字段与最短时限。
• 目的限定：科研使用需去标识化或通过伦理审批，不得直接复用临床访问权限。
• 可追溯：L3及以上数据的每次读取、导出、修改都要记录操作者、时间、对象与用途。
• 去标识化：直接标识符（姓名、身份证号）必须移除或替换；准标识符（年龄、邮编、就诊日期）需泛化或扰动。
• 跨境与共享：基因组与电子病历原则上不出境；共享需签订数据保护协议并做安全评估。

四、分类分级判定流程

下面这张图把“数据对象—识别特征—敏感度判定—访问策略”串成一条可操作的判定链，帮助你在面对一条具体数据时快速定位它的级别与保护要求。

五、一个可执行的判定示例

假设某三甲医院要开放一批数据给科研团队做糖尿病并发症研究。按上述流程逐条判定：

1. 数据对象包含患者基本信息（姓名、身份证号）、电子病历（诊断、HbA1c、用药）、部分影像报告。分类为“基本信息+电子病历+影像”。
2. 可识别性：姓名与身份证号直接可识别，判定为高。
3. 健康敏感度：糖尿病属于慢性病，不属于特殊病种，判定为中。
4. 组合风险：若与基因组数据关联，可推断遗传易感性，判定为中高。
5. 综合级别：可识别性为高，整体不低于L3；若研究涉及基因型，则升为L4。
6. 访问策略：移除姓名与身份证号，保留研究编号；年龄泛化为5岁区间；就诊日期偏移±7天；仅授予研究所需的字段与时间窗；开启全量审计；数据不出院内网。

分类分级最终要落到可执行的标签上。建议在数据资产目录中为每个字段维护“分类—级别—脱敏方式—访问角色”四元组，并在数据接入、查询、导出三个环节自动校验。这样，访问控制策略才有稳定的输入，合规审计也有可追溯的依据。