医药纠风新规落地｜厘清数据安全红线，化解医药行业合规风险

近日，国家卫健委联合公安部等14 部门印发《2026 年纠正医药购销领域和医疗服务中不正之风工作要点》，“严守医疗数据安全” 首次作为独立任务单列，标志医药行业治理正式从单一商业贿赂打击，升级为覆盖购销、诊疗、财税、数据、医保的全链条监管。

 

过去医疗数据安全常被视作 IT 部门附加工作，如今已是医院、药企 “一把手工程”。网信、公安、卫健委、市场监管多部门联合执法，风险即违法、泄露即追责，为科研借数据变相带金销售、倒卖患者隐私、外包运维数据外泄等行为均划定清晰红线。

01新规五大监管红线

在此次的《工作要点》原文中，第五项明确规定：

五、严守医疗数据安全

强化医疗数据全流程监管，完善数据使用审查与追溯机制，规范行业数据安全管理，严禁泄露、倒卖及非授权使用，坚决遏制数据牟利，切实保障患者隐私与个人信息安全。重点治理借助第三方以科研名义变相实施”带金销售”等不法行为，保障行业健康发展。

明确五大刚性约束，所有医疗机构、医药研发企业、第三方服务商必须逐条对标自查：

全生命周期闭环监管：覆盖医疗数据采集、存储、使用、传输、共享、销毁全流程，电子病历、基因信息、医保结算等核心敏感数据不得存在防护盲区，缺失管理制度、技术防护措施直接违规，依据《数据安全法》予以行政处罚。

全行为可审查、全链路可追溯：每一次患者数据调取、导出、共享必须留存完整日志，精准定位操作人、操作时间、数据范围；批量导出、非工作时段高频访问、跨系统越权调用等高风险行为需实时预警阻断。

严禁泄露、倒卖、非授权使用患者数据：最高法 2026 年典型案例显示，外包运维企业窃取 287 万条患者信息，企业罚金 30 万，主犯获刑 5 年 6 个月；医院弱口令、公网暴露数据库，即便未发生实际泄露，网信办亦可直接罚款 5 万元起，第三方合作方连带追责。

严打数据牟利行为：以数据交易、精准营销、用户画像变现等方式利用医疗敏感数据牟利，纳入医药纠风执法体系，同步核查商业贿赂、虚开发票等关联违法。

重点整治 “科研名义带金销售”：药企以 IIT 临床研究、学术合作、第三方科研为借口获取原始患者数据，用于药品推广、精准拓客，属于变相回扣；行贿入刑起点降至 3 万元，企业与相关负责人双罚制。

02医药行业三大高频数据安全隐患

结合以往全国多起处罚案例，医药行业领域数据安全风险集中在三类场景，也是本次专项检查核心核查项：

数据资产底数不清，分级防护缺失

不少医疗机构、药企未完成敏感数据盘点，病历、受试者隐私、研发资料与普通办公数据混存，缺少分类分级清单，敏感数据无差异化防护，成为安全薄弱点。

对外合作带来数据外泄风险

医院向药企、第三方机构交付原始病历数据，缺少脱敏、溯源管控，流出后完全失控；外包运维人员权限过大，存在批量导出数据风险，黑市倒卖案件频发；药企借科研合作获取患者数据，研究课题无科学支撑，实质为药品营销导流，踩中新规严管红线。

内部权限管理粗放，缺少实时风险处置

账号共用、人员超权限访问现象普遍，多数系统仅留存事后日志，面对批量拷贝、外传等高危行为无法实时拦截，往往等到泄露事件发生后才被动处置。

03补齐短板 + 合规落地

面对《工作要点》及相关法规的监管检查，医药机构需要完成数据资产梳理、补齐技术防护能力、规范对外数据流转，建立常态化安全运营机制。