2026年11月12日
近期，最高人民检察院发布了8件检察机关依法保护公民个人信息典型案例，其中一起格外刺眼：不法分子用"爬虫"程序入侵一家三甲肿瘤专科医院，窃取385万余条诊疗数据，迁移至境外服务器存储半年之久并出售牟利。虽然可查证获利仅1.08万元，但最终被判赔150万元公益损害赔偿金。
一、基本案情
2022年4月至2024年2月，王某某、林某某在互联网上运用“爬虫”程序，非法入侵某三甲肿瘤专科医院的服务器，窃取包括“患者个人信息”、“门诊医嘱数据”、“住院医嘱数据”等信息共计3858671条，将其迁移至境外的服务器运行和存储达半年之久，并将部分医疗数据出售牟利。王某某、林某某非法获取、处理个人信息的行为侵害了众多不特定患者的合法权益，危害了国家数据安全和公共卫生安全。
这起案件的司法处理呈现"刑事+民事"双轨：
刑事层面：2024年11月，广州市越秀区人民法院以侵犯公民个人信息罪对两人作出有罪判决；
民事公益诉讼层面：越秀区检察院委托司法鉴定中心鉴定，确认医嘱/处方数据可通过身份证字段与患者信息精准关联，属于法律明确保护的医疗健康类敏感个人信息。2025年4月向广州互联网法院提起民事公益诉讼，2026年8月一审判决支持全部诉讼请求——酌定公益损害赔偿金150万元，是可查证获利（1.08万元）的百余倍。
二、事件影响
对患者：肿瘤患者是最不该被"标签化"的群体
处方数据能精准还原一个人的患癌事实、用药方案、治疗阶段。这类信息一旦流入黑产，患者面临的可能是精准靶向的"抗癌神药"诈骗、药品代购骗局、保险歧视，甚至医疗信息被用于敲诈。对癌症患者及其家庭而言，隐私泄露的伤害是叠加在疾病痛苦之上的二次伤害。
对医院：行政、民事、声誉三重账单
本案中侵权者被追责，但医院同样难辞其咎——数据是从自己的服务器上被"爬"走的。按照《数据安全法》《个人信息保护法》及2026年2月五部门联合印发的《医疗卫生机构数据安全和个人信息保护管理办法（试行）》，机构因制度、措施不健全导致信息泄露，将面临卫健部门处罚，情节严重的可责令停止相应执业活动；患者还可以另行主张侵权责任。
对行业：确立了一个危险的"可行性证明"
此案证明：一条由外部爬虫批量抽取医院诊疗数据、出境存储、变现牟利的完整链条是走得通的，而且持续了近两年才案发。最高检明确指出，侵犯公民个人信息犯罪正从"人工偷"向"技术窃"转变——医疗行业因其数据的高价值与防护的相对薄弱，正处于风暴中心。
三、潜在风险
法律风险持续加码。新《办法》列出"十项禁止"，明确禁止通过微信、网盘等传输敏感数据、禁止违法向境外提供数据；处理重要数据的机构须每年开展风险评估并报送。等保三级、合规审计已从"建议"变成"硬约束"。
民事赔偿上不封顶的示范效应。1.08万元获利对应150万元赔偿，福州台江区同类案件甚至判出400万元公益赔偿。获利少≠赔得少，侵权成本被系统性抬高。
衍生犯罪难以穷尽。泄露的医疗数据是电信诈骗、医保欺诈、"开盒"网暴的上游弹药。福建网警近期通报的案例还显示，医院内部权限混乱、员工随意导出数据同样会被行政处罚——内鬼风险与外部攻击同样致命。
跨境泄露不可逆。数据一旦出境，删除、追回、影响消除都近乎不可能，"修复成本较高、监管应对复杂"将长期体现在赔偿与整改账单上。
四、应对措施
结合此案暴露的三条被击穿的防线，我们建议医疗机构按"看清—守住—盯住—备好"四步构建防护体系：
① 看清家底：数据资产测绘与分类分级
梳理全网数据资产，绘制数据流转图谱，重点识别互联网可达的患者数据接口；
按"核心数据—重要数据—一般数据"完成分类分级，主动向属地卫健部门报送重要数据清单；
重点评估字段级关联风险：身份证号、就诊卡号等主键字段出现在哪张表、哪个接口、能否反向定位患者。
② 守住边界：让爬虫进不来、爬不动
在互联网入口部署Web应用防火墙（WAF）+ Bot管理：人机识别、频率限制、异常UA/指纹拦截，对高频遍历行为自动封禁；
推进API安全治理：接口清单化、强制鉴权、最小化返回字段——处方接口不应原样返回身份证字段，展示层脱敏不等于传输层脱敏；
数据本体加密与动态脱敏，非授权场景默认"不可见"。
③ 盯住行为：把"静默失血"变成"实时告警"
基于UEBA（用户与实体行为分析）建立反爬取模型：识别凌晨密集查询医嘱/收费接口、单IP短时高频访问同一页面、跨科室跨权限数据遍历三类典型异常（业内实践可使恶意访问量下降近五成）；
数据库审计全量留痕，对大批量导出、异常时段访问自动告警甚至阻断；
落实最小权限：按岗位建模授权、高敏感访问二次审批、离职转岗即时回收账号。
④ 备好后手：合规、应急与出境红线
按等保要求定级备案、年度测评，处理重要数据的系统落实等保三级及以上；
制定数据安全事件应急预案并定期演练，发生泄露立即处置、告知相关主体并按时限上报——新规下隐瞒事件本身就是违规；
划死跨境红线：任何涉及境外的存储、访问、科研合作，必须先走"自评估→领导班子同意→属地卫健审核→网信部门安全评估"流程，涉基因数据同步履行人类遗传资源审批。没有走流程的"出境"，就是下一个150万，甚至刑事责任。