在数字化时代，公民个人信息的保护日益受到重视，尤其是医疗健康领域的就诊记录、病历信息等敏感数据，一旦被内部人员非法泄露，不仅侵犯患者隐私，更可能引发刑事追责。结合近期司法实践，本文以“内鬼泄露医院就诊记录”为切入点，深度剖析侵犯公民个人信息罪的常见案发场景、法律后果及辩护要点，帮助公众和从业者认清法律红线。
一、内鬼泄露医院就诊记录：典型场景与行为模式
在医院内部，掌握患者就诊信息的岗位包括医生、护士、收费员、信息科技术人员、档案管理员等。这些人员可能通过以下方式泄露信息：
- 直接出售：将患者姓名、身份证号、联系方式、疾病诊断、住院记录等打包出售给医药代表、保险推销员、数据中介等。
- 提供查询便利：利用职务权限，为他人提供批量查询患者就诊记录的服务，并收取好处费。
- 系统漏洞利用：通过医院内部系统漏洞，非法下载、复制患者数据，再转卖获利。
- 合作方泄密：医院合作的信息系统供应商、外包服务人员，在维护系统时擅自拷贝数据。
典型案例：某三甲医院护士王某，利用工作便利，将患者就诊记录（包括姓名、手机号、疾病名称）以每条0.5元的价格出售给某医药公司代表，累计获利数万元。最终，王某因侵犯公民个人信息罪被判处有期徒刑一年，并处罚金。
二、侵犯公民个人信息罪的法律构成与量刑标准
根据《中华人民共和国刑法》第二百五十三条之一，违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。
“情节严重”的认定标准（根据最高人民法院、最高人民检察院《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》）：
- 非法获取、出售或者提供公民个人信息五千条以上（涉及健康生理信息、行踪轨迹等敏感信息五百条以上即构成情节严重）；
- 违法所得五千元以上；
- 曾因侵犯公民个人信息受过刑事处罚或者二年内受过行政处罚，又非法获取、出售或者提供公民个人信息的。
“情节特别严重”的认定标准：
- 数量达到上述标准十倍以上（敏感信息五千条以上，一般信息五万条以上）；
- 违法所得五万元以上；
- 造成被害人死亡、重伤、精神失常或者被绑架等严重后果；
- 造成重大经济损失或者恶劣社会影响。
特别提示：医院就诊记录属于“健康生理信息”，属于最严格的保护范畴，五百条即可入罪，入罪门槛极低。
三、内鬼泄露信息的常见辩护要点与风险提示
从辩护律师的角度，内鬼泄露医院就诊记录案件通常关注以下细节：
- 主观明知：员工是否明知行为违法？医院是否尽到告知义务？若员工系初犯、偶犯，且对法律认识不足，可能影响量刑。
- 信息数量认定：部分案件中，信息条数可能被重复计算或包含无效信息（如空号、重复号码），辩护律师会申请专业鉴定，剔除不实数据。
- 违法所得计算：需区分“违法所得”与“工资收入”，若员工仅收取少量好处费，且未超出正常工作范围，可能认定情节较轻。
- 自首与退赃：主动投案、如实供述、积极退赃退赔（如将违法所得全部退还），是争取从轻、减轻处罚的关键情节。
参考案例：在（2019）沪0115刑初4251号非法吸收公众存款案中，财务人员李某某虽非直接泄露个人信息，但同样作为“内鬼”角色（利用职务便利为公司开立账户、发布标的），其从犯认定、自首情节、退赔退赃（家属退赔32万元）等辩护策略，最终使其获得减轻处罚（有期徒刑十一个月）。该案启示：在共同犯罪中，起辅助作用的“内鬼”人员，若能积极退赃、认罪悔罪，有望争取缓刑或减轻处罚。
四、如何防范与应对：医院与从业者的法律合规建议
对医院（用人单位）：
- 建立严格的数据分级管理制度，对就诊记录、电子病历等敏感信息实施最高权限控制；
- 与员工签订保密协议，明确告知泄露信息的法律后果；
- 定期开展网络安全与数据保护培训，强化员工法律意识；
- 部署日志审计系统，对异常查询行为实时预警，留存操作痕迹。
对从业人员（医生、护士、信息管理员等）：
- 切勿利用职务便利查询、复制、出售患者信息，哪怕只是“帮朋友查一下”也可能构成犯罪；
- 警惕“灰色兼职”：勿以“信息中介”身份赚取外快，一旦涉及批量数据，即触犯刑法；
- 离职后更需谨慎：不得带走原单位的数据，否则可能被追究侵犯商业秘密或侵犯公民个人信息罪。
五、一句话问答（快速了解关键点）
问：医院内部人员泄露多少条就诊记录会构成犯罪？
答：涉及健康生理信息（如就诊记录、疾病诊断），500条以上即构成“情节严重”，可处三年以下有期徒刑。
问：内鬼泄露信息，退赃退赔能减轻处罚吗？
答：可以。主动退赃退赔、积极赔偿被害人损失，属于法定从轻情节，结合自首、认罪认罚，可能争取缓刑。
问：医生帮朋友“查一下就诊记录”，算犯罪吗？
答：算。即便未获利，未经授权向他人提供患者个人信息，只要达到一定数量（健康信息500条以上），即构成侵犯公民个人信息罪。
问：医院外包人员泄露信息，责任如何认定？
答：外包人员同样受个人信息保护法约束，若利用维护系统之便窃取数据，属于“非法获取”，可单独定罪，医院也可依据合同追究其违约责任。
问：患者发现自己的就诊记录被泄露，如何维权？
答：可向公安机关报案（刑事途径），或向卫健委投诉（行政途径），也可提起民事诉讼要求赔偿精神损失。
章海律师提示：
侵犯公民个人信息罪是近年来打击重点，尤其是医疗健康领域的“内鬼”案件，往往因信息敏感、数量巨大而面临严惩。作为从业者，务必守住法律底线；作为受害者，应及时固定证据（如泄露信息的截图、录音、转账记录），寻求专业律师帮助。
章海，北京东卫（上海）律师事务所
专注刑事辩护23年，执业范围以上海为中心辐射长三角及全国，为多起个人信息保护案件提供精准辩护，成功为多名当事人争取从轻、减轻处罚。