病历中记录了医疗活动的全过程，也记载了患者个人的健康信息。未经他人同意或授权，是否可以向医疗机构调取或复印他人病历？医疗机构在患者本人未同意或出具授权材料的情况下，可否向他人提供患者的病历？近日，北京三中院针对由此引发的一起隐私权、个人信息保护纠纷案作出终审判决。女子因未经过本人同意或授权调取公公老徐病历，与医院均侵犯老徐的个人信息权益及隐私权。离婚后，女子和医院被判共同赔偿老徐精神损害抚慰金8000元。

徐小某、王某曾系夫妻关系，老徐系徐小某之父、王某的前公公。2022年，王某前往某医院调取了老徐在该医院治疗心脏病的住院病历资料，后将调取的病历资料在另案其与徐小某离婚诉讼中作为证据提交，以证明老徐患有心脏类疾病，不宜照顾孩子。

老徐主张王某未经过其本人同意或授权，某医院即向王某提供了老徐的病历资料，王某、某医院均侵犯了其个人信息权益及隐私权，故诉至法院要求王某、某医院向其公开赔礼道歉，赔偿其精神损失及律师费。

经查，王某、某医院均认可王某调取老徐病历资料时仅提供了王某本人的身份证，未提供老徐的有效身份证明及授权委托书。王某表示，事发时其系老徐的儿媳，调取老徐病历资料，系为向专家咨询治疗方案，但未提供证据予以证明。

考虑到该案涉及个人信息，若采取在媒体上道歉的方式反而会损害到老徐的个人信息，一审法院对此不予准许。一审法院认为，王某在另案处理的离婚案（已判决徐小某和王某离婚）中虽出示了老徐的病历，但并未对法院处理子女抚养问题产生影响，最终判决王某、某医院连带赔偿老徐精神损害抚慰金5000元，驳回老徐其他诉讼请求。老徐不服一审判决，提起上诉。

此外，徐小某此前已就其父亲病历被他人非法调取投诉某医院，要求调查处理。经医院调查，此份病历在复印过程中，存在登记记录不全，未发现授权委托书，病案室在病历复印过程中存在不规范的事实清楚，存在严重的管理问题，工作中存在失误。根据医院病案管理制度，经党委会研究决定，对病案室负责人张某某做出如下处理决定：免去病案室负责人职务；扣罚1个月绩效奖金；延长晋升职称1年；取消年度评优评先资格。

北京三中院在该案二审中经审理认为，王某未征得老徐同意或授权，前往某医院调取老徐的病历材料；某医院未尽到法定的审查义务，违规向王某提供老徐的病历材料，二者均侵害了老徐的个人信息权益及隐私权。法院判决：王某、某医院就侵害老徐个人信息权益及隐私权向老徐进行书面赔礼道歉；王某、某医院共同赔偿老徐精神损害抚慰金八千元，王某、某医院相互承担连带责任。

【法官释法】法官详解该案三大焦点

 王某的调取病历行为是否侵害了老徐的个人信息权益及隐私权？

该案中，老徐的病历资料涉及老徐本人的生理健康，既属于老徐的敏感个人信息，受个人信息保护法的保护；也属于老徐的私密信息，受民法典关于隐私权规定的保护。处理老徐的敏感个人信息应当取得其单独同意；而隐私权作为绝对权，只要老徐没有言明放弃自己的禁止权，任何人均无权刺探、侵扰、泄露、公开其隐私。根据查明的事实，王某调取老徐的病历资料，未告知老徐或征得其同意或授权。在此情况下，王某在某医院处径行调取老徐的病历资料，可以认定侵害了老徐的个人信息权益及隐私权。

某医院是否侵害老徐的个人信息权益及隐私权？

老徐在某医院的病历资料，属于老徐的敏感个人信息和隐私，某医院负有严格管理、保存、保密义务，不得随意泄露给他人。根据现有证据及当事人陈述，王某在向某医院申请调取老徐病历资料时，仅提供了王某本人的身份证，并未提供老徐的有效身份证明、二人之间关系的证明材料及授权委托书，故王某并不符合某医院应当受理并提供病历复印件的法定条件。而某医院在此情况下，且未经老徐本人同意，直接向王某提供老徐的病历资料，不仅未尽到法定的审查义务，亦违反了其作为医疗机构的保密义务，某医院的行为存在过错，违反了民法典第一千二百二十六的规定，构成对老徐个人信息权益及隐私权的侵害。

王某和某医院应如何向老徐承担侵权责任？

一方面，王某去某医院调取老徐病历资料的行为与某医院将老徐病历资料提供给王某的行为存在时空统一性，如缺失任一行为，则无法造成老徐病历资料在其不知情的情况下被泄露的后果。

另一方面，现有证据虽然无法直接证明王某与某医院存在主观的意思联络，但是在一、二审期间，某医院均未向法院提交明确的证据证明王某调取病历资料的时间、提供的材料等。某医院作为专业的医疗机构，对于调取患者病历资料应提供的身份证明及相关授权手续应是明知的，而其仅凭王某本人的身份证，就将老徐的病历资料直接提供给王某，其行为不符合相关规定，明显存在过失。王某作为心智成熟的自然人，应知晓老徐的病历资料属于老徐本人的医疗健康信息，与老徐本人密切相关，如其确系需要将其作为证据提交，应以合法的方式收集和提供证据，而其在未向老徐告知且未经老徐允许的情况下，径行在某医院调取老徐的病历资料，其行为亦存在过错。因此，王某在某医院调取老徐病历资料的行为与某医院将老徐病历资料提供给王某的行为，直接结合造成了老徐病历资料被泄露的损害后果，属于共同侵权，二者应向老徐承担连带赔偿责任。

【法官提示】

在数字化时代，医疗信息的存储、传输和使用变得更加方便，但也容易造成医疗信息被泄露的风险。病历属于医疗健康信息，具体是指医务人员在医疗活动过程中形成的文字、符号、图表、影像、切片等资料的总和，包括门（急）诊病历和住院病历，以及病历归档以后形成病案。病历与患者密切相关且具有可识别性，属于患者的敏感个人信息和私密信息，依法受法律保护。

对于自然人而言，应当尊重其他权利人的个人信息权益和隐私权，在法律无明确规定或未经权利人明确同意的情况下，不得非法收集、使用、传输、提供、公开其他权利人的个人信息及隐私。

对于医疗机构及医务人员而言，负有对患者隐私和个人信息保护的义务，应当建立健全病历管理制度，加强对医务人员的培训和监督，尊重和保护患者的隐私和个人信息安全，避免发生不必要的纠纷。

文/北京青年报记者 戴幼卿
编辑/朱葳
校对/熊伟