工作站风险不止“未锁屏”： 厘清医院终端登录安全法律风险

原创

小话安全
小话安全

小话安全

2026年10月8日 14:38
山东

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

医院里高频发生的执业风险，很多并非来自复杂手术，而是日常工作站的登录使用环节。

风险分为两种情形：一是医务人员离开工位，电脑仍停留在业务系统登录界面，他人直接复用本机已经登录好的账号开展操作；二是电脑桌面已经退出系统，其他人输入账号密码，自行登录本人或者他人的账号进行操作。

不少同事抱有侥幸：“密码我没有主动给他，出事就和我没关系。”但卫健行政执法、医疗纠纷判例告诉我们，这样的想法存在巨大误区。

长沙南湖医院的行政处罚案例真实发生过：一名医生本人在外院住院，他的账号却仍在院内持续生成病程记录。监管查实，科室存在账号混用，其他人员使用该账号书写病历，最终医疗机构被警告并罚款2万元。这不是网络段子，是每一家医疗机构都需要警惕的合规红线。

今天我们就把科室工作站账号冒用场景下，医疗机构、科室负责人、账号所有人、实际操作人、信息科五方责任逐一拆解。

一、核心定性：电子病历账号属于医务人员专属执业身份标识

HIS、电子病历系统账号，相当于医务人员的电子执业印章。

两种违规行为性质同等严重：
✖ 场景A：电脑没有锁屏，直接使用本机已处于登录状态下的他人账号；
✖ 场景B：系统已经退出，通过密码自行登录他人账号。

无论哪一种，只要不是账号本人亲自操作，就属于非本人执业，会直接破坏电子病历真实性。对外，系统操作记录将推定是账号持有人的执业行为。密码是否主动出借，只是责任划分的其中一个因素，不能成为完全免责的挡箭牌。

二、四方人员法律责任清晰拆解

1. 医疗机构：承担首要主体责任

院内出现账号共用、冒用、违规登录操作，医疗机构负有主体管理责任。

问题来源包括：制度缺失、账号管控不严、终端安全策略缺位、审计日志不完善、人员培训不到位。

主要风险后果：

• 卫健部门处罚：警告、1‑5万元罚款；
• 网信部门依据《数据安全法》《个人信息保护法》，针对患者信息安全作出处罚；
• 医疗纠纷诉讼：病历真实性遭受质疑，医院面临举证不利，承担相应民事赔偿。

即便账号被盗用、医务人员本身主观无过错，如果医院技术与管理制度存在漏洞，机构依旧无法免责。

2. 科室负责人：承担科室管理监督责任

科室主任、护士长不直接操作系统，但对本科室工作站使用、人员执业行为负有监督管理义务。

如果科室长期存在账号共用、随意代为登录、离岗不锁屏等不良习惯，没有及时制止整改：

• 院内层面可予以通报批评、绩效扣罚；
• 发生严重不良事件，存在授意、放任情形的，可被认定为负有管理责任。

单纯下属私自冒用账号，科室负责人一般不会直接受到行政处罚，但管理失职会触发内部追责。

3. 账号所有人：最容易踩坑的责任主体

很多人区分不清两种情况：

1. 密码外泄或出借密码，别人自行登录我的账号

未尽账号保管义务，属于典型违规，需要承担相应执业责任。
2. 没有泄露密码，只是离岗没有锁屏，他人复用本机已登录账号

多地处罚案例确认：离岗未锁屏、未退出业务系统，属于没有妥善保管自身执业身份标识，账号持有人同样要承担相应责任。

责任后果：

• 卫健行政处罚：警告、罚款、医师不良执业记分；
• 医疗纠纷：账号生成的病历推定为本人执业行为，如果无法拿出完整证据证明非本人操作，需要承担不利后果；
• 院内处置：通报批评、绩效扣罚、年度考核扣分。

降低自身风险的正确做法：
离岗必须锁屏、退出业务系统；妥善保管账号密码、UKey；一旦发现账号异常登录，第一时间上报医务、信息科，留存审计日志。

4. 实际操作人：实施操作的直接责任人

无论是就地复用他人已登录账号，还是输入密码登录别人账号书写病历、下达医嘱，均属于非本人执业，操作人为直接过错主体，承担主要执业责任，卫健部门可给予行政处罚。

利用他人账号书写病历、模拟诊疗操作，涉嫌非法行医；仅调阅、截屏、导出患者隐私信息，属于违规获取公民个人信息；情节严重外传泄露的，将触及刑事风险。医疗机构同时要被追责：为何无资质人员能够访问业务账号。

民事赔偿上，机构对外赔付之后，可以向直接过错的实际操作人进行内部追偿。

三、信息科权责边界：负责技术防控，不替代人员管理

很多科室会把账号冒用问题全部归责于信息科，这里要厘清权责：信息科负责技术防线，人员纪律、执业行为管理属于医务、科室的职责。

✅信息科必须落实的工作：

1. 终端强制安全策略：业务系统会话超时自动登出，密码错误多次锁定账号，双重防护；
2. 严格执行一人一号，及时停用离职、到期进修实习人员账号，杜绝公用共享账号；
3. 完整留存审计日志：登录账号、终端IP、设备编号、操作时间、操作行为，日志集中存储防篡改，保存周期满足规范，作为事件调查核心证据；
4. 建设异常访问告警：同一账号多终端登录、非工作时段登录、跨科室异常登录及时预警。

❌信息科不承担的责任：

• 医务人员主动泄露密码、出借账号；
• 医务人员离岗人为绕过策略故意不退出系统；
• 科室内部默许人员共用账号的管理问题。

风险提示：如果信息科未落实上面的技术措施，发生安全事件，信息科相关人员会被认定为直接责任人，一并被追责。

四、全院通用三条安全准则，同时覆盖两类登录风险

1. 管好身份凭据：不转借密码、不共享U‑Key，不把账号交由其他人使用；
2. 人离工位必做两件事：退出业务系统、锁定计算机，哪怕短暂离开；
3. 禁止越权登录：无论桌面是否退出，严禁登录使用他人业务账号开展任何操作。

写在最后

电子病历账号不只是一个登录工具，是医务人员的电子执业印章。

风险有两种实现路径：复用本机已登录会话，或是输入凭证另行登录。密码不外借不等于万事大吉，离岗不锁屏同样会打开风险缺口。

制度与系统可以构筑防护，但真正守住安全底线的，是每一位医务工作者的日常操作习惯。