处罚案例 |上海网信部门处罚一批医疗服务类互联网企业 三大类问题值得关注

管理制度方面。部分医疗服务类互联网企业未按照《个人信息保护法》等相关法律法规要求，建立健全个人信息保护内部管理制度。检查中发现，这批被处罚的企业普遍未制定网络数据安全管理制度和操作规程，未明确安全负责人或管理机构，未制定数据分类分级管理、数据访问权限管理、应急预案等制度，网络日志留存不足6个月等问题。

安全防护方面。部分医疗服务类互联网企业信息系统存在安全漏洞风险，未采取切实有效技术措施和其他必要措施，保障网络安全稳定运行，有效应对网络安全事件，切实维护网络数据的完整性、保密性和可用性。经技术检测发现，这批被处罚企业的网络信息系统普遍存在未按规定开展网络安全等级保护测评，未做访问限制，将数据访问端口开放至互联网，存在未授权访问漏洞。如某企业的网络安全高危漏洞达到3个，相关服务器存在多条境外可疑IP访问记录，导致数据被窃取。

存储环节方面。部分医疗服务类互联网企业信息系统中，大量患者个人信息未加密处于“裸奔”状态，存在数据泄露风险隐患。如某企业存储包括姓名、身份证号码、病情、开药信息在内的650余万条患者个人信息，未按规定采取加密、去标识化等安全技术措施。