联系我们：19113907061
联系我们
能放——但只放「境内 + 合规云平台」。法规禁的不是公有云，而是境外存储、无资质托管和责任不清。这篇把病历数据上云的合规边界一次划清。
① 境内存储数据不出境禁境外存储/托管/租赁；确需出境须先过安全评估
② 平台合规等保三级云平台互联网诊疗平台按等保三级及以上建设；平台资质先核验
③ 责任厘清委托共担写入协议诊所仍是第一责任人；权责、应急、退出机制白纸黑字
④ 留存够期门诊 15 年 · 住院 30 年互联网诊疗病历 ≥15 年；图文、音视频过程记录 ≥3 年
图 1 病历数据上公有云的四条合规边界：境内、平台、责任、留存
GB/T 39725-2020《信息安全技术 健康医疗数据安全指南》把健康医疗数据按泄露危害分五级。分级决定上云后的管控强度：级别越高，访问范围越小、审计越严。诊所日常接触的诊疗数据，大多落在第 4 级。
| 级别 | 数据特点 | 典型例子 | 上云管控要点 |
|---|---|---|---|
| 第 1 级 | 可公开发布 | 剩余床位、可约号源 | 公开前需评审，无个人标识 |
| 第 2 级 | 不需识别个人 | 一般人口信息、病种统计 | 宜去标识化，协议管控共享范围 |
| 第 3 级 | 个人可识别、周边人不易识别 | 门诊叫号、排队序号 | 信息部分遮蔽，限制环境与接收人 |
| 第 4 级 | 必须准确识别个人 | 完整病历、处方、检验检查报告 | 严格访问控制 + 全程审计，最小范围使用 |
| 第 5 级 | 特殊病种诊疗必需 | 艾滋病等特殊疾病详细资料 | 严格身份鉴别，仅限极小范围人员 |
| 数据类型 | 能否上公有云 | 条件与做法 |
|---|---|---|
| 统计与运营类（第 1—2 级） | 可以 | 去标识化后上云，用于报表、经营分析，不触碰个人原始病历 |
| 诊疗业务类（第 4 级） | 可以，须管控 | 境内合规云平台 + 等保三级 + 加密存储 + 账号权限分级 + 操作留痕；HIS/EMR 上云走这条 |
| 特殊病种与基因组类（第 5 级） | 严管 | 原则上不出最小范围系统，确需上云须专项评估与主管部门沟通，一般建议留在本地 |
| 模式 | 适合谁 | 做法与注意 |
|---|---|---|
| SaaS 云 HIS | 单体诊所、连锁门诊 | 直接订阅服务商的云 HIS，数据在服务商云端；重点核服务商资质、等保备案与数据归属条款 |
| 自建系统上 ECS | 有信息化人员的诊所 | HIS/EMR 部署在阿里云 ECS + RDS，数据自己掌握；配 VPC 隔离、KMS 加密、WAF 与云安全中心 |
| 混合云 | 多点执业、有检查设备的 | 影像等大文件放云端，核心病历本地留存副本；专线或加密通道回传，定期演练容灾恢复 |
| 数据类别 | 保存年限 | 依据 |
|---|---|---|
| 门诊病历 | ≥ 15 年 | 《医疗机构病历管理规定》（2013 年版） |
| 住院病历 | ≥ 30 年 | 《医疗机构病历管理规定》（2013 年版） |
| 互联网诊疗病历记录 | ≥ 15 年 | 《互联网诊疗监管细则（试行）》第十九条 |
| 图文对话、音视频等过程记录 | ≥ 3 年 | 《互联网诊疗监管细则（试行）》第十九条 |
| 资质项 | 看什么 | 阿里云公开口径（检索于 2026-11-12） |
|---|---|---|
| 等保备案 | 云平台等保三级 | 云 HIS 方案官网标注「等保三级的云平台」；公共云等保三级、金融云等保四级多年实践 |
| 信息安全体系 | ISO 27001 等 | 持有 ISO 27001、27017（云服务）、27018（PII 保护）、27701（隐私信息管理） |
| 医疗专项 | ISO 27799 | 平台认证覆盖 ISO 27799《医疗卫生组织信息安全实用规则》与 HIPAA 合规安全体系 |
| 国际公信力 | CSA STAR | CSA STAR 金牌认证；SOC 审计报告；ISO 22301 业务连续性 |
| 隔离与加密 | VPC + KMS | VPC 专有网络隔离，分布式存储分割加密；数据库与对象存储可配加密与访问管控 |
① 合规评估定级备案与差距分析数据分级梳理、等保定级建议与现有系统合规差距清单
② 方案落地架构与安全加固VPC 隔离、加密、备份容灾设计HIS/EMR 上云与等保整改
③ 迁移陪跑割接演练与制度配套灰度割接、恢复演练、人员培训制度模板与应急预案交付先过合规关，再谈上云——医疗数据没有「先上再补」这个选项。
图 2 医疗机构上云三环节：合规评估、方案落地、迁移陪跑
| 能力维度 | 可核查事实 |
|---|---|
| 阿里云授权 | 2016 年起阿里云合作伙伴；2017 年成都、2023 年拉萨区域授权 |
| 交付与资质 | 团队全员阿里云 L3，ISO 三体系认证，两届阿里云奖项，覆盖 8 大行业 |
| 真实项目 | 2019 年与阿里云共建西藏阿里地区远程诊疗平台（中国日报网 2019-08-30 报道，1 个月云端建成、可远程维护）；2015 年四川某医疗项目；2018 年某新闻类 App 异地容灾 |
| 医疗上云服务 | 数据分级梳理、等保定级与整改、HIS/EMR 上云与混合云架构、备份容灾演练；配合属地监管部门要求出具技术方案 |
请用手机扫码查看分享内容
云连万物，助力客户以云为基础的数字化转型
在线咨询
客户留言
电话联系
回到顶部