亮剑浦江丨上海网信部门处罚一批医疗服务类互联网企业，三大类问题值得关注
2025年，上海市网信办在总结2023、2024年度“亮剑浦江”专项行动有关经验的基础上，联合上海市市场监督管理局及相关行业主管部门继续开展“亮剑浦江·2025”个人信息权益保护专项执法行动。
近期，上海市网信办在专项执法行动中发现，一批医疗服务类互联网企业（主要从事医疗软件开发与维护、医疗服务培训、数字健康服务等）未依法履行 *** 安全、数据安全保护义务，所属系统存在 *** 安全漏洞，被境外IP访问并窃取，发生个人信息泄露情况，反映出部分医疗服务类互联网企业存在个人信息制度不规范不健全、安全防护不严密、存储不合规等问题，上海市网信办根据相关法律法规对一批医疗服务类互联网企业予以行政处罚。现将部分典型问题通报如下。
管理制度方面。部分医疗服务类互联网企业未按照《个人信息保护法》等相关法律法规要求，建立健全个人信息保护内部管理制度。检查中发现，这批被处罚的企业普遍未制定 *** 数据安全管理制度和操作规程，未明确安全负责人或管理机构，未制定数据分类分级管理、数据访问权限管理、应急预案等制度， *** 日志留存不足6个月等问题。
安全防护方面。部分医疗服务类互联网企业信息系统存在安全漏洞风险，未采取切实有效技术措施和其他必要措施，保障 *** 安全稳定运行，有效应对 *** 安全事件，切实维护 *** 数据的完整性、保密性和可用性。经技术检测发现，这批被处罚企业的 *** 信息系统普遍存在未按规定开展 *** 安全等级保护测评，未做访问限制，将数据访问端口开放至互联网，存在未授权访问漏洞。如某企业的 *** 安全高危漏洞达到3个，相关服务器存在多条境外可疑IP访问记录，导致数据被窃取。
存储环节方面。部分医疗服务类互联网企业信息系统中，大量患者个人信息未加密处于“裸奔”状态，存在数据泄露风险隐患。如某企业存储包括姓名、身份证号码、病情、开药信息在内的650余万条患者个人信息，未按规定采取加密、去标识化等安全技术措施。
上海市网信办相关负责人强调，个人信息受法律保护，关乎人民群众切身利益，任何组织和个人不得侵害。下一步，上海市网信办将深入贯彻落实《个人信息保护法》《 *** 数据安全管理条例》等法律法规要求，强化服务意识，为医疗服务类互联网企业开展有针对性的普法培训、合规指导，欢迎属地相关企业积极报名参加。
报名方式：发送“单位名称+联系人+职务+联系方式”至邮箱wxbzfc@shanghai.gov.cn。
（原标题：《亮剑浦江丨上海网信部门处罚一批医疗服务类互联网企业 三大类问题值得关注》）