窃取患者信息并出售，可查证的获利为10800元，最终被判承担的公益损害赔偿金却达到150万元。
非法窃取并处理大量患者信息，两名被告被判承担150万元公益损害赔偿金。图片由AI生成
11月2日，最高人民检察院发布依法保护公民个人信息典型案例。其中，王某某、林某某非法入侵一家三甲肿瘤专科医院服务器，窃取患者资料及医疗数据385万余条，转移至境外服务器，并出售部分数据牟利。该案由广州市越秀区人民检察院提起民事公益诉讼，广州互联网法院判决支持检察机关全部诉讼请求，目前判决已生效。
身份资料与处方关联，能够追溯到具体患者
2022年4月至2024年2月，王某某、林某某运用“爬虫”程序，非法入侵医院服务器，将窃取的数据迁移至境外服务器运行、存储达半年之久。
2024年4月，广州市越秀区检察院履职中发现线索，以民事公益诉讼立案调查。经查，涉案信息共3858671条。其中，患者个人信息255443条，包括姓名、性别、住址、电话号码、身份证号码等；另有门诊处方数据2455838条、住院处方数据1147390条，涉及药品名称、用药剂量、频次、用法及病人状态等内容。
单凭姓名、身份证号码可识别个人，但庞大的医疗数据能否对应到具体患者，是案件认定的重要环节。经广州市检察院司法鉴定中心鉴定，门诊、住院医嘱数据可以通过身份证字段，与患者个人信息建立对应关系，精准追溯至特定患者。因此，这些数据属于法律明确保护的医疗健康类敏感个人信息。
医疗健康信息，法律要求严格保护
患者在接受诊疗活动中提交的身份资料、检查结果和处方，是为了保障医疗服务，并不意味着可以被他人任意获取和出售。
《中华人民共和国个人信息保护法》第二十八条将医疗健康信息列入敏感个人信息范围。这类信息一旦泄露或者被非法使用，容易导致人格尊严受到侵害，或者人身、财产安全受到危害。法律要求，只有在具有特定目的、充分必要性并采取严格保护措施的情形下，方可处理敏感个人信息。
本案中，检察机关认定，两人非法获取、处理个人信息，侵害了众多不特定患者的合法权益，危害国家数据安全和公共卫生安全。
患者个人通常难以掌握医院后台的数据流向，更难逐一确认哪些资料被复制、转移。《中华人民共和国个人信息保护法》第七十条明确：“个人信息处理者违反本法规定处理个人信息，侵害众多个人的权益的，人民检察院、法律规定的消费者组织和由国家网信部门确定的组织可以依法向人民法院提起诉讼。”
此次由检察机关提起公益诉讼，正是为了针对此类侵害众多个人权益、损害社会公共利益的行为。
赔偿数额，不只看卖数据赚了多少
本案可查证的获利仅为10800元。越秀区检察院认为，如果据此确定公益损害赔偿金，不能真实反映公共利益受损情况。
检察机关以信息敏感程度为核心基准，将处理数量、波及范围纳入考量，并综合评估修复成本、数据承载的公共利益、行为人的主观过错，以及数据出境带来的监管和治理成本，确定请求承担的公益损害赔偿金为150万元。
对于医疗信息泄露而言，数据可以被反复复制、传播，已查明的一笔交易收入，既不等于信息的全部价值，也不等于受侵害权益的损失。一旦数据转移至境外，追查流向、控制后续使用和修复损害还会更加复杂。
2025年4月9日，越秀区检察院向广州互联网法院提起民事公益诉讼，请求判令两被告承担150万元公益损害赔偿金，并在省级以上媒体或者具有同等影响力的互联网媒体上公开赔礼道歉。2026年8月24日，法院作出一审判决，支持全部诉讼请求。
数据越集中，访问权限越要管严
医院积累的诊疗数据在医疗、科研等方面具有重要价值，也集中承载着患者的隐私和信任。数据关联分析能提升医疗服务质量，但同样的关联能力落入非法获取者手中，则可能使分散的信息拼出具体患者的健康状况。
《中华人民共和国个人信息保护法》第五十一条要求，个人信息处理者根据处理目的、信息种类、可能存在的安全风险等，采取分类管理、加密、去标识化、合理确定操作权限等措施，防止未经授权的访问以及信息泄露、篡改、丢失。
这要求保护工作落实到日常管理：哪些人员可以访问，哪些操作能够批量导出，异常访问能否及时发现，都直接影响到患者信息的安全。
本案中，技术鉴定把看似分散的资料与具体患者对应起来，也让损害的范围得以确认。对医疗信息的保护，需要看到每条数据背后具体的人，更要在数据被批量取走之前，守住访问、导出和异常处置的关口。
（本文根据最高人民检察院发布的典型案例、广州日报相关报道，并结合《中华人民共和国个人信息保护法》等资料整理）