销售代表进入医院科室收集设备数据，企业如何控制最小必要范围？

销售代表入院收集设备数据，应先确定本次任务，再逐项说明所需字段、时间范围和接收人员。能够用故障码或院内汇总解决的问题，不宜整包复制患者记录。涉及可识别个人的信息，还要核对合法处理基础及院方审批；科室同意接待、企业拥有设备技术，都不能单独证明有权将数据带回公司。

一维修工单与销售调研，应分开批准

假设佛山一家医疗器械企业为珠三角医院的检验设备处理间歇性报错，销售代表预约进科室，拟拍摄故障页面并复制运行日志。业务经理又希望顺带了解每位医生的使用量，以便安排耗材推广。同一次拜访包含了排障和营销两个目的，数据需求不能合并成一句收集设备使用情况。

企业可让售后工程负责人先说明故障分析需要什么：设备型号、软件版本、错误代码、出现故障的时间段，还是某个检测参数。销售部门如需分析产品需求，应另行说明能否只接收经院方批准的科室级汇总。营销希望取得更多信息，并不能证明维修任务需要这些信息；即便医院愿意提供，也需审查其提供权限和涉及个人信息时的合法基础。

《个人信息保护法》第六条要求目的明确合理、处理与目的直接相关，并限制收集范围。落实到一张工单，可以要求申请人回答：删除这个字段后，哪一步故障判断会受到影响？如果只能回答将来可能有用，就应暂缓纳入。涉及产品质量调查或依法履行报告义务时，可另行核定必要字段和处理依据，不应借售后访问取得不受限制的长期数据入口。

二从导出文件判断范围，不能只看文件名

名为设备日志的文件，可能同时含有样本编号、检测结果、操作账号或患者信息。审批前宜由技术人员在测试环境检查导出结构，再与院方获授权人员核实现场版本的实际字段。附件、隐藏工作表、文件属性和自动附带截图也应纳入核对，避免审批单只列主表，导出包却多带了一层明细。

下面这些对象需要分别判断，不能按一个设备数据标签放行：

依该法第四条及第七十三条，能识别个人的信息与真正匿名化的信息适用边界不同。删除姓名后仍可通过样本编号与院内表格对应患者的，不能仅凭去名处理认定已经匿名化。汇总表若只涉及极少数患者，也要考虑时间、科室和病种组合是否仍能识别人。确认不涉及个人信息的数据，仍需遵守院方数据安全管理、合同和其他适用要求，不能理解成企业可以自由复制。

表中的缩减方式是企业可采用的管理方案，并非法定统一字段目录。某项故障确实需要更细的数据时，工程人员应提交技术理由与替代方案比较，由有权人员重新审查范围。批准一次扩大采集，不应使后续所有工单默认沿用扩大的权限。

三院方许可、合法基础与处理角色要分别核对

进入科室、接触医院网络和导出医院数据，是不同的管理事项。《医疗卫生机构网络安全管理办法》要求医院管理第三方人员接触网络，并设置数据使用审批程序。企业应确认本次申请是否完成业务管理部门同意、医疗卫生机构领导核准等适用流程，保留审批与任务的对应记录。医生口头说可以复制，尚不足以证明相关程序已经完成。

能够识别患者的医疗健康信息属于敏感个人信息，处理需符合特定目的、充分必要性和严格保护要求。对以同意为基础的处理，应核对单独同意及相应告知；确有《个人信息保护法》第十三条第二项至第七项规定的其他合法基础时，按该条审查，无需一概要求补签同意。企业与医院签订维修合同，本身不能直接套用个人作为合同一方的必要处理规则，证明可以收集患者数据。

企业仅按医院确定的目的和方式协助排障时，应核对是否构成委托处理，并依第二十一条约定数据范围、处理指令、期限和保护措施，接受医院监督。企业要自行拿患者明细研发产品或建立营销数据库，已超出原排障任务，应重新识别双方角色和合法路径。涉及向其他个人信息处理者提供的，需按第二十三条并结合第十三条审查告知、单独同意等要求，不能仅在原工单备注增加用途。

涉及敏感个人信息、委托处理或向其他个人信息处理者提供等法定情形，应在处理前开展个人信息保护影响评估。院方作为个人信息处理者时承担相应义务，企业作为受托人应提供技术说明并协助；企业自主决定处理目的和方式时，也要审查自身义务。评估应具体回答院内排查、缩短时间窗口或减少字段能否达到同样目标，不能只附一份盖章保密协议。

四销售人员需要拿到什么结果，决定账号开到哪一层

销售代表负责预约和反馈进度，不必据此获得患者记录的下载权限。企业可以把现场任务分给有相应能力且经过授权的技术人员，销售只收到故障类别、处理进展和客户已确认的服务结果。若销售代表同时承担获授权的技术任务，仍要按实际任务设置访问范围，不能凭岗位名称推定一律禁止或一律允许。

在院方确认的流程内，可采用限时账号、指定终端、限定目录和禁止批量导出等控制。是否能够在现场看见数据，也应纳入授权，不能把只看不带走当作免审查理由。借用医护人员账号会混淆操作主体，应为实际操作人保留可追溯的身份记录。企业内部的排障平台也应限制接收人员，避免技术文件默认进入销售客户管理系统。

涉及截图或远程协助时，应检查私人手机相册同步、聊天软件自动下载及云盘备份。照片发送给工程师后，若又进入多个工作群，原来批准的一名接收人就变成了一组无法逐一确认的人。企业可要求使用批准的传输渠道，记录发送人、接收人、工单号和文件范围；确需更换支持人员时同步调整权限。上述措施是基于具体风险的操作建议，法律并未为所有设备规定同一套账号配置。

新版本导出功能上线后，还应重新抽查文件。旧版本只输出运行参数，新版本可能默认加入患者姓名或新增附件。法务批准过字段表，并不能证明后续软件始终按该表导出，技术测试与审批范围需要持续对应。

五文件进公司时再查一次，误收后保留处置轨迹

接收人员可在受控环境核验字段是否超出工单，确认后再交给排障人员。发现患者名单或整段病历混入时，应暂停业务使用、限制访问，联系院方与企业合规负责人查清传输路径，并确定返还、删除等处理安排。不要为了检查误收范围，再把完整文件转发给更多人讨论。

若发生或者可能发生个人信息泄露、篡改、丢失，个人信息处理者应依第五十七条立即采取补救措施，并履行向主管部门和个人通知的义务；受托企业需协助院方处置。是否具备不通知个人的法定条件，要依据补救效果和法律规定判断，不能由销售自行以对方未投诉作为结案理由。为追查误收应保存必要操作记录，原始患者数据的保留范围则另行审查，避免以留证为由无限期留存全部文件。

任务结束后，依处理角色和约定落实返还、删除及权限回收；存在法定保存期限未届满或技术上难以删除的情况，按第四十七条限制后续处理。内部设定的工单期限应与适用义务相衔接，不能随意改成永久保存供产品优化。发生范围争议准备发函或追责前，可核对申请字段、批准字段和实际导出字段的差异，再结合账号日志确认何时由谁扩大了范围。

六佛山孟翔律师实务提醒

孟翔律师，广东佛山执业律师，广东尚尧律师事务所执行主任，兰州大学法律硕士。

对安排销售人员进入医院的医疗器械企业，建议在下一次拜访前选一张具体维修工单，让售后工程人员演示实际导出文件，再由销售负责人说明自己需要接收的服务结果。若演示发现销售只需知道是否修复，账号却能下载患者检测明细，应先收紧权限，再安排现场任务。将这一检查写入入院任务审批，比在离院后补签一份笼统保密承诺更能减少无关信息被带走的机会。

法律依据：[《个人信息保护法》](https://www.cac.gov.cn/2021-08/20/c_1631050028355286.htm)；[《医疗卫生机构网络安全管理办法》](https://app.www.gov.cn/govdata/gov/202208/31/488953/article.html)。