器械代理把医院联系人交给新业务员，岗位交接与患者信息保护怎样区分？

器械代理更换业务员，可以依法交接业务所需的医院联系人和项目状态，但不能把患者名单、病历或检查截图当作普通客户资料一并复制。先分信息种类、处理目的和接收主体，再核合法依据与权限。同公司内部换岗，不自动等于向另一信息处理者提供；更换独立代理或外包主体，则须另审相关提供、委托规则。

一医院联系人档案里，可能混着几类信息

假设佛山器械代理旧业务员把医院项目文件夹交给新人，其中有采购人员工作联系方式、设备安装记录，也有售后故障截图上的患者姓名和检查内容。全部打包最方便，却让新业务人员接触了不一定需要的数据。

医院公开总机或机构地址，未必是自然人个人信息；医生、采购人员的可识别联系方式可能是个人信息；患者疾病、检查及其他健康资料又涉及敏感信息。商业报价和技术资料还可能有其他保密要求，不能只按文件夹名客户资料统一授权。

核信息来源：医院提供、联系人公开、旧员工私人关系或其他来源，适用条件可能不同。客户人员曾给旧业务员电话，不表示同意代理公司任何目的使用；联系人换岗，也需要核资料是否准确及是否仍需保留，不把旧表永久当成当前权限依据。

二岗位换人，交的是任务而非全部私人通信

先确定新人负责哪些医院、订单、售后联络和未完事项，限定必要档案及权限。公司可依法组织业务交接，但不能因此复制旧员工所有私人聊天、通讯录或个人云盘。私人账号里混有业务资料的，应合法定向整理，不以业务需要扩大到无关信息。

同一公司按原合法目的分配内部岗位权限，与将资料交给独立经销商或其他公司不同。前者要核授权、必要性及安全；后者应核接收者角色和《个人信息保护法》有关规则，不能因为新业务员以前在公司工作就仍按内部处理。

员工交接记录说明资料范围、用途、接收人和账户权限，不要求新人签一份承诺就可以无限接触。保密义务是控制措施之一，不代替处理数据的合法依据。交接本身也不能修复最初非法收集的资料。

三患者信息为什么不能按联系人表转交

《个人信息保护法》第二十八条将医疗健康等纳入敏感个人信息，处理须有特定目的、充分必要性及严格保护措施。第二十九、三十条涉及单独同意和特别告知等要求，还须结合第十三条等法定处理依据判断，不能只靠一份医院合同概括一切患者信息权限。

业务员需要向设备科约安装，不必获得患者完整病历；售后工程师核故障，可能需要设备参数或特定日志，也不自然需要全部诊疗资料。先查技术问题能否在不识别患者的条件下解决，确需处理时依法核必要范围及相应义务。

医院允许供应商远程维护，与允许把患者资料转作销售资源不同。企业曾收截图，也不表示允许永久保存在业务员私人手机。对患者资料的必要性，应与具体任务对应，不用越多越方便的理由代替审查。

四委托处理和向其他主体提供，别只用同一张授权

企业在医院委托下处理个人信息的，第二十一条要求约定目的、期限、方式、种类、保护措施及权义并实施监督，受托方不能超约定处理。实际接收主体和处理关系要核，不能只见供应合同就推定已经覆盖全部数据活动。

需要转委托其他技术服务方的，依法核医院等处理者同意和相关条件；企业自己决定另作营销目的，更不能仍声称只受托维修。向其他个人信息处理者提供，则有第二十三条等相应要求，须结合具体处理依据履行，不把内部换岗或外部转交混为一谈。

委托结束应依法处理返还或删除等事项，不能让离岗人员因曾参与售后一直保留患者副本。合法档案、法定保存或争议保全，需核具体依据与受控方式，不借留证名义继续无关使用，也不在依法应保全时直接清空原记录。

五遮掉姓名之后，还能不能识别人

截图去掉名字，可能仍有病历号、影像标识、日期、其他关联信息。若仍可识别自然人，就不能简单称已经匿名。应由相应人员核去标识效果和用途，防止新人拿处理后的图片继续匹配患者身份。

建立业务联络、设备技术及患者相关资料的访问分层。业务员只获得必要项目进展，涉及敏感信息的任务由具备权限人员处理，并记录访问、导出和外发。共享密码会使后来无法区分行为，不应以同部门为由共用所有账号。

外发报告、演示材料及培训样例也需核。业务员将维修截图放进客户群，不因为群里都是医院人士就当然合法。可以使用合适不含患者信息的技术说明，不能为了说明设备效果随意展示真实健康资料。

六撤旧权限，与资料清理同步完成

新人获得权限后，按实际职责撤销旧人员不再需要的访问，核远程账户、下载文件、同步盘及曾外发副本。删除联系人表不等于后台权限已经失效，旧员工继续负责另一项目的也不应全部一刀切，应依法按职责调整。

依第五十一条等落实分类、安全及操作权限。需要保存的资料放在受控系统，个人副本依法处理并留实际记录。不要让旧业务员把个人账号密码整套交出去，也不让新业务员用他人身份登录继续操作。

发现误转患者资料，先依法控制扩散、核接收范围和真实访问，保存必要证据并采取补救。第五十七条对发生或可能发生泄露等的措施及通知有规定，其中通知个人也有法定条件和例外，应依法判断，不声称只要删群消息就没有后续义务。

七佛山孟翔律师实务提醒

佛山器械代理可以选一个实际医院项目，逐项问新岗位是否需要、来源及目的是否合法、是否含患者信息、谁有权接收。把销售联络与维修数据分别交接，新人能接续工作，也不被默认授权接触全部敏感资料。

企业法律顾问复核交接，应同时核内部权限与外部委托。发生争议时保留来源、授权、访问及补救记录，不用医院联系人四字概括患者数据，也不依靠员工保密承诺替代合法处理。

可核对[《个人信息保护法》处理依据、委托、敏感信息和安全义务](https://www.cac.gov.cn/2021-08/20/c_1631050028355286.htm)。真实接收主体、用途及信息范围不同，处理要求也需分别审查。

孟翔律师，广东佛山执业律师，广东尚尧律师事务所执行主任，兰州大学法律硕士，长期关注企业法律顾问、合同商事纠纷及医疗业务数据合规。