先区分信息用途

中医馆日常会接触预约联系方式、收费记录、诊疗资料、患者主动提出的偏好以及活动报名信息。它们不能因为都出现在同一位患者身上，就被统一当作“会员资料”任意使用。机构应先梳理每类信息的来源、用途、保管岗位和保存方式，再决定是否需要系统化记录。诊疗资料由医疗管理流程控制，普通运营信息不能替代病历或医师判断。

设计登记表时逐项问：这项信息是否是当前服务所必需？不收集会不会无法完成预约或诊疗？哪些岗位确实需要访问？患者是否被清楚告知用途？能否到期删除或匿名化？无法回答的问题先不采集。尤其不要以“以后可能有用”为理由，收集疾病史、检查报告、身份证件或家庭成员信息。

按岗位分配访问权限

前台通常需要核对预约、联系和到店安排，不一定需要查看完整诊疗内容；医务人员依据诊疗职责访问专业记录；财务人员处理付款和票据时只访问必要信息；运营人员使用汇总数据时尽量不接触可识别病情的明细。机构应将岗位和权限对应起来，并记录例外授权的原因、批准人和期限。

新员工入职前配置个人账号，不共用密码；岗位变化及时调整访问权限；离职后按交接流程停用账号并收回纸质资料。定期抽查账号清单和操作日志，关注批量查询、下载、打印、权限提升等高风险操作。若发现资料误发或账号异常，不要先删日志或在群聊转发文件，应立即限制扩散、通知负责人并按机构事件流程评估后续处理。

收集、告知和使用要分开

服务需要的联系信息与营销联系应区分用途。患者预约就诊不等于同意接收活动推广；患者留下手机号也不意味着可以将诊疗项目或病情写入普通消息。机构准备发送通知前，确认患者选择的渠道、内容范围和退订方式。提醒应尽量中性，不在锁屏或他人可见处展示敏感信息。

如需把信息用于新的目的，例如将某类服务记录用于运营分析或外部合作，应由机构负责人、数据管理人员和必要的专业顾问评估告知、授权和合规要求。不能只靠员工口头征得同意，也不能把勾选框默认选中。对委托服务商、云平台或短信渠道，要核对处理范围、访问权限、数据存储与事件通知条款，并留存合同和评估记录。

建立留存和删除规则

不同信息可能有不同保存要求，机构应由医疗管理、档案和合规人员结合适用规范确定期限，不能由运营岗位自行设一个统一期限。规则中写明记录类型、保存地点、到期判断、审批人、删除方式和备份副本的处理办法。删除不是把页面隐藏起来；应确认主系统、导出文件、共享盘、打印件和备份中各自如何处置。

患者提出查询、更正或删除请求时，前台先登记请求和联系方式，不直接修改专业记录。由有权限的负责人核实身份、适用范围和处理方式；涉及病历内容的更正应按机构专业制度执行并保留轨迹。不能立即处理时，告知负责部门和预计回复时间。请求处理完成后只记录必要的办理信息，避免在客服备注中复制完整病情。

让一线员工知道怎么做

把规则转成具体情景培训：患者在前台询问他人就诊情况、员工想把名单导入个人手机、患者要求通过社交软件发送报告、员工离职前导出工作资料。每个情景都说明第一步、通知谁、哪些事情不能做。培训后安排抽查，不以签字代替理解；发现问题就修订流程或权限配置。

发生误发、丢失设备或账号异常时，员工应知道如何立即报告、保存必要证据并限制继续访问。负责人评估影响范围和后续沟通，按规定处理；不要让一线员工自行判断“没有后果”或删除相关记录。定期演练可以暴露联系人不清、备份不可恢复和服务商响应不明等问题。

健康信息保护不是系统某个按钮的功能，而是一套持续的治理过程：只收必要信息，按岗位访问，按用途使用，到期有处置，事件有人负责。中医馆在引入数字化工具时，先把信息流和责任边界画清，再评估软件是否支持这些要求。系统能否筛选、导出或提醒应通过真实配置核验，不把产品宣传语当作安全证明。

外包和员工变动也属于数据流程

外包短信、云服务、技术支持和临时运营人员都可能接触信息。签约前列出其能访问的数据、使用目的、保存位置、保密义务、事件通知方式和合作终止后的处理安排；实际权限按最小范围配置。供应商远程排障时，优先用测试数据或受控临时账号，并在结束后关闭权限。员工离职交接应检查工作设备、下载目录、纸质材料和共享链接，不通过私人邮箱转交患者清单。数据责任不能因委托给服务商而从机构管理流程中消失。