诊所运营
针灸与中医诊所隐私合规检查清单
作者：Aura Cure 团队
8 分钟阅读
小型针灸诊所处理的敏感数据并不比大诊所少，只是 IT 人手更少。这份清单把隐私原则变成每周习惯，帮助关注 HIPAA、PIPEDA、GDPR 的诊所更安全地运营。
目录
小型中医诊所的「合规」指什么
定义：隐私合规是一组政策与日常行为，确保受保护健康信息（PHI）仅被授权人员用于授权目的。针灸与中医诊所的 PHI 包括病历、初诊表、账单、绑定身份的方剂清单，以及可能透露就诊的评价邀请邮件。
本文为教育性内容，不构成法律意见。各地法规不同（如美国 HIPAA、加拿大 PIPEDA 与省规、欧盟/英国相关场景下的 GDPR）。把它当作运营清单，再向律师或行业协会确认。
权限控制与角色卫生
- 每人独立账号，禁止共用「诊所」密码。
- 按角色授权：前台 / 医师 / 负责人。
- 员工离职当日关闭权限与远程访问。
- 尽可能开启多因素认证。
- 大批量 PDF 导出后抽查访问记录。
设备、打印与前台
离开锁屏；优先用 EMR 移动端而非截图；粉碎打印的排班与账单；显示器避开候诊视线；初诊平板自动锁定并集中充电保管。
供应商与业务伙伴
盘点接触 PHI 的工具：EMR、邮件、短信、支付、记账、AI 病历。确认协议与安全姿态。选择面向诊所的 EMR（如 Aura Cure）比用表格和消费级网盘更稳妥。
培训与事件响应
每位新人做 30 分钟隐私培训：钓鱼、U 盘、咖啡馆闲聊、发错短信。准备一页事件预案：联系谁、如何止损、如何通知。每年做一次桌面演练。
重点总结
- 独立账号、角色权限、当日离职关闭。
- 锁屏、碎纸、遮挡屏幕。
- 把 PDF 导出与邮件当 PHI 流程。
- 盘点接触患者数据的供应商。
- 培训员工并保留简单事件预案。
常见问题
个人开业也要正式政策吗？
需要。至少书面规定权限、留存、泄露与设备规则。规模小并不免除健康数据义务。
可以发短信提醒预约吗？
在取得同意且内容最小化时通常可以（如「明日 14:00 提醒」）。短信避免写诊断。
导出的 PDF 放哪里？
放在加密的诊所存储并有访问记录，不要放在个人下载文件夹或消费级相册。
Aura Cure 如何支持隐私？
Aura Cure 面向诊所记录设计了 HIPAA/PIPEDA/GDPR 相关保障。请阅读 隐私政策 并为团队配置角色。
