窃取肿瘤医院385万条患者信息 二人被判赔150万元

11月2日，最高人民检察院发布一批依法保护公民个人信息典型案例。其中，王某某、林某某非法窃取某三甲肿瘤医院患者医疗健康信息超385万条，经广州市越秀区人民检察院提起民事公益诉讼，二人被判赔150万元。

“爬虫”入侵服务器 数据出境半年

据了解，2022年4月至2024年2月，王某某、林某某在互联网上运用“爬虫”程序，非法入侵某三甲肿瘤专科医院的服务器，窃取包括“患者个人信息”“门诊医嘱数据”“住院医嘱数据”等信息共计3858671条，将其迁移至境外服务器运行和存储达半年之久，并将部分医疗数据出售牟利。

破解“可识别性”认定难题

2024年4月，越秀区检察院在履职中发现本案线索，以民事公益诉讼立案并启动调查。经查明，非法窃取的信息中，255443条“患者个人信息”包括姓名、性别、住址、电话号码、身份证号码等，具有可识别性和关联性；2455838条“门诊处方数据”和1147390条“住院处方数据”涵盖药品名称、用药剂量、频次、用法、病人状态等。

经广州市人民检察院司法鉴定中心鉴定，“门诊医嘱数据”“住院医嘱数据”可通过身份证字段与“患者个人信息数据”建立对应关联，可精准追溯至特定患者，属于法律明确保护的医疗健康类敏感个人信息。检察机关通过技术鉴定，破解了医疗健康类敏感个人信息“可识别性”“关联性”的认定困境。

获利仅万元 赔偿定150万元

该案可查证的获利金额仅为10800元。越秀区检察院审查认为，据此确定公益损害赔偿金不能真实反映公共利益受损情况，综合考量数据量大、敏感程度高、波及面广、修复成本较高，以及数据出境冲击公共秩序等因素，确定公益损害赔偿金为150万元。

2025年4月9日，越秀区检察院向广州互联网法院提起民事公益诉讼。广州互联网法院于2026年8月24日作出一审判决，支持检察机关全部诉讼请求，判决已生效。

从“爬虫”窃取到跨境存储，这起案件以公益诉讼的方式，为医疗健康数据的全链条保护划出了清晰红线。

（综合来源：南方网）