医疗领域的 PDF：临床记录与患者隐私

一位患者给诊所发来一份扫描的 PDF，是一张旧的出院小结。前台需要在医生看到之前，把它和另外两份报告合并起来。于是他们打开冒出来的第一个免费 PDF 工具，把三份满是诊断、用药清单和一个全国医疗号的文件拖进去，点了合并。

看起来一切正常。合并后的文件下载好了，医生读了，一天照常过去。但那三份文档刚刚离开了诊所，落到了一个陌生人的服务器上，而它们并不是普通文档。

这不是法律或医疗建议。我不是你的数据保护官，每家诊所都有自己要遵守的规则。但在 GDPR 之下，健康数据被装在一个单独、更严格的盒子里，而这会改变你应当如何对待每一份承载它的 PDF。

为什么健康数据被区别对待

在 GDPR 之下，大多数个人数据本就受到保护。健康数据则多了一层。法规称之为特殊类别，它与宗教信仰、性取向和生物识别数据并列。特殊类别数据的基本规则是：处理它原则上被禁止，除非你满足一份简短清单上的某个特定条件，比如患者的明确同意，或由医疗专业人员提供医护服务。

「处理」这个词含义很广。它涵盖读取文件、存储它、修改它和分享它。合并两份报告算。拆分一份记录以便发送其中一页算。压缩一张扫描件好用邮件发出去也算。所以，只要一份健康类 PDF 牵涉其中，你处理的就是法律所承认的最敏感的那一类数据，而对粗心大意的容忍门槛要高得多。

一份临床记录往往还不止包含诊断。里面通常有姓名、出生日期、地址、患者 ID，有时还有保险号。这些信息每一项单独拿出来都能识别身份。再和一种病情捆在一起，它们就拼出了一个人在其最私密时刻的完整画像。

上传网站实际上对你的文件做了什么

当你把那份 PDF 发给一个在线工具时，文件就脱离了你的掌控。它前往一台不是你运行的服务器，在那里被处理，在任何东西回来之前，它可能已经被缓存、排队或复制过了。在 GDPR 之下，那家公司成了代你行事的处理者，而你——诊所或从业者——仍然是对数据负责的控制者。

只要一牵涉到处理者，控制者就立刻背上了实实在在的义务。你需要和那家公司签一份书面合同，写清楚他们能拿这些数据做什么、何时删除它。对于特殊类别的健康数据，你还需要确保整套安排具备恰当的保障措施。一个你通过搜索找到的免费工具，几乎不会给你提供这其中的任何一样。你和他们没有合同，你不知道他们的服务器在哪里，你也说不清还有谁可能碰过这个文件。

健康数据这里还多了一道更锋利的边。如果服务器在欧盟之外，你就完成了一次特殊类别数据的国际传输——而这恰恰是 GDPR 设置最多阻力的那类事。对一张度假照片来说这无所谓。但对于一位患者的肿瘤科报告，你已经悄悄制造了一个自己无法记录在案的问题。

那种你不得不上报的数据泄露

健康记录正是攻击者和数据掮客想要的东西。一段泄露的病史无法像密码那样重置。如果敏感的患者数据通过一个你无法担保的服务暴露了出去，那可能构成一次个人数据泄露，而涉及健康数据的泄露，正是监管机构看得最重的那一类。上报义务、对患者的通知，以及诊所声誉受到的打击，全都由一次粗心的上传招来。

让人窝火的是，任务本身——合并或压缩几个文件——根本就不需要离开办公室。

把文件留在你自己的机器上

办法在这里，而且它比问题本身轻巧。如果 PDF 从未离开你的设备，就没有任何外部处理者碰它。没有要去追的合同，没有要去说明的传输，也没有任何可能泄露它的第三方。你仍然是控制者，仍然对患者负有应尽的照护，但一整层风险干脆就不存在了，因为数据始终待在原地。

这正是那些完全在你浏览器里运行的工具背后的思路。代码在本地、在你电脑的内存里完成工作，文件原地不动。reader.me 就是这么造出来的。当你合并、拆分或压缩一份临床 PDF 时，它是在你的浏览器里被处理的，永远不会到达我们的任何一台服务器。如果你想要证据，打开浏览器的 DevTools，干活的时候盯着 Network 标签，你就会看到没有任何带着你文档的东西被发出去。

对健康类文件来说，有两件日常活儿最为要紧：

• 当一份记录带着密码到来、而你又知道这个密码时，你可以在本地移除那个密码，让文件更容易处理，而不必把它发往任何地方。
• 当你需要把一份记录转发出去、并希望先把它锁好时，你可以就在自己的机器上给 PDF 加密、设上密码，再通过患者预期的渠道分享它。

给诊所、医生和患者的习惯

几条简单的规则，就能让健康类 PDF 远离麻烦：

• 把每一份临床文档都当作特殊类别数据。 出院小结、化验结果、处方、转诊信和知情同意书都算在内，哪怕只是单独一张扫描页。
• 绝不要把患者记录拖进一个随手找来的在线工具。 没有合同、服务器位置不明，那就意味着它拿不到你患者的数据，没有例外。
• 日常活儿默认用在浏览器里运行的工具，比如合并、拆分或压缩。只要它能在本地运行，就没有处理者需要审查，也没有任何东西跨越国界。
• 在发送之前先锁好文件。 给 PDF 加上密码、配一个明智的递送渠道，胜过一个敞开的附件。
• 如果你是患者，就问问你的诊所是怎么处理你的文件的。 这是你的权利。

围绕健康数据的规则听上去很沉重，它们确实沉重，因为数据本身就沉重。但日常的办法却很小。把文件留在你的机器上，使用不上传的工具，这个问题里最沉重的那部分就根本不会落到你头上。如果你想了解上传是如何触发这些义务的更长版本，我另外写过一篇GDPR 与上传 PDF。