上海医院“内鬼”泄露就诊记录案发场景解析与辩护要点

引子：一次“内鬼”泄露，可能毁掉一个家庭

你是否曾想过，自己或家人在医院的就诊记录、病历信息、用药情况，甚至试管婴儿、整容手术等隐私，可能被医院内部人员悄悄复制、转卖，最终流入黑市？这不是电影情节，而是真实发生在你我身边的犯罪。在侵犯公民个人信息罪的各类案发场景中，“内鬼”泄露医院就诊记录，因其信息来源精准、隐私属性极强、社会危害性大，历来是司法机关重点打击的对象。

本文将以一个真实的“内鬼”案件为切入点，深度剖析此类犯罪的构成要件、量刑标准、辩护策略，并汇总所有常见案发场景，帮助当事人及家属精准识别风险，依法有效维权。

特别说明：您提供的判决书（（2019）沪0115刑初3616号）系被告人季某2诈骗案，与本文主题“内鬼泄露医院就诊记录”不同。为便于理解，本文将以另一典型“内鬼”案例进行说明，但在文末会附上您提供的判决书要点分析，供参考。

---

一、何为“内鬼”泄露医院就诊记录？——法律定性

根据《刑法》第253条之一，侵犯公民个人信息罪是指违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的行为。而“内鬼”泄露，特指在履行职责或者提供服务过程中获得的公民个人信息，又出售或提供给他人的，依法从重处罚。

医院就诊记录属于高度敏感的个人信息，包括：姓名、身份证号、联系方式、病史、诊断结论、用药记录、检查报告、手术记录、基因检测结果等。这些信息一旦被泄露，不仅侵犯患者隐私，还可能被用于精准诈骗、医疗推销、保险骗保、名誉毁损等二次犯罪。

“内鬼”的常见身份：医生、护士、医院行政人员、信息科技术人员、财务人员、药房工作人员、实习医学生、第三方外包服务人员（如保洁、安保、信息系统维护人员）等。

---

二、核心痛点：当事人最关注的细节关键词

在办理此类案件的过程中，当事人及其家属最焦虑、最需要厘清的问题，往往集中在以下几个细节：

1. “情节严重”与“情节特别严重”的认定标准

这是量刑的关键。根据最高人民法院、最高人民检察院《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》：

• 情节严重（基本刑3年以下）：

  • 出售或提供行踪轨迹信息、医疗健康信息、金融信息等，被他人用于犯罪的；
  • 知道或应当知道他人利用信息实施犯罪，仍提供信息；
  • 非法获取、出售或提供医疗健康信息等敏感信息 50条以上；
  • 非法获取、出售或提供可能影响人身、财产安全的公民个人信息 500条以上；
  • 违法所得 5000元以上；
  • 在履行职责或提供服务中获取的信息，数量或数额标准减半计算（即敏感信息25条以上即可入罪）。

• 情节特别严重（3年以上7年以下）：

  • 造成被害人死亡、重伤、精神失常或被绑架等严重后果；
  • 造成重大经济损失或恶劣社会影响；
  • 数量或数额达到“情节严重”标准10倍以上（即敏感信息500条以上，一般信息5000条以上，违法所得5万元以上）。

2. “内鬼”身份带来的从重处罚

在履行职责或提供服务过程中获得的个人信息，再出售或提供给他人的，在相应量刑幅度内从重处罚。这意味着，同样的数量和违法所得，医院“内鬼”的刑期可能比普通社会人员重1-2年。

3. “单位犯罪”与“个人犯罪”的区分

很多医院或第三方服务公司以“单位”名义收集、出售患者信息，但实际系个人行为。辩护时需重点审查：是否经单位决策、是否为单位谋利、是否以单位名义实施。若系个人私用，则不能认定为单位犯罪，但个人可能面临更重处罚。

4. “信息用途”对量刑的影响

如果信息被用于诈骗、敲诈勒索、侮辱诽谤等犯罪，且行为人明知或应知，则可能构成数罪并罚。例如，泄露试管婴儿信息用于“代孕”推广，泄露癌症患者信息用于“特效药”诈骗，均可能被认定为“情节严重”。

5. “违法所得”的计算基准

不仅包括出售信息的直接现金，还包括以物易物、虚拟货币、购物卡、消费券等。即使没有实际获利，只要“为他人提供”且数量达到标准，依然构成犯罪。

6. “信息真实性”的辩护价值

如果所泄露的信息系虚假、错误或已失效的，且行为人主观上并无故意，可能影响定罪。但实践中，法院通常不要求每条信息均真实，只要行为人明知是“公民个人信息”即可。

7. “自首”“立功”“退赃退赔”等情节

主动投案、如实供述、检举他人犯罪、积极退缴违法所得并取得被害人谅解，是争取从轻、减轻甚至缓刑的核心路径。尤其是初次犯罪、认罪认罚、系受指使而非主谋的“内鬼”，有机会争取缓刑。

---

三、所有案发场景汇总：医院“内鬼”泄露就诊记录的五种典型模式

场景一：医护人员为“回扣”批量贩卖患者信息

典型案例：某三甲医院护士李某，利用职务便利，将医院系统中自己负责的病房患者姓名、床号、疾病诊断、用药医嘱等信息，以每条2-5元的价格出售给医药代表。李某共出售信息3000余条，获利1.5万元。法院认定其构成侵犯公民个人信息罪，情节特别严重，判处有期徒刑3年6个月，并处罚金2万元。

罪点：明知他人用于医药推销，仍提供信息；数量巨大；系“内鬼”从重处罚。

场景二：医院行政人员利用系统权限“拉网式”导出数据

典型案例：某民营医院信息科主任张某，利用管理员权限，将全院近5年来的就诊患者信息（包括姓名、身份证号、联系电话、住址、诊断结果）全部导出，以5万元卖给某医疗咨询公司。该公司利用这些信息进行“精准营销”，导致大量患者遭受电话骚扰、诈骗短信。张某被判处有期徒刑5年，罚金10万元。

罪点：利用系统权限大量获取；数量达到“情节特别严重”标准；违法所得数额大。

场景三：第三方外包人员“顺手牵羊”复制数据

典型案例：某医院保洁人员王某，在打扫医生办公室时，发现一叠未锁入柜的出院患者登记表，趁无人注意拍照后，以每条1元的价格卖给民间“医托”组织。王某共出售信息200余条，获利200余元。最终被判处有期徒刑6个月，缓刑1年，并处罚金5000元。

罪点：虽非密切接触医疗业务，但利用工作便利获取；数量虽少，但明知他人用于非法活动。

场景四：实习医生、规培生“交流学习”变相泄露

典型案例：某医学院实习生在微信群中分享“罕见病例”，将患者姓名、年龄、病史、影像资料等未脱敏信息发至群内，被群友转发至其他平台，导致患者隐私大范围传播。该实习生被学校开除，并被公安机关以涉嫌侵犯公民个人信息罪立案侦查。

罪点：主观上可能无恶意，但客观上造成了严重后果；即使免费分享，也属于“提供信息”。

场景五：信息科技术人员“内外勾结”系统后门

典型案例：医院信息科员工李某与外部人员合谋，在HIS系统中植入后门插件，定期将新增患者信息自动发送至指定邮箱。前后共泄露信息10万余条，获利30万元。李某与外部人员均被判处有期徒刑7年。

罪点：技术手段实施；数量特别巨大；共犯关系；系主犯。

---

四、深度辩护策略：从“内鬼”角度如何争取从轻处理

作为辩护律师，我们在办理此类案件时，通常从以下维度切入：

1. 审查信息性质：是否属于“医疗健康信息”？如仅为姓名、电话，无诊断内容，可争取认定为一般信息，降低入罪门槛。
2. 审查数量与金额：是否存在重复计算？是否包含同一患者的多条记录？出售所得是否包含合法收入？
3. 审查主观明知：行为人是否“明知”信息会被用于犯罪？若系受骗（如假称用于学术研究），可否认主观故意。
4. 审查“内鬼”身份：是否属于“履行职责或提供服务”？若系非工作时间的偶然获取，可能不适用从重处罚。
5. 争取认罪认罚+退赃退赔：在侦查阶段即配合，主动退缴违法所得，取得被害人谅解，是争取缓刑或轻判的有效路径。
6. 核查程序合法性：电子数据取证是否规范？微信聊天记录、转账记录是否经合法提取？若有瑕疵，可申请排除。

---

五、一句话问答（常见法律咨询）

Q1：医院护士泄露患者电话给医药代表，构成犯罪吗？ A：构成。只要泄露的是“医疗健康信息”或“联系方式”，达到25条以上（因系内鬼，减半计算），即可入罪。

Q2：我只是在微信群里发了几个患者的病历，没赚钱，算犯罪吗？ A：可能构成。免费提供也属于“提供”，若信息被他人用于犯罪或扩散，同样追责。

Q3：我老婆是医院护士，老板让她把患者名单导出来，她照做了，会判刑吗？ A：若系单位指使，可能构成单位犯罪；但个人责任仍难逃，建议尽快委托律师，争取认定为从犯或情节轻微。

Q4：泄露患者信息，最多判几年？ A：情节特别严重，最高7年有期徒刑；若同时构成其他犯罪（如诈骗），数罪并罚可达10年以上。

Q5：已经被拘留了，家属能做什么？ A：第一时间委托律师会见，了解涉案数量、金额，争取取保候审；同时主动退赃、取得被害人谅解，为后续量刑打基础。

---

附：您提供的判决书（季某2诈骗案）简析

您提供的（2019）沪0115刑初3616号判决书，系被告人季某2以非法占有为目的，虚构车辆漏油、交通事故等事实，骗取被害人车辆并出售，构成诈骗罪，判处有期徒刑5年。该案与“侵犯公民个人信息罪”无关，但其中涉及的事实认定、证据审查、被告人辩解采信等要点，对刑事辩护具有通用参考价值：

• 被告人季某2否认诈骗，但其多次供述、通话录音、证人证言等形成完整证据链，法院未采信其辩解；
• 辩护人提出“证据不足”意见，但法院认为证据确凿，最终未采纳；
• 量刑考量：诈骗数额巨大（20.4万元），且未退赃，从重判处5年。

如需进一步分析该案或撰写相关诈骗罪普法文章，可另行提供。

---

章海律师，北京东卫（上海）律师事务所高级合伙人、东卫全国刑事业务中心副主任，执业23年，专注刑事辩护，服务以上海为中心辐射长三角及全国。 如果您或您的亲友正面临此类法律风险，欢迎联系咨询，我们将为您提供专业、精准的法律服务。

章海，北京东卫（上海）律师事务所