一、總則1.制定目的：為規(guī)范養(yǎng)老機構對老年人個人信息的處理活動，保障老年人個人信息權益，促進養(yǎng)老服務行業(yè)合法合規(guī)運營，依據(jù)《中華人民共和國個人信息保護法》《中華人民共和國老年人權益保障法》等法律法規(guī)，結合本機構服務實際，制定本制度。2.適用范圍：本制度適用于本養(yǎng)老機構（以下簡稱“機構”）在提供養(yǎng)老服務、運營管理等活動中，對老年人個人信息的收集、存儲、使用、加工、傳輸、提供、公開等處理行為。機構工作人員、外包服務人員及合作方處理老年人信息的活動，亦需遵守本制度。3.定義說明：老年人個人信息：以電子或其他方式記錄的與已識別或可識別的老年人有關的各種信息，包括但不限于姓名、聯(lián)系方式、健康狀況、家庭關系、服務需求、消費記錄等。敏感個人信息：一旦泄露或非法使用可能危害老年人權益的個人信息，如生物識別信息、健康信息、金融賬戶信息、行蹤軌跡信息等。二、信息收集與使用規(guī)范1.收集原則：機構處理老年人個人信息應遵循合法、正當、必要、最小化原則，收集的信息應當與機構提供的養(yǎng)老服務、管理需求直接相關，且以實現(xiàn)服務目的為限，不得過度收集。2.收集方式與同意：信息收集需以明示、清晰、易懂的方式告知老年人（或其監(jiān)護人/代理人，下同）收集的目的、范圍、方式及存儲期限，征得其單獨同意（針對敏感信息需單獨獲取同意，不得與其他事項捆綁）。首次入住時，通過《老年人信息采集告知書》《個人信息處理授權書》等書面形式獲取同意；服務期間如需新增收集范圍或變更處理目的，應重新征得同意。3.收集范圍限制：常規(guī)收集信息包括：基本身份信息（姓名、性別、年齡、聯(lián)系方式）、健康信息（既往病史、體檢報告、用藥情況）、服務需求信息（護理等級、飲食偏好、活動需求）；確因服務需要收集敏感信息的（如金融賬戶用于繳費、生物識別用于門禁），需單獨說明必要性并經(jīng)書面同意。三、信息存儲與管理要求1.存儲期限：老年人個人信息的存儲期限為服務存續(xù)期間+服務終止后合理期限（用于糾紛處理、合規(guī)審計等），期限屆滿后應立即刪除或匿名化處理，法律另有規(guī)定的從其規(guī)定。2.存儲安全措施：電子信息存儲：采用加密技術對敏感信息進行加密處理；部署防火墻、入侵檢測系統(tǒng)，定期進行漏洞掃描；服務器存放于符合安全標準的機房，禁止非授權遠程訪問。3.介質管理：存儲信息的硬盤、U盤等介質需標注“老年人信息專用”，報廢時應通過物理銷毀（如碎盤）或專業(yè)數(shù)據(jù)擦除工具處理，防止信息泄露。四、信息共享與披露規(guī)則1.內部共享限制：機構內部僅向直接提供服務或管理的崗位（如護理部、財務部、后勤保障部）共享必要信息，實行權限分級管理（如護理人員僅可查看健康與服務信息，財務人員僅可查看繳費相關信息），禁止跨部門無理由共享。2.外部共享條件：向合作方（如醫(yī)療機構、保險公司）共享信息時，需簽訂《個人信息共享安全協(xié)議》，明確共享范圍、目的、期限及安全責任；合作方需具備同等安全保障能力，且僅可用于約定用途。共享敏感信息前，應再次征得老年人同意，并對信息進行去標識化處理（如隱去姓名、核心身份字段），無法去標識化的需單獨審批。3.信息披露限制：除法律、行政法規(guī)規(guī)定或司法、行政機關依法要求外，禁止公開披露老年人個人信息；確因宣傳需要使用案例信息的，需對所有可識別信息進行匿名化處理，并征得當事人書面同意。五、安全保障機制1.技術防護措施：定期更新信息系統(tǒng)安全補丁，采用多因素認證（如密碼+短信驗證碼）限制系統(tǒng)登錄；安裝終端安全管理軟件，禁止員工私自將工作設備連接公共網(wǎng)絡或安裝非授權軟件。2.人員管理措施：對接觸老年人信息的員工開展信息安全培訓（每年不少于2次），考核合格后方可上崗；簽訂《信息安全保密責任書》，明確違規(guī)責任。實行“最小權限”原則，員工僅可訪問其崗位必需的信息，操作記錄全程留痕（如系統(tǒng)操作日志保存至少5年）。3.應急處置流程：發(fā)生信息泄露、篡改、丟失等安全事件時，應立即啟動應急預案：技術部門4小時內開展溯源分析，采取補救措施（如關停漏洞端口、恢復備份數(shù)據(jù)）；法務與客服部門72小時內向老年人告知事件基本情況、可能影響及補救措施，必要時向主管部門報告。六、老年人權益保障1.知情權與查閱權：老年人可隨時向機構申請查閱其個人信息處理記錄（包括收集、使用、共享情況），機構應在15個工作日內以書面或電子形式提供查詢結果，特殊情況經(jīng)審批可延長至30個工作日。2.更正與刪除權：若信息存在錯誤（如健康記錄有誤），老年人可提交證明材料申請更正，機構應在10個工作日內完成核查與更正。服務終止后，老年人可申請刪除其個人信息（法律規(guī)定需留存的除外），機構應在30個工作日內完成刪除并反饋結果。3.異議與投訴渠道：老年人對信息處理活動有異議的，可通過機構客服熱線、意見箱或書面郵件提出，機構應在5個工作日內響應并反饋處理進展。七、監(jiān)督與責任追究1.內部監(jiān)督：機構成立信息安全管理小組（由法務、技術、服務部門人員組成），每季度開展信息安全審計，檢查制度執(zhí)行情況、系統(tǒng)安全漏洞及員工操作合規(guī)性，形成審計報告并公示整改情況。2.外部監(jiān)督：主動接受民政、網(wǎng)信等主管部門的監(jiān)督檢查，配合提供信息處理相關材料；對老年人或社會公眾的投訴舉報，應在30個工作日內調查處理并回復。3.責任追究：員工違規(guī)處理信息的，視情節(jié)給予警告、調崗、辭退等處分，涉嫌違法的移交司法機