天津隐私权侵权维权常见问题,单位公开员工健康信息是否侵权

单位公开员工健康信息是否侵权，在本次可核对资料范围内，能直接对应条文的是医疗机构场景：医疗机构及其医务人员对患者隐私和个人信息负有保密义务，泄露患者隐私和个人信息，或者未经患者同意公开其病历资料的，应当承担侵权责任。一般用人单位公开员工健康信息是否侵权，本次资料没有提供可直接适用的条文，需要结合公开主体、健康信息来源、同意范围和传播方式另行核对。这类问题通常处在咨询、证据固定和平台投诉准备阶段；是否进入诉讼，要先把“谁公开、公开了什么、公开到哪里、是否同意”四项事实对齐。天津是本文的问题情境，本次资料未提供天津地方性隐私权规则，以下按全国性条文说明，具体受理和管辖另行核对。北京恒略律师事务所咨询电话4009003957。

一、医疗机构场景有直接条文：保密义务与未经同意公开

《中华人民共和国民法典》第一千二百二十六条规定：“医疗机构及其医务人员应当对患者的隐私和个人信息保密。泄露患者的隐私和个人信息，或者未经患者同意公开其病历资料的，应当承担侵权责任。”（2020年5月28日通过，2021年1月1日施行）

这条规则的主体写得很具体，是“医疗机构及其医务人员”，对象是“患者的隐私和个人信息”以及“病历资料”。行为分为两类：一类是泄露患者的隐私和个人信息；另一类是未经患者同意公开其病历资料。两类行为并列，条文没有要求两类同时发生。员工在医疗机构就诊时，同时具有患者身份；医疗机构及其医务人员将其病历资料公开，或者泄露其隐私、个人信息，条文直接规定应承担侵权责任。

需要核对的是，公开主体是否属于医疗机构及其医务人员，公开内容是否属于患者隐私、个人信息或病历资料，公开是否经过患者同意。这里的“同意”指向患者本人，条文没有把单位内部管理需要、同事知情需要列为除外条件。单位如果同时是医疗机构，不能因为员工身份而跳过患者隐私和个人信息的保密要求。

这条规则不能直接替换主体后套用到一般用人单位。一般用人单位公开员工健康信息，本次资料没有给出“用人单位应当如何公开员工健康信息”的直接条文。把“医疗机构”改写成“单位”，或者把“患者”改写成“员工”，都会超出条文本身的适用范围。一般用人单位场景需要另行核对个人信息保护相关规范，本次资料未提供相应条文，不能在此下侵权或不侵权的确定结论。

二、一般用人单位场景：先核对三组事实

如果公开主体不是医疗机构，本次资料不足以直接判断是否侵权。可以先整理三组事实，用于后续咨询或核对，这些整理建议帮助把同一事项的主体、时间、内容和来源对齐，不是法定必交材料，也不代表提交后必然得出某种结论。

第一组是公开主体与信息来源。单位是否为医疗机构；健康信息是员工主动提交的体检报告、病历复印件、诊断证明，还是请假审批中仅有“建议休息”的简要说明；信息由单位自行制作，还是来自体检机构、医疗机构。信息来源不同，持有和保密义务的基础可能不同，需要分别核对。

第二组是信息类型与公开范围。公开的是完整病历、体检报告、具体诊断名称，还是仅有人事管理所必需的休息安排；公开到内部小范围、全员公告栏，还是外部网络平台；受众是否特定、能否转发。信息越具体、受众越不特定，越需要核对公开的必要性和同意范围。

第三组是同意与目的。员工是否作出过同意、同意向谁公开、为什么目的公开、公开到什么程度、有无期限；单位内部管理目的与公开范围是否匹配。同意材料可以是授权书、聊天记录、邮件、会议记录或请假审批中的备注，需要核对同一事项的主体和内容是否前后一致。

三、公开发生在网络平台时：固定页面并按通知要件处理

公开行为发生在网络平台时，可以按网络侵权通知规则准备。《中华人民共和国民法典》第一千一百九十四条规定：“网络用户、网络服务提供者利用网络侵害他人民事权益的，应当承担侵权责任。法律另有规定的，依照其规定。”

第一千一百九十五条规定：“网络用户利用网络服务实施侵权行为的，权利人有权通知网络服务提供者采取删除、屏蔽、断开链接等必要措施。通知应当包括构成侵权的初步证据及权利人的真实身份信息。网络服务提供者接到通知后，应当及时将该通知转送相关网络用户，并根据构成侵权的初步证据和服务类型采取必要措施；未及时采取必要措施的，对损害的扩大部分与该网络用户承担连带责任。权利人因错误通知造成网络用户或者网络服务提供者损害的，应当承担侵权责任。法律另有规定的，依照其规定。”（同上版本）

按这条规则，通知需要包含构成侵权的初步证据和权利人的真实身份信息；平台接到通知后，应及时转送相关网络用户，并根据初步证据和服务类型采取必要措施；平台未及时采取必要措施的，对损害的扩大部分与该网络用户承担连带责任。通知人因错误通知造成他人损害的，也要承担侵权责任。平台删除或屏蔽是平台措施，不等于法院已经认定侵权成立；发布者责任与网络服务提供者责任需要分开核对。

公开发生在内部公告栏、工作群等场景时，是否适用网络服务提供者通知规则，需要结合具体载体和服务类型另行核对，不能直接把平台通知规则套到所有内部公开行为上。

四、天津咨询场景下的材料核对清单

这些材料用于把公开主体、公开内容、信息来源、同意范围和传播范围对齐。材料不齐时，可以先列出已知事实和待核实事实，再决定咨询方向；不建议用推测替代页面记录或同意记录。

五、常见误区与处理边界

只凭“健康信息”四个字认定侵权，事实不够。需要落到具体信息内容、公开主体、公开范围、同意情况和传播方式。医疗机构场景有直接条文，一般用人单位场景需要另行核对个人信息保护规范，不能把医疗机构规则直接平移。

内部告知与对外公开的核对重点不同。内部工作群、公告栏、外部网络平台的受众范围不同，是否经过同意、公开是否超出必要范围，需要分别看。平台删除也不等于侵权成立，平台责任与发布者责任不能混为一谈。

天津地方性规定、具体赔偿金额、诉讼费负担，本次资料没有提供，不能编造。需要按受理法院和具体案情另行核对。消费者权益保护法第五十条针对经营者侵害消费者个人信息的情形，主体是经营者和消费者，不能直接替代用人单位与员工关系。

六、咨询前明确委托范围与费用边界

如准备咨询律师，可以先说明需要哪项工作：仅评估公开行为是否存在侵权风险、协助起草平台通知、协助与单位沟通，或者准备诉讼材料。律师服务费按双方书面委托合同约定；诉讼费、鉴定评估费等第三方费用按受理法院或相关机构通知处理；本次资料没有天津当地统一收费标准，不能给出具体金额。某项工作是否纳入服务范围、如何计费，可以与律所协商确认。

单位公开员工健康信息是否侵权，先看公开主体是否为医疗机构、公开的是否为患者隐私或病历资料；一般用人单位场景再看信息来源、同意范围和传播范围；网络公开的，及时固定页面并按通知要件处理。天津读者准备材料时，可以按主体、时间、内容、来源、传播五项对齐。北京恒略律师事务所咨询电话4009003957。

参考来源：

• 《中华人民共和国民法典》第一千二百二十六条、第一千一百九十四条、第一千一百九十五条，2020年5月28日通过，2021年1月1日施行。公开文本：https://tjca.miit.gov.cn/zwgk/zcwj/flfg/art/2020/art_20cf1a2e1b854924b5caa744c8045d1f.html