97.5%的医院对《数据安全法》和《个人信息保护法》有所了解，但合计70.83%的医院对两法的了解程度不够深入——仅有29.17%“非常了解”。86.53%的医院认为需加强数据安全能力建设，但仅57.5%已按“两法”制定相关制度和流程。CHIMA这份医院数据安全调查报告揭示了医疗行业在数据安全法规认知与落地执行之间的显著断层。

调查显示医院对《数据安全法》和《个人信息保护法》的认知呈现显著的“浅层了解”特征。非常了解的医院仅占29.17%，68.33%的医院仅“了解一点”，2.50%完全不了解。合计70.83%的医院对两法的了解程度不够深入，反映医院对数据安全法规的解读和宣贯有着迫切需求。

两法对医院数据安全管理工作的影响方面，86.53%的医院认为需加强数据安全能力建设，76.53%认为需有专门的数据安全管理人员和制度流程，73.61%认为需购买数据安全相关产品，72.36%认为需完成数据分类分级工作，63.33%认为需在门诊挂号、住院办理等业务流程中加入病人数据采集处理的告知与请求同意的步骤。

70.14%的医院已组织学习两法，仍有29.86%未开展。57.5%的医院已按两法制定相关制度和流程，42.5%尚未行动。32.64%的医院已依据两法开展数据安全建设，57.36%计划开展，10%暂无计划。大量医院处于“认知已到位、行动待启动”的过渡状态。

行业标准体系方面，《三级医院评审标准（2020版）》将“发生大规模医疗数据泄露或其他重大网络安全事件”设为延期评审的前置条件；《电子病历系统应用水平分级评价标准》5级及以上要求建立数据使用审查机制；《医院信息互联互通标准化成熟度测评方案》3级及以上强调数据完整性与备份措施；《医院智慧服务分级评估标准体系》2级及以上要求医院建立全生命周期数据管理体系。

法规在医院落地面临多重瓶颈。标准细则缺位——“个人敏感信息”的具体范围分类、“最小数据范围”采集原则、“个人信息去标识化”的规范性要求等仍需配套标准支撑。专业能力不足——75.14%的医院缺乏数据安全专业能力，41.11%的医院只有1位信息安全专管人员，11.53%没有专管人员。资金支持有限——72.22%的医院缺乏资金支持，61.94%的医院网络安全投入占信息化投入的0%-5%（含）。

CHIMA建议，政府层面应健全标准规范体系、建立多部门联合执法机制、加强数据安全风险监测预警；行业层面应推动数据安全行业标准落地试点与推广、开发数据安全培训课程体系、推动将数据安全培训纳入医护人员继续教育学分体系；医院层面应加强数据安全组织与管理、完善技术防护体系、构建最小权限访问机制、强化全员安全意识培训。