因非法入侵某三甲医院服务器，致使大量患者个人信息、医疗数据泄露并从中牟利，两名涉案“黑客”经查实违法所得仅10800元，却最终被判支付150万元公益损害赔偿金。除民事公益赔偿外，当地人民法院还以侵犯公民个人信息罪，对二人作出有罪刑事判决。

2日，最高检发布8起依法保护公民个人信息典型案例，该案入选其中，案名为“广东省广州市越秀区人民检察院诉王某某、林某某非法窃取肿瘤医院患者医疗健康信息民事公益诉讼案”。

据最高检披露，2022年4月至2024年2月，王某某、林某某在互联网上运用“爬虫”程序，非法入侵某三甲肿瘤专科医院的服务器，窃取包括“患者个人信息”“门诊医嘱数据”“住院医嘱数据”等信息共计3858671条，将其迁移至境外的服务器运行和存储达半年之久，并将部分医疗数据出售牟利。

2024年4月，广东省广州市越秀区人民检察院在履行职责中发现本案线索，以民事公益诉讼立案，并依法启动调查程序。

经查明，非法窃取的3858671条信息中，255443条“患者个人信息”包括姓名、性别、住址、电话号码、身份证号码等，具有可识别性和关联性，属于个人信息保护法明确保护的个人信息；2455838条“门诊处方数据”和1147390条“住院处方数据”除患者身份证字段外，涵盖药品名称、用药剂量、频次、用法、病人状态等。

为解决门诊处方数据和住院处方数据是否具有可识别性、关联性，从而认定其是否属于医疗健康类敏感个人信息的难题，越秀区检察院还进一步委托广州市人民检察院司法鉴定中心进行检验分析。

技术鉴定结果认为，“门诊医嘱数据”“住院医嘱数据”可通过身份证字段与“患者个人信息数据”建立对应的关联关系，可精准追溯至特定患者，是法律明确保护的医疗健康类敏感个人信息。

2024年11月13日，广州市越秀区人民法院以侵犯公民个人信息罪对王某某、林某某作出有罪判决。

但经公告，没有法律规定的机关或者组织提起诉讼。2025年4月9日，越秀区检察院对王某某、林某某侵犯公民个人信息损害社会公共利益的行为，向广州互联网法院提起民事公益诉讼，诉请判令两被告承担公益损害赔偿金150万元，并在省级以上媒体或者具有同等影响力的互联网媒体上公开赔礼道歉。

尤为值得注意的是该案可查实获利金额并不多，仅为10800元。对此，越秀区检察院审查认为，因本案可查证的获利金额仅为10800元，据此确定公益损害赔偿金，既不能真实反映公共利益受损情况，亦不足以体现司法惩戒功能。结合已查明事实，越秀区检察院以信息敏感程度为核心基准，以处理数量及波及范围为递进尺度，综合考量案涉医疗健康信息数据量大、敏感程度高、波及面广、修复成本较高；数据公共应用价值显著、承载社会公共利益重大，违法行为人主观恶意明显、过错程度严重以及数据出境冲击公共秩序、监管应对复杂、社会治理成本增加等因素，确定公益损害赔偿金为150万元。

2026年8月24日，广州互联网法院作出一审判决，支持检察机关全部诉讼请求。判决已生效。

有网络安全领域受访人士分析，医疗数据泄露，不仅直接暴露患者敏感隐私，危及医院核心资产安全，更潜藏人类基因数据跨境流出风险，为国家生物安全和公共安全埋下隐患。但此类案件普遍存在举证难度大、数据经多主体流转后责任界定模糊等维权困境。本案可查实违法所得与高额赔偿形成的巨大反差，直观展现出公益诉讼在破解数据侵权追责难题中的关键作用，具有警示价值。

近年来，医疗数据治理持续收紧。《网络安全法》《数据安全法》《个人信息保护法》《网络数据安全管理条例》密集落地，三级医院评审、电子病历分级评价、互联互通测评也陆续将数据安全列为硬性考核指标。

今年以来，多部门进一步释放强监管信号，治理举措覆盖事前预防与事后追责两端。

根据国家卫健委等14部门联合发布《关于印发2026年纠正医药购销领域和医疗服务中不正之风工作要点的通知》，将“严守医疗数据安全”作为独立任务单列，提出强化医疗数据全流程监管，完善数据使用审查与追溯机制，规范行业数据安全管理，严禁泄露、倒卖及非授权使用，坚决遏制数据牟利，切实保障患者隐私与个人信息安全。

另据国家卫健委会同公安部、国家网信办等部门联合印发《医疗卫生机构数据安全和个人信息保护管理办法（试行）》，县级以上医疗卫生机构应当成立网络安全和信息化工作领导小组，每年至少召开一次医疗卫生机构数据安全和个人信息保护会议。

在事后追责层面，最高检此次表示，针对非法窃取个人信息社会公益损害大，但实际获利少，公益损害赔偿金无法量化的实践难题，检察机关结合信息敏感程度、数据应用价值和跨境风险等因素认定公益损害赔偿金额，依法提起民事公益诉讼，让违法行为人承担相应的民事责任，并警示潜在违法者，体现民事公益诉讼的制度价值。