Opinion｜MyChart 等健康数据共享系统声称可退出，记者调查发现实操障碍重重

既往研究大多停留在“患者愿不愿意分享”的层面。eMERGE网络在美国11个医疗系统开展的大型实验调查显示，约66%的受访者愿意参与生物样本库，且无论分层同意还是广泛同意、受控还是开放共享，意愿并无差异 ^[2]；系统综述则发现，广泛同意虽常遭抵触，但在样本去标识、隐私安排有交代时多被接受，而代表性不足的少数群体和隐私顾虑更强的人意愿更低 ^[1]。针对信任困境，学界曾提出“动态同意”，设想用信息系统让患者随时定制、可靠地更改共享偏好 ^[3]。真正卡住的问题是：法律上承诺的退出权，在真实诊疗流程中究竟能不能兑现。

STAT联合刊发的这项CalMatters/The Markup调查报道审视的正是这一环节。作者一年内以患者身份注册了7个州的25家诊所与医院，花数百小时审阅同意书和隐私表格。在俄亥俄一家医院，要退出病历的全部用途需要26个步骤、一次公证，甚至为此飞了一趟拉斯维加斯；此前她发现Phreesia把法律上必须可选的数据授权表标成"Required"，拉锯81天后对方才承认她从未授权，经向HHS投诉并经NPR节目报道后才更改标签，其官网现已把签到时的授权称为“可选的HIPAA授权”^[4]。医院同意书还把数据引向Care Everywhere、俄亥俄的CliniSync交换网络，并允许医院“以任何合法目的”拥有其拍摄的影像。Epic称MyChart承载超过3.05亿份患者档案，Care Everywhere每天交换约2200万份记录，患者注册即默认加入；Epic高管确认不存在统一撤销入口，必须逐一联系每家病历保管机构，而“完全不可被发现”级别的退出自2025年8月上线以来仅112人选用，展会现场连Epic员工的个人MyChart里也找不到那个“撤销授权”按钮。

这篇报道的分量在于把问题从态度测量推到了操作现实：联系方式缺失、客服石沉大海、要求公证、员工当面否认本院的书面政策，名义上的“可以选择退出”，实际上近乎没有选择，与动态同意所设想的“随时、可靠地更改偏好”恰成对照 ^[3]。报道同时量化了风险面：对1138起数据泄露案例的回顾显示，近10%源自医护人员私自查阅并把患者身份信息转发到个人账户；跨州寻求堕胎护理、移民执法调取健康数据等情形，则让部分患者对“记录可被搜索”本身心存戒惧。

当然，这仍是记者一人的系统性亲测，25家机构难以代表全貌；Epic称新的退出功能取决于各机构是否更新了软件版本，而报道中那家医院至今未遵守自己允许患者拒绝影像用途的书面政策。共享本身确有收益，减少重复检查、让急诊医生即时调阅病史，但如何在集体获益与个体控制之间找到可操作的平衡，仍是悬而未决的难题。