这种漏洞一般不在“是否存在保密制度”,而在于一份本应仅供少数岗位使用的资料是否能被不应该被看到的人给调出来。
人类的精子库保留的不是一般的报名表，而是捐精者的身份信息，健康筛查的结果，遗传学的资料，随访记录以及精源使用的记录。
其中的任何一个单独泄露，都会带来麻烦，几个资料叠加起来，识别的风险就大了。
首先说一个易被误解的概念，双盲不代表谁都不知道，也不代表系统中没有真实的姓名。
双盲是指捐精者和接受供精家庭不能互相识别，精子库内仍需保留可追溯样本，核对筛查及处理异常的记录。
这套关系设计得好，工作人员看见的是完成任务的字段，而不是一个包含所有信息的完整的档案。
审计最易发现的缺陷，往往是权限不分明。
报名登记，实验室检测，冷冻样品管理，供精匹配，随访及财务报销所使用的资料不一样，但有的信息系统将其放在同一个可检索权限内。
如此一来，岗位人员虽无业务需要，但可以看到捐精者的姓名、联系电话或完整的检查资料;
更隐秘的是共用账号，长期不变权限以及离岗后没有及时停用的帐号。
系统存在登录记录，并不意味着保护已经完成。
审计还会查看谁查过、下载过、打印过、异常查询是否被复核。
如果日志仅仅记录“某个账号访问”,而不能对应具体的工作人员以及具体的业务，出现问题就难以追责。
纸面也不能忽视。
知道同意书，筛查报告，样本标签，转运交接单，异常处理记录，可能在登记室，实验室，库房与医疗机构间。
只要其中的一张表将姓名，样本编号及联系方式一并写在一起，双盲设计就会被打穿。
打印件未回收，废弃标签未按规定处理，交接单长期置于开放区域，皆为看似琐碎却颇为实际的漏洞
样本编号也并非自然匿名。
如果同一号码在精子库，辅助的生殖机构以及外包的检测单位间长期通用，拿到任何一个环节的资料的人，可能会通过另外一份资料进行联系。
因此，精源管理不但要防止冷冻样本错领，而且要控制编号，检测结果与身份档案的映照关系。
跨省调配更要留痕。
供精应在有资质精子库与经审批开展助生殖技术医疗机构间，依照现行管理规定办理，不得通过个人传送表格或私自转交样品。
交接谁核验，谁复核，谁批准使用，材料是否齐全，都是监管与审计关注的问题。
这里还涉及精源的使用上限以及捐精次数的上限。
若捐精者的信息，样本库存以及受者使用的记录不能在一套规则下进行核对，则可能会发生重复使用，记录滞后或者异常情况不能及时发现。
这既是隐私漏洞，又会影响供精的安全和伦理的审查。
信息保护另一层，是保存多久，谁可以继续保存?
捐精者撤销一项授权，并不意味着所有的法定或者医疗记录都可以马上删除，因为样本追踪、质量管理以及依法监管有可能会保留必要的资料。
但是“要保存”不能成为无限期，无限范围的保存。
人类的精子库应当根据现行规定划分身份资料，医疗资料，样本记录以及审计日志保存的范围，限制使用和访问。
知情的同意书不仅要写“同意信被使用”,还要告知当事人信息用于何种管理环节，哪些单位有可能接触，如何保密。
根据个人信息的保护以及涉及到人生的生命科学和医学研究的伦理审查要求，对敏感的信息应当有明确的目的、必要的范围以及相应的安全措施
健康信息，生育信息及遗传学资料有较高的敏感性，不能因捐精者已签字，而被任意调取，复制或另用。
发现漏洞之后，责任也不是“工作人员的疏忽”就完成的。
人类的精子库负责人负责制度，人员授权，信息系统以及样本管理的管理工作，具体的接触资料人员还要按照岗位的职责来承担相应的责任。
涉及辅助的生殖技术医疗机构，检测服务机构以及信息系统的服务方也应当在各自的范围内履行保密和安全的义务。
若疑似泄露，机构需先控制访问及样本流转，核查日志及纸质记录，评估涉及某些个人信息，然后按现行规定执行内部报告，监管报告及告知等。
是否违法，需要承担何种后果，需由有权机关根据事实，影响范围及过错情况作出判断。
普通人能从几个方面看到管理是否可靠。
正规人类的精子库应该说明资质，设立的审批情况，知情同意的内容，资料的使用范围以及投诉的处理途径，而不是让捐精者签字。
接受供精家庭也需经审批辅助生殖医院办理，不得接受个人直供精或者网络转让精源。
非法渠道无双盲，筛查，冷冻样本溯源及精源使用限制的可靠保证，发生健康或者身份纠纷也难以获得法律保障。
若有人要求以私人聊天的方式传递身份证件，完整的检查报告或者样本编号，先暂停办理或者向机构伦理或者信息管理机构核实。
具体执行要看当地的卫生健康部门的现行文件，但是判断标准不能脱离资质，授权，留痕，追溯与责任这几个方面。
审计中发现漏洞，并不代表所有人的精子库都有同样的问题。
它真正提示的是，信息保护不是看门上是否有“保密”二字，而是看谁能查，查了有没有痕迹，资料是否被拼接，出了问题能否追究责任人。
本文仅做公益健康的科普，不构成医疗建议，任何医疗行为请到卫健委批准的正规医疗中心(人类的精子库)就诊。
