一个查询权限的关键，不是锁死捐精者的资料越多越好，而是每一次有必要查询都说清楚目的，范围，人员与责任。
在人类的精子库中，捐精者信息往往不仅仅是一个登记表，还有身份资料，健康筛查，遗传学方面的结果，精源编号，冷冻样本的去向以及供精使用的记录。
这些信息涉及敏感的个人信息，不能因工作人员可以登录系统而推断其可以随便查看。
“一次查看”更准确地说，是为了一个明确的业务目的，只给经授权的人一个必要的查看时间，而不是发一个长期的通行证。
例如，受精治疗要核对一份精源是否满足使用条件，系统能让负责这个环节的人员看到匹配所必须的字段，但不能同时放出捐精者姓名，住址，联系方式等有关内容。
这个权限首先需要合法的业务证明。
人类的精子库供精管理应放在精子库的资质，设立审批以及人类辅助的生殖技术的管理框架之内，查询也应当服务于筛查，样本管理，供精使用，质量控制或者监管核查这些正当的目的。
如果仅仅是出于好奇，私人关系或方便查找，不能作为正当查询的理由。
权限申请也不能仅写“工作要求”。
申请人最好说清查询对象，用途，所需字段，使用时间及结果来源，然后由相应的负责人或者授权管理人进行审核。
对捐精者的身份识别，供精的安全判断，重大的质量事件的调查等事项，还应按照本机构的规定进行更高层次的复核，必要时需经伦理审查或报卫生健康部门备案。
这里“复核”并不是多加盖章，而是确定这次查询是有必要的，并没有使用扩大权限来替代专业的判断。
系统的设计也很重要。
捐精者的身份信息，临床资料，样本编号以及供精记录，要尽可能分层保存，通过编号或者编码来进行日常管理，减少一般业务人员接触身份的机会。
一次查询权限范围可以限定，可以过期，可以撤回，最好只看到完成目前任务所需要的最少的内容。
可以显示结果的话，就不要默认批量导出了。
可以显示是否满足使用条件，不必同时显示完整筛查资料。
只要看到一条记录，就不应该随手开放同一个捐精者的所有历史记载。
查询完毕后，系统要留下时间，账号，事项，查看字段及操作结果等信息，相关人员也要承担保密义务。
这一步容易被忽视，因为没有被下载，并不代表没有进行个人信息的处理。
如果有人将屏幕拍照，抄录，或用内部账号替他人查询，仍可能泄露，机构需要通过权限分离，操作审计以及违规追责来避免这种情况发生。
双盲原则与一次查询的权限相关。
合规供精中，供精者与受者家庭无法通过普通的查询建立身份关系，受者一般只能获取完成医疗决定所必须的非识别性的信息，不能根据此要求查询捐精者个人信息。
捐精者表示知情同意，并不意味着同意任何人，任何时候查阅所有资料。
知情同意要说明资料是如何保存的、用于什么环节、可能与哪些人接触的、法律法规规定的保密与监管的范围。
反之，受害人签署治疗文件，并不意味着有突破双盲，追查捐精人身份的权利。
精源的使用上限，捐精次数的上限以及样本流向的核查，可能会在不同的记录中进行比较，但是这样的查询还是要有权限的精液库工作人员来完成的，不能个人自己检索。
跨省调配，质量事件的调查或者年检监管，可能会影响资料在不同的机构或者监管部门间的流转。
这种情况不可以通过一次查询四个字来自动放开，需要看现行的规定，调配手续，数据安全的要求以及接收方权限的界限。
如果查询是用于科研的，还应分清临床管理与研究使用，按照涉及人生命科学与医学研究的伦理审查规定办理，不能直接拿临床资料进行研究。
有人将一次查询视为机构不相信内部人员，也有人认为此会影响受精和供精过程。
实际的选择是，医疗安全要及时获取必要信息，但保密责任不允许将所有资料先摊开。
所以合理的做法是不取消查询，而是将查询分为申请、审核，授权，查看与留痕几个部分，并根据风险选择是否需要两人复核。
一般人判断一个设置是否可靠，可以直接问三个问题。
谁能查，查什么，查完是否有记录。
如果对方说“系统中都可以看到”,但说不出授权期限，身份隔离，双盲要求以及违规之后的追责途径，就不应该将这种安排视为规范捐精者信息的保护。
具体执行以国家卫健委和省级卫健行政部门发布的现有文件和机构规定为准。
本文仅作为公益健康的科普，并不构成医疗建议，所有医疗活动请到卫健委批准的正规医疗单位(人类的精子库)就诊。
