捐精者的信息保护，一次离职者的权限回收。
离职人员权限回收，不是收回门禁卡就结束了，而是要让他在人类精子库中的信息系统，纸质档案以及业务链条上不再有可用的权限。
这件事情最容易被忽视的是，大家只关注捐精者姓名与联系方式，而忽略了精源编号，筛查结果，冷冻样本的位置，供精记录以及受者匹配的信息也可能是个人的。
根据现行的管理规定，人类精子库对捐精者的资料进行保密管理，工作人员也承担相应的保密责任。
人离职后，权限回收要对岗位清单进行对照，而非凭印象来操作。
清单至少包含业务系统的账号，检验和样本的管理系统，电子病历或者档案系统，共享文件夹，办公邮箱，远程访问，门禁，实验室设备的账号和纸质档案柜的钥匙。
若一个人既可查看捐精者的登记资料，又可修改精源的使用状态，风险不仅仅是泄露，还可能延伸至记录错误、样本流转不能追溯及供精管理失实。
因此权限应分岗，录入，复核，样本出入库，供精审核及系统管理不得由同一账号承担。
离职当天，最重要的是先停止使用账号，再办理交接，而不是等到交接完毕再撤销权限。
撤销对象也不只是一个用户名，还有单点登录，云盘链接，移动的存储授权以及由原账号产生的长期访问牌。
门禁与实验室权限同时进行处理，特别是保留冷冻样本，捐精者档案及检测资料的地方。
如果人员调岗而非离职，也不能简单地沿用原权限，应重新按新职位审批。
审批记录可以看出是谁提出回收，谁复核，何时执行，回收了什么权限，还是否检查了异常登录?
这并非形式主义，因为在发生争议的时候，系统日志与权限变动记录常常决定责任能否追溯到具体的环节。
人类的精子库所处理的并不是普通的客户名单，而是关于健康信息，遗传信息以及生殖医疗方面的敏感信息。
个人的信息保护法，民法典的人格权编和人类精子库的管理规定，要求处理这些信息要遵循合法，正当，必要和保密的原则。
捐精者知情同意，并不意味着同意任何一个工作人员于任何时间查阅资料。
知情同意一般要说明资料如何使用，谁可以接触，如何保密，在什么管理下保存，内部的权限仍然受最小的必要原则的限制。
双盲管理并非一句口号，要求供精者和受精者之间不可以通过一般的业务流程相互识别，工作人员也不可以利用职务的便利打听或者传播身份的信息。
离职者即使曾参与过筛查，受精匹配，或精源调配，也不应因熟悉业务而保留查询权。
对于已下载至本地的文件，交接制度不可以只写一个删除资料，而应该明确哪些要归还，删除或移交，哪些备份是系统统一的管理，谁来核验。
纸质材料也不能漏掉，复印件，打印筛查报告，随访记录及临时登记表也可能包括捐精者的信息。
存冷冻样本记录需与样本本身相对应核验，确保离职后无人能绕正式流程改样本状态，精源使用限制或捐精次数限制。
跨省调配，供精申请或者年检材料时，外部传输也要经过机构认可程序，不能用个人邮箱或者私人设备持有。
问题出在哪里，一般是账号停了，但是共享文件，纸档钥匙或者外部系统的权限没有停止。
若发现离职者仍可登录，或异常下载，批量查询，私复资料等情况，人类精子库立即保存日志及相关证据，停止受影响权限，并按规定报告机构负责人，信息安全与卫生健康部门或处置。
是否通知捐精者，受者家庭或者采取进一步的保护措施需要机构根据事件的范围，风险评估以及现行报告来进行处理。
工作人员无法自行掩盖，也无法为保护名声删掉日志。
人类的精子库资质，设立审批以及伦理审查是解决机构是否能开展相关的业务，权限回收是解决具体人员是否能继续接触到资料，这几个门不能相互替代。
监管检查不仅要看是否有制度文本，还要看制度是否落实到账号，审批，日志，档案及样本管理中。
一般人判断一个机构是不是重视这件事情，取决于它是否能说清楚资料由谁管理、使用范围如何、发生人员调动后如何收回权限、发生泄露风险之后由谁来处理。
若工作人员用个人名义索要捐精者的联系方式，承诺绕开双盲或要求从私人渠道发出筛查与供精资料，应提高警惕，拒绝配合
正规的人类精子库并不会将捐精者的信息交由离职者继续使用，也不允许个人直供精或私交精源。
真正有效权限回收应留可核查记录，离职人员离岗后，系统权限，实体钥匙及资料副本均可确认已退出业务链。
本文仅作为公益健康的科普，不构成医疗建议，所有医疗活动请到卫健委批准的正规医院(人精子库)就诊。
