保密事故一般不是一个人突然将捐精者名字发到网上，而是一个看起来平常的环节，串联了供受双方身份线索。
在人类的精子库中，保密的对象不仅包括捐精者的姓名，还包括精源的编号，遗传筛查的资料，冷冻样本的去向，受者家庭的信息，以及受精与出生后随访可能形成的联系记录。
首先说明一个界限，下面复盘是按照公开的制度还原的一般场景，不对应某个精子库或者某个当事者。
事故通常发生在一张不应该被完全打印的表上。
工作人员因为核对了冷冻样本，将内部的精源编号，供精使用的记录以及受者就诊的信息放在了同一个工作表中，文件之后被保存到普通的办公电脑上或者通过无权限的工作群进行流转。
表面上看，这是信息管理的不规范。
真正问题是，双盲原则撕开一条缝。
供精管理的双盲，并不是说所有的工作人员都不会知道任何的信息，而是要求捐精者，受者家庭，临床使用的环节之间有必要的隔离，只有经授权的岗位，才能在特定的业务中接触到对应的信息。
如果样本编号，身份资料以及受者的治疗资料同时被同一个人或同一个文件所掌握，则保密不再依赖于制度，而是依赖于个人的自觉。
问题出在哪里?
问题在于信息采集，存储，调阅，交接与销毁没接上。
一次具体事故可能是，受害者在进行供精治疗的时候看到了不应该展示出来的捐精者的特征资料，或者捐精者借助样本流转的材料推断出精源是用于哪家医疗机构的。
也可能无姓名泄露，但将年龄，籍贯，职业，遗传筛查结论与样本编号拼接在一起。
个人的信息保护法重视的不仅仅是公开发布，没有必要授权收集，使用，提供与泄露也可能是合规的问题。
人类的精子库还需要同时遵循人类精子库的管理办法和相关的基本标准以及技术规范，精源的保存，使用，登记以及追溯不可以口头上交代。
事故发生之后，第一步并非删除聊天记录，也并非让当事人私自解释，而是立刻控制扩散的可能性。
包括停止相关账号的权限，封存原始的记录，核对哪些人、系统和样品环节接触过的信息，保留访问记录、打印记录及交接凭证等。
如果是辅助生殖医院，还需要查清精子库和临床科室之间的责任界限，不能仅凭信息在医院端的出现就将精子库审核的责任全部推开。
反过来也是如此，精子库已经编码，并不意味着医疗机构能够在病历，检查单或者沟通场景中随意地还原捐精者的信息
第二步是确定泄露的范围和实际的风险。
要区分姓名这类直接的身份信息，可以组合起来识别个人间接的信息，还有只是内部质控而不是指向个人信息。
还要确认冷冻样品是否错误领取，跨省调配的记录是否正确，捐精次数的上限以及精源使用的上限是否受影响。
若事故可能危及供精安全，则不能仅以隐私事件为主，还需同时开展样本溯源、临床停止评估及伦理审查工作。
知情同意再核对一遍。
捐精者赞同的是在规定的范围内筛查、保存、供精使用，并不代表同意身份信息被治疗者、无关人员或者外部机构查询。
受者家庭同意，并不意味着可以根据此要求获得捐精者真实的身份。
这两种同意各有界限，不能用一个签字文件代替保密。
第三步是责任解决。
精子库应根据内部事故报告及卫生健康部门的监管要求报告，医疗机构也应根据自身信息的安全以及辅助生殖的管理规定报告。
具体由哪个级别的部门调查，取决于事件的性质、机构级别和当地的监管部门。
年检，日常检查以及精子库资质的审核不仅要看制度建立与否，更要看是否真正落地执行，如权限分级，双人复核留痕，异常调阅预警，离岗账号及时停用等。
如果员工私自查询，复制或传播，个人会承担相应的责任。
若机构无必要管理措施或明知风险仍以普通渠道传播，机构责任不可以用“员工的个人失误”来简单掩盖。
对捐精者与受者家庭而言，最易误解的是，保密事件发生之后必然会公开自己的身份或精源会因此完全作废。
这两种推论都不能成立。
是否停用一批冷冻样本，取决于身份泄露的范围，样本追溯的完整性，医学安全的影响，以及监管与伦理评估的结果。
合规途径也是明确的，供精只能由有资质的人类的精子库以及经过审批的辅助的生殖机构来完成，不能直接向个人提供精源，也不能通过非法途径补救。
一般人判断一个机构是否在严格保密，不必听口号，可以看四个点。
能否证明精源编码与临床病历分开管理，能否说明谁有权调阅，样本交接有无复核记录，出现异常时有无正式投诉与报告。
要是工作人员让捐精者的资料被拍照带走，或者让受害人通过私人的渠道联系到供精环节，就已经违反了合规程序。
具体执行请以国家卫健委、省级卫健委发布的现行规定为准。
保密制度最防的是一张表，而不是身份，样本，治疗记录拼在一起。
本文仅作为公益健康的科普，不构成医疗建议，所有医疗活动请到卫健委批准的正规医院(人精子库)就诊。
