第一，病历为医疗机构所有。在国外，通常有两种表达方式：一种是直接规定病历是医院的财产，比如加拿大安大略省《公立医院法案》14(1)规定：“由医院制作的、记录患者个人信息的病历是医院的财产(property)，应由管理员进行保管。”^[1]另一种是病历原件(original medical records)由医院保管，比如《美国联邦法规》§482.24(b)和(b)(3)明确规定：“医院必须保管(maintain)每个住院、门诊患者的病历，仅在遵循联邦或州的法律、法庭命令或传票的情况下，医院方能公开病历原件。”^[2]

第二，病历为相关政府机构所有。在英国，关于国民卫生服务体系(NHS)中的病历所有权问题，在1976年作为一份书面回答记载于英国国会议事录之中。^[3]根据《英国国会议事录》在线数据库显示，时任英国国务大臣Roland Moyle在回答病历的所有权与保管(ownership and storage)问题时明确表示，在国民卫生服务体系中接受服务的患者，其个人病历(包括X光照片)是英国社会事务大臣的财产(property)。隶属于国民卫生服务体系的医院，应该将病历存储于卫生局指定的工作地点。使用患者的病历，应该坚守医学伦理与相关职业道德，维护患者的利益。^[4]

第一，各国通说认为，物质部分为医疗机构所有。^[5]不过，在此基础上，关于病历中的信息之归属，却有不同的说法：其一，认为病情信息属于病患或其家属所有。^[5]其二，R. D. Miller在《医院法问题研究》(Problems in Hospital Law)一书中指出，病历是一种非常特殊的财产，物质部分属于医院所有，并且由医院严格管理，但是患者和相关人对其中的信息具有权益。其三，医院所有的是记载信息的载体，比如由纸张或其他材质构成的载体，因此医院仅仅是信息的管理者。^[6]

第二，病历档案归患者与医疗机构共有。一方面，患者因交纳了病历工本费以及医疗费而获得物质部分的所有权，患者对其个人信息享有所有权；另一方面，病历的记录者是代表医疗机构的医护工作者。由于病历具有不可分割性，理应共同所有。^[7]

第三，客观病情部分归患者所有，如患者固有的生理或病理参数；病情主观分析部分归医疗机构所有，如病例讨论记录、会诊意见等，因为医务人员智力劳动创造的价值远大于生理或病理参数本身的价值，而患者在支付诊断费后有权获知病情；有关治疗过程的病历归医患双方共有，如手术记录、医嘱单、处方、部分病程记录等，因为治疗方案是医疗机构智力劳动和体力劳动相结合的结果，而且患者对治疗过程享有知情同意权，对与此相关的信息享有所有权。^[8]

第一，病历所有权归于医院。比如，患者在江苏某医院住院治疗，医院复印了15项检查报告单，患者要求医院返还这些检查报告单并诉诸法院。一审法院依据《侵权责任法》第61条以及病历资料在公共卫生、医学研究和教学等方面的重大社会价值，主张病历资料的所有权归于医疗机构，驳回诉讼请求。二审法院驳回上诉,维持原判。^[9]又如，患者的代理人向加拿大安大略省高等法院申请，要求法院命令医院提供有关治疗的全部病历资料的副本。法官表示会让医院将完整的副本而非原件交给申请人，这样既符合公立医院法案，又符合医院提供副本的规则。^[10]

第二，病历所有权归于患者。如加拿大McInerney诉MacDonald一案，虽然加拿大医学协会的政策是制作病历的医生/医疗机构/诊所享有病历的所有权，但是初审法官Turnbull却认为病历的所有权归于患者。^[6]因为他将医患关系视为合同关系，患者因支付了合理的费用而享有权利。

综上，关于病历所有权的归属问题，大致可见一斑：一是法律以及其他形式的有效文件倾向于医方享有病历的所有权，但是同时会兼顾患者的正当要求，赋予患者相应的权利，比如查阅、复制病历的权利。二是在学术界，学者们的观点是从病历中患者个人信息的内容、种类、形成过程、意义等方面出发，探讨多种可能性，并未局限于既定的规则，呈现出多元化。三是司法裁判时，法官大多首先考虑遵循相关的法律与规则制度等，如果不存在这些合法有效的依据，才会立足于医疗服务合同的宗旨与精神，形成相应的意见。故此，司法裁判的结果通常不会与相关规定相悖。

知情同意原则经由普通法中的过失法发展而来，始于20世纪50年代，到了六七十年代，病人开始在医疗决策中主张自我决定权，医疗模式逐渐从医生家长主义过渡为患者中心主义。患者知情同意的权利，是指在医生充分告知的基础上，患者有做出决定的权利，而非由医生决定什么选择对患者是最好的。^[11]但是，现实中此项权利遭到侵犯的表现如下：

第一，患者主动向医院申请复印病历的情形多见于发生医疗纠纷之后，此前对病历上记载的重要信息并不知情，更无从做出决定。 ^[12]

第二，医院可能会拒绝、拖延提供病历的副本。比如，深圳一名孕妇生产后竟发生脑梗塞以致右侧偏瘫，其后状告医院。法院认为医院曾有拒绝复印病历的行为，也无法证明未篡改病历。尽管鉴定结论认为院方不构成医疗事故，但其依据的病历已不能视为原始证据，不予采信，按院方举证不能处理，医院的医疗行为构成医疗事故，应负完全责任。^[13]此案发生在《侵权责任法》出台之前，依据《民事诉讼证据的若干规定》第4条第8项，医疗行为与损害结果之间不存在因果关系、医疗过错的举证责任在于医疗机构。换言之，在医疗机构不能举证或者不能充分举证证明自己无过错时，法院将作出不利于医疗机构的事实认定。^[14]

第三，病历原件遗失或无法复原，或是医院进行了涂改、销毁。比如，山东某卫生院称未篡改病历，而是修改错字。法院认为，根据司法鉴定意见，这不是简单的错别字修改，而是直接导致主要内容的变化，不能否定擅自改动的事实。根据《侵权责任法》第58条第3款规定，患者有损害，医疗机构有伪造、篡改或者销毁病历资料的，推定医疗机构有过错。^[15]有学者指出，第58条属于不允许被告以相反的证据予以推翻的推定，是立法者预设的“直接认定”^[14]，第3款包含了行为过错与因果关系的推定^[16] 。

个人隐私指私人生活安宁不受他人非法干扰，私人信息保密不受他人非法搜集、刺探和公开。而个人医疗记录、基因信息、遗传信息是个人的敏感隐私信息。^[17]现实中，医疗机构未尽善良保管义务的情形包括两种：一是医院保管不善，二是医院故意泄露，如随意公开化验单；以科研成果等书面形式公开病人隐私；医技管人员口头宣扬病人隐私；病案泄露隐私；^[18]拍摄病患照片上传至网络等。^[19]

总之，病历所有权、隐私权、知情权是三位一体的常规模式，如加拿大安大略省《个人健康信息保护法案》第1条表明保护患者的隐私是立法目的之一，法案第三部分是患者“同意”(consent)的专门规定。^[20]又如，《美国联邦法规》§482.13是有关患者权利的体系性规定，第一、三、四项患者权利就是知情权(notice of rights)、隐私权(privacy)与病历保密权(confidentiality of patient records)。^[21]然而，上述实例表明常规模式在病历所有权归于医方的基础上，实际上未能较好地保护患者的隐私权与知情权。

第一，病历的物质部分归医疗机构所有的观点，并非完全正确。在我国医疗实践中，患者不仅购买了门(急)诊纸质病历本，而且手中掌握着病历本，在需要的时候自行携带病历本就医。显而易见，病历本归患者所有。

第二，病历所有权归于医方的事实，在无形中也增加了医疗机构保管、使用病历的风险，使医疗机构和相关人员更容易受到法律责任的追究。比如，在前文深圳孕妇和山东卫生院案件中，单就司法解释和法律的规定而言，正是考虑到病历处于医疗机构的掌控之中，为了保持医患之间的平等地位，才对医方设置了严格的举证责任和过错责任。又如，患者就医后死亡，家属诉至法院，提出电子病历不符合锁定的要求，质疑其真实性。医院表示电子病历每日存档，真实可靠，无需锁定，并且已封存相同的纸质病历。其后司法鉴定意见认定电子病历未发现伪造、篡改痕迹。法院认为，《电子病历基本规范(试行)》规定电子病历应当锁定，但并未明确提出锁定的主体、流程及方法。最后，法院判决医院承担全部鉴定费用。并且，法院还向国家卫生计生委发出了完善规范的司法建议函。^[22]此案中，即便法院认为锁定的主体不甚明确，但是电子病历系统为医院所有，且操作者为医务人员，患者并不接触电子病历，所以判决医院负担鉴定费用。正如有学者在分析时指出，当电子病历的安全性出现问题时，将只能由医疗保健机构承担责任。^[23]

第三，患者个人信息以患者的身体、精神、心理为依托，客观信息与主观信息的划分较为普遍。例如，澳大利亚首都领地的《健康档案(隐私和使用)法案》规定，个人健康信息在种类上包括客观性事实(factual matters)与主观性判断(matters of opinion)。^[24]两者比较而言，病历中大部分的信息是纯粹直观反映患者上述状态的内容，比如患者对病情的客观陈述，以及通过医疗器械的运行而直接产生数据的检查、检验结果等；少部分的信息源自医务人员的专业知识和诊断结论，但是也必须以患者为基础和前提。对此，台湾学者持相同意见：“大部分医疗资讯是间接收集而来，是客观性的，在判读与应用上不会涉入病患或医事人员个人的主观。”^[19]无疑，将病历所有权归于医方的立法完全忽视了病历的客观信息部分，对患者不公。

第四，判断病历所有权归属时，无法脱离医疗合同。毋庸置疑，若患者不就医，则不存在患者个人信息与病历，医学研究、医学教育与公共卫生事务等亦无从发生。欧美一些国家根据医疗健康信息的用途，将其分为初次使用和二次使用，前者用于个体诊治以及医院工作质量审核评估，后者用于公共卫生、医学研究等。^[25]但是一般情况下，当患者主动告知医生其个人以及家族的相关信息，或者在病历中留下个人健康医疗信息时，是基于方便医生为自己提供医疗服务的原因，而非为了医学研究、医学教育与公共卫生事务的实施与开展。简言之，双方就医疗合同达成合意时，患者并无将其信息进行二次使用的意思表示。如果需要使用患者未去身份化的信息，正当的途径是医生对此进行明确说明，并获取患者或代理人的同意。反之，直接用立法的方式将记录着患者信息的病历列为医方的财产，不仅违背了患者的本意，也超越了医疗合同的内容。

应该说，医务人员完全履行法定义务和契约义务是保护患者知情权和隐私权的必然选择。此外，医学研究、医学教育值得予以高度关注。2015年4月世界医学会理事会会议重申《患者权利里斯本宣言》，患者自我决定权的内容包括有权拒绝参与医学研究或者医学教育。^[26]事实上，台湾地区有学者就批判其《个人资料保护法》为研究机构开创了相当大的特权空间，而非合理利用的范围，是对个人资讯自主权与隐私权的牺牲。^[19]欧盟的个人数据保护规则一向是多国和地区仿效的蓝本，2014年欧洲议会形成的立法决议对患者的知情同意权确立了前所未有的高度保护，例如因历史的、统计的、科研的目的，有必要处理个人健康数据时，务必获取数据主体的同意，否则将不被允许。当科研基于公共卫生目的，而需要处理医疗数据时，应当获取患者的同意，并且数据主体可以随时撤销同意。^[27]

在我国，根据《医疗机构病历管理规定(2013)》第15、16条之规定，为患者提供诊疗服务的医务人员可以查阅患者病历。其他医疗机构及医务人员因科研、教学需要查阅、借阅病历的，向患者就诊医疗机构提出申请，经同意并办理手续后可以查阅、借阅。也就是说，无需经过患者或代理人的同意，也无需去身份化。然而，医疗机构和医务人员若依此行事，可能会遭遇法律纠纷，原因如下：

第一，《侵权责任法》第62条明确规定，当未经患者同意公开其病历资料，造成患者损害的，医疗机构应当承担侵权责任。特别重要的是，第20条规定了人身权益遭受财产损失的“获利视为损失”赔偿规则，反映了人格权商品化的趋势，可适用于个人信息。^[28]第22条支持精神损害赔偿的请求。与此对应，司法解释《审理利用信息网络侵害人身权益民事纠纷案件适用法律若干问题的规定》第18条解释了“被侵权人为制止侵权行为所支付的合理开支”；确立了被侵权人财产损失或者侵权人获利无法确定时，赔偿数额为50万元以下的标准；明确了精神损害赔偿数额的依据。同时，该司法解释第12条规定，获取自然人书面同意后，学校、科研机构等基于公共利益为学术研究或者统计的目的，可以采用不足以识别特定自然人的方式公开信息。

第二，《执业医师法》第37条列出，隐匿、伪造或者擅自销毁医学文书及有关资料的；泄露患者隐私，造成严重后果的，均由卫生行政部门给予警告或者责令暂停六个月以上一年以下执业活动；情节严重的，吊销执业证书。

第三，《刑法修正案(九)》第17条对出售、非法提供公民个人信息罪与非法获取公民个人信息罪进行了修订：一是犯罪主体取消了“国家机关或者金融、电信、交通、教育、医疗等单位的工作人员”的限制，修改之后是一般主体，包括自然人和单位。二是加大刑罚处罚力度，增设“情节特别严重”的法定刑。三是违规出售、提供在履行职务或提供服务时获得的公民个人信息的，从重处罚。

综上，我国现有的法律和司法解释从民事责任、行政责任、刑事责任三个层面给予立体保护。其中，较为薄弱的环节有两个：一是医疗机构的行政责任尚不明确，二是司法解释局限于网络环境，不适用于在其他场合公开信息的情形。不过，以司法解释第12条的立场可以预测，我国正在研究制订中的个人信息保护法将与欧盟的立法精神大体相当。

第一，明确信息所有权的归属。信息所有权不同于病历所有权。患者信息的人身属性极强，足以表达人的尊严并决定患者就是其信息的所有者。在医疗服务合同中，当患方支付了合理的费用后，获知医生的诊断结论、治疗方案、医嘱等是合同的应有之义。当与患者相关的记录不是医疗机构的定论时，就不属于合同暗含的应有内容，理应归医方所有，例如讨论意见以及医务人员就观察到的情况进行分析的思路和尚未确定的结论等。概言之，在医疗机构记录的患者个人信息之中，大部分信息归患者所有，小部分信息归医方所有。

第二，卫生信息化的发展将改变信息所有权与支配权分离的现状。我国的现状为：患方支配着门(急)诊纸质病历；门(急)诊电子病历存在于电子病历系统之中，由医疗机构保管和支配；住院病历为医疗机构所支配，原因在于病案是珍贵的诊疗、科研、教学资料，能反映医疗水平、工作情况，有可能降低发生医疗纠纷的风险。^[29]

完成统计、科研和教育等各项工作与病历资料是否为原件无关。在卫生信息化和大数据的趋势之下，将会减少纸质病历的使用。电子健康档案是电子病历的升级版本，在使用范围和频率方面均将超越电子病历，并且电子健康档案的所有者是用户。再者，防御患者的心理和行为终非长久之计，我国刑法修正案(九)第31条明确将医疗、教学、科研秩序列为犯罪客体，表明立法者保护医疗卫生事业的决心。

第三，患者所有权的实现与限制。一方面，就住院纸质病历的查询和复制而言，医方应当逐步自愿放开患者享有所有权的信息。有医务人员提出，应该允许患者查阅和获得全部病历资料，已有部分医院这样做了，既能缓解不信任，也能提高病历及医疗质量。因为无法复印主观资料而产生的纠纷约占1/9，司法实践中也需要提交主观资料。^[30]2015年广州市中级人民法院发布《医疗损害责任纠纷案件审理指引》，在举证责任方面，规定医疗机构应当提供由其保管的全部门(急)诊病历及住院病历，患者有权复制、封存在接受诊疗期间形成的所有门(急)诊病历和住院病历。^[31]另一方面，就电子病历而言，患者享有访问权、修改权(需申请，及时修改不准确的信息)、删除权(需申请，限于不具备研究、教育、统计等价值的信息)；医疗机构提供自助服务，便于患者登录、查询、下载、打印患者享有所有权的信息。

医学研究与教育既能为患者提供公共卫生服务与诊治、护理、保健服务，也能损害患者的隐私权与知情权。由于患者的健康医疗信息具有极其珍贵的统计、研究和教育价值，因此，信息管理人在确认信息使用人的身份、信息使用的目的与手段等符合法律和公序良俗之后，应当分两步操作：第一，除去患者的身份信息，或者使用假名、加密技术等隐匿患者身份。当不便于去身份化时，需要获取患者或代理人明确而有效的同意。第二，完成前述步骤后，再交于信息使用人。