未经允许拍摄病历属于侵犯患者隐私权的行为，具体处罚需根据行为性质、后果严重程度以及行为人身份等因素综合判断，可能涉及民事赔偿、行政处罚甚至刑事责任。以下从不同角度展开分析：
1. 民事责任角度
- 法律依据：根据《民法典》第1032条、第1033条，自然人享有隐私权，任何组织或个人不得以刺探、侵扰、泄露、公开等方式侵害他人隐私。病历属于个人敏感信息，未经允许拍摄可能构成对隐私权的侵犯。
- 责任形式：患者有权要求行为人停止侵害、赔礼道歉、消除影响，并可主张精神损害赔偿。赔偿金额需结合侵权情节、后果严重性（如是否导致患者社会评价降低、精神痛苦等）综合判定。
2. 行政责任角度
- 医疗机构内部人员：若行为人为医护人员或医院工作人员，可能违反《医师法》《护士条例》或《医疗机构病历管理规定》中关于保护患者隐私的义务，由卫生行政部门给予警告、暂停执业活动直至吊销执业证书等处罚。
- 非医疗机构人员：若行为人通过非法手段获取病历（如偷拍、骗取），可能违反《治安管理处罚法》第42条，面临5日以下拘留或500元以下罚款；情节较重的（如多次实施、造成较大影响），处5-10日拘留，可并处500元以下罚款。
3. 刑事责任角度
- 侵犯公民个人信息罪：若行为人将拍摄的病历非法出售、提供给他人，且达到“情节严重”标准（如信息数量达50条以上、违法所得5000元以上等），可能构成《刑法》第253条之一的侵犯公民个人信息罪，处3年以下有期徒刑或拘役，并处或单处罚金；情节特别严重的，处3-7年有期徒刑，并处罚金。
- 其他罪名：若行为人利用病历信息实施诈骗、敲诈勒索等犯罪，将按相应罪名数罪并罚。
4. 特殊主体责任
- 医疗机构责任：若医院未尽到病历管理义务（如未妥善保管导致病历被偷拍），可能因违反《基本医疗卫生与健康促进法》第92条承担行政责任，患者也可依据《民法典》第1218条主张医疗损害责任。
行动建议
- 立即停止侵权：若您是行为人，应立即删除拍摄的病历内容，避免进一步传播。
- 协商或诉讼：若您是患者，可先与行为人协商要求删除、道歉；协商不成可向法院起诉主张民事赔偿。
- 举报违法行为：若行为人涉嫌行政违法或犯罪，可向公安机关、卫生行政部门举报。
如有具体情节需要进一步分析（如行为人身份、病历用途、是否公开等），可直接向我咨询，我会结合细节为您梳理法律风险及应对方案。