42-cfr-part-2

42 CFR Part 2 — 物质使用障碍记录

概述

42 CFR Part 2 为由联邦资助、治疗物质使用障碍（SUD）的项目所创建的患者记录确立了联邦保密保护。Part 2 最初依据《1970 年综合酒精滥用与酒精中毒预防、治疗和康复法案》以及《1972 年药物滥用预防、治疗和康复法案》颁布，旨在通过确保 SUD 记录不能用于刑事起诉患者或以其他方式歧视患者，消除治疗障碍。Part 2 的规定有意严于 HIPAA——大多数披露都需要特定的书面同意，并禁止接收方再次披露。CARES 法案 §3221（2020 年 3 月颁布）以及随后发布的 2024 年最终规则（89 FR 12472，于 2024 年 2 月 16 日生效）对 Part 2 作出了重大修订，使部分条款与 HIPAA 保持一致，同时保留了对患者的核心保护。

适用范围 — 谁必须遵守

Part 2 项目

Part 2 适用于任何由联邦资助、自称并实际提供物质使用障碍诊断、治疗或治疗转介服务的“项目”。符合以下任一条件的项目即为联邦资助项目：

1. 由美国任何部门或机构开展（VA、IHS、军方）
2. 根据联邦政府颁发的许可证、认证、注册或授权开展（阿片类药物治疗项目的 DEA 注册）
3. 获得任何联邦部门或机构的资金支持（参与 Medicare/Medicaid 即符合条件）
4. 通过依据 26 USC §501(c)(3) 获得免税资格而得到 IRS 的支持
5. 由获得联邦资金、且这些资金可用于 SUD 项目的州或地方政府开展（即使资金并未直接用于 SUD）

Asclepius Health Network 的适用情况：Asclepius 运营 3 家专门的 SUD 治疗机构，并在全部 12 家医院提供 SUD 治疗服务。由于 Asclepius 参与 Medicare 和 Medicaid，所有 SUD 治疗记录均属于 Part 2 记录。Asclepius 在其 EHR 中为 Part 2 记录维护单独的同意工作流。

综合医疗机构

综合医疗机构（例如医院急诊科）仅在其自称提供 SUD 诊断、治疗或转介服务的特定科室范围内属于 Part 2 项目。不过，2024 年修订明确指出，综合医疗记录中附带出现的 SUD 信息（例如患者因心脏病入院期间记录的酒精使用障碍病史），只有在该信息来自 Part 2 项目时才受 Part 2 保护。

受保护的记录 — §2.12

Part 2 保护符合以下条件的记录：

1. 能够表明患者患有或曾患有物质使用障碍
2. 由 Part 2 项目创建（或从 Part 2 项目接收）
3. 包含 SUD 诊断、治疗或转介信息

这些保护适用于任何能够表明某人为 SUD 患者的信息，包括此人现在或曾经是 Part 2 项目患者这一事实。

同意要求 — §2.31

必须取得书面同意

与允许在未经同意的情况下为 TPO 目的披露信息的 HIPAA 不同，Part 2 历来要求几乎所有披露都必须获得特定的书面同意。2024 年修订引入了与 HIPAA 接轨的 TPO 一次性同意模式，但附带重要的保障措施。

2024 年之前的同意要求（仍适用于非 TPO 披露）

有效的 Part 2 同意必须包含以下所有内容：

要素	要求
患者姓名	患者的完整法定姓名
Part 2 项目名称	作出披露的具体项目
接收方姓名	接收披露的人员或实体的姓名，或对其的一般性描述
目的	必须说明披露目的
待披露的信息	将披露的信息范围和类型
患者签名	患者（或授权代表）的签名
签署日期	同意书的签署日期
可撤销声明	声明同意可随时撤销，但在项目已依据该同意采取行动的范围内除外
失效条件	同意失效的日期、事件或条件（如未指定，同意书必须声明其在目的实现时失效）
禁止再次披露通知	声明根据同意披露的信息不得再次披露，除非 Part 2 允许

2024 年修正案——与 HIPAA 对齐的 TPO 同意

2024 年最终规则（89 FR 12472）新增了 §2.33，允许通过一份事先签署的书面同意，涵盖未来所有用于治疗、支付和医疗保健运营的使用与披露：

§2.33 同意的主要特点：

• 患者可以通过一份书面同意，涵盖未来所有 TPO 披露
• 同意涵盖向治疗服务提供者、付款方和执行医疗保健运营的实体披露
• 同意书无需列出每个具体接收方——对接收方类别作一般性描述即可（例如“我的治疗服务提供者”或“我的健康计划”）
• 除非患者撤销，否则同意不会失效
• 患者保留随时撤销的权利（撤销仅对未来生效）
• 接收方仍受 Part 2 的反歧视规定以及有限使用和披露限制的约束

Asclepius Health Network 的实施方式：Asclepius 在患者办理 SUD 项目入组手续时，向其提供 §2.33 TPO 同意书。签署 TPO 同意书的患者，其 Part 2 记录会在 EHR 中标记，以便按规定与治疗服务提供者及患者的健康计划共享。拒绝 TPO 同意书的患者仍采用传统的逐次披露同意流程。所有同意决定均记录在 EHR 中。

再披露禁令——§2.32

Part 2 的核心保护

每次披露 Part 2 记录时，都必须附上以下通知：

“向您披露的这份记录受联邦保密规则（42 CFR Part 2）保护。联邦规则禁止您进一步披露本记录中的信息，只要这些信息能够直接、通过引用公开信息，或通过他人核实此类身份的方式，表明某人患有或曾患有物质使用障碍；除非披露该信息的个人以书面同意明确允许进一步披露，或 42 CFR Part 2 另有规定。一般性的医疗或其他信息发布授权不足以满足此目的（参见 §2.31）。联邦规则限制将这些信息用于调查或起诉患有物质使用障碍的患者的任何犯罪，但 §§2.12(c)(5) 和 2.65 规定的情况除外。”

2024 年修正案对再次披露的影响

根据 2024 年修正案，依据 §2.33 TPO 同意披露 Part 2 记录时：

• 接收方若为 HIPAA 承保实体或业务伙伴，可根据 HIPAA 规则进一步使用和披露记录（实际上，在 TPO 用途中将其视为受 HIPAA 保护的 PHI）
• 对 HIPAA 承保接收方放宽再次披露禁令，允许开展 HIPAA 授权的标准 TPO 活动
• 但是，Part 2 禁止将记录用于针对患者的民事、刑事、行政或立法程序，这一规定仍然有效（§2.12(d)）
• 非 HIPAA 承保接收方仍受传统再次披露禁令约束

法院命令要求 — §2.64、§2.65

授权法院命令披露

无法获得同意或不适用同意时，法院只有在认定存在“正当理由”后，方可签发授权披露的命令。“正当理由”是指：

1. 无法通过其他方式获取信息，或其他方式无法奏效
2. 披露的公共利益和必要性超过对患者、医患关系及治疗服务可能造成的损害

申请流程

法院命令申请必须使用患者的化名，除非患者本人是申请人，否则不得向法院披露可识别患者身份的信息。申请必须以密封方式提交。

刑事调查 — §2.65

除极有限的例外情况外，不得使用 Part 2 记录调查或起诉患者的物质使用障碍相关犯罪：

• 根据 §2.65 签发法院命令，还须认定该犯罪极其严重（造成或威胁造成死亡或严重人身伤害）
• 命令必须将披露范围限制在实现目的所必需的信息，并将访问权限限制在需要这些信息的人员

合格服务组织协议 — §2.11(a)

Part 2 要求为向 Part 2 项目提供服务的实体签订 QSOA（类似于 HIPAA BAA）：

QSOA 要求	说明
书面协议	必须采用书面形式，并由双方签署
确认承担 Part 2 义务	QSO 确认受 Part 2 约束
允许开展的活动	数据处理、实验室分析、法律／医疗／会计／其他专业服务
不得再次披露	QSO 同意不再次披露，除非 Part 2 允许
对抗强制程序	QSO 同意抵制要求提供患者记录的司法程序，除非 Part 2 允许

2024 年修正案：现有 QSOA 可继续保留，但项目现在可以转而对 Part 2 记录使用 HIPAA 风格的 BAA，前提是 BAA 包含 Part 2 的特定保护措施（反歧视规定、调查／起诉用途限制）。

对比：Part 2 与 HIPAA（2024 年修订后）

方面	HIPAA	42 CFR Part 2（2024 年修订后）
TPO 同意	不要求	需要书面同意（可提供 §2.33 单次同意）
同意的具体程度	不适用（TPO 无需同意）	必须包含指定要素；针对 TPO，可对接收方作一般性指定
再披露	HIPAA 允许在许可的使用／披露情形下进行	受到限制——作为 HIPAA CE 的接收方可依据 HIPAA 将信息用于 TPO；反歧视保护仍然有效
在针对患者的法律程序中使用	无禁止规定	禁止，特定法院命令除外（§2.12(d)）
泄露通知	根据 §164.400-414 的规定必须执行	现已与 HIPAA 泄露通知要求保持一致（2024 年修订）
处罚	HIPAA 民事和刑事处罚	Part 2 刑事处罚（§2.4）加上适用于受涵盖实体的 HIPAA 处罚（2024 年修订）
执法	OCR	SAMHSA（针对 Part 2）以及 OCR（执法保持一致，2024 年修订）
患者访问权	有，§164.524	现已与 HIPAA 保持一致（2024 年修订）

特殊人群和情形

未成年人 — §2.14

• 未成年人是否可以同意接受 SUD 治疗，由州法律规定
• 如果未成年人依法可以同意接受 SUD 治疗，则由未成年人决定是否同意依据 Part 2 披露信息
• 对于依法不能同意接受治疗的未成年人，父母／监护人可以代为同意，但 Part 2 项目可为保护未成年人而拒绝父母访问

医疗紧急情况 — §2.51

在真实的医疗紧急情况下，可在满足紧急情况所需的范围内，向医务人员披露信息而无需取得同意。项目必须记录：接收方的姓名和所属机构、授权披露人员的姓名、披露日期和时间、紧急情况的性质，以及所披露的信息。

审计和评估 — §2.53

联邦、州和地方政府机构以及第三方付款方可在未经同意的情况下访问 Part 2 记录，以用于审计和评估，但须遵守再披露限制，且不得将记录用于刑事调查或起诉。

Asclepius Health Network Part 2 合规计划

1. EHR 分区管理：Part 2 记录标记有敏感度代码；访问控制可阻止未获 Part 2 授权的用户查看
2. 同意管理：在 EHR 中跟踪专用同意表，并向临床工作人员显示同意状态（已授予／已撤销／从未请求）
3. 员工培训：所有临床、计费和 HIM 员工每年接受 Part 2 专项培训；SUD 项目员工每季度参加复训
4. HIE 参与：除非患者已签署 §2.33 TPO 同意书，否则 Part 2 记录不纳入自动 HIE 数据馈送
5. 泄露响应：Part 2 泄露响应遵循 HIPAA 泄露通知程序（根据 2024 年修订保持一致），并额外向 SAMHSA 报告

执法

刑事处罚 — §2.4

任何违反 Part 2 的人均可能受到以下处罚：

• 首次违规：罚款不超过 $500
• 后续违规：罚款不超过 $5,000

2024 年修订后的处罚对齐

2024 年最终规则使 Part 2 执法与适用于受涵盖实体和业务伙伴的 HIPAA 处罚等级保持一致，授权 OCR 对 Part 2 违规行为处以 HIPAA 级别的民事罚款。

集成点

• hipaa-privacy-rule：HIPAA CE 持有的 Part 2 记录同时受 Part 2 和 HIPAA 约束；Part 2 是限制更严格的标准
• hipaa-breach-notify：Part 2 泄露通知现已与 HIPAA 泄露通知要求保持一致
• hipaa-minimum-necessary：Part 2 同意书规定披露范围；HIPAA 的最低必要原则另行适用
• hipaa-baa-management：QSOA 在 Part 2 下发挥类似 BAA 的作用；2024 年修订允许在 BAA 中加入 Part 2 补充条款