hipaa-minimum-necessary

HIPAA 最低必要标准 — 45 CFR §164.502(b)

概述

最低必要标准是 HIPAA 隐私规则的核心原则，要求受监管实体尽合理努力，将受保护健康信息限制在实现使用、披露或请求预期目的所需的最低限度。该标准编入 45 CFR §164.502(b)，并在 §164.514(d) 中进一步阐述，影响受监管实体运营中每一项涉及 PHI 的处理决策。HITECH 法案 §13405(b) 指示 HHS 发布指南，更具体地界定“最低必要”的含义。虽然 HHS 尚未针对该条款发布最终规则，但 OCR 始终通过和解协议和纠正行动计划执行该标准。

监管框架

法律与监管依据

• 45 CFR §164.502(b)(1)：“使用或披露受保护健康信息，或向另一受监管实体或业务伙伴请求受保护健康信息时，受监管实体或业务伙伴必须尽合理努力，将受保护健康信息限制在实现使用、披露或请求预期目的所需的最低限度。”
• 45 CFR §164.514(d)：最低必要标准的实施规范
• HITECH 法案 §13405(b)：要求 HHS 发布界定最低必要标准的指南；在最终规则出台前，该标准按合理性标准适用

最低必要标准的例外 — §164.502(b)(2)

最低必要标准不适用于：

例外	理由
向医疗服务提供者披露或由其请求信息，用于治疗	治疗需要完整的临床情况；限制信息可能危及患者安全
向作为 PHI 主体的个人使用或披露信息	个人有权获取其完整信息
根据 §164.508 下有效的授权使用或披露信息	个人已具体授权披露范围
为开展合规调查或执法而向 HHS 披露信息	HHS 需要获取信息以确定是否合规
法律要求的使用或披露	法律规定优先于最低必要限制
为遵守 HIPAA 行政简化要求而进行的使用或披露	标准交易要求包含指定的数据元素

实施要求 — §164.514(d)

员工对 PHI 的使用 — §164.514(d)(2)

对于 PHI 的内部使用，受规管实体必须：

1. 确定需要访问 PHI 以履行职责的员工或员工类别
2. 确定每类员工需要访问的 PHI 类别
3. 尽合理努力，将访问权限限制在已确定为必要的 PHI 范围内

Asclepius Health Network 基于角色的访问矩阵：

员工角色	PHI 访问类别	访问范围	EHR 访问级别
主治医师	所负责患者的完整临床记录	当前及历史就诊记录	对所负责患者拥有完整读写权限；对其他患者仅有只读权限，需通过紧急破例访问机制
会诊专科医师	与会诊相关的临床记录	当前就诊记录及相关病史	对转诊患者相关临床领域的信息拥有只读权限
注册护士（住院部）	护理评估、生命体征、药物给药记录、护理计划、医嘱	所负责病区内患者的当前住院记录	对病区内所负责患者拥有读写权限；对转院患者拥有只读权限，以便保持护理连续性
急诊科护士	急诊患者的完整临床记录	当前急诊就诊记录	对急诊患者拥有完整读写权限；出院或转院时终止访问权限
药剂师	药物医嘱、过敏信息、与药物治疗相关的诊断、肾功能／肝功能	当前及近期就诊记录	可读取与药物相关的临床数据；可写入药物审核／配药信息
医疗编码员	诊断、操作、手术记录、出院摘要	出院后的记录	对编码相关文档拥有只读权限
计费专员	人口统计信息、保险信息、诊断代码、操作代码、服务日期	已计费的就诊记录	无权访问临床记录；仅可访问人口统计信息和计费代码
登记文员	人口统计信息、保险信息、紧急联系人	仅限登记界面	仅可读写人口统计和保险字段
质量改进分析师	汇总临床数据、去标识化数据、依据 DUA 提供的有限数据集	人群级报告	根据数据使用协议访问有限数据集；无具体理由时不得访问个人记录
IT 支持人员	系统管理——故障排除期间可能会附带访问 ePHI	根据技术支持需要	活跃支持工单期间的访问均须记录；不得浏览；所有访问均接受审计
行政领导层	汇总报告、汇总统计数据	去标识化或汇总数据	仅可访问仪表板；无权访问患者个人记录
法律顾问	与正在进行的诉讼或合规调查相关的 PHI	法律保全要求涉及的特定记录	经隐私办公室授权后，按具体事项授予访问权限

常规和定期披露 — §164.514(d)(3)(i)

对于常规和定期披露，受规管实体必须实施政策和程序，将披露的 PHI 限制在实现目的所合理必需的范围内：

Asclepius Health Network 常规披露规程：

常规披露类型	标准 PHI 集合	排除的 PHI
保险资格核验	患者姓名、出生日期、保险 ID、服务日期	临床信息、诊断、SSN
转诊至外部服务提供者	相关临床摘要、当前用药、过敏情况、转诊原因	无关的既往诊断、药物滥用记录（42 CFR Part 2）、心理治疗记录
工伤赔偿索赔	与工作相关的伤病记录、针对该病症的治疗记录	无关的病史
预先授权申请	拟进行的操作、临床依据、相关诊断结果	完整病历
公共卫生报告	报告辖区法规要求的数据要素	超出应报告要素范围的额外临床详情
传票回复（附合格保护令）	传票／法院命令中指定的记录	超出命令范围的记录

非常规披露 — §164.514(d)(3)(ii)

对于非常规披露，受规管实体必须：

1. 制定标准，将 PHI 限制在该次披露所需的最低范围内
2. 根据这些标准逐案审查每项请求

Asclepius Health Network 非常规披露流程：

1. 所有非常规 PHI 请求均转交至健康信息管理（HIM）部门
2. HIM 专员根据所述目的审查请求
3. 如果目的不明确，或请求范围似乎超出必要范围，HIM 会联系请求方进行澄清
4. 涉及以下事项的请求必须由隐私官审查：心理治疗记录、药物滥用记录、HIV／STI 记录、未成年人记录、未持有令状的执法部门请求，以及任何涉及 50 人以上的请求
5. 仅披露实现所述目的所需的 PHI 要素
6. 记录披露范围的理由，以便进行披露情况核算

向其他受规管实体披露 — 合理信赖 §164.514(d)(3)(iii)

如果符合以下条件，受规管实体可以信赖其他受规管实体或业务伙伴提出的请求，认为该请求符合最低必要标准：

请求方类型	在以下情况下允许合理信赖
公职人员	请求说明 PHI 是实现所述目的所需的最低限度（§164.514(d)(3)(iii)(A)）
其他受规管实体	请求所需的 PHI 是请求方需要的（§164.514(d)(3)(iii)(B)）
CE 或 BA 的专业工作人员	声明所请求的 PHI 是实现所述目的所需的最低限度（§164.514(d)(3)(iii)(C)）
经 IRB／隐私委员会豁免的研究	豁免文件说明 PHI 是研究所需的最低限度（§164.514(d)(3)(iii)(D)）

合理信赖并不会免除披露实体的义务；在特定情况下，它会将确定最低必要范围的责任转移给请求方。

HITECH 法案 §13405(b) — 加强最低必要标准

HITECH §13405(b) 增加了两项规定：

1. 有限数据集标准：在 HHS 发布最终指南之前，如果受规管实体必须遵守最低必要标准，且认定有限数据集（§164.514(e)）能够实现目的，则提供有限数据集即视为符合最低必要标准
2. 未来指南：HHS 被要求发布法规，进一步收紧最低必要标准，将信息限制在实现所述目的所需的最低范围内——该最终规则仍待发布

文档要求

受监管实体必须记录并维护：

1. 政策和程序：落实最低必要标准（§164.530(i)）
2. 基于角色的访问权限定义：按员工类别确定 PHI 类别（§164.514(d)(2)）
3. 常规披露规程：明确标准 PHI 集合（§164.514(d)(3)(i)）
4. 非常规审查标准和逐案判定记录（§164.514(d)(3)(ii)）
5. 培训材料：为所有员工讲解最低必要原则
6. 处分记录：记录违反最低必要政策的员工

根据 §164.530(j)，所有文档必须自创建之日或最后生效之日起保留 6 年。

常见的最低必要原则违规情形

违规模式	示例	补救措施
默认授予完整病历访问权限	所有护士都能访问所有科室的所有患者病历	实施基于科室的访问限制；跨科室访问必须启用紧急访问机制（break-the-glass）
针对有限请求发送完整病历	律师要求提供与膝部手术相关的病历；HIM 却发送完整病历	培训 HIM 分析请求范围；实施披露审查清单
角色定义过于宽泛	“临床医生”角色向医生、护士、医疗助理和技师授予相同的访问权限	根据工作职能细化角色定义；为每种临床角色单独设置访问配置
未记录访问情况，无法开展最低必要审计	无法确定员工是否只访问其负责患者的病历	实施访问审计报告，将已访问病历与分配的患者进行比对
因用途有限，却传真包含所有人口统计信息的完整面页	登记部门为核实处方，向药房传真完整人口统计信息页	按交易类型创建仅含必要字段的精简表单

执法行动

• Memorial Hermann Health System（2017）：240 万美元——在新闻稿中披露患者的 PHI（姓名与其涉及车辆事故的信息相关联），超出了最低必要范围
• Cignet Health（2011）：430 万美元（CMP）——虽然主要处罚原因是拒绝患者的访问权，但 OCR 指出其未能系统性地实施最低必要政策
• CVS Pharmacy（2009）：225 万美元——将 PHI 不当丢弃在垃圾箱中，反映出其未能在处置流程中落实最低必要原则

集成点

• hipaa-privacy-rule：最低必要是《隐私规则》的核心要求，影响所有使用和披露行为
• hipaa-security-rule：技术访问控制（§164.312(a)）通过基于角色的 ePHI 访问来落实最低必要原则
• hipaa-baa-management：BAA 必须将 BA 对 PHI 的访问限制在合同服务所需的最低范围内
• hipaa-deidentification：去标识化和有限数据集可作为研究与分析中的最低必要工具
• 42-cfr-part-2：药物滥用记录有各自基于同意的最低必要要求，且比 HIPAA 更严格