hipaa-privacy-rule

HIPAA 隐私规则 — 45 CFR §164.500-534

概述

HIPAA 隐私规则为受保护实体及其业务伙伴持有的个人可识别健康信息（受保护健康信息，PHI）确立了国家保护标准。该规则依据 1996 年《健康保险流通与责任法案》制定，并于 2000 年通过隐私规则最终确定（后于 2002 年和 2013 年根据 HITECH/综合规则进行重大修订），旨在平衡患者隐私权与医疗服务提供的实际需求。隐私规则适用于健康计划、医疗保健信息交换机构，以及为 HIPAA 涵盖的交易而以电子方式传输任何健康信息的医疗保健提供者。

受保护实体和业务伙伴

受保护实体包括哪些

根据 45 CFR §160.103，受保护实体包括：

实体类型	定义	示例
医疗保健提供者	为 HIPAA 涵盖的交易而以电子方式传输健康信息的任何提供者	医院、医师诊所、药房、实验室、牙科诊所、脊椎指压治疗师
健康计划	提供或支付医疗护理费用的个人或团体计划	健康保险公司、HMO、雇主赞助的健康计划、政府项目（Medicare、Medicaid、TRICARE）
医疗保健信息交换机构	将非标准健康信息处理为标准格式的实体	账单服务机构、重新定价公司、社区健康管理信息系统

Asclepius Health Network 示例

Asclepius Health Network 作为受保护实体运营，旗下包括 12 家医院、85 家门诊诊所和一个关联健康计划。每位工作人员——从主治医师到前台员工——都必须遵守隐私规则。Asclepius 指定首席隐私官负责管理所有设施的规则实施工作。

受保护健康信息（PHI）

定义

PHI 是受保护实体或业务伙伴以任何形式或媒介传输或维护的个人可识别健康信息。根据 45 CFR §160.103，个人可识别健康信息是指符合以下条件的信息：

1. 由医疗保健提供者、健康计划、雇主或医疗保健信息交换机构创建或接收
2. 涉及个人过去、现在或未来的身体或精神健康状况、向个人提供医疗保健，或医疗保健费用的支付
3. 能够识别个人，或提供合理依据表明可以识别个人

PHI 包含哪些内容

PHI 涵盖任何形式的信息——电子信息（ePHI）、纸质信息或口头信息。§164.514(b)(2) 定义的 18 项标识符包括：

1. 姓名
2. 小于州级的地理数据（街道地址、城市、县、ZIP code——人口 > 20,000 时允许使用前 3 位数字）
3. 与个人相关的日期（出生、入院、出院、死亡——仅年份可以保留）
4. 电话号码
5. 传真号码
6. 电子邮箱地址
7. 社会安全号码
8. 病历号码
9. 健康计划受益人号码
10. 账号
11. 证书／执照号码
12. 车辆标识符和序列号，包括车牌号码
13. 设备标识符和序列号
14. Web URL
15. IP 地址
16. 生物识别标识符（指纹、声纹）
17. 正面全脸照片及类似图像
18. 任何其他唯一标识号码、特征或代码

排除项

PHI 不包括：

• 受 FERPA 保护的教育记录
• 受保护实体以雇主身份持有的就业记录
• 符合 §164.514(a)-(b) 标准的去标识化数据

PHI 的使用和披露

未经授权即可允许的使用

隐私规则允许在以下情况下未经个人授权使用和披露 PHI：

治疗、支付和医疗保健运营（TPO）— §164.506

TPO 是支持常规医疗服务的主要例外：

治疗（§164.501）：一名或多名医疗服务提供者提供、协调或管理医疗保健及相关服务。包括提供者之间的会诊、转诊，以及提供者之间就患者进行的沟通。

在 Asclepius Health Network，心脏科医生可以将患者的超声心动图检查结果分享给转诊的初级保健医生，无需患者授权，因为这属于治疗。

支付（§164.501）：受监管实体或其业务伙伴为获得或提供医疗保健报销而开展的活动。包括资格认定、账单处理、理赔管理、利用率审查和催收活动。

Asclepius Health Network 的账单部门可以向患者的健康保险公司提交患者的诊断代码和操作代码以供理赔审核，无需患者授权。

医疗保健运营（§164.501）：包括质量评估、能力保障、开展或安排医疗审查、法律服务、审计、业务规划、客户服务、解决内部申诉、合规活动以及有限的去标识化数据分析等活动。

公共利益和公益活动 — §164.512

活动	CFR 条款	要求
法律要求	§164.512(a)	法规、规章或法院命令强制要求披露
公共卫生	§164.512(b)	向公共卫生主管机构披露，用于疾病预防、FDA 报告、工作场所安全
虐待／忽视受害者	§164.512(c)	向获准接收报告的政府主管机构披露
医疗监督	§164.512(d)	向医疗监督机构披露，用于审计、调查、检查
司法程序	§164.512(e)	根据法院命令或附有传票的合格保护令作出回应
执法	§164.512(f)	根据法律程序，在有限情形下（身份识别、场所内犯罪、紧急情况）披露
死者	§164.512(g)	向验尸官、法医、殡葬服务人员披露
器官捐献	§164.512(h)	向器官获取组织披露
研究	§164.512(i)	经 IRB／隐私委员会豁免授权、为研究做准备，或用于死者研究
严重威胁	§164.512(j)	为防止或减轻对健康或安全的严重且迫在眉睫的威胁而披露
基本政府职能	§164.512(k)	军事、退伍军人、国家安全、情报、保护服务
工伤赔偿	§164.512(l)	根据工伤赔偿法律授权披露

需要授权的使用和披露 — §164.508

以下情形需要授权：

• 心理治疗笔记的使用和披露（§164.508(a)(2)）
• 出于营销目的的使用和披露（§164.508(a)(3)）
• 出售 PHI（§164.508(a)(4)）
• 隐私规则未另行允许或要求的任何使用或披露

有效授权的要求

根据 §164.508(c)，有效授权必须包含：

1. 对要使用或披露的信息作出具体且有意义的描述
2. 获准进行该项使用或披露的人员姓名或具体身份信息
3. 可以接收披露的人员姓名或具体身份信息
4. 对每项使用或披露目的的描述（“应个人要求”即已足够）
5. 到期日期或事件
6. 个人签名和日期
7. 如由个人代表签署，须说明该代表的授权权限

授权表上必须包含的声明：

• 有权以书面形式撤销授权
• 是否可以将治疗、支付、参保或资格认定与授权挂钩
• 接收方可能再次披露信息（之后将不再受 HIPAA 保护）

最低必要标准 — §164.502(b)

一般要求

受监管实体必须作出合理努力，将 PHI 限制在实现使用、披露或请求预期目的所需的最低范围内。这是最常被引用和执行的条款之一。

最低必要标准的例外

最低必要标准不适用于：

1. 为治疗目的向医疗服务提供者披露或由其提出的请求
2. 向 PHI 所涉个人披露
3. 根据有效授权进行的使用或披露
4. 向 HHS 披露以配合合规调查或执法
5. 法律要求的使用或披露
6. 为遵守 HIPAA 行政简化要求而进行的使用或披露

Asclepius Health Network 的实施方式

Asclepius Health Network 通过以下方式实施最低必要标准：

工作人员访问权限：通过基于角色的访问控制，定义每种工作人员角色所需的 PHI 类别。急诊科护士可访问当前就诊记录、生命体征、过敏信息和用药清单。计费人员可访问人口统计信息、保险详情、诊断代码和操作代码，但不能访问临床记录。

常规披露：对于常规、重复进行的披露，Asclepius 会维护标准协议，限制所提供的信息。进行保险资格核验时，仅传送患者姓名、出生日期、保险 ID 和所申请服务的日期。

非例行披露：对于非例行披露，隐私办公室会逐案审核每项请求。审核人员会运用最低必要原则，并记录披露范围的理由。

个人权利

访问权 — §164.524

个人有权查阅并获取指定记录集所维护的 PHI 副本，但存在有限的例外：

• 时限：受监管实体必须在收到请求后的 30 天内采取行动（可书面说明理由并延长一次，延长 30 天）
• 格式：如果能轻易制作，必须按请求以电子形式提供 PHI
• 费用：仅可收取合理且以成本为依据的费用，用于支付复制人工、耗材和邮寄费用（不包括检索或搜索费用）
• 拒绝理由：心理治疗记录、为法律诉讼而汇编的信息、受 CLIA 管辖的实验室结果；如果向在押人员提供会危及健康或安全；研究参与者在研究期间提出请求，且其在加入研究时已同意不访问

Asclepius Health Network 提供患者门户，供患者访问电子健康记录。患者申请其他记录时，Asclepius 会在 15 个工作日内提供。Asclepius 对每份电子副本收取 6.50 美元（固定费用，涵盖人工和传输费用）。

修改权 — §164.526

个人可以请求修改指定记录集中的 PHI。若信息符合以下情况，受监管实体可以拒绝：

• 并非由受监管实体创建（除非信息来源方已无法联系）
• 不属于指定记录集
• 根据 §164.524 无法提供访问
• 准确且完整

如果请求被拒绝，个人可以提交一份异议声明，并将其附加到记录中。

获取披露记录的权利 — §164.528

个人有权获取受监管实体在请求前六年内所作披露的记录。例外包括以下披露：

• 用于治疗、支付或医疗服务运营
• 向个人本人披露
• 根据授权进行
• 用于机构名录，或披露给参与护理的人员
• 用于国家安全或情报目的
• 在羁押情况下披露给惩教机构或执法部门
• 属于有限数据集的一部分
• 发生在《隐私规则》合规日期之前

申请限制的权利 — §164.522(a)

个人可以申请限制出于 TPO 目的进行的使用和披露。受监管实体无需同意限制，但以下情况除外：

• 强制限制：如果个人全额自费支付某项医疗项目或服务，受监管实体必须同意限制向健康计划披露信息，以用于支付或医疗运营目的（由 HITECH §13405(a) 新增）

申请保密通信的权利 — §164.522(b)

个人可以申请通过其他方式或发送至其他地点进行通信。医疗服务提供者必须满足合理的申请。如果个人声明披露信息可能使其处于危险之中，健康计划必须满足其申请。

获得隐私惯例通知的权利 — §164.520

受监管实体必须提供隐私惯例通知（NPP），说明：

• PHI 可能如何使用和披露
• 个人有关 PHI 的权利
• 受监管实体的法律义务
• 如需了解更多信息，应联系谁
• 如何提出投诉

发放：与患者有直接治疗关系的医疗服务提供者必须在首次提供服务时提供 NPP，并尽最大努力取得书面确认。健康计划必须在投保时提供，并在重大修订后的 60 天内提供。

目录选择退出 — §164.510(a)

维护机构目录的受监管实体可以为目录用途列入有限的 PHI（患者姓名、在机构内的位置、一般状况、宗教信仰）。必须：

1. 事先告知个人将列入哪些 PHI
2. 给予个人限制或禁止部分或全部用途的机会
3. 允许个人完全选择退出

如果个人失去行为能力或无法联系，受监管实体可以列入目录信息，前提是这符合个人此前表达的偏好，且根据专业判断，披露符合个人的最佳利益。

在 Asclepius Health Network，患者登记时会被询问是否愿意列入机构目录。选择退出的患者会在入院系统中被标记，并告知所有工作人员，不得向来电者或访客提供任何信息。

个人代表 — §164.502(g)

如果个人代表根据适用法律有权代表个人作出医疗保健决定，则在隐私规则适用范围内，必须将该个人代表视同个人：

个人	个人代表	授权依据
成年人	持有医疗保健授权委托书的人	州医疗保健 POA 法规
未成年人（一般情况）	父母、监护人或以父母身份行事的人	州关于父母权利的法律
未成年人（例外情况）	未成年人作为自己的代表	允许未成年人同意的州法律（性传播感染治疗、物质滥用、生殖健康）
已故个人	遗嘱执行人、遗产管理人或对遗产拥有法律权限的人	州遗嘱认证法
丧失行为能力的成年人	法院指定的监护人或州法律授权的人	州监护法规

虐待/忽视例外：如果受监管实体有合理理由认为个人曾遭受或可能遭受个人代表实施的家庭暴力、虐待或忽视，且将该人视为代表不符合个人的最佳利益，则受监管实体可以拒绝将其视为个人代表。

执法与处罚

OCR 执法

HHS 民权办公室（OCR）通过以下方式执行隐私规则：

• 调查投诉
• 合规审查
• 技术协助和指导

民事罚款（经 HITECH 修订）

等级	过错程度	每次违规	年度最高金额
1	不知情（且尽到合理勤勉义务也不会知情）	$137–$68,928	$2,067,813
2	有合理理由，并非故意疏忽	$1,379–$68,928	$2,067,813
3	故意疏忽，在 30 天内改正	$13,785–$68,928	$2,067,813
4	故意疏忽，未予改正	$68,928–$2,067,813	$2,067,813

罚款金额依据 45 CFR §160.404 每年按通胀调整。

值得关注的执法行动

• Anthem Inc.（2018 年）：达成 $16 million 和解，这是金额最大的 HIPAA 和解；涉及影响 78.8 million 人的泄露事件。调查发现，其访问控制不足，且未开展全企业范围的风险分析。
• Premera Blue Cross（2020 年）：因未开展风险分析并实施充分的安全控制，导致 10.4 million 条记录泄露，达成 $6.85 million 和解。
• Banner Health（2023 年）：因影响超过 2.81 million 人的泄露事件，达成 $1.25 million 和解。OCR 发现其未开展准确的风险分析，也未实施审计控制。

集成点

• hipaa-security-rule：实施《隐私规则》对 ePHI 保护要求的技术保障措施
• hipaa-minimum-necessary：最低必要标准的详细实施说明
• hipaa-breach-notify：违反《隐私规则》导致未经授权披露时的泄露通知义务
• hipaa-baa-management：《隐私规则》下业务伙伴的义务
• hipaa-deidentification：PHI 去标识化方法，使其不再受《隐私规则》约束