hipaa-research-privacy

HIPAA 研究隐私——45 CFR §164.512(i)

概述

HIPAA 隐私规则允许受监管实体通过多种途径将 PHI 用于研究目的或披露 PHI。主要机制包括：（1）根据 §164.508 获得个人授权；（2）IRB 或隐私委员会根据 §164.512(i) 批准豁免或变更授权；（3）根据 §164.514(e) 使用附有数据使用协议的有限数据集；（4）根据 §164.514(a)-(b) 使用去标识化数据；（5）根据 §164.512(i)(1)(ii) 进行研究准备审查；以及（6）根据 §164.512(i)(1)(iii) 研究已故者信息。研究人员和受监管实体必须了解 HIPAA 与《共同规则》（45 CFR Part 46）之间的相互作用；后者独立规范涉及人体受试者的研究。

监管框架

研究授权——§164.508

• §164.508(a)：除非另有规定允许，受监管实体不得在没有符合 §164.508 要求的授权的情况下使用或披露 PHI。
• §164.508(b)(3)：研究专用授权要素：
  • 可以具体或概括地描述将使用或披露的 PHI，只要描述充分，能够让个人理解将使用或披露的 PHI
  • 授权可以用于特定研究，也可以用于未来未明确指定的研究，前提是授权充分描述了相关目的
  • 如果授权注明“研究结束时”或“无”或类似措辞，则无需注明到期日期

授权豁免——§164.512(i)(1)(i)

如果受监管实体取得 IRB 或隐私委员会批准授权豁免（或变更）的文件，且该豁免（或变更）符合以下所有标准，则可以在未经授权的情况下将 PHI 用于研究或披露 PHI：

1. 使用或披露对个人隐私造成的风险不超过最低风险，依据如下：

   • 有充分计划保护标识符，防止其被不当使用和披露
   • 有充分计划在不影响研究的前提下尽早销毁标识符（除非有健康或研究方面的理由需要保留，或法律要求保留）
   • 有充分的书面保证，除非法律要求、为授权的研究监督所需，或用于其他允许使用或披露 PHI 的研究，否则不会将 PHI 再次使用或披露给任何其他个人或实体

2. 没有该豁免或变更，研究便无法切实开展

3. 无法在不访问和使用 PHI 的情况下切实开展研究

有限数据集——§164.514(e)

有限数据集不包含 §164.514(e)(2) 列出的 16 项直接标识符，但可以包含：

• 日期（入院、出院、出生、死亡、服务）
• 城市、州、五位数邮政编码
• 年龄（包括 89 岁以上的年龄，前提是未将其合并为 90 岁及以上类别）

必须签订数据使用协议（DUA），并明确：

• 允许的使用和披露
• 可以使用或接收有限数据集的人员
• 禁止重新识别个人或联系个人
• 承诺采取充分的保障措施
• 违规情况的报告要求

研究准备工作——§164.512(i)(1)(ii)

如果受监管实体取得以下声明，则可以在为研究做准备的审查中使用或披露 PHI：

1. 寻求使用或披露 PHI，唯一目的是按需审查 PHI，以准备研究方案或用于类似的研究准备目的
2. 审查期间不会将任何 PHI 带离受监管实体
3. 该 PHI 对研究目的而言是必要的

已故者研究——§164.512(i)(1)(iii)

如果符合以下条件，受监管实体可以将已故者的 PHI 用于研究或披露该 PHI：

1. 受监管实体取得声明，确认使用或披露的唯一目的是研究已故者的 PHI
2. 所寻求的 PHI 对研究而言是必要的
3. 应要求提供死亡证明文件

HIPAA 与 Common Rule

要求	HIPAA 隐私规则	Common Rule（45 CFR Part 46）
管辖范围	受监管实体和业务伙伴对 PHI 的使用／披露	对人体研究受试者的保护
执行机构	OCR（HHS）	OHRP（HHS）和机构审查委员会（IRB）
授权／同意	HIPAA 授权（§164.508）	知情同意（§46.116）
豁免	IRB／隐私委员会豁免授权要求（§164.512(i)）	IRB 豁免知情同意要求（§46.116(f)）
去标识化	18 项标识符安全港或专家判定	不能替代 IRB 审查
适用范围	受监管实体和业务伙伴持有的 PHI	获得联邦资助机构开展的所有人体受试者研究
重叠适用	两者可能适用于同一项研究——必须同时合规	两者可能适用于同一项研究——必须同时合规

执法案例

• Lurie Children's Hospital（2024 年，345 万美元）：虽然此次和解主要涉及网络安全问题，但 OCR 指出，包含 PHI 的研究数据也在被泄露的记录之列，这凸显了保护研究 PHI 的义务
• Memorial Sloan Kettering（纽约州总检察长，2023 年）：因与第三方共享遗传数据相关的研究同意实践不足而受到州级执法
• University of Mississippi Medical Center（2016 年，275 万美元）：OCR 发现其在风险分析和访问控制方面存在系统性缺失，影响了研究数据存储库

集成点

• hipaa-privacy-rule：研究中的使用和披露受隐私规则管辖
• hipaa-deidentification：去标识化可免除 HIPAA 对研究用途的限制
• hipaa-minimum-necessary：豁免情况下的研究披露须遵守最低必要原则（个人访问或经授权的披露除外）
• hipaa-baa-management：如果研究协作者创建、接收、维护或传输 PHI，他们可能属于业务伙伴
• hipaa-breach-notification：研究数据泄露会触发相同的通知义务