HIPAA：健康保险携带与责任法案

FreeGuideOnline 最新 2026-06-19

HIPAA 简介：保护健康数据的基石

《健康保险携带与责任法案》（Health Insurance Portability and Accountability Act，简称 HIPAA）是美国于1996年颁布的联邦法律。它最初的目的是改善健康保险的覆盖范围和连续性，但如今其最广为人知的部分是与健康数据隐私和安全相关的规定。对于任何处理个人健康信息的组织或个人来说，理解 HIPAA 不仅是法律要求，更是建立信任的基础。

本教程将带你系统地了解 HIPAA 的核心概念、主要规则以及如何在实践中保障健康数据的安全。

HIPAA 的核心目标

HIPAA 主要追求以下几个目标：

  • 保险携带性：确保个人在更换或失去工作时，健康保险仍然有效，减少因已有疾病被拒保的情况。
  • 问责与反欺诈：通过标准化电子交易减少医疗保健系统中的浪费、欺诈和滥用。
  • 数据隐私与安全：为受保护的健康信息（PHI）设立国家级的隐私和安全保护标准。
  • 管理简化：通过统一电子传输健康信息的标准，提高医疗保健系统的效率。

本教程将重点放在数据隐私与安全方面，即 HIPAA 的隐私规则和安全规则。

关键定义：谁、什么、哪里

在深入规则之前，必须明确几个核心定义，它们决定了 HIPAA 适用于谁以及保护什么。

受保护实体（Covered Entities）

HIPAA 直接适用于三类“受保护实体”：

  1. 健康计划：如健康保险公司、HMO、公司健康计划、政府医保项目（Medicare、Medicaid）。
  2. 信息交换中心所：将非标准健康信息转换为标准格式的实体，例如账单服务公司。
  3. 医疗保健提供者：以电子形式传输任何健康信息的医生、诊所、医院、药房、疗养院等。

业务伙伴（Business Associates）

任何为受保护实体执行涉及 PHI 的功能或活动，并代表受保护实体创建、接收、维护或传输 PHI 的个人或实体。例如：云存储服务商、医疗数据处理公司、法律顾问、会计师、IT 支持人员等。业务伙伴必须签署业务伙伴协议（BAA），明确其保护 PHI 的责任。

受保护的健康信息（PHI）

PHI 是 HIPAA 隐私规则保护的核心。它指由受保护实体或其业务伙伴持有或传输的、与个人过去、现在或未来的身体/精神健康状况、医疗保健服务提供或医疗保健费用支付相关的、可以单独识别到个人的信息。

PHI 可以存在于任何形式：书面、口头或电子。电子形式的 PHI 被称为 ePHI，是安全规则的重点防护对象。

常见的 PHI 标识符有18种，包括：

  • 姓名、地址（小于州的行政区划）、所有与日期相关的信息（生日、入院日、出院日、死亡日，年份除外）
  • 电话号码、传真号码、电子邮件地址
  • 社会安全号码、病历号、健康计划受益人编号
  • 账号、证书/执照号码、车辆标识符
  • 设备标识符和序列号、URL、IP 地址
  • 生物识别标识符（指纹、声纹等）、全脸照片
  • 任何其他唯一的、可识别的代码

单独存在或与其他信息结合后能够识别到个人的健康信息，即被归类为 PHI。

隐私规则：个人有权，实体有责

隐私规则确立了个人对其健康信息拥有的权利，以及受保护实体使用和披露 PHI 的限制。

个人的核心权利

  • 获取权：有权查看和获取一份自己的健康记录副本。实体必须在30天内响应。
  • 修正权：如果认为自己的 PHI 不准确或不完整，有权请求修正。
  • 披露会计权：有权索取一份清单，列明实体在特定时间内（通常6年）对 PHI 做出的非授权披露（治疗、支付和运营目的除外）。
  • 限制权：有权请求限制自己 PHI 的使用和披露。对于向健康计划披露某项已自费支付全款的服务信息这一请求，实体必须遵守。
  • 保密通信权：有权请求通过其他方式或在其他地点接收通信，例如要求使用个人邮箱而非家庭住址。
  • 违规通知权：在发生违规行为导致 PHI 不当泄露时，有权及时收到通知。

允许使用和披露的基本原则

受保护实体只能在以下两种情况下使用或披露 PHI：

  1. 经个人书面授权：用于营销、销售 PHI 等目的，必须有个人明确、具体的授权。
  2. 隐私规则允许或要求但无需授权：主要包括以下几类：
    • 向个人本人：直接向其披露。
    • 治疗、支付和健康服务运营：这是最核心的例外。医疗团队之间为了治疗、向保险公司发送账单、以及进行质量评估等内部运营活动，无需每次获取授权。
    • 法律要求和公共利益的例外：如报告某些疾病、应对法律程序、保护受害者免受虐待、器官捐献、研究目的（需经伦理委员会审查）、避免严重健康安全威胁等。

最小必要原则：无论何种情况，使用、披露或请求 PHI 时，都必须限于实现目的所需要的“最小必要”信息。

安全规则：电子健康信息的三重防护

安全规则专门针对电子 PHI（ePHI），要求受保护实体和业务伙伴实施合理的、适当的管理、物理和技术保障措施，以确保 ePHI 的机密性、完整性和可用性。

管理保障措施

这是安全策略和流程的基石，占比超过整个安全规则要求的一半。

  • 安全管理流程：必须定期进行风险评估，识别 ePHI 面临的潜在风险和漏洞，并实施相应的安全措施降低风险。还需要制定制裁政策。
  • 指派安全官：必须指定一名安全官负责制定和实施安全政策。
  • 劳动力安全：确保所有员工拥有适当的访问权限，并接受安全培训。
  • 信息访问管理：实施最小必要原则，将 ePHI 的访问权限隔离给有业务需要的员工。
  • 安全意识与培训：定期对所有员工（包括管理层）进行安全提醒、恶意软件防护、密码管理等培训。
  • 应急计划：必须制定数据备份计划、灾难恢复计划和紧急模式操作计划，并定期测试和修订。

物理保障措施

保护存放 ePHI 的物理设施和设备。

  • 设施访问控制：通过门禁、安保等措施，限制对包含 ePHI 系统的物理访问。
  • 工作站和设备安全：规定如何正确使用和保护访问 ePHI 的工作站（如屏幕遮挡、自动锁屏）。制定移动设备的安全处理和销毁政策。

技术保障措施

通过技术手段保护 ePHI。

  • 访问控制：为每个用户分配唯一的用户标识，以便追踪其操作。实施紧急访问程序。
  • 审计控制：实施硬件、软件和程序机制，记录和检查 ePHI 信息系统的活动。
  • 完整性控制：实施电子措施，确保 ePHI 不被不当更改或破坏。
  • 身份验证：验证请求访问 ePHI 的个人或实体身份。
  • 传输安全：实施技术安全措施，防止通过电子网络传输 ePHI 时被未授权访问。加密在传输和存储中都是“可寻址的”（addressable），即如果合理和适当则必须实施；若不实施，需记录理由并实施等效的替代措施。

违规通知规则：透明与问责

当发生涉及 PHI 的违规行为时，HIPAA 要求及时通知相关方。

  • 违规定义：是指违反隐私规则，导致 PHI 的未经授权的访问、使用或披露，且此事件对 PHI 的安全性或隐私性构成重大威胁。
  • 通知义务：
    • 受影响个人：必须在发现违规后的60天内，以书面形式通知受影响的个人。
    • 媒体：如果违规影响超过500名同一州或辖区内的居民，必须通知当地主要媒体。
    • 卫生与公众服务部（HHS）：影响少于500人的违规行为，需在日历年内累计记录并在次年60天内向 HHS 报告；影响500人以上的违规行为，必须在60天内同步通知 HHS，HHS 将公开通报。
    • 业务伙伴：若违规发生在业务伙伴处，业务伙伴必须通知受保护实体。

PHI 的去标识化：释放数据价值

如果数据已按照 HIPAA 标准去标识化，则不再属于 PHI，不受 HIPAA 限制。去标识化有两种方法：

  1. 专家认定法：由具有统计和科学知识的专家认定，重新识别个人的风险非常小。
  2. 安全港法：移除所有18种 PHI 标识符，并且受保护实体没有实际理由相信剩余信息可以单独或与其他信息结合识别个人。

去标识化是平衡数据利用（如研究、公共卫生分析）与隐私保护的关键技术。

HIPAA 合规的常见挑战与最佳实践

对于初学者或正在建立合规体系的组织，以下实践至关重要：

  • 绘制数据流图：首先搞清楚 PHI 在哪里、如何流动、谁在访问它。这是风险评估的基础。
  • 签署业务伙伴协议（BAA）：任何外部服务商只要接触 PHI，就必须签署 BAA。不要忽视云服务商、邮件服务商等。
  • 培训至上：人为错误是数据泄露的主要原因。将安全意识培训作为常态机制，而非一次性活动。
  • 拥抱加密：在传输和静态存储中加密 ePHI，可显著降低数据泄露事件中的风险，有时甚至可作为违规通知的安全港。
  • 准备应急计划：定期演练数据恢复流程，确保灾难后能快速恢复 ePHI 的可用性。
  • 记录一切：风险分析、安全政策、培训记录、事件响应文档等必须妥善保存。合规就是做到并记录下来。
  • 持续监控：HIPAA 合规不是一次性的项目，而是一个持续的过程。应不断监控、评估和更新安全措施以适应新的威胁。

HIPAA 为健康数据保护搭建了法律框架，但真正的保护来源于每一个环节中对“患者隐私至上”理念的深刻尊重与执行。无论你是医疗从业者、技术开发人员还是管理者，掌握这些基础知识都是守护数字时代健康信息的第一道防线。