违反 HIPAA 会有什么后果

HIPAA 违规可能导致纠正措施、员工纪律处分和监管执法。未加保护的患者信息发生泄露,还可能触发通知义务。最终结果取决于事件的具体经过、涉及的信息以及调查结论。

对医生或护士而言，工作层面的后果可能包括重新培训、限制访问权限或纪律处分。机构可能面临调查、和解协议（resolution agreement）或民事罚款。可能构成刑事违法的行为可被移交司法部。OCR 如何执行 HIPAA。

一份发错目的地的 fax 说明了事实为何重要。原本要发给主治医生的记录,可能因为有人选择了过时的联系人而发送到了无关的企业。当务之急是查明发送了哪些内容、限制进一步披露,并保留评估该事件所需的信息。

HIPAA 违规可能带来哪些后果？

同一事件可能引发多种应对措施。

雇主会审查员工的行为以及是否遵循了相关流程。隐私团队会评估此次披露及通知义务。监管机构可能会调查该机构的合规情况。

美国卫生与公众服务部民权办公室（HHS Office for Civil Rights，简称 OCR）可通过自愿合规、纠正措施或和解协议来处理案件，也可能处以民事罚款。调查同样可能认定并未发生违规。

因此，其他案件中的巨额罚款并不能预示某一具体事件的结果。调查需要查明所涉及的行为和义务。

对医疗机构而言,工作可能不止于最初的披露:包括审查受影响的记录、联系接收方、记录决策、对员工重新培训,以及修改导致错误发生的流程。

医生或护士违反 HIPAA 会怎样？

职业头衔并不决定固定的处罚。

护士在没有工作相关理由的情况下打开病历,与医生诊所把记录发送到错误目的地,是两种不同的情形。调查应审查当事人的行为、职责、所收到的指示,以及在问题被发现后的应对方式。

工作层面的后果取决于调查结论和适用的政策,可能包括谈话辅导、书面警告、重新培训、限制访问权限或更严厉的纪律处分。

在特定案件中,也可能涉及执业许可方面的后果。HHS 介绍过一个案例:一名执业护士不当查阅了其前夫的病历,医疗系统终止了她的访问权限,将该行为报告给执业许可机构,并要求她接受补救性的隐私培训。这并不意味着涉及事件的每位专业人员都会自动丧失执业资格。HHS 案例示例。

员工应及时报告疑似错误,并如实说明情况。机构需要这些细节来控制事件并确定自身义务。

发错号码的 fax 可能暴露敏感记录

在 HHS 公布的一个案例中，一家医生诊所把含有患者 HIV 感染状况的记录通过 fax 发给了患者的雇主，而不是新的医疗服务提供者。

负责的员工受到了书面警告。该诊所修订了 fax 封面页,并就 fax 发送流程对员工进行了辅导。医生和该员工还向患者道了歉。

错误发生在选择目的地的环节。运行正常的 fax 服务可以成功传输这份文件,而信息仍然会到达未经授权的接收方。

即使号码正确,如果员工附上了错误患者的文件,也会带来另一种风险。核对目的地和核对文件内容是两项独立的任务。

未经授权通过 fax 发送记录是否违反 HIPAA？

不一定。HIPAA 通常允许医疗服务提供者为治疗目的共享信息，无需另行取得患者授权。在采取合理保障措施的前提下可以使用 fax。针对特定记录或情形，可能还有其他要求。HHS 关于治疗沟通的指南。

最低必要标准（minimum necessary standard）也有例外情形，包括为治疗目的向医疗服务提供者披露信息或由其提出的请求。HHS 最低必要标准指南。

在事件审查中,不要因为缺少授权就断定存在违规,而应先查明目的和接收方。同样,允许向主治临床医生发送记录,并不意味着可以把记录发送给无关的雇主或其他非预期的目的地。

发现可能的 fax 披露后应怎么做

假设某家机构打来电话,告知你们的诊所发送了并非其患者的记录。

记录来电者的详细信息,并及时通知隐私官或指定的事件联系人。通过机构的事件报告渠道共享事实,并将患者信息的访问范围限制在处理该事件的人员内。

限制进一步披露

检查是否仍有内容在排队或正在传输,以及剩余的传输能否被停止。不要因为及时发现错误并取消了任务,就认为接收方没有收到任何页面。

停止待发送的传输无法收回已送达的页面。删除发送方的副本也不会删除接收方已收到的副本。

隐私团队应统筹与非预期接收方的联络，包括要求其停止进一步使用或披露，以及说明文件的处理方式。请记录接收方的答复以及已完成的任何缓解措施。

保存相关证据

请保留原始文件包和传输详情，以便调查使用。

有用的信息包括：

• 输入的目的地号码及预期接收方。
• 发送账户、日期和时间。
• 传输状态和页数。
• 所附文件。
• 问题的发现时间及报告人。
• 其他传输是否可能受到影响。

请勿为了整理账户而清除历史记录，也不要在未保留实际发送内容的情况下，用更正后的版本替换原文件包。

Fax.Plus 确认报告记录了传输详情，包括状态、日期、时间和页数，有助于还原技术层面的事件顺序。Fax.Plus 确认报告。在员工将 Fax.Plus 用于患者信息之前，请先确认 Fax.Plus 组织 fax 功能所需的账户前提条件。

确定影响范围

团队需要判断这是单一的目的地错误、附件对应了错误的患者，还是更广泛的问题。

保存了错误号码的联系人可能会影响其他记录。由多个文件组成的文件包可能包含不止一位患者的信息。

请区分已核实的事实与假设。如果接收方的说明不完整，应记录尚不清楚的部分，而不是用有利的结论来填补空白。

事件何时需要进行泄露通知？

对 PHI 的不当使用或披露会被推定为泄露（breach），除非适用某项例外情形，或有书面评估证明信息被泄露的可能性很低。

HHS 确定了四项评估因素：

• 所涉信息的性质和范围。
• 未经授权接收或使用该信息的人员是谁。
• 信息是否被实际获取或查看。
• 风险得到缓解的程度。

机构必须记录其通知决定。接收方的保证可以作为评估的参考，但员工不应将其视为全部结论。

对于需要向个人发出通知的未加保护的 PHI 泄露事件，HHS 要求在不无故拖延的前提下，最迟于发现后 60 天内发出通知。这并不意味着可以将调查推迟 60 天。其他通知另有各自的要求。HHS 泄露通知指南。

隐私团队应统筹通知流程，确保受影响的个人通过适当渠道获得准确的信息。

纠正错误的根源

沿着导致此次披露的一系列决策，对文件进行回溯。

号码是否从经过核实的来源复制？已保存的联系人是否包含过时的信息？员工能否区分姓名相似的患者？上一位患者的附件是否遗留在文件包中？

调查结果应指导纠正措施。更新联系人可以解决号码错误的问题，而记录整理错误则需要另行调整。培训应让员工了解究竟是哪一项检查环节失效。

访问权限同样值得关注。请审查谁可以打开收到的记录、使用共享工作站以及更改接收号码的分配。为员工明确职责，要求其检查传输结果，并在发现意外目的地时及时上报。

在 Fax.Plus 中，“Success”状态表示接收方 fax 终端已确认成功接收。这并不能证明目的地已获授权、预期人员已阅读文件包，或文件已送达正确的患者病历。Fax.Plus 传输状态。

若要处理 PHI，Fax.Plus 要求使用 Enterprise 并启用 Advanced Security Controls，同时签署 BAA。员工的操作规程还必须涵盖接收方、文件和访问权限。Fax.Plus HIPAA 要求。

调查期间，请与负责保留管理的人员协调证据保存工作。Fax.Plus 的自动删除不可撤销。请勿假定计划中的删除会因事件正在审查而暂停。Fax.Plus 保留控制。

对于疑似违规行为，患者可以采取的措施

如果您认为自己的记录被发送给了错误的接收方，请联系该医疗服务提供者的隐私办公室，并说明您所了解的情况。

请提供大致日期、涉及的机构以及您是如何发现该问题的。请保留相关往来记录。请询问受影响的信息有哪些、该机构已采取了哪些措施，以及如有进一步疑问应联系谁。

您也可以向 OCR 提交投诉。HHS 通常要求在您得知相关行为或疏漏之日起 180 天内提出，如有正当理由可申请延期。请注明相关实体并描述涉嫌的行为。

OCR 需要您的姓名和联系方式才能展开调查。您可以在同意书上要求保密，但这与匿名提交不同。HIPAA 禁止对提交投诉的人进行报复。HHS 投诉流程。

请通过所要求的提交渠道提供支持性证据。请避免公开发布医疗记录来证明问题，因为这可能使相关信息被进一步泄露。