什么是 HIPAA?通俗易懂的解读

HIPAA,即《健康保险流通与责任法案》(Health Insurance Portability and Accountability Act),是 1996 年出台的美国联邦法律,为保护患者健康信息设定了全国性标准,并要求医疗机构及其供应商对这些信息加以保护。很多人以为 HIPAA 只管辖医院和医生,但这部法律实际上还涵盖计费公司、IT 供应商、云服务提供商,以及传送转诊文件的 fax 服务。

1996 年 8 月 21 日,美国总统比尔·克林顿签署 HIPAA,编号为公共法 104-191。国会和 HHS 先后四次对其进行更新:隐私规则(2003 年)、安全规则(2005 年)、违规通知规则(2009 年)和综合规则(2013 年)。第五次更新是 20 年来对安全规则最大规模的改写,已列入 OCR 2026 年 5 月的监管议程。

本指南涵盖 HIPAA 的含义、四项规则、哪些信息属于 PHI、哪些机构必须遵守、违规的处罚、HIPAA 如何适用于 fax、电子邮件、短信和 Slack,以及八步入门清单。读完本文,您就能了解 HIPAA 是否适用于您的机构,以及下一步该怎么做。

HIPAA 的定义及简史(1996 年至今)

HIPAA 最初是为了帮助劳动者在更换工作时保留健康保险而制定的。如今人们普遍与之联系在一起的隐私和安全规则,是后来才加入的。

HIPAA 的全称

HIPAA 是 1996 年《健康保险流通与责任法案》(Health Insurance Portability and Accountability Act)的缩写。1996 年 8 月 21 日,美国总统比尔·克林顿签署该法案,编号为公共法 104-191。该法律最初有四个目标:使健康保险可在不同工作之间转移、减少医疗欺诈和滥用、规范电子医疗交易,以及保护健康信息。

在最初的法律中,保护健康信息只是最小的一部分。国会责成美国卫生与公共服务部(HHS)后续制定具体的隐私和安全法规。如今人们提到“HIPAA”,通常指的就是这些法规。

HIPAA 的演变:四次重大更新

• 隐私规则(2003 年)首次确立了谁可以使用和披露 PHI 的全国性标准,并赋予患者对其病历的权利。
• 安全规则(2005 年)为电子 PHI 增加了行政、物理和技术方面的保护措施。
• HITECH 法案与违规通知规则(2009 年)将每年最高罚款从 25,000 美元提高到每年 150 万美元,引入了强制性违规通知,并以 250 亿美元的激励措施推动了电子健康记录(EHR)的普及。HITECH 还赋予各州总检察长执行 HIPAA 的权力。
• 综合规则(2013 年)让业务伙伴直接对违反 HIPAA 的行为承担责任,并扭转了违规通知的举证责任。

HIPAA 在 2025–2026 年的现状

HHS 于 2025 年 1 月提出了一项重大的安全规则更新。该更新将使多重身份验证和加密成为强制要求,并取消“必需”与“可寻址”规范之间的区别。业界估算的成本高达 340 亿美元。民权办公室(Office for Civil Rights)已将最终确定该规则列入其 2026 年 5 月的监管议程。请现在就将 MFA 和加密视为必需项,以免日后手忙脚乱。

HIPAA 四项规则详解

人们常把“HIPAA”说得好像只是一项规定。实际上,它由四项相互关联的规则组成,而大多数违规行为都发生在这些规则之间的衔接处。

隐私规则(2003 年)

隐私规则界定了 PHI,以及在何种条件下谁可以访问 PHI。患者享有查阅自己病历、申请更正、获取披露记录清单,以及要求限制其信息使用方式的权利。医疗服务提供者必须在 30 天内答复查阅请求,并可延期一次,最长 30 天。

该规则允许在未经患者授权的情况下,将 PHI 用于治疗、支付和医疗运营(即“TPO”例外)。其他所有情形均须遵守最小必要标准:仅披露实现目的所需的信息。治疗是唯一的例外,在此情形下完整病历可以在医疗服务提供者之间流转。

一个典型的隐私规则违规案例:某诊所将患者的 HIV 状况传真给了工作人员以为是患者初级保健医生的对象,结果对方竟是患者的雇主。号码错误,没有最小必要控制措施,也没有核实。

安全规则(2005 年)

安全规则仅适用于电子 PHI(ePHI)。它界定了三类保护措施:

• 管理方面:风险分析、员工培训、处罚政策、访问管理
• 物理方面:设施访问控制、工作站安全、设备处置
• 技术方面:访问控制、审计日志、完整性控制、传输加密

目前“必需”与“可寻址”规范之间的区别,预计将在 2025 年拟议的更新中取消。风险分析方面的失误在执法案件中占主导地位:在 2024 年结案的 22 项 OCR 处理决定中,有 13 项涉及此类问题。

违规通知规则(2009 年,通过 HITECH)

如果未受保护的 PHI 发生泄露,涵盖实体必须通知三类对象:

• 受影响的个人,须在 60 天内通知
• HHS(影响 500 人及以上的违规须立即通知,较小规模的违规须在年底后 60 天内通知)
• 如果单个州有 500 名或以上居民受到影响,须通知主要媒体机构

加密提供了一个安全港。经过适当加密的数据即使丢失或被盗,也不会触发通知义务。Warby Parker 在 2025 年达成的 150 万美元和解,涉及凭证填充攻击导致客户眼镜验光处方数据泄露后,同时存在安全规则和违规通知规则的失误。

违规有三种例外情形:获授权员工的无意访问、两名获授权人员之间的无心披露,以及向无法合理留存该信息的一方披露。

综合规则(2013 年)

综合规则让业务伙伴及其分包商直接对 HIPAA 承担责任。2013 年之前,只有涵盖实体会面临罚款。

综合规则还扭转了违规情形下的举证责任。现在,隐私规则不允许的使用或披露会被推定为违规,除非涵盖实体能够通过四因素风险评估证明 PHI 被泄露的可能性很低。

什么是 PHI?触发 HIPAA 的 18 项标识符

PHI 是指 18 项特定标识符中的任何一项,并且与某人的健康、医疗服务或医疗费用支付相关联。如果正确删除全部 18 项标识符,数据就被去标识化了,也就不再属于 PHI。

18 项 HIPAA 标识符

1. 姓名
2. 小于州级别的地理数据
3. 与个人相关的所有日期(年份除外)
4. 电话号码
5. fax 号码
6. 电子邮件地址
7. 社会安全号码
8. 病历号
9. 健康保险计划受益人编号
10. 账号
11. 证书或执照编号
12. 车辆标识符(包括车牌号)
13. 设备标识符和序列号
14. 网址(URL)
15. IP 地址
16. 生物识别标识符(包括指纹和声纹)
17. 全脸照片及类似图像
18. 任何其他唯一的识别编号、特征或代码

相同数据不属于 PHI 的情形

没有健康背景的标识符不属于 PHI。零售商邮寄名单上的客户姓名只是一个名字。没有标识符的健康背景同样不属于 PHI。经过适当去标识化的医院汇总统计数据不在 HIPAA 的适用范围内。只有这两个要素同时存在,才会触发该法律。患者姓名加上诊断结果属于 PHI;没有任何标识符的诊断结果则不属于。

谁必须遵守 HIPAA(谁不必遵守)

您的 Fitbit 数据不受 HIPAA 保护。您雇主的健康促进计划很可能也不受保护。HIPAA 只涵盖一份特定的组织名单,而这份名单比大多数人想象的要窄。

涵盖实体(CE)

HIPAA 涵盖实体分为以下三类:

1. 健康计划:保险公司、HMO、Medicare、Medicaid 以及雇主团体健康计划。大多数雇主团体健康计划无论规模大小均属涵盖范围。狭义的例外是参保人数少于 50 人的自行管理团体健康计划,这类计划不在 HIPAA 范围内。如果计划由保险公司或第三方管理机构运营,则属于涵盖范围。
2. 医疗保健清算机构:将非标准数据转换为标准电子交易的实体。
3. 医疗保健提供者:在涵盖交易(理赔、资格核查、转诊)中以电子方式传输任何健康信息的提供者。

电子交易这一触发条件,正是几乎所有现代医疗提供者都被涵盖的原因。一旦您以电子方式向保险公司结算,或发送电子转诊,就在涵盖范围之内。

业务伙伴(BA)

业务伙伴是指代表涵盖实体执行涉及 PHI 的职能的任何个人或组织。常见示例包括:计费公司、IT 供应商、云存储提供商、文件粉碎服务商、可接触 PHI 的律师事务所、转录服务商,以及符合 HIPAA 要求的 fax 服务提供商。

自 2013 年综合规则起,业务伙伴需直接对 OCR 负责。在 PHI 转移之前,请先签署 Business Associate Agreement(BAA)。Gulf Coast Pain Consultants 因一名承包商在合同终止后仍保留系统访问权限并提交欺诈性 Medicare 理赔,支付了 119 万美元,这说明了业务伙伴访问控制失效的后果。

哪些不受 HIPAA 涵盖

• 在团体健康计划之外处理员工健康信息的雇主(改由 ADA 和 FMLA 管辖)
• 不向医疗提供者销售服务的消费类健身应用,包括 Fitbit、Apple Health 和 MyFitnessPal(改由 FTC《健康泄露通知规则》管辖)
• 学校和大学(学生记录由 FERPA 管辖)
• 人寿保险公司、工伤赔偿保险承保机构以及大多数残疾保险公司
• 执法机构
• 无法接触 PHI 的营销分析公司

HIPAA 与沟通渠道:fax、电子邮件、短信、Slack、视频

德克萨斯州一家牙科诊所因一名员工在回复 Yelp 上的一星差评时透露了患者详情,被罚款 10,000 美元。HIPAA 随信息而行,而不取决于媒介。您的员工用来传递 PHI 的每一个渠道,都需要有各自的合规答案。

合规对照表

‍

fax:依然是医疗行业的主力工具

根据管道例外,电话运营商在传输 fax 时不属于业务伙伴,因为运营商既不会查看也不会存储内容。这使传统 fax 仍属于 HIPAA 允许使用的渠道。

模拟 fax 存在两个实际问题:一是没有审计追踪,二是一个数字输错就可能泄露 PHI(例如向雇主泄露 HIV 感染状况的事件)。像 Fax.Plus 这样符合 HIPAA 要求的 cloud fax 服务会在其 Enterprise 套餐中签署 BAA,对传输中和静态数据进行加密,记录每一次发送和接收,并允许员工通过电子邮件或网页浏览器发送。员工可以直接通过电子邮件发送 fax,无需离开他们已经习惯使用的工作流程。

电子邮件和即时通讯

免费个人电子邮件是最常见的隐性 HIPAA 违规行为。Gmail、Outlook.com、Yahoo 和 iCloud 的免费版不会签署 BAA。付费的 Google Workspace 和 Microsoft 365 可以满足 HIPAA 要求,但前提是您已签署 BAA 并锁定相关配置(禁用第三方应用访问、开启审计日志、强制启用 MFA)。

标准短信不符合要求。运营商不签署 BAA,且信息会以未加密形式存储在设备和运营商系统中。请改用符合 HIPAA 安全要求的通讯应用。

视频和协作工具

FaceTime 和个人 Zoom 账户不可使用。Zoom for Healthcare、Doxy.me 和 Microsoft Teams(需签署 BAA)则可以使用。Slack 须使用 Enterprise Grid 才会签署 BAA。无论配置得多么完善,标准版 Slack 工作区都不符合 HIPAA 要求。

HIPAA 违规与处罚:不合规的代价

2024 年,美国卫生与公共服务部(HHS)民权办公室(OCR)结案了 22 起执法行动,涉及金额 990 万美元。其中 13 起都出现了同一个根本原因——“未进行适当的风险分析”。

民事处罚等级(2026 年)

• 第 1 级(不知情):每次违规 145 美元至 73,011 美元,每年最高 2,190,294 美元
• 第 2 级(有合理理由):每次违规 1,461 美元至 73,011 美元
• 第 3 级(故意疏忽,30 天内已纠正):每次违规 14,618 美元至 73,011 美元
• 第 4 级(故意疏忽,未纠正):每次违规 73,011 美元至 2,190,294 美元

刑事处罚

OCR 会将刑事案件移交司法部,由司法部提起公诉。明知而获取或披露 PHI:最高罚款 50,000 美元并处 1 年监禁。以虚假借口获取:最高罚款 100,000 美元并处 5 年监禁。以出售、转让或用于商业利益或恶意伤害为目的:最高罚款 250,000 美元并处 10 年监禁。

2024–2025 年真实执法案例

• Warby Parker 150 万美元(2025 年):遭遇撞库攻击;这家眼镜零售商属于涵盖实体
• Montefiore Medical Center 475 万美元:内部人员窃取 12,000 多条记录;审计控制薄弱
• Enzo Biochem 450 万美元:勒索软件造成的数据暴露,根源在于共用凭据和一个使用了十年的密码
• Gulf Coast Pain Consultants 119 万美元:已被解雇的承包商仍保留系统访问权限,并提交了欺诈性的 Medicare 理赔申请
• 德克萨斯州一家牙科诊所 10,000 美元:所有者在回复 Yelp 评论时透露了患者的详细信息

自 2019 年以来,OCR 的“访问权倡议”(Right of Access Initiative)已促成 54 起执法行动,对未能按时提供病历记录的医疗机构处以 3,500 美元至 160,000 美元不等的罚款。

谁来执行 HIPAA

HHS 民权办公室负责民事执法。各州总检察长也可以提起 HIPAA 诉讼(HITECH 法案于 2009 年赋予了这一权力)。司法部负责起诉刑事案件。FTC 则针对健身追踪器等不受 HIPAA 约束的健康类应用执行《健康泄露通知规则》。

比 HIPAA 更严格的州法律

HIPAA 是联邦层面的底线。少数几个州在此基础上建起了更高的“楼层”,当州法律更严格时,以州法律为准。

• 加州 CMIA:对医疗信息的定义更广,适用于更多类型的实体,赋予患者直接起诉的私人诉权,并要求在 5 天内提供记录访问,而 HIPAA 为 30 天。
• 德克萨斯州 HB 300:将“涵盖实体”扩大到基本上所有在德克萨斯州处理 PHI 的主体,要求员工在入职后 90 天内接受培训并每两年复训一次,并授权总检察长每年处以最高 150 万美元的罚款。
• 华盛顿州 MHMDA:美国适用范围最广的消费者健康隐私法。它涵盖 HIPAA 豁免的健身追踪器数据、经期追踪应用和健康类应用信息,并赋予私人诉权。

纽约州的 SHIELD 法案和伊利诺伊州的《基因信息隐私法》在各自州内增加了额外的保护层。

当州法律比 HIPAA 更严格时,遵循州法律;当 HIPAA 更严格时,以 HIPAA 为准。请针对您处理 PHI 的每个州,梳理这两类要求。

如何开始 HIPAA 合规:实用清单

HIPAA 合规无法“一劳永逸”,它是一项持续进行的工作。但通过八个步骤,您可以建立起一套可信的合规体系。

HIPAA 入门八步清单

1. 确定您的身份。您是涵盖实体、业务伙伴,还是两者都不是?这一答案决定了其余所有步骤。
2. 开展安全风险分析(SRA)。这是 OCR 最常指出的缺陷(2024 年 22 项中占 13 项)。请梳理 PHI 存放的每一处位置、接触 PHI 的每一个系统以及每一种威胁。
3. 任命隐私官和安全官。在小型机构中,可以由同一人担任。请以书面形式明确这些职务。
4. 编写必需的政策。包括隐私政策、安全政策、泄露响应计划、处罚政策和设备政策。通用模板只是起点,而非终点。
5. 与每一家接触 PHI 的供应商签署 BAA。包括电子邮件服务商、云存储、fax 服务(Fax.Plus Enterprise 包含 BAA)、计费公司、IT 支持、转录服务。没有 BAA,就不得提供 PHI。
6. 培训您的员工。入职时进行初始培训,定期进行复训,并为临床和 IT 人员提供针对岗位的培训。请记录参训情况。
7. 落实技术保障措施。基于角色的访问控制、审计日志、传输中和静态加密,以及对所有接触 PHI 的账户启用 MFA。
8. 制定泄露响应手册。包括四要素风险评估流程、60 天通知时限、OCR 和各州总检察长的联系人名单,以及至少每年一次的桌面演练。

‍