《健康保险流通与责任法案》（HIPAA）是美国医疗保健监管的基石。HIPAA 旨在保护敏感的患者健康信息 (PHI)，HIPAA 制定了医疗保健组织及其员工必须遵守的规则。HIPAA 有哪些规则？为什么必须遵守这些规则？当涉及传真或在线签署文件时，这些规则意味着什么？
HIPAA 的核心是三项主要规则：隐私规则、安全规则和违规通知规则。
本指南将探讨这些规则为何重要，谁需要遵守这些规则，以及它们如何帮助保护健康信息的安全。
如果您需要电子签名或传真包含 PHI 的文档，那么了解 HIPAA 的三个关键规则至关重要。
为什么 HIPAA 的 3 条规则如此重要？
HIPAA 是一项旨在保护人们健康信息的法律。其主要目标是确保这些信息的安全，并允许其安全地用于重要目的，例如治疗患者和改进医疗保健组织的运营方式。这三项规则共同提供了一个全面的系统，以确保：
- PHI 保护：确保通过 HIPAA 授权的适当策略、保障措施和程序，保护患者数据免受未经授权的访问、使用或披露。
- 合规性保证：为医疗保健提供商和相关实体建立明确的标准。
- 信任和责任：展示对保护患者私人信息的承诺，可以在医疗保健组织内建立信任并培养责任感。
如果不遵守这些规则，可能会导致严重的问题，例如罚款、损害您的声誉以及失去患者的信任。这就是为什么所有涵盖的实体和 Business 伙伴都需要遵守它们。
HIPAA解释的3个主要规则
HIPAA的三个主要部分涉及健康信息的保护、安全和报告。
The three rules commonly discussed together are the Privacy Rule, Security Rule and Breach Notification Rule. HIPAA’s wider framework also includes enforcement and other provisions; the 2013 Omnibus Final Rule amended several existing HIPAA rules.
The HIPAA Privacy Rule
《隐私规则》制定了保护患者健康信息的规则，无论它是书面的、存储在计算机上还是口头说出的。它管理着PHI的使用、披露和访问方式。
主要组成部分：
- 受保护健康信息 (PHI)保护：隐私规则有助于保护个人健康信息 (PHI) 免受不应看到它的人的侵害。同时，它允许医生和医护人员在帮助您、获得报酬或管理医疗保健服务时共享重要信息。
- Permitted uses and disclosures: HIPAA permits certain uses and disclosures without individual authorization, including treatment by healthcare providers. The minimum necessary standard generally limits PHI to the intended purpose, but does not apply to disclosures to, or requests by, a healthcare provider for treatment. Other exceptions also apply; reasonable safeguards remain relevant.
- 患者权利: 患者有权访问其健康记录，要求更正不准确之处，并限制在允许的范围内共享其信息的方式。
根据 HIPAA 隐私规则，患者有权访问其健康信息、请求更正不准确之处，并限制某些披露。
The HIPAA Security Rule
The Security Rule protects electronic PHI through reasonable and appropriate administrative, physical and technical safeguards. For online fax, assess access to electronic records, storage, transmission and connected services. A product’s encryption feature does not establish that every part of the document workflow complies.
主要保障措施：
- 管理保障:
- 实施安全策略和程序。
- 对员工进行有关 HIPAA 合规性的定期培训。
- 执行风险评估以识别和解决漏洞。
- 物理防护:
- 控制对物理设施和设备的访问。
- 确保安全存储和处置包含ePHI的硬件。
- 使用诸如ID胸牌和安全摄像头的访问控制。
- 技术保障:
- 加密 ePHI 以防止未经授权的访问。
- 实施访问控制，例如唯一的用户ID和密码。
- 维护审计日志，以跟踪对ePHI的访问和修改。
安全规则规定了保护ePHI所必需的管理、物理和技术保障措施，包括加密、用户身份验证和安全存储协议。
The HIPAA Breach Notification Rule
《违规通知规则》概述了在发生不安全PHI违规时需要采取的措施。该规则确保及时报告，以减轻损害并保持透明度。
报告要求：
- Individual notice: Following a breach of unsecured PHI, notify affected individuals without unreasonable delay and no later than 60 days after discovery.
- HHS notice: For breaches affecting 500 or more individuals, notify HHS without unreasonable delay and no later than 60 days after discovery. Smaller breaches may be reported annually, no later than 60 days after the end of the calendar year in which they were discovered.
- Media notice: A breach affecting more than 500 residents of a state or jurisdiction also requires notice to prominent media outlets serving that area, without unreasonable delay and no later than 60 days after discovery.
如果发生数据泄露，通知必须详细说明事件、涉及的PHI、为解决泄露而采取的步骤以及为个人提供的最小化潜在危害的建议。《泄露通知规则》确保公司承担责任并帮助解决问题。
谁必须遵守 HIPAA 规则和条例？
HIPAA合规性适用于两个主要类别：受保实体和Business伙伴。
承保实体
Covered entities include health plans, healthcare clearinghouses and healthcare providers that transmit health information electronically in connection with a transaction for which HHS has adopted a standard. Handling health information alone does not establish covered-entity status.
Business 伙伴
Business 伙伴是为受保护实体提供服务的第三方组织，这些服务涉及访问PHI。例如，管理电子健康记录的IT服务提供商或账单公司。HIPAA要求受保护实体与每个Business伙伴建立Business伙伴协议（BAA），概述其保护PHI的责任。例如：
- 管理电子健康记录 (EHR) 的IT提供商。
- 处理患者数据的账单公司。
- 提供涉及PHI服务的法律或会计师事务所。
两个小组都需要遵守这些基本的HIPAA规则，以确保私人健康信息的安全，并避免违法。
HIPAA 下的应报告违规行为和例外情况
An impermissible use or disclosure is presumed to be a breach unless a documented assessment establishes a low probability that PHI was compromised or an applicable exception applies.
- Unintentional acquisition, access or use by a workforce member or person acting under the authority of a covered entity or business associate, made in good faith and within the scope of authority, without further impermissible use or disclosure.
- Inadvertent disclosure between persons authorized to access PHI within the same covered entity, business associate or qualifying organized healthcare arrangement, without further impermissible use or disclosure.
- A good-faith belief that the unauthorized recipient would not have been able to retain the information.
Quick correction or a belief that information is not sensitive does not by itself resolve the assessment.
了解这些例外情况有助于组织做出适当的响应并避免不必要的报告。
HIPAA违规的常见原因
HIPAA违规通常是由于保障措施的疏忽或无意的错误造成的。根据美国卫生与公共服务部的说法，常见原因包括：
- 未经授权的访问：员工出于好奇、个人原因或没有合法的 Business 目的而访问 PHI。示例包括查找有关同事、家庭成员或知名人士的信息。
- 不充分的安全措施：缺乏关键保护，例如ePHI的加密、物理记录的安全处置或访问控制的多因素身份验证，这增加了违规的风险
- 不当披露：未经适当的患者授权或有效理由共享的PHI，例如将信息发送给错误的接收者或在不安全的通信中泄露详细信息。
- 丢失或被盗设备： 包含未加密ePHI的移动设备、笔记本电脑或USB驱动器特别容易被盗或意外丢失，从而为数据泄露带来重大风险。
通过解决常见的陷阱，各组织可以显著降低违反HIPAA的可能性。 这包括定期的员工培训、实施强大的安全技术、进行风险评估，并确保与所有处理PHI的第三方服务提供商签订Business Associate Agreements (BAAs)。
避免违规的提示：
- 使用符合HIPAA标准的专业服务和访问控制来发送PHI。
- 定期对员工进行 HIPAA 规则和数据保护实践方面的培训。
- 进行定期的风险评估，以识别和减轻漏洞。
- 确保与所有第三方服务提供商建立BAA，以规范其保护PHI的义务。
关于HIPAA合规性的最终想法
HIPAA’s three rules, the Privacy Rule, Security Rule, and Breach Notification Rule, form a comprehensive framework to ensure the confidentiality, integrity, and availability of protected health information. By following these HIPAA rules, healthcare organizations can keep patient data safe, avoid expensive fines, and gain trust from patients and partners.
符合HIPAA标准不仅仅是一项法律要求，它对于合乎道德的医疗保健服务至关重要。通过优先考虑合规性，组织可以保护患者隐私，提高运营效率，并维护对医疗保健系统的信任。
For organizations looking for tools that follow HIPAA rules to handle sensitive information, services like Sign.Plus provides an electronic signature platform that meets HIPAA compliance rules and helps make document processes easier. Also, Fax.Plus offers safe and reliable cloud faxing solutions. Both of these tools assist healthcare organizations and their partners in following HIPAA guidelines efficiently.
将资金投入到这些安全解决方案中，可以更轻松地让组织遵循规则。 这也有助于他们专注于提供更好的服务。
免责声明：本文仅供参考，不构成法律建议。各组织应咨询合格的Professional人士，以确保完全符合HIPAA。
特色文章
查看全部
立即开始使用
Confédération Suisse
Confederazione Svizzera
Confederaziun Svizra
Swiss Confederation
Innosuisse - 瑞士创新署
