【跨境合规】美国《健康保险便利和责任法》案（HIPPA）规范解读

1.受覆盖实体

医疗服务提供者：医院、诊所、医生、药房等，以电子方式传输健康信息；

健康计划：医保公司、团体雇主医保计划、HMO 健康维护组织；

医疗信息清算所：负责转换、处理电子医疗数据的中介机构。

2.业务伙伴（BA）

为受覆盖实体提供服务，过程中会接触、处理受保护健康信息 PHI的第三方服务商。包括云厂商、IT 开发服务商、会计师、律所、数据分析厂商。

关键强制要求：受覆盖实体必须和业务伙伴签署《业务伙伴协议 BAA》，业务伙伴并非间接责任，自身直接承担 HIPAA 合规义务。

3.域外效力说明

境外企业只要作为业务伙伴，承接美国受覆盖实体业务并处理 PHI，即受 HIPAA 约束；普通消费类健康 App、不接入美国医保体系的健康工具，不属于受覆盖实体 / 业务伙伴，则不受 HIPAA 管辖。

HIPAA 核心规制受保护健康信息 PHI：可识别特定个人的，和个人健康状况、诊疗、医疗付费相关的全部信息，包含书面、口头、电子形式；完成去标识化、无法重识别的数据不属于 PHI，不受约束。

围绕 PHI，三大核心规则划定全部合规义务：

1.隐私规则

最小必要原则：PHI 的使用、披露仅限业务所必需的最小范围；

许可例外：治疗、付费、医疗运营三类场景，无需获得个人授权即可使用披露 PHI；

赋予个人权利：访问、获取副本、更正信息、限制使用、投诉；

法定例外：公共卫生、执法、紧急救治等场景，可不经许可披露 PHI。

2.安全规则（仅针对电子 PHI‑ePHI）

要求搭建行政、技术、物理三层防护：

行政层面：风险评估、安全制度、人员培训、第三方服务商管控；

技术层面：身份鉴权、访问最小权限、操作审计日志、备份、加密；

物理层面：设备介质管控、机房物理安全、介质销毁流程。

弹性原则：安全措施匹配企业规模与数据风险，不强制统一方案，但必须留存风险评估书面依据。

3.违约通知规则

发生 ePHI 未授权访问、泄露，需要评估泄露风险；

需及时通知受影响个人，最多不超过 60 天；泄露影响 500 人以上，同步上报 HHS 民权办公室；大规模泄露需要通知媒体；

安全港：数据已加密、密钥未泄露，可免于履行通知义务。

经 HITECH 法案升级后，分为民事处罚、刑事处罚两类，同时存在行业从业限制。

1.民事处罚

按违规主观程度分级，单次违规每日罚款最低 100 美元，最高 5 万美元；同一类违规年度上限 150 万美元；

存在豁免情形：企业尽到合理勤勉义务，且发现问题 30 日内完成整改，可免于民事罚款。

2.刑事处罚

故意获取、滥用、出售 PHI 牟利，触发刑事责任：最高罚金 25 万美元，最高 10 年监禁。

3.附加后果

违规主体可以被禁止参与美国联邦医保、医疗救助项目；

OCR 会公开处罚决定书，企业面临品牌声誉风险；

民事上还会面临来自数据主体的民事诉讼。

1.认知误区：HIPAA 不等于全部美国健康隐私规则

HIPAA 管辖范围限定医保体系链路内的 PHI；面向普通消费者的健康 App、消费健康设备，如果不与医疗机构 / 医保机构合作，不受 HIPAA 约束，但仍需要遵守美国各州法律，例如加州 CCPA。

2.BAA 协议不是形式文件

不少企业把 BAA 仅当做商务签约流程；BAA 是法定强制协议，业务伙伴不能签署后就放任不管，内部必须落地配套安全制度、风险评估、泄露响应流程。

3.加密不等于满足 HIPAA 全部安全要求

加密只是众多技术手段之一，不能单独兜底合规；需要权限管控、审计日志、人员培训、风险评估全套体系。

4.出海企业落地优先级

①先判定角色，确认自身是否属于业务伙伴；②梳理 PHI 数据资产；③签署合规 BAA 协议；④落实安全规则三层防护，定期风险评估；⑤搭建泄露检测‑评估‑通知的响应预案。