□ Sara Morrison

□譯/孟佳惠 王錦濤

關(guān)于“HIPAA”，您應(yīng)該了解的第一件事是明確“HIPAA”，而不是“HIPPA”。該縮寫中只有一個(gè)“P”，而“P”并不代表“privacy”（隱私）。

“這個(gè)首字母縮寫的意思是人們編出來(lái)的?！贬t(yī)療記錄平臺(tái)Ciitizen的聯(lián)合創(chuàng)始人兼首席監(jiān)管官、衛(wèi)生與公眾服務(wù)部(HHS)民權(quán)辦公室前衛(wèi)生信息隱私副主任德文·麥格勞 (Deven McGraw)表示，“通常情況下，他們認(rèn)為HIPPA是健康信息隱私保護(hù)法。然而，事實(shí)卻并非如此。”

HIPAA是美國(guó)前總統(tǒng)克林頓1996年簽署的《健康保險(xiǎn)攜帶和責(zé)任法案》（Health Insurance Portability and Accountability Act）的縮寫。該法案是繼1974年《雇員退休收入保障法案》（“ERISA”）后，最具深遠(yuǎn)影響的法案，它對(duì)多種醫(yī)療健康產(chǎn)業(yè)都具有規(guī)范作用，包括交易規(guī)則、醫(yī)療服務(wù)機(jī)構(gòu)的識(shí)別、從業(yè)人員的識(shí)別、醫(yī)療信息安全、醫(yī)療隱私、健康計(jì)劃識(shí)別、第一傷病報(bào)告、病人識(shí)別等。

對(duì)HIPAA的誤解難消

由于習(xí)慣性的拼寫錯(cuò)誤，美國(guó)人普遍認(rèn)為HIPAA為所有健康數(shù)據(jù)提供了嚴(yán)格的隱私保護(hù)。同時(shí)，由于大多數(shù)人認(rèn)為他們的健康信息非常敏感，且僅在簽署與醫(yī)療保健隱私相關(guān)的法律文件時(shí)才會(huì)遇到這項(xiàng)法案。因此，美國(guó)人普遍認(rèn)為他們的立法者已經(jīng)通過(guò)HIPAA設(shè)置了適當(dāng)?shù)淖o(hù)欄以對(duì)健康隱私實(shí)現(xiàn)盡可能保密。

但事實(shí)上，HIPAA的隱私規(guī)則遠(yuǎn)比他們以為的更為有限。

總部位于舊金山的社交健康公司Omada Health首席隱私和監(jiān)管官、HHS國(guó)家健康IT協(xié)調(diào)辦公室前首席隱私官露西婭·薩維奇（Lucia Savage）表示，“HIPAA擁有很廣泛的認(rèn)知度，每個(gè)人都知道它，即使他們拼錯(cuò)了。不過(guò)人們不太了解它的局限性。這是一項(xiàng)非常具體的法律，主要用于監(jiān)管人們?cè)趯で筢t(yī)療保健時(shí)收集的信息。”

通常情況下，人們對(duì)HIPAA的誤解無(wú)傷大雅。但在疫情的“推波助瀾”下，健康隱私問(wèn)題被推到了風(fēng)口浪尖。

遵循“無(wú)接觸”原則，在過(guò)去一年中，美國(guó)人已經(jīng)將許多醫(yī)療保健活動(dòng)轉(zhuǎn)移到了線上進(jìn)行。其中一些信息已經(jīng)不在HIPAA的保護(hù)范疇之內(nèi)了，但許多美國(guó)人還是想當(dāng)然地認(rèn)為這些醫(yī)療保健都在監(jiān)管之下。

隨著疫情變得越來(lái)越政治化，許多人以HIPAA為借口，試圖擺脫口罩強(qiáng)制令并宣稱疫苗護(hù)照是非法的。事實(shí)上，口罩強(qiáng)制令、疫苗護(hù)照等政策并不違反HIPAA法案，而且潛藏著極大的公共安全隱患。

“在新冠肺炎疫情時(shí)代，人們對(duì)HIPAA的誤解每況愈下。社交媒體上傳播的信息更是錯(cuò)得離譜，但還是有很多人相信它?！丙湼駝谔岬?，認(rèn)為HIPAA僅僅是一項(xiàng)每個(gè)人都必須遵守的健康隱私法的看法已經(jīng)變得十分普遍，以至于現(xiàn)在有一個(gè) Twitter賬戶來(lái)專門記錄它。

在疫情暴發(fā)幾個(gè)月后，Twitter上出現(xiàn)了一個(gè)名為“Bad HIPPA Takes”的賬戶，該名稱中的拼寫錯(cuò)誤是故意暗諷那些聲稱了解法律卻弄錯(cuò)縮寫詞的人。該賬戶由一位匿名的前醫(yī)療保健工作者創(chuàng)建，他表示，“我厭倦了看到有關(guān)HIPAA的大量錯(cuò)誤信息，擔(dān)心這些信息可能會(huì)對(duì)公共安全造成傷害。過(guò)去一年中，最常見的民眾對(duì)HIPAA的誤解則是關(guān)于戴口罩、接觸者追蹤、強(qiáng)制性體溫檢查，以及疫苗護(hù)照等要求是否違反該法案。公眾對(duì)HIPAA實(shí)際適用的場(chǎng)景存在大量混淆。我可以盡力澄清，但真正實(shí)現(xiàn)‘全民科普’還任重道遠(yuǎn)?！?/p>

HIPAA覆蓋范圍有限

今天，我們大多數(shù)人與HIPAA聯(lián)系在一起的隱私條款實(shí)際上并不是當(dāng)時(shí)制定這項(xiàng)法律的重點(diǎn)。

“當(dāng)國(guó)會(huì)通過(guò)這項(xiàng)法案時(shí)，他們意識(shí)到未來(lái)健康數(shù)據(jù)將會(huì)大規(guī)模數(shù)字化，可能需要為此提供隱私保護(hù)?！丙湼駝诮榻B，HIPAA有幾個(gè)要素，包括防止衛(wèi)生保健欺詐、簡(jiǎn)化和標(biāo)準(zhǔn)化醫(yī)療記錄的條款、稅前雇員醫(yī)療儲(chǔ)蓄賬戶的規(guī)則，以及確保失業(yè)或更換工作的雇員獲得持續(xù)的健康保險(xiǎn)。目前大多數(shù)人關(guān)注的隱私規(guī)則，屬于其行政簡(jiǎn)化部分。

HIPAA只適用于所謂的“受覆蓋實(shí)體”。這些機(jī)構(gòu)本質(zhì)上是醫(yī)療保健提供者(醫(yī)生、醫(yī)院和藥房等)、健康保險(xiǎn)公司和處理醫(yī)療數(shù)據(jù)的醫(yī)療保健信息交換所。此外，還包括他們的“業(yè)務(wù)伙伴”，或承包商。這些機(jī)構(gòu)必須以某種方式處理醫(yī)療記錄，以為涉及的實(shí)體工作，必須遵守某些協(xié)議，以確保公民私密健康信息受到保護(hù)。

值得注意的是，醫(yī)療隱私并非始于HIPAA，而且它也不是唯一的健康隱私法。還有其他法律保護(hù)某些類型的健康信息：一些州有自己更嚴(yán)格的醫(yī)療隱私法，或者像《美國(guó)殘疾人法》(Americans With Disabilities Act)這樣的法律，要求雇主必須對(duì)雇員的殘疾相關(guān)醫(yī)療信息保密。

醫(yī)患保密的概念已經(jīng)由來(lái)已久，這是希波克拉底誓言的一部分，而非法律。信任是良好醫(yī)療服務(wù)的必要組成部分。

“如果我是醫(yī)生，你是病人，你來(lái)找我，你可能會(huì)告訴我一些真正的秘密?！彼_維奇表示，“我需要知道這些才能給你正確的治療和診斷?！?/p>

與此同時(shí)，我們中的許多人將自己的健康信息免費(fèi)泄露給各種平臺(tái)和人群，而這些人并沒有真正的法律義務(wù)來(lái)保護(hù)這些隱私的安全。隨著互聯(lián)網(wǎng)普及，健康信息泄露的現(xiàn)象比以往任何時(shí)候都多。

麥格勞認(rèn)為，“一般來(lái)說(shuō)，當(dāng)你與官方的醫(yī)療保健系統(tǒng)進(jìn)行互動(dòng)時(shí)，他們受到HIPAA保護(hù)的可能性非常大。如果你用Fitbit記錄步數(shù)，或者你在使用其他營(yíng)養(yǎng)或健康監(jiān)測(cè)的應(yīng)用，HIPAA則不會(huì)涵蓋這些。”

你在推特上提到預(yù)約某個(gè)心理醫(yī)生？你在Instagram上上傳自己的疫苗信息？你是Facebook上皰疹患者支持小組的成員？你手機(jī)上有經(jīng)期預(yù)測(cè)軟件？你手腕上佩戴著心率監(jiān)測(cè)器？諸如此類的行為幾乎涵蓋了你所有的健康信息，甚至是敏感信息，而HIPAA并不具備保護(hù)這些信息的能力。

此外，如果有人詢問(wèn)你是否接種過(guò)疫苗，這并不違反HIPAA。事實(shí)上，任何人詢問(wèn)你的健康狀況都不違反HIPAA，盡管這可能會(huì)被認(rèn)為是粗魯?shù)摹?/p>

公共場(chǎng)所有權(quán)要求你在進(jìn)入之前出示已接種疫苗的證明；企業(yè)有權(quán)要求你接種疫苗并在你去辦公室之前出示證明；學(xué)校有權(quán)要求學(xué)生在入學(xué)前接種特定的疫苗，這些都不違反HIPAA法案。

更重要的是，疫苗護(hù)照也不違反HIPAA法案。以紐約Excelsior通行證為例，要使用它，公民是在自愿地允許應(yīng)用程序訪問(wèn)其健康記錄，并且，正如應(yīng)用程序的免責(zé)聲明所明確指出的:“本網(wǎng)站并非由醫(yī)療保健提供者提供給您，因此，您并未提供受保護(hù)的醫(yī)療保健治療、支付或操作的健康信息”。

填補(bǔ)健康隱私法的空白

因此，HIPAA并不是像大眾所認(rèn)為的那樣，是一部“包羅萬(wàn)象”的健康隱私法案。但事實(shí)表面，這樣的法律是需要的。健康隱私法目前仍留有許多空白，疫情使這一矛盾顯得尤為突出。

電子隱私信息中心(EPIC)副主任凱特里奧娜·菲茨杰拉德(Caitriona Fitzgerald)表示，“人們對(duì)自己的健康信息安全相當(dāng)在意。他們會(huì)理所當(dāng)然地認(rèn)為其會(huì)被覆蓋，因?yàn)樘热舨槐桓采w是荒謬的?！?/p>

專家們則認(rèn)為，這一覆蓋范圍必須來(lái)自全面的聯(lián)邦隱私法，其中包括敏感信息的條款，如健康數(shù)據(jù)，或可能被視為敏感使用數(shù)據(jù)的條款。

菲茨杰拉德表示，“我們需要的是國(guó)會(huì)通過(guò)一項(xiàng)全面的隱私法，對(duì)這些公司可以使用這些數(shù)據(jù)的用途、可以保存多長(zhǎng)時(shí)間、可以向誰(shuí)披露這些數(shù)據(jù)都作出明確限制，而且不把處理這些數(shù)據(jù)的負(fù)擔(dān)加在個(gè)人身上。收集數(shù)據(jù)的公司需要承擔(dān)責(zé)任，保護(hù)這些數(shù)據(jù)，并盡量減少使用。”

“對(duì)于個(gè)別議員來(lái)說(shuō)，要推進(jìn)某件事，他們必須明白為什么它很重要?！彼_維奇表示，“給你的立法者發(fā)一封電子郵件說(shuō)，‘我發(fā)生了這件事，我真的很擔(dān)心，它讓我對(duì)接種疫苗猶豫不決。你能解決這個(gè)問(wèn)題嗎？’可能這就是一項(xiàng)法案誕生故事的開端。”

眾議員蘇贊·德爾本（Suzan DelBene）是在疫情期間推動(dòng)更好的健康隱私保護(hù)法案的幾位議員之一，同時(shí)也作為《公共衛(wèi)生緊急隱私法案》的共同提案人之一，該法案于2020年在國(guó)會(huì)兩院提出，并于2021年初重新提出，它將保護(hù)為阻止新冠肺炎疫情而收集的數(shù)字健康數(shù)據(jù)(如通過(guò)接觸者追蹤應(yīng)用程序或疫苗預(yù)約工具)不會(huì)被政府或私人企業(yè)用于無(wú)關(guān)的目的。

德爾本表示，“HIPAA為我們的健康信息提供了一些保護(hù)，但技術(shù)的進(jìn)步遠(yuǎn)比我們的法律更快。在新技術(shù)的作用下，HIPAA已經(jīng)難以滿足消費(fèi)者的隱私保護(hù)需求。《公共衛(wèi)生緊急隱私法》顯示了我們?nèi)绾卧谝咔槠陂g保護(hù)消費(fèi)者的信息，但我認(rèn)為我們需要更進(jìn)一步，因?yàn)檫@個(gè)問(wèn)題已經(jīng)滲透進(jìn)數(shù)字生活的方方面面?！?/p>

原文發(fā)表于2021年7月30日的Recode-Vox上，原標(biāo)題為《HIPAA, the health privacy law that’s more limited than you think, explained》。

[責(zé)任編輯:張海鶯]

相關(guān)知識(shí)

隱私與安全，妥善處理你的電子健康檔案
Splashtop 合規(guī)性：GDPR、HIPAA、FERPA、SOC 2、ISO 等
電子健康檔案，保障你的醫(yī)療信息安全與隱私
美年健康隱私政策
做好健康科普，任重道遠(yuǎn)
5大醫(yī)療保健數(shù)據(jù)安全挑戰(zhàn)和數(shù)據(jù)保護(hù)技巧
健康醫(yī)療可穿戴設(shè)備數(shù)據(jù)安全與隱私保護(hù)問(wèn)題研究
遠(yuǎn)程訪問(wèn)合規(guī)性：關(guān)鍵標(biāo)準(zhǔn)和功能
電子病歷在美國(guó)：各種法案相伴的日子
華為運(yùn)動(dòng)健康拒絕數(shù)據(jù)濫用，多方位保障用戶隱私安全

網(wǎng)址: HIPAA？美國(guó)健康隱私安全任重道遠(yuǎn) http://m.u1s5d6.cn/newsview648757.html