# HIPAA：为美国医疗客户提供服务前要搞清楚的事

> 为美国医院、诊所、保险公司处理受保护健康信息（PHI）的服务商，通常会成为 HIPAA 下的“业务伙伴”，必须签订 BAA 并满足安全规则。市面上并不存在官方的 HIPAA 认证。

来源页面: https://assurelane.ai/frameworks/hipaa/
更新: 2026-10-10 · 来源核验: 2026-10-10

## 要点速览

- 全称: Health Insurance Portability and Accountability Act of 1996 及其隐私、安全、违规通知规则
- 发布/监管方: 美国卫生与公众服务部民权办公室（HHS OCR）
- 成果: 法律义务；常以风险分析、BAA、SOC 2 + HIPAA 映射或第三方评估作为证明
- 适用对象: 受保实体（医疗服务提供者、健康计划、清算机构）及为其处理 PHI 的业务伙伴
- 地区: 美国
- 典型周期: 已有 SOC 2 或 ISO 27001 时，补齐 HIPAA 要求常见 1–3 个月
- 有效期: 持续义务；风险分析需定期更新

## 关键时间线

- 2003: 隐私规则合规日期
- 2005: 安全规则合规日期
- 2013: Omnibus 规则：业务伙伴直接承担责任
- 2025-01: HHS 发布安全规则修订提案（最终规则需持续关注）

## 三条核心规则

| 规则 | 要点 |
| --- | --- |
| **隐私规则** | PHI 的使用和披露限制、最小必要原则、患者权利 |
| **安全规则** | 对电子 PHI 实施管理、物理和技术三类保护措施，并开展风险分析 |
| **违规通知规则** | 发生未加密 PHI 泄露时，业务伙伴须及时通知受保实体，最迟不超过发现后 60 天 |

## 你是否是“业务伙伴”

只要你代表受保实体创建、接收、维护或传输 PHI，就是业务伙伴。典型例子：

- 为医院提供电子病历、预约、远程问诊、影像处理的 SaaS
- 为保险公司处理理赔数据的服务商
- 存储 PHI 的云服务和数据处理外包
- 为医疗客户开发并运维系统、能接触真实数据的外包团队

业务伙伴的分包商如果也接触 PHI，同样是业务伙伴，需要签署下游 BAA。

## 安全规则要求什么

- **管理保护措施**：风险分析与风险管理、安全负责人、员工培训、访问授权、应急预案、定期评估
- **物理保护措施**：设施访问控制、工作站和设备安全、介质处置
- **技术保护措施**：访问控制与唯一用户标识、审计日志、完整性保护、身份认证、传输安全

很多条款为“可选实施”（addressable），但这不代表可以忽略：须评估是否合理适当，不实施时要记录理由和替代措施。

## 出海医疗科技企业的准备路径

1. 确认产品中哪些数据属于 PHI，数据流经哪些系统和供应商
2. 开展并记录 HIPAA 风险分析
3. 准备 BAA 模板，审阅客户提供的 BAA
4. 落实安全规则控制，与 [SOC 2](https://assurelane.ai/frameworks/soc-2/) 或 [ISO/IEC 27001](https://assurelane.ai/frameworks/iso-27001/) 共建一套控制
5. 确保云服务商愿意签 BAA，并只使用其 HIPAA 合规服务范围
6. 评估中国团队访问数据的合规风险，参见 [美国司法部数据安全计划](https://assurelane.ai/frameworks/us-data-security-program/)

## 常见问题

### 有没有官方的 HIPAA 认证？

没有。HHS 不认可任何“HIPAA 认证”。企业通常通过完成风险分析、签订 BAA、在 SOC 2 报告中加入 HIPAA 映射，或由第三方开展 HIPAA 评估来证明自己的合规状况。

### 我们只存加密数据，也算业务伙伴吗？

通常仍然算。HHS 指南明确，云服务商即使只存储加密 PHI 且不持有密钥，只要为受保实体创建、接收、维护或传输 PHI，就是业务伙伴。

### 中国团队能访问美国患者数据吗？

HIPAA 本身不禁止境外访问，但客户合同常有限制。更重要的是，健康数据属于美国司法部数据安全计划所列的敏感数据类别，涉及中国人员访问时须单独评估。

## 参考来源

- [HHS — HIPAA for Professionals](https://www.hhs.gov/hipaa/for-professionals/index.html)
- [HHS — Business Associates](https://www.hhs.gov/hipaa/for-professionals/privacy/guidance/business-associates/index.html)
- [HHS — Guidance on HIPAA & Cloud Computing](https://www.hhs.gov/hipaa/for-professionals/special-topics/health-information-technology/cloud-computing/index.html)

---
本页为一般性信息，不构成法律、审计或认证意见。AssureLane 不出具 SOC 2 报告或 ISO 证书。