HIPAA：为美国医疗客户提供服务前要搞清楚的事

为美国医院、诊所、保险公司处理受保护健康信息（PHI）的服务商，通常会成为 HIPAA 下的“业务伙伴”，必须签订 BAA 并满足安全规则。市面上并不存在官方的 HIPAA 认证。

作者 · AssureLane 研究团队更新 · 2026-10-10来源核验 · 2026-10-10

三条核心规则

规则	要点
隐私规则	PHI 的使用和披露限制、最小必要原则、患者权利
安全规则	对电子 PHI 实施管理、物理和技术三类保护措施，并开展风险分析
违规通知规则	发生未加密 PHI 泄露时，业务伙伴须及时通知受保实体，最迟不超过发现后 60 天

只要你代表受保实体创建、接收、维护或传输 PHI，就是业务伙伴。典型例子：

业务伙伴的分包商如果也接触 PHI，同样是业务伙伴，需要签署下游 BAA。

很多条款为“可选实施”（addressable），但这不代表可以忽略：须评估是否合理适当，不实施时要记录理由和替代措施。

常见问题

有没有官方的 HIPAA 认证？

没有。HHS 不认可任何“HIPAA 认证”。企业通常通过完成风险分析、签订 BAA、在 SOC 2 报告中加入 HIPAA 映射，或由第三方开展 HIPAA 评估来证明自己的合规状况。

我们只存加密数据，也算业务伙伴吗？

通常仍然算。HHS 指南明确，云服务商即使只存储加密 PHI 且不持有密钥，只要为受保实体创建、接收、维护或传输 PHI，就是业务伙伴。

中国团队能访问美国患者数据吗？

HIPAA 本身不禁止境外访问，但客户合同常有限制。更重要的是，健康数据属于美国司法部数据安全计划所列的敏感数据类别，涉及中国人员访问时须单独评估。

本页为一般性信息，不构成法律、审计或认证意见。具体适用性、项目范围与专业责任须结合企业实际情况确认。