10次HIPAA可能不適用

可能不適當地援引1996年《健康保險流通與責任法》的10種常見緊急護理情況

明年是《1996年健康保險攜帶與責任法案》(HIPAA)通過20周年。HIPAA的目的是保護受保護健康信息(PHI)的隱私和安全。PHI是與個人醫療保健、醫療保健付款或身體或精神健康狀況有關的任何形式的個人身份信息。雖然HIPAA作為PHI的保護者，限製未經患者授權的信息披露，並通常確保人們的私人醫療狀況不會公開播出，但在實踐中經常被誤解和誤用。不正確地調用HIPAA有時會限製對重要信息的訪問，並對患者造成傷害。《紐約時報》最近的一篇文章詳細介紹了一些重要的臨床信息沒有到達醫療機構的案例，所有這些都是以HIPAA的名義。

當涉及到緊急醫療護理時，完整的信息對於做出最佳的臨床決策至關重要。及時獲取現有記錄往往會影響臨床行動，如決定入院、安排昂貴的影像學檢查或使用麻醉止痛藥。例如，錯誤地使用HIPAA作為不共享重要信息的原因，如胸痛患者的舊心電圖或壓力測試結果或腹痛患者的先前成像結果，可能導致提供者過度使用住院和放射資源。不幸的是，在急診科(ED)就診期間，相關信息經常缺失或受到保護，限製了提供者的容易獲取。

---

---

當提供者不理解HIPAA如何適用於特定情況時，下意識的反應往往是謹慎行事。你肯定聽同事說過，“這違反了HIPAA !但你自己卻不太確定。然而，對於提供商來說，有一個真正的理由要小心:違反HIPAA的行為可能會對個人和機構提供商(在HIPAA下稱為“覆蓋實體”)及其“業務夥伴”(代表他們工作的個人和組織，例如索賠處理者或業務經理)造成重大處罰。

當涉及到灰色地帶的情況時，重要的是要認識到HIPAA並不打算幹涉病人的醫療護理。在許多情況下，HIPAA允許在沒有患者授權的情況下披露PHI(參見下麵的圖1)。提供商可自行決定使用任何適用的許可性披露例外，但必須遵守相關要求。例如，“最低必要”規則要求為非處理相關目的披露的PHI必須限製在實現披露預期目的所需的最低數量。換句話說，隻能披露相關信息。

---

---

以下是急診科中HIPAA通常被引用的10種臨床情況，以及HIPAA如何實際應用於這些情況。然而，請記住，每一項涉嫌違反HIPAA的調查都是非常具體的事實。

情況#1:一個家庭成員打電話來詢問他們在急診科的親戚的情況。
HIPAA怎麼說:如果呼叫者按姓名識別了患者，則提供者可以披露“目錄信息”(即患者的位置和一般健康狀況)。這個例外允許呼叫者找到可能卷入事故的朋友或家人。提供者必須首先為患者提供同意或反對公開“目錄信息”的機會。如果患者喪失行為能力，醫療服務提供者必須告知患者已作出此類披露，並在切實可行的情況下盡快給予患者反對進一步披露的機會。例如，這一要求保護了家庭暴力的受害者，他們可能不希望自己的下落泄露給施暴者。這種反對的機會可以通過口頭或書麵形式提供，例如在到達急診科時向患者發出隱私保護通知。

情況#2:一個自稱是病人醫生的人打電話給急診科醫生，詢問病人的狀況。
HIPAA怎麼說:出於治療目的，一個提供者向另一個提供者披露PHI是允許的，無需患者授權。披露提供者必須使用專業判斷來確定所請求的PHI是否與請求醫師對患者的治療有關。

情況#3:一名記者打電話來詢問急診科病人的情況。
HIPAA怎麼說:如果請求者按姓名識別患者，則可以披露位置和一般健康狀況(即目錄信息)，除非患者反對此類披露。這條規則可以防止不適當的信息泄露，例如，當呼叫者詢問“槍擊受害者”的狀態時。在必要時，提供者可以向媒體披露PHI，以識別、定位或通知負責患者護理的個人，但媒體發起的對特定患者的詢問不屬於這一例外。

---

---

情景4:一個病人躺在走廊的床上，另一個病人無意中聽到了他的病史。
HIPAA怎麼說:對PHI的“意外”披露(如用於治療目的的披露)是允許的。雖然HIPAA沒有準確定義“意外事件”的含義，但它要求提供商“合理保護”PHI，並采取適當的保障措施，以限製意外披露。這可能包括在討論PHI或將患者轉移到私人區域時安靜地說話。例如，醫生在擁擠的電梯裏討論特定患者的病例可能違反HIPAA。在這種情況下，當案件可以在更私密的環境中輕鬆討論時，一個合理的保障措施——比如不在擁擠的公共環境中披露PHI——將是預期的。

情況#5:提供者打電話給另一家醫院以獲取患者的記錄;醫院要求醫療服務提供者發送一份患者簽署的授權披露的表格。
HIPAA怎麼說:大多數HIPAA的披露例外是允許的;這意味著提供者在決定是否披露信息時可以使用專業判斷。如果記錄請求是為了治療目的，HIPAA允許在沒有患者授權的情況下向另一個提供者披露，即沒有符合某些要求的授權文件。值得注意的是，在本例中，HIPAA並不要求向請求提供者公開PHI。事實上，HIPAA隻要求在兩種情況下進行披露:出於合規目的，向患者和美國衛生與公眾服務部(HHS)披露。

情況#6:患者家屬要求醫療服務提供者不要告知患者在急診科做出的嚴重診斷(即腦瘤)，而該患者入院時喪失了行動能力(即癲癇持續狀態)，現在已經清醒和警覺，因為家屬認為患者不能處理這些信息。
HIPAA怎麼說:HIPAA要求醫療機構在患者明確要求的情況下，允許患者查看其PHI，除非PHI或患者受到特殊保護，或者另一項法律授權醫療機構保留信息(例如，州法律進一步限製披露精神健康信息)。如果沒有這樣的要求，並且假設患者沒有反對提供者向家庭成員披露PHI，這種情況會引起道德問題而不是HIPAA問題。提供者應運用其專業判斷，考慮患者的最大利益，以及針對此類情況的任何組織政策和程序。

情況#7:急診科工作人員打電話給患者，要求提供患者出院後的檢測結果，但患者無法聯係。接電話的家屬詢問結果，並表示他們會與患者分享結果。
HIPAA怎麼說:根據HIPAA，向參與病人護理的家人和朋友披露是允許的。在急診科期間，患者必須有機會同意或反對這些信息的披露。然而，提供者可以利用他們的專業判斷來推斷患者是否反對這些信息。如果在急診科期間，患者同意向其家庭成員披露，並且提供者認為這符合患者的最大利益，則技術上可能允許披露檢測結果。然而，核實家庭成員的身份和確定患者的事先許可是否適用於這種情況可能是不可能的。在這些情況下，提供者應運用他們的專業判斷，考慮患者的最大利益以及任何組織政策和程序。例如，許多機構通常會要求患者打電話到醫院索取結果。

情況8:警察把一個病人帶到創傷室;複蘇後，警察詢問病人的狀況。
HIPAA怎麼說:在有限的情況下，PHI可能在未經患者授權的情況下向執法部門披露。例如，如果一名執法人員要求了解一名疑似犯罪受害者的患者的PHI信息，而患者由於喪失行為能力或其他緊急情況而不同意披露，如果他/她確定披露符合患者的最大利益，且執法人員表示:(1)確定另一人是否違法需要PHI信息，提供者可以披露PHI信息;(2) PHI不打算用於對患者不利;(3)即時執法活動取決於信息披露;並且(4)等到患者能夠同意披露時，該活動將受到重大和不利的影響。在指定的執法例外情況之外，未經授權的披露必須限於目錄信息或用於通知患者家屬，除非患者反對此類披露。

情況#9:主管因為健康問題把一名員工帶來;治療後，主管要求了解員工的最新狀態。
HIPAA怎麼說:一般而言，提供者必須得到雇員的授權，才能向雇主披露與健康有關的信息，除非提供者是應雇主要求為雇員治療與工作有關的疾病或受傷。在這種情況下，提供者隻有在雇主為法律規定的報告要求需要此類信息時，才可以披露相關調查結果。提供者必須提醒患者注意這些類型的披露，這可以在他們的隱私實踐通知中做到。在與提供工傷或疾病福利的工人補償計劃相關的法律授權的範圍內，提供商也可以在未經患者授權的情況下披露PHI。

情況#10:醫院首席執行官打電話給急診科，詢問他個人對VIP病人狀況的關心。
HIPAA怎麼說:目錄信息(例如，位置、一般健康狀況)可在患者不反對的情況下予以披露。如果用於"保健業務"目的，則可能披露其他信息，其中包括質量改進和客戶服務等六大類活動。如果是為了個人利益而尋求目錄級別以外的信息，則此類披露是不允許的。根據特定組織的政策和程序，在沒有允許目的的情況下查看患者的PHI可能會導致紀律處分，除了任何HIPAA相關的處罰。

＊＊＊＊＊＊＊

HIPAA試圖在個人控製獲取其健康信息的權利與提供者為治療、付款和醫療保健操作交換信息的需要之間取得平衡。雖然前麵的10種情況聽起來很熟悉，但許多其他情況可能會引起混淆。盡管存在常見的誤解，但HIPAA隱私規則賦予了醫療保健提供者相當廣泛的自由裁量權，可以在沒有患者書麵授權的情況下交換與治療、付款和手術相關的謹慎數量的患者信息。然而，除了這些目的之外，還有一些重要的例外情況，其中一些需要患者書麵授權或患者有機會反對信息披露。為了提供幫助，這裏有一些確定HIPAA如何應用於特定急診病情況的實際考慮因素。此外，圖2給出了在哪裏查找附加信息的指導。

患者的最大利益
HIPAA的治療、支付和操作例外涵蓋大多數常規醫療保健活動。雖然提供者可能不熟悉這些例外的所有細節，但幫助確定例外是否適用的一個基本準則是考慮披露是否有利於或改善患者護理，是否符合患者的最大利益。如果未能披露將對護理產生重大和不利影響，則HIPAA可能允許披露。

法律訴道德
提供商可根據其專業判斷，在適用許可例外時是否披露。然而，有幾個可以想象的情況，HIPAA沒有禁止，但可能會引起倫理問題。例如，如上述情況#6所述，應患者家屬的要求扣留PHI。最終，披露必須符合患者的最大利益。提供者在進行或選擇不進行許可性披露時，應遵循專業實踐標準及其組織的政策和程序。

治療期間、治療後的披露
當患者在急診科接受治療時，可能需要在未經授權的情況下披露PHI。因此，急診科必須在患者到達時向患者提供一份隱私慣例通知，說明允許和要求披露的信息。出院後，HIPAA仍然適用。然而，在護理交付環境之外應用披露例外可能是複雜和有風險的。提供者應了解特定的護理環境可能會如何改變披露例外情況，並應考慮在治療期間征求患者的偏好，即他們更願意在出院後如何以及向誰披露某些PHI，例如測試結果。

特殊情況
HIPAA在未成年人和其他無行為能力的PHI方麵服從州法律。其他聯邦法律(例如，42 CFR第2部分)包含更多適用於PHI的限製性要求，如藥物濫用信息。州法律可能比HIPAA更嚴格，或保護某些類型的PHI，例如與艾滋病毒相關的信息。提供商應熟悉所有適用的法律及其組織關於披露的政策，並考慮其適用於被披露的特定類型的PHI。

不要含糊其辭
HIPAA沒有指定與允許披露相關的流程。例如，沒有指定的方法來驗證請求提供者的身份，也沒有作為治療、支付或操作的活動的詳盡列表。提供者應谘詢其組織關於與這些情況相關的協議的政策，並在進行披露時利用其最佳的專業判斷。

參考文獻

1. 1996年健康保險攜帶和責任法案(HIPAA)， Pub。1936年法令第104-191號、110號(經《美國法典》第18、26、29和42散文集修訂);就本文而言，“HIPAA”指的是HIPAA隱私規則，45 C.F.R. 164.500等。
2. HIPAA作為沉默守則的使用常常曲解法律。紐約時報2015年7月17日。http://www.nytimes.com/2015/07/21/health/hipaas-use-as-code-of-silence-often-misinterprets-the-law.html?_r=0