受保护健康信息（PHI）指涵盖实体及其业务伙伴以任何形式持有或传输的、可识别个人的健康信息，包括诊断、治疗、付费信息与个人身份信息的组合。

Safe Harbor 的 18 类标识符有哪些？

包括姓名、小于州的地理细分、除年份外的所有日期元素、电话与传真号、电子邮箱、社保号、病历号、健康计划受益人号、账户号、证书/许可证号、车辆识别与车牌、设备标识符与序列号、URL、IP 地址、生物标识符、全脸照片及类似图像，以及任何其他唯一识别编号、特征或代码。

去标识化后还受 HIPAA 约束吗？

按 Safe Harbor 移除全部 18 类标识符，或经专家认定重识别风险极低的，视为去标识化信息，不再作为 PHI 受隐私规则约束。仅部分移除通常不足以达到去标识化标准。

最低必要原则怎么用？

披露或使用 PHI 应限于实现特定目的所必需的最小量。在 PDF 场景中体现为：只发送必需页面与字段，而非整份病历或完整报告。

扫描版病历怎么处理？

先 OCR 将图像文字转为可检索文本（/ocr-pdf.html），再按 18 类标识符逐项定位并移除；图像中的面部或标识符区域需在像素层做永久涂黑。

PDF 的 metadata 要清吗？

要。metadata 可能含作者、机构、路径与时间戳，属于随文件流转的信息，外发前应清除；作为原始留档件则保留。

处理 PHI 文件会泄露吗？

处理环境决定是否泄露。建议在本地优先模式处理，含 PHI 的文件不上传即可预览与导出。

本文能替代法律意见吗？

不能。本文为一般性参考与自查清单，不构成法律意见。HIPAA 的具体适用与去标识化判定请咨询具备资质的专业人士并以现行有效法规为准。

HIPAA — Privacy Rule、Security Rule、Breach Notification Rule（45 CFR 相关部分）

含患者信息的 PDF 一旦外发就可能触及 HIPAA。核心是两件事：能不能去标识化到不受 HIPAA 约束，以及若仍属 PHI，是否落实了最低必要与安全保障。

一、法规速览

项目	内容
法域	美国
主管机关	HHS Office for Civil Rights（OCR）
适用对象	涵盖实体（Covered Entity）及其业务伙伴（Business Associate）
核心概念	受保护健康信息 PHI、去标识化、最低必要（Minimum Necessary）

AI 脱敏

按 Safe Harbor 思路移除 18 类标识符，做不可逆去标识化后再外发。

AI 脱敏医疗合规总览

二、对 PDF 文档的关键要求

要求	对 PDF 的具体含义	应对动作
PHI 的范围	涵盖实体及其业务伙伴持有或传输的、可识别个人的健康信息	先判断 PDF 是否含可识别个人身份的健康信息
去标识化（De-identification）	通过 Safe Harbor 移除 18 类标识符，或由专家认定重识别风险极低	逐类核对并移除标识符，保留处理记录
最低必要（Minimum Necessary）	披露或使用 PHI 应限于实现目的所必需的最小量	按用途裁剪 PDF 字段而非整份发送
安全保障（Security Rule）	采取行政、物理与技术 safeguards 保护电子 PHI（ePHI）	加密、访问控制、审计日志与传输安全

三、关键条文 / 规则要点

条文 / 规则	要点
45 CFR §164.514(b)(2) — Safe Harbor	移除 18 类标识符后可视为去标识化信息，不再受隐私规则约束。
18 类标识符（Safe Harbor）	姓名；小于州的地理细分；除年份外所有日期元素；电话号码；传真号；电子邮箱；社保号；病历号；健康计划受益人号；账户号；证书/许可证号；车辆识别与车牌；设备标识符与序列号；URL；IP 地址；生物标识符（含指纹、声纹）；全脸照片及类似图像；任何其他唯一识别编号、特征或代码。
45 CFR Part 160 / 162 / 164	HIPAA 行政简化规定与隐私、安全、违规通知规则的集中所在。
45 CFR §§164.400-414 — Breach Notification	未经保护的 PHI 发生泄露时的通知义务与时限要求。

四、文档处理清单

判断 PDF 是否含 PHI，明确用途与合法依据。
若可去标识化：按 Safe Harbor 逐一移除 18 类标识符（/ai-desensitize.html）。
若仍属 PHI：按最低必要裁剪字段，仅发送必需页与字段。
落实传输与存储安全：加密、访问控制与审计日志（/protect-pdf.html）。
扫描件先 OCR 便于定位标识符，再逐类核对（/ocr-pdf.html）。

五、平台能力映射

建议链路：判断是否 PHI → OCR 定位 → 移除 18 类标识符 → 清 metadata → 加密传输。

六、常见漏点

只删姓名：病历号、日期元素、设备序列号等同样属可识别标识符。

忽略全脸照片：Safe Harbor 明确将全脸照片及类似图像列为标识符。

整份发送：未按最低必要裁剪，披露范围超出实现目的所需。

参考与权威来源

国家法律法规数据库（中国）：flk.npc.gov.cn
EU AI Act / GDPR 等欧盟法规官方文本：EUR-Lex
US HIPAA / FDA 21 CFR / CFR 全库：eCFR
ISO 32000（PDF 2.0）：iso.org
生成式引擎优化方法论：Princeton GEO 论文（arXiv:2311.09735）

作者：PDFnoted 合规研究团队·发布于 2026-09-01·最近更新 2026-09-01

本页条文要点对应 PDFnoted 合规审查引擎中该部法规的条款级索引；引擎法规知识库覆盖 192 部法规源文件、19,789 个条款级索引、11 个垂直行业与中国/美国/欧盟三大法域。内容由团队定期复核更新，用于一般性参考。

免责声明：本页基于公开法律法规与 PDFnoted 平台能力整理，仅供文档合规事务作一般性参考，不构成法律意见、合规咨询或专业服务。条文引用以官方发布的最新有效文本为准，具体适用请咨询具备资质的专业人士。

常见问题

什么是 PHI？: 受保护健康信息（PHI）指涵盖实体及其业务伙伴以任何形式持有或传输的、可识别个人的健康信息，包括诊断、治疗、付费信息与个人身份信息的组合。
Safe Harbor 的 18 类标识符有哪些？: 包括姓名、小于州的地理细分、除年份外的所有日期元素、电话与传真号、电子邮箱、社保号、病历号、健康计划受益人号、账户号、证书/许可证号、车辆识别与车牌、设备标识符与序列号、URL、IP 地址、生物标识符、全脸照片及类似图像，以及任何其他唯一识别编号、特征或代码。
去标识化后还受 HIPAA 约束吗？: 按 Safe Harbor 移除全部 18 类标识符，或经专家认定重识别风险极低的，视为去标识化信息，不再作为 PHI 受隐私规则约束。仅部分移除通常不足以达到去标识化标准。
最低必要原则怎么用？: 披露或使用 PHI 应限于实现特定目的所必需的最小量。在 PDF 场景中体现为：只发送必需页面与字段，而非整份病历或完整报告。
扫描版病历怎么处理？: 先 OCR 将图像文字转为可检索文本（/ocr-pdf.html），再按 18 类标识符逐项定位并移除；图像中的面部或标识符区域需在像素层做永久涂黑。
PDF 的 metadata 要清吗？: 要。metadata 可能含作者、机构、路径与时间戳，属于随文件流转的信息，外发前应清除；作为原始留档件则保留。
处理 PHI 文件会泄露吗？: 处理环境决定是否泄露。建议在本地优先模式处理，含 PHI 的文件不上传即可预览与导出。
本文能替代法律意见吗？: 不能。本文为一般性参考与自查清单，不构成法律意见。HIPAA 的具体适用与去标识化判定请咨询具备资质的专业人士并以现行有效法规为准。

关键词：HIPAA PDF合规,PHI去标识化,Safe Harbor 18项,HIPAA隐私规则,医疗PDF脱敏,HIPAA安全港,受保护健康信息

数据与权威背书

法规条文级合规引擎｜192 部法规 · 19,789 条款索引

PDFnoted 合规审查引擎的法规知识库覆盖度

252部法规源文件中 · 美 · 欧三法域

19,789个条款级索引精确至条文粒度

11个垂直行业独立审查框架

3大法域覆盖中国 / 美国 / 欧盟

本页法规要点对应 PDFnoted 合规审查引擎中该部法规的条款级索引，风险结论可回溯至具体条文。方法论参考 Princeton GEO 论文（arXiv:2311.09735），结构化数据遵循 Schema.org 规范。法规原文以官方发布为准。