首页 /
合规中心 / HIPAA（美国健康保险可携性与责任法案）
HIPAA — Privacy Rule、Security Rule、Breach Notification Rule（45 CFR 相关部分）
含患者信息的 PDF 一旦外发就可能触及 HIPAA。核心是两件事：能不能去标识化到不受 HIPAA 约束，以及若仍属 PHI，是否落实了最低必要与安全保障。
一、法规速览
| 项目 | 内容 |
|---|
| 法域 | 美国 |
| 主管机关 | HHS Office for Civil Rights（OCR） |
| 适用对象 | 涵盖实体（Covered Entity）及其业务伙伴（Business Associate） |
| 核心概念 | 受保护健康信息 PHI、去标识化、最低必要（Minimum Necessary） |
AI 脱敏
按 Safe Harbor 思路移除 18 类标识符，做不可逆去标识化后再外发。
AI 脱敏
医疗合规总览
二、对 PDF 文档的关键要求
| 要求 | 对 PDF 的具体含义 | 应对动作 |
|---|
| PHI 的范围 | 涵盖实体及其业务伙伴持有或传输的、可识别个人的健康信息 | 先判断 PDF 是否含可识别个人身份的健康信息 |
| 去标识化（De-identification） | 通过 Safe Harbor 移除 18 类标识符，或由专家认定重识别风险极低 | 逐类核对并移除标识符，保留处理记录 |
| 最低必要（Minimum Necessary） | 披露或使用 PHI 应限于实现目的所必需的最小量 | 按用途裁剪 PDF 字段而非整份发送 |
| 安全保障（Security Rule） | 采取行政、物理与技术 safeguards 保护电子 PHI（ePHI） | 加密、访问控制、审计日志与传输安全 |
三、关键条文 / 规则要点
| 条文 / 规则 | 要点 |
|---|
| 45 CFR §164.514(b)(2) — Safe Harbor | 移除 18 类标识符后可视为去标识化信息，不再受隐私规则约束。 |
| 18 类标识符（Safe Harbor） | 姓名；小于州的地理细分；除年份外所有日期元素；电话号码；传真号；电子邮箱；社保号；病历号；健康计划受益人号；账户号；证书/许可证号；车辆识别与车牌；设备标识符与序列号；URL；IP 地址；生物标识符（含指纹、声纹）；全脸照片及类似图像；任何其他唯一识别编号、特征或代码。 |
| 45 CFR Part 160 / 162 / 164 | HIPAA 行政简化规定与隐私、安全、违规通知规则的集中所在。 |
| 45 CFR §§164.400-414 — Breach Notification | 未经保护的 PHI 发生泄露时的通知义务与时限要求。 |
四、文档处理清单
- 判断 PDF 是否含 PHI，明确用途与合法依据。
- 若可去标识化：按 Safe Harbor 逐一移除 18 类标识符（/ai-desensitize.html）。
- 若仍属 PHI：按最低必要裁剪字段，仅发送必需页与字段。
- 落实传输与存储安全：加密、访问控制与审计日志（/protect-pdf.html）。
- 扫描件先 OCR 便于定位标识符，再逐类核对（/ocr-pdf.html）。
五、平台能力映射
建议链路：判断是否 PHI → OCR 定位 → 移除 18 类标识符 → 清 metadata → 加密传输。
六、常见漏点
只删姓名：病历号、日期元素、设备序列号等同样属可识别标识符。
忽略全脸照片：Safe Harbor 明确将全脸照片及类似图像列为标识符。
整份发送：未按最低必要裁剪，披露范围超出实现目的所需。
参考与权威来源
作者：PDFnoted 合规研究团队·发布于 2026-09-01·最近更新 2026-09-01
本页条文要点对应 PDFnoted 合规审查引擎中该部法规的条款级索引；引擎法规知识库覆盖 219 部法规源文件、22,671 个条款级索引、11 个垂直行业与中国/美国/欧盟三大法域。内容由团队定期复核更新，用于一般性参考。
免责声明：本页基于公开法律法规与 PDFnoted 平台能力整理，仅供文档合规事务作一般性参考，不构成法律意见、合规咨询或专业服务。条文引用以官方发布的最新有效文本为准，具体适用请咨询具备资质的专业人士。
六、HIPAA 合规真实场景与落地步骤
6.1 四类高频场景
- 受保护健康信息（PHI）处理：病历、检验报告、理赔单据中的 PHI 在处理前需确认用途与最小必要范围，非诊疗目的使用应取得授权。
- 业务伙伴（Business Associate）协作：外包扫描、归档、云存储等接触 PHI 的服务方须签署 BAA，明确安全措施与泄露通知义务。
- 保险理赔材料提交：仅提供与理赔责任相关的诊疗记录，其余诊断信息可遮蔽，避免过度披露。
- 去标识化用于研究：按 Safe Harbor 移除 18 类标识符，或采用专家判定的统计方法，方可视为非 PHI 用于研究。
6.2 标准处理流程
- 确认范围：标明 PHI 字段与最小必要范围。
- 签署 BAA：与任何接触 PHI 的服务方签约。
- 去标识化：按 Safe Harbor 移除 18 类标识符或走专家判定路径。
- 安全传输：加密传输与存储，禁用明文邮件附件。
- 审计留痕：记录访问、披露与处理日志，保存规定期限。
6.3 最容易踩的坑
- 把扫描或 OCR 外包给未签署 BAA 的服务商，构成未经授权的披露。
- 只删除患者姓名就当作去标识化——住院号、就诊日期、罕见解剖信息仍可识别。
- 用普通邮件附件发送 PHI，传输与存储均未加密。
- 理赔材料一次性提交全套病历，超出最小必要范围。
6.4 适用法规要点
- HIPAA Privacy Rule：允许的使用与披露、最小必要原则、个人访问权。
- HIPAA Security Rule：行政、物理与技术保障措施，含访问控制与审计。
- HIPAA Breach Notification Rule：未经保护 PHI 泄露的通知义务与时限。
- HITECH 法案：强化审计、加密安全港与业务伙伴的直接责任。
- 美国各州法（如加州 CMIA）：州法更严格时以州法为准。
常见问题
- 什么是 PHI？
- 受保护健康信息（PHI）指涵盖实体及其业务伙伴以任何形式持有或传输的、可识别个人的健康信息，包括诊断、治疗、付费信息与个人身份信息的组合。
- Safe Harbor 的 18 类标识符有哪些？
- 包括姓名、小于州的地理细分、除年份外的所有日期元素、电话与传真号、电子邮箱、社保号、病历号、健康计划受益人号、账户号、证书/许可证号、车辆识别与车牌、设备标识符与序列号、URL、IP 地址、生物标识符、全脸照片及类似图像，以及任何其他唯一识别编号、特征或代码。
- 去标识化后还受 HIPAA 约束吗？
- 按 Safe Harbor 移除全部 18 类标识符，或经专家认定重识别风险极低的，视为去标识化信息，不再作为 PHI 受隐私规则约束。仅部分移除通常不足以达到去标识化标准。
- 最低必要原则怎么用？
- 披露或使用 PHI 应限于实现特定目的所必需的最小量。在 PDF 场景中体现为：只发送必需页面与字段，而非整份病历或完整报告。
- 扫描版病历怎么处理？
- 先 OCR 将图像文字转为可检索文本（/ocr-pdf.html），再按 18 类标识符逐项定位并移除；图像中的面部或标识符区域需在像素层做永久涂黑。
- PDF 的 metadata 要清吗？
- 要。metadata 可能含作者、机构、路径与时间戳，属于随文件流转的信息，外发前应清除；作为原始留档件则保留。
- 处理 PHI 文件会泄露吗？
- 处理环境决定是否泄露。建议在本地优先模式处理，含 PHI 的文件不上传即可预览与导出。
- 本文能替代法律意见吗？
- 不能。本文为一般性参考与自查清单，不构成法律意见。HIPAA 的具体适用与去标识化判定请咨询具备资质的专业人士并以现行有效法规为准。
- 去掉姓名和身份证号就算去标识化了吗？
- 不够。Safe Harbor 要求移除 18 类标识符，包括住址、日期元素、电话、病历号、账号、生物识别与影像等，仅删姓名仍可能重新识别。
- 把扫描外包给供应商需要签什么？
- 需签署业务伙伴协议（BAA），约定允许用途、安全措施、分包管理与泄露通知义务；未签署即披露可能构成违规。
- 患者要求把自己的病历发到个人邮箱可以吗？
- 可以，但应告知未加密邮箱的风险，并优先提供加密下载或患者门户；同时记录该次披露的方式与时间。
关键词：HIPAA PDF合规,PHI去标识化,Safe Harbor 18项,HIPAA隐私规则,医疗PDF脱敏,HIPAA安全港,受保护健康信息
数据与权威背书
法规条文级合规引擎｜219 部法规源文件 · 22,671 个条款级索引
PDFnoted 合规审查引擎的法规知识库覆盖度
219个法规源文件中 · 美 · 欧三法域
22,671个条款级索引精确至条文粒度
11个垂直行业独立审查框架
3大法域覆盖中国 / 美国 / 欧盟
本页法规要点对应 PDFnoted 合规审查引擎中该部法规的条款级索引，风险结论可回溯至具体条文。 方法论参考 Princeton GEO 论文（arXiv:2311.09735），结构化数据遵循 Schema.org 规范。法规原文以官方发布为准。