上周，美国卫生与公众服务部（HHS）向药物滥用障碍（SUD）项目及受《健康保险流通与责任法案》（HIPAA）监管的机构传递了令人振奋的消息。这些机构正致力于优化隐私安全实践与工作流程。HHS正式发布了备受期待的最终规则（即《第2部分最终规则》），修订了《联邦法规汇编》第42卷第2部分（Part 2）中关于药物滥用障碍患者记录保密性的规定。 该最终规则落实了2020年《冠状病毒援助、救济和经济安全法案》（CARES法案）的相关条款，包含2022年11月拟议规则制定通知中的修订内容，并根据公众意见补充了额外修改。
第二部分最终规则定于2024年2月16日发布于《联邦公报》。该规则自发布之日起60天后生效，并要求在发布后24个月内完成合规。
第二部分 适用性
作为补充说明，第二部分旨在保护由第二部分项目创建或接收的患者健康记录。 第二部分项目指在联邦资助下，以提供物质使用障碍（SUD）诊断、治疗或转诊服务为宗旨并实际开展相关工作的个人、实体或综合医疗机构中的特定科室。典型案例包括为阿片类药物使用障碍患者提供药物辅助治疗的阿片类药物治疗项目。
患者知情同意书
第二部分最终规则允许第二部分项目在患者书面撤销同意前，可依据患者单次同意书获取并使用该同意书，用于未来所有符合HIPAA法规的治疗、支付及医疗保健运营（TPO）相关记录的使用与披露。 第二部分项目需更新患者工作流程以获取此项同意，这将使项目方能够以远低于此前要求的操作成本使用和披露第二部分信息。
《第二部分最终规则》还允许根据本TPO同意书接收记录的HIPAA覆盖实体及业务合作伙伴，依据HIPAA法规重新披露这些记录，但前提是未经患者明确同意或法院命令，不得将记录用于针对患者的法律诉讼程序。 此限制在允许接收第二部分记录的项目、适用实体及业务合作伙伴进行再披露的同时，仍保障患者权益免受记录用于针对其诉讼程序的侵害。第二部分最终规则全面规定了限制使用或披露患者记录以发起或证实针对患者的刑事指控、调查或民事诉讼的相关条款。
与拟议规则制定通知相比，第2部分最终规则的一项实质性变更要求：每次依据患者同意进行的信息披露时，必须随附同意书副本或对同意范围的清晰说明。 该要求将使记录接收方能够理解可能存在的再披露许可权限。此项要求是对现有再披露通知的补充——根据患者书面同意进行的每次披露均须附带再披露通知（例如："《联邦法规汇编》第42卷第2部分禁止未经授权使用或披露这些记录"）。
患者须知
第二部分最终规则使第二部分的患者通知要求与《健康保险流通与责任法案》隐私实践通知更紧密地保持一致。 第二部分项目需更新患者通知内容，除其他要求外，还须包含新规定的标题、根据第二部分最终规则修订的允许使用和披露情形，以及第二部分最终规则赋予患者的权利。卫生与公众服务部计划通过后续修改HIPAA隐私规则的最终规则，正式完成HIPAA隐私实践通知的修订。向患者提供通知的要求与HIPAA隐私规则下的要求基本一致。
患者权利
第二部分最终规则赋予患者更多权利，这些权利与《健康保险流通与责任法案》隐私规则所规定的权利高度一致，包括：(i) 要求限制向患者健康计划披露其已全额支付的服务信息，或限制为第三方披露目的而事先征得同意的披露； (ii) 获取披露记录（包括过去三年通过电子健康记录进行的第三方披露），以及 (iii) 选择不接收筹款通讯。这些增强的患者权利将提高患者记录使用与披露的透明度，并赋予患者对特定使用及披露行为的控制权。
请注意，第2部分并未像《HIPAA隐私规则》那样赋予患者广泛的获取自身信息的权利。卫生与公众服务部（HHS）在第2部分最终规则的评注中明确指出："根据现行（且最终）规则，第2部分项目在向患者提供记录访问权限方面拥有酌情决定权。 第2.23条既未禁止向患者提供访问权限，也未强制要求提供..."同时受HIPAA监管的第2部分项目需遵循HIPAA隐私规则的访问要求。
违规通知
第二部分最终规则将《健康保险流通与责任法案》（HIPAA）的违规通知规则适用于第二部分项目中未受保护记录的泄露事件，并采用HIPAA对"违规"和"未受保护"的定义。这意味着，若第二部分项目发生违反该部分规定的未受保护记录获取、访问、使用或披露事件，则需评估是否需要向受影响个人、卫生与公众服务部（HHS）及媒体发出通知。
物质使用障碍咨询记录
第二部分最终规则包含了对物质使用障碍咨询记录的定义，该定义严格遵循《健康保险流通与责任法案》（HIPAA）对心理治疗记录的定义。物质使用障碍咨询记录指由第二部分项目提供者（即物质使用障碍或心理健康专业人员）通过任何媒介记录的、用于记录或分析物质使用障碍咨询会谈内容的笔记。 该定义与HIPAA心理治疗记录的定义保持一致，要求此类记录须与其他医疗记录分开存放，且不包括以下内容：药物处方与监测记录、咨询会话起止时间、治疗方式与频率、临床检测结果，以及任何关于诊断、功能状态、治疗方案、症状、预后及当前进展的总结性记录。
与《健康保险流通与责任法案》隐私条款对心理治疗记录的处理类似，披露物质使用障碍咨询记录需获得当事人的明确同意。第二部分允许临床医生酌情决定是否向患者提供物质使用障碍咨询记录的查阅权限。
数据隔离
第二部分最终规则删除了要求对第二部分记录进行隔离或分段处理的条款，卫生与公众服务部明确指出：对于基于单一同意书接收所有未来传输计划（TPO）记录的第二部分项目、覆盖实体及业务合作伙伴而言，无需对第二部分记录进行隔离或分段处理。但这些记录仍属于第二部分记录范畴，必须按照第二部分规定予以保护，包括确保该等记录不得用于针对患者的诉讼程序。
处罚
违反第二部分规定将受到与违反《健康保险流通与责任法案》（HIPAA）相同的民事和刑事处罚，包括按适用于HIPAA违规行为的四级责任等级处以民事罚款。同样，患者可就违反第二部分规定的行为向卫生与公众服务部（HHS）提出申诉。
结论
第二部分项目应开始根据《第二部分最终规则》审查其合规计划，以确定需要调整的环节。这包括更新政策与程序、患者知情同意书及患者通知书。 此外，鉴于《第二部分最终规则》规定了违规事件的泄露通知义务，第二部分项目应借此机会对员工进行再培训，重点讲解第二部分对记录使用和披露的要求——以及其与《健康保险流通与责任法案》（HIPAA）的差异。
想了解更多信息？
COVID-19：《CARES法案》全面修订联邦药物滥用障碍隐私保护法
美国卫生与公众服务部提议将联邦物质使用障碍法律与《健康保险流通与责任法案》协调统一若您对第二部分对贵组织的适用性或第二部分最终规则的实施存在任何疑问，请联系本文作者或福里律师事务所网络安全与数据隐私团队或医疗保健业务团队的任何合伙人或高级顾问。
