为什么医疗账单管理中的 HIPAA 合规没有商量余地
医疗账单管理在收入周期的每个阶段都会处理受保护健康信息（PHI）：人口统计信息、诊断和操作代码、保险信息以及付款记录。这使得账单管理成为 HIPAA 违规的高风险领域。民权办公室（OCR）已对与账单相关的 HIPAA 违规行为开出数百万美元的罚款，即使是小型诊所，也曾因本可通过完善的合规计划避免的失误而被罚款。
医疗账单管理中哪些属于 PHI？
在账单管理中，PHI 是指任何可识别个人身份的健康信息：患者的姓名、地址、出生日期、电话号码、社会安全号码、病历号、保险编号、诊断和操作代码、治疗日期，以及其他任何可合理识别个人身份且与其健康、医疗或付款相关的信息。所有这些都必须受到保护。
HIPAA 安全规则：ePHI 的技术保护措施
HIPAA 安全规则对保护电子 PHI（ePHI）提出了具体要求，而如今几乎所有账单数据都以这种形式存在。必需的技术保护措施包括：将 ePHI 仅限授权用户访问的访问控制、记录谁在何时访问了什么内容的审计控制、防止未经授权篡改的完整性控制、传输和存储中的加密，以及闲置后自动退出登录。每个账单系统、清算中心连接和传输渠道都必须合规。
业务伙伴协议（BAA）
当受保实体（您的诊所）为账单职能而与外部机构共享 PHI 时，例如账单公司、清算中心、编码服务机构或催收机构，该机构即成为 HIPAA 下的业务伙伴，必须签署业务伙伴协议（BAA）。BAA 要求业务伙伴以与受保实体相同的标准保护 PHI，并及时报告任何泄露事件。未签署 BAA 就向任何供应商共享 PHI，无论是否发生泄露，都直接违反 HIPAA。
账单管理中最常见的 HIPAA 违规行为
- 通过不安全的电子邮件或未加密的文件传输发送理赔申请
- 账单人员之间共享登录凭据
- 将 PHI 存储在没有加密或远程擦除功能的个人设备上
- 未与供应商、清算中心或催收机构签署 BAA
- 在他人能听到的地方讨论患者账单
- 将 EOB 或账单寄到错误的地址
- 跳过账单人员的年度 HIPAA 培训
选择符合 HIPAA 的账单管理合作伙伴
外包时，请核实账单公司是否全面遵守 HIPAA，包括已签署的 BAA、加密的数据传输、书面的安全政策、员工年度培训，以及正式的泄露通知程序。请询问其安全认证，以及 PHI 在传输、存储和合作终止时的处理方式。如果未采取保护措施，供应商的 HIPAA 失误可能会牵连到您的诊所。
账单团队须了解的三项规则
账单团队主要受三项联邦 HIPAA 规则约束。本文仅为一般性知识介绍，不构成法律建议。具体义务取决于您的规模、所在州和合同，请向合格的医疗法律顾问确认详情。
| 规则 | 规范内容 | 对账单管理的意义 |
|---|---|---|
| 隐私规则 | 谁可以出于何种目的使用或披露 PHI | 账单管理属于获准的“付款”用途，但披露必须有所限制，且患者享有查阅记录等权利 |
| 安全规则 | 针对 ePHI 的行政、物理和技术保护措施 | 涵盖账单系统、清算中心连接、笔记本电脑、共享磁盘和云端工具 |
| 泄露通知规则 | 未受保护的 PHI 被不当使用或披露时的应对措施 | 要求进行事件评估；对于须报告的泄露事件，还须通知受影响的个人、HHS，有时还须通知媒体 |
账单管理中的最低必要标准
对于大多数使用和披露情形，HIPAA 要求您将 PHI 限制在最低必要范围内。服务提供者之间出于治疗目的的披露属于例外。在账单管理中：
- 按角色为员工分配访问权限；负责付款过账的人员不需要查看临床记录。
- 只向付款方提供其要求的内容，而不是整份病历。
- 在培训或分析示例中，隐去不必要的身份标识。
- 患者账单仅限于说明收费和余额所需的内容。
- 记录访问权限，并在岗位变动时重新审查。
开展安全风险分析
有书面记录的全机构风险分析是安全规则的核心要求，也是 OCR 调查中经常发现的问题。环境发生变化时，请重新进行并更新分析。
- 盘点 ePHI 的存放位置列出所有创建、存储或发送账单数据的系统、设备、云服务、清算中心连接、备份和工作流程。
- 识别威胁和漏洞考虑设备丢失、网络钓鱼、勒索软件、邮件误发、弱密码、未打补丁的软件等情况。
- 评估可能性和影响为每项风险评级，以便优先处理最高风险。
- 审查现有保护措施检查现有的加密、多重身份验证、日志记录和备份。
- 制定风险管理计划为弥补漏洞指定负责人和完成日期，并记录任何已接受的剩余风险。
- 记录并重复保留书面分析，并在新系统或新供应商等重大变更后更新。
访问控制与日常保护措施
- 唯一用户标识： 共享登录会破坏审计追踪。
- 强身份验证： 对远程访问、电子邮件和账单系统使用多重身份验证。
- 最小权限： 仅授予岗位所需的权限，并在离职或岗位变动时及时撤销。
- 加密： 保护传输和存储中的 ePHI，包括笔记本电脑、手机和可移动介质。
- 审计日志： 定期检查访问日志，查找异常活动。
- 安全传输： 使用安全的清算中心渠道或 SFTP，而不是普通电子邮件。
- 工作站使用习惯： 自动退出登录、防窥屏、纸质记录上锁保管。
- 培训： 新员工入职时进行培训，定期复训，并保留出席记录。
业务伙伴协议核查清单
在与账单公司、清算中心、编码供应商、催收机构、IT 服务商或存储 PHI 的云服务共享 PHI 之前，应已签订 BAA。完善的 BAA 通常包括以下内容；请让法律顾问审阅具体措辞：
- PHI 的允许使用和披露范围，以及禁止任何其他用途
- 必需的保护措施，包括遵守安全规则
- 在规定期限内及时报告事件和泄露
- 将相同义务传递给接触 PHI 的分包商
- 支持患者的查阅和更正请求
- 合作终止时归还或销毁 PHI；如无法归还，则继续提供保护
- 发生重大违约时您有权终止协议
如发生泄露：应对步骤
泄露通知规则推定，对未受保护的 PHI 的不当使用或披露即构成泄露，除非有书面风险评估表明 PHI 被泄露的可能性很低。
- 控制事态停用账户、撤回邮件或找回设备。
- 保存证据保留日志和记录。暂不要清除系统。
- 向内部上报通知隐私和安全负责人，并视情况通知法律顾问和您的网络安全保险公司。
- 评估风险记录 PHI 的性质、接收者、是否被实际查看或获取，以及风险已降低到何种程度。
- 按要求通知如属须报告的泄露事件，应在不无故拖延的情况下通知受影响的个人，且最迟不得超过发现之日后 60 天。向 HHS 报告（影响 500 人或以上的泄露事件适用同样的 60 天期限，较小规模的泄露事件须在日历年度结束后 60 天内报告），对于在单一州内影响较大的泄露事件，还须通知媒体。业务伙伴必须通知受保实体。部分州另有更短的期限。
- 整改并记录解决根本原因，重新培训员工，更新风险分析。
常见错误及纠正方法
| 错误 | 纠正 |
|---|---|
| 没有书面风险分析，或分析已过时多年 | 立即完成一份，然后定期更新，并在重大变更后更新 |
| 供应商可访问 PHI 但没有 BAA | 盘点供应商，并在更多 PHI 转移之前签署或更新 BAA |
| 共用账单系统登录账号 | 分配唯一用户标识并启用审计日志 |
| 通过普通电子邮件发送理赔申请或账单 | 使用安全传输方式以及患者门户或加密消息 |
| 笔记本电脑和手机未加密 | 强制启用加密和远程擦除，并限制个人设备 |
| 离职员工仍保留访问权限 | 将账户注销纳入离职清单 |
| 培训只做过一次，且无记录 | 安排复训并保留签到记录 |
请咨询法律顾问。 本概述仅为一般性介绍。州法律、付款方合同以及您自身的风险状况可能在 HIPAA 之外增加其他要求。请让医疗法律顾问或合格的合规专业人士审阅您的政策、BAA 和事件应对计划。
要点总结
- 账单管理工作每天都涉及隐私规则、安全规则和泄露通知规则。
- 在每项工作中落实最低必要原则和基于角色的访问权限。
- 有书面记录且及时更新的风险分析是遵守安全规则的基础。
- 在任何供应商接触 PHI 之前，先签署 BAA。
- 制定书面的泄露应对计划，并了解联邦和州的期限要求。