美国卫生及公共服务部（HHS）民权办公室（OCR）正在全国范围审查医疗机构网站与在线追踪工具相关的潜在 HIPAA 违规，重点是未经许可向第三方传输受保护健康信息（PHI）。OCR 的 Susan Rhodes 表示追踪技术是隐私违规高发地；2022 年 12 月 OCR 已就在线追踪器发布警告，2023 年 7 月 OCR 与 FTC 又联合向 130 家医院和在线医疗服务商投递警告函。对使用 Cookie、追踪像素的受监管实体而言，关键问题是：这些技术何时触及 PHI，以及是否须与追踪技术提供商签订业务合作协议（BAA）。

TL;DR

• HHS OCR 正在全国审查医疗机构网站的网络追踪器；2023 年 7 月与 FTC 联合向 130 家医院和在线医疗服务商发出警告函。
• 当受监管实体通过 Cookie、追踪像素等技术向提供商披露含 PHI 的信息时，须遵守 HIPAA，违规可导致民事罚款。
• 若追踪技术提供商代表受监管实体处理涉及 PHI 的工作，即属”业务合作伙伴”，须签订 BAA，无论是否已签，法律定性都成立。
• 认证页面上的追踪器通常可访问 PHI；非认证页面在登录、注册或涉及特定症状搜索时也可能触及 PHI；受监管实体开发的 App 收集的用户与设备信息通常属 PHI。

HIPAA 如何规范追踪技术

HIPAA 于 1996 年通过，为医疗信息提供隐私与安全框架。OCR 负责管理与执行 HIPAA 隐私、安全与数据泄露通知规则，包括调查受监管实体（HIPAA 覆盖实体及其业务合作伙伴）的违规报告与投诉，违规可导致民事罚款。

追踪技术用于收集分析用户与网站或 App 的交互。当受监管实体通过追踪技术收集、或向追踪技术提供商披露包含 PHI 的信息时，须遵守 HIPAA。例如，未经个人授权、以营销为目的向提供商披露 PHI，即构成不合规披露。PHI 的不合规披露不仅违反隐私规则，还可能造成身份顶替、财务损失、歧视、污名化或精神痛苦，因为这些数据可能揭示诊断结果、就诊频率与就医地点等极敏感信息。这类由追踪像素引发的风险并非医疗行业独有，可对照 潜藏在表面下的像素追踪 与 领英被指暗中抓取用户站外医疗数据在加州连遭诉讼。

追踪技术如何收集信息

追踪技术是网站或 App 上的脚本或代码，用于在用户交互时收集信息，再由所有者或第三方分析。网站常用 Cookie、Web Beacon 或追踪像素、会话重放脚本与指纹脚本；App 则嵌入追踪代码，直接收集用户提供的信息并捕获设备信息，如设备 ID 或广告 ID——这些标识符配合其它信息可构建每个用户的画像。追踪技术往往直接向开发它的第三方发送用户信息，即便用户导航到其它网站也可能继续追踪。

受监管实体通过追踪技术向提供商披露的信息可能包括可识别个人的健康信息（IIHI）：医疗记录编号、家庭或邮箱地址、就诊日期，以及 IP 地址、地理位置、设备 ID 等。值得注意的是，即使个人与受监管实体没有直接关系、IIHI 也不含具体医疗服务信息，在受监管实体网站或 App 上收集的这类 IIHI 通常也属于 PHI——因为它把个人与受监管实体联系起来（即个人已经或即将获得医疗服务），从而与其过去、现在或未来的健康或医疗付费相关。

三类场景下的适用

认证页面：需登录才能访问的门户（如患者门户或远程医疗平台）上的追踪器通常可访问 PHI，包括 IP、医疗记录编号、预约日期，乃至诊断、处方、账单信息。受监管实体须确保这类页面在遵守隐私规则的前提下使用披露 PHI，并依安全规则保护电子健康信息（ePHI）。若提供商代表受监管实体执行涉及披露 PHI 的工作，则属业务合作伙伴，须签订 BAA。

非认证页面：受监管实体的一般信息页通常不触及 PHI，不在 HIPAA 管辖范围内。但有例外：患者门户的登录页或注册页虽未认证，一旦用户输入凭据或注册信息（姓名、邮箱），这些即为 PHI；用户在非认证页搜索特定症状、健康情况或预约医生时，追踪器收集的邮箱或 IP 也可能构成 PHI 披露。此时 HIPAA 适用。

App 内追踪：受监管实体提供的 App 收集的用户输入信息与设备信息（设备指纹、网络位置、地理位置、设备 ID 或广告 ID）通常属 PHI，受 HIPAA 管辖。例如诊所 App 追踪月经周期、体温、避孕处方等健康数据即受管辖。但用户自愿下载、非受监管实体开发或提供的 App 中的信息不受 HIPAA 保护，此时可能适用 FTC 法案与 FTC 健康违规通知规则（HBNR）等。

受监管实体的四项合规义务

使用可访问 PHI 的追踪技术时，受监管实体须满足以下要求：

• 确保所有向提供商披露 PHI 的行为都是 HIPAA 明确允许的，并遵循最少必要原则。仅在隐私政策中一笔带过不足以合规；若无适用许可、或提供商不是业务合作伙伴，须先取得个人依 HIPAA 的合规授权，用户接受包含 Cookie 的追踪技术不构成有效授权；仅要求提供商在保存前删除或去标识化 PHI 也不够。
• 与符合”业务合作伙伴”定义的提供商签订 BAA。是否属业务合作伙伴由 HIPAA 定义决定，与是否已签 BAA 无关；BAA 须规定提供商使用披露 PHI 的规则，并要求其报告包括泄露未加密 PHI 在内的安全事件。若实体不愿建立业务合作关系、或提供商不能充分签署 BAA，则不得在无授权情况下向其披露 PHI。
• 要求提供商配合风险分析与管理，并依安全规则实施行政、物理与技术保护措施，如对传输的 ePHI 加密。
• 若在未签 BAA 情况下违规披露 PHI，须向受影响个人、主管部门与媒体发送违规通知；此时法律推定未受保护的 PHI 存在泄露风险，除非实体能证明可能性很低。

对出海的数字医疗与健康类产品而言，追踪技术不是可以”先上线再合规”的细节。类似的地理位置与追踪违规在美国已带来高额追责，可参考 违规追踪用户地理位置的近 4 亿美元和解，把追踪器盘点与 BAA 签署纳入上线前清单。