本文僅供參考，並不構成法律建議。請諮詢合格的醫療保健合規律師，以獲得針對您組織的具體指導。
任何通過在線表單收集患者數據的醫療保健組織都必須滿足 HIPAA 的技術和管理要求。本指南解釋了這些要求的實際含義，誰有法律義務滿足這些要求，違規的成本，以及在評估任何在線表單工具時應注意的事項，包括導致意外不合規的常見誤解。
目錄
什麼是 HIPAA 合規？
1996 年簽署的健康保險可攜性和責任法案 (HIPAA) 設定了保護敏感患者健康信息的聯邦標準。對於數字化收集患者數據的組織，兩個規則直接相關：
隱私規則，規範受保護健康信息 (PHI) 的使用、披露和共享。PHI 包括任何可識別個人的健康信息：姓名、出生日期、地址、病歷號碼、診斷代碼、保險 ID 和 45 CFR §164.514(b) 中定義的其他 14 個標識符。
安全規則，為電子 PHI (ePHI) 設定具體的技術、物理和管理保障措施。這是對在線表單影響最直接的規則：它規定了加密標準、訪問控制要求、審計能力和會話管理。
這兩個規則同時適用。隱私規則決定您可以對數據做什麼；安全規則決定您在處理數據時必須如何保護它。
這些規則由 HHS 民權辦公室 (OCR) 執行。OCR 進行投訴驅動的調查和隨機審計，自 2020 年以來越來越關注數字工具。
誰需要 HIPAA 合規？
HIPAA 適用於兩類組織。許多醫療保健企業同時屬於這兩類。
覆蓋實體
任何以標準醫療保健交易形式電子傳輸健康信息的組織：
- 醫療保健提供者：醫生、醫院、診所、牙醫、治療師、脊椎按摩師、藥房
- 健康計劃：保險公司、HMO、雇主贊助的健康計劃、Medicare 和 Medicaid
- 醫療保健清算所：將非標準健康信息處理為標準格式的組織
請注意，“醫療保健提供者”的定義很廣泛。私人執業的獨立治療師、一家遠程醫療初創公司和一個多醫院網絡如果電子傳輸健康信息，都是覆蓋實體。
業務夥伴
任何代表覆蓋實體處理 PHI 的第三方供應商或承包商都是業務夥伴。這包括：
- 在線表單構建器和患者信息平台
- 存儲表單數據的雲存儲提供商
- 用於傳輸患者信息的電子郵件和傳真服務
- 計費和編碼服務
- 訪問存儲 PHI 系統的 IT 支持公司
- 審查患者記錄的法律、會計或諮詢公司
在任何 PHI 通過第三方工具之前，法律上需要簽署業務夥伴協議 (BAA)。如果沒有簽署 BAA，使用該工具本身就是 HIPAA 違規，無論是否發生數據洩露。
**實際影響：**如果您使用在線表單收集患者信息、預約請求或保險詳細信息，表單構建器必須符合 HIPAA 並必須與您的組織簽署 BAA。使用沒有 BAA 的通用表單工具會使您的實踐面臨責任。
HIPAA 違規的懲罰是什麼？
HIPAA 違規由 OCR 執行，懲罰根據違規的嚴重程度和知識水平進行調整：
| 違規類別 | 每次違規罰款 | 年度上限 |
|---|---|---|
| 不知道 | $100 – $50,000 | $25,000 |
| 合理原因 | $1,000 – $50,000 | $100,000 |
| 故意忽視（在 30 天內糾正） | $10,000 – $50,000 | $250,000 |
| 故意忽視（未糾正） | $50,000 | $1,900,000 |
罰款金額每年根據通脹進行調整。上述數字反映了原始法定金額；2024 年調整後的最低起始罰款為每次違規 $141，最高級別每年達到 $2,134,831。
刑事違規——即個人故意披露 PHI——可判處 1 至 10 年的監禁，具體取決於意圖。
州檢察長也可以提出獨立的 HIPAA 執法行動，有時會導致額外的罰款，超出聯邦罰款。
最近的執法例子：
- 2025 年，OCR 與 Deer Oaks Behavioral Health 達成和解，支付 $225,000，因為患者出院摘要因已停用的患者門戶中的編碼錯誤而在網上公開可訪問超過 18 個月。OCR 的調查發現核心失敗是風險分析不足——這是安全規則的基本要求。
- 2022 年，OCR 與 New England Dermatology 達成和解，支付 $300,640，因為患者信息在標本容器標籤上被丟棄在未受保護的垃圾箱中——提醒 HIPAA 也涵蓋 PHI 的物理處理。
無知不是法律辯護。OCR 的立場是每個覆蓋實體和業務夥伴都有義務主動了解規則並驗證合規性。
HIPAA 對在線表單的要求
安全規則 (45 CFR Part 164) 規定了任何處理 ePHI 的系統必須滿足的六類技術保障措施。以下是每一類在在線表單中的意義：
1. 靜態和傳輸中的加密
ePHI 在服務器上存儲時和在患者瀏覽器與您的服務器之間傳輸時必須加密。NIST 建議靜態數據使用 AES-128 或 AES-256，傳輸中的數據使用 TLS 1.2 或更高版本。僅使用 HTTPS 並不充分，HTTPS 只解決傳輸中的加密；數據也必須在磁盤上加密。
2. 訪問控制
只有授權的個體才能查看患者表單提交。這需要基於角色的權限：信息協調員應能查看提交，但不一定能下載原始數據導出；計費管理員可能需要與臨床醫生不同的訪問權限。對整個員工使用通用的共享登錄不符合此要求。
3. 審計控制
系統必須保留記錄誰何時訪問了 PHI，以及他們採取了哪些行動的日誌。這些日誌必須保留並在 HIPAA 審計期間可供審查。審計日誌是 OCR 調查期間首先要求的內容之一。
4. 自動會話超時
為防止未經授權訪問無人看管的工作站，會話必須在一段不活動時間後自動終止。OCR 沒有指定確切的超時期，但醫療保健環境中的標準做法是 15 分鐘自動鎖定，30 分鐘完全會話終止。
5. 業務夥伴協議
在任何 ePHI 通過第三方工具之前，必須簽署 BAA。BAA 確立了供應商在其端接受 HIPAA 合規的法律責任。沒有它，您對通過該供應商系統的任何 PHI 承擔個人責任。
6. 完整性控制
系統必須具備檢測 ePHI 是否被不當更改或銷毀的機制，例如提交文件上的校驗和或數字簽名。這對於同意書和治療授權特別重要。
常見的誤解
這些誤解經常導致意外的不合規：
“我們使用 HTTPS，所以我們已經覆蓋了。”
HTTPS 只加密傳輸中的數據。安全規則還要求靜態加密。通過 HTTPS 發送數據但在服務器上未加密存儲的表單不符合要求。此外，HTTPS 並不涉及訪問控制、審計日誌或會話管理。
“我們使用 Google Forms / Typeform / JotForm。”
Google Workspace 為付費計劃提供 BAA，但標準 Google Forms 不符合 HIPAA 覆蓋使用的資格。Typeform 需要企業或增長定制計劃才能獲得 BAA；標準計劃不包括 BAA。JotForm 需要金牌或企業計劃才能獲得 HIPAA 功能和簽署 BAA——免費、青銅和銀牌計劃不包括在內。如果您使用這些工具的標準計劃收集 PHI，無論數據之後如何處理，都是 HIPAA 違規。在收集任何 PHI 之前，始終直接與供應商核實您當前計劃的 BAA 資格。
“我們的實踐規模太小，不值得關注。”
HIPAA 適用於所有覆蓋實體，無論規模大小。OCR 曾對獨立從業者和小型診所處以罰款。“不知道”罰款級別仍然會對每次違規處以高達 $50,000 的罰款。
“我們只收集預約請求，而不是醫療記錄。”
包含患者姓名、聯繫信息和就診原因（通常包括健康信息）的預約請求構成 PHI。信息表單、保險驗證表單和同意書都屬於 HIPAA 管轄範圍。
“我們的 IT 團隊處理 HIPAA——我們不需要擔心表單。”
HIPAA 合規適用於接觸 PHI 的每個系統，而不僅僅是您的 EHR。每個工具都必須單獨評估，如果是第三方服務，則需要 BAA 覆蓋。
如何評估任何表單工具
在使用任何在線表單工具收集患者數據之前，請驗證以下內容。這些適用於任何供應商，而不僅僅是 PlatoForms：
1. 供應商是否簽署 BAA？
直接詢問。如果供應商拒絕簽署 BAA 或表示不必要，請勿將其工具用於 PHI。在簽署之前，建議您的法律顧問審查 BAA 模板。
2. 數據存儲在哪裡，是否靜態加密？
請供應商確認其存儲數據的加密標準（AES-256 是當前的最佳實踐）和服務器的地理位置。數據駐留可能對州級合規要求有影響。
3. 平台是否具有基於角色的訪問控制？
您能否為不同的團隊成員分配不同的權限？您能否限制誰可以查看、下載或刪除提交？
4. 審計日誌是否可用？
您能否導出您帳戶的所有訪問和身份驗證事件的日誌？日誌是否保留足夠長的時間以支持 HIPAA 審計（至少 6 年）？
5. 平台是否強制執行會話超時？
會話是否在不活動後自動終止？這是可配置的，還是由供應商固定的？
6. 供應商是否具有獨立的安全認證？
SOC 2 Type II 是 SaaS 公司最常見的第三方安全審計。其存在並不保證 HIPAA 合規，但表明供應商重視安全並接受獨立審查。注意：PlatoForms 自身的 SOC 2 認證目前正在計劃中；然而，承載 PlatoForms 數據的底層 AWS 基礎設施已獲得 SOC 2 Type II 認證。
7. 表單數據保留多長時間？
HIPAA 要求覆蓋記錄的最低保留期為 6 年。驗證供應商的默認數據保留政策以及您是否可以配置它。
PlatoForms 如何滿足每個要求
PlatoForms 在銀牌和金牌計劃中提供內置的 HIPAA 合規功能。啟用後，所有技術保障措施將自動激活。
AES-256 加密和 TLS 1.2+
所有表單數據在靜態時使用 AES-256 加密，在傳輸時使用 TLS 1.2+ 加密。這適用於每個提交、PDF 和附件，從患者開始填寫表單的那一刻起。
安全域名
啟用 HIPAA 後，所有發布的表單將從 form.platoforms.com 移至 secure.platoforms.com。如果您使用任何嵌入腳本或共享 URL，請在 7 天內更新它們——舊的 URL 和嵌入腳本在此之後將停止工作。如果您使用 自定義域名，共享 URL 保持不變，但嵌入腳本仍需更新。
自動鎖定和登出
- 15 分鐘自動鎖定，頁面在不活動後鎖定；需要密碼解鎖
- 30 分鐘自動登出，會話在不活動 30 分鐘後或瀏覽器關閉時完全結束
團隊審計日誌
團隊管理員可以訪問完整的審計日誌，記錄團隊中的每次共享、身份驗證和訪問事件。建議定期審查這些日誌以檢測異常行為並支持合規文檔。請參閱 如何使用審計日誌。
基於角色的訪問控制
細粒度的權限 讓您可以精確控制哪些團隊成員可以查看、編輯或下載表單提交。
雙因素身份驗證
2FA 可以按帳戶啟用或對所有團隊成員強制執行。
簽署的業務夥伴協議
啟用 HIPAA 合規後，PlatoForms 會將簽署的 BAA 發送到團隊管理員的電子郵件中。在 信任中心 中還提供可下載的 BAA 模板。
帶有防篡改證書的電子簽名
每個 簽名證書 捕獲簽名者的時間戳、IP 地址和提交的 PDF 的 SHA-256 校驗和——為同意書、治療授權和患者協議創建可驗證的完整性記錄。
可配置的數據保留
對於 HIPAA 合規帳戶，數據保留默認為“永久”，確保提交數據保留以滿足 HIPAA 標準。請參閱 數據保留政策 以獲取完整詳細信息。
開始使用
HIPAA 合規在銀牌和金牌計劃中可用，無需額外費用。
4. PlatoForms 升級所有團隊帳戶並將簽署的 BAA 發送到團隊管理員的電子郵件中
如需完整的技術說明，請參閱 HIPAA 合規文檔。有關安全架構、認證和可下載的合規文件，請訪問 信任中心。
有關 HHS 安全規則指導，請參閱 官方 HHS 資源頁面。
準備好安全地收集患者數據了嗎？開始免費試用 並從第一天起啟用 HIPAA 合規。
