隐私与保密
本中文译文仅供参考。如有任何不一致之处，以英文版本为准。
HIPAA 隐私与保密政策
规范语言服务项目中受保护的健康信息的处理
公司 Translation Excellence, Inc.
生效日期 2026年6月18日
最近审阅日期 2026年6月18日
角色 HIPAA 业务伙伴
目录
- 引言与适用范围
- 本公司在 HIPAA 下的角色
- 什么是 PHI？
- 允许的使用与披露
- 禁止的使用与披露
- 口译员保密义务
- 保护措施与安全
- 业务伙伴协议
- 泄露通知
- 您对 PHI 享有的权利
- 培训与问责
- 投诉与联系方式
Translation Excellence, Inc. 致力于保护在提供语言服务过程中接触到的所有健康信息的隐私和保密性。本政策规定本公司作为 HIPAA 业务伙伴（Business Associate）如何处理受保护的健康信息（Protected Health Information，PHI），并确立本公司口译员、译员和员工在医疗场景中工作时必须遵守的标准。
01
引言与适用范围
Translation Excellence, Inc.（以下简称“Translation Excellence”“本公司”或“我们”）为医疗机构、医院、诊所及其他 HIPAA 适用实体（covered entity）提供专业口译、翻译和无障碍服务（包括 ASL 和 CART）。在提供上述服务的过程中，本公司人员可能接触或有权访问属于患者和医疗服务接受者的 PHI。
本 HIPAA 隐私与保密政策适用于：
- Translation Excellence 的所有员工、承包商和独立口译员
- 在医疗场景中执行的所有翻译和口译任务
- 涉及患者或临床内容的任何文件翻译、转录或 CART 服务
- 在医疗或行为健康场景中的所有 ASL 口译服务项目
- 医疗环境中的视频远程口译（VRI）和电话口译
ℹ️ 本政策是对 Translation Excellence 所有口译员和译员在与本公司建立专业合作时所接受的一般保密义务的补充，而非替代。
02
本公司在 HIPAA 下的角色
根据经《经济与临床健康信息技术法案》（Health Information Technology for Economic and Clinical Health Act，HITECH Act）修订的《1996年健康保险流通与责任法案》（Health Insurance Portability and Accountability Act of 1996，HIPAA），Translation Excellence 在向医疗行业适用实体提供服务时，作为业务伙伴开展业务。
适用实体（Covered Entity）是指直接受 HIPAA 约束的医疗服务提供方、健康计划或医疗信息交换所（healthcare clearinghouse）。业务伙伴是指为适用实体提供涉及访问 PHI 之服务的个人或公司。
作为业务伙伴，Translation Excellence 同意：
- 仅在业务伙伴协议（BAA）和适用法律允许的范围内使用和披露 PHI
- 实施适当的行政、物理和技术保护措施以保护 PHI
- 向相关适用实体报告任何已知或疑似的未经安全保护的 PHI 泄露
- 确保任何访问 PHI 的分包商或代理人同意遵守相同的限制和条件
- 按要求向美国卫生与公众服务部（HHS）提供本公司的账簿和记录
- 在服务关系终止时，在可行情况下退还或销毁所有 PHI
✅ HITECH 合规：Translation Excellence 在本政策下的义务延伸至《HITECH 法案》的要求，包括泄露通知规则以及 HIPAA 若干条款对业务伙伴的直接适用。
03
什么是受保护的健康信息（PHI）？
受保护的健康信息（PHI）是指由适用实体或业务伙伴创建、接收、维护或传输的任何可识别个人身份的健康信息。PHI 可以任何形式存在：口头、书面或电子形式（ePHI）。
本公司口译员可能接触的 PHI 示例
以下任何信息，凡与可识别的个人相关联，即构成 PHI：
- 患者姓名及联系信息
- 治疗或住院日期
- 病历号或账户号
- 诊断、预后或治疗方案
- 处方及用药信息
- 保险及账单信息
- 心理健康及行为健康记录
- 化验结果及影像报告
- 社会安全号码或身份证件号码
- 小于州一级的地理数据
口译员必须将医疗任务中接触到的所有信息视为潜在 PHI，无论其是否已被正式认定为 PHI，并相应予以保密。
04
PHI 的允许使用与披露
Translation Excellence 人员仅可在以下情形下使用或披露 PHI：
| 用途 | 说明 | 授权 |
|---|---|---|
| 服务交付 | 在临床诊疗过程中，为提供所请求的语言服务而必要地口译或翻译健康信息 | 允许 |
| 医疗运营 | 内部质量审查、投诉调查或审计——仅限最低必要信息 | 允许 |
| 法律要求 | 应有效的法院命令、政府机构或适用法律法规的强制要求而作出的披露 | 允许 |
| 公共卫生与安全 | 在法律要求时向公共卫生主管部门报告，或为防止对健康或安全造成严重且紧迫的威胁而作出的必要披露 | 允许 |
| 业务伙伴职能 | 与已签署 BAA 并代表 Translation Excellence 提供服务的分包商共享 PHI | 允许 |
| 患者授权 | 经患者书面明确授权的任何使用或披露 | 须经授权 |
| 营销或出售 | 为营销目的使用或披露 PHI，或以 PHI 换取报酬 | 禁止 |
⚠️ 最低必要标准：访问、使用或披露 PHI 时，Translation Excellence 人员必须将其接触的信息限制在完成任务所需的最低限度。口译员不应查阅超出执行所请求服务直接所需范围的病历或临床文件。
05
禁止的使用与披露
所有 Translation Excellence 人员和承包商严禁从事以下行为：
- 在任务之外讨论 PHI——与未直接参与诊疗或服务的任何人讨论患者信息
- 将 PHI 用于个人目的——将任务中接触到的任何患者信息用于任何个人利益或与工作无关的目的
- 未经授权的录制——未经适用实体明确授权，录制、拍摄或复制任何 PHI 或患者相关内容
- 在社交媒体上披露——在社交媒体或公共平台上发布、分享或提及医疗口译任务的任何细节，即使未提及患者姓名
- 带走文件——在任务结束后移走、复制或保留含有 PHI 的纸质或电子文件
- 出于好奇的访问——出于个人好奇而非服务交付需要访问 PHI
- 重新识别——试图从去标识化信息中识别患者身份
🚫 违规后果：违规行为可能导致立即撤离任务、终止合同或雇佣关系，并移交监管或执法机关处理。HIPAA 违规行为可能招致每一违规类别每年最高 190 万美元的民事罚款。
06
口译员保密义务
Translation Excellence 口译员在医疗场景中工作时，须同时遵守职业道德准则和 HIPAA 要求。
任务期间
- 准确、完整地口译，不遗漏、添加或更改信息
- 严守公正立场：不代言、不提供建议、不加入个人意见
- 不在口译交流之外与患者另行交谈
- 如您认为存在未被传达的患者安全问题，应提醒临床医护人员
- 不接受患者的礼物、小费或个人联系方式
任务结束后
- 不保留、记录或分享在任务中获知的任何信息
- 按照适用实体的指示，退还或销毁为准备工作而提供的任何含有 PHI 的材料
- 如对 PHI 暴露或潜在泄露有任何疑虑，立即向 Translation Excellence 管理层报告
- 在任何职业或社交场合，均不得确认曾接受您口译服务的任何人的身份
远程与视频口译（VRI/电话口译）
- 在私密、安全的地点开展口译，确保 PHI 不会被他人听到
- 仅使用经 Translation Excellence 批准或客户指定的平台
- 确保口译期间房间内无未经授权的人员在场
- 每次口译结束后，关闭并妥善保管任何与 PHI 相关的文件或屏幕
📋 所有指派至医疗客户账户的 Translation Excellence 口译员，均须签署《保密与 HIPAA 合规协议》，作为获得任务指派资格的条件。
07
保护措施与安全
Translation Excellence 依照 HIPAA 安全规则，采取行政、物理和技术保护措施保护 PHI。
行政保护措施
- 所有人员在执行医疗任务前须接受 HIPAA 合规培训
- 指定 HIPAA 隐私官，负责政策监督与合规
- 对访问 PHI 的人员实施员工资格审查及背景调查程序
- 针对违反 HIPAA 政策的员工的处分政策
物理保护措施
- 为任何涉及 PHI 的远程口译或翻译提供安全的工作空间
- 安全销毁（粉碎）任何含有 PHI 的纸质文件
- 对处理 PHI 的任何物理场所实施访问控制
技术保护措施（ePHI）
- 仅通过安全、经批准的平台加密传输任何 ePHI
- 对含有 ePHI 的系统实施访问控制和唯一用户标识
- 用于涉及 ePHI 之口译的设备启用自动注销
- 审计控制，追踪对 ePHI 的访问
08
业务伙伴协议（BAA）
在 Translation Excellence 人员可能访问 PHI 的任何场景中提供语言服务之前，Translation Excellence 必须已与作为适用实体的客户签署完整生效的业务伙伴协议（BAA）。
BAA 规定 PHI 的具体允许使用与披露范围、Translation Excellence 保护 PHI 的义务、泄露通知程序及时限、服务关系结束时 PHI 的退还或销毁，以及对下游分包商的要求。
1 新医疗客户入驻 Translation Excellence 运营团队确认是否需要签署 BAA。在服务开始前，本公司向客户提供 BAA 模板供其审阅和签署。
2 分包商/独立口译员 BAA 指派至医疗客户账户的任何独立口译员或分包商，均须在首次执行任务前与 Translation Excellence 签署 BAA。
3 BAA 的维护与续签 Translation Excellence 将已签署的 BAA 存档，并每年审查一次，或在服务范围发生重大变化时审查。
⚠️ 未确认已与作为适用实体的客户签订有效 BAA 之前，任何 Translation Excellence 人员均不得开始可能涉及访问 PHI 的医疗任务。
09
泄露通知
根据 HIPAA 泄露通知规则，Translation Excellence 须将任何未经安全保护的 PHI 泄露事件通知相关适用实体。泄露是指未经授权获取、访问、使用或披露 PHI，从而危及其安全性或隐私的行为。
构成泄露的情形
- 口译员与未经授权方分享 PHI
- 含有 ePHI 的设备遗失或被盗
- 通过电子邮件、传真或消息将 PHI 发送给错误的收件人
- 在翻译任务期间未经授权访问患者记录
- 影响含有 ePHI 之系统的勒索软件攻击或网络攻击
泄露报告程序
1 立即内部报告 任何员工、口译员或承包商发现或怀疑发生 PHI 泄露，必须在发现后 24 小时内向 Translation Excellence 管理层报告。
2 内部调查 Translation Excellence 将在 5 个工作日内评估该事件，依据 HIPAA“泄露可能性低”（Low Probability of Compromise）标准判断其是否构成须报告的泄露。
3 通知适用实体 如确认发生泄露，Translation Excellence 将依照 45 CFR § 164.410，无不合理延迟地通知相关适用实体，且最迟不晚于发现后 60 个日历日。
4 记录存档 所有泄露调查和通知均依照 HIPAA 文件化要求记录在案，并至少保留 6 年。
10
个人对 PHI 享有的权利
作为业务伙伴，Translation Excellence 支持患者和医疗服务接受者对其 PHI 享有的权利。相关请求应向患者所属的适用实体医疗服务提供方提出。Translation Excellence 将配合适用实体落实上述权利。
📋
访问权
要求查阅并获取适用实体所持有的您的 PHI 副本。
✏️
修改权
要求更正或修改您记录中不准确或不完整的 PHI。
📊
获取披露记录权
要求获取适用实体或其业务伙伴对您的 PHI 所作披露的记录。
🔒
限制权
要求限制对您的 PHI 的某些使用和披露。
📮
保密通信权
要求仅通过特定方式或在特定地点与您沟通 PHI。
📄
获取本政策副本的权利
随时索取本 HIPAA 隐私与保密政策的副本。
11
培训与问责
Translation Excellence 致力于打造训练有素、符合 HIPAA 要求的员工队伍。培训和问责措施包括：
- 入职 HIPAA 培训：所有指派至医疗客户账户的新员工和承包商，均须在首次执行任务前完成 HIPAA 隐私与安全培训，内容涵盖 PHI 识别、保密义务、允许与禁止的披露以及泄露报告。
- 年度复训：所有在岗医疗口译员和译员每年完成 HIPAA 合规复训。
- 政策确认：所有人员均须审阅并签署本政策，确认已理解并承诺遵守。
- HIPAA 隐私官：Translation Excellence 指定一名隐私官，负责 HIPAA 合规、接收泄露报告，并就隐私事宜与作为适用实体的客户协调。
- 处分政策：违规处理措施可能包括警告、撤离任务、终止聘用以及移交监管机构。
- 文件保留：培训记录、BAA、泄露调查档案和政策文件至少保留 6 年。
12
投诉与联系方式
如您认为您的隐私权受到侵犯，或对 Translation Excellence 处理 PHI 的方式有疑问或疑虑，您有权直接向 Translation Excellence 或美国卫生与公众服务部民权办公室（OCR）提出投诉。Translation Excellence 不会报复任何善意提出投诉的人。
如有任何疑问、疑虑或投诉，请联系本公司 HIPAA 隐私官：公司 Translation Excellence, Inc. 电子邮件 info@translationexcellence.com 邮寄地址 Translation Excellence, Inc. 3300 S. Parker Rd., Suite 200 Aurora, CO 80014 网站 translationexcellence.com
HHS 民权办公室（OCR）——联邦投诉 您也有权直接向美国卫生与公众服务部民权办公室提出投诉：U.S. Department of Health & Human Services 200 Independence Avenue, S.W., Washington, D.C. 20201 在线投诉：www.hhs.gov/ocr/complaints 电话：1-800-368-1019 | TDD：1-800-537-7697 投诉须在您知道或应当知道所称违规行为之日起 180 天内提出。OCR 可因正当理由延长该期限。