堕胎权益倡导者和民主党议员正敦促拜登政府加强对寻求堕胎服务患者的数据保护，因担忧诊所和医院信息可能被用于起诉在堕胎非法州寻求该程序的个人。

可能的行动涉及《健康保险携带和责任法案》（HIPAA），这是一部常被引用却鲜为人知的法律，旨在保护敏感医疗信息未经患者同意或知情不被披露。

但HIPAA并未提供许多美国人以为的全面健康数据保护。据Healthcare Dive采访的多位数据隐私和法律专家称，在缺乏国会帮助的情况下，联邦机构几乎无法强化该法律。

专家表示，美国卫生与公众服务部（HHS）为加强HIPAA或防止堕胎相关数据与执法机构共享而采取的任何行动，要么难以执行，要么易受法律挑战，要么耗时过长而无法在短期内帮助患者。

在这种法律环境下，医疗服务提供者——在法律报复风险与对患者的责任之间左右为难——应专注于最小化和保护其收集的数据，同时密切关注所在州堕胎合法性的变化。

“通常法律试图追赶现实世界的发展。但这次情况相反，现实世界正试图追赶、调整或适应法律，”Saul Ewing Arnstein & Lehr律所健康法律师Bruce Armon表示。“对医疗服务提供者群体而言，最好的做法是几乎每日关注事态发展。”

HIPAA的执法例外

在最高法院6月推翻Roe v. Wade案的历史性裁决后，数十个州迅速限制了堕胎服务。该裁决引发了关于隐私的全国性讨论，因为短信、浏览器历史和电子邮件等数字记录过去曾被用于起诉与怀孕相关的刑事指控。

医疗服务提供者存储的医疗数据也可能被用来起诉患者和提供者，尽管这些数据受HIPAA隐私保护伞的覆盖。

“其中存在许多灰色地带和漏洞，”Holland & Knight律所高级法律顾问Ashley Thomas表示。

根据HIPAA，执法机构可以要求受覆盖实体提供患者信息，而受覆盖实体被允许但并非必须遵守。

根据HHS近期发布的指南，如果州法律禁止堕胎但未明确要求提供者报告，那么提供者报告堕胎案例即违反HIPAA。

但若收到法院命令或传票，提供者则被允许报告堕胎数据。随着保守派州检察长打击生殖健康服务，此类命令可能变得更加频繁。

“这里有很多灰色地带，它们相互重叠、交叉且变化极快，”信息管理咨询公司Bernstein Data创始人Matthew Bernstein表示。

希望保护患者免于起诉的提供者可以制定政策，除非收到逮捕令，否则不回应执法请求，Omada Health首席隐私与监管官Lucia Savage表示。

但传票或法院命令并非提供者可以忽视的，否则可能面临诉讼，尽管为州外患者实施堕胎的提供者可能面临复杂的法律细节。在缺乏联邦保护的情况下，一些保守州，包括密苏里州，正考虑起诉为本州居民实施堕胎的州外提供者。

“这听起来违宪。但很多此类做法在我看来都违宪，”Mintz律所专注健康法的合伙人Dianne Bourque表示。

没有“干净利落的完美解决方案”

总统乔·拜登7月签署行政命令，要求联邦贸易委员会主席Lina Khan和HHS部长Xavier Becerra考虑发布新的HIPAA指南，以防范数字监控。

一些民主党参议员敦促HHS进一步更新法律，以限制或明确防止健康数据与针对堕胎者的执法机构共享。

负责监督HIPAA的HHS民权办公室（OCR）“将审视其所有选项。这是机构对行政命令的回应方式。但我认为其选项将是有限的，”Savage表示，她曾在奥巴马政府时期担任HHS健康IT部门的首席隐私官。

监管机构在此可能拥有一定权限。HIPAA法规本身较为简略，如今大部分解释来自规则和条例。OCR可以发布不具约束力的次监管指南、尝试规则制定或加强执法行动，专家称。

要完全关闭或缓解与堕胎相关的执法例外，监管机构必须发布新规则。这需要时间——有时从规则提案到最终确定需数年——且无法在过渡期帮助患者或提供者。

“监管过程可能耗时数年。而提供者只有几天，或许一两周时间来决定如何妥善护理患者，”Armon表示。

OCR也可能尝试将堕胎数据保护纳入2021年关于新HIPAA规则的拟议规则制定通知（NPRM）。监管机构在通知内容与最终规则内容之间具有灵活性，只要最终规则符合逻辑延伸标准，Savage称。

其中，2021年NPRM试图增加个人健康信息的允许披露，并改善护理协调和病例管理。监管机构可以尝试寻找理由，主张保护生殖健康数据是该NPRM的自然延伸，Savage表示。

律师们还指出，OCR需注意起草HIPAA法规的参数。任何对HIPAA法规的修改都必须与法规完全一致，以确保拜登政府不会在推翻州法方面越权。

HIPAA中有一节规定，该法律中的任何内容不得被解释为在特定情况下（包括疾病或伤害、死亡或公共卫生干预的报告）使州法律的权限或权力无效或受限。

保守州可能利用这些情况来规避HHS加强堕胎患者HIPAA保护的努力，Mintz律所的Bourque称。例如，若州检察长将获取堕胎数据的请求定位为与预防伤害相关，而OCR限制了提供者共享该数据的能力，该州可声称HHS超出了HIPAA允许的界限，从而可能引发法律斗争。

“无法断言这行得通或行不通。但这是争论的基础，”Bourque表示。“不存在干净利落的完美解决方案。”

这是围绕堕胎权持续斗争中出现的众多法律灰色地带之一，因为支持和反对堕胎的阵营在联邦和州层面都面临复杂问题。

例如，即使HHS明确表示提供者不得与执法机构共享堕胎相关数据，公共卫生机构仍可通过将请求定性为公共卫生请求来获取这些数据，并与执法机构共享，Bourque称。

此外，HIPAA允许提供者披露其认为在场所内发生的犯罪证据的受保护健康信息。在堕胎被定为犯罪的州，若医疗工作者认为发生了非法堕胎，他们有权在未经患者许可的情况下向当局共享该信息。

律师们表示，若HHS限制堕胎数据共享，HIPAA可能自相矛盾。它还可能违反举报人保护法，如果报告堕胎的医疗工作者因善意报告违法行为而受到保护。

“我不知道谁会赢，”Bourque称。“这是一场完美风暴。”

提供者最佳实践

专家表示，最佳解决方案是国会采取行动，解决HIPAA和美国隐私法中的空白，以消除与生殖权利相关的担忧。但在缺乏全面行动的情况下，保护患者医疗数据——以及保护提供者自身免受法律报复——的责任主要落在提供者身上，尤其是那些在堕胎非法州运营的提供者。

专家建议，提供者应仅收集提供患者护理所需的最少数据，并高度注意保留义务，尤其是可能揭示患者接受过哪些生殖健康服务的数据。

“如果不需要收集，就不要收集。如果不再需要保留，就销毁它，”Bernstein表示。

医生并非法律要求必须在病历中记录患者可能显示堕胎迹象。如果收到可执行的传票，这可以减轻后果，Thomas称。

了解自己在HIPAA下能做什么和不能做什么也很重要，Bourque表示。

这位律师表示，她见过州表格要求提供者共享的内容远超法规实际授权的情况。

“每个人都必须谨慎行事，”尤其是在面对执法机构可能越权的情况下，Bourque称。“要遵守HIPAA，你必须遵守最低要求。只提供被要求的内容，不要额外提供，否则你会面临HIPAA问题。”