美国《健康保险携带和责任法案》中关于生物医学研究的规定及其影响

刘抒悦，高上知，商 瑾，厉希豪，杨 睿，谢 雯，程 龙

(1 麻省理工学院工学院环境系，美国 马萨诸塞剑桥 02139，nhdrc-yc@163.com；2 哈佛大学T.H.Chan公共卫生学院环境健康系，美国马萨诸塞剑桥 02115；3 哈佛大学T.H.Chan公共卫生学院生物统计系， 美国 马萨诸塞剑桥 02115；4 哈佛大学T.H.Chan公共卫生学院流行病学系，美国 马萨诸塞剑桥 02115；5 哈佛大学研究生院统计系，美国 马萨诸塞剑桥 02138；6 哈佛大学T.H.Chan公共卫生学院免疫与传染病系， 美国 马萨诸塞剑桥 02115；7 波士顿儿童医院血液与癌症科，美国 马萨诸塞剑桥 02115；8 国家卫生计生委卫生发展研究中心， 北京 100191)



·法律与伦理·

美国《健康保险携带和责任法案》中关于生物医学研究的规定及其影响

刘抒悦1，高上知2，商 瑾3，厉希豪3，杨 睿4，谢 雯5,6,7，程 龙8**

(1 麻省理工学院工学院环境系，美国 马萨诸塞剑桥 02139，nhdrc-yc@163.com；2 哈佛大学T.H.Chan公共卫生学院环境健康系，美国马萨诸塞剑桥 02115；3 哈佛大学T.H.Chan公共卫生学院生物统计系， 美国 马萨诸塞剑桥 02115；4 哈佛大学T.H.Chan公共卫生学院流行病学系，美国 马萨诸塞剑桥 02115；5 哈佛大学研究生院统计系，美国 马萨诸塞剑桥 02138；6 哈佛大学T.H.Chan公共卫生学院免疫与传染病系， 美国 马萨诸塞剑桥 02115；7 波士顿儿童医院血液与癌症科，美国 马萨诸塞剑桥 02115；8 国家卫生计生委卫生发展研究中心， 北京 100191)

《健康保险可携性与责任法案》(HIPAA)是1996年美国国会颁布的联邦法律，旨在为各种医疗机构及商业合作者提供病人隐私保护方面的行动指南。其中，HIPAA隐私规则对于涉及人的生物生物医学研究做出了详细的规定，既保护了受试者的健康信息，又保证了研究人员可以获得必要的医疗信息来进行研究。但是，在其执行的过程中又出现了阻碍生物医学研究的一些现象。通过对HIPAA隐私规则中对于生物医学研究规定的介绍，讨论了该规则对于生物医学研究在研究机构管理和运营、数据收集和传送、研究花费、跨学科跨机构的研究、研究时间等方面的影响，进而为我国建立医疗研究隐私保护的法律系统提供借鉴。

HIPAA；生物医学研究；受试者；隐私保护

生物医学研究作为生物医药科技发展的基础，对于医学发展、疾病的控制和维护公共健康都有着非常重要的作用。生物医学研究中，有一部分是以人为主要研究对象的，如临床试验、公共卫生研究和药学研究等。凡是以人类作为对象的生物医学研究，都将不可避免地涉及伦理问题。生物医学研究所涉及的伦理问题主要有几个方面，如将病人的利益放在第一位、知情同意问题、有利无伤原则和弱势群体保护问题等[1]。

为了保护病人在生物医学研究中的利益，西方国家(尤其是美国)早在20世纪七八十年代就建立起较为完善的机构审查委员会(Institutional Review Boards，IRB)监管体制。IRB由官方指定，负责审批、监督和审查涉及人类受试者的生物医学研究，通过进行风险收益分析，来确定该项研究是否应该进行。在美国，通用规则(Common Rule, 45 CFR Part 46, Subpart A)和美国食品和药物管理局(FDA)的人类受试者保护条例(21 CFR Parts 50 and 56)授权IRB对研究具有批准、要求修改或不予批准的权力。

通用规则还要求，研究人员在实验开始前需要得到受试者签署的知情同意书(Informed Consent)。知情同意制度保证了受试者多方面的利益[2]，如：了解试验的整体情况、如果在试验中受到伤害可得到赔偿或治疗、可以随时拒绝或退出试验、可识别受试者身份的记录将被保密等。

医学试验过程中所涉及的受试者隐私问题，也是医学伦理学所关注的重点之一。能否对受试者的隐私进行保密，将直接影响到受试者的利益、受试者对试验的参与度以及试验的效果。为此，美国于1996年颁布了《健康保险携带和责任法案》(HIPAA)，其中，HIPAA隐私规则对生物医学研究中如何保护受试者的隐私做出了详细的规定。

1 HIPAA隐私规则中对于生物医学研究的规定

HIPAA隐私规则是独立于通用规则及其他关于人类受试者法规之外的联邦法规，由美国卫生和民众保护部人权办公室执行，它的适用范围更广，对于一些通用规则中没有涉及的研究也做出了要求。隐私规则既保护个人受保护的健康信息(Protected Health Information，PHI)，又确保研究人员可以持续获得必要的医疗信息来进行重要的研究。为了实现以上两点目的，HIPAA隐私规则规定：

①对于不具备身份识别功能的健康信息，涵盖实体(Covered Entities)可以随意地使用和泄露给研究机构。

②在获得病人书面授权(Authorization)的情况下，涵盖实体可以因为研究目的而使用或泄露病人受保护的健康信息。

③在某些特殊情况下，HIPAA也允许无须同意授权的信息共享[3]，包括： IRB或保密委员会(PrivacyBoard, PB)批准,如当研究人员必须使用病人可识别身份的信息，否则研究就无法进行时，IRB可以豁免其病人的书面授权；研究的筹备阶段；PHI的使用或披露纯粹是为了准备研究方案或类似用途，且研究人员不会删除和更改从涵盖实体那里获得的任何PHI；对于死者PHI的研究；有限数据集的数据使用协议。有限数据集是涵盖实体根据该协议规定，去除了亲戚、雇主或家庭成员等具有个人识别功能的信息后的个人信息。对于符合以上几点的研究，研究人员的免授权申请必须经过IRB或PB批准。

值得注意的是，隐私规则只对由涵盖实体执行并产生PHI传送，或与涵盖实体合作(从涵盖实体处获得PHI)的研究才有限制，独立的研究则不在隐私规则的管辖范围之内[4]。当某项研究从涵盖实体获取PHI时，它既要遵守通用规则又要遵守隐私规则。虽然通用规则允许一些研究免于IRB的审查，但HIPAA隐私规则的审查和记录仍是必须的。此外，通用规则中要求的知情同意书和HIPAA隐私规则中要求的授权书是分别独立的。某些情况下，用于研究目的的HIPAA授权书和知情同意书可以合为一体，称为“复合授权书”。HIPAA授权书或复合授权书都必须通过IRB的审查。

当PHI是被用于研究目的时，隐私规则要求这只涉及到某一项具体的研究，而不能是不确定的或者是将来的研究。对于需要获得授权的某项具体的研究，如果涵盖实体需要连续不断地使用或泄露PHI，则需要得到分别的授权。从授权书最后生效之日开始，涵盖实体需要对其保存至少6年。授权书的内容包括：①对要使用或泄露的PHI进行描述；②被授权使用和泄露PHI的人的姓名或其他身份信息；③每次使用和泄露PHI的目的；④授权终止时间；⑤个人签名和日期。一旦授权书终止，则不允许任何形式的PHI使用。

2 实行隐私规则对研究的影响

HIPAA隐私规则的颁布和执行确保了受试者的隐私权，避免了不必要的个人数据共享。HIPAA颁布以前，很多潜在的受试者因为担心自己的隐私有被泄露的风险而拒绝参加试验，而现在，受试者则可以免除这部分疑虑。而且，出于公共事业考虑，HIPAA允许IRB对部分试验的同意授权予以豁免，例如国家法律要求或执法行为中的研究、健康系统的监管和紧急救治等[5]。这些规定都尽力地确保了研究者可以获得必要的医疗信息。尽管如此，还是有人提出HIPAA隐私规则会对研究产生不利的影响，因为研究者需要的医疗记录和某些其他数据现在被定义为PHI，并且受制于存放这些记录的涵盖实体。笔者通过研究HIPAA隐私规则对生物医学研究所提出的新要求，认为其对研究的不良影响主要表现在以下几个方面：

2.1 对研究机构管理和运营的影响

HIPAA隐私规则执行以后，IRB的职责被扩大，既要审核知情同意书又要审核授权书(或复合授权书)。根据通用规则，研究者需要在研究开始之前向受试者获得知情同意书，而HIPAA规定每一个参与研究的受试者都必须签署授权声明来授权研究者使用其PHI，又规定在符合某些条件时，IRB也可以豁免该授权声明，这无疑扩大了IRB的工作量。为了减轻IRB的负担和更好地遵守HIPAA，有些研究机构甚至成立了独立部门Privacy Board来执行相关职责。隐私规则还规定病人有权获得其近6年之内的PHI泄漏情况，这就要求研究机构保存着每个受试者的PHI及其泄露情况，这无疑是一个异常庞大的数据库，一些机构为了保存此类信息，甚至做出了组织结构上的调整。这些组织结构上的变化就使得研究机构的管理和运营变得更加复杂。

2009年，美国Association of Academic Health Centers(AAHC)[6]做了一项关于HIPAA对生物医学研究的影响的调查，在该项调查中，来自27个机构的54个回应者完成了问卷。结果显示，有81%的被调查者表示他们所在的机构指定了专门的工作人员来帮助研究人员遵守隐私规则的规定。但是，只有17%的被调查者表示有受试者向他们索要其本人PHI的泄露情况，这说明，研究机构所保存的每个受试者的PHI泄露情况在某种程度上是不需要的。

2.2 对数据收集和传送的影响

HIPAA出台以后，生物医学研究既要符合通用规则又要符合HIPAA隐私规则。通用规则要求的知情同意书是口头和书面均可，而HIPAA则要求授权书必须是书面。表面上这只是一个小小的不同，却会深刻影响数据收集的难度和数据的客观程度。

2005年，David Armstrong[7]等做了一项关于HIPAA隐私规则对数据收集的影响的研究。该研究使用了前后对比的方法，来评估患者对于密歇根大学急性冠脉综合征研究的参与率。前HIPAA时期，研究者对患者进行了电话采访，以获取他们的口头知情同意。后HIPAA时期，授权书则是寄送到患者的地址。研究结果显示，在前HIPAA时期，知情同意的获得率为96.4%，而后HIPAA时期则下降到34.0%。而且，前HIPAA时期，参与的患者年龄分布较为均匀，但在后HIPAA时期，将授权书寄回的患者年龄均偏大，在研究结束(6个月)时死亡率也偏低。这说明，HIPAA隐私规则对患者参与研究产生了影响，实验参与率更依赖于患者的年龄和健康状况。

2.3 对研究花费的影响

上述提到HIPAA影响了研究机构的管理和运营，如成立单独的Privacy Board、雇佣专门的工作人员负责HIPAA的有关事务等，由此则产生了额外的行政花费。此外，工作人员的监督和培训也将带来额外的花销。

美国最优秀的医学院约翰霍普金斯大学(JHU)医学院及其教学医院的学生对HIPAA对科研的影响做出了研究。JHU的医学院和医院的研究者本可以通过对其附属医院的患者病例进行研究来发展生物医学研究，但HIPAA出台以后，研究者对于患者病例的阅读和使用权限受到了限制。作为美国最大的医院和生物医学研究/教学系统，JHU在实施HIPAA的第一年花费了近30万美元开发了符合HIPAA标准的网站，65万美元用于HIPAA监督和培训人员的薪水和福利。另外20万美元用于制作HIPAA培训材料和各项文档。David Armstrong的研究也评估了因HIPAA而产生的多余费用，HIPAA实施以后该项研究第一年增加了8704美元的花销，其中4146美元是启动资金，包括程序编写、员工培训、律师聘请等，4558美元则用于信封、邮票等消耗品。

2.4 对研究时间的影响

HIPAA规定授权书的内容需要获得IRB的审核，多出的这道审核程序则拖慢了实验的进度。此外，由于违反HIPAA面临的是巨额罚款，导致研究人员本来应该投入在实验上的时间都被用在了注意是否遵守隐私规则上面。

Roberta B.[8]等在2007年做了一项研究，调查HIPAA隐私规则对健康研究的影响。在该项研究中，全国十三个流行病学机构的1527个研究者以匿名方式回答了问题，考察的指标包括研究的延迟、费用的增加、IRB审查的频率、获得数据的困难程度、对隐私权利的理解程度等。结果共有67.8%的受访者认为HIPAA隐私规则使研究更加困难，51%的受访者认为HIPAA隐私规则极大地增加了研究完成的成本和时间。

2.5 对跨学科、跨机构的研究的影响

一些多机构合作的研究涉及到机构之间PHI的传输和共享，而隐私规则中对信息传输又有严格的限制。有些合作机构甚至因此而不愿意参加此类研究，以免增加麻烦。尽管HIPAA规定，如果机构的IRB批准，该机构可以参与另外一个机构IRB的联合审查，但由于很多研究机构对于HIPAA的过分解读，导致各个机构的IRB都需要分别对研究进行批准，拖慢了研究进程，影响了机构间的数据交流。

3 结论和建议

由上述讨论，HIPAA隐私规则对于保护医学试验受试者的隐私所做出的贡献是有目共睹的，但笔者认为其中一些规定过于苛刻，在某些程度上妨碍了医学试验的正常开展，增加了研究人员的负担。患者的隐私固然重要，但患者的数据也应当被合理地用于生物医学研究中。阻碍生物医学研究本身也是对伦理准则的违背，会导致临床决策的盲目，最终受害的是患者本人。对于HIPAA中过于苛刻的规定，应该适当予以放宽，比如将授权书的形式放宽到口头或书面均可，缩短研究机构对受试者PHI的保存时间，减少研究的审核程序和审核内容等。

值得注意的是，美国社会对于公民隐私权的保障非常重视，在这方面已经建立起严格的监管法规和完善的监管体制。不同的是，中国的法律和医疗系统对于病人隐私权的保护尚未有足够的重视。所以，如果中国学习类似于HIPAA的法律政策，必然是要分步实施的。我国首先要加强对公民隐私权的重视，建立起完善的法律保护制度。其次，要避免美国HIPAA实施初期医疗服务和科研受阻的问题，为数据和信息的合理共享提供适当的便利；对于HIPAA中过于苛刻和不适用于我国国情的规定不能照搬；机构设置上也要以“精简”为原则，避免过度的花销，使资金更多地应用在救治患者和改善公众健康状况等方面。总而言之，任何法律在实施的初期必然会遭遇质疑和执行上的困难，我国若想在生物医学研究受试者的隐私保护方面探索出一套适合自己国情的法律系统，需要充分借鉴西方国家的经验和教训，并且在系统建立以后对其进行完善。

[1] 黄洁夫. 临床科研中的伦理学问题[J].中国医学伦理学, 2006，19(1):1-3.

[2] US Food and Drug Administration. Code of federal regulations title 21[M].IND Safety Reports, 2012.

[3] Centers for Disease Control and Prevention. HIPAA privacy rule and public health. Guidance from CDC and the US Department of Health and Human Services [M].MMWR: Morbidity and Mortality Weekly Report, 2003: 1-17.

[4] Nass, Sharyl J., Laura A. Levit, and Lawrence O. Gostin. HIPAA, the Privacy Rule, and Its Application to Health Research [Z]. 2009.

[5] 阎娜,王伊龙，李子孝，等. 美国健康保险流通与责任法案对临床研究的影响 [J].中国卒中杂志, 2011，6(12): 971-974.

[6] Steinberg, Mindy J., and Elaine R. Rubin.The HIPAA privacy rule: Lacks patient benefit, impedes research growth [Z]. Association of Academic Health Centers, 2009.

[7] Armstrong D Kline-Rogers E,Jani SM,et al. Potential impact of the HIPAA privacy rule on data collection in a registry of patients with acute coronary syndrome [J]. Archives of Internal Medicine, 2005,165(10): 1125-1129.

[8] Ness, Roberta B., Joint Policy Committee,Societies of Epidemiology. Influence of the HIPAA privacy rule on health research [J]. JAMA, 2007,298(18): 2164-2170.

〔修回日期 2016-09-03〕

〔编 辑 吉鹏程〕

网址与投稿：http：//yxllx.xjtu.edu.cn

Provisions on Biomedical Research in the US Health Insurance Portability and Accountability Act and its Impact

LIUShuyue1,GAOShangzhi2,SHANGJin3,LIXihao3,YangRui4,XIEWen5,6,7,CHENGLong8

(1FacultyofEngineering,DepartmentofEnvironmentalEngineering,MassachusettsInstituteofTechnology,Cambridge02139,USA,E-mail:wex232@mail.harvard.edu; 2DepartmentofEnvironmentalHealth,HarvardT.H.ChanSchoolofPublicHealth,Cambridge02115,USA; 3DepartmentofBiostatistics,HarvardT.H.ChanSchoolofPublicHealth,Cambridge02115,USA; 4DepartmentofEpidemiology,HarvardT.H.ChanSchoolofPublicHealth,Cambridge02115,USA; 5DepartmentofStatistics,HarvardGraduateSchool,Cambridge02138,USA; 6DepartmentofImmunologyandInfectiousDiseases,HarvardT.H.ChanSchoolofPublicHealth,Cambridge02115,USA; 7DepartmentofHematologyandOncology,BostonChildren′sHospital,Cambridge02115,USA; 8ChinaNationalDevelopmentResearchCenter,Beijing100191,China)

Health Insurance Portability and Accountability Act (HIPAA) is a federal law enacted by the US Congress in 1996. It provided a variety of medical institutions and their business collaborators with guidance for the protection of patient privacy. HIPAA Privacy Rule made detailed provisions for biomedical research involving in human subjects, not only protecting the health information of human subjects, but also ensuring researchers to obtain necessary medical information for study. However, there occur some phenomena that impeded the biomedical research in the process of its execution. This article described the HIPAA Privacy Rule's provisions for biomedical research and discussed its impacts on research organization management and operation, data collection and transmission, research spending, cross disciplinary research, and research time, and thus to offer reference for establishing a legal system for privacy protection in China.

HIPAA; Biomedical Research; Human Subject; Privacy Protection

10.12026/j.issn.1001-8565.2016.06.28

国家卫生计生委规划与信息司2015年度重点课题“健康医疗大数据应用相关法律法规问题研究”

，E-mail: wex232@mail.harvard.edu;dr.chenglong@hotmail.com

R-052

A

1001-8565(2016)06-1011-04

2016-06-27〕