联邦法律​​ 

社会保障法（非 DHCS）​​ 

第 1902a 节。 “州医疗援助计划必须……（7）提供保障措施，限制有关申请人和接受者的信息的使用或披露，仅用于与……（A）计划的直接管理直接相关的目的……”​​ 

健康保险流通与责任法案 (HIPAA)（非 DHCS，PDF）​​ 

联邦法规 160。 第 164.512 节​​ 

1. 允许的披露。相关实体可以为了本段所述的公共卫生活动和目的向下列对象披露受保护的健康信息：​​ 
   
   
   1. 依法授权为预防或控制疾病、伤害或残疾而收集或接收此类信息的公共卫生当局，包括但不限于报告疾病、伤害、出生或死亡等重要事件，以及进行公共卫生监测、公共卫生调查和公共卫生干预；或者，在公共卫生当局的指示下，向与公共卫生当局合作的外国政府机构的官员提供此类信息；​​ 
   
   
   2. 依法授权接收虐待或忽视儿童报告的公共卫生当局或其他适当的政府当局；​​ 
   
   
   3. 就其所负责的 FDA 监管产品或活动而言，受美国食品药品管理局 (FDA) 管辖的个人，其活动的目的在于开展与此类 FDA 监管产品或活动的质量、安全或有效性相关的活动。 这些目的包括：​​ 
      
      1. 收集或报告不良事件（或与食品或膳食补充剂有关的类似活动）、产品缺陷或问题（包括产品使用或标签问题）或生物产品偏差；​​ 
      
      
      2. 追踪受 FDA 监管的产品；​​ 
      
      
      3. 为了实现产品召回、维修、更换或追溯（包括定位和通知已收到已召回、撤回或追溯产品的个人）；或​​ 
      
      
      4. 进行上市后监测。​​ 
   
   
   4. 可能接触过传染病或可能面临感染或传播疾病或病症风险的人，如果相关实体或公共卫生当局依法被授权在进行公共卫生干预或调查时根据需要通知该人；或​​ 

1. 允许的使用和披露。 相关实体可以使用或披露受保护的健康信息用于研究，无论研究资金来源如何，只要满足以下条件：​​ 
   
   
   1. 董事会批准放弃授权。 相关实体获得文件证明，对 §164.508 所要求的使用或披露受保护健康信息的个人授权的全部或部分变更或放弃已得到以下机构的批准：​​ 
      
      
      1. 根据 7 CFR lc.107、10 CFR 745.107、14 CFR 1230.107、15 CFR 27.107、16 CFR 1028.107 设立的机构审查委员会 (IRB)， 21 CFR 56.107、22 CFR 225.107、24 CFR 60.107、28 CFR 46.107、32 CFR 219.107、34 CFR 97.107、38 CFR 16.107、40 CFR 26.107、45 CFR 46.107、45 CFR 690.107 或 49 CFR 11.107；或​​ 
      
      
      2. 隐私委员会：​​ 
         1. 拥有不同背景和适当专业能力的成员来审查研究方案对个人隐私权利和相关利益的影响；​​ 
         2. 包括至少一名不隶属于所涵盖实体、不隶属于任何进行或赞助研究的实体、并且与隶属于任何此类实体的任何人无关联的成员；并且​​ 
         3. 没有任何成员参与审查与其存在利益冲突的任何项目。​​ 
   
   
   2. 研究前的评论。 相关实体从研究人员处获得以下陈述：​​ 
      
      1. 使用或披露仅是为了在制定研究方案或为研究做准备的类似目的时审查受保护的健康信息；​​ 
      
      
      2. 研究人员在审查过程中不得从涵盖的实体中删除任何受保护的健康信息；并且​​ 
      
      
      3. 寻求使用或访问的受保护的健康信息对于研究目的是必要的。​​ 
   
   
   3. 对死者信息的研究。 相关实体从研究人员处获得：​​ 
      
      1. 声明所寻求的使用或披露仅用于对死者受保护的健康信息进行研究；​​ 
      
      
      2. 应涵盖实体的要求，提供此类个人的死亡证明文件；以及​​ 
      
      
      3. 声明寻求使用或披露的受保护的健康信息对于研究目的是必要的。​​ 


2. 豁免批准文件。 根据本节第 (i)(1)(i) 款，根据变更或豁免的批准文件允许使用或披露时，文件必须包含以下所有内容：​​ 
   
   
   1. 身份证明和行动日期。 一份声明，注明 IRB 或隐私委员会以及批准修改或放弃授权的日期；​​ 
   
   
   2. 豁免标准。 一份声明，表明 IRB 或隐私委员会已确定授权的变更或放弃（全部或部分）满足以下标准：​​ 
      
      
      1. 使用或披露受保护的健康信息对个人隐私造成的风险极小，至少基于以下因素的存在；​​ 
         
         1. 制定适当的计划来保护标识符免遭不当使用和泄露；​​ 
         2. 制定适当的计划，在与研究开展相一致的最早机会下销毁标识符，除非出于健康或研究原因需要保留标识符，或法律另有规定；以及​​ 
         3. 充分的书面保证，受保护的健康信息不会被重复使用或披露给任何其他个人或实体，除非法律要求，为了对研究进行授权监督，或为了本分部允许使用或披露受保护的健康信息的其他研究；​​ 
      
      
      2. 如果没有豁免或修改，这项研究就不可能实际进行；并且​​ 
      
      
      3. 如果无法获取和使用受保护的健康信息，研究就无法实际进行。​​ 
   
   
   3. 需要保护的健康信息。 根据本节第（i）（2）（ii）（C）款，IRB 或隐私委员会确定需要使用或访问的受保护健康信息的简要说明；​​ 
   
   
   4. 审批程序。 一份声明，表明授权变更或豁免已按照正常或快速审查程序进行审查并批准，具体如下：​​ 
      
      1. IRB 必须遵守通用规则的要求，包括正常审查程序（7 CFR 1c.108(b)、10 CFR 745.108(b)、14 CFR 1230.108(b)、15 CFR 27.108(b)、16 CFR 1028.108(b)、 21 CFR 56.108(b)、22 CFR 225.108(b)、24 CFR 60.108(b)、28 CFR 46.108(b)、32 CFR 219.108(b)、34 CFR 97.108(b)、38 CFR 16.108(b)、40 CFR 26.108(b)、45 CFR 46.108(b)、45 CFR 690.108(b) 或 49 CFR 11.108(b)) 或快速审查程序 (7 CFR 1c.110、10 CFR 745.110、14 CFR 1230.110、15 CFR 27.110、16 CFR 1028.110、 21 CFR 56.110、22 CFR 225.110、24 CFR 60.110、28 CFR 46.110、32 CFR 219.110、34 CFR 97.110、38 CFR 16.110、40 CFR 26.110、45 CFR 46.110、45 CFR 690.110 或 49 CFR 11.110）；​​ 
      
      
      2. 隐私委员会必须在召开的会议上审查拟议的研究，该会议应有大多数隐私委员会成员出席，其中至少有一名成员满足本节（i）（1）（i）（B）（2）款规定的标准，并且授权的变更或放弃必须得到出席会议的大多数隐私委员会成员的批准，除非隐私委员会选择根据本节（i）（2）（iv）（C）款使用快速审查程序；​​ 
      
      
      3. 如果研究对寻求使用或披露的受保护健康信息的个人的隐私造成的风险不超过最低限度，隐私委员会可以使用快速审查程序。 如果隐私委员会选择使用快速审查程序，则授权变更或豁免的审查和批准可由隐私委员会主席或主席指定的一名或多名隐私委员会成员进行；并且​​ 
   
   
   5. 需要签名。 授权变更或豁免的文件必须由 IRB 或隐私委员会主席或主席指定的其他成员（如适用）签署。​​