在医疗健康营销领域，每当评估一项新工具时，营销人员都会提出同一个问题：供应商是否愿意签署商业伙伴协议（BAA）？但这个问题本身就是错的。BAA只是一份合同，它并不能让工具变得合规，也无法告知你HIPAA是否适用。
HIPAA监管的是实体，而非数据本身。它覆盖健康计划、清算所以及以电子方式计费的医疗服务提供方，以及为这些实体处理受保护健康信息（PHI）的商业伙伴。医院系统属于受监管实体，使用患者数据开展营销活动的代理机构很可能构成商业伙伴。而直接面向消费者的保健品品牌则不在HIPAA覆盖范围内。但这并不意味着它们不受约束——美国联邦贸易委员会依据其《健康数据泄露通知规则》，将未经授权与广告商共享健康数据视为违规行为，多个州也制定了各自的消费者健康数据法律。规则不同，但并非没有规则。
对于受监管实体而言，核心问题是数据是否属于PHI，即与个人健康、护理或护理付费相关的可识别信息。在营销技术场景中，识别符很少是姓名，而往往是IP地址或经过哈希处理的电子邮箱，旁边附有URL、表单字段或预约日期。合规风险取决于数据的流向、接收方以及使用方式。
关于HIPAA合规，业界存在五个常见误区。第一，“我们签了BAA，所以没问题”——BAA只覆盖签署协议的供应商，对你同步受众的广告平台或其他团队上个季度添加的像素代码毫无约束力。第二，“去标识化数据不是PHI”——只有在真正完成去标识化时才成立。HIPAA允许两种方法：移除18项指定标识符，或通过正式专家判定。标识符清单包括IP地址、设备ID和URL。对邮箱进行哈希处理不符合去标识化标准，在营销场景中哈希的目的是匹配记录，恰恰与去标识化相反。
第三，“IP地址和设备ID不是PHI”——单独来看或许不是，但与健康背景信息并列时就可能构成PHI。2024年一项联邦法院裁决撤销了联邦追踪指南中涉及公开页面上IP地址的部分内容，但其余规定仍然有效。患者门户、应用程序以及人们预约就诊或输入症状的页面仍在监管范围内。第四，“服务器端标签可以解决问题”——服务器端改变的是数据收集位置，而非发送内容。在未签署BAA的情况下将PHI转发给供应商，等同于通过不同管道进行同样的披露。联邦指南明确指出，供应商承诺收到数据后剥离PHI并不能免除责任。
第五，“我们的隐私政策覆盖了这一点”——将PHI披露给第三方用于营销目的，不能仅凭隐私政策中的条款获得豁免。对于医疗健康营销人员而言，真正的合规起点不是询问供应商是否签署BAA，而是理解数据流向、识别监管适用性，并在数据离开系统之前建立有效的过滤控制点。
该文观点仅代表作者本人，企服科学平台仅提供信息存储空间服务。
