美国HHS民权办公室与宾州牙科机构Shen Smiles达成14万美元HIPAA和解：未能及时提供病历访问且保障措施不足

美国卫生与公众服务部（HHS）民权办公室（OCR）宣布与宾夕法尼亚州牙科服务提供者Shen Smiles达成和解协议，以解决一项HIPAA隐私规则调查。该机构将支付14万美元。调查认定，该机构缺乏管理受保护健康信息访问的适当政策与程序，且未能合理保障该信息免遭不当使用或披露。HHS于2026年10月8日披露该案，次日有专业媒体报道称，这是OCR患者访问倡议下的第56起金钱处罚案件。

据该案件的相关报道，OCR最初计算的最大罚款额为140万美元，即两项违规各70万美元，随后因该机构属于小型农村医疗服务提供者而适用90%的减免。报道还称，Shen Smiles曾要求由行政法官举行听证，和解在进入该阶段前达成。上述计算细节与累计数据未包含在HHS提供的材料中，属媒体披露内容，使用时需注明来源。

从执法定位看，该案属于OCR长期推进的患者访问权执法线索。HIPAA隐私规则要求受覆盖实体在收到访问请求后，于规定期限内提供受保护健康信息的访问或副本，并建立相应政策与程序保障实施。该案的核心缺陷不在个体病例处理失误，而在于制度层面的缺失——没有可执行的政策与程序，也没有与信息敏感度相称的安全保障，这使得访问义务的履行与信息的防护同时失去支撑。

对医疗机构与为其提供信息系统的服务商而言，该案的提示是：访问权合规与安全防护是同一治理链条的两端。一方面需建立可追溯的访问请求处理流程与时限管理，另一方面需对受保护健康信息的访问权限实施最小化控制并留存审计记录。此外，该案也显示监管机构在小规模主体案件中仍会启动正式处罚程序，机构规模小或位于农村地区并不构成豁免，仅可能在罚款幅度上获得减免。