如何使您的跟踪符合 HIPAA 规范：医疗保健企业的策略

仅当 Google 未接收任何受保护健康信息 (PHI) 时，Google Analytics 才能成为符合 HIPAA 规范的衡量体系的一部分。因此，医疗保健团队需要确定哪些页面可以使用 Google Analytics，以及每个跟踪请求会发送哪些信息。

控制数据流入 Google Analytics 的一种方法是将获批的跟踪请求通过服务端 Google Tag Manager (服务端 GTM) 进行路由。您可以在 Stape 上托管您的服务端 GTM 容器，并为其发送至 Google Analytics 的内容设置规则。 

本指南介绍了浏览器跟踪如何导致健康数据泄露、如何构建更可控的数据流，以及 Stape 如何为该技术配置提供支持。同时，本文还说明了哪些决策仍需要经过隐私或法务团队的审查。

本文不构成法律建议。请咨询您的隐私或法务团队，以审批哪些数据可以共享、供应商的角色以及适用于您配置的去标识化方法。

HIPAA （《健康保险流通与责任法案》）是一项美国法律，旨在保护患者医疗信息和健康记录的隐私与安全。它适用于两类群体：

• 涵盖实体包括以电子方式发送理赔或账单信息的特定医疗保健提供者，例如医生、诊所、医院和药房。它们还包括健康保险公司、联邦医疗保险 (Medicare) 和联邦医疗补助 (Medicaid) 等政府项目，以及为电子数据交换准备健康数据的医疗保健清算所。
• 商业伙伴是代表涵盖实体处理受保护健康信息的个人或公司，例如账单处理公司或云服务提供商。

受保护健康信息（简称 PHI）是指由涵盖实体或商业伙伴持有或传输的、与个人健康状况、护理或护理费用相关的个人可标识信息。当此类信息为电子形式时，即为电子受保护健康信息（简称 ePHI）。姓名、电子邮件地址、病历号、IP 地址、设备标识符、完整 URL、就诊日期或唯一代码，在与健康或护理信息相关联时，均可构成 PHI 的一部分。

如果供应商在提供服务过程中为涵盖实体处理 PHI，则该供应商通常属于商业伙伴，在接收数据之前必须签署商业伙伴协议 (BAA)。BAA 明确了供应商如何使用和保护 PHI。 

在 Custom 套餐中，您还可以针对适用服务与 Stape 签署商业伙伴协议 (BAA)。该 BAA 规定了 Stape 代表贵组织处理 PHI 时的责任。

公开页面不会仅仅因为讨论了某种健康状况就自动受到 HIPAA 的管辖。具体情境至关重要。一旦访客登录、预约护理服务、输入症状、创建账户，或分享了将个人与医疗保健联系起来的任何其他详细信息，风险便会发生改变。

许多加拿大企业遵循 PIPEDA，即涉及个人信息的联邦隐私法。省部级法律可能会取代 PIPEDA 或与其并行适用，且部分省份针对健康信息制定了额外法规。如果加拿大公司作为商业伙伴为美国涵盖实体处理 PHI，则可能还需要遵守 HIPAA 的部分规定。

客户端像素可能会泄露健康数据，因为它们会直接将跟踪请求从访客的浏览器发送至 Google、Meta 或其他平台。在此过程中，贵组织没有受控的服务端环节来检查或移除敏感字段，便直接由平台接收。根据代码及其设置，请求可能包含页面 URL、页面标题、引荐来源网址、IP 地址、Cookie、设备 ID、表单输入值以及事件详情。

这为医疗保健网站和应用带来了几个常见风险点：

• 诊所预约页面可能会将电子邮件地址、选定的医疗服务人员、预约日期和事件名称发送给第三方。
• 远程医疗流程可能会暴露患者门户登录信息、就诊类型、问卷答案或包含医学术语的 URL。
• 直接面向消费者 (DTC) 的健康产品购物车可能会将订单 ID 或电子邮件与生育测试、处方产品或针对某种健康状况的设备关联起来。
• 移动健康应用可能会将广告 ID 或设备 ID 与应用内记录的健康事件相关联。

“像素”这个词可能会让人觉得微不足道，但其背后的网络请求却能携带极其详细的有效负载。 

受 HIPAA 约束的组织必须确保 Google Analytics 中不包含 PHI。Google 不为 Google Analytics 提供 BAA，且未声明该服务符合 HIPAA 要求。

在法务和技术审查确认 Google 未接收任何 PHI 的前提下，Google Analytics 4 (GA4) 仍可用于未受 HIPAA 管辖的页面。请仔细检查请求中的每个字段，包括各类 ID、URL、事件名称、用户属性、广告系列参数和自由文本值。

Meta 和其他广告平台拥有各自的数据限制。Meta 的商业工具条款禁止企业通过 Meta Pixel 等工具发送健康信息及其他敏感数据。请分别审查每个分析和广告目标平台。

您的隐私或法务团队应决定各平台可以接收哪些数据。随后，技术团队可以根据这些规则构建并测试跟踪配置。

近期的医疗保健隐私案件表明，跟踪层面的失误可能引发执法行动或民事诉讼。美国卫生与公众服务部 (HHS) 负责执行 HIPAA。联邦贸易委员会 (FTC) 及各州机构则可依据其他隐私和消费者权益保护法采取行动。

• 2025 年，Healthline 同意支付 155 万美元以就加利福尼亚州的指控达成和解，该指控称其健康网站上的 Cookie 和像素在未提供必要隐私保护的情况下，向广告商共享了身份识别数据以及暗示医疗状况的文章标题。
• 2026 年，一家联邦法院对 Kaiser Permanente 达成的一项 4600 万美元和解协议给予了最终批准，该协议解决了有关其认证网站和应用页面上第三方跟踪技术的索赔诉求。 
• 2026 年 7 月，FTC、犹他州和加利福尼亚州对 Hims and Hers 提起诉讼，指控该远程医疗公司通过网站跟踪技术与 Meta、Snap 及其他第三方共享了敏感健康信息。该案目前仍在审理中。

您可以通过在 Stape 上托管您的服务端 GTM 容器，并在事件到达分析平台之前仅对经隐私或法务团队批准的事件进行路由，从而构建符合 HIPAA 规范的跟踪架构。 

您可与 Stape 签署商业伙伴协议 (BAA)。请通过 sales@stape.io 联系我们的销售团队以申请协议，并确认其涵盖的具体服务。

Stape 提供以下技术能力：

• Server GTM Hosting。您可以在 Stape 上托管服务端 GTM 容器，并针对各个平台接收的内容分别设置规则。
• Anonymizer。对于通过服务端 GTM 路由的 GA4 请求，Anonymizer 可以在其到达 Google 之前移除、隐蔽或修改选定的字段。
• 账户访问权限。登录活动历史记录可记录近期的账户登录情况。双重身份验证和通行密钥 (passkeys) 有助于保护登录安全。单点登录 (SSO) 支持贵公司通过其身份提供商管理 Stape 访问权限，包括在员工离职时移除访问权限。
• 托管位置。多个服务器位置让您可以自主选择服务端 GTM 容器的运行地点。借助 Stape Europe，您可以将容器托管在欧洲云服务提供商 Scaleway 的欧盟服务器上。当内部政策限制数据处理地点时，这可为您的团队提供一个明确的处理位置，以便记录在 HIPAA 风险评估中。 
• 测试。Stape Logs 显示传入请求，并在启用时显示由服务端 GTM 处理的传出请求。 

这些能力有助于您的团队实施经批准的数据计划。但它们并不能替代对完整数据流的法律审批或测试。

HIPAA 合规高度依赖具体情境，其要求可能会因具体客户、数据流和使用案例而异。

从广告和分析有效负载中移除敏感数据后，医疗保健团队仍然需要实用有效的分析数据。以下 Stape 案例研究展示了通过受控的服务端实施所取得的衡量成效。 

Hellenic Technologies 利用国家级 Google Tag Manager 容器、服务端 GA4 标记、增强型转化和用户意见征求框架，重构了 OMRON Healthcare EMEA 的衡量配置。该项目报告称：

• 跟踪数据的完整性和准确性提高了 25% 至 35%
• 用户事件捕获量增加了 20% 至 30%
• 转化跟踪的可靠性提升了 15% 至 25%
• 营销归因精度提升了 20% 至 30%
• 用户意见征求同意率超过 50%

查看完整的 OMRON Healthcare EMEA 跟踪准确性案例研究。

Stape Care 通过结构化数据层、Consent Mode 集成、稳定的事件触发器、Custom Loader 以及 Cookie Keeper 重构了现有的服务端配置。该项目报告称：

• 未分配的 GA4 会话比例从 41.09% 降至 3.3%
• 互动会话增长了 244.9%
• 跟踪的关键事件增长了 195.7%
• 跟踪的事件数量从 2 个增加到 11 个

了解该团队如何为某医疗保健客户实现 38% 的归因恢复。

您的团队可以通过将获批的数据规则转化为经过测试的数据流，来实施符合 HIPAA 规范的跟踪配置。

1. 1.
   确认范围和目的。记录收集数据的法定实体、需要每个事件的原因，以及适用的法律或合同。
2. 2.
   梳理所有数据流。列出各个网站、应用程序和后端来源。包括浏览器代码、表单、预约组件、聊天工具、会话回放、客户关系管理（CRM）更新以及请求日志。标记绕过服务端 GTM 的所有请求。
3. 3.
   对数据进行分类与审批。标明可识别个人身份或揭示健康背景信息的字段。请您的隐私或法务团队审批每个目标平台可接收的内容。
4. 4.
   审查供应商和 BAA。确认每次数据披露均获得许可。如果供应商作为商业伙伴处理 PHI，请在数据进入其服务之前签署 BAA。如果对方不提供 BAA，切勿向其传输 PHI。
5. 5.
   配置数据路径。通过服务端 GTM 路由获批的事件。针对每个目标平台可接收的字段分别设置规则。
6. 6.
   移除或限制直接部署的浏览器代码。切勿在可能直接发送 PHI 或受限健康数据的页面或操作中保留处于活跃状态的 Meta Pixel 或其他代码。
7. 7.
   应用经审批的数据管控措施。仅发送必要的数据。针对 GA4 请求，配置 Anonymizer 以删除、掩码或修改获批的字段。
8. 8.
   保护访问与传输安全。要求实施强身份验证控制，限制访问权限，使用加密连接，并制定日志保留规则。
9. 9.
   分别处理 Cookie 同意与 HIPAA 授权。Cookie 横幅并非有效的 HIPAA 授权。
10. 10.
    测试并记录配置。检查传入和传出请求内的数据。记录供应商决策、BAA 覆盖范围、字段规则和审批情况。每次更改跟踪设置后，均需重复执行相同的检查。