Ch4-04 隐私法（Privacy Laws）

域：Domain 1｜章：Chapter 4 – 法律、法规、合规

① 一句话秒懂

美国宪法没写”隐私权”，但一堆联邦法管”政府/医疗/金融/儿童数据”——HIPAA、GLBA、COPPA、HITECH 泄露通知是考试高频。

② 生活类比

隐私法 1974 = “政府不能乱翻你档案”；
HIPAA = “医院不能乱传你病历”；
GLBA = “银行不能乱卖你财务信息”；
COPPA = “13 岁以下小孩数据要家长点头”；
泄露通知 = “数据漏了 60 天内必须告诉你”。

③ 核心概念（大白话）

A. 基础

第四修正案：隐私权的宪法根基——禁止无令状、无合理根据的搜查/扣押，后扩展至窃听。
隐私法 1974（Privacy Act）：仅约束联邦政府机构（限制其收集/使用/披露公民记录）。⚠️ 很多人误以为它管企业——不，它只管政府。

B. 行业隐私法对比 | 法律 | 年份 | 适用 | 核心要求 | |—|—|—|—| | HIPAA | 1996 | 医疗（医院/保险/医企） | 保护个人健康信息 PHI 的隐私与安全规则 | | HITECH | 2009 | 修订 HIPAA | 2013 Omnibus Rule；业务伙伴 BAA 直接受 HIPAA 约束；泄露>500人须 60 天内通知个人+HHS+媒体 | | GLBA | 1999 | 金融机构 | 须向客户出具书面隐私政策，限制信息共享 | | COPPA | 1998 | 面向儿童网站 | 收集 13 岁以下须可验证家长同意，家长可查/删 |

C. 数据泄露通知

HITECH 是唯一联邦层面强制泄露通知（医疗数据）。
其他行业各州自定：加州 SB 1386（2002） 开创先河（PII 泄露须通知），到 2018 年全部 50 州均有类似法。
PII 范围通常包括：姓名 + 社安号/驾照号/金融账号+密码等。

真实案例：大型医疗系统泄露致数十万人 PHI 外泄 → 触发 HITECH 的 60 天媒体通知义务。

④ 记忆口诀

“HIPAA 管病历、GLBA 管钱、COPPA 管娃(<13)、HITECH 管泄露通知”。
隐私法 1974 = 只管政府（≠企业）。
>500 人 + 60 天 = HITECH 通知三件套（个人/HHS/媒体）。

⑤ 考试怎么考（易错 & 陷阱）

❌ 以为 Privacy Act 1974 适用于私营企业。错：仅联邦政府。
❌ 把 HIPAA 和 HITECH 关系搞反。记：HITECH 修订 HIPAA，引入 BAA 与泄露通知。
✅ 套路：问”医疗机构泄露 600 人 PHI 该咋办”→ 60 天内通知个人、HHS、媒体。

⑥ 自测

下列哪部法律仅适用于联邦政府机构？ A. HIPAA　B. GLBA　C. Privacy Act of 1974　D. COPPA 答案：C
HITECH 规定泄露影响超过多少人时须通知媒体？ A. 100　B. 500　C. 1000　D. 5000 答案：B

关键定义以原书（Sybex 10th ed., Ch4）为准；本篇为考点加厚版。