用途：帮助受 HIPAA 约束的机构落实最小必要标准（45 CFR §164.502(b)、§164.514(d)），即在使用、披露或索取受保护健康信息（PHI）时，将信息范围限制到完成既定目的所需的最小程度。适用于隐私合规制度设计、角色权限规划、披露审查流程和培训材料编写。
主要能力：一是按工作队伍类别定义基于角色的 PHI 访问矩阵（如主治医师、咨询专科医师、住院护士、急诊护士、药师、编码员、账单人员、登记员、质量分析师、IT 支持、管理层、法务等），规定各自可访问的信息类别、范围和 EHR 权限级别。二是区分常规与非常规披露：常规披露（保险资格核验、转诊、工伤理赔、预授权、公共卫生报告、传票响应等）设定标准 PHI 集合与排除项；非常规披露要求逐案审查，涉及心理治疗记录、物质滥用记录、HIV/STI 记录、未成年人记录、无搜查令的执法请求或影响超过 50 人时需隐私官复核，并记录范围理由。三是说明例外情形：为治疗向医疗服务提供者披露、向信息主体本人披露、依据有效授权披露、向 HHS 合规调查披露、法律要求披露、行政简化合规所需披露可不适用最小必要。四是合理信赖规则：对公共官员、其他受约束实体、其工作队伍专业成员、持 IRB/隐私委员会豁免的研究请求，可在一定条件下信赖请求方声明。五是 HITECH §13405(b) 的有限数据集规则与待定最终规则。六是文档与留存要求（§164.530(i)、§164.530(j)，保留 6 年）。七是常见违规模式与补救措施，以及执法案例（如 Memorial Hermann 2017 年 240 万美元、Cignet 2011 年 430 万美元、CVS 2009 年 225 万美元）。
使用方式：资料未提供具体安装命令或调用代码，仅以合规实施说明形式呈现，需结合机构自身的隐私政策、EHR 权限配置和 HIM 流程落地。
适用场景：医疗机构的 PHI 访问控制、披露审查、培训与审计、隐私影响评估。
限制：HHS 关于最小必要的最终规则仍待发布，目前按合理性标准执行；合理信赖不消除披露方义务；资料未提供价格、平台支持或自动化部署方式。