用途：整理美国 HITECH Act（2009 年《美国复苏与再投资法案》第十三篇，Pub. L. 111-5）在隐私与安全方面的要求，及其对 HIPAA 执法框架的改造。
主要能力：
- 违规通报（§13402）：要求受涵盖实体与商业伙伴在发现未加密 PHI 违规后 60 天内通知个人；500 人以上须立即通知 HHS，500 人以下按年通报；某州/辖区 500 人以上须通知媒体与州检察长；商业伙伴须通知受涵盖实体。安全港适用于加密或销毁的 PHI。2013 年 Omnibus Rule 将“危害标准”改为“低泄露可能性”四因素风险评估（45 CFR §164.402(2)）。
- 四级民事罚款（§13410）：按过错程度分为不知情、合理原因、故意疏忽但及时纠正、故意疏忽且未及时纠正四档，金额按通胀年度调整。刑事处罚依 42 USC §1320d-6 分三档。
- 州检察长执法（§13410(e)）：州检察长可代表州居民提起民事诉讼，须事先通知 HHS，HHS 可介入，救济包括禁令、损害赔偿（每次违规最高 100 美元、同一违规每历年最高 25,000 美元）及律师费。
- 商业伙伴直接责任（§13401）：商业伙伴直接受安全规则约束，对隐私规则下不当使用/披露直接担责，须向下游分包商传递 BAA 要求。
- EHR 有意义使用隐私条件（§13401(b)）：隐私与安全合规是激励付款前提，分阶段要求安全风险分析、静态数据加密、患者电子访问等。
- 其他：§13405(c) 扩大披露记账范围至 EHR 中治疗、支付与运营披露（3 年）；§13405(d) 限制 PHI 出售；§13405(b) 强化最小必要标准。
使用方式与限制：本技能为知识整理型资料，暂未提供安装命令或调用代码。部分条款（如 §13410(c)(2) 罚款分配、记账规则最终实施）仍待 HHS 最终规则；文本中的实施状态以所给资料为准。适用场景为 HIPAA/HITECH 合规梳理、通报决策与罚则评估参考。