22 道隐私、保密与信息系统练习题及答案

AHIMA CCA 医疗编码师考试练习的全部隐私、保密与信息系统练习题，附正确答案和简短解析。

1. 一名编码员将一份电子表格用邮件发给同事，表中列有患者的入院日期、五位数邮政编码和完整出生日期，姓名和病案号已删除。根据 HIPAA 隐私规则，这份文件应如何定性？
- A.属于去标识化数据，因为姓名和病案号在发送之前已经全部删除
- B.属于有限数据集，员工可以在机构内部传阅而无需额外的保护
- C.属于去标识化数据，因为编码组以外的人无法把日期对应到患者
- D.属于受保护健康信息，日期与地理信息本身即为标识符✓ 答案
安全港去标识化方法要求删除 18 类标识符，其中包括与个人相关的所有日期要素以及小于州一级的地理区划。该表仍保留入院日期、出生日期和邮政编码，因此文件仍属于受保护健康信息，必须加以保护。
编号 QB-8BFU3D依据： 45 CFR 164.514(b)(2) — safe harbor de-identification, 18 identifiers报告此题的问题
2. 一名编码员被分配了一次糖尿病足溃疡门诊就诊的编码任务。在 EHR 中她还能看到该患者两年前精神科住院的病历。按照最小必要标准，她应当怎么做？
- A.通读该患者的全部纵向病历，因为病史越多编码就越具体准确
- B.连同精神科住院病历一并查阅，因为编码员账号有全病历权限
- C.在打开本次就诊的任何记录之前，先取得隐私官的书面批准
- D.把查阅范围限定在支持本次就诊编码的当次病历文书之内✓ 答案
最小必要标准要求受保护实体把员工的访问范围限制在完成本职工作所需的信息之内。为本次门诊就诊编码并不需要两年前的精神科住院病历；技术上能打开病历，并不等于有工作理由去打开它。
编号 QB-RTMZND依据： 45 CFR 164.502(b) and 164.514(d) — minimum necessary standard报告此题的问题
3. 医院将患者的编码诊断和手术记录发送给其医疗保险计划以支持理赔，同时在内部用同一份病历进行编码质量审核。关于授权，下列哪项说法正确？
- A.内部质量审核需要患者签署授权书，而提交理赔不需要授权书
- B.两种用途都需要签署授权书，因为披露的内容包含手术记录在内
- C.提交理赔需要患者签署授权书，而内部质量审核不需要授权书
- D.两种用途都不需要授权书，因为它们属于支付和医疗运营活动✓ 答案
隐私规则允许在未取得患者授权的情况下，为治疗、支付和医疗运营目的使用和披露受保护健康信息。向保险计划报账属于支付，编码质量审核属于医疗运营活动，这也正是编码工作被归入运营的原因。
编号 QB-9BT69E依据： 45 CFR 164.506(c) — uses and disclosures for TPO; 164.501 definition of health care operations报告此题的问题
4. 一家律师事务所提交了一份患者签署的授权书，其中写明了所需病历和作为接收方的律所，但有效期截止日期和终止事件两栏均为空白。病案科应当怎么做？
- A.退回该授权书，但先发放费用账单部分，该部分无需有效期栏
- B.按授权书发放病历，因为有患者签名和病历描述即已符合要求
- C.退回该授权书，要求对方补充填写有效期截止日期或终止事件✓ 答案
- D.按授权书发放病历，并注明未填日期的授权书默认有效期为一年
有效的授权书必须包含全部核心要素，其中包括与所述用途相关的有效期截止日期或终止事件。缺少必备要素的授权书属于无效授权，不得据以放行病历，法规也没有规定任何默认有效期。
编号 QB-NTJZ5A依据： 45 CFR 164.508(b)(2) and (c)(1) — defective authorizations and core elements报告此题的问题
5. 一名编码员下班时桌上放着打印出来的病案首页，主管要求她交出 EHR 密码，好让夜班编码员接着完成她的工作队列。正确的做法是什么？
- A.让账号保持登录状态供夜班使用，并把打印件放进可回收纸箱
- B.把密码写在纸条上交给夜班同事，并把打印件锁进自己的抽屉
- C.锁定工作站，把打印件投入碎纸箱，并拒绝把密码交给任何人，包括主管✓ 答案
- D.把密码告诉主管，因为主管有权批准账号在夜班期间临时共用
安全规则要求每个用户使用唯一账号，使系统中的每一项操作都能追溯到具体个人；无论提出要求的是谁，共用密码都会破坏这一机制。打印出的受保护健康信息必须经碎纸等批准方式销毁，不得投入普通垃圾或回收箱。
编号 QB-6BR6RA依据： 45 CFR 164.312(a)(2)(i) unique user identification; 164.530(c) safeguards; HHS PHI disposal guidance报告此题的问题
6. 一位患者要求获取自己指定记录集的副本。机构必须在 30 天内作出答复，但无法在期限内整理完毕。隐私规则允许怎么做？
- A.可以无限期推迟，只要病历中仍有部分尚在编码组处理之中
- B.可以连续两次各延长 15 天，并每次电话告知患者延期的原因
- C.可以延长 60 天，只要该申请涉及任何时长的住院病历副本
- D.可以一次性延长 30 天，并书面告知原因和预计完成日期✓ 答案
第 164.524 条规定，受保护实体应在 30 天内答复查阅申请，并且只允许一次不超过 30 天的延期，前提是以书面形式告知本人延期原因以及机构将于何日完成办理。
编号 QB-PTWBBB依据： 45 CFR 164.524(b)(2) — timely action on access requests报告此题的问题
7. 一位患者要求获取过去六年的披露记录清单。下列哪一项必须列入该清单？
- A.依法向州卫生部门上报的一例疑似传染病病例的疾病报告记录✓ 答案
- B.为支付本次住院费用而发送给其医疗保险计划的编码诊断理赔单
- C.应患者本人书面要求而邮寄给患者本人的那份病历复印件记录
- D.为同一疾病继续治疗而发送给会诊专科医师的那份病历资料副本
披露记录清单回溯六年，但明确不包括为治疗、支付和医疗运营目的作出的披露、向患者本人作出的披露以及其他若干类别。法定传染病上报不属于上述任何一类，因此必须记录并列入清单。
编号 QB-7B4HWB依据： 45 CFR 164.528(a) — accounting of disclosures and its exclusions报告此题的问题
8. 一位患者自费全额支付了一次门诊费用，并要求诊所不要把这次就诊的任何信息告知其医疗保险计划。法律并未要求诊所上报该项服务。诊所必须如何处理？
- A.可以拒绝，除非患者同时提出以邮寄方式进行保密通信请求
- B.必须同意，因为该项服务已由患者本人自费全额支付完毕✓ 答案
- C.可以拒绝，因为受保护实体从来没有义务接受限制的请求
- D.必须先取得医疗保险计划的书面同意，之后才可以同意限制
受保护实体通常可以拒绝限制请求，但当披露对象是医疗保险计划、目的是支付或运营、法律又未强制要求上报，且该项服务已由本人全额自费支付时，机构必须同意该限制请求。
编号 QB-KTUBT7依据： 45 CFR 164.522(a)(1)(vi) — mandatory restriction after out-of-pocket payment报告此题的问题
9. 一家医院与外部编码公司签约，该公司员工从家中登录医院 EHR 进行编码。下列哪项说法正确？
- A.该公司属于业务伙伴，须签订书面协议，并直接承担合规责任✓ 答案
- B.该公司属于受保护实体，因为它为申报理赔而处理受保护信息
- C.该公司须签订书面协议，但只能因违约被追责，不承担直接责任
- D.该公司属于医院员工队伍的一部分，因此不需要签订书面协议
业务伙伴是指为受保护实体履行某项职能而创建、接收、维护或传输受保护健康信息的实体，编码正属于此类职能。自 2013 年综合规则起，业务伙伴须就安全规则和特定隐私规则义务直接向民权办公室承担责任，并须签订书面协议。
编号 QB-4B2HD8依据： 45 CFR 160.103 business associate definition; 164.502(e) and 164.308(b) — BAA and direct liability报告此题的问题
10. 某医院所在州的法律要求在发布 HIV 检测结果前必须取得专门的书面同意，而 HIPAA 允许为治疗目的发布该结果。此次发布应以哪一条规则为准？
- A.以 HIPAA 为准，因为联邦隐私法在任何情况下都优先于州隐私法
- B.以请求方医师在调阅申请书中指明的那一条规则为准来处理即可
- C.以 HIPAA 为准，因为为治疗目的的披露不受州同意法规的约束
- D.以州法为准，因为 HIPAA 只是底线，更严格的规定优先适用✓ 答案
HIPAA 通常优先于与之抵触的州法，但当州法规定更为严格、即对个人隐私权保护更强时则不优先。真正被考查的是这项长期有效的义务：必须查明适用的州法或特殊类别规定，而不能把联邦标准当作上限。
编号 QB-M6QSA3依据： 45 CFR 160.203(b) and 160.202 — preemption and the definition of 'more stringent'报告此题的问题
11. 一名编码员误将含有 40 名患者姓名和诊断的电子表格发送到院外邮箱。隐私官需要判断是否必须发出通知。正确的出发点是什么？
- A.只有能证明接收方确实打开并阅读了该文件，才构成需通知的泄露
- B.推定构成泄露，除非四要素风险评估显示信息被损害的概率很低✓ 答案
- C.只有当不当披露影响到 500 人及以上时，该事件才构成泄露事件
- D.不构成泄露，因为只发给了一个接收人，也未见患者受到实际损害
D 分部规定，对未加保护的受保护健康信息的不当使用或披露一律推定为泄露，除非机构通过风险评估证明信息被损害的概率很低；该评估须权衡信息的性质与范围、接收方是谁、信息是否实际被获取或查看，以及风险已被降低的程度。
编号 QB-4PHMQ2依据： 45 CFR 164.402 — definition of breach and the four-factor risk assessment报告此题的问题
12. 一台存有编码工作清单的笔记本电脑在员工车内被盗。该硬盘已按 HHS 规定的标准加密，解密密钥另行保管。由此产生什么结果？
- A.必须通知，不过加密可以把适用的过错等级降到较轻的档次上
- B.无需通知，因为按 HHS 标准加密使该信息属于受保护信息✓ 答案
- C.必须通知，因为设备被带离了机构，且须在 30 个日历日内完成
- D.无需通知，前提是该电脑在 60 天内被找回并经检查确认未读取
泄露通知规则只适用于未加保护的受保护健康信息。按 HHS 指定标准加密的信息属于已受保护信息，因此加密设备被盗或遗失根本不落入该规则的适用范围，而不只是减轻后果。
编号 QB-K6CF52依据： 45 CFR 164.402 'unsecured protected health information'; HHS guidance under HITECH sec. 13402(h)(2)报告此题的问题
13. 一名编码员发现同事打开了一位本地知名运动员的病历，而该病历并不在这位同事的工作清单上。这名编码员应当怎么做？
- A.按机构规定的事件上报渠道，向隐私官报告这次不当访问行为，不自行调查✓ 答案
- B.自己先调取审计日志核实该次访问，再决定要不要采取行动
- C.先问同事为什么打开该病历，如果理由听起来合理就不再追究
- D.不必处理，因为只是查看病历而没有对外泄露，并不构成违规
员工的职责是识别并上报隐私问题和违规行为，机构也必须设有相应的上报渠道。没有工作理由而打开病历本身就构成不当使用，而调查或当面质问同事并不是上报者的职责。
编号 QB-3P6AJZ依据： 45 CFR 164.530(d) complaint process and 164.502(b); AHIMA CCA Domain 6 task 3 (recognize and report)报告此题的问题
14. 根据落实《21 世纪治愈法案》的信息封锁规定，下列哪一方属于受该规定约束的行为主体？
- A.每月从网络内医院接收理赔数据和临床数据的一家医疗保险计划
- B.为本单位员工保管职业健康检查记录的一家用人单位人事部门
- C.保存含有临床病历副本的理赔卷宗的一家医疗责任保险公司
- D.为本机构患者保存电子健康信息的一家医师执业诊所或医疗组✓ 答案
第 171 部分规定了三类行为主体：医疗服务提供者、经认证健康信息技术的开发商，以及健康信息交换机构或网络。医疗保险计划、责任险公司和用人单位即使持有临床信息，也不属于行为主体。
编号 QB-J6Z4YY依据： 45 CFR 171.102 — definition of actor (health care provider, certified health IT developer, HIE/HIN)报告此题的问题
15. 一家诊所把患者门户设置为所有化验结果一律延迟三天发布，以便临床医师先行查看，并未针对个案作出任何判断。这种做法应如何定性？
- A.该做法属于隐私例外，因为患者本人并未提出查看结果的请求
- B.该做法属于系统性能例外，因为医师先行查看属于系统性任务
- C.该做法很可能构成信息封锁，因为一律延迟不符合任何项例外✓ 答案
- D.该做法属于防止伤害例外，因为化验结果可能让患者感到惊慌
信息封锁是指行为主体的某种做法可能妨碍电子健康信息的获取、交换或使用，除非法律要求或符合某项例外。防止伤害例外要求就个案作出判断，认定该做法能显著降低伤害风险，因此一刀切的门户延迟并不符合该例外。
编号 QB-2PTXCY依据： 45 CFR 171.103 information blocking; 171.201 Preventing Harm exception报告此题的问题
16. 就信息封锁规定而言，电子健康信息（EHI）指的是什么？
- A.仅限于用于交换的互操作性标准中列明的那些数据类别和要素
- B.医疗机构存储的任何临床数据，包括心理治疗记录和诉讼卷宗
- C.仅限受保护实体保存在其认证电子病历系统内部的那些信息项
- D.属于指定记录集范围内的电子受保护健康信息，不论谁持有✓ 答案
第 171 部分把电子健康信息定义为：属于指定记录集范围内的电子受保护健康信息，不论持有者是否为 HIPAA 受保护实体；心理治疗记录和为诉讼而汇编的信息同样被排除在外。
编号 QB-H6NSSX依据： 45 CFR 171.102 — definition of electronic health information报告此题的问题
17. 编码员完成某次住院病例的编码后，病案摘要系统运行了分组器。分组器的作用是什么？
- A.根据编码、出院去向及病例数据，把病例归入相应的 MS-DRG✓ 答案
- B.把已完成的编码与付款方编辑规则比对，并改写可能被拒付的编码
- C.先扫描出院小结中的关键词句，据此确定该病例应报的主要诊断编码
- D.把 ICD-10-CM 编码转成 SNOMED CT 概念，供临床数据库使用
分组器使用编码员已经产出的数据，即诊断与手术操作编码，加上出院去向、年龄、性别和入院时并存标志，把病例归入相应的付款组。它并不指定编码，驱动分组的那套编码仍由编码员负责。
编号 QB-ZNFM7X依据： AHIMA CCA Domain 5 task 2 — utilize encoding and grouping software; CMS MS-DRG grouper logic报告此题的问题
18. 一名编码员使用的编码软件不显示索引和类目表页面，而是就已记录的病情逐层提出分支式临床问题。这属于哪一类工具？
- A.分组器，因为付款分组正是通过这类分支式提问来确定的结果
- B.逻辑型编码器，它用分支式问题引导，最终编码仍由编码员本人选择并负责✓ 答案
- C.计算机辅助编码引擎，可读取病历文本并自动把编码上传账单
- D.自动化码本式编码器，其界面复刻纸质索引页和类目表页内容
逻辑型（知识型）编码器依据编码规则和指导，用分支式问题引导编码员作出判断；自动化码本式编码器则是复刻纸质索引和类目表。无论使用哪一类，最终编码都由持证编码员选择并负责。
编号 QB-R655Z7依据： AHIMA CCA Domain 5 task 2 — utilize encoding and grouping software报告此题的问题
19. 一套计算机辅助编码系统用自然语言处理读取口述手术记录，并给出一组建议编码。编码员的职责是什么？
- A.把建议编码交由手术医师审批，获得医师同意后再提交理赔单
- B.采用建议编码，并在病历中注明这些编码由软件自动生成得出
- C.逐条核对建议编码与病历文书是否相符，并在报账之前修正编码✓ 答案
- D.直接采用建议编码，因为该软件在上线实施时已经过验证测试
计算机辅助编码只是从非结构化文本中给出建议编码，并不代为指定编码。核验这些输出是第 5 领域明确列出的任务，持证编码员仍须对报账前每一条编码的增加、删除与确认负责。
编号 QB-8PXXD7依据： AHIMA CCA Domain 5 task 5 — validate the codes assigned by CAC software报告此题的问题
20. 在账单提交前的复核中，编码员发现计算机辅助编码系统建议了脓毒症编码，而病历中写的是已排除脓毒症。她应当怎么做？
- A.把病历转交财务部门，由财务部门决定这条编码是否应当保留
- B.删除该编码，因为记录为已排除的病情不属于本次可上报的诊断✓ 答案
- C.保留该编码，因为软件读取的确实是医师病历原文中的字词内容
- D.保留该编码，让付款后审计去判断病历是否支持这条编码的上报
自然语言处理可能只匹配到词条，而没有捕捉到其周围的否定表述。文书不支持的编码必须在提交账单之前删除；在审计中，以软件建议为由并不能作为抗辩理由。
编号 QB-Q8QXT6依据： AHIMA CCA Domain 5 task 5; AHIMA Standards of Ethical Coding — report only codes supported by documentation报告此题的问题
21. 一家诊所要选购软件来处理预约排班、患者登记、保险资格核验、费用录入和应收账款跟进。这属于哪一类系统？
- A.执业管理系统，负责排班登记、资格核验与收入循环相关的各项事务流程✓ 答案
- B.临床数据存储库，负责为全院保存各类检查结果与报告资料
- C.健康信息管理系统，负责病案追踪与病历缺陷管理等日常工作
- D.编码器软件，负责辅助选择编码并内置编码编辑规则与指导
执业管理系统负责行政与财务循环：预约排班、登记、资格核验、费用录入、理赔申报和应收账款。健康信息管理系统负责病案追踪、缺陷管理、信息发布和编码工作流，两者不能混为一谈。
编号 QB-8RV4E7依据： AHIMA CCA Domain 5 task 3 — utilize practice management and HIM systems报告此题的问题
22. 编码员复核一份病程记录时发现，其评估部分与入院记录逐字相同，仍列有一项病历显示两天前已缓解的急性病情。她应当如何处理？
- A.依据入院记录来确定编码，因为入院记录是病历中最完整的来源
- B.上报该急性病情编码，因为它出现在本次住院已签署的病程记录中
- C.上报该急性病情编码，由临床文书改进团队在报账之后修正记录
- D.依据能反映患者本次住院实际状况的文书内容来确定编码的取舍✓ 答案
复制粘贴的文本会把已经缓解的病情带入后续记录，这属于数据完整性缺陷，而不能证明该病情仍然存在。编码必须反映文书对本次就诊真正确立的内容，因此与病历其余部分相矛盾的沿用文字不能支持上报该诊断。
编号 QB-P8CMN5依据： AHIMA CCA Domain 5 — EHR documentation integrity; ICD-10-CM Official Guidelines Section III (additional diagnoses)报告此题的问题

本考试的其他主题

ICD-10-CM 诊断编码21 道免费练习题 ICD-10-PCS 住院手术编码22 道免费练习题 CPT 与 HCPCS 编码22 道免费练习题支付制度与风险调整22 道免费练习题理赔审核、医疗必要性与拒付21 道免费练习题病历与数据内容22 道免费练习题编码合规与医师查询22 道免费练习题

练习题依据 AHIMA 注册编码员（CCA）考试大纲、《ICD-10-CM 与 ICD-10-PCS 官方编码与报告指南》以及《AHIMA 编码职业道德准则》编写。本网站与 AHIMA 无关联，也未获其认可。编码集及其官方指南每年修订，因此本题库不会把具体编码值作为答案——实际编码时，务必依据服务发生日期所适用的现行编码书、编码器和官方指南，绝不可以练习题为准。报考资格与当前考试要求请在报考前向 AHIMA 确认。关于 CCA 认证 →

1. 一名编码员将一份电子表格用邮件发给同事，表中列有患者的入院日期、五位数邮政编码和完整出生日期，姓名和病案号已删除。根据 HIPAA 隐私规则，这份文件应如何定性？

2. 一名编码员被分配了一次糖尿病足溃疡门诊就诊的编码任务。在 EHR 中她还能看到该患者两年前精神科住院的病历。按照最小必要标准，她应当怎么做？

3. 医院将患者的编码诊断和手术记录发送给其医疗保险计划以支持理赔，同时在内部用同一份病历进行编码质量审核。关于授权，下列哪项说法正确？

4. 一家律师事务所提交了一份患者签署的授权书，其中写明了所需病历和作为接收方的律所，但有效期截止日期和终止事件两栏均为空白。病案科应当怎么做？

5. 一名编码员下班时桌上放着打印出来的病案首页，主管要求她交出 EHR 密码，好让夜班编码员接着完成她的工作队列。正确的做法是什么？

6. 一位患者要求获取自己指定记录集的副本。机构必须在 30 天内作出答复，但无法在期限内整理完毕。隐私规则允许怎么做？

7. 一位患者要求获取过去六年的披露记录清单。下列哪一项必须列入该清单？

8. 一位患者自费全额支付了一次门诊费用，并要求诊所不要把这次就诊的任何信息告知其医疗保险计划。法律并未要求诊所上报该项服务。诊所必须如何处理？

9. 一家医院与外部编码公司签约，该公司员工从家中登录医院 EHR 进行编码。下列哪项说法正确？

10. 某医院所在州的法律要求在发布 HIV 检测结果前必须取得专门的书面同意，而 HIPAA 允许为治疗目的发布该结果。此次发布应以哪一条规则为准？

11. 一名编码员误将含有 40 名患者姓名和诊断的电子表格发送到院外邮箱。隐私官需要判断是否必须发出通知。正确的出发点是什么？

12. 一台存有编码工作清单的笔记本电脑在员工车内被盗。该硬盘已按 HHS 规定的标准加密，解密密钥另行保管。由此产生什么结果？

13. 一名编码员发现同事打开了一位本地知名运动员的病历，而该病历并不在这位同事的工作清单上。这名编码员应当怎么做？

14. 根据落实《21 世纪治愈法案》的信息封锁规定，下列哪一方属于受该规定约束的行为主体？

15. 一家诊所把患者门户设置为所有化验结果一律延迟三天发布，以便临床医师先行查看，并未针对个案作出任何判断。这种做法应如何定性？

16. 就信息封锁规定而言，电子健康信息（EHI）指的是什么？

17. 编码员完成某次住院病例的编码后，病案摘要系统运行了分组器。分组器的作用是什么？

18. 一名编码员使用的编码软件不显示索引和类目表页面，而是就已记录的病情逐层提出分支式临床问题。这属于哪一类工具？

19. 一套计算机辅助编码系统用自然语言处理读取口述手术记录，并给出一组建议编码。编码员的职责是什么？

20. 在账单提交前的复核中，编码员发现计算机辅助编码系统建议了脓毒症编码，而病历中写的是已排除脓毒症。她应当怎么做？

21. 一家诊所要选购软件来处理预约排班、患者登记、保险资格核验、费用录入和应收账款跟进。这属于哪一类系统？

22. 编码员复核一份病程记录时发现，其评估部分与入院记录逐字相同，仍列有一项病历显示两天前已缓解的急性病情。她应当如何处理？

本考试的其他主题